# Взгляд предпринимателя: бизнес, деньги, системы, ответственность

Адрес: https://kindlustusoigus.ee/ru/riskijuhtimine/kindlustusvajaduse-kaardistamine/ettevotja-vaade/
Автор: Олави-Юри Луйк (Olavi-Jüri Luik), PhD, Партнер, руководитель направления страхового права, присяжный адвокат (Advokaadibüroo WIDEN OÜ)
Последнее обновление: 2026-11-11

> Как предприниматель оценивает риски до покупки страхования: узловые точки бизнес-модели, денежные потоки, критические системы и риски ответственности.

> **Коротко.** Управление рисками начинается не со страхования и не с технологий, а с понимания того, как предприятие фактически функционирует. Четыре вопроса (как предприятие зарабатывает деньги, как движутся деньги, от каких систем зависит бизнес и где возникает ответственность) образуют основу, на которой можно построить как техническую защиту, так и страховую программу.[^1]

Слишком часто начинают с готовых решений: покупают страхование, внедряют меры безопасности или заказывают аудит, не выявив, где риски возникают в действительности. В кризисе затем выясняется, что самые важные точки риска остались без внимания. Ниже четыре вопроса раскрыты так, чтобы их можно было использовать как повестку рабочего заседания правления.

## 1. Анализ бизнес-модели: какое событие остановило бы предприятие?

Понимание рисков начинается с бизнес-модели. Вопрос не только в том, что делает предприятие, но и в том, как оно создает ценность и каковы узловые точки этого процесса. Два внешне похожих предприятия могут нести совершенно разные риски в зависимости от того, действуют ли они как производитель, посредник, платформа или поставщик услуг.

Центральный вопрос: **какое событие остановило бы деятельность предприятия быстрее всего и с наибольшим воздействием?** Для производителя это может быть остановка системы управления производственной линией, для интернет-торговца перерыв в работе платежной системы или интернет-магазина, для бухгалтерского бюро недоступность данных клиентов, для логистического предприятия сбой платформы управления перевозками.

В анализе бизнес-модели нужно отдельно рассмотреть два обстоятельства.

**Контроль над цепочкой создания ценности.** Если предприятие зависит от программного обеспечения третьего лица, облачной услуги или логистического партнера, риск может реализоваться за пределами его систем. Атаки на цепочку поставок были в центре нескольких крупных киберинцидентов (см. [дела по киберстрахованию](https://kindlustusoigus.ee/ru/riskijuhtimine/kaasused/kuberkindlustuse-kaasused/)).

**Роль по отношению к другим.** Если предприятие управляет деньгами, данными или имуществом клиентов, его ответственность существенно возрастает. Ущерб тогда не ограничивается собственным ущербом предприятия: добавляются требования третьих лиц, которые могут быть значительно больше. В страховании crime это означает необходимость проверить, покрывает ли договор и имущество клиента, которое предприятие хранит или которым управляет (см. [страхование crime](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/crime-kindlustus/)).

**Практический вопросник:**

- Какие три процесса приносят 80% оборота?
- Как долго предприятие может функционировать без каждого из названных процессов (час, день, неделя)?
- Каково денежное воздействие простоя продолжительностью один день и одну неделю (неполученная выручка от продаж, дополнительные расходы, договорные штрафы)?
- Хранит ли предприятие деньги, данные или имущество третьих лиц либо управляет ими? В каком объеме?

## 2. Где движутся деньги?

Большая часть крупного ущерба сегодня возникает не из-за сбоя систем, а из-за ошибочного направления платежей. Поэтому нужен детальный обзор платежного процесса:

- кто инициирует платеж, кто его подтверждает и какие проверки проводятся до перевода;
- может ли одно и то же лицо как инициировать, так и подтвердить платеж;
- какая часть платежей основывается на электронном письме или другом канале, легко поддающемся манипуляции;
- как проверяется изменение банковских реквизитов поставщика;
- каковы крупнейшие единичные платежи и как часто совершаются международные или внеочередные платежи.

Мошенничество со счетами и мошенничество от имени руководителя удаются именно потому, что используют существующие процессы: атакующему не нужно взламывать систему, достаточно убедить работника. Такой ущерб может не квалифицироваться как техническое нарушение, поэтому киберстрахование может не сработать, а страховщик по страхованию crime может отказать в возмещении (в выплате страхового возмещения), если договор не покрывает схемы социальной инженерии или покрывает их с низким сублимитом.

Важно и **географическое измерение**. Международные платежи движутся быстро и через несколько юрисдикций. Если мошенничество обнаружено поздно, деньги часто уже переведены дальше. Поэтому у предприятия должна быть готовая процедура отзыва платежа через банк (*recall*) и быстрого правового шага (сообщение о преступлении, при необходимости обеспечение иска), см. [первые 72 часа](https://kindlustusoigus.ee/ru/juhend-72-tundi/).

## 3. Где находятся критические системы?

Наличие систем воспринимается как само собой разумеющееся до тех пор, пока они не перестают работать. Критическими системами являются не только серверы и программное обеспечение, но и облачные услуги, электронная почта, финансовые системы, базы данных клиентов и управление идентификацией. Скомпрометированная учетная запись электронной почты может открыть дверь как утечке данных, так и мошенничеству.

При выявлении и оценке нужно ответить на следующие вопросы:

- какие системы необходимы для предпринимательской деятельности и как долго можно функционировать без них;
- находятся ли системы под собственным контролем предприятия или делегированы поставщику услуг;
- существуют ли резервные копии, отделены ли они от основной сети и проверялось ли восстановление на практике;
- ограничен ли доступ и используется ли многофакторная аутентификация;
- кто является поставщиками услуг, каковы их требования к безопасности и как распределена ответственность в договоре.

Анализ критических систем напрямую связан с киберстрахованием. Страховщики оценивают техническую зрелость предприятия уже при заключении договора. Если подтвержденные в заявлении меры (например, многофакторная аутентификация или проверенное резервное копирование) в действительности отсутствовали, возникают два отдельных правовых риска: нарушение преддоговорной обязанности по уведомлению, которое может дать страховщику право отступить от договора (VÕS § 441, § 442), и нарушение согласованного в договоре требования безопасности, при котором страховщик может освободиться от обязанности исполнения или уменьшить страховое возмещение лишь в той мере, в какой нарушение повлияло на наступление страхового случая или на размер ущерба (VÕS § 452 ч. 2; RKTKo 2-22-2313/65).[^2] Последствия в этих двух случаях различны, и их нельзя смешивать (см. [основания отказа в возмещении](https://kindlustusoigus.ee/ru/keeldumise-alused/)).

## 4. Где возникают риски ответственности?

Риск ответственности возникает там, где деятельность предприятия затрагивает других: клиентов, партнеров, инвесторов или общественность. В современной среде почти любой значимый инцидент может привести к требованиям третьих лиц.

- **Утечка данных**: требования клиентов, надзорное производство, возможный штраф, репутационный ущерб.
- **Договорная ответственность**: если услуга прерывается или поставка задерживается, партнеры могут требовать возмещения ущерба или договорного штрафа. Многие договоры страхования исключают принятую по договору ответственность, которая не вытекала бы из закона (см. [дело P.F. Chang's](https://kindlustusoigus.ee/ru/riskijuhtimine/kaasused/kuberkindlustuse-kaasused/)).
- **Ответственность руководства**: если выяснится, что риск был предвидимым, но не был снижен, ответственность может перейти на правление (ÄS § 187, § 315).[^3] В сфере применения Закона о кибербезопасности роль правления отдельно подчеркнута законом (KüTS § 6¹).[^4]

Выявление и оценка рисков ответственности должны охватывать договорные обязательства, регуляторные требования и лежащую на правлении обязанность проявлять прилежание (заботливость и осмотрительность). Лишь тогда можно оценить роль страхования D&O и его соотношение с киберстрахованием и страхованием crime.

## 5. От четырех вопросов к решениям

Бизнес-модель, денежные потоки, системы и ответственность образуют единое целое, которое нельзя рассматривать по частям. Когда они продуманы, можно принимать обоснованные решения:

| Вопрос | Типичная находка | Возможное решение |
|---|---|---|
| Какое событие остановило бы бизнес? | Простой ERP-системы останавливает производство и расчеты | Проверенное резервное копирование; киберстрахование со страховой защитой от перерыва в деятельности; калибровка периода ожидания и лимита |
| Где движутся деньги? | Банковские реквизиты поставщиков изменяются на основании электронного письма | Контрольный звонок по известному номеру; страхование crime, покрывающее мошенническое платежное указание, с достаточным сублимитом |
| От чего зависят системы? | Один поставщик управляемых ИТ-услуг | Требования к безопасности и обязанность уведомления в договоре; страховая защита на случай перерыва в цепочке поставок; проверка страхования ответственности поставщика услуг |
| Где возникает ответственность? | Предприятие обрабатывает большой объем данных клиентов | Раздел ответственности в киберстраховании; страхование D&O; документированный анализ рисков в правлении |

Следующим шагом являются [выявление и оценка рисков на практике](https://kindlustusoigus.ee/ru/riskijuhtimine/kindlustusvajaduse-kaardistamine/riskikaardistus-praktikas/), где те же вопросы переносятся на уровень процессов.

## 6. Пример: три предприятия, три профиля риска

**Производственное предприятие.** Ценность создается на производственной линии, которой управляют промышленная автоматика и ERP. Критическим событием является остановка линии (пожар, поломка оборудования, кибератака). Деньги движутся в виде крупных платежей поставщикам. Ответственность возникает из-за недостатков продукции и задержек поставок. Акцент программы: имущество и перерыв в деятельности, перерыв в деятельности в рамках киберстрахования, ответственность за продукцию, страхование crime с защитой от мошеннического платежного указания.

**Предприятие электронной торговли.** Ценность создается в интернет-магазине и платежных потоках; весь бизнес находится на платформах третьих лиц. Критическим событием является перерыв в работе интернет-магазина или платежного решения и утечка данных клиентов. Деньги движутся в виде множества мелких платежей; правила карточных платежей влекут за собой требования карточных платежных систем. Акцент программы: киберстрахование (перерыв в деятельности, утечка данных, сборы карточных платежных систем), договор с поставщиками услуг, перерыв в цепочке поставок.

**Бухгалтерское бюро или бюро по управлению активами.** Ценность создается в знаниях людей и данных клиентов; бюро управляет деньгами или данными клиента. Критическим событием является утечка данных клиентов или злоупотребление деньгами клиента. Ответственность возникает в результате профессиональной ошибки и мошенничества работника. Акцент программы: страхование профессиональной ответственности, страхование crime со страховой защитой имущества клиента, киберстрахование, D&O.

Три предприятия могут быть одинакового размера и уплачивать одинаковые страховые взносы (страховые премии), но их программы должны быть совершенно разными.

## 7. Четыре вопроса для заседания правления

По каждому из четырех основных вопросов правлению стоило бы раз в год записать ответ в одном предложении:

1. **Бизнес-модель:** «Наш бизнес быстрее всего остановит … и это обошлось бы нам примерно в … в день».
2. **Денежные потоки:** «Крупнейший единичный платеж составляет … и его проверяет …».
3. **Системы:** «Критическими системами являются … и они восстанавливаются за … часов; последний тест восстановления проводился …».
4. **Ответственность:** «Крупнейшим реалистичным требованием против нас было бы … и оно поступило бы от …».

Если на какое-либо из этих предложений ответить не удается, это первая задача до следующего продления страхования.

## Связанные страницы

- [Выявление и оценка рисков на практике](https://kindlustusoigus.ee/ru/riskijuhtimine/kindlustusvajaduse-kaardistamine/riskikaardistus-praktikas/)
- [Взгляд брокера и юриста](https://kindlustusoigus.ee/ru/riskijuhtimine/kindlustusvajaduse-kaardistamine/maakleri-ja-juristi-vaade/)
- [Контрольные вопросы для руководства](https://kindlustusoigus.ee/ru/riskijuhtimine/kontrollkusimused-ja-riskikaart/)
- [Страхование от перерыва в деятельности](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/arikatkestuskindlustus/)

## Примечания

[^1]: O.-J. Luik. Ettevõtte juhtkonna riskiraamat [Книга рисков для руководства предприятия]. Рукопись, состояние на 03.05.2026, гл. 3.
[^2]: Võlaõigusseadus [Обязательственно-правовой закон] (VÕS) § 441, § 442, § 445, § 452 ч. 2 (RT I, 20.06.2026, 18; в силе с 01.09.2026). – https://www.riigiteataja.ee/akt/V%C3%95S; RKTKo 28.06.2024, 2-22-2313/65, п. 13, 15–17. – https://www.riigikohus.ee/et/lahendid?asjaNr=2-22-2313/65
[^3]: Äriseadustik [Коммерческий кодекс] (ÄS) § 187, § 315 (RT I, 06.07.2023, 131; в силе с 01.03.2024). – https://www.riigiteataja.ee/akt/%C3%84S
[^4]: Küberturvalisuse seadus [Закон о кибербезопасности] (KüTS) § 6¹ (RT I, 06.10.2026, 2; в силе с 16.10.2026). – https://www.riigiteataja.ee/akt/K%C3%BCTS