Уголовные риски IT-компании: топ-5 составов

Профиль IT-компании: почему этот бизнес в зоне повышенного уголовного риска

IT-компания сочетает три фактора, которые привлекают следствие: высокая маржинальность при непрозрачной для внешнего проверяющего модели («продали код — почему такие деньги?»), активное использование гражданско-правовых схем найма (ИП, самозанятые), и работа с чужими данными и кодом. По данным Судебного департамента при Верховном суде РФ, в 2024 году число приговоров по делам, связанным с IT-сферой, выросло по сравнению с 2022 годом более чем на треть.

Для понимания своего положения важно разграничить три роли: собственник несёт риски по налоговым и корпоративным составам; наёмный директор — по мошенничеству в отношениях с клиентами и злоупотреблению полномочиями; технический руководитель или разработчик — по компьютерным преступлениям и нарушению режима охраны информации. Все три роли могут пересекаться в одном лице — и тогда диапазон рисков максимален.

Почему договор на разработку может стать основанием для дела по статье 159 УК РФ?

Мошенничество по статье 159 УК РФ применяется к IT-компании, когда заказчик считает, что получил не то, за что заплатил, а следствие квалифицирует это как умысел на хищение путём обмана. Порог уголовной ответственности по части 3 — ущерб свыше 4,5 млн ₽, по части 4 (организованная группа или особо крупный размер) — свыше 18 млн ₽. Именно в этом диапазоне находится большинство контрактов на корпоративную разработку.

Состав образуется по одному из трёх сценариев:

• Аванс без результата. Компания получила предоплату, проект не сдан, договор расторгнут — заказчик заявляет о хищении. На практике следствие возбуждает дело, даже если разработка шла, но не была завершена по техническим причинам.
• Споры о качестве. Заказчик утверждает, что ПО не соответствует ТЗ; исполнитель — что требования менялись. Следствие при наличии переписки о «нерабочем продукте» трактует это как сознательное введение в заблуждение.
• Аутстаффинг и «мёртвые души». Компания выставляет счёт за работу специалистов, которые фактически не работали или работали меньше заявленного объёма часов.

Собственник и директор рискуют одновременно: собственник — как лицо, давшее указание или получившее выгоду, директор — как непосредственный исполнитель сделки. Главный бухгалтер попадает в периметр, если участвовал в формировании актов приёмки.

Описанный выше риск типичен для IT-компаний с выручкой от 30 млн ₽ в год. Конкретная ситуация зависит от модели договора, структуры приёмки и наличия переписки о качестве продукта.

Как налоговые риски IT-компании трансформируются в уголовные по статье 199 УК РФ?

Уголовная ответственность за уклонение от уплаты налогов по статье 199 УК РФ наступает при недоимке свыше 18,75 млн ₽ за три финансовых года подряд (крупный размер по части 1) или свыше 56,25 млн ₽ (особо крупный по части 2). IT-компании формируют такую недоимку быстрее, чем компании других отраслей, из-за специфики модели найма: найм через ИП и самозанятых при фактической трудовой зависимости квалифицируется ФНС как схема дробления или уклонение от уплаты страховых взносов.

Цепочка риска выглядит так: ФНС проводит выездную проверку → доначисляет налоги и взносы → при недоимке свыше порога направляет материалы в Следственный комитет → СК возбуждает дело по статье 199 или 199.1 УК РФ в отношении директора или главного бухгалтера. Передача материалов в СК происходит в течение 10 дней после вступления в силу решения по налоговой проверке (статья 32 НК РФ).

Три сценария по роли:

• Собственник ООО — риск статьи 199 как лицо, давшее указания на схему дробления или использование фиктивных контрагентов.
• Наёмный директор — основной субъект статьи 199; санкция по части 2 — до 6 лет лишения свободы.
• Главный бухгалтер — соучастник (часть 2 статьи 199) при доказанной осведомлённости о схеме. Отдельный риск — статья 199.1 УК РФ (неперечисление НДФЛ налоговым агентом), порог — 9,375 млн ₽.

Что подготовить для снижения риска при налоговой проверке:

• Экономическое обоснование каждого ИП-подрядчика: проекты, акты, конкретный результат
• Документы, подтверждающие самостоятельность каждого самозанятого
• Расчёт налоговой нагрузки в сравнении со среднеотраслевыми показателями ФНС
• Юридическое заключение о соответствии схемы найма требованиям НК РФ

Какую уголовную ответственность несёт разработчик или CTO за компьютерные преступления по статьям 272–274 УК РФ?

Неправомерный доступ к охраняемой компьютерной информации (статья 272 УК РФ), создание и использование вредоносных программ (статья 273 УК РФ) и нарушение правил эксплуатации систем (статья 274 УК РФ) — три состава, которые непосредственно затрагивают технических сотрудников IT-компании. Санкция по части 3 статьи 272 достигает 5 лет лишения свободы при ущербе свыше 1 млн ₽ или при использовании служебного положения.

Практически значимые ситуации:

• Уволенный разработчик копирует репозиторий или клиентскую базу перед уходом — статья 272 в отношении бывшего сотрудника, потенциально и статья 183.
• Пентест без надлежащего оформления. Тестирование на проникновение без письменного согласия заказчика образует состав статьи 272 даже при добросовестном намерении. Договор на пентест должен прямо указывать конкретные системы, сроки и методы — без этого технический специалист остаётся субъектом уголовной ответственности.
• Разработка инструментов с двойным использованием. Скрипт, созданный для внутреннего использования и переданный третьему лицу, применившему его для атаки, может быть квалифицирован как распространение вредоносной программы по статье 273 УК РФ. Санкция — до 4 лет лишения свободы.

Для технического директора наиболее значим риск при обыске: рабочие компьютеры и серверы изымаются по статье 182 УПК РФ, а доступ к клиентским данным на этих устройствах может стать самостоятельным поводом для предъявления обвинения по статье 272. Подробнее о порядке действий при обыске — в материале уголовно-правового аудита бизнеса.

Когда использование чужого кода или библиотек становится уголовным по статье 146 УК РФ?

Нарушение авторских прав (статья 146 УК РФ) применяется к IT-компании при незаконном использовании программного обеспечения в коммерческих целях. Порог по части 2 — ущерб свыше 100 000 ₽, по части 3 (организованная группа или особо крупный) — свыше 1 млн ₽. Санкция по части 3 — до 6 лет лишения свободы. В расчёт ущерба следствие включает розничную стоимость лицензий на всё выявленное нелицензионное ПО.

Ключевые риски для IT-компании по статье 146 УК РФ:

• Использование проприетарных библиотек или SDK без лицензии в коммерческом продукте
• Продажа ПО, в состав которого включены компоненты с ограничительными open source лицензиями (GPL), без соблюдения их условий
• Использование конкурентного кода, полученного от перешедшего разработчика

Для собственника и директора риск статьи 146 часто сочетается с гражданским иском об упущенной выгоде. Для главного бухгалтера — при наличии доказательств того, что он подписывал акты об использовании нелицензионного ПО.

Чем грозит утечка клиентских данных или кода конкурентам по статье 183 УК РФ?

Незаконное получение и разглашение сведений, составляющих коммерческую тайну, регулируется статьёй 183 УК РФ. Часть 2 (разглашение или использование без согласия правообладателя) — до 3 лет лишения свободы; часть 4 (тяжкие последствия или корыстный мотив) — до 7 лет. Статья применима только при наличии надлежащего режима коммерческой тайны по Федеральному закону № 98-ФЗ «О коммерческой тайне».

Для IT-компании статья 183 УК РФ работает в двух направлениях одновременно:

• Компания как потерпевший — при уходе разработчика с клиентской базой, исходным кодом или алгоритмами. Без оформленного режима коммерческой тайны (перечень, маркировка носителей, соглашения с сотрудниками) состав не образуется и уголовное дело не возбудят.
• Сотрудники компании как субъекты преступления — при передаче данных заказчика конкурентам или третьим лицам в ходе аутстаффинга.

Что делать IT-директору и собственнику при угрозе уголовного преследования?

При появлении признаков уголовного интереса к компании — запроса от следователя, повестки на допрос, появления сотрудников полиции или ФСБ — у руководителя есть узкое окно для превентивных действий. Статья 91 УПК РФ позволяет задержать подозреваемого на срок до 48 часов без предъявления обвинения; в этот период критически важно обеспечить присутствие защитника.

Практические шаги при первых признаках угрозы:

• Зафиксировать все документы, подтверждающие добросовестность: переписка с заказчиком, акты, git-история, банковские выписки
• Ввести запрет на самостоятельное общение сотрудников со следователями без согласования с юристом
• Не уничтожать документы и переписку — это отдельный риск по статье 294 УК РФ
• Организовать консультацию по уголовному праву до первого контакта со следствием

Матрица рисков по составам и ролям:

Стоимость превентивных мер — уголовно-правового аудита и разработки регламентов — существенно ниже стоимости защиты по возбуждённому делу. Уголовно-правовой аудит для IT-компании с выручкой до 300 млн ₽ занимает 2–4 недели; результат — карта рисков, регламент поведения при следственных действиях и пакет корректирующих документов. Запрос на аудит доступен через линию экстренной юридической помощи.

После предъявления обвинения по части 3 статьи 159 УК РФ у стороны защиты есть, как правило, 48–72 часа до выбора судом меры пресечения. Промедление с привлечением адвоката в этот период существенно сужает процессуальные возможности защиты.

Уголовные риски IT-компании концентрируются в пяти составах, каждый из которых применяется по-разному к собственнику, директору, бухгалтеру и разработчику. Большинство рисков предотвратимы на этапе превентивного аудита — до того, как ФНС направит материалы в СК или заказчик напишет заявление в полицию.

«Ветров. 49» — специализированный юридический бутик по уголовной защите бизнеса. Рейтинг Право·300 с 2017 года, Best Lawyers 2021, более 1000 проектов. Команда ведёт дела по всем пяти составам, описанным в этой статье, включая IT-специфику: споры по договорам разработки, налоговые схемы с самозанятыми и ИП, компьютерные преступления и утечки данных.