Mandati za prijevoz novca: osigurajte ih elektroničkom potpisom

Zašto su mandati za prijevoz novca u kušnji prevarantima?

Mandati za prijevoz novca predstavljaju jednu od najiskorišćavanijih ranjivosti koju koriste kiberkriminalni. Prema godišnjem izvještaju 2025 Francuske banke o sigurnosti sredstava plaćanja, prijevara bankarskim nalogom predstavlja procijenjenu štetu od 1,2 milijarde eura za francuska poduzeća. Tehnika poznata kao "lažni nalog za prijevoz" (FOVI) ili lažnjak direktora posebno cilja lanac odobravanja dokumentacije: loše osiguran mandat, potpisane jednostavnom skenirajuće parafom ili poslane e-poštom bez potvrđivanja identiteta, postaje idealna vrata za ulazak.

Suočeni s ovom stvarnosti, elektronički potpis za poduzeća nameće se kao robustna tehnička i pravna rješenja. Ona se ne ograničava na prosto stavljanje slike potpisa na PDF: stvara jedinstvenu kriptografsku otisak, s vremenskom oznakom, povezanu s provjerenim identitetom potpisnika. U ovom vodiču analiziramo specifične izazove za mandate za prijevoz, nivoe potpisa koje trebate koristiti, ulogu bankarskog potvrđivanja identiteta i praktičnu primjenu u financijskim i računovodstvenim službama.

---

Različite vrste mandatana za prijevoz novca i njihovi odgovarajući rizici

Jednokratni mandati naspram trajnih mandatna

Jednokratni mandat za prijevoz dopušta samo jedan transfer prema definiranom primatelju, za određeni iznos i točan datum. Trajni mandat (poznat i kao ponavljajući nalog) dopušta ponovljene prijevoza prema dogovorenoj učestalosti. Rizik nije simetričan: trajni mandat koji nije opozvani ili čiji je primatelj lažnjački promijenjen može izazvati gubitke tijekom mjeseci prije nego što bude otkriven.

Mandati za naplate SEPA (SDD — SEPA Direct Debit) predstavljaju poseban slučaj: omogućuju vjerovniku da izravno naplati sa računa dužnika nakon potpisivanja mandatna koja je u skladu s pravilima SEPA Scheme. Pravilnik SEPA zahtijeva da se ovaj mandat arhivira tijekom cijele duljine poslovnog odnosa plus 14 mjeseci nakon zadnje naplate — snažno dokumentarno ograničenje koje zagovara osiguran digitalizaciju.

Vektori dokumentarne prijevare

Tri vektora koncentriraju većinu prijavljenih incidenata:

1. Falsifikacija nakon potpisivanja: promjena IBAN-a ili iznosa na ručno potpisanom dokumentu i prenesen e-poštom, bez kriptografskog pečata.
2. Krađu identiteta potpisnika: mandat poslan sa zauzetog e-poštnog računa, bez provjere identiteta u realnom vremenu.
3. Nedostatak revizijskog traga: nemogućnost dokazivanja tko je potpisao što i kada, u slučaju spora s bankom ili trećom stranom.

Pravna vrijednost elektroničkog potpisa nalazi se upravo u njezinoj sposobnosti da neutralizira ova tri vektora simultano.

---

Koji je nivo elektroničkog potpisa za mandat za prijevoz novca?

Pravilnik eIDAS (br. 910/2014) definira tri nivoa elektroničkog potpisa: jednostavan (SES), napredni (AdES) i kvalificirani (QES). Za mandate za prijevoz, izbor nivoa trebao bi biti proporcionalan iznosu, učestalosti i profilu rizika operacije.

Napredni elektronički potpis (AdES): operativni standard

Za većinu mandatna za prijevoz između poduzeća, napredni elektronički potpis predstavlja optimalnu ravnotežu između sigurnosti i mogućnosti primjene. Ispunjava sljedeće zahtjeve definirane u eIDAS-u:

• Jedinstveno povezan s potpisnikom
• Sposoban identificirati potpisnika
• Stvoren od podataka pod isključivom kontrolom potpisnika
• Povezan s potpisanim podacima na način da omogućava otkrivanje bilo koje naknadne izmjene

Praktično, to znači potvrđivanje s više čimbenika (OTP SMS, mobilna aplikacija TOTP ili certifikat supstancijalne razine), PDF pečat u skladu s normom PAdES (ETSI EN 319 132) i kvalificirani elektronički vremenske žig koji nepogrješivo fiksira datum i vrijeme potpisivanja.

Kvalificirani potpis (QES): za operacije s visokim ulozima

Prijevozni brojevi koji nadmašuju određene unutarnje pragove (često 50 000 € ili 100 000 € prema politikama kontrole velikih grupa) ili koji uključuju osjetljive protivne (外国 dobavljači u rizičnim zonama, novoregistrirani primatelji) zaslužuju kvalificirani potpis. Potonji zahtijeva provjeru identiteta licem u lice ili kroz video-identifikaciju s povjerenim pružateljem (QTSP) koji je kvalificiran i prizvan od ANSSI.

QES je jedini potpis koji ima vrijednost ekvivalentnu ručnom potpisu cijelom Europskom unijom, bez mogućnosti osporavanja samo na tom temelju. Za blagajnika ili DAF-a, to je nepogrješiva garancija suočena s upravnim vijećem ili vanjskim revizorima.

Jako bankarsko potvrđivanje kao dodatni sloj

Direktiva DSP2 (revidirana DSP3 2026) nameće jako potvrđivanje klijenta (SCA — Strong Customer Authentication) za validaciju prijevoza na bankarskoj strani. Ovo potvrđivanje počiva na najmanje dva čimbenika između: nešto što korisnik zna (lozinka), posjeduje (telefon) ili jest (biometrija).

Važno je razlikovati dva nivoa intervencije:

• Potpisivanje mandatna (pravni čin dokumentacije): pada pod eIDAS i pravo ugovora.
• Validacija naloga za plaćanje (bankarsko naputak): pada pod DSP2/DSP3 i bankovni ugovor.

Ova dva sloja su komplementarna, nisu zamjenjivi. Platforma kao što je Certyneo osigurava prvi; vaša banka osigurava drugi. Zajedno, oni stvaraju kompletan dokazni lanac, od odluke o izdavanju prijevoza do njegove provedbe.

---

Praktična primjena: integracija elektroničkog potpisa u krug validacije mandatana

Mapiranje postojećih dokumentarnih tokova

Prije bilo kojem pokretanju, trebali biste mapirati tokove: tko inicira mandat? Tko ga valida? Tko ga arhivira? U mnogim malim i srednje velikim poduzećima, ovaj krug još uvijek prolazi kroz skupljanje e-pošte, datoteka na dijeljenoj intranet mreži i verbalne validacije. Ova neizvjesnost je sama po sebi operativni rizik signaliziran u preporukama COSO (Committee of Sponsoring Organizations of the Treadway Commission) o unutarnjoj kontroli.

Usporedni pregled rješenja za elektronički potpis pomaći će vam identificirati platformu prilagođenu vašem opsegu i ograničenjima integracije (ERP, TMS, portalni za dobavljače).

Konfiguracija radnih toka odobravanja s više potpisnika

Pravilo četiri oka (dvostruka validacija) dobra je praksa unutarnje kontrole preporučena od AMF-a i međunarodnih revizora za mandate za prijevoz. Moderne platforme za potpisivanje omogućuju konfiguraciju:

• Niza potpisivanja (potpisnik A mora valida prije potpisnika B)
• Pragova delegacije (financijski direktor potpisuje sam do X €, ko-potpisivanje generalnog direktora iznad toga)
• Automatskih upozorenja i podsjećanja s vremenski označenim dnevnikom svakog čina
• Elektroničke punomoći za razdoblja odsutnosti, čija je upravljanja detaljno izložena u našem vodiču za punomoć i mandat

Arhiviranje i revizijski trag: zahtjevi za dokumentaciju

Svaki mandat za prijevoz potpisane elektronički trebao bi biti arhiviran s dokazom potpisa (lanci certifikata, revizijski izvještaj, SHA-256 heš dokumenta). Ovo arhiviranje mora biti probatorno: čitljivo, neintegrirano i dostupno tijekom cijele legalne duljine čuvanja (10 godina za računovodstvene dokumente prema članak L. 123-22 Trgovačkog zakonika).

Kompatibilna rješenja automatski generiraju datoteku dokaza (LTV — Long Term Validation) integriranu u potpisani PDF, što omogućava provjeru valjanosti potpisa čak i nakon isteka inicijalnog certifikata. To je zahtjev normi ETSI EN 319 132 (PAdES-LTV).

---

Mjerljive koristi za financijske odjele

Smanjenje rizika od prijevare i pridruženih troškova

Prema studiji Association of Certified Fraud Examiners (ACFE) iz 2024, organizacije koje raspolažu digitalnom kontrolom dokumenata evidentiraju u prosjeku 52 % manje gubitaka vezanih uz unutarnju i vanjsku prijevaru nego one koje se oslanjaju na papirne procese. Elektronički napredni potpis posebno briše mogućnost mijenjanja dokumenta nakon potpisivanja, eliminirajući de facto lažnjačku izmjenu nakon slanja.

Ubrzanje ciklusa odobravanja

Krug papirne validacije za mandat za prijevoz traje u prosjeku 3 do 7 poslovnih dana u poduzeću srednje veličine (prema anketi Kyriba/Ipsos 2025 o poslovnoj blizanstvu). Prelazak na digitalno skraćuje taj rok na nekoliko sati, čak i minuta za rutinsku operaciju s preupravljenim radnim tokom. Za blagajnika koji upravlja potrebama likvidnosti u realnom vremenu, ovaj dobitak je strateški.

Olakšana usklađenost i pojednostavljenje revizije

Tijekom porezne kontrole ili zakonske revizije, obnova unutarnje validacije na mandatima za prijevoz je vremenske mukotrpan zadatak. Sa sustavom elektroničkog potpisa, svaki mandat je popraćen nepogrešivim dnevnikom revizije: datumom, vremenom, IP adresom, identifikatorom potpisnika, rezultatom potvrđivanja. Ovaj nivo praćenja direktno odgovara očekivanjima međunarodnih revizora i DGFiP-u s obzirom na pouzdan revizijski trag (PAF).

Pravni okvir primjenjljiv na mandate za prijevoz potpisane elektronički

Общее право ugovora i dokazna snaga

U francuskom pravu, članak 1366 Građanskog zakonika postavlja opće načelo: "Elektronički zapis ima istu dokaznu snagu kao zapis na papirnom nosaču, pod uvjetom da se osoba iz koje potječe može dužno identificirati i da je uspostavljen i čuvan na način koji jamči njegovu čitavost." Članak 1367 pojašnjava da se elektronički potpis sastoji od korištenja pouzdane metode identifikacije koja jamči njegovu povezanost sa činom kojem je priložen.

Ova odredba je nadopunjena dekretom br. 2017-1416 od 28. rujna 2017. o elektroničkom potpisu koji pojašnjava da je pouzdanost metode elektroničkog potpisa navodna dok se ne dokaže suprotno kada primjenjuje kvalificirani elektronički potpis u smislu pravilnika eIDAS.

Pravilnik eIDAS br. 910/2014 i njegova revizija eIDAS 2.0

Pravilnik eIDAS br. 910/2014 predstavlja regulatornu osnovu. Uspostavlja jedinstveni okvir za međusobno priznavanje elektroničkih potpisa u 27 država članica. Članak 25(1) propisuje da se elektroničkom potpisu ne može odreći pravnog učinka samo zato što se prezentira u elektroničkom obliku. Članak 25(2) dodjeljuje kvalificiranom potpisu istu pravnu vrijednost kao ručnom potpisu. 2024. Pravilnik eIDAS 2.0 (pravilnik UE 2024/1183) ojačao je okvir predstavljanjem europskog digitalnoga identitetnog novčanika (EUDIW) i proširenjem popisa kvalificiranih pružatelja povjerenja.

Za mandate za naplate SEPA, EPC Scheme Rules (European Payments Council) zahtijevaju mandat potpisane od strane dužnika, čuvan od strane vjerovnika, u skladu sa standardima identifikacije. Napredni elektronički potpis izričito je priznat od strane EPC smjernica kao važeći način potpisivanja.

Direktiva DSP2 / DSP3 i jako potvrđivanje

Direktiva DSP2 (2015/2366/EU), transponirana u francusko pravo prema članku L. 133-44 Zakona o novcu i financijama, nalaže jako potvrđivanje (SCA) za validaciju prijevoza na mreži koji premašuje 30 €. Revizija u DSP3 (zakonodavni paket prihvaćen 2024, primjena počinje 2025-2026) ojačava zahtjeve sigurnosti i proširiuje odgovornost pružatelja usluga plaćanja u slučaju neotkriven prijevare.

GDPR i obrada podataka potvrđivanja

Obrada biometrijskih podataka i podataka potvrđivanja prikupljenih tijekom potpisivanja spada pod članak 9 GDPR-a br. 2016/679 (osjetljivi podaci) i zahtijeva izričitu pravnu osnovu. Kvalificirani pružatelji (QTSP) moraju imati dokumentirane analizu utjecaja (AIPD/DPIA). Podaci potpisivanja trebali bi biti minimizirani, šifrirani miruju i u prijenosu, te izbrisani u skladu s definirani periodima čuvanja.

Tehničke norme ETSI

Prizani formati potpisa u Europi definirani su normama ETSI EN 319 132 (PAdES za PDF), ETSI EN 319 122 (CAdES) i ETSI EN 319 162 (XAdES). Za mandate za prijevoz arhivirane dugo vremenske, format PAdES-LTV (Long Term Validation) preporučuje se jer uključuje informacije potrebne za budući provjero potpisivanja, nezavisne od duljine valjanosti certifikata.

Slučajevi korištenja: mandati za prijevoz osigurani elektroničkim potpisom

Slučaj 1 — Srednje velika industrijska poduzeća koja upravlja 400 mandatna za dobavljače po kvadratalu

Poduzeće srednje veličine proizvodnog sektora, s otprilike 350 zaposlenih i 120 aktivnih dobavljača, obrađivalo je mandate za prijevoz preko hibridnog procesa: inicijalizacija u ERP-u, ispis PDF-a, ručno potpisivanja financijskog direktora ili njegovog zamjenika, skeniranje i arhiviranje na dijeljenoj mreži.

Nakon pokušane prijevare lažnog prijevoza identificiranog na vrijeme (promjena IBAN-a na nešifriranom PDF datotečkom poslanome e-poštom), direkcija je pokrenula rješenje za napredni elektronički potpis integriran u ERP preko API. Primijećeni rezultati nakon 6 mjeseci:

• Prosječno vrijeme validacije: smanjeno s 4,2 dana na 6 sati
• Trošak obrade po mandatu: smanjen za 38% (eliminacija ispisa, skeniranja, unutarnje pošte)
• Kompletan revizijski trag: dostupan u realnom vremenu za međunarodnog revizora, bez ručne obnove
• Nula incidenata prijevare dokumentacije tijekom razdoblja praćenja

Slučaj 2 — Udruživanje lokalnih zajednica i njegovi mandati za subvencije

Međuopćinska udruživanja koja skupljaju desetak općina upravljala je mandatima za prijevoz subvencija namijenjenim lokalnim udruženjima, s godišnjim opsegom od otprilike 2 000 operacija. Potpisivanje odgovonos izabranih službenika provodilo se tijekom vijeća zajednice, s rokovima nametnutim rasporedom izabranih službenika i rizicima od gubitka dokumentacije.

Digitalizacija mandatana s naprednim elektroničkim potpisom, integrirana u javni računovodstveni softver, omogućila je:

• Potpisivanje na daljinu od strane izabranih službenika s njihova osigurana osobnog prostora, bez obavezne fizičke prisutnosti
• Usklađenost s Helios okvirom (kompatibilnost s protokolom razmjene država za zajednice)
• Smanjenje od 60% vremenske od plaćanja subvencija (s prosječnih 22 dana na 9 dana)
• Automatizirana arhiviranje u skladu s zahtjevima regionalnih računa

Slučaj 3 — Kabinetska upravljanja bogatstvom i mandati svojih klijentna

Neovisan kabinetska upravljanja bogatstvom (otprilike 25 suradnika, 800 aktivnih klijentna) trebalo je prikupiti potpisane mandate za prijevoz od svojih klijentana za izvršavanje arbitraža na računima vrijednosnih papira i ugovora životnog osiguranja. Poštanski proces trajao je u prosjeku 8 dana, s stopom nepotpunog povratka od 15% (nedostaje potpis, datum izostaje, itd.).

Nakon pokretanja rješenja za elektronički potpis s ojačanim identifikacijskim putem (provjera identification + OTP), pokazatelji su se temeljito promijenili:

• Vrijeme prikupljanja potpisanog mandatna: smanjeno na manje od 2 sata u prosjeku
• Stopa nepotpunih mandatana: pala na manje od 1% zahvaljujući automatskim kontrolama completnosti prije potpisivanja
• Zadovoljstvo klijentna mjereno NPS: dobitak od +18 bodova na kriteriju "jednostavnost administrativnih procedura"
• Ojačana usklađenost s AMF zahtjevima na vidljivosti uputa klijentana (članak 16 MiFID II)

Zaključak

Mandati za prijevoz potpisani elektronički nisu više luksuz rezerviran za velika poduzeća: danas predstavljaju minimalni standard sigurnosti i usklađenosti za bilo koji akter upravljanja osjetljivim financijskim tokovima. Kombiniranjem naprednog ili kvalificiranog elektroničkog potpisa, jakog potvrđivanja i vremenske oznake, neutraliziramo glavne vektore prijevare dok ubrzavamo cikluse odobravanja i pojednostavljujemo naše revizije.

Europski pravni okvir — eIDAS, DSP2/DSP3, Građanski zakonik — je sada sazrio i priznan od strane banaka, međunarodnih revizora i sudova. Preostaje samo primjena.

Certyneo vas prati u osiguranju vaših mandatana za prijevoz s platformom sukladnom eIDAS-u, integrabilnom s vašim postojećim alatima i upotrebljivom bez tehničke obuke. Saznajte Certyneo cijene ili procijenite vašu povrat ulaganja da pokrenete projekt odmah.