Požeško-slavonska županija objavila je priopćenje u kojem potvrđuje da je postala žrtvom prijevare kojom je proračun oštećen za "nekoliko stotina tisuća eura". Javnost je pritom dobila tek nekoliko osnovnih informacija: da je nepoznata osoba putem elektroničke pošte navela službenike na izvršenje novčane transakcije te da je slučaj prijavljen policiji.

Problem je što iz objavljenog priopćenja ne saznajemo gotovo ništa od onoga što bi građane, porezne obveznike i javnost trebalo najviše zanimati.

Nije poznato kako je prijevara izvedena. Nije poznat točan iznos štete. Nije poznato je li riječ o klasičnoj poslovnoj e-mail prijevari (Business Email Compromise – BEC), phishing napadu, kompromitaciji elektroničke pošte ili eventualnom neovlaštenom pristupu bankarskim sustavima. Nije poznato ni je li netko unutar sustava odobrio plaćanje vjerujući da postupa po legitimnom nalogu ili je netko doista preuzeo kontrolu nad računima i pristupnim podacima.

To nisu tehničke nijanse. To su ključna pitanja za razumijevanje odgovornosti i razmjera incidenta.

U privatnom sektoru, posebno u međunarodnim kompanijama koje svakodnevno obrađuju desetke ili stotine međunarodnih transakcija, pokušaji prijevara putem elektroničke pošte gotovo su svakodnevna pojava. Lažne fakture, zahtjevi za hitnim plaćanjem, poruke koje se pozivaju na direktora ili člana uprave, sve su to dobro poznati obrasci, a kojima na svom poslu i sam svjedočim. Upravo zato ozbiljne organizacije uvode višestruke kontrole, procedure potvrđivanja i pravilo da se promjena bankovnog računa ili izvanredni zahtjevi dodatno provjeravaju drugim komunikacijskim kanalima.

Takve poruke često se mogu prepoznati već nakon drugog pažljivijeg čitanja. Nerijetko sadrže neuobičajene formulacije, promijenjene adrese pošiljatelja, nelogične zahtjeve ili pozivanje na autoritet osobe koja inače uopće ne sudjeluje u procesima plaćanja.

Ako je riječ upravo o takvoj vrsti prijevare, legitimno je pitati kako su zakazale unutarnje kontrole.

S druge strane, ako nije riječ o prijevari koja se oslanjala na ljudsku pogrešku, nego o stvarnoj kompromitaciji sustava, tada se otvaraju još ozbiljnija pitanja. Tko je imao pristupne podatke? Tko je imao ovlaštenje za odobravanje plaćanja? Jesu li kompromitirani tokeni, certifikati ili drugi oblici autentifikacije? Je li napadač došao do bankarskih vjerodajnica ili je netko omogućio njihov gubitak ili krađu?

U javnoj upravi ovlaštenja za potpisivanje i odobravanje plaćanja uglavnom nisu široko raspoređena. U pravilu ih imaju dužnosnici, pročelnici ili drugi odgovorni rukovoditelji. Rijetko je riječ o zaposlenicima nižih hijerarhijskih razina. Upravo zato nije nevažno pitanje tko je konkretno mogao odobriti transakciju i kroz koliko je kontrolnih točaka ona prošla prije nego što je novac napustio račun.

Odgovori na ta pitanja nisu važni radi senzacionalizma niti radi unaprijed određenog traženja krivca. Oni su važni zato što je riječ o javnom novcu.

Posebno zabrinjava činjenica da se i nakon niza sličnih slučajeva u Hrvatskoj javnost i dalje suočava s gotovo identičnim obrascem komunikacije: šturo priopćenje, pozivanje na istragu i vrlo malo konkretnih informacija. U prethodnim godinama više hrvatskih javnih institucija, gradova, općina i trgovačkih društava našlo se na meti različitih oblika digitalnih i financijskih prijevara, pri čemu su počinitelji najčešće iskorištavali slabe procedure provjere i odobravanja plaćanja.

Naravno, određene informacije tijekom kriminalističkog istraživanja ne mogu biti javno objavljene. Nitko razuman ne očekuje da institucija usred istrage objavi operativne detalje koji bi mogli pomoći počiniteljima ili otežati rad policije.

No postoji velika razlika između zaštite istrage i izostanka osnovne transparentnosti.

Građani imaju pravo znati kolika je šteta. Imaju pravo znati radi li se o nekoliko stotina tisuća eura bliže iznosu od 200 tisuća ili bliže milijunu eura. Imaju pravo znati je li riječ o ljudskoj pogrešci, proceduralnom propustu ili sofisticiranom kibernetičkom napadu. Imaju pravo znati jesu li postojeći mehanizmi kontrole bili adekvatni i jesu li nakon incidenta promijenjeni.

Liberalno načelo odgovorne vlasti polazi od jednostavne pretpostavke: javne institucije upravljaju novcem građana i zato podliježu višem, a ne nižem standardu javnog obrazlaganja. Povjerenje javnosti ne gradi se šturim priopćenjima nego otvorenošću, spremnošću da se objasni što se dogodilo i jasnim preuzimanjem odgovornosti ondje gdje je ona utvrđena.

Za sada znamo tek da je nestalo nekoliko stotina tisuća eura javnog novca. Gotovo sve ostalo ostaje nepoznato.

A upravo je to najveći problem objavljenog priopćenja.