Sprawdź powiązane ryzyka firmy
Crime chroni określone bezpośrednie straty finansowe wskutek przestępstw i nie zastępuje ochrony cyber, OC zawodowej ani D&O. Zakres każdej polisy sprawdzaj w konkretnej ofercie i OWU.
Jak traktować składkę i zakres w tym kalkulatorze?
Nie istnieje jedna urzędowa ani publiczna „stawka rynkowa” dla ubezpieczenia Crime. Składka zależy od profilu ryzyka, limitów, podlimitów, historii szkód, kontroli wewnętrznych i warunków konkretnego ubezpieczyciela. Dlatego stawkę w ‰ należy przepisać z realnej oferty lub symulacji brokera.
Tak samo social engineering, funds transfer fraud, computer fraud i ochrona środków klientów mogą być osobnymi klauzulami albo podlimitami. Kalkulator nie zakłada automatycznie, że każda z tych szkód jest objęta polisą — pokazuje wynik tylko dla liczb wpisanych przez użytkownika.
Co obejmuje ubezpieczenie Crime i Fidelity?
Ubezpieczenie Crime, nazywane też ubezpieczeniem ryzyka sprzeniewierzenia, fidelity albo commercial crime, ma chronić bilans przedsiębiorstwa przed określonymi stratami majątkowymi wynikającymi z nieuczciwych działań ludzi lub z konkretnie zdefiniowanych przestępstw finansowych. Najbardziej klasyczny przypadek to pracownik, który przez dłuższy czas wyprowadza pieniądze z firmy, fałszuje dokumenty, tworzy fikcyjnych dostawców, modyfikuje numery rachunków albo kradnie mienie. Nowocześniejsze warianty ochrony mogą obejmować także przestępstwa komputerowe, fałszywe dyspozycje przelewu, podszywanie się pod kontrahenta czy pracownika oraz określone straty dotyczące środków klientów.
To ważne rozróżnienie, bo pojęcie „fraud” jest szersze niż zakres jednej polisy. Firma może stracić pieniądze przez nieuczciwość pracownika, włamanie do systemu, błąd księgowego, oszustwo kontrahenta, atak ransomware, fałszywą fakturę, zmianę rachunku bankowego dostawcy albo zwykłą kradzież fizyczną. Nie każda z tych sytuacji jest automatycznie objęta ubezpieczeniem Crime. Zakres zależy od klauzul, definicji szkody, podlimitów, terytorium, sposobu wykrycia zdarzenia oraz wyłączeń. Dlatego kalkulator koncentruje się na porównaniu wartości ekspozycji z limitami wpisanymi z konkretnej oferty.
Przy zakupie polisy najważniejsze jest więc nie pytanie „ile kosztuje Crime?”, lecz „jakie zdarzenia i do jakich limitów obejmuje konkretna oferta?”. Dwie polisy z identyczną sumą główną mogą działać zupełnie inaczej, gdy jedna ma pełny limit dla nieuczciwości pracowników, a social engineering ogranicza do niewielkiego podlimitu. Właśnie dlatego wynik pokazuje efektywny limit dla wybranego scenariusza, a nie tylko dużą liczbę z pierwszej strony oferty.
Jak policzyć ekspozycję na nieuczciwość pracownika?
Najbardziej użyteczna metoda nie zaczyna się od rocznego obrotu, ale od odpowiedzi, ile pieniędzy lub mienia pojedyncza osoba albo grupa osób może realnie wyprowadzić zanim nieprawidłowość zostanie wykryta. W małej firmie księgowy z samodzielnym dostępem do bankowości może mieć większą ekspozycję niż kilkudziesięciu pracowników produkcyjnych. W dużej organizacji ryzyko może koncentrować się w dziale finansowym, zakupach, magazynie, sprzedaży, rozliczeniach prowizji albo systemach płatniczych.
Scenariusz pracowniczy można oszacować przez analizę maksymalnej kwoty pojedynczej płatności, miesięcznych przepływów dostępnych dla danej roli, czasu między kontrolami, możliwości tworzenia nowych kontrahentów oraz tego, czy jedna osoba może jednocześnie zainicjować i zatwierdzić transakcję. Do ekspozycji należy doliczyć majątek łatwy do zbycia, towary, paliwo, części, gotówkę, bony, karty zakupowe i inne aktywa, jeśli polisa ma je obejmować. Nie chodzi o prognozę, że taka szkoda wystąpi, ale o sensowny scenariusz graniczny.
Jeśli przedsiębiorstwo miało w przeszłości incydent, warto policzyć również wariant oparty na faktycznej szkodzie i powiększyć go o zmianę skali działalności. W firmie, której obrót i liczba transakcji wzrosły dwukrotnie, historyczna strata sprzed kilku lat może zaniżać dzisiejszą ekspozycję. Z drugiej strony sama liczba pracowników nie jest wystarczającym miernikiem. Istotniejszy jest dostęp do aktywów i możliwość obejścia kontroli.
Social engineering i fałszywe przelewy
Oszustwo typu BEC może zacząć się od wiadomości podszywającej się pod prezesa, dyrektora finansowego, dostawcę albo kancelarię. Pracownik otrzymuje polecenie pilnego przelewu lub informację o zmianie rachunku bankowego kontrahenta. Technicznie transakcję może zatwierdzić osoba uprawniona, ale decyzja została podjęta na podstawie fałszywej instrukcji. To powoduje, że zakres takiego zdarzenia trzeba czytać bardzo dokładnie: w jednych warunkach może występować osobna klauzula social engineering, w innych podlimit lub dodatkowe wymogi proceduralne.
Do kalkulatora wpisz największą realistyczną kwotę jednego takiego przelewu albo serii przelewów, które mogłyby zostać wykonane przed wykryciem oszustwa. Jeśli firma posiada procedurę niezależnego potwierdzania zmiany rachunku kontrahenta, zaznacz ją w ocenie kontroli. Wynik kontroli nie zmienia automatycznie składki, bo taryfikacja należy do ubezpieczyciela, ale pomaga zidentyfikować podstawowe luki operacyjne.
Computer fraud i funds transfer fraud
Computer fraud dotyczy zwykle strat związanych z nieautoryzowanym użyciem systemów komputerowych, natomiast funds transfer fraud może odnosić się do nieautoryzowanych instrukcji transferu środków. Szczegółowe definicje są różne, dlatego nie należy utożsamiać tych klauzul z pełnym ubezpieczeniem cyber. Crime chroni przede wszystkim określone straty finansowe pierwszej strony, podczas gdy polisa cyber może obejmować znacznie szerszy zestaw kosztów incydentu, odpowiedzialność wobec osób trzecich, reagowanie, przerwę w działalności i inne elementy.
Jeśli firma przechowuje duże środki na rachunkach operacyjnych albo wykonuje wiele płatności dziennie, podlimit computer/funds transfer fraud może być ważniejszy od głównego limitu polisy. Kalkulator pokazuje, czy w wybranym scenariuszu to właśnie podlimit staje się rzeczywistym sufitem wypłaty.
Jak działa limit, podlimit i udział własny?
Główny limit polisy to najwyższa kwota, którą łatwo zauważyć w ofercie, ale nie zawsze jest to kwota dostępna przy każdej szkodze. Jeżeli polisa ma limit 1 000 000 zł, lecz social engineering ma podlimit 250 000 zł, przy oszustwie na 500 000 zł praktycznym punktem odniesienia jest 250 000 zł. Od tej wartości mogą być jeszcze odejmowane udział własny, odzyskane środki albo inne potrącenia wynikające z warunków umowy.
W kalkulatorze efektywny limit to mniejsza z dwóch wartości: limit główny lub właściwy podlimit. Następnie od wartości szkody odejmowany jest zadeklarowany procent odzysku. Udział własny jest liczony jako większa wartość z procentowego udziału własnego i minimalnej kwoty wpisanej przez użytkownika. Ostateczna szacowana wypłata jest ograniczona limitem. To uproszczony model finansowy, a nie interpretacja konkretnego OWU.
Przykład: firma symuluje 700 000 zł straty z fraudu komputerowego, ma 10% odzysku, limit główny 1 000 000 zł, podlimit computer fraud 500 000 zł i udział własny 10% minimum 10 000 zł. Strata po odzysku wynosi 630 000 zł. Udział własny to 63 000 zł, a szkoda po udziale 567 000 zł. Wypłata nie może jednak przekroczyć podlimitu 500 000 zł, dlatego część straty pozostaje po stronie firmy. Ten prosty przykład pokazuje, dlaczego sama suma główna nie wystarcza do oceny ochrony.
Jak oszacować składkę bez wymyślania taryfy?
Składka za ubezpieczenia typu Crime jest zależna od profilu firmy, branży, obrotu, liczby pracowników, limitów, historii szkód, struktury płatności, jakości kontroli wewnętrznych, terytorium, zakresu klauzul i oceny underwritera. Z tego powodu kalkulator nie powinien przypisywać jednej „typowej” stawki każdej firmie. Takie uproszczenie dawałoby pozorną precyzję i mogłoby być mylące.
Zamiast tego użytkownik wpisuje stawkę w promilach z otrzymanej oferty albo własnego scenariusza porównawczego. Podstawowy koszt to limit główny pomnożony przez stawkę. Następnie można doliczyć procentową dopłatę za rozszerzenia. Jeżeli broker przesłał dwie oferty, np. z inną stawką albo innym pakietem rozszerzeń, można policzyć oba warianty osobno i porównać wynik z efektywnymi limitami.
Taka metoda jest szczególnie praktyczna przy negocjacjach. Oferta tańsza nominalnie może mieć niski podlimit social engineering albo wysoką franszyzę. Droższa może zapewniać pełniejszą ochronę scenariusza, który dla danej firmy jest najbardziej realny. Kalkulator pozwala przenieść uwagę z samej ceny na relację składki, limitów i potencjalnej luki po szkodzie.
Środki klientów i odpowiedzialność za cudze pieniądze
Niektóre firmy okresowo lub stale kontrolują pieniądze klientów, kontrahentów albo innych osób. Dotyczy to m.in. podmiotów obsługujących płatności, pośredników, zarządców, biur rachunkowych, organizacji gromadzących składki, wybranych usług profesjonalnych i przedsiębiorstw, przez których rachunki przechodzą środki należące do innych osób. W takim modelu strata może być większa niż bezpośredni majątek firmy.
Przed zakupem ochrony trzeba sprawdzić, czy polisa obejmuje mienie lub środki klientów i jak definiuje taki zakres. Może istnieć osobny podlimit, warunek powierzenia albo ograniczenie rodzaju klientów. Jeżeli maksymalny dzienny stan cudzych środków wynosi 2 mln zł, a podlimit ochrony to 250 tys. zł, firma powinna świadomie zaakceptować bardzo dużą lukę albo szukać innej konstrukcji ochrony.
W kalkulatorze wartość środków klientów jest traktowana jako osobny scenariusz. Nie oznacza to automatycznie, że konkretna polisa je obejmie. Użytkownik musi potwierdzić to w dokumentacji oferty. Kalkulator służy właśnie do zadania właściwego pytania brokerowi lub ubezpieczycielowi.
Kontrole wewnętrzne, które ograniczają ryzyko fraudu
Dwuosobowa autoryzacja przelewów zmniejsza ryzyko sytuacji, w której jedna osoba może samodzielnie wyprowadzić znaczną kwotę. Jeszcze ważniejsze jest jednak to, aby druga osoba naprawdę weryfikowała transakcję, a nie tylko zatwierdzała serię płatności bez kontroli. Procedura powinna określać limity kwotowe, wyjątki i sposób działania w trybie pilnym.
Rozdział obowiązków oznacza, że ta sama osoba nie powinna jednocześnie tworzyć kontrahenta, wprowadzać faktury, zmieniać rachunku bankowego, inicjować płatności i ją zatwierdzać. W małych firmach pełna separacja może być trudna, dlatego pomocne są cykliczne kontrole właściciela albo zewnętrznej księgowości. Niezależne uzgodnienia rachunków, magazynu, należności i płatności mogą skrócić czas wykrycia nieprawidłowości, a właśnie czas jest jednym z najważniejszych czynników wpływających na rozmiar straty.
MFA utrudnia przejęcie systemów finansowych, ale nie chroni przed każdą formą oszustwa. Jeśli pracownik sam zatwierdzi fałszywy przelew po otrzymaniu wiarygodnie wyglądającej instrukcji, mechanizm uwierzytelnienia może zadziałać prawidłowo, a pieniądze i tak opuszczą firmę. Dlatego potrzebna jest także procedura niezależnego potwierdzania zmiany rachunku bankowego dostawcy, najlepiej przez kontakt wykonany na wcześniej znany numer, a nie numer podany w podejrzanej wiadomości.
Szkolenia antyfraud powinny obejmować osoby z finansów, zarząd, sekretariat, zakupy i wszystkich pracowników, którzy mogą otrzymać polecenie płatności. Kalkulator liczy jedynie prosty wynik liczby zaznaczonych kontroli. Nie jest to rating underwritingowy i nie należy go traktować jako oceny jakości systemu bezpieczeństwa.
Crime a cyber risk
Oba produkty mogą spotkać się przy incydencie dotyczącym pieniędzy i systemów IT, ale ich funkcje są inne. Crime koncentruje się na określonych stratach finansowych wynikających z przestępstwa, sprzeniewierzenia lub oszustwa. Cyber risk może obejmować koszty reagowania na incydent, informatykę śledczą, odtworzenie systemów, odpowiedzialność za dane, przerwę w działalności i inne ryzyka cybernetyczne.
Jeżeli firma obawia się ransomware, wycieku danych i zatrzymania systemów, sama polisa Crime będzie zbyt wąskim narzędziem. Jeżeli natomiast kluczowym ryzykiem jest fałszywy przelew albo defraudacja, samo cyber również może nie odpowiadać na pełną ekspozycję. W praktyce zakresy trzeba porównywać klauzula po klauzuli.
Crime a D&O i OC zawodowe
D&O chroni odpowiedzialność członków władz i osób zarządzających w związku z roszczeniami dotyczącymi ich działań menedżerskich. OC zawodowe dotyczy szkód wyrządzonych klientom wskutek błędu w wykonywaniu określonych usług profesjonalnych. Crime jest polisą majątkową pierwszej strony: chodzi o bezpośrednią stratę firmy wskutek określonych przestępstw.
Te produkty odpowiadają więc na różne pytania. Kradzież pieniędzy przez pracownika to potencjalny Crime. Pozew przeciw członkowi zarządu za niedostateczny nadzór może dotyczyć D&O. Roszczenie klienta za błąd księgowego może trafić do OC zawodowego. Jeden incydent może uruchamiać kilka wątków jednocześnie.
Jak dobrać limit do realnej szkody?
Najprostsza metoda to zbudowanie kilku scenariuszy i wybranie największego racjonalnego poziomu straty. Kalkulator robi to automatycznie dla czterech wartości: nieuczciwości pracownika, social engineering, computer/funds transfer fraud i środków klienta. Największa z nich jest pokazywana jako ekspozycja scenariuszowa. Dodatkowo kalkulator pokazuje poziom powiększony o 20% jako bufor planistyczny. Nie jest to rekomendacja underwritera, lecz techniczny punkt odniesienia.
Firma powinna sprawdzić, czy limit jest na jedno zdarzenie, na wszystkie zdarzenia w okresie ubezpieczenia czy działa w inny sposób. Jeśli dwa incydenty mogą wystąpić w jednym roku, agregat roczny może być równie ważny jak limit pojedynczej szkody. Warto też ustalić, czy koszty dochodzenia szkody pomniejszają limit główny, czy są wypłacane ponad limit.
Przy social engineering szczególne znaczenie ma podlimit. Jeżeli największy dopuszczalny przelew w firmie wynosi 800 tys. zł, a podlimit social engineering 100 tys. zł, nawet bardzo wysoki główny limit Crime nie rozwiązuje tej konkretnej ekspozycji. Można wtedy zmniejszyć limit operacyjny przelewów, wprowadzić dodatkowe autoryzacje albo negocjować większy podlimit.
Dobór limitu powinien być powtarzany po istotnej zmianie firmy: przejęciu, wejściu na nowy rynek, wzroście obrotów, centralizacji płatności, zmianie systemu ERP, uruchomieniu centrum usług wspólnych, zwiększeniu wartości środków klientów albo zmianie procedur finansowych. Limit kupiony kilka lat wcześniej może przestać odpowiadać dzisiejszemu ryzyku.
Przykłady: 100 tys., 500 tys. i 2 mln zł straty
Przy stracie 100 000 zł najważniejszy może okazać się udział własny. Jeżeli udział wynosi 10% z minimum 10 000 zł, przedsiębiorstwo zachowuje istotną część małej szkody na własnym bilansie. Taka konstrukcja może być racjonalna, jeśli firma chce chronić się głównie przed zdarzeniami dużymi, a drobniejsze incydenty finansować samodzielnie.
Przy scenariuszu 500 000 zł podlimit zaczyna odgrywać większą rolę. Jeśli social engineering ma limit 250 000 zł, połowa szkody może pozostać poza ochroną jeszcze przed uwzględnieniem udziału własnego i innych warunków. To częsty powód, dla którego porównanie polis tylko po cenie rocznej prowadzi do złych wniosków.
Przy stracie 2 mln zł znaczenie ma zarówno limit główny, jak i agregat roczny. Firma o dużych przepływach może potrzebować limitu liczonego nie w relacji do rocznego obrotu, ale do maksymalnej wartości środków narażonych na jeden incydent. Jeżeli jedna osoba lub przejęte konto może zainicjować serię dużych płatności, pojedynczy dzień może generować ekspozycję większą niż przeciętna miesięczna marża przedsiębiorstwa.
W każdym wariancie warto policzyć odzysk środków konserwatywnie. Bank może czasem zatrzymać transfer albo środki mogą zostać częściowo odzyskane w postępowaniu, ale nie należy budować całego zabezpieczenia na założeniu, że odzysk będzie wysoki.
Wykrycie szkody, zgłoszenie i zabezpieczenie dowodów
W ubezpieczeniach Crime moment wykrycia nieprawidłowości może mieć znaczenie praktyczne równie duże jak data samego działania. Defraudacja pracownicza bywa rozciągnięta w czasie: pojedyncze przelewy lub manipulacje są niewielkie, lecz po kilku miesiącach tworzą dużą stratę. Po zauważeniu pierwszych sygnałów firma powinna zabezpieczyć dokumenty księgowe, historię logowań, korespondencję, wyciągi bankowe, zapis uprawnień użytkowników oraz inne informacje, które mogą pomóc ustalić mechanizm szkody. Jednocześnie trzeba sprawdzić wymagania polisy dotyczące terminów zgłoszenia i współpracy z ubezpieczycielem.
W przypadku fałszywego przelewu liczy się szybkość działania. Bank może mieć możliwość zatrzymania albo cofnięcia transakcji tylko w bardzo ograniczonym czasie, dlatego procedura firmy powinna wskazywać, kto kontaktuje się z bankiem, kto blokuje dostęp do systemów i kto odpowiada za zgłoszenie do odpowiednich organów. Nie należy czekać na pełne wyjaśnienie całego incydentu, jeśli w międzyczasie kolejne środki mogą zostać utracone.
Równolegle trzeba uważać, aby działania wewnętrzne nie zniszczyły materiału dowodowego. Samodzielne czyszczenie komputerów, usuwanie kont, nadpisywanie logów albo pochopne kasowanie wiadomości może utrudnić późniejsze dochodzenie. W większej szkodzie warto mieć wcześniej ustaloną ścieżkę eskalacji obejmującą finanse, IT, bezpieczeństwo, zarząd, prawnika, brokera i ubezpieczyciela.
Kalkulator nie modeluje kosztu dochodzenia szkody, ponieważ w polisach może on być traktowany bardzo różnie. Przy porównaniu ofert warto więc dodać osobną pozycję: czy koszty śledztwa, audytu, informatyki śledczej lub odzyskiwania środków są objęte ochroną, do jakiej kwoty i czy pomniejszają główny limit.
Branże i modele biznesowe o różnej ekspozycji
Nie istnieje jeden profil firmy „typowej” dla Crime. W handlu i dystrybucji duże ryzyko może wynikać z płatności do wielu dostawców, magazynu i zwrotów. W budownictwie dochodzą rozliczenia podwykonawców, zaliczki, karty paliwowe i zakupy materiałów. W usługach profesjonalnych zagrożeniem mogą być środki klientów, dostęp do systemów księgowych albo możliwość zmiany danych płatniczych. W e-commerce i firmach technologicznych znaczenie mają integracje płatnicze, konta administracyjne i duża liczba transakcji wykonywanych automatycznie.
Firmy rodzinne mogą mieć bardzo wysoki poziom zaufania i mało formalnych kontroli. To nie oznacza automatycznie wysokiego ryzyka szkody, ale zwiększa możliwość, że nieprawidłowość pozostanie niewykryta przez dłuższy czas. Z kolei korporacja z rozbudowanymi procedurami może być narażona na fraud wynikający z dużej skali i złożoności procesów. W obu przypadkach potrzebne są inne scenariusze, dlatego kalkulator pozwala wpisać własne kwoty zamiast przypisywać ekspozycję na podstawie samej branży.
W organizacjach, które prowadzą wiele spółek albo oddziałów, trzeba sprawdzić definicję ubezpieczonego. Nowa spółka zależna, przejęcie albo reorganizacja może nie być automatycznie objęta w taki sam sposób jak podmiot wskazany pierwotnie w polisie. Przy działalności międzynarodowej dochodzą terytorium ochrony, lokalne przepisy, waluty, różne systemy płatnicze i pracownicy wykonujący obowiązki w kilku krajach.
Dlatego przed porównaniem składki warto rozpisać mapę: gdzie są pieniądze, kto ma do nich dostęp, jakie są maksymalne limity transakcji, kto może zmienić dane kontrahenta, jak długo trwa wykrycie błędu i jakie aktywa należą do klientów. To daje znacznie więcej informacji niż sam roczny obrót.
Odnowienie polisy: czego nie kopiować automatycznie z poprzedniego roku?
Przy odnowieniu łatwo zaakceptować te same limity, które obowiązywały rok wcześniej. Tymczasem właśnie w produktach Crime zmiana procesów finansowych może szybko zwiększyć potencjalną stratę. Firma może mieć ten sam obrót, ale większy pojedynczy limit przelewu, nowy system ERP, mniej osób w dziale księgowości, scentralizowane płatności albo nowego operatora rachunków. Każdy z tych elementów może zmienić ekspozycję mimo podobnych danych finansowych.
Przed odnowieniem warto ponownie wpisać do kalkulatora cztery scenariusze, a następnie porównać je z aktualnymi podlimitami. Jeżeli największa ekspozycja wzrosła z 300 tys. do 900 tys. zł, a limit pozostał na poziomie 500 tys. zł, różnicę widać od razu. Podobnie trzeba zweryfikować udział własny: wyższa franszyza może obniżać cenę, lecz jednocześnie sprawiać, że mniejsze i średnie straty pozostają niemal w całości po stronie przedsiębiorstwa.
Odnowienie to również dobry moment na analizę procedur. Jeśli firma wdrożyła dwuosobową autoryzację, niezależne potwierdzanie zmian rachunków i regularne szkolenia, należy to opisać brokerowi lub ubezpieczycielowi. Kalkulator nie obniża z tego powodu składki, ponieważ nie zna zasad taryfikacji konkretnego towarzystwa, ale pokazuje te elementy jako część profilu ryzyka.
Warto też przeanalizować incydenty, które nie zakończyły się stratą. Próba podszycia pod prezesa, fałszywa faktura zatrzymana przez księgowość albo próba zmiany rachunku dostawcy to sygnały, że dany scenariusz jest realny. Brak wypłaconej szkody nie oznacza braku ekspozycji.
Sygnały ostrzegawcze fraudu w codziennej pracy
Nie istnieje pojedynczy objaw, który dowodzi przestępstwa pracowniczego, ale pewne anomalie powinny uruchamiać dodatkową kontrolę. Przykładem są dostawcy zakładani i obsługiwani przez jedną osobę, częste zmiany numerów rachunków, płatności dzielone tuż poniżej progu autoryzacji, duża liczba korekt, nietypowe wypłaty gotówkowe, faktury z podobnymi numerami rachunków albo adresami, rozbieżności magazynowe oraz nieuzasadnione anulowanie należności. W środowisku cyfrowym sygnałem może być logowanie do systemu finansowego z nietypowej lokalizacji, masowe eksporty danych, zmiany uprawnień albo aktywność poza standardowymi godzinami.
Ważne jest, aby kontrola nie opierała się wyłącznie na podejrzeniu konkretnej osoby. Dobrze zaprojektowany proces wyszukuje anomalie systemowo i stosuje te same zasady do wszystkich. Z perspektywy ubezpieczenia pomaga to również wykazać, że firma posiada realne procedury kontroli, a nie tylko deklaracje zapisane w polityce bezpieczeństwa.
Social engineering ma inne sygnały. Wiadomość może podkreślać pilność, poufność, zmianę procedury albo zakaz konsultowania płatności z innymi osobami. Oszust może korzystać z domeny podobnej do prawdziwej, przejętego konta kontrahenta albo informacji zdobytych wcześniej z publicznych źródeł. Dlatego samo sprawdzenie adresu e-mail nie wystarcza. Procedura musi wymuszać niezależny kanał weryfikacji przy zmianie danych płatniczych lub transakcji nietypowej dla relacji z dostawcą.
W kalkulatorze te sygnały nie mają punktów ryzyka, ponieważ nie da się wiarygodnie przeliczyć ich na procent składki. Mogą jednak pomóc ustalić realną kwotę scenariusza. Jeżeli system pozwala na transfer 1 mln zł, ale każda płatność powyżej 100 tys. zł jest rzeczywiście weryfikowana przez dwie niezależne osoby, maksymalny realistyczny scenariusz może wyglądać inaczej niż w firmie bez takiej kontroli.
Jak porównywać cenę polisy z ryzykiem zatrzymanym w firmie?
Najtańsza polisa nie zawsze oznacza najniższy koszt ryzyka. Firma płaci składkę, ale równocześnie zatrzymuje część szkody w postaci udziału własnego, podlimitów i wyłączeń. Dlatego przy dwóch ofertach warto policzyć dla każdego istotnego scenariusza nie tylko roczną cenę, lecz także maksymalną lukę po modelowej wypłacie. Oferta A może kosztować 12 tys. zł i zostawiać 400 tys. zł luki przy social engineering, a oferta B kosztować 18 tys. zł i ograniczać tę lukę do 100 tys. zł. Różnica 6 tys. zł składki ma wtedy zupełnie inne znaczenie niż przy porównaniu samych cen.
Można też ocenić, czy część ryzyka lepiej zatrzymać świadomie. Firma z dużą płynnością może zaakceptować wyższy udział własny i chronić się przede wszystkim przed katastrofalnym fraudem. Przedsiębiorstwo z napiętym cashflow może preferować niższą franszyzę, ponieważ strata 100–200 tys. zł byłaby dla niego równie bolesna jak większy incydent dla dużej spółki. Nie ma uniwersalnej konfiguracji, dlatego kalkulator pokazuje kwotę pozostającą po stronie firmy.
Warto również zestawić koszt polisy z kosztem dodatkowych kontroli. Wprowadzenie dwuosobowej autoryzacji, lepszego zarządzania uprawnieniami, szkolenia pracowników czy automatycznego monitoringu transakcji może ograniczyć zarówno częstość, jak i rozmiar szkody. Te działania nie zastępują polisy, ale mogą zmniejszyć ekspozycję i poprawić jakość procesu underwritingowego. Czasem najkorzystniejszym rozwiązaniem nie jest zwiększenie limitu o kolejne 500 tys. zł, lecz obniżenie maksymalnej możliwej transakcji i skrócenie czasu wykrycia anomalii.
Kalkulator nie liczy oczekiwanej wartości szkody ani prawdopodobieństwa fraudu. Do takich obliczeń potrzebne byłyby wiarygodne dane historyczne dopasowane do branży i konkretnej organizacji. Tutaj celem jest prostsze pytanie: jeżeli zdarzy się scenariusz o podanej wartości, ile pozostanie po stronie przedsiębiorstwa po zastosowaniu odzysku, udziału własnego i limitu?
Najczęstsze błędy przy zakupie ochrony Crime
Pierwszym błędem jest utożsamienie wysokiego limitu głównego z szeroką ochroną. Jeżeli kluczowe ryzyko ma niski podlimit, główna suma jest w tym scenariuszu mało użyteczna. Drugim błędem jest pominięcie definicji pracownika. Firma może korzystać z osób czasowych, współpracowników, pracowników agencji albo osób wykonujących czynności na podstawie innych umów. Trzeba sprawdzić, czy i kiedy mieszczą się w definicji ubezpieczonego personelu.
Trzecim błędem jest założenie, że każda fałszywa płatność to computer fraud. Jeżeli system działał poprawnie, a pracownik dobrowolnie zatwierdził przelew po otrzymaniu fałszywego polecenia, zdarzenie może być analizowane inaczej niż techniczne przejęcie systemu. Właśnie dlatego social engineering bywa odrębnym zakresem. Czwarty błąd to nieuwzględnienie środków klientów. Firma może mieć świetnie dobrany limit dla własnych pieniędzy, ale dużo większą ekspozycję na cudzy majątek powierzony jej czasowo.
Piąty błąd dotyczy okresu wykrycia. Fraud pracowniczy może zostać ujawniony długo po pierwszym nieuczciwym działaniu albo już po odejściu sprawcy z firmy. Warunki polisy określają, jak traktowane są takie sytuacje. Szósty błąd to brak analizy zdarzeń powiązanych. Seria płatności wykonanych przez tę samą osobę może być traktowana jako jedno zdarzenie albo kilka zdarzeń, co wpływa na limit i udział własny.
Siódmy błąd to zakup polisy bez wdrożenia procedur wymaganych przez ofertę. Jeśli klauzula social engineering zakłada określoną metodę niezależnej weryfikacji, firma powinna wiedzieć, kto i jak ją realizuje. Ochrona ubezpieczeniowa nie jest powodem, aby rezygnować z kontroli. Jest ostatnią warstwą ochrony finansowej, gdy mimo zabezpieczeń dojdzie do straty.
Ciekawostka
Największe ryzyko nie zawsze znajduje się tam, gdzie pracuje najwięcej osób. Jeden pracownik z możliwością dodania kontrahenta i samodzielnego zatwierdzenia dużej płatności może tworzyć większą ekspozycję finansową niż cały dział bez dostępu do środków.
Co przygotować przed zapytaniem ofertowym?
Przygotuj strukturę zatrudnienia, obrót, kraje działalności, wartości i częstotliwość płatności, procedury autoryzacji, sposób zmiany rachunków dostawców, informację o środkach klientów, historię szkód, zakres uprawnień osób finansowych i opis kontroli wewnętrznych. Dzięki temu broker lub underwriter może ocenić rzeczywistą ekspozycję zamiast pracować tylko na ogólnej liczbie pracowników.
Co porównać w dwóch polisach?
Porównaj definicję pracownika, okres wykrycia szkody, limity i agregaty, podlimity social engineering i computer fraud, ochronę mienia klientów, koszty dochodzenia szkody, udział własny, terytorium, wymagane procedury, wyłączenia dotyczące osób znanych z wcześniejszej nieuczciwości oraz sposób traktowania zdarzeń powiązanych.
Wskazówka od KalkulatorXXL
Najpierw wpisz największe możliwe scenariusze strat, dopiero potem porównuj cenę. Polisa z wysokim limitem głównym może dawać małą ochronę, jeśli najważniejsze ryzyko ma niski podlimit.
Sprawdź cały pakiet ubezpieczeń specjalistycznych firmy
Ten kalkulator jest częścią pakietu, który łączy narzędzia do oceny ekspozycji, limitów, podlimitów, udziału własnego i luki pozostającej po polisie. Przejdź do akademii, tabeli porównawczej albo gotowej checklisty audytu.
FAQ – ubezpieczenie Crime i przestępstwa pracownicze
Ostatnia aktualizacja: 09.10.2026