Seguro e indenização: o que os segurados precisam saber sobre perdas cibernéticas

No setor de seguros, o conceito de período de indenização especifica o prazo durante o qual o segurado pode solicitar uma indenização por perdas financeiras resultantes de um evento segurado. Ele serve como um limite para a cobertura fornecida pelo seguro, restringindo-a para perdas por interrupção de negócios (BI) ao menor dos seguintes períodos: quando o impacto sobre os negócios cessar ou o prazo máximo estipulado pela apólice.

No entanto, surpreendentemente, esse aspecto importante de uma apólice é frequentemente ignorado quando chega a hora da renovação. Vamos explorar o motivo disso e o que os segurados podem fazer para se antecipar. 

Como é definido o período de indenização?

Em primeiro lugar, vamos considerar como os períodos de indenização são definidos em um programa padrão de Riscos Especiais Industriais (ISR). Por se tratar de uma apólice de propriedade, a reposição física é frequentemente o aspecto mais importante ao considerar os termos da apólice e como uma reclamação pode funcionar na prática. Isso pode, por vezes, ser contraintuitivo, uma vez que o período de indenização deve ser definido de forma a garantir que a maioria dos impactos financeiros concebíveis para a empresa causados por danos segurados ocorram dentro do período máximo de indenização (MIP) estabelecido na apólice.

Um ISR típico definiria um período máximo de indenização de pelo menos 12 meses. Esse período é geralmente definido com base no tempo necessário para restaurar uma perda total hipotética, considerando o período provável de reparo do bem segurado. No entanto, muitas vezes se esquece que os pedidos de indenização por interrupção de negócios não cessam necessariamente após a restauração dos danos. 

Existem várias razões pelas quais um pedido de indenização por interrupção de negócios pode se estender além da data em que o dano segurado foi reparado. Perda de participação no mercado, questões de tempo relacionadas ao reconhecimento da receita e uso de estoques existentes e retomada prolongada dos níveis operacionais normais, para citar algumas. Exceto em caso de perda total, na maioria dos casos, o período máximo de indenização deve ser suficiente para cobrir as perdas que se estendem além da conclusão dos reparos físicos. No entanto, para reparos mais longos e complexos, as perdas além do final do período de indenização podem se tornar um problema em uma reclamação. 

Política cibernética e como ela difere de uma ISR

O quadro torna-se mais complexo e o período de indenização exponencialmente mais importante se aplicarmos os conceitos acima a uma apólicecibernética. O impacto da interrupção dos negócios causado por uma violação cibernética pode ser muito mais difícil de prever antes de ocorrer. Não há prazos físicos de restauração para edifícios ou outras propriedades que possam ser usados como base para definir um período de indenização. Os danos que uma violação pode causar também podem ser de longo alcance e difíceis de prever em um ambiente pré-perda, dada a amplitude e o escopo potenciais dos impactos nos negócios, especialmente considerando o histórico mais limitado de violações cibernéticas em comparação com danos e reparos tradicionais à propriedade. Considere ainda que uma violação cibernética típica é curta, intensa e geralmente termina em questão de dias ou semanas. Os efeitos da violação, porém, muitas vezes podem durar muito mais tempo. 

Se transpormos a escola de pensamento acima da definição de políticas de ISR, é razoável supor que o período de indenização para uma apólice cibernética será normalmente definido com base na violação cibernética em si, e não no impacto contínuo para o negócio. Um site ou servidor com um impacto significativo pode muitas vezes voltar a ficar online através de backups ou recriação em questão de horas, dias ou, no máximo, semanas. O período de indenização em uma apólice cibernética geralmente reflete isso e é normalmente definido em cerca de 90 dias. Dadas as complexidades que podem surgir em uma reclamação por interrupção dos negócios, isso é suficiente para capturar adequadamente a exposição tanto para o segurado quanto para as seguradoras?

Impacto em uma reclamação

Vamos agora considerar um cenário em que uma empresa sofre uma violação cibernética que leva a uma interrupção significativa em suas operações.

Se a empresa se recuperar com sucesso e retomar as operações normais dentro do período de indenização, quaisquer perdas indenizadas incorridas durante esse período (sejam elas lucros cessantes ou custos adicionais incorridos) são normalmente cobertas pela apólice.

No entanto, se o processo de recuperação demorar mais do que o previsto ou, mais frequentemente, se o impacto financeiro real para a empresa só se concretizar após o término do período de indenização, a cobertura fornecida pela apólice de seguro deixa de se aplicar. Há várias maneiras pelas quais isso pode se materializar em uma reclamação. Por exemplo, um segurado pode perder contratos de longo prazo por não poder realizar suas atividades normais, ou pode faturar trimestralmente/na conclusão do projeto e, embora o trabalho seja perdido, não há impacto financeiro para a empresa dentro do período de indenização. As perdas cibernéticas também são amplamente divulgadas e a possibilidade de danos contínuos à reputação é uma preocupação significativa.

Limitações da cobertura

Uma vez terminado o período de indenização, a apólice de seguro geralmente não cobre quaisquer perdas adicionais incorridas além desse período. Isso significa que quaisquer perdas sofridas após o término do período de indenização não serão indenizadas pela seguradora, mesmo que tenham resultado diretamente do evento original.

É importante ressaltar, e o que às vezes é menos considerado, que o inverso também é verdadeiro, e isso deixa as seguradoras expostas. Se um segurado sofrer uma perda durante o período de indenização, mas depois recuperar totalmente essa perda após o término do período de indenização, as seguradoras são obrigadas a reembolsar o segurado pelas perdas sofridas, mesmo que tenha ocorrido uma recuperação parcial ou total que normalmente compensaria as perdas reivindicadas.

Isso é especialmente pertinente quando se trata de perdas cibernéticas por duas razões principais. Em primeiro lugar, conforme discutido anteriormente, as apólices cibernéticas normalmente estabelecem períodos de indenização mais curtos. Em segundo lugar, às vezes pode ser difícil compreender o impacto total de uma violação até bem depois da recuperação. Portanto, embora a infraestrutura de rede do segurado possa estar totalmente recuperada, os impactos operacionais ainda podem não ser aparentes.

Resumo

Em resumo, se o período de indenização for muito curto e o impacto para o segurado se estender além desse período, a empresa poderá enfrentar perdas financeiras não indenizadas pelo período após o término da cobertura. Por outro lado, as seguradoras precisam estar cientes de que, embora um período de indenização curto possa parecer benéfico para fins de indenização por uma perda, ele pode funcionar a favor do segurado se qualquer recuperação for feita após o término do período de indenização.

A definição correta de um período de indenização no início ou na renovação da apólice pode fazer uma diferença significativa nas implicações práticas de um sinistro. É importante consultar especialistas familiarizados com perdas por interrupção de negócios específicas da apólice em questão, a fim de garantir que as considerações apropriadas sejam feitas. Esperamos que isso resulte em uma experiência de sinistros tranquila e adequada para todas as partes.

Saiba mais > Entre em contato com [email protected].