← Все статьи

В некоторых местах закон не требует аудита вообще

В некоторых штатах США нет закона, требующего проверить, правильно ли машины подсчитали ваш голос — и федеральный аудит выявил этот пробел в 2005 году.

Где-то в офисе клерка округа Висконсин в октябре 2021 года команда бюро законодательного аудита штата пыталась восстановить выборы, которые произошли почти год назад. Им было разрешено начать только через три месяца после дня выборов. Они не могли непосредственно наблюдать подсчёт. Они провели опрос клерков, проверили сертификаты заочных бюллетеней, просмотрели отчёты о тестировании оборудования — и обнаружили, что только 50,3 процента юридически требуемых проверок оборудования были завершены в течение десяти дней до выборов, которые требовал закон штата.

Это открытие не было доказательством мошенничества. Но оно подняло неудобный вопрос: если более половины обязательных предвыборных проверок оборудования не были проведены вовремя, что именно обнаружило бы проблему, если бы она произошла?

Ответ в Висконсине и во многих других местах таков: ничего обязательного.

Пробел, который никто не вынес на первую полосу

Вот предложение, которое обычно скрывается в нормативных документах: в некоторых юрисдикциях США нет закона, требующего проведения аудита после выборов вообще.

Не слабый аудит. Не медленный аудит. Вообще никакого аудита. Машины подсчитывают. Цифры сертифицируются. Никто не обязан по закону проверять, правильно ли машины подсчитали.

Это не теория заговора. Это пробел в административном законодательстве — пробел, который федеральные аудиторы назвали письменно в отчёте из 107 страниц в 2005 году.

Отчёт Управления подотчётности правительства США GAO-05-956, выпущенный 21 сентября 2005 года, установил, что федеральные усилия по повышению безопасности и надёжности систем электронного голосования были в процессе, но что «ключевые виды деятельности остались незавершёнными». Управление рекомендовало Комиссии по помощи избирателям установить процедуры сертификации, создать хранилища для сертифицированного программного обеспечения, обмениваться информацией об уязвимостях системы и распространять рекомендуемые методы обеспечения безопасности. Он сообщил, что документированные проблемы с системами электронного голосования вызвали «вопросы об их безопасности и надёжности».

Федеральные аудиторы — профессионалы, чья работа заключается в поиске пробелов, а не в защите должностных лиц — говорили ясно: защитные механизмы ещё не завершены.

Это было в 2005 году. Отчёт бюро законодательного аудита Висконсина Report 21-19, выпущенный в октябре 2021 года, установил, что поскольку аудит был одобрен только через три месяца после ноябрьских всеобщих выборов 2020 года, аудиторы «не непосредственно наблюдали день выборов и полагались на имеющиеся доказательства». Среди проверенных ими документов: 175 юридически требуемых проверок оборудования, из которых только 50,3 процента были завершены в установленный законом период.

Один из четырёх проверенных ими сертификатов — 1 022 из 14 710 сертификатов заочных бюллетеней — имел неполные адреса свидетелей. И 59 из 60 результатов тестов, рассмотренных более подробно, «указывали, что оборудование точно подсчитало голоса по президентским выборам».

Это последнее предложение часто цитируется как залог уверенности. Но прочитайте его снова. Пятьдесят девять из шестидесяти. Проделано поздно, аудиторами, прибывшими после события, пересматривающими подмножество записей. Залог уверенности — это не то же самое, что независимая, проводимая в реальном времени, открыто проверяемая проверка.

Что на самом деле означает «нет обязательного аудита» на практике

Аудит звучит бюрократически. На самом деле это: единственный механизм, который может подтвердить, правильно ли машина подсчитала голоса избирателей.

Без него подсчёт — это то, что говорит машина. Точка. Вы полагаетесь на оборудование, программное обеспечение и людей, которые оба конфигурировали — и у вас нет независимого способа проверить, обоснованно ли это доверие.

Это не гипотетическая проблема. В Уиндхеме, Нью-Гэмпшир, оптический сканер тихо неправильно прочитал сотни заочных бюллетеней, потому что машина для сгибания согнула их через овалы целевых отметок. Форензический аудит, приказанный законодательным собранием Нью-Гэмпшира — возглавляемый исследователями Харри Хурсти, Марком Линдеманом и Филипом Старком — выявил проблему в линиях сгиба, которые сканеры AccuVote интерпретировали как отмеченные овалы, усугубленные белым порошком на линзах сканера. Никаких вредоносных программ. Никакого мошенничества. Механическая особенность и скопившаяся пыль.

Ошибка была обнаружена только потому, что существовали долговечные бумажные бюллетени и ручной подсчёт мог восстановить намерение избирателя. Если бы не было бумаги и не было аудита, неправильные итоги остались бы в силе.

Теперь уберите мандат. Без юридического требования проведения аудита люди, которые приказали бы этот форензический пересмотр, могут никогда его не приказать. Цифры остаются. Ошибка подсчёта никогда не обнаруживается.

Отсутствие обязательного аудита не означает, что всё было подсчитано правильно. Это означает, что вы не можете это знать.

Предупреждение 2005 года, которое не вызвало федеральное исправление

Отчёт Управления подотчётности 2005 года стоит того, чтобы на нём остановиться, потому что это не был партийный документ. Управление подотчётности правительства США — это независимый аудитор Конгресса — оно специально разработано для того, чтобы рассказывать законодателям вещи, которые они не хотели бы слышать, не беспокоясь о том, какая партия находится у власти.

То, что оно сказало, было ясно: системы электронного голосования имели документированные проблемы с безопасностью и надёжностью, и федеральный аппарат для их решения был неполным. Комиссии по помощи избирателям нужно было завершить построение своих процедур сертификации и начать обмениваться информацией об уязвимостях.

Комиссия по помощи избирателям существует, потому что Закон об улучшении голосования в Америке 2002 года — принятый после кризиса зависающих чадо — создал её. HAVA направил установление минимальных стандартов администрирования выборов и создал программу помощи штатам в замене устаревшего избирательного оборудования. Но замена оборудования автоматически не создаёт процесс проверки того, что новое оборудование правильно подсчитывает. Стандарты и сертификация требуют времени для построения. Управление сказало в 2005 году, что они ещё не завершены.

То, чего HAVA не сделал — потому что Конгресс редко это делает — это не предписал каждой юрисдикции проводить аудит после выборов, достаточный для статистического подтверждения заявленного результата. Это было оставлено штатам. И штаты, как выяснилось, оставили это себе.

Результат — лоскутное одеяло. Некоторые штаты, как Колорадо, вели путь. Колорадо стал первым штатом США, завершившим масштабный аудит с ограничением риска в 2017 году — метод, который связывает размер выборки с близостью гонки, обеспечивая определённую статистическую уверенность, которую простая выборка с фиксированным процентом просто не может обеспечить. При неравной гонке вы проверяете меньше бюллетеней. При близкой гонке вы проверяете больше — потенциально все.

Полный ручной подсчёт Джорджией примерно 5 миллионов президентских бюллетеней в 2020 году — вызванный тем, что перевес был достаточно узким, чтобы требовать его в соответствии с рамками ограничения риска — подтвердил результат машинного подсчёта в пределах примерно одной десятой процента. Вот как выглядит настоящий аудит: процедура, способная обнаружить неправильный результат, проводимая юрисдикцией, которая имела юридическую базу, требующую этого.

Другие штаты ничего эквивалентного не имеют. Никакого требования. Никакого размера выборки. Никакого статистического порога. Никакого публичного отчёта.

Почему «аудит подтвердил это» — это не конец истории

Есть фраза, которую вы услышите почти после каждого избирательного конфликта: «Аудит подтвердил результат». Она предназначена быть точкой в конце предложения. Часто это не так.

Эпизод с округом Энтрим, Мичиган — наиболее ясная иллюстрация. 4 ноября 2020 года округ опубликовал неофициальные результаты, показывающие неправдоподобный результат — неправильный из-за ошибки конфигурации человека, обнаруженный, потому что цифры были смешно не в соответствии с политической историей округа. Округ исправил свои итоги на следующий день. Декабрьский ручной аудит всех президентских бюллетеней составил 9 759 для Трампа и 5 959 для Байдена. Департамент государства Мичигана подтвердил, что сертифицированный результат не был затронут.

Но ручной подсчёт отличался от машинного подсчёта примерно на дюжину голосов из примерно 15 700 поданных.

Двенадцать голосов. В юрисдикции такого размера, в гонке, которая была не особенно близкой, двенадцать голосов — это не кризис. Но задайте более сложный вопрос: в гонке, решённой двенадцатью голосами, что на самом деле рассказывает вам метод ручного подсчёта, который сам по себе отличается на двенадцать голосов? Честный ответ: недостаточно, чтобы её разрешить. Ошибки ручного подсчёта случаются. Неоднозначные отметки случаются. Рассмотрение судебных вопросов случается. Ручной подсчёт — это не безошибочный оракул; это другой ненадёжный метод, и в фотофотовариантной гонке проверка, которая несёт свою собственную неустранимую ошибку, не может служить окончательным доказательством.

Это не аргумент против ручных подсчётов. Это аргумент за более сильной, криптографически обоснованной проверяемостью, которая не зависит от того, что любой отдельный человеческий или машинный процесс является безошибочным. Обоснование проверяемости, которую общественность может проверить независимо — не через веру в должностных лиц, которые поймали свою собственную ошибку — это ровно то, на что указывает разрыв в дюжину голосов в Энтриме.

Отчёт Висконсина делает то же самое с другого угла. Когда бюро прибыло через три месяца после выборов, оно могло восстановить кое-что, но не другое. Оно сделало 30 рекомендаций и подняло 18 вопросов для рассмотрения законодательным собранием. Это полезный документ. Это не живая проверка, проходящая рядом с подсчётом.

Что на самом деле потребовал бы обязательный аудит

Аудит после выборов, достойный названия, имеет три свойства. Он имеет определённый статистический порог — не «мы проверили какие-то бюллетени», а «мы проверили достаточно, чтобы у нас было 95-процентный шанс обнаружить неправильный результат, если бы он существовал». Он проводит аудит против независимых, долговечных, созданных избирателем записей — бумаги, которую избиратель отметил или подтвердил, не штрихкода, который создала машина и избиратель не может прочитать. И это публично наблюдаемо — открыто для партий, наблюдателей и журналистов, бюллетени обрабатываются в соответствии с письменным протоколом цепи хранения, и результаты опубликованы на уровне деталей, которые каждый может проверить.

Удалите любое из этих трёх, и аудит ухудшится. Статистическая выборка, проведённая против машинных штрихкодов, проводит аудит машины против себя. Ручной подсчёт, проведённый в частном порядке, без наблюдателей и без опубликованного протокола, — это церемония. Фиксированная пятипроцентная выборка в гонке, решённой на 0,01 процента, доказывает почти ничего.

Федеральный конституционный суд Германии выразил основной принцип наиболее резко в своём решении от марта 2009 года, аннулировав машины электронного голосования: выборы являются демократическими только когда «основные этапы голосования и определения результата могут быть рассмотрены гражданином надёжно и без какого-либо специального знания». Граждане, не эксперты. Надёжно, не иногда. Без специального знания — означающего, что проверка не может зависеть от декодирования проприетарного программного обеспечения или чтения штрихкода.

Этот стандарт не требует бумаги по названию. Он требует, чтобы артефакт, который подсчитывается, был тем же артефактом, который избиратель может проверить. QR-код, который избиратель не может декодировать, это нарушает. Проприетарная система табуляции, журналы аудита которой могут стереть те же инсайдеры, нарушает это. Федеральный суд в Curling v. Raffensperger установил в 2020 году, что система маркировки бюллетеней Джорджии «не обеспечивает проверяемый и поддающийся аудиту бюллетень, потому что она полагается на QR-код для подсчёта голосов, и этот код сам не может быть прочитан и проверен избирателем». Бумажный отпечаток, который избиратель не может проверить, — это не проверенный избирателем бюллетень. Это машинный бюллетень, напечатанный на бумаге.

Настоящий пробел структурный, а не партийный

Стоит быть точным в том, какой вид проблемы представляет пробел без обязательного аудита. Это не проблема республиканцев или демократов. Это не в первую очередь проблема мошенничества. Это проблема конструкции — система, построенная без независимой проверки, подобно тому, как финансовое учреждение может работать без внешнего аудитора.

Ни один банковский регулятор не примет «мы проверили свои книги, и всё выглядело хорошо» в качестве основания для общественного доверия к финансовому учреждению. Проверка должна быть независимой, метод должен быть публично известен, и результаты должны быть опубликованы в форме, которую может проверить любая квалифицированная сторона.

Выборы заслуживают того же стандарта. Злодей здесь — это не партия и не кандидат. Это непрозрачность — разрыв между «мы объявили результат» и «кто-нибудь может проверить, как мы его получили».

Исправление не усложнено в принципе. Это требует:

  • Юридического мандата, что каждая юрисдикция проводит аудит после выборов с определённым, опубликованным статистическим порогом
  • Проверенных избирателем бумажных записей — отмеченных или подтверждённых избирателем — против которых проводится аудит
  • Публичной наблюдаемости — открытой для партий, наблюдателей и прессы, с опубликованными результатами в машиночитаемой форме
  • Независимой отчётности — аудита, проводимого или контролируемого кем-то другим, чем люди, которые управляли выборами

Рекомендации Висконсина доходят до 30 пунктов. Рамка аудита с ограничением риска Колорадо даёт рабочую модель. Управление подотчётности сказало в 2005 году, что федеральный аппарат нужно было завершить. Двадцать лет спустя вопрос всё ещё решается в каждой юрисдикции, на каждых выборах.

Что всё ещё не проверяемо — и что это изменило бы

После следующих выборов в вашей юрисдикции вот вопросы, которые стоит задать перед тем, как принять заголовок «аудит подтвердил это»:

Был ли аудит юридически требуется? Не просто поощрялся, не просто был возможен — требуемый законом, с определённым методом и опубликованным порогом.

Против чего был проведён аудит выборки? Если ответ «против собственного результата машины», это не независимая проверка. Если ответ «против отмеченных избирателем бумажных бюллетеней», спросите, были ли бюллетени отмечены избирателем или напечатаны машиной.

Кто наблюдал за аудитом? Был ли протокол опубликован заранее? Были ли результаты размещены в машиночитаемой форме на уровне участка, чтобы любой журналист или исследователь мог сверить их с итогами дня выборов?

Что произошло с расхождениями? Разрыв в дюжину голосов между машинным подсчётом и ручным подсчётом — это не ошибка округления, которую нужно отмахнуть. Это данные. Что это означает, зависит от перевеса гонки — и в близкой гонке, это ровно такие данные, которые должны вызвать более глубокий взгляд, а не пресс-релиз.

Если ни один из этих вопросов не имеет публичных ответов, аудит ещё не произошёл. То, что произошло, — это объявление.

Объявленный результат — это не проверенный результат. Разница — это система, которую каждый может проверить — и прямо сейчас, во многих местах, такой системы не существует по закону.

Посмотрите, насколько распространён этот пробел во всём мире →

Прочитайте двухминутную версию этого пробела →

Все пробелы, которые мы отслеживаем →

Источники

Все статьиИзучить уязвимости