Внедрение ERP-системы (SAP, 1С, Microsoft Dynamics, Oracle) - это многомиллионный проект, который должен принести компании прозрачность, эффективность и контроль. Но что происходит, когда после торжественного запуска выясняется, что система работает не так, как обещано?
- Расход сырья завышен на 20% из-за «закладки» в коде .
- Финансовая отчетность не соответствует реальности, потому что данные можно править задним числом через прямой доступ к базе .
- Интеграция с внешними системами «сырая», а подрядчик утверждает, что это проблемы ваших сотрудников .
Экспертиза ERP-систем после внедрения - это инструмент, который позволяет объективно оценить качество выполненной работы, выявить скрытые дефекты и получить доказательства для суда или переговоров с подрядчиком.
Почему обычной приемки недостаточно: четыре риска внедрения
Заказчик подписывает акт приемки - и теряет рычаги влияния. После этого доказать, что система работает некорректно, становится в разы сложнее. Вот четыре типичные проблемы, которые экспертиза выявляет уже после внедрения.
Фальсификация данных и «правка задним числом»
Самая частая и опасная проблема. ERP-системы хранят финансовую и хозяйственную информацию - и иногда в нее вносят изменения, которые не должны быть заметны.
Как это выглядит на практике:
Главный бухгалтер узнает о проверке, заходит в 1С, запускает штатную обработку «Удаление помеченных объектов», сносит журнал регистрации и делает резервную копию «чистой» базы. Внешне - все чисто. Но эксперт восстанавливает из теневых копий VSS журнал регистрации за период на две недели назад и находит следы фиктивных актов на 23 млн рублей .
Что ищет эксперт:
- Несоответствие временных меток в журналах транзакций и системного времени сервера.
- Следы прямого доступа к таблицам БД через SQL-клиенты.
- Отсутствие записей в журналах аудита там, где они должны быть по логике системы.
- Фрагменты удаленных LDF-файлов в нераспределенном пространстве диска .
Некачественная настройка и «закладки» в коде
Подрядчик может сдать систему, которая формально работает, но содержит ошибки в настройках или преднамеренные «закладки», искажающие бизнес-логику.
Реальный кейс из арбитражной практики:
Производственный холдинг внедрил SAP ERP. Система стала завышать расход сырья на 15-20%. Экспертиза установила:
- В ABAP-коде найдена «закладка»: начальник производства мог менять расход материалов в обход авторизаций.
- Настройки "управления партиями" были выполнены не по стандарту: партии материалов списывались с несуществующих позиций.
- Ущерб - 120 млн рублей. Суд удовлетворил иск заказчика .
Спор о причинах проблем: подрядчик vs. сотрудники заказчика
Типичная ситуация: система работает с ошибками. Подрядчик говорит: «Это ваши сотрудники неправильно вводят данные». Заказчик утверждает: «Это вы плохо настроили».
Экспертиза 1С-ERP, например, позволяет:
- Проанализировать журналы аудита - кто, когда и что делал.
- Сопоставить фактические настройки системы с проектной документацией.
- Выявить отклонения от отраслевых стандартов и рекомендаций производителя.
- Отделить последствия «человеческого фактора» от системных недоработок подрядчика .
Несоответствие требованиям безопасности и законодательству
ERP-системы хранят персональные данные и коммерческую тайну. Если система не соответствует 152-ФЗ или требованиям ФСТЭК, компанию ждут многомиллионные штрафы.
Экспертиза проверяет:
- Механизмы контроля доступа и разграничения прав.
- Протоколы шифрования и безопасности.
- Наличие и корректность механизмов получения согласия на обработку данных.
- Возможность реализации прав субъектов данных (удаление, изменение) .
Что именно проверяет экспертиза ERP-системы
Компьютерно-техническая экспертиза ERP-системы - это глубокое исследование, а не поверхностное тестирование. Эксперты анализируют:
Аппаратный уровень
- Побитовое копирование дисков (HDD, SSD, NVMe) с вычислением хэш-сумм SHA-256.
- Восстановление данных из RAID-массивов.
- Анализ нераспределенного пространства носителей .
Уровень СУБД
- Журналы транзакций (WAL для PostgreSQL, REDO/UNDO для SAP HANA).
- Сравнение структуры баз данных с проектной документацией.
- Выявление прямых SQL-запросов в обход прикладного уровня .
Прикладной уровень (бизнес-логика)
- Настройки модулей и кастомный код (ABAP для SAP, 1С-язык).
- Журналы изменений (CDHDR/CDPOS для SAP, журнал регистрации 1С).
- Анализ прав доступа и ролей пользователей .
Уровень интеграций
- Логи REST/SOAP-запросов.
- Очереди сообщений (RabbitMQ, Kafka).
- Схемы обмена данными с внешними системами .
Качество ERP-системы по ГОСТ: как оценивают эксперты
Профессиональная экспертиза опирается на государственные стандарты. Согласно ГОСТ Р ИСО/МЭК 25010-2015, качество программного обеспечения оценивается по 8 основным и 31 подхарактеристикам .
Для ERP-систем эксперты выделяют 12–14 ключевых параметров :
- Функциональность - все ли заявленные функции работают корректно.
- Пригодность - насколько система подходит для бизнес-процессов компании.
- Правильность - корректность алгоритмов расчетов.
- Согласованность - непротиворечивость данных в разных модулях.
- Защищенность - соответствие требованиям информационной безопасности.
- Надежность - стабильность работы, время восстановления после сбоев.
- Стабильность - отсутствие критических ошибок при нагрузке.
- Восстанавливаемость - возможность восстановления данных после сбоев.
- Практичность - удобство использования для конечных пользователей.
- Понятность - ясность интерфейсов и документации.
- Простота - легкость освоения и работы.
- Эффективность - производительность и оптимальность использования ресурсов.
- Сопровождаемость - возможность модификации и доработки.
- Изменяемость - легкость адаптации к новым требованиям .
Исследования показывают, что качество системы напрямую влияет на удовлетворенность пользователей и воспринимаемую пользу от внедрения. Причем все три измерения качества (системное, информационное и сервисное) одинаково важны .
Досудебная и судебная экспертиза: в чем разница
Досудебное (независимое) исследование
Проводится до суда по инициативе заказчика или подрядчика. Позволяет:
- Оценить реальное качество внедрения и выявить скрытые дефекты.
- Получить аргументы для досудебной претензии и переговоров.
- Скорректировать позицию перед судебным процессом.
- Часто приводит к мирному урегулированию .
Судебная экспертиза
Назначается судом или арбитражным судом. Обладает максимальной доказательной силой. Исследование проводится по строго регламентированной методике, а заключение становится ключевым доказательством в деле .
Важно: любые выводы об изменениях в ERP, сделанные экспертом, аффилированным с одной из сторон, презюмируются недостоверными. Поэтому суды назначают независимую экспертизу .
Три признака качественного экспертного заключения
Если вы получаете заключение эксперта, проверьте три ключевых момента :
- Зафиксированы хеш-суммы исходного носителя. Если эксперт не зафиксировал SHA-256 образа диска до начала работы - данные могли быть изменены в любой момент.
- Использованы средства ниже уровня приложения. Например, для 1С недостаточно штатного журнала регистрации - он чистится за 2 секунды. Настоящий эксперт анализирует LDF-файлы SQL Server и технологические логи на уровне ОС.
- Выводы привязаны к техническим артефактам. Не «обнаружены признаки подделки», а «в таблице журнала транзакций обнаружены 47 записей с типом операции LOP_MODIFY_ROW, выполненных из IP-адреса X, не принадлежащего корпоративной сети, с временем модификации, отличающимся от системного времени сервера на 3 часа 12 минут» .
Что нужно предоставить эксперту для качественной проверки
Чтобы экспертиза была максимально полной и объективной, заказчику необходимо подготовить :
- Техническую документацию - ТЗ, дизайн-документы, планы внедрения, акты приемки.
- Доступ к системе - продуктивной, тестовой и разработочной средам.
- Исходные коды и историю изменений (если есть в системе контроля версий).
- Журналы аудита и системные логи за исследуемый период.
- Резервные копии баз данных (желательно криминалистические копии).
- Сведения о пользователях, ролях и правах доступа.
- Четко сформулированные вопросы к эксперту .
Типичные ситуации, когда экспертиза необходима
— Подрядчик сдал ERP, но она работает с ошибками. Экспертиза выявит, чья это вина: недоработки внедренцев или некорректные действия персонала .
— Выявлена фальсификация данных (финансовых, складских). Экспертиза установит время, способ и возможных виновников изменений .
— Система не соответствует требованиям безопасности. Экспертиза подтвердит или опровергнет соответствие 152-ФЗ и требованиям ФСТЭК .
— Спор о качестве внедрения с подрядчиком. Экспертное заключение — главное доказательство в арбитраже или переговорах .
— Налоговая или иная проверка. Независимая экспертиза помогает подтвердить достоверность данных, сформированных в ERP .
Заключение
Экспертиза ERP-системы после внедрения - это инструмент защиты от многомиллионных убытков, способ объективно оценить качество работы подрядчика и получить доказательства для суда или переговоров.
В отличие от обычного тестирования, экспертиза опирается на государственные стандарты (ГОСТ Р ИСО/МЭК 25010), использует методы криминалистического анализа и позволяет выявить даже скрытые дефекты и фальсификации, которые невозможно заметить при поверхностной проверке .
Если вы столкнулись с проблемами внедрения ERP-системы или хотите проверить качество сданного проекта - не откладывайте. Чем раньше проведена экспертиза, тем больше шансов защитить свои интересы.
Нужна экспертиза ERP-системы после внедрения?
Лаборатория цифровых исследований (LCI) проводит судебные и досудебные компьютерно-технические экспертизы корпоративных информационных систем - SAP ERP, 1С: Предприятие и других платформ.
