Эксперт устанавливает, под какой учётной записью, в каком сеансе, с какого компьютера и в какое время выполнена операция. Это технические факты. Но учётная запись — не человек: под ней мог работать коллега, которому сообщили пароль, или посторонний, получивший к ней доступ.
Иногда технические данные сужают круг возможных лиц: операция выполнена с рабочего места в кабинете, в сеансе, открытом смарт-картой, в то время, когда по журналу пропусков в здании был один сотрудник. Эксперт может описать каждое такое совпадение, но вывод о том, кто действовал лично, делают суд и следствие с учётом показаний, видеозаписей и других доказательств.
Если такой вопрос важен для дела, соберите сведения о выдаче учётных записей, порядке входа, графике работы и о том, кто имел доступ к рабочему месту. Они понадобятся суду, а эксперту помогут правильно описать пределы вывода.