Seguros e indemnizações: o que os tomadores de seguros devem saber sobre as perdas cibernéticas

No setor de seguros, o conceito de período de indenização especifica o prazo durante o qual o segurado pode reivindicar uma compensação por perdas financeiras resultantes de um evento segurado. Ele serve como um limite para a cobertura fornecida pelo seguro, restringindo-a para perdas por interrupção de negócios (BI) ao menor dos seguintes períodos: quando o impacto sobre os negócios cessar ou o prazo máximo estipulado pela apólice.

No entanto, surpreendentemente, este importante aspeto de uma apólice é frequentemente ignorado quando chega a altura da renovação. Vamos explorar a razão para isso e o que os segurados podem fazer para se anteciparem. 

Como é definido o período de indenização?

Em primeiro lugar, vamos considerar como os períodos de indenização são definidos em um programa padrão de Riscos Especiais Industriais (ISR). Por se tratar de uma apólice de propriedade, a reposição física é frequentemente o aspecto mais importante ao considerar os termos da apólice e como um sinistro pode funcionar na prática. Isso pode, por vezes, ser contraintuitivo, uma vez que o período de indenização deve ser definido de forma a garantir que a maioria dos impactos financeiros concebíveis para a empresa causados por danos segurados ocorram dentro do período máximo de indenização (MIP) estabelecido na apólice.

Um ISR típico definiria um período máximo de indemnização de pelo menos 12 meses. Esse período é geralmente definido com base no tempo necessário para restaurar uma perda total hipotética, considerando o período provável de reparação do bem segurado. No entanto, muitas vezes é esquecido que os pedidos de indemnização por interrupção de atividade não cessam necessariamente após a reparação dos danos. 

Existem várias razões pelas quais um pedido de indemnização por interrupção de atividade pode se estender além da data em que os danos segurados foram reparados. Perda de quota de mercado, questões de tempo relacionadas ao reconhecimento de receitas e uso de estoques existentes e prolongamento do retorno aos níveis operacionais normais, para citar algumas. Exceto em caso de perda total, na maioria dos casos, o período máximo de indemnização deve ser suficiente para cobrir as perdas que se prolongam para além da conclusão das reparações físicas. No entanto, para reparações mais longas e complexas, as perdas para além do fim do período de indemnização podem tornar-se um problema num pedido de indemnização. 

Política cibernética e como ela difere de uma ISR

O quadro torna-se mais complexo e o período de indenização exponencialmente mais importante se aplicarmos os conceitos acima a uma apólicecibernética. O impacto da interrupção dos negócios causado por uma violação cibernética pode ser muito mais difícil de prever antes de ocorrer. Não há prazos físicos de restauração para edifícios ou outras propriedades que possam ser usados como base para definir um período de indenização. Os danos que uma violação pode causar também podem ser de longo alcance e difíceis de prever num ambiente pré-perda, dada a potencial amplitude e alcance dos impactos para a empresa, especialmente considerando o histórico mais limitado de violações cibernéticas em comparação com danos materiais e reparos tradicionais. Considere ainda que uma violação cibernética típica é curta, intensa e geralmente termina em questão de dias ou semanas. Os efeitos da violação, porém, muitas vezes podem durar muito mais tempo. 

Se transpormos a escola de pensamento acima da definição de políticas de ISR, é razoável supor que o período de indenização para uma apólice cibernética será normalmente definido com base na violação cibernética em si, e não no impacto contínuo para o negócio. Um site ou servidor com um impacto significativo pode muitas vezes voltar a ficar online através de backups ou recriação em questão de horas, dias ou, no máximo, semanas. O período de indenização em uma apólice cibernética geralmente reflete isso e é normalmente definido em cerca de 90 dias. Dadas as complexidades que podem surgir em uma reclamação por interrupção dos negócios, isso é suficiente para capturar adequadamente a exposição tanto para o segurado quanto para as seguradoras?

Impacto numa reclamação

Vamos agora considerar um cenário em que uma empresa sofre uma violação cibernética que leva a uma interrupção significativa nas suas operações.

Se a empresa se recuperar com sucesso e retomar as operações normais dentro do período de indenização, quaisquer perdas indenizadas incorridas durante esse período (sejam elas lucros cessantes ou custos adicionais incorridos) são normalmente cobertas pela apólice.

No entanto, se o processo de recuperação demorar mais do que o previsto ou, mais frequentemente, se o impacto financeiro real para a empresa só se concretizar após o termo do período de indemnização, a cobertura proporcionada pela apólice de seguro deixa de se aplicar. Há várias maneiras pelas quais isso pode se materializar em um sinistro. Por exemplo, um segurado pode perder contratos de longo prazo por não poder realizar suas atividades normais, ou pode faturar trimestralmente/na conclusão do projeto e, embora o trabalho seja perdido, não há impacto financeiro para a empresa dentro do período de indenização. As perdas cibernéticas também são amplamente divulgadas e a possibilidade de danos contínuos à reputação é uma preocupação significativa.

Limitações da cobertura

Uma vez terminado o período de indemnização, a apólice de seguro geralmente não cobre quaisquer perdas adicionais incorridas para além desse período. Isto significa que quaisquer perdas sofridas após o termo do período de indemnização não serão indemnizadas pela seguradora, mesmo que tenham resultado diretamente do evento original.

É importante ressaltar, e o que às vezes é menos considerado, que o inverso também é verdadeiro, e isso deixa as seguradoras expostas. Se um segurado sofrer uma perda durante o período de indenização, mas depois recuperar totalmente essa perda após o término do período de indenização, as seguradoras são obrigadas a reembolsar o segurado pelas perdas sofridas, mesmo que tenha ocorrido uma recuperação parcial ou total que normalmente compensaria as perdas reclamadas.

Isso é especialmente pertinente quando se trata de perdas cibernéticas por duas razões principais. Em primeiro lugar, conforme discutido anteriormente, as apólices cibernéticas normalmente listam períodos de indenização mais curtos. Em segundo lugar, às vezes pode ser difícil compreender o impacto total de uma violação até bem depois da recuperação. Portanto, embora a infraestrutura de rede do segurado possa estar totalmente recuperada, os impactos operacionais ainda podem não ser aparentes.

Resumo

Em resumo, se o período de indenização for muito curto e o impacto para o segurado se estender além desse período, a empresa poderá enfrentar perdas financeiras não indenizadas pelo período após o término da cobertura. Por outro lado, as seguradoras precisam estar cientes de que, embora um período de indenização curto possa parecer benéfico para fins de indenização por uma perda, ele pode funcionar a favor do segurado se qualquer recuperação for feita após o término do período de indenização.

A definição correta de um período de indenização no início ou na renovação da apólice pode fazer uma diferença significativa nas implicações práticas de um sinistro. É importante consultar especialistas familiarizados com perdas por interrupção de negócios específicas da apólice em questão, a fim de garantir que as considerações apropriadas sejam feitas. Esperamos que isso resulte em uma experiência de sinistros tranquila e adequada para todas as partes.

Saiba mais > Contacte [email protected].