Как избежать пробелов в страховой программе

Коротко. Наибольшая практическая проблема киберстрахования, страхования crime и страхования D&O состоит не в отсутствии отдельных договоров, а в их несовместимости между собой. Пробел в страховой защите возникает, когда риск однозначно не подпадает ни под один договор или когда несколько договоров исходят из того, что ответственность лежит на другом. Пробелы возникают не случайно, а из-за недостатков системы, и их можно избежать с помощью трех элементов: согласования договоров, унификации определений и активной роли брокера и юриста.¹

1. Согласование договоров страхования

Согласование означает, что киберстрахование, страхование crime и страхование D&O куплены не по отдельности, а как программа, в которой каждый договор выполняет определенную роль. На практике нужно проанализировать, как договоры реагируют на одно и то же событие: какой договор покрывает технические расходы киберинцидента, какой денежный ущерб от мошенничества, а какой требования, предъявленные к правлению.

Пример. Предприятие становится жертвой мошенничества с использованием социальной инженерии. Если договор киберстрахования исключает такое мошенничество, а в договоре crime соответствующее расширение отсутствует, возникает пробел в страховой защите. Если договоры согласованы, заранее известно, какой договор покрывает риск и с каким лимитом.

Согласование включает и анализ исключений:

• сформулировано ли исключение военного риска в договоре киберстрахования так же, как в договоре crime;
• исключает ли договор D&O требования, вытекающие из киберинцидента;
• ссылаются ли договоры друг на друга или исключают ли они риски, исходя из того, что те покрыты в другом месте.

Нужно избегать ситуации, когда один договор исключает риск, поскольку он относится «к другому договору», а другой договор исключает тот же риск, поскольку он не соответствует его определению. Это классическое падение между двух стульев.

Практический инструмент: матрица соответствия. Составьте таблицу, в строках которой будут критические сценарии предприятия, а в столбцах договоры. В каждой ячейке отметьте, покрыт ли сценарий, с каким лимитом, сублимитом и собственной ответственностью и какие исключения могут применяться. Пустые ячейки или ячейки с вопросительным знаком составляют повестку переговоров.

2. Унификация определений

Определения являются ядром договора страхования: они определяют, какое событие является страховым случаем. Унифицировать нужно прежде всего следующие понятия.

Пример. Работник совершает платеж на основании вводящего в заблуждение электронного письма. Если договор киберстрахования рассматривает это как «человеческую ошибку» и исключает, а договор crime требует «прямой кражи», оба страховщика могут отказать в возмещении (в выплате страхового возмещения).

Унификация не означает, что все договоры должны быть идентичными. Она означает, что договоры должны быть логически согласованы, чтобы одно и то же событие не оказалось между определениями.

С точки зрения эстонского права стоит помнить, что в случае сомнения типовое условие толкуется не в пользу лица, использующего его, как правило страховщика (VÕS § 39 ч. 1), и что неожиданное условие может не стать частью договора (VÕS § 37 ч. 3).² Государственный суд подчеркнул, что закон исходит из покрытия расходов, вытекающих из страхового случая, а ограничения должны быть ясными.³ Эти принципы помогают в споре, однако не заменяют ясную формулировку: унификация определений до наступления ущерба всегда дешевле спора после него.

3. Роль брокера и юриста

Роль брокера состоит в том, чтобы понять профиль риска предприятия, предложить существующие на рынке решения, сравнить условия страховщиков и помочь согласовать на переговорах объем страховой защиты и лимиты. Брокер обязан действовать в интересах клиента (KindlTS § 184).⁴

Роль юриста состоит в том, чтобы проанализировать формулировки договоров с правовой точки зрения, выявить исключения и серые зоны, оценить, как договоры сработают в споре, и обеспечить их соответствие фактическим рискам предприятия.

Пример 1. Предприятие хочет застраховать риск социальной инженерии. Брокер предлагает договор, в котором расширение есть, но с сублимитом 25 000 евро. Юрист обращает внимание на то, что крупнейшие платежи предприятия поставщикам составляют 300 000 евро и с учетом профиля риска сублимит недостаточен. В результате переговоров сублимит увеличивается и уточняется, что требование о контрольном звонке является обязанностью проявлять прилежание (заботливость и осмотрительность), а не предпосылкой страхового случая.

Пример 2. Брокер предлагает стандартный договор, однако юрист устанавливает, что исключение военного риска настолько широко, что может охватывать и обычные преступные кибератаки, исполнителя которых связывают с каким-либо государством. Согласовывается уточненная формулировка, которая связывает исключение с вооруженным конфликтом между государствами или с собственной кибероперацией государства, воздействие которой существенно для функционирования государства, и определяет, как доказывается атрибуция (attribution).

Брокер и юрист должны работать вместе: брокер приносит знание рыночной практики, юрист правовую ясность.

4. Документирование и рабочий процесс

Предотвращение пробелов в страховой защите не заканчивается заключением договора. Не менее важно документировать управление рисками и решения, особенно в контексте D&O, где деятельность правления оценивается задним числом. Документировать нужно:

• анализы рисков и карту рисков;
• обсуждения и решения правления о страховой программе;
• обоснования выбранных решений (почему лимит именно такой, почему определенный риск остался незастрахованным);
• рекомендации брокера и то, как они были рассмотрены.

Если позднее возникнет спор, документация покажет, что правление действовало сознательно и с прилежанием. Чтобы освободиться от ответственности, член правления должен сам доказать свое прилежание (ÄS § 187).⁵ Сознательное и документированное решение оставить какой-либо риск незастрахованным можно защитить; решение, которое никто не принимал, защитить нельзя.

5. Системный подход

Предотвращение пробелов в страховой защите предполагает, что страхование является частью управления рисками:

1. риски анализируются до покупки страхования;
2. договоры выбираются в соответствии с конкретными рисками;
3. условия договоров согласуются между собой;
4. решения регулярно актуализируются.

В быстро меняющейся среде, где киберриски и геополитические риски развиваются, а условия страхового рынка меняются (см. направления рынка), прошлогоднее решение может уже оказаться недостаточным.

6. Контрольный перечень для продления

Перед каждым продлением спросите:

• Изменились ли бизнес-модель предприятия, рынки, ИТ-платформы или ключевые поставщики?
• Есть ли страховая защита от социальной инженерии и соответствует ли сублимит крупнейшему обычному платежу?
• Единообразно ли исключение военного риска во всех договорах?
• Исключает ли договор D&O требования, вытекающие из киберинцидента?
• Покрыт ли перерыв в деятельности и при простое ИТ без физического ущерба?
• Покрыто ли имущество клиента (деньги, данные)?
• Есть ли в договорах исключения, отсылающие друг к другу, или оговорки о другом страховании?
• Известны ли порядок уведомления и контакты по всем договорам и внесены ли они в кризисный план?
• Соответствуют ли подтверждения, данные в заявлении, действительности?

7. Примерная матрица соответствия

Приведенная ниже матрица является иллюстративной. Предприятие заполняет ее на основе своих договоров.

Ценность таблицы заключается в ячейках с вопросительным знаком или словом «пробел». Они составляют повестку переговоров при продлении.

Связанные страницы

• Интегрированная страховая программа
• Взгляд брокера и юриста
• Insurance Readiness Audit
• Примерная структура страховой программы
• Типовые условия

Примечания