Summary

  • GAO обследовало 18 крупных ИТ-программ DOD, на которые в бюджетных 2024–2026 годах планировалось 10,3 млрд долларов. В семи программах руководители сообщили, что сотрудники за предшествующие два года не получали или не знали об обучении выявлению и сообщению о мошенничестве либо вмешательстве в ИТ-системы.
  • Одиннадцать программ сообщили о полученном или известном обучении. Десять заявили, что оценивают собственные риски мошенничества; пять не проводят такую оценку, ещё три не знают, проводится ли она. DOD требует общего ознакомления с проблемой мошенничества, но не требует отдельного обучения его признакам в ИТ-системах.
  • Новая рекомендация GAO адресована руководителю ИТ (Chief Information Officer, CIO) совместно с офисом Comptroller, который с июля 2020 года отвечает за риск мошенничества в ведомстве. Проверяемый результат должен появиться в каждой программе: её риски, подходящее обучение, охваченные сотрудники и понятный путь сообщения.

Отметка в центре и сигнал на рабочем месте

Ведомство может легко показать количество людей, закончивших обязательный общий курс. Для администратора бизнес-системы эта цифра мало говорит о том, что делать при необычной смене прав доступа или нехарактерном ходе согласования. Учебный материал должен привязать признаки риска к операциям, которые человек видит ежедневно, и назвать получателя сообщения. Иначе центральная отметка живёт в отчёте, а сомнение сотрудника остаётся у терминала.

Доклад GAO от 28 сентября 2026 года проверил именно путь от правила к программе. Из крупных ИТ-инвестиций DOD аудиторы выбрали 18 программ обеспечения деятельности и опросили их офисы. Семь ответили, что за два предшествующих года их персонал не получил или не знал об обучении распознавать и сообщать о признаках мошенничества либо подмены в ИТ-системах. Одиннадцать сообщили, что обучение было пройдено или известно. Сведения оценивались по состоянию на апрель 2026 года.

Эти системы поддерживают медицинские услуги, работу с персоналом, финансы, логистику и заключение контрактов. Офис CIO DOD оценил расходы, запланированные для 18 программ на бюджетные 2024–2026 годы, в 10,3 млрд долларов. На четыре крупнейшие приходилась половина суммы. Таков масштаб работы, в которой программа должна уметь отличать обычную ошибку от сигнала, требующего проверки. Плановая сумма показывает цену управления сложным портфелем; она не является оценкой потерь от мошенничества.

Два начальника для одного урока

Ответ DOD аудиторам объясняет, почему возникает промежуток. Ведомство сообщает, что с июля 2020 года Office of the Under Secretary of Defense (Comptroller) назначен ответственным за управление риском мошенничества в масштабах министерства. Оно также указывает на обязательную общую подготовку и финансовые требования, включённые в ежегодные правила сертификации бизнес-систем. У этой конструкции есть политика, ответственный офис и документы.

У крупных ИТ-программ есть другой управляющий контур — CIO и сами программные команды. Чиновники DOD прямо сообщили GAO, что отдельного обязательного обучения распознаванию и сообщению о мошенничестве в ИТ-системах сейчас нет. Общая лекция способна объяснить определение. Чтобы распознать риск в программе, требуются её процессы, данные, роли и цепочка реакции. Кто-то должен перевести ведомственную норму на язык конкретного рабочего места и удостовериться, что сотрудники знают этот перевод.

Вторая часть анкеты выявила тот же разрыв в оценке риска. Десять программ сообщили, что оценивают угрозы мошенничества для себя. Пять ответили, что не оценивают. Три не знали, делается ли это. Последняя группа особенно показательна: если руководитель программы не может указать на оценку, материал трудно использовать для подготовки людей и для решения при тревожном наблюдении. GAO требует, чтобы работники понимали риски своей функциональной области, отличали противодействие мошенничеству от обычных финансовых проверок и регулярно получали практическую подготовку.

Почему GAO поставило два адреса в одну рекомендацию

В этой ежегодной оценке GAO предложило одну новую меру. Министр обороны должен поручить CIO вместе с Comptroller поддерживать противодействие мошенничеству в крупных ИТ-бизнес-программах: обучать персонал замечать риски в своей работе и знать, какие оценки рисков проводятся. Шесть рекомендаций прошлых ежегодных проверок остаются неисполненными, но новая касается именно доставки этого знания в программы.

DOD согласилось с ней частично. Ведомство напомнило о полномочиях Comptroller и о положениях сертификационной документации. GAO сохранило акцент на координации, потому что персонал программ должен получить релевантную подготовку и знать о ней. Спор между документом о компетенции и доказательством выполнения здесь предельно конкретен. Офис может быть назначен ответственным за риск, а сотрудники программы всё равно не иметь общего представления о его признаках в своём программном обеспечении.

Другие выводы доклада дают контекст системной дисциплины. Восемь из десяти программ, активно разрабатывавших ПО, не подтвердили использование требуемых метрик и инструментов Agile. Шесть из 18 не подготовили план внедрения zero trust к сроку DOD в 2027 году; у трёх не было утверждённой стратегии кибербезопасности. Это отдельные требования со своими документами. Они показывают, сколько разных решений скрывается за словами «управление ИТ-портфелем» и почему каждая программа должна оставлять проверяемый след.

Нужный след по мошенничеству пока описывается просто: какие риски программа оценила, чему учили исполнителей, кто участвовал или знал о курсе, кому передаётся сигнал. Последующий аудит, который покажет такую цепочку во всех 18 программах, изменит вывод. Пока семь ответов фиксируют место, где общая политика теряет связь с работой конкретной системы.

Источники