Polecenia przelewu: Zabezpiecz je za pomocą podpisu elektronicznego

Dlaczego polecenia przelewu są na celowniku oszustów?

Polecenia przelewu stanowią jeden z najbardziej wykorzystywanych punktów podatności dla cyberprzestępców. Według rocznego raportu z 2025 roku Banku Francji na temat bezpieczeństwa środków płatniczych, oszustwa dotyczące transferów bankowych stanowią stratę szacowaną na 1,2 miliarda euro dla przedsiębiorstw francuskich. Technika zwana „fałszywym poleceniem przelewu" (FOVI) lub oszustwem prezesa precyzyjnie mierzy łańcuch zatwierdzania dokumentów: źle zabezpieczone polecenie, podpisane prostym skanem parafki lub wysłane e-mailem bez uwierzytelniania, staje się idealną bramą wejściową.

W obliczu tej rzeczywistości podpis elektroniczny dla przedsiębiorstw nasuwa się jako niezawodna odpowiedź techniczna i prawna. Nie ogranicza się do nałożenia obrazu podpisu na plik PDF: tworzy unikalny ślad kryptograficzny, z czasem wykonania, powiązany ze zweryfikowaną tożsamością osoby podpisującej. W tym przewodniku analizujemy problemy specyficzne dla poleceń przelewu, poziomy podpisu do zastosowania, rolę uwierzytelniania bankowego i praktyczną implementację w usługach finansowych i księgowych.

---

Różne rodzaje poleceń przelewu i związane z nimi zagrożenia

Polecenia jednorazowe a polecenia stałe

Polecenie przelewu jednorazowe autoryzuje jeden transfer do określonego odbiorcy, na określoną kwotę i datę. Polecenie stałe (zwane również zleceniem powtarzającym się) autoryzuje powtarzające się transfery zgodnie z ustaloną częstotliwością. Zagrożenie nie jest symetryczne: nieodwołane polecenie stałe, lub polecenie, którego odbiorca został oszukańsko zmieniony, może spowodować straty przez miesiące przed wykryciem.

Polecenia pobrań SEPA (SDD — SEPA Direct Debit) stanowią szczególny przypadek: umożliwiają wierzycielowi pobranie bezpośrednio z konta dłużnika po podpisaniu polecenia zgodnego z zasadami SEPA Scheme. Przepisy SEPA wymagają archiwizowania tego polecenia przez całą czas trwania relacji handlowej powiększony o 14 miesięcy po ostatnim pobraniu — silny wymóg dokumentacyjny, który uzasadnia bezpieczną dematerializację.

Wektory oszustwa dokumentacyjnego

Trzy wektory koncentrują większość zgłoszonych incydentów:

1. Fałszowanie po podpisaniu: modyfikacja numeru RIB lub kwoty na dokumencie podpisanym ręcznie i przesłanym e-mailem, bez pieczęci kryptograficznej.
2. Uzurpacja tożsamości osoby podpisującej: polecenie wysłane z zagrożonego adresu e-mail, bez weryfikacji tożsamości w czasie rzeczywistym.
3. Brak ścieżki kontroli: niemożliwość wykazania, kto coś podpisał i kiedy, w przypadku sporu z bankiem lub stroną trzecią.

Wartość prawna podpisu elektronicznego leży właśnie w jego zdolności do jednoczesnego zneutralizowania tych trzech wektorów.

---

Jaki poziom podpisu elektronicznego dla polecenia przelewu?

Rozporządzenie eIDAS (nr 910/2014) definiuje trzy poziomy podpisu elektronicznego: prosty (SES), zaawansowany (AdES) i kwalifikowany (QES). W przypadku poleceń przelewu, wybór poziomu powinien być proporcjonalny do kwoty, częstotliwości i profilu ryzyka operacji.

Zaawansowany podpis elektroniczny (AdES): standard operacyjny

W przypadku większości poleceń przelewu między przedsiębiorstwami zaawansowany podpis elektroniczny stanowi optymalną równowagę między bezpieczeństwem a praktycznością. Spełnia następujące wymogi określone przez eIDAS:

• Jednoznacznie powiązany z osobą podpisującą
• Zdolny do identyfikacji osoby podpisującej
• Utworzony z danych pod wyłączną kontrolą osoby podpisującej
• Powiązany z podpisywanymi danymi w taki sposób, aby wykryć wszelkie późniejsze modyfikacje

W praktyce przekłada się to na uwierzytelnianie wieloczynnikowe (OTP SMS, aplikacja mobilna TOTP lub certyfikat na poziomie znacznym), pieczęć PDF zgodną ze standardem PAdES (ETSI EN 319 132) i kwalifikowane znaczniki czasu elektronicznego, które w niepalnym sposób ustalają datę i czas podpisu.

Podpis kwalifikowany (QES): dla operacji wysokiego ryzyka

Transfery przekraczające określone wewnętrzne progi (często 50 000 € lub 100 000 € w zależności od polityk kontroli wewnętrznej dużych grup) lub obejmujące wrażliwe kontrahenty (dostawcy zagraniczni ze stref wysokiego ryzyka, nowo zarejestrowani odbiorcy) zasługują na podpis kwalifikowany. Ten ostatni wymaga weryfikacji tożsamości twarzą w twarz lub przez identyfikację wideo u kwalifikowanego dostawcy usług zaufania (QTSP) uznanego przez ANSSI.

QES to jedyny podpis mający wartość równoważną podpisowi ręczu w całej Unii Europejskiej, bez możliwości kwestionowania go na tej podstawie. Dla skarbnika lub dyrektora finansowego to niezbita gwarancja wobec rady dyrektorów lub audytora zewnętrznego.

Silne uwierzytelnianie bankowe jako warstwa uzupełniająca

Dyrektywa DSP2 (zmieniona w DSP3 w 2026 roku) nakłada silne uwierzytelnianie klientów (SCA — Strong Customer Authentication) do walidacji transferów po stronie banku. To uwierzytelnianie opiera się na co najmniej dwóch czynnikach: coś, co użytkownik zna (hasło), posiada (telefon) lub jest (biometria).

Ważne jest rozróżnienie między dwoma poziomami interwencji:

• Podpis polecenia (czynność prawna dokumentacyjna): podlega eIDAS i prawu umów.
• Walidacja polecenia płatności (instrukcja bankowa): podlega DSP2/DSP3 i umowie bankowej.

Te dwie warstwy są uzupełniające, nie zastępujące się nawzajem. Platforma taka jak Certyneo zabezpiecza pierwszą; Twój bank zabezpiecza drugą. Razem tworzą kompletny łańcuch dowodowy, od decyzji wydania przelewu do jego wykonania.

---

Praktyczna implementacja: Integracja podpisu elektronicznego w obwodzie walidacji poleceń

Mapowanie istniejących przepływów dokumentów

Przed każdym wdrożeniem należy zmapować przepływy: kto inicjuje polecenie? Kto je zatwierdza? Kto je archiwizuje? W wielu małych i średnich przedsiębiorstwach obwód ten przebiega przez zestawienie e-maili, plików współdzielonych w sieci wewnętrznej i weryfikacji słownych. Ta nieprzejrzystość sama w sobie stanowi ryzyko operacyjne sygnalizowane w rekomendacjach COSO (Committee of Sponsoring Organizations of the Treadway Commission) dotyczących kontroli wewnętrznej.

Porównanie rozwiązań do podpisu elektronicznego pomoże Ci zidentyfikować platformę dostosowaną do Twojego wolumenu i ograniczeń integracyjnych (ERP, TMS, portal dostawców).

Konfiguracja wielopoziomowych przepływów zatwierdzania

Zasada czterech oczu (podwójna walidacja) jest dobrą praktyką kontroli wewnętrznej zalecaną przez AMF i biegłych rewidentów dla poleceń przelewu. Nowoczesne platformy podpisów umożliwiają konfigurowanie:

• Sekwencji podpisów (sygnatariusz A musi zatwierdzić przed sygnatariuszem B)
• Progów delegacji (dyrektor finansowy podpisuje sam do X €, współpodpis dyrektora generalnego powyżej)
• Automatycznych alertów i przypomnień z rejestrowaniem każdej czynności ze znacznikiem czasu
• Pełnomocnictw elektronicznych na okresy nieobecności, których zarządzanie opisane jest w naszym przewodniku dotyczącym pełnomocnictwa i mandatu

Archiwizacja i ścieżka kontroli: wymagania dokumentacyjne

Każde polecenie przelewu podpisane elektronicznie musi być archiwizowane z dowodem podpisu (łańcuch certyfikatów, raport kontroli, hash SHA-256 dokumentu). Ta archiwizacja musi być rozstrzygająca: czytelna, integralności i dostępna przez całą wymaganą ustawowo czas przechowywania (10 lat dla dokumentów księgowych zgodnie z artykułem L. 123-22 Kodeksu handlowego).

Rozwiązania zgodne automatycznie generują plik dowodu (LTV — Long Term Validation) zintegrowany z podpisanym plikiem PDF, który umożliwia weryfikację ważności podpisu nawet po wygaśnięciu certyfikatu początkowego. To wymóg norm ETSI EN 319 132 (PAdES-LTV).

---

Wymierne korzyści dla kierownictwa finansowego

Zmniejszenie ryzyka oszustwa i związanych z nim kosztów

Według badania Association of Certified Fraud Examiners (ACFE) z 2024 roku, organizacje dysponujące cyfrowymi kontrolami dokumentacyjnymi rejestrują średnio 52% mniej strat związanych z oszustwami wewnętrznymi i zewnętrznymi niż te polegające na procesach papierowych. Zaawansowany podpis elektroniczny szczególnie eliminuje możliwość zmiany dokumentu po podpisaniu, co de facto eliminuje fałszowanie po wysłaniu.

Przyspieszenie cykli zatwierdzania

Obwód weryfikacji papierowej dla polecenia przelewu trwa średnio 3 do 7 dni roboczych w przedsiębiorstwie średniej wielkości (zgodnie z badaniem Kyriba/Ipsos z 2025 roku dotyczącym finansów przedsiębiorstw). Przejście na cyfrową zmniejsza ten termin do kilku godzin, a nawet minut dla rutynowych operacji z wstępnie skonfigurowanym przepływem. Dla skarbnika zarządzającego potrzebami płynności w czasie rzeczywistym ten zysk jest strategiczny.

Ułatwiona zgodność i uproszczony audyt

Podczas kontroli podatkowej lub audytu ustawowego, rekonstrukcja zatwierdzań wewnętrznych poleceń przelewu to czasochłonne zadanie. W systemie podpisu elektronicznego każde polecenie towarzyszy niezmiennym dziennik audytu: data, godzina, adres IP, identyfikator osoby podpisującej, wynik uwierzytelniania. Ten poziom śledowalności bezpośrednio odpowiada oczekiwaniom biegłych rewidentów i DGFiP w zakresie wiarygodnej ścieżki kontroli (PAF).

Ramy prawne mające zastosowanie do poleceń przelewu podpisanych elektronicznie

Prawo umów i siła dowodowa

W prawie francuskim artykuł 1366 Kodeksu cywilnego ustanawia ogólną zasadę: „Dokument elektroniczny ma taką samą wartość dowodową jak dokument na papierze, pod warunkiem, że można odpowiednio zidentyfikować osobę, od której pochodzi, oraz że został sporządzony i przechowywany w warunkach gwarantujących jego integralność." Artykuł 1367 precyzuje, że podpis elektroniczny polega na użyciu niezawodnej procedury identyfikacji gwarantującej jego powiązanie z aktem, do którego się odnosi.

Te przepisy uzupełnia dekret nr 2017-1416 z dnia 28 września 2017 r. dotyczący podpisu elektronicznego, który precyzuje, że niezawodność procedury podpisu elektronicznego jest domniemana aż do dowodu przeciwnego, gdy wdraża kwalifikowany podpis elektroniczny w rozumieniu rozporządzenia eIDAS.

Rozporządzenie eIDAS nr 910/2014 i jego zmiana eIDAS 2.0

Rozporządzenie eIDAS nr 910/2014 stanowi europejskie podstawy regulacyjne. Ustanawia ujednolicone ramy dla wzajemnego uznawania podpisów elektronicznych w 27 państwach członkowskich. Artykuł 25(1) stanowi, że podpisowi elektronicznemu nie można odmówić skuteczności prawnej wyłącznie z powodu jego postaci elektronicznej. Artykuł 25(2) przyznaje podpisowi kwalifikowanemu taką samą wartość prawną jak podpisowi ręcznego. W 2024 roku rozporządzenie eIDAS 2.0 (rozporządzenie UE 2024/1183) wzmocniło ramy wprowadzając europejski portfel tożsamości cyfrowej (EUDIW) i poszerzając listę kwalifikowanych dostawców usług zaufania.

W przypadku poleceń pobrań SEPA Scheme Rules EPC (European Payments Council) wymagają podpisu polecenia przez dłużnika, przechowywania go przez wierzyciela, zgodnie ze standardami identyfikacji. Zaawansowany podpis elektroniczny jest wyraźnie uznawany przez wytyczne EPC za ważny sposób podpisania.

Dyrektywa DSP2 / DSP3 i silne uwierzytelnianie

Dyrektywa DSP2 (2015/2366/UE), wdrożona w prawie francuskim w artykule L. 133-44 Kodeksu pieniężnego i finansowego, nakłada silne uwierzytelnianie (SCA) do walidacji przelewów internetowych przekraczających 30 €. Zmiana w DSP3 (pakiet legislacyjny przyjęty w 2024 roku, wdrożenie postępowe 2025-2026) wzmacnia wymogi bezpieczeństwa i rozszerza odpowiedzialność dostawców usług płatniczych w przypadku niewykrytego oszustwa.

RODO i przetwarzanie danych uwierzytelniania

Przetwarzanie danych biometrycznych i danych uwierzytelniania zebranych podczas podpisu podlega artykułowi 9 RODO nr 2016/679 (dane wrażliwe) i wymaga wyraźnej podstawy prawnej. Dostawcy kwalifikowani (QTSP) muszą mieć udokumentowaną ocenę wpływu (AIPD/DPIA). Dane podpisu muszą być zminimalizowane, zaszyfrowane w spoczynku i w drodze, oraz usunięte zgodnie z określonymi czasami przechowywania.

Normy techniczne ETSI

Formaty podpisów uznane w Europie są definiowane przez normy ETSI EN 319 132 (PAdES dla PDF), ETSI EN 319 122 (CAdES) i ETSI EN 319 162 (XAdES). W przypadku poleceń przelewu archiwizowanych na długi termin, format PAdES-LTV (Long Term Validation) jest zalecany, ponieważ zawiera informacje weryfikacyjne niezbędne do przyszłej weryfikacji podpisu, niezależnie od czasu życia certyfikatu.

Scenariusze użytkowania: polecenia przelewu zabezpieczone podpisem elektronicznym

Scenariusz 1 — Średnie przedsiębiorstwo przemysłowe zarządzające 400 poleceniami dostawców na kwartał

Przedsiębiorstwo średniej wielkości z sektora produkcyjnego, około 350 pracowników i pula 120 aktywnych dostawców, przetwarzało swoje polecenia przelewu poprzez hybrydowy proces: inicjacja w ERP, druk PDF, podpis ręczny dyrektora finansowego lub jego asystenta, skan i archiwizacja na serwerze współdzielonym.

Po próbie oszustwa w przelew zidentyfikowanej na czas (modyfikacja numeru RIB na niezapieczętowanym pliku PDF przesłanym e-mailem), kierownictwo wdrożyło rozwiązanie zaawansowanego podpisu elektronicznego zintegrowane z ERP przez API. Obserwowane wyniki po 6 miesiącach:

• Średni czas walidacji: zmieniony z 4,2 dni na 6 godzin
• Koszt przetworzenia na polecenie: zmniejszony o 38% (eliminacja wydruków, skanów, pism wewnętrznych)
• Kompletna ścieżka kontroli: dostępna w czasie rzeczywistym dla biegłego rewidenta, bez ręcznej rekonstrukcji
• Zero incydentów oszustwa dokumentacyjnego w okresie obserwacji

Scenariusz 2 — Grupowanie samorządów lokalnych i jego polecenia subsydiów

Grupowanie międzygminne obejmujące około dziesięciu gmin zarządzało poleceniami przelewu subsydiów dla organizacji lokalnych, dla wolumenu rocznego około 2 000 operacji. Podpis odpowiedzialnych radnych odbywał się na sesjach rad gminnych, z terminami narzuconymi harmonogramami radnych i zagrożeniami utraty dokumentów.

Dematerializacja poleceń z zaawansowanym podpisem elektronicznym, zintegrowana z oprogramowaniem zarządzania rachunkowością publiczną, umożliwiła:

• Podpis na odległość radnych z ich bezpiecznej strefy osobistej, bez wymaganej fizycznej obecności
• Zgodność z ramą Hélios (zgodność z protokołem wymiany dla samorządów)
• Zmniejszenie o 60% czasu na wypłatę subsydiów (ze średnio 22 dni do 9 dni)
• Automatyczna archiwizacja zgodna z wymaganiami regionalnych izb obrachunkowych

Scenariusz 3 — Kancelaria zarządzająca majątkiem i polecenia swoich klientów

Niezależna kancelaria zarządzająca majątkiem (około 25 pracowników, 800 aktywnych klientów) musiała pozyskać podpisane polecenia przelewu od swoich klientów do wykonywania arbitraży na rachunkach papierów wartościowych i umowach ubezpieczenia na życie. Proces pocztowy trwał średnio 8 dni, ze wskaźnikiem niekompletnych powrotów 15% (brakujący podpis, brak daty itp.).

Po wdrożeniu rozwiązania podpisu elektronicznego ze ścieżką identyfikacji wzmocnionej (weryfikacja dokumentu tożsamości + OTP), wskaźniki się transformowały:

• Termin pozyskania podpisanego polecenia: zmniejszony do mniej niż 2 godzin średnio
• Wskaźnik niekompletnych poleceń: spadł poniżej 1% dzięki automatycznym kontrolom kompletności przed podpisem
• Satysfakcja klientów mierzona NPS: wzrost +18 punktów na kryterium „prostota procedur administracyjnych"
• Wzmocniona zgodność z wymogami AMF dotyczącymi śledowalności instrukcji klientów (artykuł 16 MiFID II)

Podsumowanie

Polecenia przelewu podpisane elektronicznie nie są już luksusem zarezerwowanym dla dużych przedsiębiorstw: stanowią dzisiaj minimalny standard bezpieczeństwa i zgodności dla każdego podmiotu zarządzającego wrażliwymi przepływami finansowymi. Łącząc zaawansowany lub kwalifikowany podpis elektroniczny, silne uwierzytelnianie i rozstrzygające znaczniki czasu, neutralizujesz główne wektory oszustwa, przyspieszając cykle zatwierdzania i upraszczając audyty.

Europejskie ramy prawne — eIDAS, DSP2/DSP3, Kodeks cywilny — są teraz dojrzałe i uznawane przez banki, biegłych rewidentów i sądy. Brakuje tylko wdrożenia.

Certyneo wspiera Cię w zabezpieczaniu poleceń przelewu za pomocą platformy zgodnej z eIDAS, integrującej się z istniejącymi narzędziami i niewymagającej szkolenia technicznego. Odkryj ceny Certyneo lub oszacuj zwrot inwestycji aby uruchomić projekt już dzisiaj.