# Insurance Readiness Audit: модель аудита страховой готовности

Адрес: https://kindlustusoigus.ee/ru/riskijuhtimine/insurance-readiness-audit/
Автор: Олави-Юри Луйк (Olavi-Jüri Luik), PhD, Партнер, руководитель направления страхового права, присяжный адвокат (Advokaadibüroo WIDEN OÜ)
Последнее обновление: 2026-11-11

> Как составить аудит на 6–8 страницах, связывающий бизнес-модель, карту рисков, внутренний контроль и договоры страхования, с пробелами и планом действий.

> **Коротко.** Insurance Readiness Audit представляет собой структурированную оценку, которая показывает предприятию, насколько хорошо его риски покрыты существующей страховой программой и где находятся фактические пробелы в страховой защите. Это не просто анализ договоров страхования, а интегрированный аудит, связывающий бизнес-модель, карту рисков, внутренний контроль и страховые решения. Результатом является компактный документ объемом 6–8 страниц, который правление может использовать для принятия решений и для переговоров со страховщиком и брокером.[^1]

## 1. Цель и объем аудита

Аудит отвечает на три вопроса:

1. какие риски фактически есть у предприятия;
2. какие из них покрыты;
3. какие остаются непокрытыми или покрыты недостаточно.

Это предполагает, что аудит не ограничивается текстом договоров, а рассматривает, как предприятие функционирует в действительности. Компоненты:

- выявление и оценка бизнес-модели и рисков (см. [выявление и оценка потребности в страховании](https://kindlustusoigus.ee/ru/riskijuhtimine/kindlustusvajaduse-kaardistamine/));
- анализ существующих договоров страхования (полисы, условия, особые условия, заявления);
- сопоставление рисков и страховой защиты по сценариям;
- практические и приоритизированные рекомендации.

Особенно важно оценить взаимосвязь киберрисков, рисков crime и рисков D&O и их покрытие разными договорами. При необходимости аудит охватывает также страхование имущества и перерыва в деятельности, страхование ответственности и военный риск.

**Исходные данные для аудита:**

- все действующие полисы вместе с общими и особыми условиями;
- последние заявления на страхование и вопросники;
- обзор убытков за последние 5 лет;
- существенные договоры с клиентами и поставщиками услуг (положения об ответственности и страховании);
- внутренние правила (порядок платежей, политика информационной безопасности, план реагирования на инциденты);
- протоколы обсуждений рисков в правлении и совете.

## 2. Структура аудита (6–8 страниц)

### Часть 1. Резюме для правления (1 с.)

Основные выводы: достаточна ли программа или в ней есть критические пробелы. Три–пять наиболее важных находок и рекомендаций. Написано так, чтобы было понятно и неспециалисту. Оценка в одной из трех форм: программа достаточна / достаточна после названных изменений / недостаточна.

### Часть 2. Профиль риска (1 с.)

Основные риски предприятия исходя из бизнес-модели, сферы деятельности и географии: зависимость от ИТ-систем, структура денежных потоков, хранение имущества клиентов, риски цепочки поставок, регуляторная среда (Закон о кибербезопасности, защита персональных данных, отраслевые требования), геополитический риск.

### Часть 3. Существующая страховая программа (1–2 с.)

Таблица всех договоров: страховщик, период, триггер (*trigger*), лимит, агрегатный лимит, сублимиты, собственная ответственность, существенные расширения и исключения, применимое право. Здесь же указываются пересечения и противоречия между договорами (например, разные исключения военного риска, исключения, отсылающие друг к другу).

### Часть 4. Анализ пробелов в страховой защите (2 с.)

Ядро аудита. По каждому критическому сценарию (программа-вымогатель, мошенническое платежное указание, присвоение со стороны работника, утечка данных, перерыв в цепочке поставок, требование к правлению) показывается, какой договор срабатывает, какая часть ущерба остается непокрытой и почему.

### Часть 5. Рекомендации (1 с.)

Конкретные и выполнимые рекомендации как в отношении страховой программы (лимиты, расширения, определения, согласование), так и в отношении внутреннего контроля (платежный процесс, доступы, обучение, кризисный план).

### Часть 6. Приоритеты и план действий (½–1 с.)

Рекомендации по приоритетам, ответственные лица и сроки. Связь с датами продления договоров страхования.

## 3. Выявление пробелов в страховой защите

Выявление пробелов является наиболее ценной частью аудита. Типичные пробелы:

1. **Риск оказывается между договорами.** Мошенничество с использованием социальной инженерии остается непокрытым, поскольку договор киберстрахования рассматривает его как человеческую ошибку, а договор crime не содержит соответствующего расширения.
2. **Узкие определения или исключения**, которые не соответствуют реальному риску (например, «компьютерная система» не охватывает облачную услугу).
3. **Страховые суммы не соответствуют возможному ущербу** (например, лимит по перерыву в деятельности покрывает два дня, а реалистичный простой составляет две недели).
4. **Мнимая страховая защита.** Договор будто бы покрывает риск, однако ограничения делают защиту практически бесполезной: страховая защита от перерыва в деятельности действует только при физическом ущербе, страховая защита от социальной инженерии ограничена сублимитом 10 000 евро, лимит D&O разделен между десятью руководителями и самим предприятием.
5. **Условная страховая защита, условие которой предприятие не выполняет.** Договор предполагает многофакторную аутентификацию или контрольный звонок, однако на предприятии это не работает. По эстонскому праву это не означает автоматического отсутствия страховой защиты (VÕS § 452 ч. 2), однако порождает спор и риск уменьшения страхового возмещения.[^2]
6. **Расхождение между заявлением и действительностью.** В заявлении подтверждены меры, которых нет. Это создает риск отступления страховщика от договора (VÕS § 441, § 442).[^3]

Анализ пробелов должен быть связан с конкретными сценариями. Если при каком-либо сценарии существенная часть ущерба остается непокрытой, речь идет о критическом пробеле.

**Примерная таблица сценариев:**

| Сценарий | Оценочный ущерб | Покрыто | Не покрыто | Причина | Приоритет |
|---|---|---|---|---|---|
| Программа-вымогатель, 10-дневный простой | 1,2 млн € | 0,5 млн € | 0,7 млн € | Сублимит по перерыву в деятельности 0,5 млн € | Высокий |
| Мошенническое платежное указание | 300 000 € | 25 000 € | 275 000 € | Сублимит по социальной инженерии | Высокий |
| Требование к правлению | 2 млн € (в том числе защита) | 1 млн € | 1 млн € | Лимит D&O 1 млн € с учетом расходов на защиту | Средний |

(Цифры иллюстративны; ущерб по каждому сценарию нужно оценивать на основе собственных данных предприятия, а лимиты нельзя автоматически складывать, поскольку агрегатные лимиты и сублимиты могут ограничивать друг друга.)

## 4. Рекомендации

Рекомендации должны быть практическими и адаптированными к предприятию. Общие рекомендации не создают ценности.

**В отношении страховой программы:**

- приведение лимитов и сублимитов в соответствие с уровнем риска;
- добавление расширений (мошенническое платежное указание, имущество клиента, перерыв в цепочке поставок, регуляторные производства);
- согласование договоров (определения, исключение военного риска, порядок уведомления);
- добавление новых видов страхования (например, страховая защита от военного или политического риска, см. [военный риск](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/sojarisk/)).

**В отношении внутреннего контроля:**

- укрепление платежных процессов;
- улучшение управления доступами;
- обучение работников;
- составление и проверка кризисного плана.

Улучшение внутреннего контроля часто является предпосылкой лучших условий страхования. Рекомендации нужно приоритизировать по воздействию и вероятности.

## 5. Практическая ценность аудита

- **Осознанные решения правления.** Аудит является документированной основой, которая показывает, что правление оценило риски и сделало сознательный выбор (ÄS § 187).[^4]
- **Лучшая переговорная позиция.** Предприятие, которое может показать, что его риски выявлены, оценены и управляются, получает лучшие условия и более широкую страховую защиту.
- **Связь страхования и управления рисками.** Если они функционируют раздельно, пробелы в страховой защите неизбежны.
- **Готовность к ущербу.** Аудит показывает, какие документы и сроки понадобятся при наступлении ущерба.

Аудит является не однократным мероприятием, а частью непрерывного процесса: рекомендуется проводить полный аудит каждые два–три года и более краткий обзор перед каждым продлением.

## 6. Этапы проведения аудита

1. **Первая встреча с правлением** (1–2 часа): бизнес-модель, основные опасения, прошлые убытки.
2. **Анализ документов**: полисы, условия, заявления, существенные договоры, внутренние правила.
3. **Интервью**: финансовый директор (платежный процесс), руководитель ИТ (системы, резервное копирование, поставщики услуг), юрист (договоры, регулирование), при необходимости руководитель производства.
4. **Анализ сценариев**: проигрывание каждого критического сценария по договорам.
5. **Обсуждение проекта**: находки и рекомендации с правлением; уточнение фактов.
6. **Итоговый документ и план действий**.

Продолжительность аудита зависит от размера предприятия и сложности программы. Наиболее ценен аудит, проведенный до продления, чтобы находки попали в переговоры.

## 7. Примерные находки

Приведенные ниже находки типичны и обобщены:

- период ожидания по перерыву в деятельности в договоре киберстрахования составляет 24 часа, однако предприятие теряет существенную часть дневного оборота уже в первые 8 часов;
- в договоре crime страховая защита мошеннического платежного указания ограничена сублимитом 25 000 евро, тогда как обычный платеж поставщику составляет 150 000 евро;
- круг застрахованных лиц в договоре D&O не охватывает членов правления дочерних предприятий;
- страховая сумма по страхованию имущества основана на оценке пятилетней давности;
- страхование ответственности исключает США и Канаду, однако предприятие начало продавать туда продукцию;
- в заявлении подтверждено использование многофакторной аутентификации для всех учетных записей, однако для учетных записей администраторов она отсутствует.

К каждой находке относятся оценка (критическая / существенная / несущественная), рекомендация и ответственное лицо.

## 8. Кто проводит аудит и когда

Аудит может проводить собственная команда предприятия (финансовый директор, юрист, риск-менеджер), страховой брокер или независимый консультант. Лучший результат получается, когда знание рынка брокером и анализ договоров юристом объединены, а руководство предприятия активно вовлечено.

Особенно необходимым аудит делают:

- быстрый рост предприятия, новые рынки или слияние;
- новая ИТ-платформа или крупный переход на облачную услугу;
- новый инвестор, кредитор или выход на биржу;
- крупный ущерб или инцидент, едва не приведший к ущербу;
- попадание в сферу применения Закона о кибербезопасности;
- существенное изменение условий, о котором сообщил страховщик.

## Связанные страницы

- [Самооценка рисков](https://kindlustusoigus.ee/ru/riskijuhtimine/enesehindamine/)
- [Предотвращение пробелов в страховой защите](https://kindlustusoigus.ee/ru/riskijuhtimine/katteaukude-valtimine/)
- [Примерная структура страховой программы](https://kindlustusoigus.ee/ru/riskijuhtimine/kindlustusprogrammi-naidisstruktuur/)
- [Страховая программа предприятия](https://kindlustusoigus.ee/ru/kindlustusprogramm/ettevote/)
- [Контакт](https://kindlustusoigus.ee/ru/kontakt/)

## Примечания

[^1]: O.-J. Luik. Ettevõtte juhtkonna riskiraamat [Книга рисков для руководства предприятия]. Рукопись, состояние на 03.05.2026, гл. 39.
[^2]: Võlaõigusseadus [Обязательственно-правовой закон] (VÕS) § 452 ч. 2 (RT I, 20.06.2026, 18; в силе с 01.09.2026). – https://www.riigiteataja.ee/akt/V%C3%95S; RKTKo 28.06.2024, 2-22-2313/65, п. 13, 15–17. – https://www.riigikohus.ee/et/lahendid?asjaNr=2-22-2313/65
[^3]: VÕS §§ 440–442 (сноска 2).
[^4]: Äriseadustik [Коммерческий кодекс] (ÄS) § 187 (RT I, 06.07.2023, 131; в силе с 01.03.2024). – https://www.riigiteataja.ee/akt/%C3%84S