Направления страхового рынка и стратегический выбор предприятия

Коротко. Страховщики конкурируют уже не только ценой, но и отбором рисков и условиями. Оценка рисков стала строже, исключения точнее и шире, а регуляторное давление сильнее. Страхование больше не является стандартным продуктом с широкой страховой защитой, а представляет собой условную услугу, объем которой зависит от профиля риска предприятия, уровня внутреннего контроля и качества переговоров. Роль предприятия меняется: из пассивного покупателя оно становится активным партнером по управлению рисками.¹

1. Куда движется страховой рынок?

1.1. Более строгая оценка рисков

Оценка рисков (underwriting) стала более детальной. Раньше было достаточно общего вопросника; теперь страховщики ожидают глубокого понимания профиля риска предприятия.

• Киберстрахование: многофакторная аутентификация, качество и проверка резервного копирования, управление доступами, способность выявлять инциденты и реагировать на них, защита конечных устройств, управление обновлениями программного обеспечения.
• Страхование crime: проверки финансовых процессов, система подтверждения платежей, разделение ролей, порядок изменения данных поставщиков.
• Страхование D&O: система управления рисками, процессы принятия решений правлением, уровень контроля соответствия, финансовое положение и капитализация.

Пример. Предприятие хочет приобрести киберстрахование, однако не использует многофакторную аутентификацию и не проверяло резервное копирование. Страховщик либо не делает предложения, либо предлагает более высокий страховой взнос и более узкие условия.

Оценка рисков не ограничивается заключением договора. Применяются периодическая оценка, проверка выполнения требований безопасности и привязка условий договора к фактическому поведению предприятия. Страхование становится «активной» услугой, при которой ожидается постоянное соответствие согласованным стандартам. В эстонском праве это означает, что возрастает значение согласованных на время действия договора требований безопасности и обязанностей по уведомлению об увеличении вероятности страхового риска (VÕS §§ 443–447, § 445).²

1.2. Новые исключения

Исключения расширяются и уточняются, чтобы ограничить системные и трудно оцениваемые риски.

• В киберстраховании: распространение исключений военного риска на государственные кибероперации, отдельное рассмотрение атак на критическую инфраструктуру, ограничения в отношении атак на цепочку поставок и широко распространенных атак (widespread event).
• В страховании crime: сублимиты по социальной инженерии, узкая формулировка «прямого ущерба», ограничения страховой защиты имущества клиента.
• В страховании D&O: исключения некоторых регуляторных штрафов, ограничения в отношении рисков ESG, уточнение требований, вытекающих из киберинцидента.

Пример. Предприятие исходит из того, что киберстрахование покрывает все киберинциденты, однако договор содержит расширенное исключение военного риска, охватывающее кибератаки, связанные с государством. В критический момент большая часть ущерба остается непокрытой. См. военный риск.

Кроме того, растет использование сублимитов, отдельной собственной ответственности и ограничительных определений. Поэтому чтение договора и переговоры о нем важнее, чем когда-либо прежде.

1.3. Регуляторное давление

Регулирование влияет на рынок на двух уровнях.

На уровне предприятий ужесточаются требования к кибербезопасности и защите данных. Закон о кибербезопасности обязывает подпадающих под сферу его применения субъектов применять меры безопасности, назначать ответственного члена правления и уведомлять об инцидентах; за нарушения предусмотрены значительные штрафы (KüTS § 6¹, § 8, § 18², § 18³).³ Это увеличивает спрос на страхование, но и риск, который должен оценивать страховщик.

На уровне страховщиков регуляторное давление означает требования к капиталу, более точное моделирование рисков и более консервативную оценку рисков. Требования цифровой операционной устойчивости касаются и самих страховщиков (KindlTS § 105¹).⁴

Пример. Если предприятие не выполняет требования Закона о кибербезопасности, это увеличивает регуляторный риск, влияет на ответственность D&O и может привести к ситуации, когда страховщик не предлагает страховую защиту или спорит о страховом возмещении.

Регуляторное давление создает и новые продукты: услуги по реагированию на инциденты, страховую защиту расходов на регуляторные производства, страхование рисков цепочки поставок.

1.4. Системное изменение

Все три тенденции указывают на более широкое изменение: широкую страховую защиту на разумных условиях могут получить только хорошо управляемые предприятия. Без адекватного управления рисками получить подходящую страховую защиту невозможно.

2. Стратегический выбор предприятия

Страхование является не операционным решением и не статьей расходов, а стратегическим выбором, который должен соответствовать толерантности предприятия к риску, его бизнес-модели и практике управления.

2.1. Когда и сколько страховать?

Распространенная ошибка состоит в том, чтобы купить «средний договор» без анализа. Перед покупкой нужно ответить на три вопроса:

1. каковы критические риски предприятия;
2. какой ущерб был бы терпимым;
3. какой ущерб угрожал бы устойчивости предприятия.

Пример 1. Производственное предприятие, деятельность которого зависит от ИТ-систем, должно оценить воздействие недельного простоя. Если оно достигает миллионов евро, лимит по перерыву в деятельности в договоре киберстрахования тоже должен быть того же порядка.

Пример 2. Финансовый посредник, управляющий деньгами клиентов, должен учитывать, что ущерб от мошенничества не ограничивается прямой потерей, а включает и требования клиентов, и репутационный ущерб. Это влияет на потребность как в страховании crime, так и в страховании D&O.

При определении страховой суммы нужно учитывать реалистичный наихудший сценарий, кумулятивное воздействие ущерба (перерыв в деятельности плюс требования), сублимиты и исключения. Лимиты нельзя автоматически складывать: лимиты разных договоров покрывают разные части ущерба, а агрегатные лимиты могут исчерпаться.

Сроки. Страхование должно существовать до реализации риска. Предприятие в фазе роста должно заблаговременно подумать о страховании D&O (инвесторы, кредиторы), с ростом цифровизации возрастает роль киберстрахования, а с международным расширением потребность в решениях crime и в решениях по политическому риску. Условия со временем могут ухудшаться: если риск широко реализуется в секторе (например, волна программ-вымогателей), страховщики повышают страховые взносы (страховые премии), уменьшают лимиты и добавляют исключения. Преимущество получают те, кто выстраивает программу до кризиса.

2.2. Как связать страхование с управлением рисками?

Страхование не заменяет управление рисками, а предполагает его. Интегрированный подход означает, что:

• риски анализируются системно;
• страхование покрывает риски, которых нельзя полностью избежать;
• внутренний контроль и процессы уменьшают вероятность и размер ущерба.

Пример. Предприятие внедряет строгие проверки платежей (двойное подтверждение, контрольный звонок), но сохраняет страхование crime на случай риска социальной инженерии. Управление рисками и страхование дополняют друг друга.

В контексте D&O снижение рисков означает, что решения правления задокументированы, анализы рисков проведены, а контроль соответствия работает. Это уменьшает риск ответственности и повышает вероятность того, что страховая защита сработает.

2.3. Страхование как инструмент управления рисками

Страхование является как механизмом компенсации ущерба, так и инструментом управления рисками: страховщики требуют определенных мер безопасности, договоры дают доступ к услугам форензики и кризисного управления, а страхование влияет на решения руководства. Если страховщик сообщает, что без определенных мер страховой защиты на разумных условиях не будет, это побуждает инвестировать в предотвращение.

2.4. Баланс между несением и передачей риска

Полная передача риска невозможна и неразумна: у страхования всегда есть собственная ответственность, лимиты и исключения. Предприятие должно решить, какой ущерб оно несет само, а при каком нуждается в страховании.

Пример. Предприятие решает нести небольшой ущерб от мошенничества самостоятельно (более высокая собственная ответственность, более низкий страховой взнос), но страховать крупные риски, которые угрожали бы ликвидности.

Выбор уровня собственной ответственности должен учитывать ликвидность в кризисе: собственная ответственность, которую предприятие не способно быстро понести в кризисе, делает страхование бесполезным.

2.5. Непрерывный процесс

Карта рисков и страховая программа не являются статичными документами. Практическое минимальное правило: анализ рисков пересматривается после каждого существенного инцидента, после каждого изменения системы или бизнес-процесса, влияющего на безопасность, и в любом случае периодически (не реже одного раза в год). Если меняется риск, нужно оценить, достаточна ли существующая страховая защита.

3. Как подготовиться к продлению

В условиях более строгой оценки рисков предприятие может улучшить свою позицию, если подготовит документированный пакет сведений о рисках:

• кибербезопасность: объем многофакторной аутентификации, изолированность резервного копирования и дата последней проверки восстановления, защита конечных устройств, управление обновлениями программного обеспечения, обучение работников, план реагирования на инциденты;
• финансовые проверки: порядок подтверждения платежей, проверка изменения данных поставщиков, разделение ролей, отделение средств клиентов;
• управление: частота обсуждения рисков в правлении, организация контроля соответствия, член правления, ответственный за кибербезопасность;
• история убытков: что произошло и что было изменено.

Ответы в заявлении должны соответствовать действительности. Неточный ответ позднее может дать страховщику основание отступить от договора (VÕS § 441, § 442).⁵ Если какая-либо мера только внедряется, лучше честно описать ее вместе с графиком.

4. Новые риски: искусственный интеллект и автоматизированные решения

Использование искусственного интеллекта на предприятии создает новые риски, подходы к которым страховой рынок еще только формирует:

• мошенничество: дипфейки (голосовые и видео) делают мошенничество от имени руководителя более убедительным; контрольный звонок должен совершаться по ранее известному номеру и по согласованной процедуре;
• ответственность: решение или совет, выработанные с помощью искусственного интеллекта, могут причинить ущерб клиенту; в договорах страхования профессиональной ответственности и ответственности в сфере технологий нужно проверить, покрыты такие требования или исключены;
• данные: конфиденциальные данные, введенные в инструменты искусственного интеллекта, могут утечь; это вопрос киберстрахования и защиты данных;
• управление: правление отвечает и за надзор за использованием искусственного интеллекта; это новый источник риска D&O.

Страховщики начали добавлять в заявления вопросы, связанные с искусственным интеллектом, а в договоры исключения. Формулировку договора нужно внимательно прочитать.

Связанные страницы

• Интегрированная страховая программа
• Insurance Readiness Audit
• Примерная структура страховой программы
• Увеличение вероятности страхового риска (практика Государственного суда)
• Страховая программа предприятия

Примечания