Мандати за преводи: защитете ги с електронен подпис

Защо мандатите за преводи са в поглеждането на измамниците?

Мандатите за преводи представляват един от най-експлоатираните пункта на уязвимост от страна на киберпрестъпници. Според годишния доклад за 2025 г. на Банката на Франция за сигурността на платежните средства, измамата при банковите преводи представлява щета, преценена на 1,2 милиарда евро за французите предприятия. Техниката, известна като „фалшив ред за превод" (FOVI) или измама на президента, насочва точно документарния верижен одобрения: лошо защитен мандат, подписан с прост скенер на парафа или изпратен по имейл без автентификация, става идеален вход.

Пред това реално положение електронният подпис за предприятията се налага като надежна техническа и правна отговор. Той не се ограничава до поставяне на изображение на подпис върху PDF: той създава уникален криптографски отпечатък, отметнат с час, свързан с потвърденото удостоверение на подписалия. В този водач анализираме проблемите, специфични за мандатите за преводи, нивата на подпис за мобилизиране, ролята на банковата автентификация и оперативното внедряване в финансовите и счетоводните услуги.

---

Различните видове мандати за преводи и техните съответни рискове

Еднократни мандати срещу постоянни мандати

Еднократен манд за превод разрешава един единствен трансфер към определен получател за определена сума и дата. Постоянен мандат (известен също като повтарящ се ред) разрешава повтарящи се преводи по договорена честота. Рискът не е симетричен: неотменен постоянен мандат или такъв, чийто получател е модифициран измамно, може да причини загуби в течение на месеци преди да бъде открит.

Мандатите за преводи SEPA (SDD — SEPA Direct Debit) представляват специален случай: те позволяват на кредитор да прави преводи директно от сметката на длъжника след подписване на мандат в съответствие с правилата на SEPA Scheme. Разпоредбата SEPA изисква този мандат да бъде архивиран през цялата продължителност на търговската връзка плюс 14 месеца след последния превод — силно документарно ограничение, което застъпва за защитена дематериализация.

Вектори на документарна измама

Три вектора концентрират същественото на декларираните инциденти:

• Фалшиване след подписване: модификация на RIB или суму на документ, подписан вручно и предаден по имейл, без криптографско запечатване.

• Узурпация на удостоверението на подписалия: мандат, изпратен от скомпрометиран имейл адрес, без проверка на удостоверението в реално време.

• Отсъствие на пътека на одит: невъзможност да се докаже кой е подписал какво и кога, в случай на спор с банката или трета страна.

Правната стойност на електронния подпис се крие точно в неговата способност да неутрализира тези три вектора едновременно.

---

Кое ниво на електронен подпис за мандат за превод?

Разпоредбата eIDAS (№ 910/2014) определя три нива на електронен подпис: прост (SES), усъвършенстван (AdES) и квалифициран (QES). За мандатите за преводи, избора на ниво трябва да бъде пропорционален на сумата, честотата и профила на риск на операцията.

Усъвършенстван електронен подпис (AdES): оперативния стандарт

За мнозинството на мандатите за преводи от предприятие към предприятие, усъвършенстваният електронен подпис представлява оптималния баланс между сигурност и приложимост. Той отговаря на следните изисквания, определени от eIDAS:

• Свързан едновременно и неразривно с подписалия

• Способен да идентифицира подписалия

• Създадени от данни под единственото управление на подписалия

• Свързани с подписаните данни по начин, способен да открие всяка последваща модификация

На практика, това се превежда в многофакторна автентификация (OTP SMS, мобилно приложение TOTP или сертификат с високо ниво), PDF запечатване в съответствие с стандарта PAdES (ETSI EN 319 132), и квалифициран електронен хронометраж който фиксира датата и часа на подписване по необорим начин.

Квалифициран подпис (QES): за операции с висок риск

Преводи надвишаващи определени вътрешни прагове (често 50 000 € или 100 000 € според политиките на вътрешен контрол на големите групи) или включващи чувствителни контрапарти (иностранни доставчици в зони с риск, новорегистрирани получатели) заслужават квалифициран подпис. Последният изисква проверка на удостоверението лице в лице или чрез видео-идентификация при доставчик на доверие квалифициран (QTSP), признат от ANSSI.

QES е единственият подпис със стойност, еквивалентна на ръчния подпис в целия Европейски съюз, без възможност да бъде оспорван само на това основание. За съкровищник или главен финансов директор, това е необоримо гарантия срещу административния съвет или външен одитор.

Силната банкова автентификация като допълнителен слой

Директивата DSP2 (преработена в DSP3 през 2026 г.) налага силна автентификация на клиента (SCA — Strong Customer Authentication) за валидиране на преводи на страната на банката. Тази автентификация се основава на най-малко два фактора от: нещо, което потребителят знае (пароля), притежава (телефон) или е (биометрия).

Важно е да се разграничат два нива на интервенция:

• Подписване на мандата (юридически документарен акт): попада под eIDAS и договорното право.

• Валидиране на ордера за плащане (банкова инструкция): попада под DSP2/DSP3 и банковия договор.

Тези два слоя са допълващи се, не взаимозаменяеми. Платформа като Certyneo защитава първия; вашата банка защитава втория. Заедно, те образуват пълна верига от доказателства, от решението да се издаде преводът до неговото изпълнение.

---

Оперативно внедряване: интегриране на електронен подпис в верижната схема на мандатна валидиране

Картографиране на съществуващите документарни потоци

Преди всяко развертване трябва да се картографират потоците: кой инициира мандата? Кой го валидира? Кой го архивира? В много малки и средни предприятия, този верига все още преминава през събирането на имейли, файлове споделени на вътрешната мрежа и устни валидации. Тази непрозрачност е сама по себе си оперативен риск, отбелязан в препоръките на COSO (Committee of Sponsoring Organizations of the Treadway Commission) върху вътрешния контрол.

Сравнителен преглед на решенията за електронен подпис ще ви помогне да идентифицирате платформата, адаптирана към вашия том и ограничения на интеграция (ERP, TMS, портал на доставчици).

Конфигуриране на работни потоци на одобрение с множество подписващи

Правилото на четирите очи (двойна валидация) е добра практика на вътрешния контрол, препоръчана от AMF и регистрирани одитори за мандати за преводи. Съвременните платформи за подпис позволяват да се конфигурират:

• Последователности на подпис (подписватель А трябва да валидира преди подписватель Б)

• Прагове на делегиране (директорът на финанси подписва самостойно до X €, съподписване на генералния директор над това)

• Автоматични предупреждения и напомняния с хронометраж на всяко действие

• Електронни пълномощия за периоди на отсъствие, чието управление е детайлно описано в нашия водач върху пълномощието и мандата

Архивиране и пътека на одит: документарни изисквания

Всеки манд за превод, подписан електронно, трябва да бъде архивиран със своя доказателство на подпис (верига на сертификати, доклад на одит, SHA-256 хеш на документа). Това архивиране трябва да бъде убедително: четливо, интегрално и достъпно през цялата правна продължителност на съхранението (10 години за счетоводни документи според член L. 123-22 на Търговския кодекс).

Съответстващите решения автоматично генерират файл на доказателство (LTV — Long Term Validation) интегриран в подписания PDF, който позволява да се проверява валидността на подписа дори след изтичане на първоначалния сертификат. Това е изисквание на стандартите ETSI EN 319 132 (PAdES-LTV).

---

Измеримите ползи за финансовите дирекции

Намаляване на риска от измама и свързани разходи

Цифровите документни проверки намаляват риска от вътрешна и външна измама в сравнение с хартиените процеси. По-специално усъвършенстваният електронен подпис премахва възможността за промяна на документ след подписването му, елиминирайки на практика фалшифицирането след изпращане.

Ускорение на цикъла на одобрение

Хартиен цикъл на одобрение за нареждане за превод отнема няколко работни дни в компания със средни размери. Преминаването към цифров формат съкращава този срок до няколко часа, а понякога и до минути за рутинни операции с предварително конфигуриран работен процес. За касиер, управляващ нужди от ликвидност в реално време, тази печалба е стратегическа.

Облегчена съответствие и опростена одит

По време на данъчна проверка или законна одит, възстановяването на вътрешните валидации при мандати за преводи е отнемаща време задача. При система на електронен подпис, всеки мандат е придружен от неизменяема пътека на одит: дата, час, IP адрес, идентификатор на подписалия, резултат на автентификацията. Това ниво на проследяваност отговаря пряко на очакванията на регистрирани одитори и DGFiP относно надежднаст пътека на одит (PAF).

Приложимо правна рамка за мандати за преводи, подписани електронно

Общо право на договори и доказателствена сила

По френското право, член 1366 на Гражданския кодекс поставя общия принцип: „Електронният документ има същата доказателствена сила като документа на хартиена основа, при условие че лицето, от което произхожда, може да бъде надлежно идентифицирано и че той е установен и съхраняван при условия, което гарантира неговата интегралност." Член 1367 уточнява, че електронният подпис се състои в употребата на надежден процес на идентификация, гарантирал неговата връзка със записа, към който се прикачва.

Тези разпоредби се допълват от декрета № 2017-1416 от 28 септември 2017 относно електронния подпис, който уточнява, че надеждността на процес на електронен подпис се предполага до доказателство противен, когато той внедрява квалифициран електронен подпис в смисъла на разпоредбата eIDAS.

Разпоредба eIDAS № 910/2014 и нейната преработка eIDAS 2.0

Разпоредбата eIDAS № 910/2014 представлява европейската нормативна основа. Тя установява единна рамка за взаимното признаване на електронни подписи в 27-те държави членки. Член 25(1) разпорежда, че електронен подпис не може да бъде отказана правна сила единствено на основата, че е под електронна форма. Член 25(2) дава на квалифицирания подпис същата правна стойност като ръчния подпис. През 2024 г. разпоредбата eIDAS 2.0 (разпоредба ЕС 2024/1183) укрепи рамката чрез въвеждане на европейския портфейл на цифрова самоличност (EUDIW) и чрез разширяване на списъка на квалифицираните доставчици на доверие.

За мандатите за преводи SEPA, Scheme Rules EPC (European Payments Council) изискват мандат, подписан от длъжника, съхранен от кредитора, в съответствие със стандартите на идентификация. Електронният подпис е усъвършенстван, ясно признат от насоките на EPC като валиден режим на подпис.

Директива DSP2 / DSP3 и силна автентификация

Директивата DSP2 (2015/2366/ЕУ), транспонирана във френското право в член L. 133-44 на Паричния и финансов кодекс, налага силна автентификация (SCA) за валидиране на онлайн преводи надвишаващи 30 €. Преработката в DSP3 (законодателен пакет приет през 2024 г., постепенно прилагане 2025-2026) укрепва изискванията на сигурност и разширява отговорността на доставчиците на услуги за плащане в случай на необнаружена измама.

GDPR и обработка на данни за автентификация

Обработката на биометрични данни и данни за автентификация събрани при подписване попада под член 9 на GDPR № 2016/679 (чувствителни данни) и изисква ясна правна основа. Квалифицираните доставчици (QTSP) трябва да разполагат с документирана анализ на въздействието (AIPD/DPIA). Данните на подпис трябва да бъдат минимизирани, шифрирани в спокойствие и при предаване, и изтрити в съответствие с определени периоди на съхранение.

Технически норми ETSI

Форматите на подпис признати в Европа са определени от норми ETSI EN 319 132 (PAdES за PDF), ETSI EN 319 122 (CAdES) и ETSI EN 319 162 (XAdES). За мандати за преводи архивирани за дълъг период, форматът PAdES-LTV (Long Term Validation) е препоръчан, тъй като той интегрира информацията за валидиране необходима за проверка на подписа в бъдещност, независимо от продължителността на живота на сертификата.

Илюстративни сценарии на използване: мандати за банков превод, обезпечени с електронен подпис

Сценарий 1 — Промишлена ETI управляваща 400 мандата за доставчици тримесечно

Тези сценарии са илюстративни: те описват типични ситуации и не отразяват никакъв измерен резултат при клиент. Предприятие от средна величина в производствения сектор, с около 350 служители и портфейл от 120 активни доставчици, обработваше мандатите си за превод чрез хибриден процес: инициране в ERP системата, разпечатване на PDF, саморъчен подпис на финансовия директор или неговия заместник, сканиране и архивиране на споделен сървър.

След навреме разкрит опит за измама с фалшив превод (промяна на банковите данни в несапечатан PDF файл, изпратен по имейл), ръководството внедрява решение за усъвършенстван електронен подпис, интегрирано в ERP системата чрез API. Показателите за проследяване, измерени върху реалния обхват преди и след пилотен проект:

• Среден срок за валидиране: да се измери преди и след пилотния проект

• Разходи за обработка на мандат: да се изчислят върху реалния обхват (премахване на разпечатки, сканирания, вътрешна кореспонденция)

• Пълна пътека на одит: налична в реално време за регистрирания одитор, без ръчна възстановяване

• Нулеви инциденти на документарна измама на периода на проследяване

Сценарий 2 — Групиране на местни общини и мандатите за субсидия

Групиране на междуобщинско управление, групирало около дем communes управлявайки мандати за преводи на субсидии за местни асоциации за годишен том от около 2000 операции. Подписването на отговорни избрани лица произведе при съветските събрания, със закъсненията наложени от графиците на избрани лица и рискове от загуба на документи.

Дематериализацията на мандатите чрез усъвършенстван електронен подпис, интегрирана в софтуера за управление на публичното счетоводство, позволява:

• Подписване на разстояние от избраните лица от своя защитен личен простор, без задължително физическо присъствие

• Съответствие на рамката Hélios (съвместимост с протокола на обмен на държаватa за местни общини)

• Съкратен срок за изплащане на субсидиите: мащабът на подобрението трябва да се измери върху реалния обхват на общината

• Автоматизирано архивиране в съответствие със изисквания на регионални камери на отчети

Сценарий 3 — Кабинет за управление на активи и мандатите на своите клиенти

Независима кантора за управление на имущество (около 25 служители, 800 активни клиенти) трябва да събира подписани мандати за превод от своите клиенти за изпълнение на арбитражи по ценни книжа и договори за животозастраховане. Пощенският процес е дълъг, със риск от непълно връщане (липсващ подпис, липсваща дата и т.н.).

След внедряването на решение за електронен подпис с процес на засилена идентификация (проверка на документ за самоличност + OTP), показателите за проследяване са следните:

• Срок за събиране на подписания мандат: да се измери преди и след пилотен проект

• Процент непълни мандати: за проследяване, като автоматичните проверки за пълнота преди подписването целят да го намалят

• Удовлетвореност на клиентите измерена чрез NPS: за проследяване по критерия за опростеност на административните процедури

• Укрепена съответствие към изисквания на AMF върху проследяваност на инструкции на клиент (член 16 MiFID II)

Често задавани въпроси

Достатъчна ли е усъвършенстван електронен подпис за защита на SEPA директен дебит поръчка?

За по-голямата част от SEPA директни дебит поръчки усъвършенстван електронен подпис (AdES) осигурява подходящо ниво на сигурност: тя гарантира самоличността на подписващия, запечатва документа срещу всякакви изменения и генерира датирана следа от одита. Правилникът на SEPA не налага специфично ниво на подпис, но изисква запазване на поръчката през целия период на търговската връзка плюс 14 месеца след последния дебит. Документ, подписан електронно, улеснява това задължение за архивиране с доказателствена сила.

Какво е юридическото различие между подписване на преводна поръчка и потвърждаване на банкова трансакция?

Това са два различни акта, подчинени на отделни нормативни рамки. Подписването на поръчката е документален юридически акт, регулиран от правилник eIDAS и договорното право: установява съгласието на подписващия и целостта на документа. Потвърждаването на платежната трансакция е банкова инструкция, уредена от Директива DSP2, която налага силна аутентификация от страна на финансовото учреждение. Един не заменя другия: те действат в два последователни и допълващи се моменти.

Юридически приемлива ли е преводна поръчка, подписана електронно, при спор пред французкия съд?

Да, при условие че подписът отговаря на изискванията на правилник eIDAS. Член 1366 на Французкия гражданския кодекс признава юридическата стойност на електронния документ, когато самоличността на неговия автор е гарантирана и целостта на документа е осигурена. Усъвършенствана или квалифициран електронен подпис отговаря на тези условия и представлява приемлив доказателствен елемент. Свързаната следа от одита — проверена самоличност, датиране, IP адрес, явно съгласие — укрепва доказателствената сила на документа пред съда.

Как да се открие, че преводна поръчка е подделана след нейното подписване?

При електронен подпис, съответстваща на стандарт PAdES, всяка изменение на документа след подписване нарушава криптографския печат. Съвместим PDF четец (например Adobe Acrobat Reader) незабавно сигнализира невалидност на сертификата, ако съдържанието е променено, независимо дали е сумата, RIB номерът или всеки друг данни. Това автоматично откриване е именно това, което липсва на ръчно подписани и сканирани поръчки, където подделката на цифра или IBAN остава неоткрива на невъоръжено око.

Задължително ли е видео-идентификация за получаване на квалифициран електронен подпис за преводна поръчка?

Квалифициран електронен подпис (QES) изисква предварителна проверка на самоличността пред доверен квалифициран доставчик на услуги (QTSP), признат на европейско ниво. Тази проверка може да се извърши чрез физически лично срещане или чрез дистанционна видео-идентификация, според процедури, одобрени от компетентния органов за надзор, в САЩ ANSSI. Изборът между тези модалности зависи от избрания доставчик. След получаването на квалифицирания сертификат той може да бъде преизползван за подписване на няколко поръчки без нова проверка на самоличност, в рамките на периода на неговата валидност.

Заключение

Мандатите за преводи, подписани електронно, вече не са разкош, запазен за големи компании: те представляват днес минималния стандарт на сигурност и съответствие за всеки участник управляващ чувствителни финансови потоци. Чрез комбиниране на усъвършенстван или квалифициран електронен подпис, силна автентификация и убедительна хронометраж, вие неутрализирате основните вектори на измама, докато ускорявате своите цикли на одобрение и опростявате своите одити.

Европейската правна рамка — eIDAS, DSP2/DSP3, Гражданския кодекс — е сега зрялa и признато от банки, регистрирани одитори и съдилища. Остава само внедряването.

Certyneo ви придружава при защитаването на вашите мандати за преводи със платформа в съответствие с eIDAS, интегрираща се към вашите съществуващи инструменти и използваема без техническа подготовка. Открийте тарифите на Certyneo или преценете вашата възвръщаемост на инвестиция за стартиране на вашия проект днес.