Эталонный дизайн прокторинга и оценивания

Это инженерное руководство, а не юридический совет. Уточняйте детали у квалифицированного юриста.

Кратко

Подсистему прокторируемого оценивания полезно представлять не камерой, прикрученной к тесту, а конвейером доверия. Кандидат проходит шесть этапов проверки: личность, защищённую выдачу, прокторинг, оценивание, передачу оценки и выдачу удостоверения. На выходе получается результат, а иногда и документ, которые выдержат спор. Статья завершает блок об оценивании и сводит материал предыдущих статей (подходы к прокторингу, проверку личности, защиту от списывания, правовое поле, удостоверения и передачу оценок) в один эталонный дизайн с пояснениями для российского продукта, который можно передать инженерам. Главный вопрос, от которого зависит вся архитектура: участвует ли человек в каждом негативном решении. Закон о персональных данных (152-ФЗ, ст. 16) запрещает принимать решения с юридическими последствиями исключительно автоматически без письменного согласия человека, а правила электронного обучения (ПП 1678) требуют закрепить порядок прокторинга в локальном акте. Поэтому систему, где «ИИ автоматически поставил незачёт», выпускать не стоит. Дальше – полная карта, четыре уровня ставок от теста с низкими ставками до аттестации в вузе с идентификацией через ЕСИА и ЕБС, расчёт стоимости одного экзамена и разбор «строить или покупать» по каждому слою.

Почему это важно

Если вы проектируете продукт для оценивания – платформу сертификации, итоговую аттестацию программы ДПО, университетскую систему тестирования или корпоративную проверку знаний, которая должна пройти аудит, – вы строите ту часть онлайн-обучения, где ошибка имеет юридические последствия. Подвисшее видео раздражает. Удостоверение, выданное не тому человеку, или обвинение в списывании от предвзятого алгоритма без проверки человеком оборачивается жалобой в надзорный орган и спором, в котором придётся защищаться. Статья даёт руководителю L&D, основателю EdTech-компании или продакт-менеджеру полную архитектурную карту. С ней проще ставить задачи инженерам, оценивать вендора прокторинга по эталонной схеме и понимать, какие слои можно купить, а какие придётся строить и сопровождать самим (почти всегда это слой целостности и контур проверки человеком). Текст рассчитан на нетехнического читателя, который решает, строить или покупать, но остаётся точным для видеоинженера, специалиста по оцениванию и юриста по персональным данным, которым предстоит согласовывать решение.

Сначала главная идея, на которой держится всё остальное

Внешне прокторируемое оценивание похоже на тест с веб-камерой, и именно это сходство приводит к самым дорогим ошибкам. У теста одна задача: собрать ответы и оценить их. У прокторируемого оценивания, по итогам которого выдают документ, задача сложнее: позже, перед скептически настроенным проверяющим, нужно доказать, что тест сдавал нужный человек, в контролируемых условиях, работу оценили корректно, а результат заработан и зафиксирован. Любое из этих четырёх утверждений может оспорить студент, работодатель, проверяющий орган или суд. Архитектура нужна, чтобы каждое из них можно было защитить.

Поэтому эталонный дизайн удобно описывать как конвейер из шести контрольных точек доверия, или этапов, которые опираются на общий слой целостности и работают в общей правовой рамке. Каждый этап отвечает на один вопрос, и за каждым стоит конкретный стандарт или норма.

Этап личности отвечает на вопрос «тот ли это человек?». Этап выдачи – «была ли среда контролируемой?»: здесь выдают тест, обычно в защищённом клиенте, а сам контент оценивания описан в переносимом стандарте QTI. Этап прокторинга – «было ли поведение добросовестным?». Этап оценивания – «сколько баллов заработано?». Этап передачи оценки – «куда уходит результат?»: оценка возвращается в учебную систему по стандартам, созданным как раз для этого. Этап удостоверения – «что ученик сможет доказать потом?»: здесь выпускают документ и его проверяемое цифровое подтверждение.

Под всеми шестью этапами проходит слой целостности – защищённый от подделки журнал на серверах в России. В нём фиксируется каждое событие, флаг и решение человека, чтобы всю цепочку можно было восстановить при разборе даже через годы. А все этапы вместе работают в правовой рамке: 152-ФЗ «О персональных данных», 572-ФЗ о биометрии и Единая биометрическая система (ЕБС), правила электронного обучения ПП 1678, требование о российском ПО и ориентир доступности ГОСТ Р 52872-2019. Если держать эти три уровня раздельно (шесть этапов, слой целостности, правовая рамка), остальная статья, как и ваша система, сложится без труда.

Нажмите, чтобы увеличить

Этап 1. Личность: «тот ли это человек?»

Оценивание, результат которого можно отстоять, начинается с доказательства того, кто сидит за клавиатурой: идеальный балл ничего не стоит, если его заработал нанятый подставной исполнитель. На этом этапе личность кандидата устанавливают в начале, а при высоких ставках продолжают проверять и во время сессии.

Слоёв три, и их комбинируют в зависимости от ставок. Первый – проверка учётной записи или документа: кандидат входит через подтверждённую учётную запись или показывает паспорт, а система или проктор сверяют данные. Второй – сверка лица: живое изображение сравнивают с эталоном и получают оценку сходства. Третий – непрерывная идентификация: периодические перепроверки во время экзамена, чтобы после стартового кадра место кандидата не занял эксперт. Методы и их компромиссы подробно разобраны в статье подтверждение личности на экзаменах. Для архитектуры важно другое: личность – отдельный сервис со своими данными, и эти данные самые чувствительные во всей системе.

Для аттестаций в вузе, колледже и ДПО в России есть штатный путь. Правила применения электронного обучения и ДОТ – постановление Правительства № 1678 в редакции ПП № 517 от 06.05.2026 – в п. 14–18 разрешают организации идентифицировать учащегося через ЕСИА (единую систему идентификации и аутентификации, то есть «Госуслуги») и ЕБС. Организация может делать это сама или через сервис прокторинга, который вправе получить из ЕСИА ФИО и СНИЛС учащегося; подключение к инфраструктуре идёт по ПП № 1382. Для идентификации через ЕБС нужно согласие учащегося, а за несовершеннолетнего – согласие законного представителя. Пилот такой схемы прошёл в семи вузах в 2021/22 учебном году.

С чувствительностью биометрии связан и главный риск. Изображение лица, по которому устанавливают личность, – это биометрические персональные данные, и по ст. 11 152-ФЗ их обрабатывают только с письменного согласия. С 01.06.2023 по 572-ФЗ частные компании не вправе хранить исходные образцы лица и голоса в своих системах: биометрия обрабатывается через ЕБС, а коммерческие организации работают с векторами при наличии аккредитации Минцифры. Законна ли сверка лица собственной моделью прокторинга в обход ЕБС, однозначного ответа нет. Это зона риска, которую нужно разобрать с юристом до сборки, а не после. Штрафы ощутимые: обработка биометрии без письменного согласия – 300–700 тыс. ₽, работа без аккредитации – до 2 млн ₽ (ст. 13.11.3 КоАП), утечка биометрии – 15–20 млн ₽, повторная – 1–3% выручки.

Отсюда два проектных правила. Первое: согласие собирайте при регистрации, отдельным документом, как требует ч. 1 ст. 9 152-ФЗ с 01.09.2025, простым языком и с точным перечнем данных и целей. Не на стартовом экране экзамена, где взволнованный кандидат нажмёт что угодно, лишь бы начать. Второе: сдача биометрии добровольна, и отказывать в услуге из-за отказа от неё нельзя: с 30.05.2025 за это грозит штраф 200–500 тыс. ₽ по ч. 8 ст. 14.8 КоАП. Значит, в системе нужен небиометрический путь, например сверка паспорта живым проктором по видео или очная аттестация.

Этап 2. Защищённая выдача: «была ли среда контролируемой?»

Когда известно, кто сдаёт, тест нужно выдать в контролируемой среде, а вопросы – в формате, который переживёт переезд между системами. У этого этапа две части: защищённый клиент и контент оценивания.

Защищённый клиент (lockdown) – программа, которая на время экзамена берёт устройство под контроль: запрещает переключаться между приложениями, блокирует скриншоты и демонстрацию экрана, мешает запуску виртуальных машин и типовых утилит для обхода, не даёт открыть второе окно браузера. Это аналог опечатанной аудитории перед экзаменом. На практике выбирают одно из трёх: открытый браузер с блокировкой (часто на основе Safe Exam Browser), клиент вендора прокторинга или собственную десктопную оболочку, обычно на Electron, если нужен более глубокий доступ к ОС: блокировка USB-устройств или более надёжное обнаружение виртуальных машин. Для образовательной организации есть ещё одно условие: по п. 21 ПП 1678 ПО для ДОТ, идентификации в сервисах прокторинга и видеоконференций должно создаваться по законодательству РФ и (или) входить в реестр российского ПО. Из-за «и (или)» строгость нормы зависит от толкования, но государственный заказчик почти наверняка спросит о реестре, так что учитывайте это при выборе клиента с самого начала.

Lockdown-клиент хорошо защищает от локального списывания (копирования и вставки, записи экрана, подглядывания в заметки), но бесполезен против самого распространённого в 2026 году сценария: второго телефона на коленях с чат-ботом. Поэтому lockdown – лишь одна из линий защиты, а остальное сдерживание ложится на дизайн самого оценивания, см. защита от списывания: обнаружение, сдерживание и дизайн оценивания.

Контент оценивания – вопросы, верные ответы, правила оценивания, тайминг – стоит описывать в стандарте, созданном специально для этого: QTI (Question and Test Interoperability), который развивает организация по стандартам 1EdTech. QTI служит транспортным контейнером для теста: он описывает AssessmentItem (отдельный вопрос) и AssessmentTest (структурированный набор вопросов) в переносимом формате, так что экзамен переезжает между инструментом разработки, банком заданий и движком выдачи без пересборки. Актуальная версия QTI 3.0 финализирована в мае 2022 года. Она вводит единый формат на всём пути от разработки до выдачи, встроенную поддержку компьютерного адаптивного тестирования и доступность, согласованную с веб-стандартами W3C. Спецификация даже описывает «Proctor» как формальную роль: стандарт изначально рассчитан на контролируемую выдачу. QTI избавляет от привязки банка заданий к одному вендору.

Этап 3. Прокторинг: «было ли поведение добросовестным?»

Именно этот этап представляют себе, услышав слово «прокторинг», и его же сильнее всего регулирует право. Задача – наблюдать за сессией и передавать человеку на рассмотрение поведение, которое требует оценки. Форм четыре, и выбор между ними – центральное проектное решение подсистемы. Российские вендоры ProctorEdu и Examus (Экзамус) называют их синхронным, асинхронным и автоматическим режимами и поставляют как SaaS, так и on-prem; НИУ ВШЭ, например, использует ProctorEdu.

Первая форма – живой проктор (синхронный режим): обученный человек в реальном времени следит за кандидатами (от одного до дюжины) по видео, звуку и демонстрации экрана и может вмешаться. Это самое сильное сдерживание и понятный аудиторский след, но в пересчёте выходит порядка 850–2 600 ₽ за экзамен-час, и без большой команды прокторов режим не масштабируется дальше ~1 000 одновременных сессий. Вторая – только ИИ (автоматический режим без проверки): сессия записывается, алгоритмы отмечают посторонние лица, направление взгляда, голоса и устройства, а человек результат не смотрит. Это дёшево и масштабируется без ограничений, но доля ложных срабатываний 15–30% – обычное дело, а предвзятость в зависимости от цвета кожи, к нейроотличным кандидатам и к тем, кто носит головной убор, задокументирована. Третья – только lockdown-браузер: камеры нет вовсе, приватность почти не затрагивается, но от второго устройства такой режим не защищает. Четвёртая, подходящая для большинства систем 2026 года, – гибрид ИИ и проверки человеком (ближе всего к асинхронному режиму): сессия записывается, ИИ выбирает несколько процентов самых подозрительных моментов, обученный рецензент подтверждает или отклоняет каждый, и только человек запускает негативное действие. Подробное сравнение подходов – в статье онлайн-прокторинг: подходы, компромиссы и приватность.

Гибрид выигрывает не только по инженерным соображениям, но и по юридическим. Статья 16 152-ФЗ запрещает принимать решения, порождающие юридические последствия для человека или иначе затрагивающие его права, на основании исключительно автоматизированной обработки его персональных данных. Исключения – письменное согласие или прямое указание федерального закона. Но и при наличии согласия оператор обязан разъяснить порядок принятия решения и его последствия, дать возможность возразить и рассмотреть возражение в течение 30 дней. Аннулирование результата экзамена по флагу алгоритма – как раз такое решение. Если каждый флаг ИИ проходит через человека, вопрос снимается: решение принимает рецензент, а машина лишь подсказывает, куда смотреть.

Второй инструмент – процедурный. По п. 20 ПП 1678 образовательная организация закрепляет порядок прокторинга и используемые средства связи в локальном акте и публикует его на своём сайте. Здесь и фиксируется, кто принимает решение по флагу, сколько времени есть у рецензента, как кандидат подаёт апелляцию и что считается нарушением. Регулирование ИИ меняется, требования могут ужесточиться, но правило «решает человек» выдержит любой их вариант. Подробнее о правовом поле – в статье данные прокторинга, приватность и правовой ландшафт в России.

Нажмите, чтобы увеличить

Этап 4. Оценивание: «сколько баллов заработано?»

Когда сессия зафиксирована и признана добросовестной, работу оценивают. Оценивание бывает двух видов, и в большинстве реальных экзаменов используются оба.

Автооценивание подходит для всего, у чего есть однозначно верный ответ: выбор из вариантов, ввод числа, перетаскивание, код, который компилируется и проходит тесты. Если задание подготовлено в QTI, логика оценивания хранится вместе с вопросом. В QTI это называется response processing: набор правил внутри задания, которые превращают ответ кандидата в результат, например в балл. В этом главная ценность QTI на этом этапе: тест переносим не только как контент, но и как поведение, и одно и то же задание оценивается одинаково в любом совместимом движке.

Оценивание человеком нужно там, где требуется суждение: эссе, развёрнутые ответы, устные защиты, портфолио. Инструмент здесь – рубрика, структурированная сетка критериев и уровней. Она превращает суждение проверяющего в воспроизводимое число и даёт кандидату, который оспаривает оценку, конкретное обоснование. Устройство журналов оценок, сравнение автооценивания с рубриками и место хранения этих данных разобраны в статье оценивание, рубрики и передача оценок. Для архитектуры важно, что на этом этапе фиксируют не только число, но и способ его получения: трассу response processing для автоматически проверяемых заданий, рубрику и личность рецензента для проверенных человеком. Эти доказательства уходят в слой целостности и понадобятся, если результат когда-нибудь оспорят.

Здесь же кроется самая частая ошибка измерения в онлайн-обучении: считать «досмотрел видео» или «ответил на все вопросы» равным «сдал». Просмотр 100% лекции говорит о вовлечённости, но ничего не говорит о компетентности. Завершение, балл и освоение материала – три разных показателя из трёх разных источников, и на этапе оценивания их нужно хранить раздельно.

Этап 5. Передача оценки: «куда уходит результат?»

Балл, застрявший внутри инструмента прокторинга, бесполезен: он должен попасть в учётную систему – журнал оценок LMS, электронную информационно-образовательную среду (ЭИОС) вуза или корпоративную платформу обучения вроде WebTutor или iSpring Learn. Этот этап опирается на стандарты, чтобы результат автоматически и проверяемо оказывался там, где его ждёт организация.

Основной механизм – LTI Advantage, набор сервисов поверх стандарта LTI 1.3 (Learning Tools Interoperability) от 1EdTech, который позволяет внешнему инструменту работать внутри учебной системы как доверенному. Нужный сервис – Assignment and Grade Services (AGS): с его помощью ваш инструмент оценивания возвращает балл и, при необходимости, комментарий в нужную колонку журнала. Кандидат сдал экзамен в вашем инструменте, а оценка появилась в журнале Moodle так, будто всегда там была. В Moodle поддержка LTI 1.3 встроена; у других российских LMS её наличие уточняйте у вендора. Механика запуска LTI (поток OpenID Connect с подписанным токеном вместо входа по паролю) разобрана в статье LTI: объяснение запуска инструментов внутри любой LMS. Здесь важно другое: что считается баллом и в какую колонку он попадает, нужно спроектировать до сборки, а не после.

Для более подробной отчётности есть второй путь. Стандарт xAPI (Experience API) от ADL фиксирует детальные учебные события: он записывает утверждения вроде «Мария отправила экзамен» или «попытку Марии пометили как подозрительную, а потом отметку сняли» в хранилище Learning Record Store (LRS). Родственный стандарт cmi5 дополняет xAPI правилами запуска и завершения, которые нужны LMS, поэтому через него можно и вернуть итог «зачёт/незачёт», и передать подробный след событий в аналитику. AGS отвечает за официальную оценку в журнале, xAPI или cmi5 – за подробную запись и аналитику. Серьёзная подсистема использует и то, и другое. Если оценивание включает просмотр ролика и ответ на вопрос, события видео отслеживают по xAPI Video Profile.

У российского продукта есть и третий адресат результата – государственные реестры. Если итоговая аттестация по программе ДПО заканчивается выдачей удостоверения о повышении квалификации или диплома о профессиональной переподготовке, организация вносит сведения о документе в ФИС ФРДО (ч. 9–10 ст. 98 закона «Об образовании»), с 01.09.2025 – в течение 30 дней со дня выдачи. Результаты проверки знаний по охране труда уходят в реестр ЕИСОТ Минтруда. Выгрузка должна брать итог из основного журнала оценок, а не из рабочей копии в инструменте прокторинга.

Нажмите, чтобы увеличить

Этап 6. Удостоверение: «что ученик сможет доказать потом?»

Последний этап превращает зачёт в то, что ученик сможет предъявить за пределами платформы. В России юридическую силу имеет документ об образовании или о квалификации – удостоверение о повышении квалификации, диплом о профессиональной переподготовке, – сведения о котором внесены в ФИС ФРДО. Цифровых дипломов с юридической силой на октябрь 2026 года, по нашим данным, нет: в эксперименте 2023–2024 годов выдавались электронные документы без юридической силы. Поэтому на этом этапе российский продукт решает две задачи: формируют документ и запись для ФРДО, а по желанию ещё и выпускают проверяемое цифровое подтверждение для работодателя.

Для второй задачи PDF-сертификат не годится: его легко подделать и нельзя проверить. Техническое решение – верифицируемое удостоверение (verifiable credential). Стандарт – Open Badges 3.0, формат цифровых удостоверений 1EdTech, финализированный в 2024 году и построенный на W3C Verifiable Credentials Data Model 2.0 (Рекомендация W3C от 15 мая 2025 года). В модели три роли, и проще всего сравнить её с паспортом: эмитент (ваша платформа) криптографически подписывает удостоверение, владелец (ученик) хранит его в цифровом кошельке, а любой проверяющий (например, работодатель) может убедиться в его подлинности и неизменности, не обращаясь к эмитенту. Российского регуляторного статуса у Open Badges и W3C VC нет: это технический стандарт, и документ он не заменяет. Подробный разбор – в статье сертификаты, значки и верифицируемые удостоверения.

Здесь всё решает доверие, а не оформление. Корректная выгрузка в ФРДО и подписанное цифровое подтверждение стоят ненамного дороже отрисовки PDF, зато результат становится проверяемым: работодатель сверит документ по реестру, а цифровое подтверждение проверит за секунды. Типичная ошибка – выпустить декоративный сертификат и назвать его удостоверением: в первый день он выглядит так же, но теряет ценность при первой же попытке его проверить.

Слой целостности и правовая рамка

Две структуры охватывают все шесть этапов, и именно они отличают серьёзную систему от демоверсии.

Слой целостности – защищённый от подделки журнал аудита. Каждое значимое событие (проверка личности, запуск lockdown, каждый флаг ИИ, каждое решение рецензента, балл, вызов передачи оценки, выпуск документа) записывается в журнал, допускающий только дозапись, где записи связаны криптографическими хешами: изменение любой прошлой записи разрывает цепочку и сразу обнаруживается. Запись должна вестись на сервере, а не в браузере кандидата: запись под его контролем можно подделать, и при разборе она ничего не докажет. Сервер при этом должен находиться в России: с 01.07.2025 ч. 5 ст. 18 152-ФЗ запрещает сбор, запись и хранение персональных данных граждан РФ в базах данных за рубежом. Благодаря ему и через два года можно ответить на вопрос «покажите, что именно было на этом экзамене и кто что решил». Срок хранения задайте локальным актом под конкретную цель, например под срок апелляций и проверок: 152-ФЗ требует хранить персональные данные не дольше, чем этого требуют цели обработки (ч. 7 ст. 5).

Правовая рамка – набор законов и стандартов, которым подчиняется вся подсистема; без неё на рынок просто не выйти. 152-ФЗ требует отдельного согласия, письменного согласия на биометрию, локализации, уведомления Роскомнадзора об утечке в течение 24 часов и задаёт штрафы по ст. 13.11 КоАП – за повторную утечку до 1–3% выручки; незаконный оборот персональных данных несовершеннолетних и биометрии – квалифицирующий признак по ст. 272.1 УК. Меры защиты определяют ПП 1119 и приказ ФСТЭК № 21, а для информационных систем государственных учреждений с 01.03.2026 действует приказ ФСТЭК № 117. 572-ФЗ и ЕБС регулируют биометрию на этапе проверки личности. ПП 1678 даёт путь ЕСИА + ЕБС (п. 14–18), требует локального акта о прокторинге (п. 20) и российского ПО (п. 21). Наконец, доступность: ст. 79 закона «Об образовании» требует специальных условий для обучающихся с ОВЗ и инвалидностью, а ГОСТ Р 52872-2019, основанный на WCAG 2.1, служит добровольным, но практичным ориентиром уровня AA для lockdown-клиента, интерфейса кандидата и консоли рецензента. Процедура назначения особых условий не должна вынуждать кандидата сообщать об инвалидности системе, которая расставляет ИИ-флаги: сведения о здоровье – специальная категория персональных данных (ст. 10 152-ФЗ). Доступность подробно разобрана в статье WCAG 2.1 AA и ГОСТ Р 52872-2019 для учебного видео.

Собираем вместе: как проходит один экзамен

Проведём один экзамен с высокими ставками через все шесть этапов: последовательность шагов и есть архитектура. При регистрации кандидат отдельным документом даёт согласие на обработку персональных данных и, если выбирает биометрический путь, письменное согласие на биометрию. В день экзамена его идентифицируют через ЕСИА и сверку по ЕБС. Затем запускается lockdown-клиент, который блокирует устройство, и движок выдачи открывает экзамен, подготовленный в QTI. Всю сессию запись идёт на сервер в российском облаке, а ИИ ранжирует подозрительные моменты; решений пока никто не принимает. После сдачи задания с однозначным ответом оцениваются автоматически через response processing QTI, а эссе уходит проверяющему с рубрикой. Два подозрительных момента, отмеченных ИИ, попадают к обученному рецензенту, он отклоняет оба, и раз ни один флаг не подтверждён, негативных действий нет. Официальный балл возвращается в ЭИОС через LTI AGS, полный след событий уходит в LRS через cmi5. Наконец, система формирует удостоверение о повышении квалификации, ставит сведения о нём в очередь выгрузки в ФИС ФРДО и выпускает подписанное цифровое подтверждение. Каждый шаг (согласие, результат идентификации, запуск lockdown, каждый флаг ИИ, каждое решение рецензента, балл, передача, документ) записывается в слой целостности. Если через год кандидат оспорит результат, вы восстановите всю сессию и покажете, что каждое значимое решение принимал человек, а не алгоритм.

Этот путь и есть весь продукт. Любая функция, которую вы добавите позже, будет относиться к одному из шести этапов, к слою целостности или к правовой рамке.

Размер сборки: четыре уровня ставок

«Прокторируемое оценивание» включает очень разные системы в зависимости от того, что на кону, и архитектура подстраивается под это. Четыре уровня описывают почти любой продукт. Если определить свой уровень заранее, удастся не переусложнить систему и не сэкономить там, где экономить нельзя.

Уровень 1 – низкие ставки (формирующие тесты, проверка прохождения обучения). Результат ни на что не влияет. Достаточно lockdown-браузера и автооценивания по QTI: без биометрии, без проверки человеком, с минимальным объёмом персональных данных. Разработка и эксплуатация обходятся дёшево, юридические риски минимальны.

Уровень 2 – средние ставки (оцениваемый курс, внутренняя аттестация в компании). Оценка уже имеет значение. Добавляются гибридный прокторинг (ИИ и человек), проверка личности и передача оценки через LTI AGS. Контур проверки человеком и слой целостности становятся обязательными. На этот уровень рассчитано большинство корпоративных и коммерческих систем.

Уровень 3 – высокие ставки (итоговая аттестация ДПО, профессиональная сертификация). На кону документ, который ценится на рынке труда. Всё из уровня 2 плюс непрерывная идентификация, формирование документа с выгрузкой в ФИС ФРДО, цифровые подтверждения и защищённый от подделки архив со сроком хранения по локальному акту. Слой целостности становится главным компонентом системы.

Уровень 4 – регулируемые системы (аттестация в вузе и колледже с ДОТ, государственный заказчик). Всё из уровня 3 плюс идентификация через ЕСИА и ЕБС по п. 14–18 ПП 1678, ПО из реестра российских программ (п. 21), опубликованный локальный акт о прокторинге (п. 20), данные и система только в России (в аттестованном российском облаке или on-prem) и меры защиты по требованиям ФСТЭК. Документацию и подключение к государственной инфраструктуре закладывайте отдельной строкой плана с самого начала, а не вспоминайте о них в конце.

Нажмите, чтобы увеличить

Стоимость и расчёт на один экзамен

Важны две статьи затрат: разовая разработка и стоимость одного экзамена. Посчитаем обе.

Разработка. Собственная подсистема гибридного прокторинга и оценивания (lockdown-клиент, запись на сервере, конвейер ИИ-разметки, консоль рецензента, слой целостности, передача оценки и выдача документов) – это примерно 18–22 недели до первого релиза для команды около пяти человек, ориентировочно ≈ 12–20 млн ₽ в зависимости от состава и уровня команды. Документация для уровня 4 (локальный акт, согласия, модель угроз, подключение к ЕСИА и ЕБС) – заметный отдельный блок работ, который команды стабильно недооценивают.

Стоимость одного экзамена. Возьмём гибридный экзамен уровня 2/3 и посчитаем расходы на один экзамен-час:

ИИ-разметка флагов (GPU, на экзамен-час)             ≈ 35–70 ₽
хранение записи на сервере в РФ (амортизировано)     ≈ 15–45 ₽
проверка человеком (рецензенту уходит 8% моментов,
   60–90 проверок в час на рецензента)               ≈ 35–100 ₽
захват WebRTC + трафик                               ≈ 10–25 ₽
--------------------------------------------------------------
итого на прокторируемый экзамен-час                  ≈ 95–240 ₽

Проверим сумму: нижняя граница 35 + 15 + 35 + 10 = 95 ₽, верхняя 70 + 45 + 100 + 25 = 240 ₽. Теперь масштабируем. Учебный центр или орган по сертификации проводит 30 000 прокторируемых экзаменов в год, каждый в среднем длится час; берём середину диапазона, около 170 ₽ за экзамен-час:

30 000 экзаменов × 1 час × 170 ₽ ≈ 5,1 млн ₽ в год на эксплуатацию

С этим числом сравнивают цену вендора; сверяйте его с актуальным прайсом ProctorEdu, Examus или другого поставщика. Прокторинг только на ИИ дешевле в пересчёте на час, часто в разы, но в нём нет проверки человеком, без которой спорное решение по флагу не защитить, так что сравнение некорректно: вы покупаете другую услугу. Живой проктор дороже (≈ 850–2 600 ₽ за экзамен-час) и перестаёт масштабироваться примерно на тысяче одновременных сессий. Гибридная цифра показывает, во что обходится система с большим потоком экзаменов, решения которой можно отстоять, и обычно это небольшая доля цены платного экзамена или программы ДПО.

Подводные камни плохой сборки

Автоматическое негативное действие по флагу ИИ. Самый быстрый путь к жалобе в надзорный орган и проигранной апелляции – автоматически ставить незачёт или прерывать экзамен по сигналу алгоритма. Статья 16 152-ФЗ запрещает такие решения без письменного согласия, а при согласии требует принять и рассмотреть возражение; а соображения этики и репутации исключают их в любом случае. Любое негативное действие проходит через человека и процедуру разбора по локальному акту, без исключений.

Доверие детекторам ИИ-текста. Детекторы, которые якобы распознают эссе, написанные ИИ, недостаточно надёжны, чтобы на их основании обвинять в нарушении академической честности. Независимые тесты показывают точность намного ниже приемлемой и двузначную долю ложных срабатываний, причём сильнее всего страдают те, кто пишет не на родном языке; один крупный вендор отозвал собственные заявления о точности, другой закрыл свой детектор. Вместо этого перестраивайте оценивание (письменные работы с историей черновиков, устная защита, персонализированные варианты задач) и не ставьте судьбу студента в зависимость от классификатора, который работает немногим лучше подброшенной монетки.

Запись в браузере. Если запись ведёт компьютер кандидата, кандидат может её подделать. Основную запись делайте на сервере, иначе слой целостности построен на песке.

Зарубежный SaaS для записей и биометрии. Сервис прокторинга, который хранит видео и снимки лиц на зарубежных серверах, нарушает запрет ч. 5 ст. 18 152-ФЗ, действующий с 01.07.2025, а государственной организации не подходит ещё и по п. 21 ПП 1678. Проверяйте, где физически хранятся записи, до подписания договора.

«Досмотрел / ответил» равно «сдал». Завершение, балл и освоение материала – разные сигналы из разных источников. Если смешать их на этапе оценивания, искажены будут все последующие отчёты и документы.

Биометрия без согласия и без альтернативы. Согласие на биометрию – письменное, до съёмки лица или записи голоса, с перечнем данных и целей; обработка без него – штраф 300–700 тыс. ₽. Галочка на стартовом экране экзамена появляется слишком поздно, и согласие там фактически вынужденное: собирайте его при регистрации. И сохраняйте небиометрический путь: отказ от биометрии не может закрывать кандидату доступ к услуге.

Избыточный осмотр комнаты. Панорама комнаты захватывает лишнее: обстановку, документы на столе, членов семьи, которые согласия не давали. 152-ФЗ требует, чтобы обрабатываемые данные не были избыточными по отношению к цели (ч. 5 ст. 5). Выбирайте наименее инвазивную проверку среды, которая решает задачу, и фиксируйте обоснование в локальном акте.

Передача оценки и документы «на потом». Оба механизма определяют модель данных: что такое «балл», в какую колонку журнала он попадает, какие поля нужны для ФИС ФРДО, что содержит запись о достижении. Если оставить их на конец, придётся переделывать этап оценивания и слой целостности. Решите эти вопросы до разработки заданий, которые будут поставлять им данные.

Сравнение «строить или покупать» по этапам

Решение «строить или покупать» принимают отдельно для каждого этапа. В таблице собраны реальные варианты, а также стандарты и нормы, которым должен соответствовать каждый этап.

Удачные системы обычно устроены так: типовые этапы (защищённую выдачу, базовую проверку личности, выпуск значков) покупают или разворачивают на своих серверах, а слой целостности, контур проверки человеком и интеграции для передачи оценки и выгрузки в ФРДО строят сами: именно за это организация доверяет продукту, и именно этого редко бывает «из коробки». Прокторинг – пограничный случай. Покупайте, если вас устраивает позиция вендора по данным, локализации и реестру; стройте, если из-за высоких ставок или требований государственного заказчика вы должны сами владеть контуром проверки и хранением записей.

Где здесь Фора Софт

Фора Софт с 2005 года разрабатывает системы оценивания и прокторируемых экзаменов наряду с видеоконференциями, стримингом и онлайн-обучением. Подсистема прокторируемого оценивания находится на стыке этих компетенций: захват видео в реальном времени и в записи, защищённое от подделки хранение данных и интеграция с LMS по стандартам. Выбор «строить или покупать», с которым мы помогаем командам, делается по каждому этапу и предметно. Готовый вендор прокторинга и открытый lockdown-браузер быстро выводят на рынок продукт уровня 1 или 2. А собственный слой целостности на российской инфраструктуре, контур проверки человеком, спроектированный под ст. 16 152-ФЗ и локальный акт, и корректные по стандартам передача оценки и выдача документов делают платформу аттестации с высокими ставками устойчивой к спорам и готовой к проверке. Мы работаем в онлайн-обучении, видеоконференциях, стриминге, видеонаблюдении и телемедицине, поэтому к нам приходят, когда захват видео в оценивании должен быть на уровне хорошего видеопродукта, а целостность и требования закона – соблюдены строго. Для lockdown и проверки личности мы часто прямо советуем взять зрелое open-source- или вендорское решение: собственная разработка нужна там, где она отличает и защищает ваш продукт, то есть в слое целостности и интеграциях.

Ключевые выводы

• Прокторируемое оценивание – это шесть этапов проверки на общем слое целостности в одной правовой рамке.
• Главное правило: каждое негативное решение принимает человек, а не алгоритм. Это снимает риск по ст. 16 152-ФЗ и закрепляется в локальном акте по п. 20 ПП 1678.
• Личность: для аттестаций – путь ЕСИА + ЕБС; биометрия только по письменному согласию, собранному при регистрации, и всегда с небиометрической альтернативой.
• QTI – для переносимого контента и оценивания; LTI AGS – для передачи оценки; xAPI/cmi5 – для следа событий; ФИС ФРДО – для документов ДПО.
• Записи и журнал хранятся только на серверах в России; ПО для государственных заказчиков – из реестра.
• Типовые этапы покупайте; слой целостности, контур проверки и интеграции стройте сами.

Что почитать дальше

• Онлайн-прокторинг: подходы, компромиссы и приватность
• Данные прокторинга, приватность и правовой ландшафт в России
• Оценивание, рубрики и передача оценок