Уголовные риски IT-компании: топ-5 составов (вариант 11)

Кто вы в уголовно-правовом смысле: три профиля риска в IT

Уголовное преследование в IT-компании всегда адресовано конкретному физическому лицу — юридическое лицо в России субъектом уголовной ответственности не является. Генеральный директор, технический директор и главный бухгалтер находятся под принципиально разными рисками: следствие оценивает фактическое управление и умысел, а не должностную инструкцию. Понимание собственного профиля — первый шаг к выстраиванию защиты до того, как появится интерес следствия.

Генеральный директор / собственник. Основные риски — по статье 159 УК РФ (мошенничество при работе с заказчиками, инвесторами, государством), статье 199 УК РФ (уклонение от уплаты налогов) и статье 201 УК РФ (злоупотребление полномочиями в ущерб компании или акционерам). Ответственность наступает не только за собственные действия, но и за действия подчинённых, которые директор одобрил или не пресёк при наличии возможности.

Технический директор / разработчик. Специфические риски — статья 272 УК РФ (неправомерный доступ к компьютерной информации), статья 273 УК РФ (создание и распространение вредоносных программ), статья 183 УК РФ (незаконное получение или использование коммерческой тайны). Риск возникает при переходе из одной компании в другую с копированием кодовой базы, баз данных клиентов или алгоритмов.

Главный бухгалтер / финансовый директор. Зона повышенного риска — статья 199 УК РФ, статья 199.1 УК РФ (неисполнение обязанностей налогового агента) и статья 159.4 УК РФ в редакции, применяемой к IT-схемам. По данным Судебного департамента при Верховном суде РФ, главные бухгалтеры осуждаются по налоговым составам наравне с руководителями в примерно 40% дел, где обвинение предъявлялось обоим.

Мошенничество по статье 159 УК РФ: как IT-компании попадают под состав?

Уголовная ответственность за мошенничество по статье 159 УК РФ для IT-компании наступает при хищении чужого имущества или приобретении права на него путём обмана или злоупотребления доверием. Порог для «крупного размера» — ущерб свыше 4,5 млн рублей (часть 3), для «особо крупного» — свыше 12 млн рублей (часть 4, санкция до 10 лет). В IT-секторе этот состав возникает значительно чаще, чем в других отраслях, поскольку продукт нематериален и документальная база размыта.

Наиболее распространённые триггеры для IT-компаний:

• Завышение объёма выполненных работ в актах по государственным или корпоративным контрактам;
• Привлечение инвестиций под заведомо несостоятельные технические обещания (стартапы);
• Схемы «дробления» продуктовых лицензий для получения льготных налоговых ставок при реальном нарушении условий применения льготы;
• Фиктивные субподрядные отношения: работы выполняются in-house, субподрядчик — «бумажная» компания.

Частая ошибка — смешение умысла на хищение с предпринимательским риском. По пункту 4 Постановления Пленума Верховного суда РФ от 30 ноября 2017 года № 48 «О судебной практике по делам о мошенничестве», неисполнение договорных обязательств само по себе не образует состав преступления — необходимо установить умысел на хищение, возникший до заключения договора. Это ключевой аргумент защиты в большинстве дел IT-компаний.

Какой налоговый порог делает IT-компанию уязвимой по статье 199 УК РФ?

Уголовная ответственность за уклонение от уплаты налогов с организации по статье 199 УК РФ наступает при недоимке свыше 18,75 млн рублей за три финансовых года подряд (крупный размер, часть 1) или свыше 56,25 млн рублей (особо крупный размер, часть 2, санкция до 6 лет лишения свободы). IT-отрасль исторически привлекательна для налоговой оптимизации — и именно поэтому попадает под пристальный интерес ФНС и Следственного комитета.

Специфические схемы IT-компаний, выявляемые следствием:

• Подрядчики-ИП на упрощённой системе налогообложения. Если разработчики фактически работают как штатные сотрудники (фиксированный рабочий график, корпоративные инструменты, единственный заказчик), ФНС переквалифицирует отношения в трудовые. Образовавшаяся недоимка по НДФЛ и страховым взносам может превысить порог статьи 199.1 УК РФ.
• Дробление бизнеса для сохранения льготного режима. IT-льгота (пониженная ставка страховых взносов — 7,6%, пониженная ставка налога на прибыль — 0% в ряде регионов) доступна при соответствии критериям статьи 427 НК РФ. «Искусственное» дробление продуктового портфеля между аффилированными юрлицами для сохранения льготы квалифицируется как уклонение.
• Агрессивные схемы с НДС. Применение нулевой ставки или освобождения от НДС по статье 149 НК РФ при отсутствии реальных оснований (например, «программный продукт» не является программой в смысле реестра Минцифры).

Главный бухгалтер IT-компании — соисполнитель, а не просто технический специалист. По Постановлению Пленума ВС РФ от 26 ноября 2019 года № 48, лицо, непосредственно составившее и подавшее налоговую декларацию с заведомо ложными сведениями, несёт ответственность наравне с руководителем. Подпись на декларации при наличии умысла — достаточное основание для обвинения.

Что подготовить до налоговой проверки: чек-лист IT-директора

• Провести внутренний аудит договорной базы с ИП-подрядчиками: проверить наличие признаков трудовых отношений (единственный заказчик, рабочий график, корпоративные инструменты).
• Верифицировать основания применения IT-льготы: доля выручки от IT-деятельности, наличие аккредитации Минцифры, соответствие реестру ПО.
• Проверить налоговые декларации за три предшествующих года на предмет операций, которые ФНС может переквалифицировать как уклонение.
• Оценить совокупный размер потенциальной недоимки: если он приближается к 18,75 млн рублей, уголовный риск становится реальным.

Что грозит разработчику за неправомерный доступ к данным по статье 272 УК РФ?

Неправомерный доступ к охраняемой компьютерной информации по статье 272 УК РФ влечёт санкцию до 2 лет лишения свободы по части 1 и до 5 лет по части 3 (совершённый из корыстной заинтересованности или причинивший крупный ущерб — свыше 1 млн рублей). Этот состав специфичен для IT-отрасли тем, что «доступ» может совершить как внешний злоумышленник, так и собственный сотрудник, переступив границу своих полномочий в системе.

Риски для разработчиков при переходе между компаниями — один из самых недооценённых в IT-уголовке. Копирование репозитория, базы клиентов или алгоритма при увольнении образует состав статьи 272 (если информация охраняется) и статьи 183 (если она составляет коммерческую тайну) одновременно. Следствие активно использует логи VPN-подключений, выгрузки из систем мониторинга и данные DLP-систем работодателя.

Статья 273 УК РФ — создание, использование и распространение вредоносных компьютерных программ — актуальна для компаний, разрабатывающих средства тестирования на проникновение (пентест), инструменты мониторинга сетей или «двойного назначения» ПО. Граница между легальным инструментом безопасности и «вредоносной программой» определяется судом на основании экспертизы. Формального критерия в законе нет, что создаёт существенную правовую неопределённость. Подробнее о рисках при следственных действиях — в материале по уголовно-правовому аудиту бизнеса.

Как статья 183 УК РФ о коммерческой тайне применяется в IT-секторе?

Незаконное получение или использование сведений, составляющих коммерческую тайну, по статье 183 УК РФ наказывается штрафом до 1,5 млн рублей или лишением свободы до 3 лет (часть 2), а при причинении тяжких последствий — до 7 лет (часть 3). Для применения нормы необходимо, чтобы информация была надлежащим образом засекречена в соответствии с Федеральным законом от 29 июля 2004 года № 98-ФЗ «О коммерческой тайне»: утверждён перечень, проставлены грифы, сотрудники ознакомлены под подпись.

IT-компании используют статью 183 УК РФ в двух направлениях: как потерпевшая сторона (когда конкурент или уволившийся сотрудник похищает клиентскую базу или алгоритм) и оказываются под ней сами (когда разработчики в рамках интеграции получают доступ к данным заказчика и выходят за рамки договорных полномочий).

Типичный сценарий для IT-аутсорсинга: подрядчик получает доступ к production-окружению заказчика для устранения инцидента, скачивает базу данных клиентов «для анализа» и впоследствии использует её в работе с другими клиентами. Следствие квалифицирует это по статьям 183 и 272 УК РФ одновременно. Ответственность несёт как сотрудник, совершивший действие, так и руководитель, не обеспечивший надлежащий контроль.

Когда директор IT-компании рискует по статье 201 УК РФ о злоупотреблении полномочиями?

Злоупотребление полномочиями по статье 201 УК РФ применяется к лицу, выполняющему управленческие функции в коммерческой организации, если оно использует свои полномочия вопреки законным интересам организации и причиняет существенный вред — санкция по части 1 до 4 лет лишения свободы, по части 2 (тяжкие последствия) — до 10 лет. В IT-компаниях этот состав чаще всего возникает в трёх сценариях.

Сценарий 1: корпоративный конфликт. Генеральный директор переводит ключевые контракты на собственную структуру или компанию партнёра — акционеры заявляют ущерб и инициируют уголовное дело. Этот триггер особенно актуален для стартапов, где основатели расходятся.

Сценарий 2: вывод активов перед инвестиционным раундом или продажей. Директор заключает заведомо невыгодные контракты с аффилированными лицами, снижая стоимость компании в интересах покупателя или в ущерб миноритариям.

Сценарий 3: наёмный директор против собственника. Собственник обвиняет наёмного директора в систематическом расходовании корпоративных средств на нужды, не связанные с деятельностью компании. Предмет доказывания — «вопреки законным интересам организации» и «в целях извлечения выгод для себя или других лиц».

Матрица рисков и стратегия защиты для IT-компании

Уголовные риски IT-компании структурированы по трём измерениям: состав, роль в компании и стадия угрозы. Правильная стратегия защиты на каждом этапе принципиально отличается — превентивная защита кратно дешевле реактивной, но требует действий до появления признаков уголовного преследования.

Стоимость превентивных мер против стоимости реактивной защиты: уголовно-правовой аудит компании обнаруживает 80–90% уязвимостей до появления интереса следствия. По практике дел с ущербом свыше 10 млн рублей, расходы на защиту после возбуждения дела в 5–10 раз превышают стоимость аудита, проведённого заблаговременно. Оценить актуальный профиль рисков для своей компании можно через уголовно-правовой аудит бизнеса. Дополнительно о формировании внутренних регламентов читайте в разделе аналитики по бизнесу.