Страховое правоПрисяжный адвокат Олави-Юри Луйк, PhD
Главная / Управление рисками и страхование: руководство для правления / Контрольные вопросы для руководства и примерная карта рисков

Контрольные вопросы для руководства и примерная карта рисков

Автор: Олави-Юри Луйк (Olavi-Jüri Luik), PhD, присяжный адвокат (WIDEN)

Содержание

Коротко. Роль правления не ограничивается стратегическими решениями, а включает активную ответственность за выявление, оценку рисков и управление ими (ÄS § 187, § 315).1 Ниже приведены два инструмента: краткий контрольный вопросник для заседания правления и более подробный вопросник по областям для составления карты рисков. Вопросы не всегда предполагают утвердительный ответ, однако правление должно быть способно ответить на них сознательно и обоснованно.2

1. Контрольные вопросы для правления

Картина рисков

  1. Знаем ли мы три наших наиболее критических риска?
  2. Задокументированы ли они и обсуждены ли в правлении?
  3. Оценили ли мы, какой ущерб был бы для предприятия экзистенциальным?

Деньги и проверки

  1. Есть ли у нас ясный обзор того, где движутся деньги и кто их контролирует?
  2. Является ли подтверждение платежей безопасным и многоуровневым?
  3. Может ли один человек инициировать и подтверждать существенные сделки?

Системы и цепочка поставок

  1. Знаем ли мы, какие ИТ-системы критичны для предпринимательской деятельности?
  2. Работает ли резервное копирование и проверено ли оно?
  3. Ограничен и контролируется ли доступ (многофакторная аутентификация)?
  4. Оценили ли мы риски цепочки поставок, в том числе поставщиков ИТ-услуг?
  5. Знаем ли мы, что произойдет, если критический партнер перестанет функционировать?
  6. Есть ли у нас альтернативы или резервный план?

Управление и документация

  1. Получает ли правление регулярно обзор кибербезопасности и управления рисками?
  2. Задокументированы и обоснованы ли существенные решения?
  3. Сможем ли мы позднее доказать, что действовали с прилежанием?

Страхование

  1. Есть ли у нас киберстрахование, страхование crime и страхование D&O?
  2. Знаем ли мы точно, что каждый договор покрывает, а что нет?
  3. Проанализировали ли мы пробелы в страховой защите между договорами?
  4. Соответствуют ли лимиты реалистичному максимальному ущербу?
  5. Есть ли в договорах сублимиты, которые в критический момент могут ограничить страховое возмещение?
  6. Могут ли исключения военного риска или киберисключения исключить существенные риски?
  7. Знаем ли мы, когда и как уведомлять страховщика?
  8. Есть ли у нас план предъявления требования по нескольким договорам?
  9. Назначены ли лица, ответственные за страховые случаи?

Кризисная готовность и коммуникация

  1. Есть ли у нас кризисный план на первые 24–72 часа?
  2. Знаем ли мы, кого привлечь (форензика, юрист, коммуникация)?
  3. Проверялся ли план или отрабатывался ли он?
  4. Готовы ли мы общаться с клиентами, надзорным органом и СМИ?
  5. Есть ли у нас ясные принципы коммуникации на случай кризиса?
  6. Избегаем ли мы ситуации, когда раскрытие информации ухудшает наше правовое положение?

Геополитика и стратегия

  1. Оценили ли мы геополитические риски, которые могут повлиять на нашу деятельность?
  2. Покрывает ли наше страхование такие риски или исключает их?
  3. Стоит ли нам рассмотреть решение по военному или политическому риску?
  4. Связаны ли управление рисками и страхование или они функционируют раздельно?
  5. Поддерживает ли страхование нашу стратегию в отношении рисков или является просто дополнительным слоем?
  6. Регулярно ли мы пересматриваем и актуализируем страховую программу?

Если ответы отсутствуют или расплывчаты, это указывает на риск, который может реализоваться тогда, когда его меньше всего ожидают. Цель состоит не в полной безопасности, а в осведомленности.

2. Методика карты рисков

Карта рисков дает правлению инструмент для оценки того, какие риски наиболее важны, насколько вероятна их реализация и каким было бы воздействие.

Вероятность на четырех уровнях: низкая, средняя, высокая, очень высокая. Воздействие на четырех уровнях: низкое, среднее, высокое, критическое.

Вероятность \ Воздействие Низкое Среднее Высокое Критическое
Очень высокая желтая красная красная красная
Высокая желтая желтая красная красная
Средняя зеленая желтая желтая красная
Низкая зеленая зеленая желтая желтая
  • Зеленая: наблюдение в обычном порядке.
  • Желтая: меры контроля, ответственное лицо, периодический пересмотр.
  • Красная: внимание правления, кризисный план, страховое решение.

В красную зону чаще всего попадают программы-вымогатели, утечка данных, крупное финансовое мошенничество, остановка цепочки поставок и требование, предъявляемое к правлению.

Ориентиры для оценки:

  • если деятельность предприятия сильно зависит от ИТ-систем, киберриск нужно оценивать как риск по меньшей мере с высоким воздействием;
  • если у предприятия много международных платежей или оно управляет деньгами других лиц, риски мошенничества нужно оценивать по меньшей мере как высокие;
  • если предприятие действует в регулируемом секторе или привлекает инвесторов, риски управления нужно оценивать по меньшей мере как средние или высокие;
  • если предприятие зависит от одного критического поставщика услуг или действует в стратегическом секторе, риск цепочки поставок и геополитический риск нужно выделить отдельно. В Балтийском регионе нужно учитывать более высокий геополитический риск, чем во многих других регионах Европы.

Карта рисков обновляется не реже одного раза в год и всегда, когда меняются бизнес-модель, рынок, ИТ-платформа, происходят крупные инвестиции, меняются ключевой поставщик или регулирование. Карта рисков должна отвечать на четыре вопроса: что может произойти, насколько это вероятно, каким было бы воздействие и что мы делаем, чтобы это предотвратить.

3. Вопросник по областям для составления карты рисков

3.1. Общая картина рисков

  • Выявлены ли основные бизнес-процессы и критические зависимости?
  • Какое событие могло бы реально остановить предпринимательскую деятельность?
  • Оценен ли максимально возможный ущерб?
  • Обсудило ли правление риски и приоритизировало ли их?

3.2. Киберриски

Программа-вымогатель, утечка данных, отказ в обслуживании, компрометация электронной почты, атака на цепочку поставок.

  • Определены ли критические ИТ-системы?
  • Остановил бы перерыв в работе систем предпринимательскую деятельность немедленно?
  • Работает ли резервное копирование и проверено ли оно?
  • Ограничен ли доступ (многофакторная аутентификация)?
  • Распознают ли работники фишинг и социальную инженерию?
  • Есть ли план на случай программы-вымогателя и утечки данных?
  • Как быстро мы можем восстановить системы?
  • Оценен ли риск критических поставщиков ИТ-услуг?

3.3. Риски crime

Мошенничество со счетами, мошенничество от имени руководителя, присвоение со стороны работника, фиктивный поставщик, захват учетных записей, злоупотребление средствами клиентов.

  • Проверяются ли платежные процессы на нескольких уровнях?
  • Может ли один человек инициировать и подтверждать платежи?
  • Проверяется ли изменение банковских данных поставщика по отдельному каналу?
  • Есть ли процедура предотвращения мошенничества от имени руководителя и мошенничества со счетами?
  • Есть ли у работников доступ как к бухгалтерии, так и к платежным системам?
  • Отделены ли средства клиентов?
  • Может ли мошенничество долгое время оставаться необнаруженным?
  • Каким мог бы быть максимальный ущерб от мошенничества?

3.4. Риски D&O

Ложная информация для инвесторов, ненадлежащий надзор, нарушение регуляторных обязанностей, игнорирование требований кибербезопасности и защиты данных, неправильные решения, принятые в кризисе.

  • Осведомлено ли правление о киберрисках и их воздействии?
  • Получает ли правление регулярно обзор рисков?
  • Задокументированы и обоснованы ли решения?
  • Работает ли контроль соответствия (защита данных, кибербезопасность)?
  • Назначен ли член правления, ответственный за кибербезопасность (KüTS § 6¹)?3
  • Является ли информация, предоставляемая инвесторам и партнерам, правильной и полной?
  • Определен ли процесс принятия решений в кризисе?
  • Может ли правление быть обвинено в бездействии или ненадлежащем надзоре?
  • Оценили ли мы возможные требования инвесторов и регуляторные производства?

3.5. Военный риск и геополитический риск

  • Зависит ли деятельность от государств или регионов с повышенным геополитическим риском?
  • Может ли кибератака быть связана с государственной или поддерживаемой государством деятельностью?
  • Может ли цепочка поставок прерваться из-за санкций, конфликтов или политических решений?
  • Покрывает ли страхование такие риски или исключает их?
  • Могут ли критические поставщики услуг стать целями геополитической атаки?
  • Есть ли альтернативные поставщики и резервные планы?
  • Стоит ли рассмотреть страхование военного или политического риска? См. военный риск.

3.6. Страхование имущества

  • Выявлено и оценено ли существенное имущество (здания, оборудование, инвентарь)?
  • Соответствуют ли страховые суммы стоимости восстановления? (При неполном страховании возмещение может уменьшаться пропорционально, VÕS § 482; RKTKo 2-22-18155/63.)4
  • Зависит ли деятельность от одного местонахождения или одного устройства?
  • Оценен ли риск пожара, наводнения, бури и других стихийных бедствий?
  • Защищено ли и обслуживается ли критическое оборудование?
  • Можно ли при имущественном ущербе быстро восстановить деятельность?
  • Покрывает ли страхование имущества и косвенные расходы? См. страхование имущества.

3.7. Перерыв в деятельности

  • Как долго мы можем действовать без критических систем?
  • Каково денежное воздействие перерыва в течение одного дня и одной недели?
  • Может ли перерыв быть вызван проблемой ИТ или цепочки поставок, а не только физическим ущербом?
  • Покрывает ли страхование эти сценарии?
  • Есть ли план обеспечения непрерывности деятельности?
  • Зависят ли критические процессы от одной точки?
  • Знают ли работники, как действовать в кризисе? См. перерыв в деятельности.

3.8. Страхование и пробелы в страховой защите

  • Есть ли у нас киберстрахование, страхование crime, страхование D&O, страхование имущества и страхование от перерыва в деятельности?
  • Знаем ли мы, что каждый договор покрывает, а что нет?
  • Есть ли между договорами пересечения или пробелы?
  • Покрыты ли риски социальной инженерии и цепочки поставок?
  • Могут ли сублимиты ограничить страховое возмещение?
  • Может ли исключение военного риска исключить существенный ущерб?
  • Соответствуют ли страховые суммы реалистичному максимальному ущербу?

3.9. Кризисная готовность

  • Есть ли кризисный план на первые 24–72 часа?
  • Знаем ли мы, кого привлечь (форензика, юрист, страховщик, PR)?
  • Знают ли работники, как и кого уведомлять?
  • Проверялся ли кризисный план? См. симуляции.
  • Есть ли план коммуникации для клиентов и СМИ?

Хорошо работающая карта рисков помогает решить, какие риски принять, какие снизить внутренним контролем, а какие передать страховщику. Цель состоит не в полном избежании рисков, а в сознательном и управляемом принятии риска.

Связанные страницы

Примечания

  1. Äriseadustik [Коммерческий кодекс] (ÄS) § 187, § 315 (RT I, 06.07.2023, 131; в силе с 01.03.2024). – https://www.riigiteataja.ee/akt/%C3%84S ↩

  2. O.-J. Luik. Ettevõtte juhtkonna riskiraamat [Книга рисков для руководства предприятия]. Рукопись, состояние на 03.05.2026, гл. 47. ↩

  3. Küberturvalisuse seadus [Закон о кибербезопасности] (KüTS) § 6¹ (RT I, 06.10.2026, 2; в силе с 16.10.2026). – https://www.riigiteataja.ee/akt/K%C3%BCTS ↩

  4. Võlaõigusseadus [Обязательственно-правовой закон] (VÕS) § 482 (RT I, 20.06.2026, 18; в силе с 01.09.2026). – https://www.riigiteataja.ee/akt/V%C3%95S; RKTKo 06.11.2024, 2-22-18155/63, п. 12–14. – https://www.riigikohus.ee/et/lahendid?asjaNr=2-22-18155/63 ↩