Řízení bezpečnostních rizik v komerční pojišťovně

Abstract

Komerční pojišťovny jsou v dnešní době vystaveny rizikům, která je obklopují a mohou pro ně mít existenční význam. Cílem diplomové práce je vymezit bezpečnostní rizika jako podmnožinu rizik operačních a popsat teoretický model řízení bezpečnostních rizik v komerční pojišťovně. Dílčím cílem práce je na základě teoretických znalostí zhodnotit klasifikaci bezpečnostních rizik v České pojišťovně, a.s., porovnat teoretický a praktický model řízení bezpečnostních rizik a upozornit na slabá místa cyklu. Pro zpracování diplomové práce byla využita metoda analýzy, syntézy a metoda srovnání. Operačními riziky se zabývá mnoho autorů a každý je klasifikuje z jiného úhlu pohledu. Diplomová práce rozebírá operační rizika z pohledu směrnice Solvency II směrodatné pro pojišťovací instituce, Basel II určené pro bankovní instituce a podle autorky P. Vodové, která vychází z Opatření ČNB k vnitřnímu řídícímu a kontrolnímu systému. Na základě těchto pohledů je prokázáno, že bezpečnostní rizika jsou podmnožinou rizik operačních, která vyplývají z nedostatečnosti nebo selhání vnitřních procesů, pracovníků a systémů nebo z vnějších událostí. Bezpečnostní rizika jsou rizika přímých či nepřímých ztrát, která jsou následkem selhání bezpečnostních opatření v oblasti fyzické, personální, informační a zabezpečení informačních systémů, včetně oblasti opatření proti podvodům. Česká pojišťovna, a.s. klasifikuje bezpečnostní rizika na personální rizika, informační rizika, rizika informačních systémů, objektová a technická rizika a riziko podvodů, včetně legalizace výnosů z trestné činnosti. Tato klasifikace je dostatečná a odpovídající soudobému pohledu na bezpečnost pojišťovacích institucí. Zaměřuje se jak na rizika interní plynoucí z vnitřních procesů pojišťovny a jejich zaměstnanců, tak neopomíjí ani existenci externích rizik zapříčiněnou jednáním klientů nebo přírodní silou. Vzhledem k povaze těchto rizik pojišťovací instituce považují za nezbytné tyto rizika řídit. Teoretický model řízení bezpečnostních rizik vychází z procesu řízení operačního rizika a každá pojišťovna proto musí na začátku vytvořit a udržovat systém řízení rizik. Následuje fáze identifikace bezpečnostních rizik, jejich analýza a hodnocení rizik. Výsledky analýzy rizik jsou podkladem pro navržení bezpečnostních opatření, která jsou následně implementována do bezpečnostní politiky pojišťovací instituce. Součástí cyklu může být dále finanční krytí rizik. V neposlední řadě je upozorněno na potřebu informovat všechny vedoucí pracovníky o identifikovaných rizicích a dohlížet na uplatňování bezpečnostní politiky v praxi. Praktický model cyklu řízení bezpečnostních rizik v České pojišťovně, a.s. je formálně zastřešen systémem řízení rizik. Za nejdůležitější fázi cyklu praktikové považují prevenci. Poté nastává fáze identifikace a analýzy rizik aplikací metody Failure Mode and Effect Analysis, která bohužel není používána vždy nebo často není dotažena do konce. Následuje fáze šetření příčin, ze které vycházejí nápravná opatření a po jejich implementaci působí jako prevence. V některých případech je zahrnuta taktéž fáze náhrady škody. Praktický model klade v poslední fázi důraz na výměnu a sdílení informací uvnitř i vně pojišťovny, avšak opomíjí pravidelnou kontrolu řízení rizik na rozdíl od teoretického modelu. Zde existuje pro bezpečnostního manažera prostor pro zlepšení. Dále je upozorněno na slabé stránky cyklu jako organizační roztříštěnost, nedostatečné sdílení informací či neúplná aplikace cyklu při řízení rizik.

Commercial insurance companies are nowadays exposed to risks that surround them and may have existential significance. The goal of the diploma thesis is to define security risks as a subset of the operational risks and to describe a theoretical model of security risk management in commercial insurance company. The partial goal is to evaluate the classification of security risks based on theoretical knowledges in Česká pojišťovna, a.s., to compare theoretical and practical model of security risk management and highlight the weaknesses of the cycle. For writing the diploma thesis were used methods of analysis, synthesis and comparative method. There is a lot of authors who deal with operational risks and each clasify them from different perspective. Diploma thesis examines the operational risks from the perspective of standard Solvency II intended for the insurance companies, Basel II designed for the banking institutions and according to P. Vodová based on ČNB provision to internal managing and control system. On the basis of these perspectives is shown that security risk are a subset of operational risks that arise from inadequate or failed internal processes, people and systems of from external events. Security risks are the risks of direct or indirect losses resulting from the failure of security measures in the areas of physical, personnel, information security and information systems, including the area of anti-fraud measures. Česká pojišťovna, a.s. classifies security risks to personal risk, information risk, risk of information systems, object and technical risk and fraud risks, including the laundering of proceeds from criminal activities. This classification is sufficient and appropriate to contemporary perspective on safety of insurance companies. It focuses on internal risks arising from internal processes of insurance companies and their employees, and does not neglect the existence of external risks caused by acts of clients or natural force. Because of the nature of these risks, the insurance companies consider as necessary to manage these risks. A theoretical model of security risk management is based on the operational risk management process and each insurance company must therefore start to create and maintain the system of risk management. The following phases are identification of security risks, their analysis and risk assessment. The results of the risk analysis is the basis for designing security measures that are implemented into the security policy of insurance companies. Part of the cycle can be further financial risk coverage. Finally, attention is drawn to the need to inform all directors about the identified risks and to supervise the implementation of security policy in practice. The practical model of security risk management in Česká pojišťovna, a.s. is formally covered with a risk management system. The practitioners consider prevention the most important phase of the cycle. Then comes the phase of identification and risk analysis by the method of Failure Mode and Effect Analysis, which unfortunately is not used always or often not followed through. The following phase is investigation of causes that is the basis for designing corrective provisions and after their implementation these provisions act as a prevention. In some cases, it also includes phase of compensation. On the last stage, the practical model puts the focus on the sharing information inside and outside the insurance company, but neglects the periodic inspection of risk management unlike the theoretical model. Here, there is a scope for improvement of the security manager. There is also pointed out weaknesses of the cycle as organizational fragmentation, lack of information sharing or incomplete application the cycle in risk management.