Imagina que dirigeixes una petita consultoria de programari. Un dimarts, tres correus electrònics diferents arriben a la teva safata d'entrada: un client diu que la integració que vas construir va corrompre una setmana de les seves comandes i vol que cobreixis els ingressos perduts; els teus propis sistemes van ser violats durant la nit i 4.000 registres de clients estan ara en mans d'un desconegut; i un competidor afirma que el gràfic comparatiu de la teva pàgina d'inici utilitza el seu logotip registrat sense permís. Tres crisis, tres advocats, tres pòlisses d'assegurança molt diferents — i la pregunta dolorosa darrere de cadascuna és la mateixa: quina pòlissa paga realment?
Si només tens una de les tres — errors i omissions tecnològics (E&O), responsabilitat cibernètica o responsabilitat de mitjans — com a mínim un d'aquests correus electrònics sortirà de la teva pròpia butxaca. Aquesta guia explica què cobreix cada pòlissa, on se superposen, on s'amaguen les llacunes i com una petita empresa tecnològica o creativa hauria de pensar a comprar les tres sense pagar de més.
Les tres pòlisses en una imatge
Les tres són pòlisses de responsabilitat, és a dir, paguen pel dany que la teva empresa causa a altres (a més de la teva defensa legal). Però cadascuna respon a un tipus diferent de dany:
| Pòlissa | Respon a la pregunta | Esdeveniment desencadenant | Comprador típic |
|---|---|---|---|
| Tech E&O | Va fallar la teva feina professional? | Error, interrupció del servei, termini incomplert, incompliment de contracte que costa diners a un client | Proveïdors de programari, desenvolupadors, consultors informàtics, MSPs |
| Responsabilitat cibernètica | Van ser atacats sistemes o dades? | Violació de seguretat, ransomware, frau en transferència de fons, violació de la privacitat | Qualsevol empresa que emmagatzemi dades o funcioni amb ordinadors |
| Responsabilitat de mitjans | El teu contingut va perjudicar algú? | Difamació, infracció de drets d'autor o marques registrades, dany publicitari | Agències, editorials, creadors, qualsevol empresa que faci publicitat |
La versió curta: E&O cobreix el que vas fer malament, cyber cobreix el que et van fer a tu (i les conseqüències sobre les dades), i media cobreix el que vas publicar. Ara els detalls que decideixen reclamacions reals.
Tech E&O: quan el teu producte de treball és el problema
Els errors i omissions tecnològics — de vegades anomenats responsabilitat professional tecnològica — cobreixen reclamacions que el teu producte o servei tecnològic no va funcionar com es va prometre i va costar diners al teu client. Els desencadenants clàssics són errors de programari, implantacions fallides, terminis incomplerts, assessorament negligent i incompliment de contracte.
Imagina un desenvolupador autònom la migració del sistema de facturació del qual factura dues vegades als clients del seu client, o un MSP la còpia de seguretat mal configurada del qual deixa un client incapaç de recuperar-se després d'una fallada del servidor. El client demanda per la pèrdua financera que va causar la teva feina. Això és una reclamació d'E&O: ningú va hackejar ningú, no es van robar dades — la teva feina simplement no va fer el que vas dir que faria.
Tres coses que cal entendre sobre tech E&O:
És la pòlissa que els teus clients empresarials exigiran. La majoria de contractes de proveïdors i acords de servei mestre requereixen prova de cobertura E&O, sovint amb límits d'1 milió de dòlars per reclamació i 2 milions agregats, abans que puguis signar. Si vens a empreses més grans, E&O no és opcional — és un cost de poder ser a l'habitació.
Cobreix pèrdues econòmiques, cosa que la responsabilitat general no fa. Una pòlissa de responsabilitat general estàndard cobreix lesions corporals i danys a la propietat, no els beneficis perduts d'un client perquè el teu codi va fallar. Els empresaris que assumeixen que la seva responsabilitat general o la pòlissa de propietari d'empresa cobreix errors professionals descobreixen la llacuna només quan es denega una reclamació.
Les despeses de defensa poden erosionar els teus límits. Moltes pòlisses E&O paguen la defensa legal del mateix límit que paga els acords, així que una pòlissa d'1 milió amb 300.000 dòlars en factures de defensa té 700.000 dòlars restants per a la reclamació real. Quan comparis pressupostos, pregunta si la defensa és dins o fora dels límits — fora és una cobertura significativament millor pel mateix import nominal.
Si construeixes, integres, allotges, assessores o gestiones tecnologia per a clients, tech E&O és la teva pòlissa fonamental. Tota la resta es superposa a sobre.
Responsabilitat cibernètica: quan l'atac t'arriba a tu
La responsabilitat cibernètica cobreix els costos de respondre i recuperar-se d'un incident cibernètic — a més de les demandes que et culpen per un. Té dues meitats:
Cobertura de primera part paga els teus propis costos d'incident: investigació forense per esbrinar què va passar, orientació legal sobre els deures de notificació de violacions, costos de notificació a clients i centre de trucades, monitoratge de crèdit, negociació i pagament de ransomware, restauració de dades, pèrdua d'ingressos comercials durant el temps d'inactivitat, i frau en transferència de fons quan un correu electrònic falsificat enganya algú perquè enviï diners a criminals.
Cobertura de tercera part paga quan altres et demanden per l'incident: clients les dades dels quals van quedar exposades, reguladors que persegueixen multes i sancions (quan són assegurables), i marques de targetes de pagament que avaluen costos després que les dades de targetes es comprometin.
Els números expliquen per què existeix aquesta pòlissa. Les petites empreses paguen una mitjana d'aproximadament 130 a 145 dòlars al mes per cobertura cibernètica — uns 1.500 a 1.750 dòlars a l'any — mentre que una sola violació que impliqui registres de clients pot costar a una petita empresa des de 120.000 dòlars fins a set xifres investigar-la i resoldre-la. Uns quants anys de primes costen menys que un sol incident no assegurat, i només un 10 a 20 per cent estimat de les petites i mitjanes empreses tenen la cobertura.
Fixeu-vos en el que la cobertura cibernètica no fa: no cobreix la reclamació que el teu programari estava mal escrit. Si les dades del teu client es filtren a causa d'una vulnerabilitat en el codi que vas enviar, la demanda del teu client contra tu per negligència professional va al teu tech E&O — mentre que els teus propis costos forenses i de notificació van a la teva pòlissa cibernètica. Un incident, dues pòlisses, dues factures diferents. Aquesta és la divisió més malentesa de l'assegurança tecnològica, i la raó per la qual les empreses tecnològiques normalment necessiten totes dues.
Responsabilitat de mitjans: quan el teu contingut és el problema
La responsabilitat de mitjans — una forma d'E&O escrita per a riscos editorials — cobreix reclamacions derivades del contingut que crees o distribueixes: difamació i descrèdit, infracció de drets d'autor i marques registrades, invasió de la privacitat, plagi i publicitat enganyosa.
No cal que siguis una empresa de mitjans per necessitar-la. Qualsevol empresa que publiqui entrades de blog, faci anuncis, publiqui a xarxes socials, enviï correu electrònic de màrqueting o posi pàgines de comparació al seu lloc web està publicant. Una foto d'estoc utilitzada més enllà dels termes de la seva llicència, un cas d'estudi que cita un client que mai ho va aprovar, una publicació a xarxes socials que repeteix una afirmació no verificada sobre un competidor — cadascuna és una reclamació de mitjans esperant el lector equivocat.
Dos malentesos deixen les empreses exposades aquí:
"La meva responsabilitat general cobreix el dany publicitari." En part, i aquesta és la trampa. Les pòlisses de responsabilitat general comercial inclouen una secció limitada de dany personal i publicitari, però és estreta, limitada als límits modests de la pòlissa, i escrita per a empreses de relliscades i caigudes que ocasionalment fan publicitat — no per a empreses el contingut de les quals és el producte. Agències, editorials, desenvolupadors amb màrqueting intensiu en contingut, i qualsevol que faci publicitat comparativa habitualment la superen. La responsabilitat de mitjans és el substitut fet a mida.
"Les reclamacions de drets d'autor només passen a grans editorials." L'aplicació automatitzada de llicències d'imatges i la vigilància de marques registrades han fet que les cartes de demanda a petites empreses siguin rutinàries. Una sola imatge sense llicència pot produir una demanda d'acord diverses vegades el cost d'un aval anual de mitjans, i la defensa contra una reclamació de difamació fins i tot sense mèrits s'enfonsa bé dins de les cinc xifres.
Per a moltes petites empreses, la responsabilitat de mitjans arriba com un aval en una pòlissa tech E&O o cibernètica en lloc d'una compra independent — cosa que és convenient, però significa que hauries de comprovar el sublímit. Un sublímit de mitjans de 25.000 dòlars dins d'una pòlissa E&O d'1 milió no és 1 milió de cobertura de mitjans.
On es difuminen les línies (i s'obren les llacunes)
Els incidents reals rarament respecten les fronteres de les pòlisses. Les superposicions perilloses s'agrupen en tres llocs:
El teu codi causa la violació del teu client. Com s'ha assenyalat anteriorment, la demanda per negligència del client colpeja el teu tech E&O mentre que els teus costos de resposta a l'incident colpegen la teva pòlissa cibernètica. Si només en tens una, la meitat de l'incident no està assegurada. Les empreses tecnològiques haurien de tractar E&O-més-cibernètica com una parella, idealment d'una sola asseguradora en un formulari combinat de tech E&O/cibernètica perquè les dues meitats no puguin assenyalar-se mútuament sobre quina cobertura s'aplica.
El contingut del teu lloc web desencadena tant mitjans com cibernètica. Una entrada de blog difamatòria és una reclamació de mitjans; la mateixa entrada que exposa dades privades de clients afegeix un element de responsabilitat per privacitat que pot caure sota cibernètica. Els formularis combinats ho gestionen amb més elegància que pòlisses separades amb exclusions separades.
La responsabilitat contractual excedeix la concessió de la pòlissa. El teu contracte amb el client pot prometre indemnització, garanties, responsabilitat il·limitada o estàndards de seguretat específics. Les pòlisses E&O cobreixen part de la responsabilitat assumida per contracte i exclouen la resta, i les pòlisses cibernètiques sovint exclouen el fracàs de mantenir els controls de seguretat promesos. Llegeix els requisits del contracte contra les exclusions de la pòlissa abans de signar l'acord amb el client, no després de la reclamació.
I una trampa estructural abasta les tres pòlisses: gairebé sempre són claims-made, no basades en esdeveniments. Una pòlissa claims-made només cobreix reclamacions fetes per primera vegada mentre la pòlissa està activa (més un període de cua opcional). Deixa que la cobertura caduqui, i la feina que vas fer durant anys queda sobtadament no assegurada contra reclamacions presentades demà. Quan canviïs d'asseguradora, preserva la teva data retroactiva — l'inici retrospectiu de la feina coberta — o compraràs una llacuna amb la teva nova pòlissa. Mai deixis que una pòlissa claims-made caduqui sense comprar cobertura de cua si mai podries ser demandat per feina passada.
Quant costa la cobertura i com comprar-la
Les primes varien amb els ingressos, el nombre d'empleats, el sector, el volum de dades, els límits i l'historial de reclamacions, però els punts de referència per a petites empreses s'agrupen de manera útil:
- Responsabilitat cibernètica: aproximadament 130 a 145 dòlars al mes per a una petita empresa, o uns 1.500 a 1.750 dòlars a l'any, amb primes anuals que van des d'uns quants centenars de dòlars per a una exposició mínima de dades fins a 8.000 dòlars o més per a empreses amb moltes dades.
- Tech E&O: típicament 500 a 2.000 dòlars a l'any per a desenvolupadors autònoms i microempreses amb límits d'1 milió, augmentant amb els ingressos i els requisits contractuals. Una petita consultoria informàtica que agrupa responsabilitat general, E&O, cibernètica i cobertura de pràctiques laborals sovint se situa entre 3.500 i 5.000 dòlars a l'any tot inclòs.
- Responsabilitat de mitjans: sovint la més barata com a aval — freqüentment uns quants centenars de dòlars a l'any afegits a E&O o cibernètica — amb pòlisses independents per a editorials i agències que surten més cares.
Cinc regles de compra mantenen la despesa eficient:
- Agrupa tech E&O i cibernètica amb una sola asseguradora. Els formularis combinats costen menys que pòlisses separades i eliminen la llacuna d'assenyalar-se mútuament quan un incident desencadena totes dues.
- Adapta els límits als teus contractes, no a la teva comoditat. Si els teus tres clients més grans requereixen 2 milions agregats, aquest és el teu mínim independentment del que sembli suficient.
- Protegeix la data retroactiva. Obtén cobertura completa d'actes previs o, com a mínim, una data retroactiva que coincideixi amb el teu primer dia de negoci, i mantén-la en cada renovació i canvi d'asseguradora.
- Documenta els teus controls de seguretat abans de sol·licitar. L'autenticació multifactor, les còpies de seguretat xifrades, la protecció d'endpoints i un pla de resposta a incidents són cada vegada més requisits de subscripció per a cibernètica — i els mateixos controls guanyen millors primes.
- Llegeix les exclusions pels teus riscos reals. Les exclusions de coneixement previ, les exclusions àmplies de serveis professionals dins dels formularis cibernètics i els avals de mitjans amb sublímits són on les pòlisses barates amaguen la seva barator.
Mantén les primes (i el rastre de paper) als teus llibres
L'assegurança és una de les poques despeses empresarials que és alhora totalment deduïble i freqüentment mal registrada. Les primes per cobertura de responsabilitat empresarial — E&O, cibernètica, mitjans, responsabilitat general — són despeses empresarials ordinàries i necessàries, deduïbles l'any en què es paguen. Però un sol compte de llibre major "Assegurances" que amagui totes les pòlisses convida a dos problemes: no pots veure quina cobertura costa què a l'hora de renovar, i no pots provar un historial de pèrdues netament quan un subscritor o auditor ho demana.
La millor pràctica és un subcompte dedicat per pòlissa — alguna cosa com Expenses:Insurance:Tech-EO, Expenses:Insurance:Cyber, Expenses:Insurance:Media — perquè cada pressupost de renovació es compari amb el seu propi historial i les tendències de primes siguin visibles any rere any. Si utilitzes comptabilitat en text pla, els noms de comptes jeràrquics et donen aquesta estructura gratis; la documentació de Beancount per començar mostra com les jerarquies de comptes s'organitzen soles sense cap manteniment de pla de comptes.
La mateixa disciplina s'aplica als costos d'incident. Les franquícies, les factures legals no cobertes, la forense, els proveïdors de notificació i les subscripcions de monitoratge de crèdit s'haurien d'etiquetar a l'incident — una etiqueta de projecte dedicada o subcompte per esdeveniment — perquè puguis reportar la pèrdua completa a l'asseguradora, fonamentar la deducció i, igual d'important, veure què va costar realment l'incident quan decideixis els límits de l'any vinent. Les empreses que dispersen la despesa d'incidents entre comptes genèrics subestimen constantment la seva exposició real i compren límits insuficients l'any següent.
Finalment, posa al calendari les teves dates retroactives i dates de renovació juntament amb la teva llista de verificació de tancament de mes. Una pòlissa claims-made caducada és una fallada de comptabilitat amb conseqüències d'assegurança: els llibres es veuen bé, fins que arriba la reclamació no coberta.
Protegeix l'empresa que estàs construint
El teu codi, els teus sistemes i el teu contingut són tres superfícies de risc diferents, i cap pòlissa única cobreix més que la seva pròpia. Si vens feina tecnològica, comença amb tech E&O, aparella-la amb responsabilitat cibernètica de la mateixa asseguradora, i assegura't que la teva publicació — el blog, els anuncis, les pàgines de comparació — estigui coberta per una concessió real de mitjans en lloc de la prima clàusula de dany publicitari de la teva responsabilitat general. Adapta els límits als teus contractes amb clients, guarda la teva data retroactiva, i mantén cada prima i cost d'incident on els teus llibres puguin trobar-los.
Mantenir registres financers clars és el que converteix l'assegurança d'una pila de PDFs en una funció empresarial gestionada. Beancount.io proporciona comptabilitat en text pla que et dóna transparència i control complets sobre les teves dades financeres — sense caixes negres, sense dependència de proveïdor. Comença gratis i descobreix per què els desenvolupadors i els professionals financers s'estan passant a la comptabilitat en text pla.
