Уголовные риски IT-компании: топ-5 составов (вариант 6)

Профиль IT-компании: кто именно подвержен уголовному риску?

Уголовный риск в IT-компании распределён по нескольким ролям одновременно. Директор несёт персональную ответственность за налоговую недоимку по статье 199 УК РФ и за корпоративное мошенничество по статье 159.4 УК РФ. Главный бухгалтер — соисполнитель по налоговым составам. CTO и технический директор рискуют по статьям 272–274 УК РФ при инцидентах с данными. Разработчик или DevOps-инженер может стать фигурантом дела из-за несанкционированного доступа к системам заказчика.

Специфика IT-бизнеса создаёт уникальный профиль угроз. Три характеристики отрасли напрямую повышают уголовный риск: работа с персональными данными и коммерческой тайной третьих лиц (риск по ст. 272, 183 УК РФ); высокая доля «серых» схем выплат разработчикам через самозанятых и ИП (риск по ст. 199 УК РФ); нематериальный характер продукта, который следствие может квалифицировать как предмет хищения или мошенничества.

По данным МВД РФ, число зарегистрированных преступлений в сфере компьютерной информации (статьи 272–274.2 УК РФ) ежегодно растёт — в 2024 году зафиксировано свыше 30 000 таких преступлений. Одновременно налоговые уголовные дела в отношении IT-компаний, использующих льготные режимы, участились после перехода отрасли на ставку страховых взносов 7,6% и более пристального внимания ФНС к схемам с самозанятыми.

Как статья 159 УК РФ применяется к IT-бизнесу?

Мошенничество по статье 159 УК РФ применяется к IT-компаниям в трёх типичных сценариях: при обмане инвестора или заказчика относительно функционала продукта, при выставлении фиктивных актов за невыполненные работы, а также при привлечении финансирования под заведомо нереализуемый проект. Ущерб свыше 4,5 млн рублей квалифицируется по части 3 — крупный размер, санкция до 6 лет. Ущерб свыше 18 млн рублей — часть 4, особо крупный, до 10 лет.

Для директора и коммерческого директора IT-компании ключевой риск — агрессивные продажи. Когда менеджер обещает заказчику функционал, который технически невозможен или не запланирован, а деньги поступают на счёт, следствие квалифицирует это как умысел на хищение. Особенно опасны ситуации с авансированием: клиент оплатил разработку, компания потратила деньги на другие цели, проект провалился.

Сценарий с инвестором — отдельная группа риска. Если стартап привлёк инвестиции, описав продукт как готовый или близкий к готовности, а после получения денег разработка не была завершена, инвестор вправе обратиться в полицию. Следствие будет изучать переписку, питч-деки и техническую документацию. Частая ошибка директора — уничтожение или редактирование переписки после конфликта с инвестором: это самостоятельный риск по статье 307 УК РФ.

Какие налоговые и финансовые уголовные риски грозят IT-директору и главбуху?

Уголовная ответственность за уклонение от уплаты налогов по статье 199 УК РФ наступает при недоимке свыше 18,75 млн рублей за три финансовых года подряд. Для IT-компаний типичный триггер — схемы с самозанятыми разработчиками, которые ФНС переквалифицирует в трудовые отношения с доначислением НДФЛ и страховых взносов. Ответственность несут директор и главный бухгалтер персонально.

Статья 160 УК РФ (присвоение или растрата) актуальна для IT-компаний в двух сценариях. Первый — директор использует корпоративные средства в личных целях: оплата фиктивных услуг аффилированным структурам, вывод денег через подставные субподрядчиков. Второй — финансовый директор или бухгалтер самостоятельно переводит средства на подконтрольные счета. Санкция по части 3 статьи 160 УК РФ (с использованием служебного положения) — до 6 лет лишения свободы.

Алгоритм «ФНС → СК» в IT-секторе выглядит следующим образом: выездная налоговая проверка → акт с доначислением → решение о привлечении к ответственности → при недоимке свыше порога статьи 199 УК РФ материалы направляются в Следственный комитет. Среднее время от начала проверки до возбуждения дела — 12–18 месяцев. У компании есть реальное окно для превентивных действий, если начать работу с момента получения требования ФНС, а не после предъявления обвинения.

Для главного бухгалтера критически важно разграничить собственные действия и исполнение указаний руководителя. Суд учитывает степень самостоятельности бухгалтера при вынесении решений о налоговой базе. Если бухгалтер лишь исполнял директивы директора и не имел возможности влиять на схему, это учитывается при квалификации роли в преступлении.

Когда разработчик или DevOps становится фигурантом дела по статье 272 УК РФ?

Неправомерный доступ к охраняемой компьютерной информации по статье 272 УК РФ — это уголовный риск, специфичный именно для IT-сектора. Состав формальный по части 1: достаточно факта доступа, повлёкшего уничтожение, блокирование, модификацию или копирование информации, без требования крупного ущерба. Санкция — от штрафа до 2 лет лишения свободы по части 1, до 5 лет по части 3 при тяжких последствиях.

На практике под статью 272 УК РФ попадают в следующих сценариях. Разработчик при увольнении копирует клиентскую базу или исходный код. DevOps-инженер сохраняет доступ к серверам заказчика после завершения проекта и использует его. Сотрудник на аутсорсе получает расширенные права доступа к production-среде и скачивает данные сверх задания. Аналитик выгружает персональные данные пользователей для последующей продажи.

Статья 183 УК РФ — незаконное получение или разглашение сведений, составляющих коммерческую тайну, — применяется к разработчикам, которые уносят исходный код или техническую документацию при переходе к конкуренту. Санкция по части 2 (разглашение) — до 4 лет лишения свободы. Режим коммерческой тайны должен быть формально введён в компании (статья 10 Федерального закона № 98-ФЗ «О коммерческой тайне» от 29.07.2004) — без этого защита кода через уголовный закон затруднена.

Для CTO и технического директора отдельный риск — статья 274.1 УК РФ (неправомерное воздействие на критическую информационную инфраструктуру). С 2022 года санкции по этой статье существенно ужесточены, и компании, работающие с государственными заказчиками или в регулируемых отраслях, должны учитывать её в своём риск-профиле.

Как злоупотребление полномочиями по статье 201 УК РФ затрагивает IT-директора?

Злоупотребление полномочиями по статье 201 УК РФ применяется к руководителям коммерческих организаций — в том числе IT-компаний, — которые используют свои управленческие функции вопреки законным интересам компании и причиняют существенный вред. Санкция по части 1 — до 4 лет лишения свободы, по части 2 (тяжкие последствия) — до 10 лет. Уголовное преследование по статье 201 УК РФ в коммерческой организации возбуждается, как правило, по заявлению участника или акционера.

Для IT-бизнеса статья 201 УК РФ актуальна в нескольких сценариях. Директор заключает договор с аффилированным подрядчиком по завышенным ценам, причиняя ущерб компании. Технический директор передаёт конкурентам данные о клиентской базе или архитектуре продукта. Директор выводит выручку через фиктивные сервисные контракты с иностранными юрисдикциями.

Матрица рисков по ролям в IT-компании позволяет оценить приоритетность превентивных мер:

• Директор: статьи 159, 160, 199, 201 УК РФ — максимальный профиль риска, необходима комплексная защита
• Финансовый директор / главный бухгалтер: статьи 160, 199 УК РФ — риск соисполнительства при налоговых схемах
• CTO / технический директор: статьи 201, 272, 274.1 УК РФ — риск при инцидентах с данными и в корпоративных конфликтах
• Разработчик / DevOps-инженер: статьи 272, 183 УК РФ — риск при увольнении, работе с данными клиентов
• Коммерческий директор / менеджер по продажам: статья 159 УК РФ — риск при агрессивных продажах и несоответствии обещаний результату

Что делать IT-компании при первых признаках уголовного риска?

При первых признаках уголовного риска — получении запроса от ФНС, обращении контрагента с претензией или появлении сотрудников полиции — у руководителя IT-компании есть ограниченное окно для превентивных действий. В первые 48–72 часа после первого следственного действия стратегические ошибки исправить практически невозможно. Действия в этот период определяют всё последующее.

Ключевые приоритеты при угрозе уголовного преследования для IT-компании:

• Не давать объяснений ФНС, полиции или следователю без адвоката — статья 51 Конституции РФ гарантирует право не свидетельствовать против себя
• Не уничтожать переписку и документы — уничтожение доказательств квалифицируется самостоятельно и усиливает подозрения следствия
• Зафиксировать процессуальные нарушения при обыске (статья 182 УПК РФ): протокол, список изъятого, присутствие понятых
• Обеспечить адвоката до начала допроса — после начала допроса разрыв процессуального действия для получения помощи защитника ограничен
• Уведомить участников компании о ситуации через корпоративные каналы, задокументировав факт уведомления

Экономика превентивных мер в IT-секторе такова: уголовно-правовой аудит позволяет выявить критические риски до возбуждения дела. Стоимость превентивной работы — в 10–20 раз ниже стоимости защиты по уже возбуждённому делу с учётом судебных издержек, заморозки активов и операционных потерь компании.