Valgrevisjon - Election audit

En valgrevisjon er enhver gjennomgang som utføres etter at meningsmålinger stengte for å avgjøre om stemmene ble talt nøyaktig (en resultatrevisjon ) eller om riktige prosedyrer ble fulgt (en prosessrevisjon ), eller begge deler.

Både resultater og prosessrevisjoner kan utføres mellom valg for kvalitetsstyring, men hvis resultatrevisjoner skal brukes for å beskytte de offisielle valgresultatene mot uoppdaget svindel og feil, må de være fullført før valgresultatene blir erklært endelige.

Valgtelling er en bestemt type revisjon, med elementer av både resultater og prosessrevisjoner.

Sjef Tweed : Så lenge jeg teller stemmene, hva skal du gjøre med det?

Behovet for verifisering av valgresultater

I jurisdiksjoner som utelukker valgresultater utelukkende med manuelle tellinger fra papiravstemninger, eller 'håndteller', trenger ikke tjenestemenn å stole på en enkelt person for å se og telle stemmene. I stedet inkorporerer gyldige håndtelleringsmetoder redundans, slik at mer enn én person ser og tolker hver stemme og mer enn én person bekrefter nøyaktigheten av hver tabell. På denne måten inneholder den manuelle tellingen et bekreftelsestrinn, og en separat revisjon anses kanskje ikke som nødvendig.

Men når stemmer blir lest og tabulert elektronisk , må bekreftelse av resultatets nøyaktighet bli en egen prosess.

Innenfor og utenfor valg har bruk av datamaskiner for beslutningsstøtte en viss IT -risiko . Valgdagens elektroniske talltall kan skyldes utilsiktede menneskelige feil , for eksempel feil oppsett av datamaskinene for å lese den unike stemmeseddelen ved hvert valg og uoppdaget funksjonsfeil , for eksempel overoppheting eller tap av kalibrering. Ondsinnet inngrep kan utføres av korrupte innsidere hos produsenten, distributøren eller valgmyndigheten eller eksterne hackere som får tilgang til programvaren på eller før valgdagen.

Datarelaterte risikoer som er spesifikke for valg inkluderer lokale tjenestemennes manglende evne til å trekke på IT-ekspertisen som er tilgjengelig for ledere i kommersielle beslutningsstøttende datasystemer og valgmuligheter, noe som krever avhengighet av en stor midlertidig arbeidsstyrke for å administrere og drive datamaskiner. Stemmeautomater blir vanligvis luftet fra internett, men de mottar oppdateringer fra flash-stasjoner som kommer fra internett, og i alle fall blir datamaskiner med luftgap regelmessig hacket gjennom flash-stasjoner og andre midler . I tillegg til tradisjonelle sikkerhetsrisikoer som låsing og phishing- angrep, er stemmemaskiner ofte uten tilsyn i offentlige bygninger kvelden før valget. Denne fysiske tilgangen lar utenforstående undergrave dem.

For å redusere risikoen for feil på valgdagen, er valgledere som andre datamaskinavhengige ledere avhengige av testing og kontinuerlig IT-sikkerhet. Når det gjelder valgstyring, har disse tiltakene form av føderal sertifisering av designene for det elektroniske valgsystemet, selv om det ikke er noen måte å vite at sertifisert programvare er det som faktisk er installert; sikkerhetstiltak på de lokale valgmyndighetenes arbeidsplasser; og test før valget.

Et tredje risikoreduksjonstiltak utføres etter at datamaskinen har produsert utdata: Kontroller rutinemessig datamaskinens utgang for nøyaktighet eller revisjon. Utenfor valg er revisjonspraksis i privat sektor og i andre offentlige applikasjoner rutinemessig og godt utviklet. I praksis med valgadministrasjon uttalte Pew Charitable Trusts imidlertid i 2016: "Selv om ettervalgsrevisjoner er anerkjent som en beste praksis for å sikre at stemmeutstyr fungerer som det skal, at riktige prosedyrer blir fulgt, og at det overordnede valgsystemet er pålitelig, er revisjonspraksisen fortsatt i sin relative barndom. Derfor har det ikke oppstått enighet om hva som utgjør de nødvendige elementene i et revisjonsprogram. ”

Rutinemessige resultatrevisjoner støtter også velgernes tillit ved å forbedre valgfunksjonærenes evne til å reagere effektivt på påstander om svindel eller feil.

Eksempler på inntrengning i valgdatamaskiner

Datamaskiner som stemmer eller kompilerer valgresultater er kjent for å ha blitt hacket i USA i 2014 og 2016, Ukraina i 2014 og Sør -Afrika i 1994. Bare Ukraina -hacket ble avslørt umiddelbart, så det er nødvendig med jevnlige tilsyn for å gi rettelser rettidig.

Revisjonsutfordringer som er unike for valgresultatet

Det kan virke som en relativt ukomplisert oppgave å bekrefte at stemmer ble kreditert de riktige kandidatene, men valgledere står overfor flere revisjonsutfordringer som ikke er til stede for ledere av andre beslutningsstøttende IT-applikasjoner . Personvern for stemmesedler forhindrer først og fremst valgfunksjonærer i å knytte individuelle velgere til individuelle stemmesedler. Dette gjør det umulig for valgfunksjonærer å bruke noen vanlige revisjonspraksis slik som bankene bruker for å bekrefte at minibanker krediterte innskudd til riktig konto.

En annen utfordring er behovet for en rask og ugjenkallelig avgjørelse. Valgresultatene må bekreftes umiddelbart, før tjenestemenn sverges til vervet. I mange kommersielle bruksområder av informasjonsteknologi kan ledere reversere datafeil selv når de oppdages lenge etter hendelsen. Men når folkevalgte er sverget til vervet, begynner de å ta beslutninger som å stemme om lovgivning eller signere kontrakter på vegne av regjeringen. Selv om tjenestemannen skulle fjernes fordi en datamaskinfeil ble oppdaget for å ha satt denne tjenestemannen på plass, ville det ikke være mulig å reversere alle konsekvensene av feilen.

Valgets intermitterende karakter er en annen utfordring. Antall valg som administreres av en valgmyndighet varierer fra to per år (pluss spesialvalg) i fem amerikanske stater til ett hvert fjerde år (pluss mellomvalg) i parlamentariske systemer som Canada hvor forskjellige valgmyndigheter administrerer nasjonale, provinsielle og kommunale valg. . Denne intermittency begrenser utviklingen av en heltids, praktisert arbeidsstyrke, enten for valget eller revisjonene. Å overgi valgrevisjoner til et uavhengig, uinteressert profesjonelt regnskapsfirma er et annet alternativ som ikke er tilgjengelig for valgfunksjonærer. Fordi valgresultatene påvirker alle, inkludert valgfunksjonærene selv, eksisterer ikke virkelig uinteresserte revisorer. Derfor er revisjonens åpenhet nødvendig for å gi troverdighet.

Egenskaper for en god valgresultatrevisjon

Ingen styrende organer eller fagforeninger har ennå vedtatt et endelig sett med beste praksis for valgrevisjoner. I 2007 samarbeidet imidlertid en gruppe organisasjoner med valgintegritet, inkludert Verified Voting Foundation , Common Cause og Brennan Center for Justice ved NYU School of Law med American Statistical Association for å lage et sett anbefalte beste praksis for ettervalget. resultatrevisjoner:

• Åpenhet : Publikum må ha lov til å observere, verifisere og påpeke prosessuelle feil i alle faser av revisjonen. Dette krever at revisjonsprosedyrer og standarder blir vedtatt, skriftlig og gjort tilgjengelig før valget.
• Uavhengighet : Selv om det faktiske arbeidet med revisjoner etter valget best kan utføres av tjenestemennene som gjennomfører valget, bør myndigheten og forskriften for revisjoner etter valget være uavhengig av tjenestemenn som gjennomfører valget.
• Papiropptegnelser : Stemmetelling i tilsynet bør utføres med hånd-til-øye-tellinger av velgermerker, velgerbekreftede papiravstemninger.
• Valgregnskap (forvaringskjede eller intern kontroll): Postene som brukes i tilsynet må verifiseres for å være sanne og fullstendige registreringer av valget.
• Bekreftelse på riktige vinnere : Tilsynene må oppnå statistisk tillit til at de datatabulerte resultatene identifiserte de riktige vinnerne.
• Adressering av avvik : Når avvik oppdages, utføres undersøkelser for å finne årsaken til avvikene.
• Omfattende : Valgprøven for valg av stemmesedler inkluderer alle jurisdiksjoner og alle typer stemmesedler (f.eks. Fraværende, innsending og godkjente foreløpige stemmesedler).
• Ytterligere målrettede prøver : Tilsynet inkluderer et begrenset ikke-tilfeldig utvalg valgt på grunnlag av faktorer som er nyttige for å bygge velgernes tillit eller forbedre valgstyringen, for eksempel valgdagsproblemer eller foreløpige resultater som avviker vesentlig fra historiske avstemningsmønstre.
• Binding av offisielle resultater : Revisjoner etter valget må være fullført før valgresultatene blir erklært offisielle og endelige, og må enten verifisere eller korrigere utfallet.

Gjeldende praksis i valgresultatrevisjon i USA

Oversikt

Med tanke på anbefalte beste fremgangsmåter ovenfor, tillater to stater (DC, MA) offentlig observasjon av alle trinn; tre stater (MD, NM, VT) har revisjoner utført av statssekretæren, som delvis er uavhengig av valgdagens prosedyrer; 18 stater håndtelling; seks stater (CO, MD, NC, NM, RI, VA) har gode prøver for statistisk konfidens; ingen stater har måter å komme seg etter avvik i varetektskjeden; andre problemer er oppført i tabellen nedenfor.

Datamaskinisering av valg skjedde raskt i USA etter presidentvalget i 2000 , der upresise stemmetallspraksis spilte en kontroversiell rolle, og den påfølgende vedtakelsen av Help America Vote Act (HAVA) fra 2002. Den raske overgangen til datastyrt avstemning tabulering tvang valgfunksjonærer til å forlate mange prautomatiseringspraksis som hadde blitt brukt for å bekrefte stemmesummer, for eksempel redundans inkludert i gyldige håndtellingsprosedyrer.

I henhold til informasjon fra statlige profiler levert av Verified Voting , var det i midten av 2019 bare Colorado, New Mexico, District of Columbia og (i lovverk som ikke vil bli fullstendig implementert før 2020) krever Rhode Island at lokale valgmyndigheter utfører revisjoner at:

1. fullføres umiddelbart, før offisielle resultater kan sertifiseres;
2. utvide revisjonen til en statlig oversikt over den eller de reviderte konkurransene når revisjonen oppdager alvorlige avvik i det opprinnelige utvalget; og
3. er bindende for de offisielle resultatene.

Hvis de følges av lokale valgfunksjonærer, skaper slike krav en mulighet til å oppdage og korrigere eventuelle tall som endrer utfall (enten forårsaket av ulykke eller bedrageri) som påvirket de foreløpige valgnatttellingene.

Ytterligere 19 stater foreskriver revisjoner som kontrollerer en flat prosentandel, vanligvis mellom 1 og 3 prosent, av stemmemaskiner eller distrikter. Disse revisjonene kan oppdage problemer i de enkelte stemmemaskinene som er valgt for revisjon, men kan ikke bekrefte de riktige resultatene unntatt i løp med svært store marginer mellom vinneren og taperne.

Til slutt fullfører 28 stater offisielle valgresultater uten å bekrefte datatabellerte stemmesummer. Disse statene mangler enten papiravstemninger, har ingen revisjonskrav, eller i fire stater (Florida, Vermont, Virginia og Wisconsin) lar revisjoner bli utsatt til etter at vinnerne er sertifisert.

Andre måter å gruppere statene inkluderer at 20 stater reviderer ved hjelp av håndteller; andre bruker maskiner eller en blanding. Ti stater kontrollerer alle løp på stemmeseddelen; andre kontrollerer generelt toppløpet og 1-4 andre. I 14 stater brukes revisjonsresultatene til å revidere offisielle vinnere når det er uoverensstemmelse. Ytterligere 10 kan revidere offisielle resultater, avhengig av lokal vurdering, og i 9 stater oppretter tilsynet en rapport uten å endre offisielle resultater, inkludert store stater som California, Florida og Illinois. Bare to stater bruker håndteller for å kontrollere alle løp, og bruker resultatene til å revidere vinnere; begge er små, Alaska og West Virginia.

Tabell over statsrevisjonsregler

Få stater sjekker valgmaskinens tellinger for hånd

Andre statlige variasjoner. Bare DC krever at observatører kan se at stemmesedler blir revidert godt nok til å skille velgernes merker. Tre stater har regler for hva som skjer når lagrede stemmesedler mangler: CO-manglende stemmesedler behandles som kastet for alle taperne i risikonivåberegninger; MI og NC-ingen revisjon.

Risikobegrensende revisjoner

Colorado-valg i 2017, utvalgsstørrelser som trengs for risikobegrensende revisjoner

Risikobegrensende revisjoner er påkrevd i Colorado, North Carolina, Rhode Island og Virginia. Disse lagrer stemmemaskiners tolkning av hver stemmeseddel ("avstemningsrekord"), samler dem sentralt over internett, re-teller dem med en uavhengig datamaskin for å kontrollere totalene, og kontrollerer et utvalg av de lagrede papiravstemningene for hånd for å kontrollere avstemningen. tolkninger av maskiner. Prøver er store nok til å være sikre på at resultatene er nøyaktige, opp til et akseptabelt risikonivå, for eksempel 9%. For hvert revidert løp, hvis de originale datatolkningene identifiserte feil vinner, er det en 9% sjanse i Colorado for at revisjonen vil gå glipp av den, og feil vinner tiltrer. En lavere risikogrense ville slippe færre feil igjennom, men ville kreve større utvalgsstørrelser. Nære løp krever også større utvalgsstørrelser. Colorado reviderer bare noen få løp, og reviderer ingen av de nærmeste løpene, som trenger de største prøvene. Revisjon av alle løp vil kreve at flere fylker håndteller tusenvis av stemmesedler hver.

Hvis prøvene ikke bekrefter de første resultatene, kan flere runder med prøvetaking utføres, men hvis det ser ut til at de første resultatene er feil, krever risikobegrensende revisjoner 100% håndtelling for å endre resultatet, selv om det innebærer håndtelling hundretusener av stemmesedler.

Colorado bemerker at de må være ekstremt forsiktige for å holde stemmesedlene i orden, eller de må nummerere dem, for å være sikre på å sammenligne håndtellingene med maskinregistreringene til de eksakte stemmesedlene. Colorado sier at det har et pålitelig system for å gjenoppta postene, men det er ennå ikke offentlig dokumentert.

I 2010 godkjente American Statistical Association risikobegrensende revisjoner for å verifisere valgresultatet. Med bruk av statistisk prøvetaking for å eliminere behovet for å telle alle stemmesedlene, muliggjør denne metoden en effektiv og gyldig bekreftelse av utfallet (de vinnende kandidatene). I 2011 startet den føderale valghjelpskommisjonen tilskudd til pilotprosjekter for å teste og demonstrere metoden ved faktiske valg. I 2014 anbefalte presidentkommisjonen for valgadministrasjon metoden for bruk i alle jurisdiksjoner etter alle valg, for å redusere risikoen for å få valgresultater bestemt av uoppdaget datafeil eller svindel. I 2017 ble Colorado den første staten som implementerte risikobegrensende revisjoner på landsbasis som en rutinemessig praksis under prosessen etter valget med å sertifisere valgresultater.

Stemmeseddelen søker etter 100% revisjoner

Stemmesedler eller skannede bilder er tilgjengelig for offentligheten for uavhengige revisjoner

Stemmesedler lagret av valgskannere

Humboldt County Elections Transparency Project , Clear Ballot og TrueBallot skanner alle stemmesedler med en kommersiell skanner, så omfattende revisjoner kan utføres på skanningene uten å skade papiravstemninger, uten håndtelling, av flere grupper, uavhengig av valgprogramvaren. Clear Ballot er sertifisert av den amerikanske valghjelpskommisjonen for stemmegivning, og de har også et revisjonssystem, ClearAudit. TrueBallot serverer foreløpig ikke regjeringsvalg, bare private grupper. Begge bruker proprietær programvare, så hvis det ble hacket hos leverandøren eller lokalt for å lage falske bilder av stemmesedlene eller falske tellinger, kunne lokale tjenestemenn og publikum ikke sjekke det.

"Brakey -metoden" er en tilnærming som bruker elektroniske stemmesedler som allerede er laget av de fleste nåværende amerikanske valgsystemer. Disse stemmesedlene kan bli hacket hvis selve valgprogramvaren blir hacket, enten hos leverandøren eller andre steder, så for full sikkerhet må stemmesedlene sjekkes mot papiravstemningene for å avgjøre om bildene er riktige. For å muliggjøre sammenligningen mellom én og én avstemning, krever Brakey-metoden at stemmebildene kan kobles til papiravstemningene sine, enten ved å holde papiravstemninger i samme rekkefølge som skanningene, eller gjennom en unik identifikator som vises på begge digitale bildene og fysisk avstemning.

Uavhengige systemer for å stemme opp bilder inkluderer Audit Engine, Free and Fair, OSET Institute (under utvikling) og Elections Transparency Project, som brukt i Humboldt County, California, et mellomstort fylke med 58 000 stemmesedler i stortingsvalget 2016.

Humboldt bruker en kommersiell skanner til å skanne alle stemmesedler og legger dem i en digitalt signert fil, slik at ekte kopier av filen kan identifiseres pålitelig. Stemmesedler med identifiserende merker blir først håndkopiert av valgpersonalet for å anonymisere dem, siden de er gyldige i henhold til California lov. Skanneren skriver ut et tall på hver stemmeseddel før den skannes, slik at skanningen kan sjekkes mot den samme fysiske stemmeseddelen senere om nødvendig. Prosjektet har skrevet åpen kildekode -programvare (Trachtenburg Election Verification Software, TEVS) for å lese filene, og de sjekker alle konkurranser på alle stemmesedler for å se om offisielle tellinger er riktige. Første gang de skannet og kontrollerte, i 2008, fant de 200 manglende stemmesedler, som viser verdien av komplette sjekker. Andre jurisdiksjoner kan på samme måte skanne stemmesedler og bruke Humboldts programvare eller egen for å kontrollere alle løp. De må sørge for at den interne telleprogramvaren er sikker og uavhengig av eventuelle feil eller hacks i valgprogramvaren, akkurat som brukere av risikobegrensende revisjoner gjør.

Å lese disse skanningene, med programvare uavhengig av valgsystemet, er en praktisk måte å revidere et stort antall nære konkurranser, uten store håndteller. Skanninger er også den eneste praktiske måten å omgå problemer med fysisk sikkerhet, hvis papiravstemninger blir skannet, signert digitalt og de resulterende elektroniske postene blir bekreftet mot en prøve av papiravstemninger etter hvert som stemmesedlene kommer. Skanninger kan gjøres og signeres digitalt før stemmesedler lagres, mens andre revisjonsmetoder er for trege til å gjennomføre valgnatt. Skannere kan behandle tusenvis av stemmesedler i timen, og flere skannere kan operere samtidig i større jurisdiksjoner. Når stemmesedlene er skannet og en digital signatur er publisert, kan elektroniske poster telles når som helst.

Humboldt og flere andre jurisdiksjoner har gått utover denne interne tilnærmingen, og frigjør de digitalt signerte filene med stemmesedler for publikum, slik at andre kan bruke sin egen programvare, uavhengig av valgsystemet og embetsmenn, for å kontrollere alle konkurranser på alle stemmesedler. Offentlig utgivelse lar tapende kandidater som mistro til valgmyndighetenes sikkerhetstiltak gjøre sine egne sjekker. Humboldt County mener skanningen gir innbyggerne stor tillit til resultatene i fylkesvalget.

Pennsylvania bruker disse stemmesedlene for sine revisjoner, selv om det ikke frigjør dem til publikum for publikum å revidere.

Beretninger

Beretninger kan anses å være en bestemt type revisjon, men ikke alle revisjoner er gjenopprettelser. The Verified Voting Foundation forklarer forskjellen mellom revisjoner og beretninger: Revisjoner etter valget utføres for å "rutinemessig sjekke avstemningssystemets ytelse ... for ikke å utfordre resultatene, uavhengig av hvor nære seiersmarginer ser ut til å være", mens "forteller gjentatte stemmesedler teller (og utføres bare) under spesielle omstendigheter, for eksempel når foreløpige resultater viser en nær seiersmargin. Revisjoner etter valget som oppdager feil kan føre til en fullstendig gjenopptelling. " I USA varierer lovene om gjenfortelling etter stat, men krever vanligvis at 100% av stemmene blir gjenopptatt, mens revisjoner kan bruke prøver. Beretninger inneholder elementer fra både resultater og prosessrevisjoner.

Prøver som ble brukt til valgrevisjoner

Andre varianter

Hånd og maskin teller. Gjeldende revisjoner i de fleste stater innebærer å telle papiravstemninger for hånd, men noen stater bruker de samme maskinene som ble brukt i valget igjen. Tre stater bruker forskjellige maskiner for å gi noen uavhengig sjekk.

Prøvestørrelser. Når statene reviderer, velger de vanligvis et tilfeldig utvalg på 1% til 10% av områdene som skal gjenfortelles for hånd eller maskin. Hvis et distrikt har mer enn én maskin, og de holder stemmesedler og totaler atskilt med maskin, kan de trekke et utvalg av maskiner i stedet for områder og telle alle stemmesedler som er behandlet av den maskinen. Disse prøvene kan identifisere systematiske feil som er mye tilstede i valget. De har bare en liten sjanse til å fange et hack eller feil som var begrenset til noen få områder eller maskiner, selv om det kan endre resultatet i tette løp.

Antall løp. I den tilfeldige prøven kontrollerer de fleste stater bare noen få løp, så de kan bare finne problemer i disse løpene.

Fysisk sikkerhet. Revisjon utføres flere dager etter valget, så papiravstemninger og datafiler må oppbevares sikkert. North Carolina spesifiserer at det ikke utføres revisjon hvis stemmesedler mangler eller er skadet.

Fysisk sikkerhet har sine egne store utfordringer. Ingen amerikansk stat har tilstrekkelige lover om fysisk sikkerhet for stemmesedlene. Sikkerhetsanbefalinger for valg inkluderer: å starte revisjoner så snart som mulig etter valget, regulere tilgangen til stemmesedler og utstyr, ha risiko identifisert av andre enn de som designer eller administrerer lagringen, bruk bakgrunnskontroller og manipuleringssegler. Imidlertid kan tetninger på plastoverflater vanligvis fjernes og påføres på nytt uten skade.

Erfarne testere kan vanligvis omgå alle fysiske sikkerhetssystemer. Sikkerhetsutstyr er sårbart før og etter levering. Insider-trusler og vanskeligheten med å følge alle sikkerhetsprosedyrer blir vanligvis undervurdert, og de fleste organisasjoner ønsker ikke å lære sine sårbarheter.

Referanser

Eksterne linker

• Valgverifiseringsnettverk
• Verifisert avstemning
• Prinsipper og beste praksis for valgrevisjon