Уголовные риски IT-компании: топ-5 составов (расширенный)

Кто в IT-компании несёт уголовный риск и почему это не очевидно

Уголовный риск в IT-компании не ограничивается директором. Разработчик, DevOps-инженер, технический директор и главный бухгалтер могут оказаться фигурантами уголовного дела по совершенно разным статьям — в зависимости от конкретных действий и доступа к ресурсам. По данным МВД РФ, в 2023–2024 годах число уголовных дел с цифровым следом возросло: следователи научились работать с логами, метаданными файлов и историей коммитов в git-репозиториях.

Специфика IT-отрасли создаёт три нетипичных вектора уголовного преследования. Первый — двойственность доступа: разработчик по роду работы имеет легитимный доступ к данным клиентов, и граница между правомерным и неправомерным действием определяется должностной инструкцией и договором. Второй — сложность корпоративных структур: аутсорсинговые компании, субподряд, офшорные юрисдикции создают налоговые риски, которые следствие квалифицирует как умышленное уклонение. Третий — интеллектуальная собственность: использование open-source с несовместимыми лицензиями или иностранного ПО без надлежащего оформления превращается в уголовное дело по статье 146 УК РФ.

Типичная ошибка собственника IT-компании — делегировать «уголовные риски» юристу, который специализируется на договорном праве или корпоративных спорах. Уголовный процесс устроен иначе: следователь работает с доказательной базой, а не с договорами, и подготовка начинается задолго до возбуждения дела — на стадии доследственной проверки по статьям 144–145 УПК РФ.

Как мошенничество по статье 159 УК РФ применяется к IT-бизнесу?

Мошенничество (статья 159 УК РФ) — наиболее распространённый состав в уголовных делах против IT-компаний. Ответственность по части третьей наступает при ущербе свыше 250 000 рублей, по части четвёртой — свыше 1 миллиона рублей (санкция до 10 лет лишения свободы). Особенность применения в IT-отрасли: следствие не ограничивается очевидными схемами обмана — под статью 159 подпадают завышение стоимости разработки в государственных контрактах, фиктивные акты сдачи-приёмки и схемы с несуществующим программным обеспечением.

Четыре типовых сценария для IT-компании:

• Государственный контракт с завышенными часами разработки. Акты сдачи-приёмки подписаны, деньги получены, но фактический объём работ значительно меньше заявленного. Следствие устанавливает это через экспертизу кода и показания сотрудников.
• SaaS-продукт, не функционирующий в заявленном объёме. Клиент (особенно государственный) оплатил лицензии, система не работает в полном объёме — при определённых обстоятельствах это квалифицируется как хищение путём обмана.
• Схема с подконтрольными субподрядчиками. IT-компания выводит деньги через подставные технические организации — классическая схема, квалифицируемая по статье 159 совместно со статьёй 199 УК РФ.
• Агрессивный маркетинг с заведомо ложными характеристиками продукта. Актуально для стартапов: если инвестор докажет, что ему были предоставлены заведомо ложные данные о технологии, возникает риск по статье 159.4 (мошенничество в сфере предпринимательской деятельности).

Для собственника и директора ключевой инструмент превентивной защиты — аудит договорной базы с государственными заказчиками и крупными корпоративными клиентами. Отдельного внимания требуют договоры, где стоимость определяется в часах: такие договоры требуют системы учёта рабочего времени, выдерживающей проверку следствия.

Какой налоговый риск по статье 199 УК РФ грозит IT-компании в 2026 году?

Уголовная ответственность за уклонение от уплаты налогов (статья 199 УК РФ) наступает при недоимке свыше 18,75 млн рублей за три финансовых года подряд — это порог крупного размера для части первой. Особо крупный размер (часть вторая) — свыше 56,25 млн рублей; санкция — до 6 лет лишения свободы. IT-компании попадают под этот состав не реже, чем торговые или производственные предприятия, несмотря на налоговые льготы для аккредитованных IT-организаций.

Специфические IT-риски по статье 199 УК РФ связаны с четырьмя сценариями:

• Схема «IT-льгота + реальный бизнес». Компания использует пониженную ставку страховых взносов (7,6%) и льготную ставку налога на прибыль (0% при соблюдении условий), не выполняя требования аккредитации — в частности, по доле выручки от IT-деятельности.
• Вывод через иностранные юрисдикции. Роялти, лицензионные платежи, платежи за техническую поддержку в пользу офшорных структур — классический объект налоговых доначислений, перерастающих в уголовное дело.
• Агрессивная оптимизация через ИП-разработчиков. Схема «самозанятые вместо штата» при фактических признаках трудовых отношений признаётся ФНС дроблением бизнеса; по совокупности недоимка может превысить уголовный порог.
• Фиктивные контрагенты. Оплата «технического» субподряда в адрес организаций без реальной деятельности — доказывается через встречные проверки ФНС и анализ банковских операций.

Субъект преступления по статье 199 УК РФ — директор и главный бухгалтер (при наличии умысла). Собственник, не занимающий должностей, также может быть привлечён как организатор или соучастник, если следствие докажет его участие в разработке схемы. Согласно позиции Пленума Верховного суда РФ № 48 от 26 ноября 2019 года «О практике применения судами законодательства об ответственности за налоговые преступления», при оценке умысла суд учитывает осведомлённость директора об используемых схемах.

Подробнее о «дорожной карте» ФНС → СК и о том, как выстроить защиту на каждом её этапе, читайте в материале об уголовно-правовом аудите бизнеса.

Чем опасна статья 272 УК РФ для разработчиков и DevOps-инженеров?

Статья 272 УК РФ о неправомерном доступе к охраняемой компьютерной информации — наиболее специфичный для IT-отрасли состав. Санкция части первой — штраф до 200 000 рублей или лишение свободы до 2 лет. Части третья и четвёртая (использование служебного положения, группа лиц, тяжкие последствия) — до 5 и 7 лет соответственно. Ключевой элемент состава — «неправомерность» доступа, и именно здесь сосредоточена основная работа защиты.

Пять типовых ситуаций, в которых разработчик оказывается под риском уголовного преследования:

• Доступ к продуктивной среде клиента после завершения контракта. Учётные данные не были отозваны; разработчик вошёл «посмотреть» — это доступ без права доступа.
• Копирование базы данных клиентов перед увольнением. Даже если данные использовались для «личных целей», это уголовное дело с реальным потерпевшим.
• Использование учётных данных коллеги. Любой доступ с чужими кредентами квалифицируется как неправомерный, независимо от добросовестности намерений.
• Пентест без письменного разрешения. Тестирование безопасности систем клиента без оформленного письменного разрешения формально подпадает под статью 272 УК РФ.
• Сохранение доступа к корпоративным системам после увольнения. Администратор уволен, но VPN-сертификат действителен ещё три месяца; любое соединение — потенциальное уголовное дело.

Для IT-компании как работодателя ключевая мера — регламент управления доступом (Access Management Policy): немедленный отзыв учётных данных при увольнении, письменное оформление пентестов, раздельные учётные записи для продуктивной и тестовой сред. Этот регламент одновременно защищает компанию как потенциальную жертву и сотрудников как потенциальных подозреваемых.

Что взять на допрос и как вести себя при изъятии серверов — подробный регламент доступен по кнопке «Красная кнопка 24/7».

Какую угрозу несут статьи 146 и 183 УК РФ для IT-компании?

Статья 146 УК РФ (нарушение авторских и смежных прав) и статья 183 УК РФ (незаконное получение и разглашение коммерческой тайны) — два менее очевидных состава, которые регулярно применяются в IT-отрасли. По статье 146 порог крупного ущерба для части второй — свыше 100 000 рублей; санкция — до 2 лет лишения свободы. По статье 183 части второй (незаконное разглашение) — до 3 лет, части третьей (тяжкие последствия) — до 5 лет.

Статья 146 УК РФ. Актуальные риски для IT-компании:

• Использование иностранного ПО после истечения или прекращения лицензии. Вендор подаёт заявление — уголовное дело возбуждается по заявлению потерпевшего.
• Включение open-source компонентов с лицензиями GPL или AGPL в проприетарный продукт без соблюдения условий лицензии. Это нарушение авторских прав правообладателя open-source.
• Распространение клиентам продукта, содержащего нелицензионные компоненты. Квалифицируется как «распространение» — более строгая санкция, чем «использование».

Статья 183 УК РФ. Применяется в двух типичных ситуациях:

• Сотрудник уволился и унёс клиентскую базу, исходный код или архитектурные документы конкурентам. Ответственность несёт уволенный сотрудник; компания — потерпевшая сторона.
• Разработчик передаёт техническую документацию заказчика третьему лицу в рамках аутсорсинга. Ответственность несёт разработчик и IT-компания-работодатель, если она систематически допускала такие передачи.

Согласно позициям, изложенным в Верховном суде РФ при рассмотрении дел по интеллектуальным составам, ключевым элементом доказывания является установление размера ущерба. В IT-сфере это особенно сложно: стоимость программного обеспечения определяется через экспертизу, и именно результат экспертизы часто становится основанием для переквалификации состава или прекращения дела.

Матрица рисков: какой состав УК угрожает вашей роли в IT-компании

Уголовные риски в IT-компании распределяются неравномерно по должностям. Одно и то же событие — например, обыск в офисе — затрагивает директора, главного бухгалтера и разработчика принципиально по-разному. Понимание этой дифференциации определяет стратегию превентивной защиты.

Частая ошибка директора — игнорировать уголовные риски технического персонала. На практике разработчик, ставший свидетелем и давший показания против компании, создаёт доказательную базу по налоговому или мошенническому составу. Регламент взаимодействия сотрудников со следствием — часть уголовно-правового комплаенса, а не только личная защита директора.

Экономика превентивных мер: уголовно-правовой аудит стоит в разы меньше, чем защита по возбуждённому делу. При годовой выручке IT-компании от 100 млн рублей стоимость следственных действий (изъятие серверов, простой бизнеса, гонорар адвоката по уголовному делу) измеряется десятками миллионов рублей. Аудит устраняет наиболее явные точки риска до того, как ими воспользуется следствие.

Подробный обзор услуги — на странице уголовно-правового аудита бизнеса. Актуальные позиции ВС РФ по экономическим составам публикуются на сайте vsrf.ru; тексты норм — на consultant.ru.