# Самооценка рисков: вопросник по киберрискам, crime и D&O

Адрес: https://kindlustusoigus.ee/ru/riskijuhtimine/enesehindamine/
Автор: Олави-Юри Луйк (Olavi-Jüri Luik), PhD, Партнер, руководитель направления страхового права, присяжный адвокат (Advokaadibüroo WIDEN OÜ)
Последнее обновление: 2026-11-11

> Практический вопросник самооценки для правления: киберриски, риски мошенничества и присвоения, ответственность руководства. Шкала оценки и рамка решений.

> **Коротко.** Самооценка является не формальной проверкой, а инструментом управления, с помощью которого правление видит, насколько хорошо предприятие готово к киберрискам, рискам мошенничества и рискам управления. Цель состоит не в нулевом риске, а в том, чтобы риски были сознательно оценены, приоритизированы и покрыты внутренним контролем или страхованием. Если ответы расплывчаты или отсутствуют, это указывает на риск, требующий внимания.[^1]

## Как пользоваться вопросником

1. На вопросы совместно отвечают член правления, финансовый директор, руководитель ИТ и юрист. Каждый ответ должен быть доказуемым (документ, журнал, протокол), а не мнением.
2. Каждый вопрос оценивается по шкале:
   - **2**: да, работает и доказуемо;
   - **1**: частично или формально (порядок существует, но не проверялся или не соблюдается);
   - **0**: нет или неизвестно.
3. По каждой оценке 0 и 1 принимается решение: **снижается** ли риск внутренним контролем, **передается** ли он страховщику или сознательно **принимается**. Решение и ответственное лицо вносятся в протокол.
4. Самооценка повторяется не реже одного раза в год, перед продлением договоров страхования и после каждого существенного инцидента.

Результат оценки служит и исходными данными для заявления на страхование. Ответы, данные в заявлении, должны соответствовать действительности: неверная информация может дать страховщику право отступить от договора (VÕS § 441, § 442).[^2]

## 1. Самооценка киберрисков

Оценка начинается с зависимости от ИТ-систем. Правление должно понимать, какие системы являются критическими и каким было бы деловое воздействие их сбоя: как долго можно действовать без них и каким был бы денежный ущерб.

| № | Вопрос | Оценка |
|---|---|---|
| K1 | Определены ли критические системы и данные поименно и известен ли их владелец? | |
| K2 | Оценено ли, как долго предприятие может функционировать без каждой критической системы и каково денежное воздействие простоя в течение одного дня? | |
| K3 | Используется ли многофакторная аутентификация в электронной почте, удаленном доступе, облачных услугах и для учетных записей администраторов? | |
| K4 | Регулярно ли пересматриваются учетные записи пользователей и права и сразу ли закрываются доступы уволившихся работников? | |
| K5 | Регулярно ли делаются резервные копии, отделены ли они от основной сети и проверялось ли восстановление на практике в течение последних 12 месяцев? | |
| K6 | Прошли ли работники обучение по фишингу и социальной инженерии и проводились ли имитированные атаки? | |
| K7 | Знают ли работники, как и кому сообщать о подозрительной деятельности? | |
| K8 | Оценен ли риск критических поставщиков ИТ-услуг и облачных услуг и есть ли в договоре требования к безопасности и обязанность уведомлять об инциденте? | |
| K9 | Есть ли альтернатива на случай перерыва в работе критического поставщика услуг? | |
| K10 | Есть ли письменный план реагирования на инциденты для программы-вымогателя и утечки данных (роли, лица, принимающие решения, контакты, линия по инцидентам страховщика)? | |
| K11 | Известно ли, подпадает ли предприятие под сферу применения Закона о кибербезопасности, и назначен ли ответственный член правления? | |
| K12 | Хранятся ли журналы достаточно долго, чтобы расследовать инцидент? | |

**Контекст.** Многофакторная аутентификация уже не рекомендация, а стандарт страхового рынка: без нее риск программ-вымогателей и захвата учетных записей существенно выше, и страховщик может отказаться сделать предложение. В отношении резервного копирования частой проблемой является то, что оно существует, но ни разу не использовалось для восстановления. В сфере применения Закона о кибербезопасности ответственный член правления должен пройти обучение; если ответственный член правления не назначен, отвечают все члены правления (KüTS § 6¹).[^3]

## 2. Самооценка рисков crime

Риски crime касаются контроля над денежными потоками и функционирования внутреннего контроля.

| № | Вопрос | Оценка |
|---|---|---|
| C1 | Есть ли документированный обзор того, где и как движутся деньги (счета, платежные системы, полномочия)? | |
| C2 | Является ли подтверждение платежей многоуровневым и проверяет ли подтверждающий основание платежа, а не только вторую подпись? | |
| C3 | Исключено ли, что один человек может и инициировать, и подтвердить платеж? | |
| C4 | Всегда ли изменение банковских реквизитов поставщика проверяется по независимому каналу (контрольный звонок по ранее известному номеру)? | |
| C5 | Есть ли письменная процедура для срочного платежного поручения, поступившего от имени руководителя? | |
| C6 | Разделены ли роли (реестр поставщиков, бухгалтерские проводки и платежи не находятся в руках одного человека)? | |
| C7 | Ограничен ли доступ ИТ-администраторов к финансовым системам? | |
| C8 | Отделены ли средства клиентов от собственных средств предприятия? | |
| C9 | Есть ли механизмы раннего выявления мошенничества (анализ данных, обязательный отпуск, ротация, внутренний аудит)? | |
| C10 | Оценен ли максимально возможный ущерб от мошенничества (в том числе длительная схема и несколько последовательных платежей)? | |
| C11 | Соответствует ли сублимит по социальной инженерии в страховании crime крупнейшему обычному платежу? | |
| C12 | Есть ли соглашение с банком о быстром отзыве платежа и внесены ли контакты в кризисный план? | |

**Контекст.** Управление данными поставщиков является основным риском мошенничества со счетами. Департамент государственных информационных систем рекомендует установить порядок, согласно которому при изменении данных счета с отправителем связываются через ранее известные контактные данные.[^4] Если процессы чрезмерно упрощены, возрастает риск как внутреннего, так и внешнего мошенничества. Если предприятие хранит деньги других лиц или управляет ими, они должны быть отделены, иначе возникает как финансовый риск, так и риск ответственности. Без оценки максимального ущерба от мошенничества невозможно адекватно определить страховые суммы.

## 3. Самооценка рисков D&O

Риски D&O связаны с личной ответственностью членов правления и совета (ÄS § 187, § 315, § 327).[^5]

| № | Вопрос | Оценка |
|---|---|---|
| D1 | Получает ли правление регулярно (не реже одного раза в квартал) обзор основных рисков, в том числе киберрисков и финансовых рисков? | |
| D2 | Запротоколированы ли существенные решения вместе с информацией и соображениями, на которых они основывались? | |
| D3 | Документированы и рассмотрены ли особые мнения и предупреждения (аудитор, внутренний аудит, ИТ)? | |
| D4 | Есть ли работающий контроль соответствия (защита данных, кибербезопасность, предотвращение отмывания денег, отраслевые требования)? | |
| D5 | Является ли информация, предоставляемая инвесторам, кредиторам и партнерам, правильной и полной, в том числе о рисках? | |
| D6 | Ясно ли в кризисе, кто принимает решения и как они документируются? | |
| D7 | Осведомлено ли правление о киберрисках и рисках мошенничества и об их воздействии? | |
| D8 | Осведомлено ли правление о своих обязанностях при риске неплатежеспособности (ÄS § 180 ч. 5¹)? | |
| D9 | Покрывает ли страхование D&O бывших руководителей, руководителей дочерних предприятий и надзорные производства? | |
| D10 | Достаточен ли лимит договора D&O и тогда, когда несколько руководителей одновременно требуют возмещения расходов на защиту? | |
| D11 | Есть ли в договоре D&O исключение киберинцидента и принято ли оно сознательно? | |
| D12 | Известно ли, когда и как нужно уведомлять страховщика об обстоятельствах, которые могут привести к требованию? | |

**Контекст.** Если риски не доходят до уровня правления, правление не может ими управлять. Документация является основным доказательством того, что правление действовало с прилежанием; член правления должен сам доказать свое прилежание.[^5] При неплатежеспособности, которая не является временной, правление должно подать заявление о банкротстве незамедлительно, но не позднее чем в течение 20 дней с момента выявления неплатежеспособности, и не вправе производить платежи, не совместимые с прилежанием надлежащего предпринимателя (ÄS § 180 ч. 5¹).[^6] Многие споры D&O возникают именно из-за решений, принятых в кризисе.

## 4. Целостный взгляд

Киберриски, риски crime и риски D&O не существуют по отдельности. Кибератака может привести к мошенничеству, а оно, в свою очередь, к требованию к правлению. Поэтому нужно оценить и связи:

- Покрыт ли один и тот же инцидент в страховой программе через все три слоя (см. [взаимодействие](https://kindlustusoigus.ee/ru/riskijuhtimine/kuber-crime-dno-koostoime/))?
- Единообразно ли исключение военного риска во всех договорах?
- Содержит ли кризисный план контакты всех страховщиков и сроки уведомления?

## 5. Толкование результата

| Итоговый результат (макс. 72) | Толкование | Следующий шаг |
|---|---|---|
| 60–72 | Готовность хорошая; сильные стороны доказуемы | Поддерживайте, проверяйте симуляцией |
| 40–59 | Существенные пробелы по меньшей мере в одной области | План действий на 3–6 месяцев; пересмотрите условия страхования |
| менее 40 | Системный риск | Отдельное обсуждение в правлении; [Insurance Readiness Audit](https://kindlustusoigus.ee/ru/riskijuhtimine/insurance-readiness-audit/) |

Сумма, однако, не главное. Один ответ с оценкой 0 в критическом месте (например, C4 или K5) может быть важнее высокого итогового результата. Ценность самооценки заключается не в вопросах, а в ответах и принятых на их основе решениях.

## Связанные страницы

- [Контрольные вопросы для руководства и примерная карта рисков](https://kindlustusoigus.ee/ru/riskijuhtimine/kontrollkusimused-ja-riskikaart/)
- [Insurance Readiness Audit](https://kindlustusoigus.ee/ru/riskijuhtimine/insurance-readiness-audit/)
- [Симуляции](https://kindlustusoigus.ee/ru/riskijuhtimine/simulatsioonid/)
- [Выявление и оценка рисков на практике](https://kindlustusoigus.ee/ru/riskijuhtimine/kindlustusvajaduse-kaardistamine/riskikaardistus-praktikas/)

## Примечания

[^1]: O.-J. Luik. Ettevõtte juhtkonna riskiraamat [Книга рисков для руководства предприятия]. Рукопись, состояние на 03.05.2026, гл. 38.
[^2]: Võlaõigusseadus [Обязательственно-правовой закон] (VÕS) §§ 440–442 (RT I, 20.06.2026, 18; в силе с 01.09.2026). – https://www.riigiteataja.ee/akt/V%C3%95S
[^3]: Küberturvalisuse seadus [Закон о кибербезопасности] (KüTS) § 6¹ (RT I, 06.10.2026, 2; в силе с 16.10.2026). – https://www.riigiteataja.ee/akt/K%C3%BCTS
[^4]: Riigi Infosüsteemi Amet [Департамент государственных информационных систем]. Arvepettused [Мошенничество со счетами]. – https://www.itvaatlik.ee/levinud-pettused/ettevotete-vastased-pettused/arvepettused/
[^5]: Äriseadustik [Коммерческий кодекс] (ÄS) § 187, § 315, § 327 (RT I, 06.07.2023, 131; в силе с 01.03.2024). – https://www.riigiteataja.ee/akt/%C3%84S
[^6]: ÄS § 180 ч. 5¹ (сноска 5).