Экспертиза ERP-систем

Подрядчик сдал внедрение ERP-системы, часть актов подписана, а через полгода себестоимость считается не так, как ожидали, и закрытие месяца растягивается на неделю. Заказчик видит ошибки настройки, подрядчик — неправильный ввод данных. Суду и сторонам в таком споре нужно не мнение о системе вообще, а ответ на технический вопрос о её состоянии на определённую дату: что было поставлено, как настроено, какие данные введены и какой механизм дал спорный результат.

ERP-система — программа, в которой предприятие ведёт учёт и планирование: закупки, склад, производство, продажи, финансы и персонал. Экспертиза такой системы устанавливает технические факты по её поставке, настройкам, доработкам, данным, журналам и документации проекта. Кто нарушил договор, каков размер убытков и правильно ли исчислен налог, решает суд; расчёты по данным учёта выполняют эксперты-бухгалтеры и экономисты.

Когда нужна экспертиза ERP-системы

Исследование полезно, когда спорное утверждение можно проверить на объекте: копии базы на определённую дату, конфигурации, коде доработки, журнале, выгрузке или документах проекта. Если стороны расходятся только в толковании договора или в деловой оценке проекта, технический эксперт спор не разрешит.

Чаще всего к экспертизе обращаются в таких ситуациях:

• заказчик считает внедрение незавершённым или не соответствующим техническому заданию, а подрядчик требует оплаты и подписания актов;
• подрядчик объясняет сбои ошибками пользователей, а заказчик — ошибками настройки или программирования;
• после переноса данных из прежней системы не сходятся остатки, взаиморасчёты или обороты;
• отчёт, расчёт себестоимости, заработной платы или резервов даёт результат, который стороны объясняют по-разному;
• после обновления, установки доработки или смены сервера перестали работать функции или резко замедлилась работа;
• нужно установить, какие изменения документов и справочников отражены в системе, с какими учётными записями они связаны и есть ли признаки внесения записей задним числом;
• обмен с банком, складом, сайтом, системой электронного документооборота или другой учётной программой передаёт неполные или искажённые данные;
• работник уволился или подрядчик прекратил сопровождение, и нужно понять, какие права доступа, данные и доработки остались в системе;
• после инцидента информационной безопасности требуется установить технический механизм утраты или изменения данных.

В споре о приёмке экспертиза ERP-системы отвечает на вопросы о конкретных функциях, данных и журналах. Когда нужно проверить весь перечень требований и оценить результат разработки в целом, дополнительно проводят экспертизу соответствия работ техническому заданию. Нередко обе задачи ставят в одном определении о назначении экспертизы.

Чем различаются 1С, SAP и облачные системы

От платформы зависит, где искать доработки и следы изменений. В 1С доработки вносят прямо в конфигурацию, выносят в расширения или во внешние отчёты и обработки. Чтобы их выделить, конфигурацию сравнивают с типовой того же релиза от её разработчика. Журнал регистрации хранится вне информационной базы, поэтому его копируют отдельно. В SAP собственные объекты обычно создают в отдельном пространстве имён. Большинство доработок попадает из системы разработки в рабочую через транспортные запросы, в которых записаны владелец и дата. Правки, сделанные прямо в рабочей системе, в транспорт не попадают, и их ищут по другим журналам. Как эти следы используют в споре, подробнее — на страницах об экспертизе 1С и экспертизе SAP.

Oracle NetSuite всегда работает на серверах поставщика, Microsoft Dynamics 365 — как правило, тоже. Копии базы в привычном смысле клиент NetSuite не получает, только выгрузки записей. В Dynamics 365 рабочую базу сначала переносят в тестовую среду и выгружают уже оттуда, причём часть журналов в такую копию не входит. Другие журналы клиенту недоступны или хранятся ограниченный срок. Поэтому в споре о такой системе первым делом выясняют, что можно выгрузить и как долго поставщик хранит данные.

«Галактику ERP», «Парус», Odoo и системы, написанные на заказ, исследуют по тем же общим правилам. Тиражную систему сравнивают с дистрибутивом или сборкой той же версии. Заказную — с тем, что передано по договору и актам: кодом, сборками, документацией. Репозиторий исполнителя служит дополнительным источником, ведь историю в нём можно переписать. Если расхождение возникает на стыке ERP с CRM, хранилищем отчётности или корпоративным порталом, одной ERP-системой исследование не ограничится: это предмет экспертизы корпоративных информационных систем.

Предварительный прогноз результата

Для первого обращения копия базы не нужна. По описанию спора и перечню доступных материалов специалист определяет, относится ли задача к компьютерно-технической экспертизе, какие объекты понадобятся, грозит ли следам автоматическое удаление и каким способом безопасно передать данные. Такой организационный разбор показывает, можно ли начинать работу, но не показывает, каким будет вывод.

Содержательный прогноз — отдельная работа: консультация или предварительное исследование по копиям базы и документам. Специалист работает с копиями по тем же правилам, что и при экспертизе, и оценивает, сохранились ли нужные следы, какие ответы в принципе возможны, насколько определённым может быть вывод и каких объектов не хватает. Полученные копии хранят и возвращают на согласованных условиях. Прогноз бывает благоприятным, неблагоприятным или неопределённым для вашей позиции. Неблагоприятная оценка показывает её слабые места до суда, а неопределённая — какие объекты нужно найти или запросить. После поступления новых материалов оценка может измениться, поэтому прогноз не заменяет заключения и не гарантирует вывода. Формат, объём и стоимость такой работы согласуют заранее.

После назначения судебной экспертизы действует другое правило: эксперт не обсуждает с одной из сторон возможный вывод и не принимает от неё материалы напрямую, а дополнительные объекты и доступ к системе запрашивает через суд или орган расследования. Если специалист уже участвовал для стороны в фиксации данных, готовил прогноз или внесудебное исследование по тому же спору, это может стать основанием для его отвода, то есть отстранения судом от проведения экспертизы. О такой работе сообщают суду, когда он решает вопрос о кандидатуре эксперта. Поэтому, если вы собираетесь предложить суду нашу организацию, скажите об этом при первом обращении: тогда ограничиваются организационным разбором и письмом для суда о возможности провести экспертизу, а прогноз по существу не готовят.

Что эксперт может установить по ERP-системе

Эксперт отвечает на вопросы о технических фактах, которые можно проверить на представленных объектах, а его действия может повторить другой специалист.

Состав системы: поставка, настройки и доработки

ERP-система обычно состоит из нескольких слоёв: типовой поставки производителя, отраслевых решений и дополнений других разработчиков, параметров настройки и доработок — изменённых или добавленных объектов, отчётов, обработок, скриптов и интеграций. Эксперт устанавливает версию и состав системы на дату исследуемого состояния и определяет, к какому слою относится спорная функция. Для этого объект сравнивают с эталонным дистрибутивом той же версии, изучают сведения о переносе изменений между средами разработки, тестирования и эксплуатации, а если исполнитель вёл хранилище кода, — историю изменений в нём.

Функция, которую считают доработкой, может оказаться типовой возможностью поставки, а «ошибка поставки» — следствием изменения стандартного объекта. В облачных системах поставщик регулярно обновляет платформу у всех клиентов, и дистрибутива прежней версии у эксперта нет. Поставку от доработок там отделяют по сведениям о настройках, расширениях и установленных пакетах, а прежнее поведение системы воспроизвести удаётся не всегда.

Соответствие требованиям и результат приёмки

Эксперт проверяет, выполняется ли конкретное требование в указанной версии системы при заданных данных, роли пользователя и сценарии. Требование для этого должно быть проверяемым: «система формирует отчёт о движении товаров по складам с отбором по партиям» проверить можно, «система удобна для пользователей» — нельзя. Если требования размыты или противоречат друг другу, эксперт описывает, что реализовано фактически, и указывает, какие пункты невозможно проверить без дополнительных исходных данных. Какой смысл стороны вкладывали в договор, решает суд.

Спор о приёмке касается системы на дату сдачи, а после этой даты систему могли менять заказчик, его сотрудники или новый подрядчик. Если сохранилась копия на дату сдачи, проверяют её; если нет, эксперт отделяет позднейшие изменения по журналам, сведениям о переносе доработок и резервным копиям и указывает, насколько надёжно это удалось сделать.

Данные, расчёты и отчёты

По копии базы можно установить, какие документы, записи и движения содержатся в системе на дату фиксации, воспроизвести отчёт с заданными параметрами и объяснить, как получен спорный результат: какие записи в него вошли, какие настройки и правила расчёта применены, чем различаются два экземпляра базы. Как операции отражены в учёте и какие показатели из них следуют, исследует бухгалтерская экспертиза или экономическая. Их могут провести вместе в комплексном исследовании.

Сбои, скорость работы и обмен с другими системами

При сбое эксперт устанавливает технический механизм: какая операция при каких данных и в каком окружении приводит к ошибке и с чем связан отказ — с дефектом самой платформы или типовой поставки, кодом доработки, настройкой, объёмом данных, ресурсами сервера, СУБД (системой управления базой данных) или внешним сервисом. Дефект поставки проверяют воспроизведением на чистой типовой базе той же версии и по опубликованным производителем сведениям об ошибках. Жалобы на медленную работу проверяют замерами времени конкретных операций при известной нагрузке, объёме данных и конфигурации оборудования. Сбои обмена исследуют, сравнивая отправленные и полученные сообщения, журналы обмена и правила преобразования данных.

Со скоростью работы связаны два ограничения. Первое — прошлое состояние почти не восстанавливается: объём данных, оборудование и версия системы после жалоб меняются, а журналы мониторинга хранятся недолго, если их не сохранили специально. Второе — соответствие «заявленным характеристикам» можно проверить, только если в договоре или техническом задании указаны числа: какая операция, за какое время, при каком числе пользователей и объёме данных. Без них эксперт измеряет и описывает фактическую скорость, но не может признать её недостаточной.

Права доступа и полномочия пользователей

По системе можно установить, какие роли и права были у учётной записи, с какой учётной записи и когда их меняли, если такие изменения регистрировались, и какие операции были доступны пользователю с данной ролью. Это важно, когда работник уволился, подрядчик сохранил доступ после окончания договора или нужно понять, мог ли один пользователь и создать платёж, и утвердить его. Правомерно ли пользователь применил выданные права и соответствовали ли они его должностным обязанностям, оценивает суд, сопоставляя технические данные с приказами и должностными инструкциями.

Перенос данных из прежней системы

При переносе данных источник и результат сравнивают и выясняют, сколько записей выгружено и загружено, как сопоставлены справочники и поля, какие записи отброшены, преобразованы или задвоены, сходятся ли контрольные итоги на дату переноса. Расхождение не всегда означает ошибку: в новой системе может действовать другой способ расчёта себестоимости или округления, а часть операций могли ввести в старую систему уже после выгрузки. Для исследования нужны копия прежней системы или выгрузка, по которой выполнялась загрузка, правила переноса и программа, в которой старую копию можно открыть. Если источник уничтожен, ответ ограничен тем, что удастся восстановить по промежуточным файлам и журналам загрузки.

Чего экспертиза ERP-системы не устанавливает

Граница проходит между техническим фактом и его правовой или деловой оценкой. Эксперт может установить, что в журнале есть событие удаления документа, связанное с учётной записью «Иванов», но не может установить, что документ удалил сам Иванов, и тем более — что он сделал это умышленно. Учётной записью мог воспользоваться другой человек, пароль мог быть общим, а действие могла выполнить регламентная обработка.

За пределами компьютерно-технической экспертизы остаются:

• нарушение договора, исполнение обязательств и ответственность сторон;
• виновность, умысел и добросовестность работника, правомерность его действий — эксперт устанавливает, какие права доступа были назначены и какие операции отражены в системе;
• достоверность бухгалтерской отчётности и правильность налогообложения;
• размер убытков, а также стоимость работ и устранения недостатков — убытки определяет суд, стоимость рассчитывают экономист или оценщик, опираясь на установленный компьютерно-техническим экспертом объём работ;
• законность обработки персональных данных — эксперт описывает настройки доступа, хранения и регистрации событий, а вывод о нарушении делают уполномоченный орган или суд;
• правомерность использования программ — эксперт устанавливает, какие программы и компоненты установлены и какие сведения о лицензиях в них содержатся;
• правильность выбора ERP-системы и польза проекта для бизнеса.

Этим экспертиза отличается от ИТ-аудита и от работы интегратора. Аудитор и консультант оценивают проект и предлагают решения, интегратор отвечает за результат внедрения. Эксперт не связан ни с поставщиком, ни с подрядчиком, отвечает на поставленные вопросы о фактах, и его вывод не зависит от того, кто оплатил исследование.

Как это выглядит в типичных спорах

Три условных примера показывают, от чего зависит ответ и почему он бывает не таким, на который рассчитывала сторона.

Внедрение не принято

Заказчик отказывается подписать акт последнего этапа: по его словам, расчёт себестоимости не работает. Подрядчик отвечает, что расчёт настроен, а заказчик не заполнил нормативы. Эксперт берёт копию базы на дату передачи этапа, сравнивает её с типовой поставкой и воспроизводит расчёт на данных заказчика, а затем на контрольном примере с нормативами из проектной документации. Если расчёт работает на контрольном примере, но не работает на реальных данных, дальше исследуют, чего в данных не хватает и предусмотрен ли этот случай конкретными пунктами технического задания. Ответ нередко получается двойственным: механизм реализован, но не выполняет одного из требований задания. Такой результат полезен, хотя полностью не подтверждает ни одну из версий.

Документ проведён задним числом

В базе обнаружена отгрузка, датированная прошлым кварталом, и одна сторона утверждает, что её внесли недавно. Эксперт сравнивает дату документа с системными отметками времени в записи и в журнале, ищет документ в резервных копиях разных дат и сверяет его реквизиты в каждой копии: документ мог существовать и раньше, но с другой датой. Даты самих копий устанавливают по журналу системы резервного копирования, а не по дате файла. Сильнее всего помогают внешние отметки, которые не контролирует ни одна из сторон: сведения оператора электронного документооборота, банка, почтового сервера. Если журнал хранился тридцать дней, а копии делались раз в неделю, и внешних отметок нет, ответ сузится до интервала между копиями, в одной из которых документа ещё не было, а в следующей он уже появился.

После обновления не сходятся остатки

После обновления системы и установки новой версии доработки складские остатки перестали совпадать с данными инвентаризации. Эксперт сравнивает состояния базы до и после обновления, выделяет изменения поставки и доработки, проверяет, какие данные изменили сами обработчики обновления, и воспроизводит складские операции на обеих версиях. Так устанавливают, что изменило результат: новая логика типового механизма, несовместимость доработки с обновлённой поставкой или данные, введённые уже после обновления. Если расчёт в обеих версиях сходится с документами, расхождение с инвентаризацией может объясняться фактической недостачей или пересортицей, и это уже не вопрос к системе. Когда копия до обновления сохранилась, такое сравнение обычно даёт определённый ответ; без неё сравнивать не с чем.

Журналы и учётные записи: что можно узнать о действиях пользователей

Чаще всего в спорах о данных спрашивают, кто и когда изменил документ. Ответ прежде всего зависит от того, что система записала и сохранила. Состав многих журналов настраивает администратор: какие события регистрировать и когда удалять старые. Некоторые сведения платформа регистрирует всегда, но и они хранятся не бесконечно. Если нужное событие не регистрировалось или журнал очищен, по прикладному журналу его не восстановить. Иногда помогают архивные копии журнала транзакций СУБД, по которым вместе с полной копией базы восстанавливают её прежнее состояние, если цепочка архивов непрерывна, и остаточные следы в файлах базы. Архивы удаляются по расписанию, а следы стирают фоновые процессы СУБД, поэтому копии нужно сохранить сразу, а копию файлов работающей базы должен снимать специалист.

Источники сведений о действиях пользователей различаются по платформам:

• в системах на платформе «1С:Предприятие» — журнал регистрации: уровень регистрации задают в настройках информационной базы, старые события удаляют сокращением журнала; журнал показывает, какой объект изменён, с какой учётной записи и когда, но не хранит прежних значений; он хранится отдельно от базы, поэтому при загрузке выгрузки базы в другой экземпляр история исходного журнала не переносится, и копировать его нужно отдельно;
• в SAP ERP и SAP S/4HANA — документы изменений для объектов, у которых они предусмотрены, журнал аудита безопасности, если он включён и настроен, протоколирование изменений таблиц, которое включают отдельно, и сведения о транспортных запросах, по которым переносились доработки;
• в приложениях Microsoft Dynamics 365 для финансов и цепочки поставок — журнал базы данных, который ведётся только для таблиц и полей, выбранных администратором;
• в Oracle NetSuite — системные заметки, которые автоматически фиксируют изменения записей и способ их внесения, и журнал входов; их видит пользователь с соответствующими правами;
• в любой системе — журналы сервера приложений, веб-сервера, СУБД и средств резервного копирования, которые могут подтвердить или опровергнуть сведения прикладного журнала.

Даже полный журнал связывает событие с учётной записью, сеансом, компьютером или сетевым адресом, но не с человеком. При работе через терминальный сервер или веб-клиент в журнале окажется имя сервера, а не компьютера сотрудника. На собственном сервере администратор с широкими правами обычно может изменить данные прямо в СУБД в обход прикладного журнала, отредактировать сам журнал или перевести системное время. В облачных сервисах возможности администратора клиента уже: доступа к СУБД и серверному времени у него, как правило, нет, хотя часть журналов он может штатно очищать. Эксперт сопоставляет источники, которые ведутся разными механизмами, — прикладной журнал, служебные поля записей, журналы СУБД, резервные копии разных дат — и учитывает, кто мог изменить каждый из них. Совпадение источников повышает определённость вывода, а противоречие между ними само становится фактом, который отражают в заключении.

Отдельно проверяют время. У документа в ERP-системе есть дата, которую пользователь указывает сам и может поставить задним числом, а на многих платформах — ещё и системное время создания и изменения записи. В 1С отдельного системного времени у записи по умолчанию нет: его ищут в журнале регистрации, в истории версий объектов, если она велась, в резервных копиях и, с оговорками, во времени, закодированном в идентификаторе ссылки объекта. Системные отметки тоже различаются: их ставят часы сервера приложений, сервера СУБД или компьютера пользователя, в местном или во всемирном координированном времени, а облачные системы показывают их в часовом поясе того, кто делает выгрузку. Прежде чем сравнивать журнал с перепиской и актами, эксперт устанавливает, чьими часами и в какой шкале поставлена каждая отметка.

Признаки внесения документа задним числом ищут в системных отметках, резервных копиях до и после спорного периода и во внешних источниках. Порядок номеров — лишь косвенный признак: нумерацию можно задать вручную, она сбрасывается по периодам, а на нескольких серверах номера выдаются диапазонами. Отметку «последнее изменение» толкуют осторожно: её обновляют и технические операции — повторное проведение документов, обновление системы, обмен данными, — поэтому она не всегда указывает на правку, сделанную человеком.

Облачная ERP-система: данные у поставщика

Если система работает как облачный сервис, сервер и базу данных контролирует поставщик. Снять копию диска нельзя, а копию базы можно получить только теми средствами, которые предусмотрел поставщик: одни сервисы позволяют выгрузить базу целиком, другие — только данные через отчёты и программные интерфейсы. Если полная выгрузка доступна, её и нужно получить в первую очередь. Кроме неё исследуют выгрузки журналов, настройки и сценарии доработок, а также тестовую копию среды, если поставщик её предоставляет.

Выгрузку надёжнее поручить администратору, который работает в присутствии специалиста или по согласованной с ним инструкции. В протоколе записывают выполненные действия, роль и часовой пояс профиля, от имени которого сделана выгрузка, условия отбора, число полученных строк и контрольные суммы файлов: у выгрузок через интерфейс бывают ограничения по числу строк, которые обрезают данные без предупреждения. Снимки экрана полезны как иллюстрация, но выгрузку не заменяют. Некоторые сервисы позволяют клиенту самому скачать резервные копии или восстановить базу на прошлую дату в отдельную тестовую среду, но только в пределах короткого срока, — узнайте его сразу. Рабочую среду так не восстанавливают, а обновление тестовой копии стирает её прежнее состояние. Служебные журналы платформы хранит только поставщик. Их можно истребовать через суд, но у иностранного поставщика сделать это трудно, а срок хранения ограничен, поэтому сразу попросите поставщика сохранить данные и журналы за спорный период.

Если спор возник с подрядчиком, у которого остались права администратора, и есть признаки, что он меняет данные, ограничьте его доступ сразу, записав время и причину. В остальных случаях решение примите вместе с юристом: блокировка защищает данные, но может стать отдельным предметом разногласий. В любом случае сохраните сведения о том, кто и когда имел административный доступ.

Какие объекты и документы нужны

Комплект зависит от вопросов, но почти всегда включает саму систему в спорном состоянии и документы, по которым её оценивают. В него обычно входят:

• резервные копии и выгрузки базы, а также тестовые копии системы на спорные даты — до и после события, если они есть;
• сведения о версии платформы и прикладного решения, установленных модулях, доработках, расширениях и интеграциях;
• исходный код и файлы доработок, история их изменений, если исполнитель вёл хранилище или систему контроля версий;
• журналы приложения, сервера, СУБД и обмена за исследуемый период, а когда важно, кто работал под учётной записью, — журналы входа в сеть, удалённого доступа и терминальных серверов;
• договор, техническое задание, проектные решения, программа и протоколы испытаний, акты, замечания и ответы на них;
• переписка по проекту и обращения в службу поддержки, если в них зафиксированы требования, ошибки или согласованные изменения;
• при переносе данных — копия прежней системы или выгрузка, по которой выполнялась загрузка, и правила переноса.

Отсутствие части материалов не всегда делает исследование невозможным, но сужает ответ. Без копии на дату до спорного события можно описать текущее состояние, но нельзя сравнить его с прежним; без технического задания — описать реализованные функции, но не проверить их соответствие требованиям. Уже при первом обращении специалист подскажет, каких объектов явно не хватает и где их можно получить. В судебном процессе недостающие материалы запрашивают через суд, и он решает, истребовать ли их у сторон.

Как сохранить систему и передать материалы

Пока спор не разрешён, пользователи продолжают работать, регламентные задания пересчитывают данные, а журналы очищаются по расписанию. Поэтому состояние системы лучше зафиксировать до того, как стороны начнут исправлять ошибки.

Со специалистом обычно согласуют такой порядок действий:

1. остановить плановое удаление журналов и старых резервных копий и проверить, хватит ли места для новых копий;
2. записать показания часов серверов и на время копирования завершить сеансы пользователей и регламентные задания;
3. сделать полную копию базы и файлов системы, не удаляя прежних копий, а если могут понадобиться остаточные следы — поручить специалисту копию файлов базы данных и архива журнала транзакций;
4. сразу после этого скопировать журналы приложения, сервера и СУБД и прежние резервные копии, отметив по журналу системы резервного копирования, когда создана каждая из них;
5. вычислить контрольные суммы всех полученных файлов и записать их в акт, который подписывают участники, вместе с датой, временем и отметкой об отключённом удалении;
6. записать, какие действия с системой выполнялись после обнаружения проблемы: обновления, исправления, перезапуски, восстановления;
7. проводить эксперименты только на копии, оставив зафиксированное состояние неизменным.

Контрольная сумма — короткая строка, которую программа вычисляет по содержимому файла, например по алгоритму SHA-256. Любое изменение файла меняет и сумму, поэтому по ней можно убедиться, что копия не менялась после фиксации. Но что копия отражает состояние системы на нужную дату, контрольная сумма не доказывает. Копию, сделанную одной стороной, другая может оспорить, поэтому фиксацию лучше проводить с участием или хотя бы с уведомлением другой стороны и передать ей значения сумм. Если договориться не удаётся, до обращения в суд можно попросить нотариуса об обеспечении доказательств, а когда дело уже рассматривается, — просить об этом суд. Если происхождение копии осталось неустановленным, эксперт может дать условный вывод: при условии, что копия отражает состояние системы на указанную дату.

После фиксации систему можно использовать дальше: закрывать период и исправлять ошибки. Если ошибка зависит от окружения — сервера, нагрузки, внешних сервисов, — её сначала воспроизводят и описывают на рабочей системе при специалисте, а потом исправляют. Типичная ошибка — восстановить вчерашнюю резервную копию поверх рабочей базы, чтобы «спасти данные». Вместе с рабочей базой пропадают изменения за последние сутки и следы, ради которых назначают экспертизу. Прежде чем что-либо восстанавливать, скопируйте текущее состояние.

Файлы базы не отправляют по электронной почте и не выкладывают в общедоступные хранилища. Способ передачи — зашифрованный архив, защищённый носитель или защищённый канал — выбирают до отправки, а пароль от архива сообщают отдельным сообщением. В ERP-системе почти всегда есть персональные данные работников и контрагентов, коммерческая тайна и банковские реквизиты, поэтому условия конфиденциальности, хранения и возврата копий согласуют заранее. Если эксперту нужен доступ к работающей системе, для него создают отдельную учётную запись с правами только на чтение и ограниченным сроком действия, а не передают пароль сотрудника или администратора. Когда подходящей роли в системе нет, её создание само меняет объект: это записывают, а при судебной экспертизе делают только с разрешения суда.

Такой вход тоже оставляет следы в журналах и меняет служебные отметки, поэтому его планируют заранее, записывают все действия и по возможности заменяют исследованием копии. При судебной экспертизе осмотр работающей системы проводят в порядке, который определил суд, с извещением сторон, чтобы ни одна из них не могла упрекнуть эксперта в односторонних контактах.

Как проводится исследование

Эксперт работает с копией, а не с рабочей системой, и записывает каждое действие так, чтобы другой специалист мог его повторить. Исследование обычно проходит следующие этапы:

1. идентификация объектов: проверка контрольных сумм, составление описи файлов, установление происхождения каждой копии;
2. развёртывание копии в изолированной исследовательской среде с отключением регламентных заданий и обменов, чтобы копия не изменилась при первом запуске и не отправила данные во внешние системы;
3. запись версий платформы, СУБД, операционной системы и существенных настроек среды;
4. сравнение с эталонной поставкой той же версии, чтобы выделить настройки и доработки;
5. воспроизведение спорных сценариев на заданных данных и под заданными ролями, изучение кода доработок и правил расчёта;
6. сопоставление журналов и служебных данных между собой и с документами проекта;
7. проверка альтернативных объяснений: ошибка пользователя, дефект платформы или типовой поставки, настройка, дефект доработки, внешняя система, нехватка ресурсов, обстоятельства вне системы;
8. повторная проверка контрольных сумм исходных объектов и описание результатов: что исследовано, какими методами и средствами, что наблюдалось и какие выводы из этого следуют.

Некоторые вопросы на копии не решаются. Скорость работы, например, зависит от оборудования и нагрузки, и результат, полученный в исследовательской среде, переносится на рабочую систему только с оговорками. Тогда эксперт описывает условия замеров и их отличия от рабочей эксплуатации, а при необходимости проводит замеры на рабочей системе в согласованное время и в присутствии сторон.

Примеры вопросов на экспертизу

При судебной экспертизе окончательный круг вопросов определяет суд, а в иной предусмотренной законом процедуре — назначивший экспертизу орган или лицо. Эксперт отвечает в пределах специальных знаний и представленных материалов и не меняет поставленные вопросы по своей инициативе. Если вопрос неясен, выходит за пределы его компетенции или материалов для ответа недостаточно, эксперт действует в порядке, установленном процессуальным законом: заявляет ходатайство о предоставлении материалов или сообщает о невозможности дать заключение.

До назначения стороны могут предложить суду свои формулировки, и список ниже можно взять за основу. В вопросе об ERP-системе объект называют так, чтобы его нельзя было спутать с другим: копия базы с именем файла и контрольной суммой, версия системы, пункт технического задания, документ, отчёт с параметрами, период и часовой пояс. Каждый вопрос лучше посвящать одной исследовательской задаче. Возможные формулировки:

1. Каковы версия и состав ERP-системы в представленной копии: установленные модули, доработки, подключённые интеграции и настройки, относящиеся к …?
2. Какие объекты системы изменены или добавлены по сравнению с типовой поставкой той же версии и в чём состоят изменения?
3. Реализована ли в представленной системе функция, описанная в пункте … технического задания, и выполняется ли она при указанном сценарии, исходных данных и роли пользователя?
4. По какому алгоритму формируется указанный отчёт при заданных параметрах и какими записями и настройками обусловлен полученный результат?
5. Какие сведения о документе … и связанных с ним движениях содержатся в представленных копиях базы и различаются ли они между копиями?
6. Какие события в отношении документа … отражены в представленных журналах, с какими учётными записями, сеансами и отметками времени они связаны и в какой шкале времени эти отметки записаны?
7. Имеются ли в представленных материалах за период … технические признаки изменения указанных записей в обход прикладного журнала или изменения системного времени?
8. Соответствуют ли данные, загруженные в систему при переносе, данным представленной выгрузки из прежней системы с учётом правил переноса и какие записи отсутствуют, изменены или задвоены?
9. Воспроизводится ли указанный сбой в представленной системе и, если да, при каких действиях, данных и условиях он возникает и с каким компонентом связан?
10. Каково время выполнения указанных операций в представленной среде при объёме данных и нагрузке, заданных в вопросе, и какие компоненты его определяют?

Вопросов о вине, нарушении договора и правильности учёта в списке нет: первые решает суд, а учётные расчёты выполняют эксперты других специальностей. Эксперт может установить, с какой учётной записью связано изменение и каким механизмом вызван отказ, а кто лично действовал и кто отвечает за последствия, суд определит по совокупности доказательств: договору, переписке, показаниям, документам о выдаче доступа. Ответ «признаков не выявлено» означает, что их нет в исследованных материалах, а не что изменений не было.

Судебная экспертиза, внесудебное исследование и рецензия

До обращения в суд или до назначения экспертизы сторона может заказать внесудебное исследование по договору. Его результат — заключение специалиста — помогает оценить позицию, подготовить претензию или вопросы для суда. В гражданском процессе его представляют как письменное доказательство, в арбитражном суд может признать его иным документом. Судебную экспертизу назначает суд по ходатайству стороны, а в предусмотренных законом случаях — по своей инициативе. Эксперт получает материалы от суда и предупреждается об уголовной ответственности за дачу заведомо ложного заключения.

Если заключение по делу уже получено и вызывает сомнения, его можно проверить отдельно: рецензия на компьютерно-техническую экспертизу показывает, какие объекты исследованы, воспроизводимы ли методы и следуют ли выводы из результатов. Решение о повторной или дополнительной экспертизе принимает суд.

В заключении эксперта или специалиста указывают:

• исследованные объекты с контрольными суммами и происхождением каждой копии;
• исследовательскую среду: версии платформы, СУБД и существенные настройки;
• применённые методы, выполненные действия, использованные программы и их версии;
• наблюдаемые результаты и проверенные альтернативные объяснения;
• ответ на каждый вопрос с той степенью определённости, которую допускают материалы, и ограничения вывода.

Вывод бывает категорическим, если материалы позволяют ответить однозначно, вероятным, если часть следов утрачена, но оставшиеся указывают на определённый ответ, условным, если он зависит от неустановленного обстоятельства, например происхождения копии. Бывает и так, что ответить невозможно: журнал отключён, копии до события нет, облачный поставщик уже удалил данные. Такой результат фиксируют прямо и с указанием причины. Ни заключение эксперта, ни заключение специалиста не имеют для суда заранее установленной силы: суд оценивает их вместе с другими доказательствами. Эксперта могут вызвать в судебное заседание, чтобы он ответил на вопросы о проведённом исследовании.

От чего зависят стоимость и срок

Цена определяется объёмом проверки, а не названием системы. Воспроизвести один отчёт проще, чем сравнить сотни доработок с типовой поставкой; изучить одну сохранённую копию — чем восстановить последовательность состояний за год; проверить функцию по сценарию — чем воспроизвести сбой, который появляется только под нагрузкой.

При расчёте учитывают:

• число вопросов, систем, копий и спорных периодов;
• размер базы и способ размещения: собственный сервер, арендованный сервер или облачный сервис;
• число и объём доработок, интеграций и связанных систем;
• сохранность журналов и резервных копий;
• необходимость развернуть исследовательскую среду, воспроизвести нагрузку или провести замеры на рабочей системе;
• участие экспертов других специальностей — бухгалтера, экономиста, оценщика.

Ориентир для судебной экспертизы — от 100 000 ₽, срок — от 10 рабочих дней. Точную стоимость и срок называют после согласования вопросов и проверки комплекта материалов; запрос недостающих объектов через суд может продлить календарный срок. Возможна ли работа в сжатые сроки, зависит от объёма материалов и вопросов, и это обсуждают до начала работы. Судебную экспертизу оплачивают в порядке, который определяет суд: обычно деньги вносят на его депозит, а расходы распределяют по итогам рассмотрения дела.

Для первого обращения базу присылать не нужно. Опишите спор, назовите систему, её версию и спорный период, перечислите доступные копии, журналы и документы. Позвоните по номеру 8 (800) 333-24-09 или оставьте заявку. Сначала определим, подходит ли задача для компьютерно-технической экспертизы и какие срочные меры нужны для сохранения данных, а затем — какой минимальный комплект понадобится для оценки.