Что такое экспертиза информационной системы и как получить экспертное заключение для суда

Представим ситуацию. Подрядчик сдал ERP-систему, которая зависает при обработке данных заказчика. Из-за этого заказчик задерживает приемку и оплату. Подрядчик возражает – система работает штатно, проблемы в инфраструктуре клиента. У каждой стороны есть акты, переписка и графики нагрузки. Такие конфликты возникают постоянно. В ситуации поможет разобраться эксперт по информационным системам.

Независимая экспертиза информационной системы отвечает на вопросы, которые судья и юристы без технической подготовки разрешить не могут: соответствует ли система техническому заданию, в каком состоянии она находилась на ключевую дату, каковы причины сбоев.

Разберём, как устроена информационная экспертиза, чем заключение эксперта отличается от аудита, какие вопросы ставить перед специалистом и как получить документ, который суд примет без возражений.

Что изучает эксперт

Информационная система – это совокупность программных, аппаратных и организационных компонентов: серверы и рабочие станции, операционные системы и прикладные программы, базы данных, сетевое оборудование, средства защиты информации. Экспертиза информационной системы представляет собой исследование этой совокупности с целью установления обстоятельств, имеющих юридическое значение.

Правовую основу процедуры задаёт Федеральный закон от 26.05.2001 № 73-ФЗ «О государственной судебно-экспертной деятельности в Российской Федерации». Он закрепляет статус эксперта, его права и обязанности, требования к оформлению заключения. В гражданском процессе назначение исследования регулирует статья 79 ГПК РФ, в уголовном – глава 27 УПК РФ (статьи 195–207).

Задача эксперта – ответить на вопросы, поставленные в определении суда, договоре или постановлении следователя. Эксперт не советует стороне, как вести процесс, и не оценивает правовые последствия своих выводов. За каждым выводом стоит техническая методика, которую при необходимости могут проверить другие специалисты.

Экспертиза и аудит – две разные услуги

Заказчики нередко путают информационную экспертизу с аудитом информационной безопасности. И вот почему.

Аудит отвечает на вопрос, насколько система защищена сейчас и что улучшить. Его результат – отчёт с рекомендациями для руководства компании. Экспертиза устанавливает факты: что произошло в системе, в каком состоянии она была на определённую дату, соответствует ли она требованиям договора. Результат экспертизы – заключение, которое представляют в суд или следствие. Автора могут вызвать в заседание, чтобы он ответил на вопросы об исследовании.

Проще говоря: если цель – повысить защищённость, заказывают аудит. Если ущерб уже причинён и предстоит претензия либо спор, нужна именно информационная экспертиза.

Когда заключение – решающий аргумент в суде

Типовые ситуации из судебной практики:

• спор с подрядчиком о качестве внедрённой системы (ERP, CRM, сайт, мобильное приложение);
• претензии о нарушении авторских прав на программное обеспечение;
• расследование утечки данных или взлома корпоративной сети;
• оценка ущерба от сбоя, приостановившего работу компании;
• споры об оплате: заказчик уверен, что получил продукт с дефектами, исполнитель настаивает на обратном;
• корпоративный конфликт, где активом выступает разработанная система, а её стоимость подлежит установлению.

Экспертиза бывает судебной и досудебной. Судебную назначает суд по ходатайству стороны или по собственной инициативе, её поручают экспертной организации, отобранной в установленном порядке. Досудебную заказывает сама сторона спора, чтобы оценить перспективы дела и обосновать ходатайство о назначении судебной экспертизы.

Какие вопросы ставит перед экспертом суд

Формулировка вопросов – самая тонкая часть процедуры. Суд исследует заключение строго в пределах того, что спросил. При этом ответы должны быть понятны юристам и применимы для мотивировки решения.

Типовые вопросы информационной экспертизы:

1. Соответствует ли функциональность системы требованиям технического задания?
2. Имеются ли в системе недостатки и каков их характер?
3. Возможна ли эксплуатация системы с выявленными недостатками?
4. Какова стоимость устранения дефектов?
5. Имел ли место несанкционированный доступ к данным, когда и каким способом?
6. Соответствует ли фактически переданный заказчику объём работ оплаченному?

Три правила:

• вопросы должны касаться фактов;
• каждый вопрос обязан быть решаемым техническими методами;
• вопросы желательно формировать вместе с экспертом до подачи ходатайства, а не после.

Помните: рекомендации эксперта, содержащиеся в заключении, не подлежат исследованию судом (часть 4 статьи 25 ФЗ-73). Доказательственное значение имеют только ответы на поставленные вопросы. Просите эксперта давать рекомендации, но выстраивайте позицию на его выводах о фактах.

Виды информационной экспертизы

В зависимости от объекта исследования выделяют несколько видов.

В спорах о внедрённых корпоративных системах исследование обычно носит комплексный характер и сочетает несколько видов: эксперт проверяет и соответствие ТЗ, и работоспособность, и данные журналов.

Как проходит экспертиза – 5 этапов

1. Оформление основания: договор для досудебной экспертизы, определение суда или постановление следователя для судебной.
2. Согласование вопросов и перечня материалов с экспертом.
3. Передача специалисту технических средств и документации: дистрибутивы, логи, базы данных, техническое задание, переписка сторон.
4. Исследование: тестирование, анализ кода, изучение журналов, расчёты. Продолжительность зависит от масштаба системы и объёма данных.
5. Оформление и выдача заключения.

Полнота исходных материалов напрямую влияет на силу выводов. Например, отсутствие журналирования исследования нередко само становится предметом экспертной оценки и работает против той стороны, которая обязана была вести учёт.

Из чего состоит заключение

Заключение – документ строго регламентированной структуры:

1. Вводная часть: реквизиты организации, сведения об эксперте, основание исследования, перечень вопросов.
2. Исследовательская часть: проведённые мероприятия, применённые методики и оборудование, описание состояния объекта.
3. Аналитическая часть: расчёты и сопоставление данных.
4. Выводы: ответы на каждый поставленный вопрос с обоснованием.
5. Приложения: фотоматериалы, акты испытаний, копии документов.
6. Дата составления, подписи, печать.

Материалы, отражающие ход исследования, остаются в экспертной организации. Лицо, назначившее судебную экспертизу, вправе истребовать их и приобщить к делу.

Как получить экспертное заключение для суда (по шагам)

Досудебный порядок для компании, готовящей иск:

1. Собрать договор, техническое задание, акты, переписку, логи – всё, что относится к системе.
2. Обратиться в экспертную организацию, изложить суть спора и получить консультацию по вопросам.
3. Заключить договор и передать материалы.
4. Получить заключение, а при необходимости – информационное письмо о готовности организации провести судебную экспертизу.
5. Использовать заключение в претензионной работе и приложить к иску или ходатайству о назначении судебной экспертизы.

Если экспертиза уже назначена судом, стороны вправе ознакомиться с материалами исследования, заявлять отводы и предлагать дополнительные вопросы эксперту. Пропустить эти возможности – значит отдать инициативу оппоненту.

Примерная стоимость и сроки

Цена зависит от объёма работ и сложности информационной системы, точную сумму до изучения материалов назвать невозможно. Ориентиры рынка: письменная консультация – от 20000-35000 рублей, заключение специалиста – от 50000-70000 рублей, заключение эксперта по гражданскому делу – от 75000-90000 рублей, по уголовному – от 130000-200000 рублей. Комплексная экспертиза корпоративной системы начинается примерно от 100 000 рублей.

Сроки – от нескольких дней для узкого вопроса до двух-четырёх недель для комплексного исследования. Срочное выполнение обычно удорожает работу на 50-100%.

При выигрыше дела суд взыщет с проигравшей стороны расходы на экспертизу вместе с прочими судебными издержками (статья 98 ГПК РФ).

Порядок работы у профильных организаций похож:

1. Оставить заявку и описать спор: система, стороны, что произошло.
2. Получить консультацию эксперта и расчёт стоимости.
3. Заключить договор и передать материалы.
4. Получить заключение в оговорённый срок, при необходимости – с участием специалиста в судебном заседании.

Хорошая экспертная организация до заключения договора проверит, относится ли задача к её компетенции, поможет сформулировать вопросы и предупредит о рисках: каких данных не хватает и какие выводы суд может не принять.

Ошибки, которые обесценивают заключение

• вопросы сформулированы оценочно: «некачественно», «недобросовестно»;
• эксперт не по специальности: суд назначит повторную экспертизу другому специалисту;
• часть важных логов и данных уже утеряна к моменту исследования;
• вопросы поставлены о законности, виновности или размере взыскания – эти оценки относятся к компетенции суда;
• заключение опирается только на материалы одной стороны без проверки позиции другой.

Если заключение противоположной стороны вызывает сомнения, юрист вправе подготовить рецензию на него и ходатайствовать о назначении дополнительной или повторной экспертизы.

Вывод

Экспертиза информационной системы превращает сухие, технические данные в факты, понятные суду. Результат определяют 3 момента:

1. грамотные вопросы;
2. компетентный эксперт;
3. собранный массив исходных данных.

Компании, которые заказывают исследование до иска, заметно чаще выигрывают суд.