Мандати за преводи: защитете ги с електронен подпис

Защо мандатите за преводи са в поглеждането на измамниците?

Мандатите за преводи представляват един от най-експлоатираните пункта на уязвимост от страна на киберпрестъпници. Според годишния доклад за 2025 г. на Банката на Франция за сигурността на платежните средства, измамата при банковите преводи представлява щета, преценена на 1,2 милиарда евро за французите предприятия. Техниката, известна като „фалшив ред за превод" (FOVI) или измама на президента, насочва точно документарния верижен одобрения: лошо защитен мандат, подписан с прост скенер на парафа или изпратен по имейл без автентификация, става идеален вход.

Пред това реално положение електронният подпис за предприятията се налага като надежна техническа и правна отговор. Той не се ограничава до поставяне на изображение на подпис върху PDF: той създава уникален криптографски отпечатък, отметнат с час, свързан с потвърденото удостоверение на подписалия. В този водач анализираме проблемите, специфични за мандатите за преводи, нивата на подпис за мобилизиране, ролята на банковата автентификация и оперативното внедряване в финансовите и счетоводните услуги.

---

Различните видове мандати за преводи и техните съответни рискове

Еднократни мандати срещу постоянни мандати

Еднократен манд за превод разрешава един единствен трансфер към определен получател за определена сума и дата. Постоянен мандат (известен също като повтарящ се ред) разрешава повтарящи се преводи по договорена честота. Рискът не е симетричен: неотменен постоянен мандат или такъв, чийто получател е модифициран измамно, може да причини загуби в течение на месеци преди да бъде открит.

Мандатите за преводи SEPA (SDD — SEPA Direct Debit) представляват специален случай: те позволяват на кредитор да прави преводи директно от сметката на длъжника след подписване на мандат в съответствие с правилата на SEPA Scheme. Разпоредбата SEPA изисква този мандат да бъде архивиран през цялата продължителност на търговската връзка плюс 14 месеца след последния превод — силно документарно ограничение, което застъпва за защитена дематериализация.

Вектори на документарна измама

Три вектора концентрират същественото на декларираните инциденти:

1. Фалшиване след подписване: модификация на RIB или суму на документ, подписан вручно и предаден по имейл, без криптографско запечатване.
2. Узурпация на удостоверението на подписалия: мандат, изпратен от скомпрометиран имейл адрес, без проверка на удостоверението в реално време.
3. Отсъствие на пътека на одит: невъзможност да се докаже кой е подписал какво и кога, в случай на спор с банката или трета страна.

Правната стойност на електронния подпис се крие точно в неговата способност да неутрализира тези три вектора едновременно.

---

Кое ниво на електронен подпис за мандат за превод?

Разпоредбата eIDAS (№ 910/2014) определя три нива на електронен подпис: прост (SES), усъвършенстван (AdES) и квалифициран (QES). За мандатите за преводи, избора на ниво трябва да бъде пропорционален на сумата, честотата и профила на риск на операцията.

Усъвършенстван електронен подпис (AdES): оперативния стандарт

За мнозинството на мандатите за преводи от предприятие към предприятие, усъвършенстваният електронен подпис представлява оптималния баланс между сигурност и приложимост. Той отговаря на следните изисквания, определени от eIDAS:

• Свързан едновременно и неразривно с подписалия
• Способен да идентифицира подписалия
• Създадени от данни под единственото управление на подписалия
• Свързани с подписаните данни по начин, способен да открие всяка последваща модификация

На практика, това се превежда в многофакторна автентификация (OTP SMS, мобилно приложение TOTP или сертификат с високо ниво), PDF запечатване в съответствие с стандарта PAdES (ETSI EN 319 132), и квалифициран електронен хронометраж който фиксира датата и часа на подписване по необорим начин.

Квалифициран подпис (QES): за операции с висок риск

Преводи надвишаващи определени вътрешни прагове (често 50 000 € или 100 000 € според политиките на вътрешен контрол на големите групи) или включващи чувствителни контрапарти (иностранни доставчици в зони с риск, новорегистрирани получатели) заслужават квалифициран подпис. Последният изисква проверка на удостоверението лице в лице или чрез видео-идентификация при доставчик на доверие квалифициран (QTSP), признат от ANSSI.

QES е единственият подпис със стойност, еквивалентна на ръчния подпис в целия Европейски съюз, без възможност да бъде оспорван само на това основание. За съкровищник или главен финансов директор, това е необоримо гарантия срещу административния съвет или външен одитор.

Силната банкова автентификация като допълнителен слой

Директивата DSP2 (преработена в DSP3 през 2026 г.) налага силна автентификация на клиента (SCA — Strong Customer Authentication) за валидиране на преводи на страната на банката. Тази автентификация се основава на най-малко два фактора от: нещо, което потребителят знае (пароля), притежава (телефон) или е (биометрия).

Важно е да се разграничат два нива на интервенция:

• Подписване на мандата (юридически документарен акт): попада под eIDAS и договорното право.
• Валидиране на ордера за плащане (банкова инструкция): попада под DSP2/DSP3 и банковия договор.

Тези два слоя са допълващи се, не взаимозаменяеми. Платформа като Certyneo защитава първия; вашата банка защитава втория. Заедно, те образуват пълна верига от доказателства, от решението да се издаде преводът до неговото изпълнение.

---

Оперативно внедряване: интегриране на електронен подпис в верижната схема на мандатна валидиране

Картографиране на съществуващите документарни потоци

Преди всяко развертване трябва да се картографират потоците: кой инициира мандата? Кой го валидира? Кой го архивира? В много малки и средни предприятия, този верига все още преминава през събирането на имейли, файлове споделени на вътрешната мрежа и устни валидации. Тази непрозрачност е сама по себе си оперативен риск, отбелязан в препоръките на COSO (Committee of Sponsoring Organizations of the Treadway Commission) върху вътрешния контрол.

Сравнителен преглед на решенията за електронен подпис ще ви помогне да идентифицирате платформата, адаптирана към вашия том и ограничения на интеграция (ERP, TMS, портал на доставчици).

Конфигуриране на работни потоци на одобрение с множество подписватели

Правилото на четирите очи (двойна валидация) е добра практика на вътрешния контрол, препоръчана от AMF и регистрирани одитори за мандати за преводи. Съвременните платформи за подпис позволяват да се конфигурират:

• Последователности на подпис (подписватель А трябва да валидира преди подписватель Б)
• Прагове на делегиране (директорът на финанси подписва самостойно до X €, съподписване на генералния директор над това)
• Автоматични предупреждения и напомняния с хронометраж на всяко действие
• Електронни пълномощия за периоди на отсъствие, чието управление е детайлно описано в нашия водач върху пълномощието и мандата

Архивиране и пътека на одит: документарни изисквания

Всеки манд за превод, подписан електронно, трябва да бъде архивиран със своя доказателство на подпис (верига на сертификати, доклад на одит, SHA-256 хеш на документа). Това архивиране трябва да бъде убедително: четливо, интегрално и достъпно през цялата правна продължителност на съхранението (10 години за счетоводни документи според член L. 123-22 на Търговския кодекс).

Съответстващите решения автоматично генерират файл на доказателство (LTV — Long Term Validation) интегриран в подписания PDF, който позволява да се проверява валидността на подписа дори след изтичане на първоначалния сертификат. Това е изисквание на стандартите ETSI EN 319 132 (PAdES-LTV).

---

Измеримите ползи за финансовите дирекции

Намаляване на риска от измама и свързани разходи

Според изследване на Association of Certified Fraud Examiners (ACFE) от 2024 г., организациите, разполагащи с цифрови документарни контрол, записват средно 52% по-малки загуби свързани с вътрешна и външни измама от тези, разчитащи на хартиени процеси. Електронният подпис е усъвършенстван по-специално елиминира възможността да се модифицира документ след подписване, отстранявайки де факто фалшуването след изпращане.

Ускорение на цикъла на одобрение

Верижна схема на валидиране на хартия за мандат за превод продължава средно 3 до 7 работни дни в междинна компания (според проучване Kyriba/Ipsos 2025 върху корпоративния склад). Преходът към цифров свеж този период до няколко часа, дори минути за рутинни операции с предварително параметризирана работна верига. За съкровищник управляващ нужди на ликвидност в реално време, този печалба е стратегическа.

Облегчена съответствие и опростена одит

По време на данъчна проверка или законна одит, възстановяването на вътрешните валидации при мандати за преводи е отнемаща време задача. При система на електронен подпис, всеки мандат е придружен от неизменяема пътека на одит: дата, час, IP адрес, идентификатор на подписалия, резултат на автентификацията. Това ниво на проследяваност отговаря пряко на очакванията на регистрирани одитори и DGFiP относно надежднаст пътека на одит (PAF).

Приложимо правна рамка за мандати за преводи, подписани електронно

Общо право на договори и доказателствена сила

По френското право, член 1366 на Гражданския кодекс поставя общия принцип: „Електронният документ има същата доказателствена сила като документа на хартиена основа, при условие че лицето, от което произхожда, може да бъде надлежно идентифицирано и че той е установен и съхраняван при условия, което гарантира неговата интегралност." Член 1367 уточнява, че електронният подпис се състои в употребата на надежден процес на идентификация, гарантирал неговата връзка със записа, към който се прикачва.

Тези разпоредби се допълват от декрета № 2017-1416 от 28 септември 2017 относно електронния подпис, който уточнява, че надеждността на процес на електронен подпис се предполага до доказателство противен, когато той внедрява квалифициран електронен подпис в смисъла на разпоредбата eIDAS.

Разпоредба eIDAS № 910/2014 и нейната преработка eIDAS 2.0

Разпоредбата eIDAS № 910/2014 представлява европейската нормативна основа. Тя установява единна рамка за взаимното признаване на електронни подписи в 27-те държави членки. Член 25(1) разпорежда, че електронен подпис не може да бъде отказана правна сила единствено на основата, че е под електронна форма. Член 25(2) дава на квалифицирания подпис същата правна стойност като ръчния подпис. През 2024 г. разпоредбата eIDAS 2.0 (разпоредба ЕС 2024/1183) укрепи рамката чрез въвеждане на европейския портфейл на цифрова самоличност (EUDIW) и чрез разширяване на списъка на квалифицираните доставчици на доверие.

За мандатите за преводи SEPA, Scheme Rules EPC (European Payments Council) изискват мандат, подписан от длъжника, съхранен от кредитора, в съответствие със стандартите на идентификация. Електронният подпис е усъвършенстван, ясно признат от насоките на EPC като валиден режим на подпис.

Директива DSP2 / DSP3 и силна автентификация

Директивата DSP2 (2015/2366/ЕУ), транспонирана във френското право в член L. 133-44 на Паричния и финансов кодекс, налага силна автентификация (SCA) за валидиране на онлайн преводи надвишаващи 30 €. Преработката в DSP3 (законодателен пакет приет през 2024 г., постепенно прилагане 2025-2026) укрепва изискванията на сигурност и разширява отговорността на доставчиците на услуги за плащане в случай на необнаружена измама.

GDPR и обработка на данни за автентификация

Обработката на биометрични данни и данни за автентификация събрани при подписване попада под член 9 на GDPR № 2016/679 (чувствителни данни) и изисква ясна правна основа. Квалифицираните доставчици (QTSP) трябва да разполагат с документирана анализ на въздействието (AIPD/DPIA). Данните на подпис трябва да бъдат минимизирани, шифрирани в спокойствие и при предаване, и изтрити в съответствие с определени периоди на съхранение.

Технически норми ETSI

Форматите на подпис признати в Европа са определени от норми ETSI EN 319 132 (PAdES за PDF), ETSI EN 319 122 (CAdES) и ETSI EN 319 162 (XAdES). За мандати за преводи архивирани за дълъг период, форматът PAdES-LTV (Long Term Validation) е препоръчан, тъй като той интегрира информацията за валидиране необходима за проверка на подписа в бъдещност, независимо от продължителността на живота на сертификата.

Сценарии на употреба: мандати за преводи защитени чрез електронен подпис

Сценарий 1 — Промишлена ETI управляваща 400 мандата за доставчици тримесечно

Междинна компания на промишленото производство, с приблизително 350 служители и активна база от 120 доставчици, обработва своите мандати за преводи чрез хибриден процес: инициация в ERP, печатане на PDF, ръчен подпис на директора на финанси или неговия помощник, сканиране и архивиране на споделен сървър.

След опит за фалшива измама при превод, идентифициран своевременно (модификация на RIB на PDF файл, незапечатан и предаден по имейл), управлението развертя решение за усъвършенстван електронен подпис интегриран към ERP чрез API. Наблюдавани резултати след 6 месеца:

• Средна времетраене на валидиране: преминала от 4,2 дни на 6 часа
• Цена на обработка по мандат: намалена с 38% (отстранение на печатане, сканиране, вътрешна кореспонденция)
• Пълна пътека на одит: налична в реално време за регистрирания одитор, без ръчна възстановяване
• Нулеви инциденти на документарна измама на периода на проследяване

Сценарий 2 — Групиране на местни общини и мандатите за субсидия

Групиране на междуобщинско управление, групирало около дем communes управлявайки мандати за преводи на субсидии за местни асоциации за годишен том от около 2000 операции. Подписването на отговорни избрани лица произведе при съветските събрания, със закъсненията наложени от графиците на избрани лица и рискове от загуба на документи.

Дематериализация на мандатите със усъвършенстван електронен подпис, интегриран към софтуера за управление на публична счетоводност, позволи:

• Подписване на разстояние от избраните лица от своя защитен личен простор, без задължително физическо присъствие
• Съответствие на рамката Hélios (съвместимост с протокола на обмен на държаватa за местни общини)
• Намаляне на 60% на периода на издаване на субсидии (от 22 дни средно на 9 дни)
• Автоматизирано архивиране в съответствие със изисквания на регионални камери на отчети

Сценарий 3 — Кабинет за управление на активи и мандатите на своите клиенти

Независимо управление на активи кабинет (около 25 служители, 800 активни клиенти) трябвало да събира подписани мандати за преводи от своите клиенти за изпълнение на арбитражи на сметки-титули и договори за застраховане на живот. Пощенския процес продължи средно 8 дни, със степен на повърнат неполн от 15% (липсващ подпис, липсваща дата и т.н.).

След развертване на решение за електронен подпис с укрепен идентификационен курс (проверка на самоличност + OTP), показателите се трансформираха:

• Период на събиране на подписан мандат: свален до по-малко от 2 часа средно
• Степен на непълни мандати: паднала под 1% благодарение на автоматични проверки на пълнота преди подписване
• Задоволство на клиент, измерено с NPS: печалба на +18 пункта по критерия „простота на административни процедури"
• Укрепена съответствие към изисквания на AMF върху проследяваност на инструкции на клиент (член 16 MiFID II)

Заключение

Мандатите за преводи, подписани електронно, вече не са разкош, запазен за големи компании: те представляват днес минималния стандарт на сигурност и съответствие за всеки участник управляващ чувствителни финансови потоци. Чрез комбиниране на усъвършенстван или квалифициран електронен подпис, силна автентификация и убедительна хронометраж, вие неутрализирате основните вектори на измама, докато ускорявате своите цикли на одобрение и опростявате своите одити.

Европейската правна рамка — eIDAS, DSP2/DSP3, Гражданския кодекс — е сега зрялa и признато от банки, регистрирани одитори и съдилища. Остава само внедряването.

Certyneo ви придружава при защитаването на вашите мандати за преводи със платформа в съответствие с eIDAS, интегрираща се към вашите съществуващи инструменти и използваема без техническа подготовка. Открийте тарифите на Certyneo или преценете вашата възвръщаемост на инвестиция за стартиране на вашия проект днес.