Валерий Комаров, аудитор ИБ, отдел методологии информационной безопасности, управление информационной безопасности, ДИТ города Москвы.
В статье анализируется риск привлечения к уголовно-правовой ответственности руководителей организаций, оказывающих услуги по мониторингу информационной безопасности средств и систем информатизации и/или наладке средств защиты информации.
Вступление 17.06.2017 в силу постановления Правительства Российской Федерации от 15.06.2016 № 541 "О внесении изменений в некоторые акты Правительства Российской Федерации по вопросам лицензирования отдельных видов деятельности" привело к ситуации, когда все организации, оказывающие услуги по мониторингу информационной безопасности средств и систем информатизации и/или наладке средств защиты информации, оказались нарушителями Федерального закона от 04.05.2011 № 99-ФЗ "О лицензировании отдельных видов деятельности".
С точки зрения судов не важна причина оказания организацией услуг по лицензируемым видам деятельности без лицензии на осуществление этих видов деятельности (далее -- лицензия), вне зависимости от того, вызвана ли она отсутствием административных процедур ФСТЭК России по оформлению лицензий¹, длительностью процесса оформления лицензии² или умыслом на совершение противоправных действий. Ответственности за осуществление организацией лицензируемого вида деятельности без наличия лицензии подлежит руководитель организации³.
Законодательством Российской Федерации за осуществление лицензируемого вида деятельности без наличия лицензии предусмотрена административная и уголовная ответственность. При квалификации действий руководителя организации и привлечении к ответственности основным критерием является размер полученного дохода4 за осуществление лицензируемых видов деятельности без лицензии. При этом организациями часто недооценивается срок давности по таким преступлениям. Получение организацией лицензии или прекращение действия договора на оказание данных услуг не повод расслабиться -- в зависимости от полученного дохода руководитель организации может быть привлечен к ответственности и по прошествии шести лет. Важно также отметить, что ФСТЭК России может рассматривать только дела5 об административных правонарушениях. Сведем уголовно-правовые риски в табл. 1.
Таблица. Уголовно-правовые риски
Рассмотрим уголовно-правовые последствия для организации-исполнителя (см. рисунок), заключившей договор "Оказание информационно-технологических услуг по мониторингу информационной безопасности ООО "Наименование 1" в начале 2017 г. Срок действия договора: с 01.05.2017 по 30.04.2018, стоимость услуг 3 млн руб., акт сдачи-приемки оформляется ежемесячно6.
Изменение ответственности исполнителя при выполнении договора мониторинга
Организация может избежать совершения административного правонарушения только подачей заявления в ФСТЭК России на предоставление лицензии 19.06.2017, т.к. процесс выдачи лицензии не может начаться ранее вступления в силу постановления Правительства Российской Федерации от 15.06.2016 № 541. Если организация не получила лицензию до февраля 2018 г., то ее руководитель совершил уголовное преступление небольшой тяжести. Для квалификации его действий как преступления средней тяжести недостаточно дохода по этому договору. Однако, возможно, в организации существуют подобные договоры с другими заказчиками и суммарный доход превышает 9 млн руб.
При этом надо понимать, что попытка маскировать факт оказания лицензируемых услуг изменением формулировок в названиях оказываемых услуг не является эффективной, следственные органы имеют богатый опыт по выявлению и доказательству незаконной деятельности, скрытой в договорах под "безобидными" названиями. Наказывается деятельность, а не использование определенных слов/словосочетаний в ее названии. Так, для доказательства вины ООО "Державинское" следствием изымались и использовались в том числе следующие типы документов:
Правоприменительная практика уголовного наказания за осуществление предпринимательской деятельности без лицензий очень обширна, стандартным наказанием по решению суда является назначение штрафа от 85 тыс. до 250 тыс. руб. Казалось бы, наказание минимальное и несоизмеримо со стоимостью выполнения требований к лицензиатам: дешевле платить штраф, чем получить лицензию ФСТЭК России. Однако необходимо еще оценить репутационный и финансовый ущерб, поскольку действующие договоры на оказание услуг будут расторгнуты по вине исполнителя.
Необходимо учитывать, что возможно использование уголовного преследования для конкурентной борьбы, рейдерского захвата или смены неугодного руководителя организации. Так, для обеспечения следственных действий проводится выемка бухгалтерской и договорной документации, изъятие и экспертиза серверного оборудования и т.д. Возможна конфискация серверного оборудования и специализированного программного обеспечения, используемого в организации для мониторинга ИБ.
Пока же индустрию информационной безопасности спасает высокая загруженность следственных органов и "мягкость" наказания по ст. 171 УК РФ. Плановые показатели по таким преступлениям легко выполняются по делам "игровой" и "алкогольной" направленности.
1. Провести анализ выполненных и действующих договоров на предмет осуществления деятельности, требующей наличия лицензий в соответствии с законодательством Российской Федерации.
2. Провести анализ возможностей применения к организации методов "недобросовестной" конкуренции в перспективе до пяти лет.
3. Оценить риски осуществления деятельности, требующей наличия лицензий в соответствии с законодательством Российской Федерации, с привлечением юристов в обязательном порядке. Оценку необходимо проводить с учетом сроков давности по ст. 171 УК РФ, а также прогноза по угрозам основной деятельности организации со стороны конкурентов.
4. Применить меры финансового планирования при заключении договоров на осуществление лицензируемого вида деятельности с целью минимизации дохода по лицензируемой деятельности, на которые у организации не имеется лицензии. Необходимо учитывать совокупный доход по всем договорам с оказанием услуг по лицензируемым видам деятельности.
5. Провести анализ опубликованных рекламных и информационных материалов и проверить корпоративные сайты на предмет предложений об оказании услуг по лицензируемым видам деятельности и отчетов о достижениях в лицензируемых сферах деятельности.
6. Ввести процедуру согласования юристами материалов PR-подразделений перед их публикацией.
7. Исключить упоминания лицензируемой деятельности в коммерческих предложениях и официальной переписке до момента получения организацией лицензии.
8. Не публиковать материалы о получении лицензии, если лицензируемая деятельность уже осуществлялась.
Под давлением на конкурсные отделы заказчика со стороны организаций-исполнителей, не имеющих соответствующих лицензий, в 2018 г. будет широко практиковаться изменение названия услуг по мониторингу информационной безопасности средств и систем информатизации и/или наладке средств защиты информации в тендерах и конкурсной закупочной документации. Прежде чем принять такое решение, просчитайте риски и трезво оцените свои возможности по такой "маскировке" незаконной деятельности. Как было показано выше, просто использование при заключении договора "безопасных" слов недостаточно.
Отдельный совет для амбициозных руководителей, планирующих серьезный карьерный рост: соизмеряйте незаконный доход от осуществления предпринимательской деятельности без необходимых лицензий с возможными перспективами вашей личной карьеры и профессионального роста. Будет очень обидно, если вас собьют на пике карьеры, используя такой "скелет" из вашего прошлого, как руководство организацией, осуществлявшей предпринимательскую деятельность без необходимых лицензий. Сам факт возбуждения уголовного дела через шесть лет легко поставит крест на вашей профессиональной деятельности. Этот козырь для недоброжелателей вы создаете сами.
Литература
[1] Постановление Пленума Верховного Суда РФ от 18.11.2004 N 23 (ред. от 07.07.2015) "О судебной практике по делам о незаконном предпринимательстве".
[2] Кодекс Российской Федерации об административных правонарушениях от 30.12.2001 N 195-ФЗ (ред. от 31.12.2017).
[3] Уголовный кодекс Российской Федерации от 13.06.1996 N 63-ФЗ (ред. от 31.12.2017).
[4] Постановление о прекращении уголовного дела (уголовного преследования) и назначении судебного штрафа от 15 декабря 2017 года по уголовному делу № 1-55/2017.