Velký poštovní skandál 2: Počítač se nemýlí

Jak se z čísla v počítači stal rozsudek

V listopadu 1999 nastoupila sedmnáctiletá Tracy Felstead na poštu v londýnském Camberwell Green. Po dvoudenním školení na nový systém šla za přepážku. Když jí poprvé vyšel v pokladně malý schodek, vedoucí ji uklidnila: „Ono se to samo srovná.“

V únoru 2001 odletěla Tracy s rodinou na dovolenou. Pokladní zásuvku zamkla do trezoru a kolegové ji podle pravidel mohli mezitím používat. Den před jejím návratem ukázal Horizon na jejím pokladním místě schodek 11 503,28 libry. Nikdo nevěděl, jak schodek vznikl. Tracy po návratu zásuvku přepočítala a uzávěrku i se schodkem podepsala.

O dva týdny později na ni v práci čekali dva vyšetřovatelé Pošty. Při výslechu opakovali jedinou otázku: „Za co jste ty peníze utratila?“

Pošta ji suspendovala, propustila a obžalovala z krádeže a falšování účetnictví. Proč zrovna ji? „Protože můj podpis byl na papírech,“ řekla později.

Porota ji uznala vinnou většinou hlasů. Tracy se odmítla omluvit za něco, co neudělala, a soudce jí uložil šest měsíců nepodmíněně. Dne 20. června 2002 ji obrněná dodávka odvezla do londýnské věznice Holloway. Bylo jí devatenáct let.

Obžaloba nepředložila důkaz, že peníze vzala. Měla jen výstup z počítače. Odvolací soud Tracyino odsouzení zrušil v dubnu 2021, o devatenáct let později.

Tracy nebyla výjimka. Jen v letech 2000 až 2002 dosáhla Pošta na základě dat z Horizonu 111 odsouzení.

Ilustrační obrázek: Schodek v účetnictví

Pět míst, kde mohl někdo chybu zastavit

Mezi chybou v kódu a Tracyinou celou nestál jen software. Stálo tam pět míst, kde mohl kdokoli říct „počkat, tohle nesedí“: vývoj a testování, uživatelské rozhraní, podpora, právo a vedení firmy.

Všech pět selhalo. A každé z nich najdete v nějaké podobě i ve vlastní organizaci.

1. Vývoj a testování: storno, které peníze zdvojilo

V dubnu 2003 vydalo Fujitsu verzi Horizonu S30. Neprošla řádným testováním a v kódu storna bylo plus místo minus. Storno proto transakci nezrušilo, ale zdvojilo.

Jeden poštmistr stornoval vnitřní převod hotovosti 13 910 liber a v účtech mu naskočil schodek 27 820 liber. Technici Fujitsu nejprve tvrdili, že poštmistři stornují špatně. Chybu uznali, až když se začaly hromadit stížnosti, a opravili ji až na druhý pokus.

Nebyla to jediná chyba. Chyba pojmenovaná podle pobočky Callendar Square tkvěla v softwaru Riposte, který přenášel data z poboček do centrály. Při určité souhře událostí se část zpráv nepřenesla a na pobočkách vznikaly skutečné rozdíly. V systému přežívala roky.

Fujitsu navíc mezi lety 1999 a 2019 změnilo kód Horizonu 19 842krát, tedy zhruba tisíckrát ročně. Ne všechny změny před nasazením plně otestovalo.

Soudce Peter Fraser v roce 2019 označil původní verzi systému za „nikoli vzdáleně robustní“. K otázce, zda chyby mohly ovlivnit účty poboček, napsal: „Všechny důkazy ukazují, že k tomu nejen mohlo dojít, ale skutečně došlo, a to při mnoha příležitostech.“

Ponaučení: Chyby má každý systém. Výjimečné na Horizonu nebylo to, že je měl, ale to, co se dělo potom.

2. Rozhraní: v systému chybělo tlačítko „nesouhlasím“

Poštmistr viděl z Horizonu jen to, co mu vyjelo na devět centimetrů široké účtenkové pásce. Terminál na pobočce držel data 42 dní.

Opravné doklady z centrály přitom mohly dorazit i po šesti týdnech. Poštmistr je pak neměl s čím porovnat.

Na konci účetního období měl poštmistr dvě možnosti: schodek uhradit, nebo ho potvrdit k pozdějšímu vymáhání. V obou případech dluh uznal. Možnost „s tímto číslem nesouhlasím“ systém neměl.

Hlavní architekt Horizonu ve Fujitsu později u soudu vysvětlil, že tlačítko chybí záměrně, „protože to udržuje naše účetnictví v pořádku“.

Kdo chtěl pobočku udržet v provozu a potvrdil čísla, která neodpovídala hotovosti v trezoru, riskoval obvinění z falšování účetnictví. Tlačítko „Prověřit nebo rozporovat“ přidala Pošta do Horizonu až v květnu 2021, víc než jedenadvacet let po spuštění.

Ponaučení: Rozhraní, ve kterém nejde říct „tohle je špatně“, nutí uživatele buď zaplatit, nebo lhát.

3. Podpora: každému tvrdila, že je jediný

Když poštmistr schodek nedohledal, volal na linku podpory. Poštmistři jí přezdívali „hell-line“, pekelná linka.

Linka byla poddimenzovaná a operátoři o systému často věděli jen o málo víc než volající. Jejich rady typu „zkuste pár věcí“ schodek mnohdy ještě zvětšily. Nejčastěji ale radili, ať si poštmistr nedělá starosti, že se to samo srovná. Pošta hovory dlouho nenahrávala.

Poštmistři k tomu slýchali ještě jednu větu: jste jediný, kdo má s Horizonem problémy. V listopadu 2009 se ve vesnickém sále ve Fenny Compton sešlo dvacet poštmistrů. Ukázalo se, že tu větu slyšeli všichni.

Informace o chybách přitom existovaly. Když poštmistři na nějakou chybu upozorňovali dost dlouho a dost hlasitě, Fujitsu ji potichu opravilo a zapsalo do interního seznamu známých chyb (Known Error Log). Ten ale nikdy neopustil Fujitsu a Poštu.

Fujitsu navíc mělo k terminálům na pobočkách vzdálený přístup. Pošta to roky veřejně popírala.

Ponaučení: Pokud vaše podpora neumí odpovědět na otázku „kolik dalších lidí hlásilo totéž“, nevidíte chybu systému. Vidíte jen stovky osamocených „chyb obsluhy“.

4. Právo: soudy předpokládaly, že se počítač nemýlí

Smlouva činila poštmistry odpovědnými za ztráty, které způsobili vlastní nedbalostí nebo chybou. Pošta ji vykládala tak, že poštmistr zaplatí každý schodek, u kterého neprokáže, že ho nezavinil. K takovému důkazu ale potřeboval data, ke kterým neměl přístup.

Ve stejném roce, kdy Pošta začala Horizon zavádět, se v Anglii a Walesu změnilo pravidlo pro počítačové důkazy. Do roku 1999 musela obžaloba prokázat, že počítač fungoval správně. Od té doby soudy předpokládaly, že funguje, dokud obžalovaný neprokáže opak.

Právní komise změnu v roce 1997 zdůvodnila tím, že „většina počítačových chyb je okamžitě zjistitelná“. Žádné podklady pro toto tvrzení nepředložila.

Obžalovaný poštmistr tak musel prokázat chybu systému, k jehož logům, zdrojovému kódu ani seznamu známých chyb neměl přístup. Žádosti obhajoby o zdrojový kód a Known Error Log Pošta odmítala jako příliš nákladné.

Pošta přitom nebyla jen poškozenou stranou. Případy vyšetřovala vlastní vyšetřovací službou a obžaloby podávala sama, bez policie a státního zastupitelství. Vyšetřovatel, žalobce i držitel dat byla jedna organizace.

Ponaučení: Pokud mohou data z vašeho systému svědčit proti člověku, musíte umět doložit, že byla v daný den správná. Nestačí, že systém běžel.

5. Vedení: Pošta nechtěla vědět, co se děje

Ve čtyřech letech před zavedením Horizonu stíhala Pošta za schodky na pobočkách 52 lidí. Ve čtyřech letech po něm 220.

Nikdo zvenčí si toho nevšiml, protože Pošta tato čísla nemusela zveřejňovat. A nikdo uvnitř se nezeptal, proč se po nasazení nového systému počet „zlodějů“ zčtyřnásobil.

V srpnu 2010 dostal nový šéf Pošty interní zprávu o rostoucích pochybnostech poslanců, novinářů a obhájců. Její autor tvrdil, že Horizon je robustní díky „logům odolným proti manipulaci, zálohám v reálném čase a absenci zadních vrátek“. To nebyla pravda.

Nezávislé prověření zpráva nedoporučila. Zdůvodnila to tím, že „jakýkoli dojem, že Pošta pochybuje o vlastních systémech, by znamenal, že všechna trestní stíhání by musela být zastavena“. Pošta žádné prověření nezadala.

Když o pár let později přece jen najala nezávislé auditory a ti začali nacházet problémy, začala bojovat s nimi, ne s problémy. Soudce Fraser to v roce 2019 popsal jako „extrémní citlivost, místy hraničící s institucionální paranoiou, vůči jakékoli informaci, která by mohla zpochybnit pověst Horizonu“.

Ponaučení: Nárůst sporů po nasazení systému vypovídá o systému, ne o lidech. Organizace, která tuto informaci odmítne slyšet, udělá z chyby v softwaru selhání vedení.

Ilustrační obrázek: Debata poštmistrů nad problémy systému

Chybu šlo zachytit už v roce 2001

Už v roce 2001 zapsal auditor na pobočce poštmistra Alana Batese ve velšském Craig-y-Don, že stav hotovosti nelze správně určit, protože „Horizon občas přičítá k dennímu stavu hotovosti stav z předchozího dne“.

Novinář Nick Wallis k tomu poznamenává, že kdyby Pošta chybu tehdy vyřešila, mohla si ušetřit několik set milionů liber.

Pošta ji nevyřešila. Alan Bates odmítl uznat schodky, které nedokázal ověřit, a Pošta mu v roce 2003 vypověděla smlouvu. Bates pak šestnáct let hledal lidi se stejnou zkušeností.

Dvacet let, než poštmistři dostali za pravdu

V roce 2019 vyhrálo 555 poštmistrů pod Batesovým vedením hromadnou žalobu. Pošta jim zaplatila 57,75 milionu liber. Po odečtení nákladů na právníky a investora, který spor financoval, jim zůstalo zhruba 11 až 12 milionů.

V dubnu 2021 zrušil odvolací soud 39 rozsudků, mezi nimi i Tracyin. Stíhání v takzvaných „případech Horizon“ označil za „urážku svědomí soudu“.

Skutečný zlom přinesla až televize. V lednu 2024 odvysílala stanice ITV seriál Mr Bates vs The Post Office. O pět měsíců později schválil britský parlament zákon, který odsouzení z případů Horizon zrušil hromadně. Do poloviny září 2026 díky němu získalo zrušení rozsudku 620 lidí v Anglii a Walesu.

Kolik chyba nakonec stála

Veřejné vyšetřování v červenci 2025 uvedlo, že kvůli datům z Horizonu skončilo neprávem před soudem a s rozsudkem zhruba tisíc lidí.

Podle vyšetřování existuje reálná možnost, že si kvůli skandálu vzalo život třináct lidí. Dalších 59 o tom uvažovalo.

Do konce srpna 2026 vyplatily kompenzační programy přes 1,7 miliardy liber více než 13 500 lidem. To je víc, než měla v roce 1994 stát celá zakázka na Horizon.

Policie prověřuje možná křivá svědectví a maření spravedlnosti. O obviněních chce rozhodnout až po závěrečné zprávě veřejného vyšetřování, jejíž části o odpovědnosti zatím nevyšly. Soudní procesy by podle dosavadních odhadů mohly začít až v roce 2028.

Co z toho plyne pro firmy, které dnes nasazují software a AI

Bylo by pohodlné vidět v Horizonu příběh jednoho špatného dodavatele a jedné arogantní instituce. Viceprezident Fujitsu ale v roce 2021 napsal poslancům větu, se kterou nelze nesouhlasit: „Žádný složitý IT systém nikdy nebude zcela bez chyb.“

Problém Horizonu nebyl v tom, že chyby měl. Problém byl v tom, že Pošta postavila smlouvy, podporu, vyšetřování i soudní spory na předpokladu, že je nemá.

Stejná otázka se dnes vrací s automatizovaným rozhodováním a umělou inteligencí. Systémy pro odhalování podvodů, scoring nebo automatické sankce rozhodují o konkrétních lidech. Kdo unese důkazní břemeno, když se model splete? A jak by to vůbec poznal?

Pošta používala Horizon v novějších verzích i čtvrt století po spuštění a v prosinci 2024 s Fujitsu prodloužila smlouvu na jeho provoz. Software šel opravit. Zničené životy a ztracených dvacet let vrátit nejde.

Co si z toho odnést na pondělní poradu

• Testujte účetní dopady každé změny, nejen funkci. Tisíc změn ročně znamená tisíc příležitostí k regresi. Storna, převody, uzávěrky a další operace, které mění peníze nebo odpovědnost, musí mít automatizované testy s očekávaným výsledkem – a každá verze musí mít cestu zpět.
• Dejte uživateli možnost nesouhlasit a přístup k podkladům. Rozporování výsledku nesmí znamenat jeho uznání. Uživatel, který za výstup systému odpovídá, musí vidět transakční historii v detailu a dost dlouho na to, aby ji mohl porovnat s opravami z centrály.
• Korelujte incidenty a sdílejte známé chyby. Podpora musí vidět, kolik dalších uživatelů hlásí totéž, a evidovat, co komu poradila. Seznam známých chyb klíčového systému nepatří do šuplíku dodavatele: dotčení uživatelé mají znát chybu, její možné dopady i to, co ovlivnila zpětně.
• Prokazujte správnost dat, nespoléhejte na domněnku. Vězte, kdo může měnit záznamy – včetně vzdáleného přístupu dodavatele – a zda po sobě nechá stopu. Pokud mohou data posloužit jako důkaz proti člověku, uchovávejte auditní stopu a buďte připraveni ji zpřístupnit i druhé straně.
• Po nasazení sledujte, co se stalo s počtem sporů. Porovnávejte reklamace, rozdíly a disciplinární řízení s obdobím před změnou. Nárůst má spustit prověření systému, nikoli automatické hledání viníka. Pokud si objednáte nezávislý audit, berte jeho zjištění jako úkoly k řešení. Nedělejte to jako britská Pošta, která místo toho roky zpochybňovala samotné auditory.

Tímto dílem série o skandálu Horizon končí. První díl: Velký poštovní skandál 1.

Zdroje

• Nick Wallis: The Great Post Office Scandal (Bath Publishing, 2021)
• Post Office Horizon financial redress data as of 28 August 2026 (gov.uk)
• Quashed convictions management information, 24 September 2026 (gov.uk)
• Post Office bosses ‘maintained fiction’ Horizon was accurate, inquiry concludes (Express & Star, 8. 7. 2025)
• Progress Update from Sir Wyn Williams (Post Office Horizon IT Inquiry)
• Criminal trials linked to Post Office Horizon scandal could wait until 2028 (The Scotsman)
• Post Office–Fujitsu contract extended by a year as decision time looms (Computer Weekly, 5. 12. 2024)

Při tvorbě článku bylo využito generativní AI.