Гражданский кодекс часть 1

рассмотрев в открытом судебном заседании гражданское дело по иску ФИО1 к Центральному банку Российской Федерации (Банк России) в лице Отделения по Тамбовской области Главного управления Центрального банка Российской Федерации по Центральному федеральному округу об отмене приказа о дисциплинарном взыскании, о взыскании денежных средств в размере лишенного премирования в связи с вынесенным дисциплинарным взысканием, судебных расходов,

УСТАНОВИЛ :

ФИО1 обратился в суд с иском к Центральному банку Российской Федерации (Банк России) в лице Главного управления Центрального банка Российской Федерации по Тамбовской области об отмене дисциплинарного взыскания, наложенного на него приказом ответчика от 10.10.2013г. № ЛСТ-370 «О наложении дисциплинарного взыскания», и взыскании с ответчика денежных средств в размере лишенного премирования в связи с вынесенным дисциплинарным взысканием с учетом всех пересчетов, связанных с лишением премирования.

Согласно исковому заявлению ФИО1 работал в Главном управлении Центрального банка Российской Федерации по Тамбовской области в должности заместителя начальника Управления информатизации. Приказом Главного управлении Центрального банка Российской Федерации по Тамбовской области от 10.10.2013г. № ЛСТ-370 «О наложении дисциплинарного взыскания» к нему незаконно применено дисциплинарное взыскание в виде замечания за 11 нарушений, установленных комплексной аудиторской проверкой Главного управления, за нарушения нормативных и/или иных актов Банка России, правовых и/или иных актов Главного управления, должностной инструкции заместителя начальника Управления информатизации. Одновременно с этим он был лишен премии. Истец считает, что приказ о применении дисциплинарного взыскания является необоснованным и незаконным по ряду оснований.

Так, согласно иску,

- он не нарушал пункты правовых актов Главного управления, нарушение которых вменено ему в вину, а именно п.п. 2.1, 2.2, 2.3, 3.2, 3.3, 5.2 Положения о внутреннем контроле в управлении информатизации ГУ Банка России по Тамбовской области, утвержденного приказом ГУ Банка России по Тамбовской области от 07.03.2013г. № ОДТ-150;

- в выводах комплексной аудиторской проверки (Акт комплексной аудиторской проверки ГУ Банка России по Тамбовской области, проведенной в период с 25.06.2013г. по 19.07.2013г.) относительно деятельности Управления информатизации, имевшиеся замечания были не об отсутствии внутреннего контроля, а о необходимости совершенствования процедур внутреннего контроля; серьезных недостатков и нарушений по линии Управления информатизации главным аудитором Банка России и тематическими департаментами Банка России выявлено не было;

- он наказан за неисполнение обязанностей, не предусмотренных его должностной инструкцией;

- дисциплинарное взыскание в нарушение ст.ст. 192, 193 ТК РФ применено за проступки, по которым истек срок возможности применения дисциплинарного взыскания, не учтена тяжесть проступков и предшествующее поведение работника;

- нарушения, указанные в приказе, не являются таковыми или относятся к нарушениям, допущенным, не курируемыми истцом подразделениями, в частности они относятся к Управлению безопасности и защиты информации.

Одновременно с подачей иска в суд ФИО1 по тому же вопросу обратился в Государственную инспекцию труда в Тамбовской области. По результатам проверки Государственная инспекция 07.02.2014г. направила в банк предписание с требованием, исключить из приказа № ЛТС-370 от 10.10.2013г. пункты нарушений 2-6, 8-11. Отделение по Тамбовской области Главного управления по ЦФО Банка России в соответствии с предписанием издало приказ от 18.02.2014г. № ЛТС-1-68-72/39 о внесении изменений в приказ о наложении дисциплинарного взыскания, исключило из него указанные пункты, оставив прежнее дисциплинарное взыскание.

В связи с отсутствием спора по исключенным пунктам приказа о наложении на истца дисциплинарного взыскания, суд рассматривает только оставшиеся в приказе нарушения, вмененные в вину ФИО1

В судебном заседании истец ФИО1 свои требования поддержал и по существу иска пояснил следующее.

Вмененный ему в вину в пункте 1 приказа о дисциплинарном взыскании факт прохождения пакетов между сегментами локальной вычислительной сети (ЛВС) вызван не действиями или бездействиями должностных лиц, а произошел по причине сбоя оборудования. Сбой имел место в сети, и теоретически не мог привести ни к какому риску, не мог повлечь за собой никаких последствий. Кроме того, в соответствии с п. 5.2 Положения по обеспечению информационной безопасности локальной вычислительной сети контроль обеспечения информационной безопасности активного сетевого оборудования ЛВС осуществляется не им, а Управлением безопасности и защиты информации. То есть, приписанное ему нарушение не относится к числу нарушений, допущенных курируемыми им подразделениями.

По 7 пункту приказа ФИО1 пояснил, что вменяемое ему нарушение заключается в том, что на двери серверной (помещение №33 Главного управления) отсутствовал список сотрудников, которые имеют доступ в это помещение. Но помещение №33 оборудовано системой контроля доступа, и просто так в него попасть невозможно. У сотрудников имеется пластиковая карта, с помощью которой осуществляется вход. Список допущенных сотрудников подписывается начальником Управления информатизации по согласованию с начальником Управления безопасности и защиты информации. Такой список на момент проверки имелся, но почему-то не был прикреплен изнутри на двери серверной. Отсутствие списка никак не отразилось на информационной безопасности банка. Недостаток устранен в период проверки.

По мнению истца, оба недостатка отнесены аудиторской проверкой не к деятельности его Управления, а к деятельности Управления безопасности и защиты информации. Кроме того, в нарушение ст.193 ТК РФ с него не запросили письменного объяснения по поводу нарушений, не установили степень вины, а также при привлечении к дисциплинарной ответственности не учли его предыдущее добросовестное отношение к работе, тяжесть проступка. И за 11 нарушений, и за 2 нарушения применено одно и то же дисциплинарное взыскание. Также истец полагает, что внутренний аудит направлен на оказание помощи в поддержании эффективности и совершенствовании системы внутреннего контроля посредством дачи рекомендаций, в связи с чем не все указанные в акте факты являются недостатками и нарушениями. В Акте аудиторской проверки никаких недочетов в его работе не отражено. В представлении Главного аудитора об этом тоже ничего не говорится. При рассмотрении руководством банка результатов аудиторской проверки к нему не было никаких претензий. Применение к нему дисциплинарного взыскания повлекло лишение премии.

Истец просит его иск удовлетворить, приказ о дисциплинарном взыскании отменить, взыскать в его пользу сумму лишенного премирования, а также компенсировать расходы, связанные с рассмотрением дела.

В судебном заседании представители ответчика М.Н.В., К.А.С., П.Л.Н. с иском не согласились, полагают, что требования истца удовлетворению не подлежат.

Представитель ответчика М.Н.В. по существу иска пояснила, что ФИО1 нарушил п. 2.1, 2.2, 2.3, 3.2, 3.3, 5.2 Положения о внутреннем контроле в Управлении информатизации. Истец как заместитель начальника Управления информатизации и исполняющий обязанности начальника Управления информатизации отвечал за организацию работы на его участке. Он должен был спланировать проверки, проконтролировать и исключить недостатки, которые выявила аудиторская проверка: осуществление доступа извне в платежную систему, доступ к серверам не был ограничен. Нарушения имели место, и ФИО1 правильно привлечен к ответственности.

Представитель ответчика К.А.С. пояснил, что он является начальником Управления информатизации и в связи с этим отвечает за все недостатки. Его должностной инструкцией предусмотрено, что он должен организовывать работы по созданию, развитию и эксплуатацию подсистем (сетей) информационной телекоммуникационной системы. Контролем за работой подсистем занимаются инженеры, подчиняющиеся начальнику Управления информатизации, не дожидаясь проверок. Сбой, выявленный аудиторской проверкой, инженеры своевременно не обнаружили. Оборудование, обеспечивающее разделение информационного и платежного сегментов, эксплуатируется Управлением информатизации. С Управлением безопасности согласовываются конфигурации систем. Управление безопасности периодически контролирует настройки, а текущий контроль возложен на Управление информатизации. Он, как руководитель, организовывает доступ в серверную. Это его вина, что список лиц, имеющих доступ в серверную, не был прикреплен к двери.

В предыдущем судебном заседании представитель ответчика П.А.С. пояснил, что правомерность привлечения ФИО1 к дисциплинарной ответственности подтверждена Государственной инспекцией труда в Тамбовской области. Заместитель начальника Управления информатизации является руководителем и несет равную с начальником ответственность.

Представители ответчика И.О.А., П.С.В., ранее в судебном заседании, и П.Л.Н. поддержали пояснения других представителей ответчика.

Специалист Р.Н.И., заместитель начальника отдела безопасности и защиты информации, суду пояснил, что их обязанность периодически контролировать обеспечение информационной безопасности, ответственность за функционирование данного оборудования, его настраивание несет Управление информатизации. Список доступа в серверную должен находится внутри помещения.

Выслушав доводы участников процесса, изучив материалы дела, суд находит, что требования истца удовлетворению не подлежат. Суд пришел к такому выводу по следующим основаниям.

ФИО1 с 01.04.1992г. принят на работу в Главное управление Центрального банка Российской Федерации по Тамбовской области на должность инженера I категории отдела по автоматизированной обработке информации (приказ от 31.03.1992г. №48). 24.04.2002г. он переведен начальником Отдела телекоммуникаций, сетей и средств передачи данных Управления информатизации (Трудовой договор от 24.04.2002г.). С 06.07.2010г. назначен заместителем начальника Управления информатизации (приказ от 05.07.2010г. № ЛСТ-205). При этом в период с 24.06.2013г. по 31.07.2013г. П.О.К. исполнял обязанности начальника Управления информатизации (приказ от 17.06.2013г. № ЛСТ-213).

С 23.01.2014г. Главное управление Центрального банка Российской Федерации по Тамбовской области преобразовано в Отделение по Тамбовской области Главного управления Центрального банка Российской Федерации по Центральному федеральному округу (Приказ Банка России от 28.10.2013г. № ОД-817).

С 25.06.2013г. по 19.07.2013г. в Главном управлении Центрального банка РФ по Тамбовской области проведена комплексная аудиторская проверка, выявившая в его деятельности ряд недостатков.

Так в частности, при проведении проверки разделения платежного и информационного сегментов ЛВС Главного управления в присутствии представителей отдела технической защиты информации, Управления информатизации и ГРКЦ установлен факт прохождения пакетов данных с автоматизированных рабочих мест платежного сегмента на почтовый сервер информационного сегмента Главного управления в ГРКЦ Главного управления, в связи с чем возникает риск несанкционированного доступа к платежной сети. Как указано в акте проверки, вышеописанная ситуация возникла из-за отсутствия контроля за разделением платежного и информационного сегмента ЛВС Главного управления. Предложено разработать методику, позволяющую на постоянной основе контролировать разделение указанных сегментов (раздел 10 Акта проверки).

Аудиторской проверкой также установлено, что в помещение №33 Главного управления, в котором установлены серверы БАРСУМ и серверы ПИБ РС ЕТКБС, не регламентирован порядок доступа. Доступ к серверам не был ограничен. Нарушение устранено в период проверки.

По результатам проверки приказом начальника Главного управления от 10 октября 2013 года № ЛСТ-370 заместитель начальника Управления информатизации ФИО1 привлечен к дисциплинарной ответственности в виде замечания. Приказ первоначально содержал 11 пунктов нарушений.

После внесения на основании предписания Государственной инспекции труда в Тамбовской области изменений в приказ № ЛТС-370 от 10 октября 2013 года ФИО1 привлечен к дисциплинарной ответственности по двум пунктам «за установленные нарушения требований Банка России к обеспечению информационной безопасности, а именно за неэффективный контроль над обеспечением правильности настроек технических и программных средств, приведший к отсутствию разделения платежного и информационного сегментов локальной вычислительной сети Главного управления, что значительно повысило риск несанкционированного доступа к ресурсам платежного сегмента, а также за несоблюдение требований по ограничению доступа в помещение, в котором установлены серверы БАРСУМ и ПИБ РС ЕТКБС, за низкий уровень контроля за организацией работы в курируемых подразделениях Управления информатизации, нарушение нормативных и/или иных актов Банка России, правовых и/или иных актов Главного управления, должностной инструкции заместителя начальника Управления информатизации».

В п.1.13.3 Основных направлений политики информационной безопасности Банка России (приказ Банка России от 06.03.2006г. № ОД-103) и п.8 Частной политики информационной безопасности в автоматизированных платежных (расчетных) системах Главного управления Банка России по Тамбовской области (приказ Главного управления по Тамбовской области от 13.03.2013г. № ОДТ-173) предписано, что платежный сегмент вычислительной сети должен быть отделен от информационного сегмента средствами маршрутизации и межсетевого экранирования на уровне не выше 3 в соответствии с семиуровневой моделью взаимосвязи открытых систем OSI.

Согласно п.п. 4.2.4. и 4.2.5. Частной политики информационной безопасности в телекоммуникационной системе Главного управления Банка России по Тамбовской области, утвержденной и.о. начальника Главного управления Банка России по Тамбовской области от 02.12.2011г. № ВН-11-3-1/397 при эксплуатации ТКС необходимо ограничивать доступ к важной информации о конфигурации ТКС и ПИБ ТКС. Порядок доступа в помещения, где располагаются элементы ТКС, должен быть ограничен и регламентирован. Начальником подразделения, обслуживающего оборудование ТКС, должен быть определен и согласован с УБиЗИ список сотрудников, имеющих право самостоятельного доступа в помещения с оборудованием ТКС.

Нарушение указанных выше предписаний и было выявлено аудиторской проверкой.

Доводы истца о том, что вмененные ему в вину нарушения касаются не его должностных обязанностей, а обязанностей руководителей другого подразделения банка, а именно Управления безопасности и защиты информации, несостоятельны.

Так раздел 10 Акта комплексной аудиторской проверки именуется «Обеспечение безопасности и защиты информации». То есть раздел касается деятельности Главного управления в целом по данному направлению, а не отдельно взятого конкретного структурного подразделения. В этом же разделе отражены и результаты проверки разделения функций между подразделением информатизации и подразделением информационной безопасности.

Главным управлением Банка России по Тамбовской области принят приказ от 05.09.2012г. № ОДТ-319 «Об утверждении и введении в действие «Положения по обеспечению информационной безопасности локальной вычислительной сети Главного управления Банка России по Тамбовской области» (далее - Положение)». Пунктом 2 этого приказа обязанность обеспечить выполнение требований Положения возложена на начальников Управления информатизации и Управления безопасности и защиты информации.

То есть обеспечением безопасности и защиты информатизации в банке занимаются оба названных подразделения с разделением функций между ними.

Пунктом 5.1 Положения предусмотрено, что контроль обеспечения информационной безопасности активного сетевого оборудования ЛВС Главного управления является неотъемлемой составной частью общего комплекса мер информационной безопасности, который должен быть обеспечен на всех этапах эксплуатации активного сетевого оборудования.

Из Должностной инструкции заместителя начальника управления информатизации, которым является ФИО1, следует, что:

- заместителю начальника управления информатизации подчиняются начальники отделов управления информатизации в рамках организуемых им работ (п. 1.7.);

- он организует работы по обеспечению функционирования и надежности работы программно-технических средств (п. 2.4.);

- он организует сохранность информации ограниченного доступа (п. 2.7.11.);

-он является ответственным за эксплуатацию региональной подсистемы автоматизированной системы учета информационно-телекоммуникационных ресурсов, системного и офисного программного обеспечения, программного обеспечения защиты информации (п. 2.8.);

- он осуществляет внутренний контроль состояния дел в управлении информатизации на закрепленном участке работы ( п. 2.14.);

- он же выполняет требования правовых актов Главного управления, устанавливающих порядок доступа в помещения, в которых размещаются технические средства информационных систем персональных данных и (или) автоматизированных систем обработки, хранения и передачи информации ограниченного доступа (п. 2.28.);

- заместитель начальника управления информатизации несет ответственность за несвоевременное и некачественное (ненадлежащим образом) выполнение своих должностных обязанностей (п. 3.1.).

В соответствии с п.1.2 Распоряжения Главного управления Банка России по Тамбовской области от 05.04.2013г. № РТ-86 «О распределении обязанностей между начальником управления информатизации и его заместителем» ФИО1

- курирует входящие в состав управления информатизации отдел технического обслуживания и ремонта вычислительной и организационной техники и отдел телекоммуникаций, сетей и средств передачи данных;

- организует работы в курируемых им отделах по обеспечению функционирования и надежности работы программно-технических средств;

- осуществляет внутренний контроль состояния дел в курируемых им отделах.

Как видно из должностной инструкции начальника отдела технического обслуживания и ремонта вычислительной и организационной техники, этот отдел обеспечивает надежность функционирования технических средств.

Как видно из должностной инструкции начальника отдела телекоммуникаций, сетей и средств передачи данных, этот отдел организует бесперебойную работу телекоммуникационного оборудования и системных программных средств в структурных подразделениях Главного управления. Начальники обоих отделов непосредственно подчиняются начальнику управления информатизации. На момент возникновения нештатной ситуации с прохождением пакетов между платежным и информационным сегментами ЛВС ФИО1 исполнял обязанности начальника управления информатизации.

В соответствии с Положением о внутреннем контроле в управлении информатизации Главного управления Банка России по Тамбовской области (приказ Главного управления от 07.03.2013г. № ОДТ-150) предписывается:

п. 2.1. Внутренний контроль в управлении информатизации осуществляется в целях… обеспечения бесперебойного функционирования технических и программных средств Главного управления;

п. 3.1. Внутренний контроль в управлении информатизации осуществляется на первом (операционном) уровне работниками, непосредственно выполняющими соответствующую операцию, и включает постоянный контроль (предварительный и/или текущий) за совершением операций;

п. 3.2. Внутренний контроль в управлении информатизации включает в себя периодические проверки (последующий контроль), проводимые непосредственно начальником управления, его заместителем, начальниками отделов управления (п.п. 3.1 и 3.2 включены в раздел 3 «Процедуры внутреннего контроля»);

п.п. 5.1 и 5.2 Начальник управления информатизации и его заместитель несут ответственность за организацию и осуществление внутреннего контроля и обязаны обеспечить осуществление внутреннего контроля на первом (операционном) уровне .

Из приведенных внутренних нормативных актов ответчика следует, что именно ФИО1, как заместитель начальника управления информатизации и исполняющий обязанности начальника управления информатизации, был обязан обеспечить и проконтролировать бесперебойную работу оборудования с целью безопасности информатизации, и ограничить доступ в серверную путем утверждения списка лиц, имеющих доступ в указанное помещение. Этими же актами опровергаются доводы истца, что у него не было полномочий осуществлять внутренний контроль по собственному усмотрению.

Тот факт, что начальник Управления безопасности и защиты информации по результатам аудиторской проверки не был привлечен к дисциплинарной ответственности, для настоящего спора не имеет значения, так как наложение дисциплинарных взысканий на конкретного работника является правом работодателя.

По мнению суда, при наложении дисциплинарного взыскания на ФИО1 ответчик учел тяжесть проступка.

Как следует из раздела 9 Акта аудиторской проверки, выявленные единичные недостатки в контроле деятельности и в эксплуатации программных и технических комплексов свидетельствуют о необходимости совершенствования процедур внутреннего контроля, обеспечивающих недопущение (предупреждение) их в дальнейшем.

Как указано выше, процедура внутреннего контроля, изложенная в Положении о внутреннем контроле, предусматривает постоянный (текущий) и последующий контроль, то есть процедура внутреннего контроля уже регламентирована, и следует совершенствовать ее исполнение на практике, что входит в прямые обязанности ФИО1 И хотя, по мнению аудиторов, работа Управления информатизации в целом соответствовала требованиям нормативных и иных актов Банка России, руководство Главного управления посчитало необходимым для предотвращения в последующем сбоев в работе оборудования привлечь виновное лицо к дисциплинарной ответственности.

Из протокола №7 заседания рабочей группы по функционированию системы управления рисками и внутреннего контроля от 12.09.2013г. следует, что нарушение, связанное с настройками платежного и информационного сегментов ЛВС, является одним из главных нарушений в деятельности управления информатизации. Причиной этого нарушения послужило ослабление контроля со стороны начальника Управления информатизации и начальника отдела телекоммуникаций, сетей и средств передачи данных.

Представление по результатам аудиторской проверки направлено в Главное управление 28.10.2013г., то есть уже после применения к ФИО1 дисциплинарного взыскания за выявленные в его работе нарушения. Поскольку в представлении отражены только факты, по которым руководством Главного управления меры не были приняты, то очевидно, что об истце в нем ничего не сказано.

Таким образом, несмотря на то, что после предписания Государственной инспекции труда в Тамбовской области ФИО1 обвиняется работодателем в нарушении должностных обязанностей только по двум пунктам, значимости оставшихся нарушений достаточно для привлечения его к дисциплинарной ответственности.

Поскольку к истцу применено самое мягкое дисциплинарное взыскание из предусмотренных ст.192 Трудового Кодекса РФ, то у суда имеются основания полагать, что тяжесть проступков и предыдущая безупречная работа ФИО1 работодателем была учтена.

Довод истца о нарушении при наложении на него взыскания норм ст.193 Трудового Кодекса РФ также не состоятельны. Взыскание наложено в установленный законом срок с учетом времени нахождения ФИО1 в отпуске с 26.08.2013г. по 01.10.2013г. До наложения замечания от него 04.10.2013г. затребовано объяснение по факту нарушений, выявленных аудиторской проверкой, которое он дал до применения дисциплинарного взыскания.

В связи с отказом истцу в иске не подлежат удовлетворению его требования о взыскании сумм лишенного премирования и компенсации судебных расходов.

На основании изложенного и руководствуясь ст.ст. 194-199 ГПК РФ,

РЕШИЛ:

В удовлетворении исковых требований ФИО1 к Центральному банку Российской Федерации (Банк России) в лице Отделения по Тамбовской области Главного управления Центрального банка Российской Федерации по Центральному федеральному округу об отмене приказа о дисциплинарном взыскании, о взыскании денежных средств в размере лишенного премирования в связи с вынесенным дисциплинарным взысканием, судебных расходов отказать.

Решение может быть обжаловано в Тамбовский областной суд в течение месяца со дня принятия решения в окончательной форме.

Судья И.Ю. Ознобкина

Решение в окончательной форме принято 04 июня 2014 года.

Судья И.Ю. Ознобкина