Мандаты на перевод денежных средств: защитите их электронной подписью

Почему мандаты на переводы являются мишенью для мошенников?

Мандаты на денежные переводы являются одной из наиболее эксплуатируемых уязвимостей киберпреступниками. Согласно годовому отчету Банка Франции за 2025 год о безопасности платежных средств, мошенничество при банковских переводах причиняет убытки в размере 1,2 млрд евро французским компаниям. Метод, известный как «поддельный приказ о переводе» (FOVI) или мошенничество от имени президента, целенаправленно нацеливается на цепочку документального одобрения: ненадежно защищенный мандат, подписанный простым сканированием подписи или отправленный по электронной почте без аутентификации, становится идеальной точкой входа для злоумышленников.

В связи с этой реальностью электронная подпись для компаний становится надежным техническим и правовым решением. Она не ограничивается размещением изображения подписи на PDF-файле: она создает уникальный криптографический отпечаток с временной меткой, связанный с проверенной личностью подписывающего. В данном руководстве мы анализируем специфические риски мандатов на переводы, необходимые уровни подписи, роль банковской аутентификации и практическую реализацию в финансовых и бухгалтерских отделах.

---

Различные типы мандатов на переводы и связанные с ними риски

Разовые мандаты и постоянные мандаты

Разовый мандат на перевод уполномочивает осуществить один перевод определенному получателю на определенную сумму и на определенную дату. Постоянный мандат (также называемый повторяющимся приказом) уполномочивает на осуществление повторяющихся переводов в установленной частоте. Риск не является симметричным: неотозванный постоянный мандат или мандат, бенефициар которого был изменен мошенническим путем, может привести к потерям в течение месяцев до обнаружения.

Мандаты на прямой дебет SEPA (SDD — SEPA Direct Debit) представляют особый случай: они позволяют кредитору прямо дебетовать счет должника после подписания мандата в соответствии с правилами SEPA Scheme. Регламент SEPA требует, чтобы такой мандат был архивирован на протяжении всей продолжительности коммерческих отношений плюс 14 месяцев после последнего дебета — сильное документальное ограничение, которое говорит в пользу безопасной демaterialизации.

Вектори документального мошенничества

Три вектора концентрируют большинство заявленных инцидентов:

1. Подделка после подписания: изменение деталей счета или суммы на подписанном вручную документе, передаваемом по электронной почте, без криптографического запечатывания.
2. Выдача себя за подписывающего: мандат, отправленный с скомпрометированного адреса электронной почты, без проверки личности в реальном времени.
3. Отсутствие журнала аудита: невозможность доказать, кто и когда подписал документ в случае спора с банком или третьей стороной.

Правовая ценность электронной подписи заключается именно в ее способности одновременно нейтрализовать все три вектора.

---

Какой уровень электронной подписи требуется для мандата на перевод?

Регламент eIDAS (№ 910/2014) определяет три уровня электронной подписи: простая (SES), продвинутая (AdES) и квалифицированная (QES). Для мандатов на переводы выбор уровня должен быть пропорционален сумме, частоте и профилю риска операции.

Продвинутая электронная подпись (AdES): операционный стандарт

Для большинства мандатов на переводы между компаниями продвинутая электронная подпись представляет оптимальный баланс между безопасностью и практичностью. Она соответствует следующим требованиям, определенным eIDAS:

• Однозначно связана с подписывающим
• Способна идентифицировать подписывающего
• Создана с использованием данных, находящихся под исключительным контролем подписывающего
• Связана с подписанными данными таким образом, чтобы любое последующее изменение было обнаружено

На практике это означает многофакторную аутентификацию (OTP SMS, мобильное приложение TOTP или сертификат существенного уровня), запечатывание PDF в соответствии со стандартом PAdES (ETSI EN 319 132) и квалифицированную электронную временную метку, которая неопровержимо устанавливает дату и время подписи.

Квалифицированная подпись (QES): для операций с высокими ставками

Переводы, превышающие определенные внутренние пороги (часто 50 000 € или 100 000 € в зависимости от политик внутреннего контроля крупных групп) или включающие чувствительных контрагентов (иностранные поставщики в зонах риска, недавно зарегистрированные получатели), заслуживают квалифицированной подписи. Последняя требует проверки личности лицом к лицу или с помощью видеоидентификации у квалифицированного поставщика услуг доверия (QTSP), признанного ANSSI.

QES — единственная подпись, имеющая равную силу с рукописной подписью по всему Европейскому союзу, и ее невозможно оспорить на этом основании. Для казначея или финансового директора это непреложная гарантия перед советом директоров или внешним аудитором.

Сильная банковская аутентификация как дополнительный уровень

Директива DSP2 (пересмотренная как DSP3 в 2026 году) требует сильной аутентификации клиента (SCA — Strong Customer Authentication) для валидации переводов со стороны банка. Эта аутентификация основана на как минимум двух факторах из: что-то, что пользователь знает (пароль), владеет (телефон) или является (биометрия).

Важно различать два уровня вмешательства:

• Подписание мандата (документальный правовой акт): подпадает под действие eIDAS и права контрактов.
• Валидация приказа платежа (банковское указание): подпадает под действие DSP2/DSP3 и банковского контракта.

Эти два уровня являются дополнительными, а не взаимозаменяемыми. Платформа, подобная Certyneo, защищает первый; ваш банк защищает второй. Вместе они образуют полную цепочку доказательств от решения об отправке перевода до его исполнения.

---

Практическая реализация: интеграция электронной подписи в контур валидации мандатов

Картирование существующих документальных потоков

Перед любым развертыванием следует провести картирование потоков: кто инициирует мандат? Кто его валидирует? Кто его архивирует? Во многих малых и средних компаниях этот контур все еще состоит из совокупности писем, файлов, общих папок в локальной сети и устных разрешений. Эта непрозрачность сама по себе является операционным риском, указанным в рекомендациях COSO (Committee of Sponsoring Organizations of the Treadway Commission) по внутреннему контролю.

Сравнение решений электронной подписи поможет вам определить платформу, адаптированную к вашему объему и ограничениям интеграции (ERP, TMS, портал поставщиков).

Конфигурирование рабочих процессов одобрения с несколькими подписывающими

Правило четырех глаз (двойная валидация) является хорошей практикой внутреннего контроля, рекомендованной AMF и аудиторами для мандатов на переводы. Современные платформы подписи позволяют конфигурировать:

• Последовательности подписи (подписывающий A должен валидировать перед подписывающим B)
• Пороги делегирования (финансовый директор подписывает самостоятельно до X €, совместная подпись генерального директора сверх этого)
• Автоматические оповещения и напоминания с временными метками каждого действия
• Электронные доверенности на периоды отсутствия, управление которыми подробно описано в нашем руководстве по доверенности и мандату

Архивирование и журнал аудита: документальные требования

Каждый подписанный электронно мандат на перевод должен быть архивирован с его доказательством подписи (цепочка сертификатов, отчет аудита, хеш SHA-256 документа). Это архивирование должно быть доказательственным: читаемым, неизменным и доступным на протяжении всего законного периода хранения (10 лет для бухгалтерских документов согласно статье L. 123-22 Торгового кодекса).

Соответствующие решения автоматически генерируют файл доказательства (LTV — Long Term Validation), интегрированный в подписанный PDF, который позволяет проверить действительность подписи даже после истечения срока действия исходного сертификата. Это требование норм ETSI EN 319 132 (PAdES-LTV).

---

Измеримые преимущества для финансовых отделов

Снижение риска мошенничества и связанных расходов

Согласно исследованию Association of Certified Fraud Examiners (ACFE) за 2024 год, организации с цифровыми документальными контролями регистрируют в среднем на 52 % меньше потерь от внутреннего и внешнего мошенничества, чем те, которые полагаются на бумажные процессы. Продвинутая электронная подпись в частности исключает возможность изменения документа после подписания, полностью исключая подделку после отправки.

Ускорение циклов одобрения

Контур валидации на бумаге для мандата на перевод занимает в среднем 3-7 рабочих дней в компании среднего размера (согласно опросу Kyriba/Ipsos 2025 о корпоративной казне). Переход на цифровую форму сокращает этот период до нескольких часов, а в некоторых случаях даже минут для плановых операций с предустановленным рабочим процессом. Для казначея, управляющего потребностями в ликвидности в реальном времени, этот прирост является стратегическим.

Упрощенная соответствие и облегченный аудит

Во время налоговой проверки или обязательного аудита восстановление внутренних валидаций мандатов на переводы является трудоемкой задачей. При использовании системы электронной подписи каждый мандат сопровождается неизменяемым журналом аудита: дата, время, IP-адрес, идентификатор подписывающего, результат аутентификации. Этот уровень отслеживаемости напрямую отвечает ожиданиям аудиторов и DGFiP в отношении надежного журнала аудита (PAF).

Правовая база для мандатов на переводы с электронной подписью

Общее право контрактов и доказательственная сила

В французском праве статья 1366 Гражданского кодекса устанавливает общий принцип: «Электронный документ имеет ту же доказательственную силу, что и документ на бумажном носителе, при условии, что может быть надлежащим образом идентифицирована личность, от которой он исходит, и что он был создан и сохранен таким образом, который гарантирует его целостность». Статья 1367 уточняет, что электронная подпись состоит в использовании надежного процесса идентификации, гарантирующего его связь с актом, к которому она прилагается.

Эти положения дополняются декретом № 2017-1416 от 28 сентября 2017 года о электронной подписи, который уточняет, что надежность процесса электронной подписи предполагается до доказательства противного, когда он реализует квалифицированную электронную подпись в соответствии с регламентом eIDAS.

Регламент eIDAS № 910/2014 и его пересмотр eIDAS 2.0

Регламент eIDAS № 910/2014 составляет правовую базу Европейского союза. Он устанавливает единые рамки для взаимного признания электронных подписей в 27 государствах-членах. Статья 25(1) предусматривает, что электронной подписи не может быть отказано в правовом эффекте исключительно на том основании, что она представлена в электронной форме. Статья 25(2) присваивает квалифицированной подписи ту же юридическую ценность, что и рукописной подписи. В 2024 году регламент eIDAS 2.0 (регламент ЕС 2024/1183) усилил рамки, введя европейский портфель цифровой идентичности (EUDIW) и расширив список квалифицированных поставщиков услуг доверия.

Для мандатов на прямой дебет SEPA Правила Scheme EPC (European Payments Council) требуют мандата, подписанного должником, сохраненного кредитором, соответствующего стандартам идентификации. Продвинутая электронная подпись явно признана руководящими принципами EPC в качестве действительного способа подписи.

Директива DSP2 / DSP3 и сильная аутентификация

Директива DSP2 (2015/2366/EU), внедренная во французское право статьей L. 133-44 Кодекса о деньгах и финансах, требует сильную аутентификацию (SCA) для валидации онлайн-переводов, превышающих 30 €. Пересмотр в DSP3 (законодательный пакет, принятый в 2024 году, поэтапное введение 2025-2026 гг.) усиливает требования безопасности и расширяет ответственность поставщиков услуг платежей в случае необнаруженного мошенничества.

GDPR и обработка данных аутентификации

Обработка биометрических данных и данных аутентификации, собранных при подписании, подпадает под статью 9 регламента GDPR № 2016/679 (чувствительные данные) и требует явного правового основания. Квалифицированные поставщики (QTSP) должны располагать документированным анализом воздействия (AIPD/DPIA). Данные подписи должны быть минимизированы, зашифрованы в покое и при передаче, и удалены в соответствии с установленными сроками хранения.

Технические стандарты ETSI

Форматы подписи, признанные в Европе, определены стандартами ETSI EN 319 132 (PAdES для PDF), ETSI EN 319 122 (CAdES) и ETSI EN 319 162 (XAdES). Для мандатов на переводы, архивируемых на длительный период, рекомендуется формат PAdES-LTV (Long Term Validation), так как он включает информацию о валидации, необходимую для будущей проверки подписи, независимо от срока жизни сертификата.

Сценарии использования: защита мандатов на переводы электронной подписью

Сценарий 1 — Средняя промышленная компания, управляющая 400 мандатами поставщиков в квартал

Компания промежуточного размера в секторе обрабатывающей промышленности примерно с 350 сотрудниками и активным парком из 120 поставщиков обрабатывала свои мандаты на переводы через гибридный процесс: инициирование в ERP, печать PDF, рукописная подпись финансового директора или его помощника, сканирование и архивирование на общем сервере.

После попытки мошенничества при переводе, выявленной своевременно (изменение деталей счета в незащищенном файле PDF, переданном по электронной почте), руководство развернуло решение продвинутой электронной подписи, интегрированное в ERP через API. Результаты, наблюдаемые через 6 месяцев:

• Среднее время валидации: сократилось с 4,2 дня до 6 часов
• Стоимость обработки на мандат: снижена на 38 % (исключение печати, сканирования, внутренней корреспонденции)
• Полный журнал аудита: доступен в реальном времени аудитору без ручного восстановления
• Ноль инцидентов документального мошенничества за период наблюдения

Сценарий 2 — Групповое объединение местных органов власти и его мандаты на субсидии

Межмуниципальное объединение, состоящее из примерно десяти муниципалитетов, управляло мандатами на перевод субсидий местным ассоциациям с годовым объемом примерно 2 000 операций. Подписание ответственных должностных лиц проводилось на заседаниях местных советов с ограничениями, навязанными расписанием должностных лиц, и рисками потери документов.

Демaterialизация мандатов с продвинутой электронной подписью, интегрированной в программное обеспечение управления государственным учетом, позволила:

• Подпись на расстоянии должностными лицами с личного защищенного кабинета без обязательного физического присутствия
• Соответствие рамкам Helios (совместимость с протоколом обмена данными государства для местных органов власти)
• Сокращение на 60 % времени выплаты субсидий (с среднего значения 22 дней до 9 дней)
• Автоматизированное архивирование, соответствующее требованиям региональных счетных палат

Сценарий 3 — Консультационная компания в области управления активами и мандаты своих клиентов

Независимая консультационная компания в области управления активами (примерно 25 сотрудников, 800 активных клиентов) должна была получить подписанные мандаты на переводы от своих клиентов для исполнения операций на портфелях акций и полисов страхования жизни. Почтовый процесс занимал в среднем 8 дней с уровнем неполных возвратов 15 % (отсутствует подпись, дата и т.д.).

После развертывания решения электронной подписи с усиленной процедурой идентификации (проверка удостоверения личности + OTP) показатели преобразились:

• Время получения подписанного мандата: сокращено до менее чем 2 часов в среднем
• Уровень неполных мандатов: упал до менее чем 1 % благодаря автоматическим проверкам полноты перед подписанием
• Удовлетворенность клиентов, измеренная по NPS: прирост на +18 пунктов по критерию «простота административных процедур»
• Усиленное соответствие требованиям AMF к отслеживаемости инструкций клиентов (статья 16 MiFID II)

Заключение

Мандаты на переводы с электронной подписью больше не являются роскошью, зарезервированной для крупных компаний: они сегодня представляют собой минимальный стандарт безопасности и соответствия для любого субъекта, управляющего чувствительными финансовыми потоками. Комбинируя продвинутую или квалифицированную электронную подпись, сильную аутентификацию и надежную временную метку, вы нейтрализуете основные векторы мошенничества, одновременно ускоряя циклы одобрения и упрощая аудиты.

Правовая база Европейского союза — eIDAS, DSP2/DSP3, Гражданский кодекс — сегодня является зрелой и признана банками, аудиторами и судами. Осталось только внедрение.

Certyneo помогает вам в защите мандатов на переводы с платформой, соответствующей eIDAS, интегрируемой с вашими существующими инструментами и используемой без технического обучения. Откройте для себя тарифы Certyneo или оцените вашу окупаемость инвестиций, чтобы запустить свой проект уже сегодня.