Мандаты на перевод денежных средств: защитите их электронной подписью

Почему мандаты на переводы являются мишенью для мошенников?

Мандаты на денежные переводы являются одной из наиболее эксплуатируемых уязвимостей киберпреступниками. Согласно годовому отчету Банка Франции за 2025 год о безопасности платежных средств, мошенничество при банковских переводах причиняет убытки в размере 1,2 млрд евро французским компаниям. Метод, известный как «поддельный приказ о переводе» (FOVI) или мошенничество от имени президента, целенаправленно нацеливается на цепочку документального одобрения: ненадежно защищенный мандат, подписанный простым сканированием подписи или отправленный по электронной почте без аутентификации, становится идеальной точкой входа для злоумышленников.

В связи с этой реальностью электронная подпись для компаний становится надежным техническим и правовым решением. Она не ограничивается размещением изображения подписи на PDF-файле: она создает уникальный криптографический отпечаток с временной меткой, связанный с проверенной личностью подписывающего. В данном руководстве мы анализируем специфические риски мандатов на переводы, необходимые уровни подписи, роль банковской аутентификации и практическую реализацию в финансовых и бухгалтерских отделах.

---

Различные типы мандатов на переводы и связанные с ними риски

Разовые мандаты и постоянные мандаты

Разовый мандат на перевод уполномочивает осуществить один перевод определенному получателю на определенную сумму и на определенную дату. Постоянный мандат (также называемый повторяющимся приказом) уполномочивает на осуществление повторяющихся переводов в установленной частоте. Риск не является симметричным: неотозванный постоянный мандат или мандат, бенефициар которого был изменен мошенническим путем, может привести к потерям в течение месяцев до обнаружения.

Мандаты на прямой дебет SEPA (SDD — SEPA Direct Debit) представляют особый случай: они позволяют кредитору прямо дебетовать счет должника после подписания мандата в соответствии с правилами SEPA Scheme. Регламент SEPA требует, чтобы такой мандат был архивирован на протяжении всей продолжительности коммерческих отношений плюс 14 месяцев после последнего дебета — сильное документальное ограничение, которое говорит в пользу безопасной демaterialизации.

Вектори документального мошенничества

Три вектора концентрируют большинство заявленных инцидентов:

• Подделка после подписания: изменение деталей счета или суммы на подписанном вручную документе, передаваемом по электронной почте, без криптографического запечатывания.

• Выдача себя за подписывающего: мандат, отправленный с скомпрометированного адреса электронной почты, без проверки личности в реальном времени.

• Отсутствие журнала аудита: невозможность доказать, кто и когда подписал документ в случае спора с банком или третьей стороной.

Правовая ценность электронной подписи заключается именно в ее способности одновременно нейтрализовать все три вектора.

---

Какой уровень электронной подписи требуется для мандата на перевод?

Регламент eIDAS (№ 910/2014) определяет три уровня электронной подписи: простая (SES), продвинутая (AdES) и квалифицированная (QES). Для мандатов на переводы выбор уровня должен быть пропорционален сумме, частоте и профилю риска операции.

Продвинутая электронная подпись (AdES): операционный стандарт

Для большинства мандатов на переводы между компаниями продвинутая электронная подпись представляет оптимальный баланс между безопасностью и практичностью. Она соответствует следующим требованиям, определенным eIDAS:

• Однозначно связана с подписывающим

• Способна идентифицировать подписывающего

• Создана с использованием данных, находящихся под исключительным контролем подписывающего

• Связана с подписанными данными таким образом, чтобы любое последующее изменение было обнаружено

На практике это означает многофакторную аутентификацию (OTP SMS, мобильное приложение TOTP или сертификат существенного уровня), запечатывание PDF в соответствии со стандартом PAdES (ETSI EN 319 132) и квалифицированную электронную временную метку, которая неопровержимо устанавливает дату и время подписи.

Квалифицированная подпись (QES): для операций с высокими ставками

Переводы, превышающие определенные внутренние пороги (часто 50 000 € или 100 000 € в зависимости от политик внутреннего контроля крупных групп) или включающие чувствительных контрагентов (иностранные поставщики в зонах риска, недавно зарегистрированные получатели), заслуживают квалифицированной подписи. Последняя требует проверки личности лицом к лицу или с помощью видеоидентификации у квалифицированного поставщика услуг доверия (QTSP), признанного ANSSI.

QES — единственная подпись, имеющая равную силу с рукописной подписью по всему Европейскому союзу, и ее невозможно оспорить на этом основании. Для казначея или финансового директора это непреложная гарантия перед советом директоров или внешним аудитором.

Сильная банковская аутентификация как дополнительный уровень

Директива DSP2 (пересмотренная как DSP3 в 2026 году) требует сильной аутентификации клиента (SCA — Strong Customer Authentication) для валидации переводов со стороны банка. Эта аутентификация основана на как минимум двух факторах из: что-то, что пользователь знает (пароль), владеет (телефон) или является (биометрия).

Важно различать два уровня вмешательства:

• Подписание мандата (документальный правовой акт): подпадает под действие eIDAS и права контрактов.

• Валидация приказа платежа (банковское указание): подпадает под действие DSP2/DSP3 и банковского контракта.

Эти два уровня являются дополнительными, а не взаимозаменяемыми. Платформа, подобная Certyneo, защищает первый; ваш банк защищает второй. Вместе они образуют полную цепочку доказательств от решения об отправке перевода до его исполнения.

---

Практическая реализация: интеграция электронной подписи в контур валидации мандатов

Картирование существующих документальных потоков

Перед любым развертыванием следует провести картирование потоков: кто инициирует мандат? Кто его валидирует? Кто его архивирует? Во многих малых и средних компаниях этот контур все еще состоит из совокупности писем, файлов, общих папок в локальной сети и устных разрешений. Эта непрозрачность сама по себе является операционным риском, указанным в рекомендациях COSO (Committee of Sponsoring Organizations of the Treadway Commission) по внутреннему контролю.

Сравнение решений электронной подписи поможет вам определить платформу, адаптированную к вашему объему и ограничениям интеграции (ERP, TMS, портал поставщиков).

Конфигурирование рабочих процессов одобрения с несколькими подписывающими

Правило четырех глаз (двойная валидация) является хорошей практикой внутреннего контроля, рекомендованной AMF и аудиторами для мандатов на переводы. Современные платформы подписи позволяют конфигурировать:

• Последовательности подписи (подписывающий A должен валидировать перед подписывающим B)

• Пороги делегирования (финансовый директор подписывает самостоятельно до X €, совместная подпись генерального директора сверх этого)

• Автоматические оповещения и напоминания с временными метками каждого действия

• Электронные доверенности на периоды отсутствия, управление которыми подробно описано в нашем руководстве по доверенности и мандату

Архивирование и журнал аудита: документальные требования

Каждый подписанный электронно мандат на перевод должен быть архивирован с его доказательством подписи (цепочка сертификатов, отчет аудита, хеш SHA-256 документа). Это архивирование должно быть доказательственным: читаемым, неизменным и доступным на протяжении всего законного периода хранения (10 лет для бухгалтерских документов согласно статье L. 123-22 Торгового кодекса).

Соответствующие решения автоматически генерируют файл доказательства (LTV — Long Term Validation), интегрированный в подписанный PDF, который позволяет проверить действительность подписи даже после истечения срока действия исходного сертификата. Это требование норм ETSI EN 319 132 (PAdES-LTV).

---

Измеримые преимущества для финансовых отделов

Снижение риска мошенничества и связанных расходов

Цифровой документальный контроль снижает риски внутреннего и внешнего мошенничества по сравнению с бумажными процессами. В частности, усиленная электронная подпись исключает возможность изменения документа после подписания, тем самым полностью устраняя фальсификацию после отправки.

Ускорение циклов одобрения

Бумажный цикл согласования платёжного поручения занимает несколько рабочих дней в компании среднего размера. Переход на цифровой формат сокращает этот срок до нескольких часов, а для рутинных операций с предварительно настроенным workflow — до минут. Для казначея, управляющего потребностями в ликвидности в режиме реального времени, этот выигрыш имеет стратегическое значение.

Упрощенная соответствие и облегченный аудит

Во время налоговой проверки или обязательного аудита восстановление внутренних валидаций мандатов на переводы является трудоемкой задачей. При использовании системы электронной подписи каждый мандат сопровождается неизменяемым журналом аудита: дата, время, IP-адрес, идентификатор подписывающего, результат аутентификации. Этот уровень отслеживаемости напрямую отвечает ожиданиям аудиторов и DGFiP в отношении надежного журнала аудита (PAF).

Правовая база для мандатов на переводы с электронной подписью

Общее право контрактов и доказательственная сила

В французском праве статья 1366 Гражданского кодекса устанавливает общий принцип: «Электронный документ имеет ту же доказательственную силу, что и документ на бумажном носителе, при условии, что может быть надлежащим образом идентифицирована личность, от которой он исходит, и что он был создан и сохранен таким образом, который гарантирует его целостность». Статья 1367 уточняет, что электронная подпись состоит в использовании надежного процесса идентификации, гарантирующего его связь с актом, к которому она прилагается.

Эти положения дополняются декретом № 2017-1416 от 28 сентября 2017 года о электронной подписи, который уточняет, что надежность процесса электронной подписи предполагается до доказательства противного, когда он реализует квалифицированную электронную подпись в соответствии с регламентом eIDAS.

Регламент eIDAS № 910/2014 и его пересмотр eIDAS 2.0

Регламент eIDAS № 910/2014 составляет правовую базу Европейского союза. Он устанавливает единые рамки для взаимного признания электронных подписей в 27 государствах-членах. Статья 25(1) предусматривает, что электронной подписи не может быть отказано в правовом эффекте исключительно на том основании, что она представлена в электронной форме. Статья 25(2) присваивает квалифицированной подписи ту же юридическую ценность, что и рукописной подписи. В 2024 году регламент eIDAS 2.0 (регламент ЕС 2024/1183) усилил рамки, введя европейский портфель цифровой идентичности (EUDIW) и расширив список квалифицированных поставщиков услуг доверия.

Для мандатов на прямой дебет SEPA Правила Scheme EPC (European Payments Council) требуют мандата, подписанного должником, сохраненного кредитором, соответствующего стандартам идентификации. Продвинутая электронная подпись явно признана руководящими принципами EPC в качестве действительного способа подписи.

Директива DSP2 / DSP3 и сильная аутентификация

Директива DSP2 (2015/2366/EU), внедренная во французское право статьей L. 133-44 Кодекса о деньгах и финансах, требует сильную аутентификацию (SCA) для валидации онлайн-переводов, превышающих 30 €. Пересмотр в DSP3 (законодательный пакет, принятый в 2024 году, поэтапное введение 2025-2026 гг.) усиливает требования безопасности и расширяет ответственность поставщиков услуг платежей в случае необнаруженного мошенничества.

GDPR и обработка данных аутентификации

Обработка биометрических данных и данных аутентификации, собранных при подписании, подпадает под статью 9 регламента GDPR № 2016/679 (чувствительные данные) и требует явного правового основания. Квалифицированные поставщики (QTSP) должны располагать документированным анализом воздействия (AIPD/DPIA). Данные подписи должны быть минимизированы, зашифрованы в покое и при передаче, и удалены в соответствии с установленными сроками хранения.

Технические стандарты ETSI

Форматы подписи, признанные в Европе, определены стандартами ETSI EN 319 132 (PAdES для PDF), ETSI EN 319 122 (CAdES) и ETSI EN 319 162 (XAdES). Для мандатов на переводы, архивируемых на длительный период, рекомендуется формат PAdES-LTV (Long Term Validation), так как он включает информацию о валидации, необходимую для будущей проверки подписи, независимо от срока жизни сертификата.

Иллюстративные сценарии использования: мандаты на перевод, защищённые электронной подписью

Сценарий 1 — Средняя промышленная компания, управляющая 400 мандатами поставщиков в квартал

Эти сценарии носят иллюстративный характер: они описывают типовые ситуации и не отражают измеренные результаты какого-либо клиента. Предприятие среднего размера из производственного сектора, насчитывающее около 350 сотрудников и парк из 120 активных поставщиков, обрабатывало мандаты на перевод с помощью гибридного процесса: инициация в ERP-системе, печать PDF, собственноручная подпись финансового директора или его заместителя, сканирование и архивирование на общем сервере.

После своевременно выявленной попытки мошенничества с подменой платёжных реквизитов (изменение банковских реквизитов в незапечатанном PDF-файле, отправленном по электронной почте), руководство внедряет решение усиленной электронной подписи, интегрированное в ERP через API. Показатели для отслеживания, измеряемые на реальном периметре до и после пилотного проекта:

• Среднее время валидации: требуется измерить до и после пилотного проекта

• Стоимость обработки одного мандата: требуется рассчитать на реальном периметре (исключение печати, сканирования, внутренней почты)

• Полный журнал аудита: доступен в реальном времени аудитору без ручного восстановления

• Ноль инцидентов документального мошенничества за период наблюдения

Сценарий 2 — Групповое объединение местных органов власти и его мандаты на субсидии

Межмуниципальное объединение, состоящее из примерно десяти муниципалитетов, управляло мандатами на перевод субсидий местным ассоциациям с годовым объемом примерно 2 000 операций. Подписание ответственных должностных лиц проводилось на заседаниях местных советов с ограничениями, навязанными расписанием должностных лиц, и рисками потери документов.

Дематериализация мандатов с усиленной электронной подписью, интегрированная в программное обеспечение публичного бухгалтерского учёта, позволяет:

• Подпись на расстоянии должностными лицами с личного защищенного кабинета без обязательного физического присутствия

• Соответствие рамкам Helios (совместимость с протоколом обмена данными государства для местных органов власти)

• Сократить срок выплаты субсидий: масштаб выигрыша предстоит оценить на реальном периметре территориального образования

• Автоматизированное архивирование, соответствующее требованиям региональных счетных палат

Сценарий 3 — Консультационная компания в области управления активами и мандаты своих клиентов

Независимая компания по управлению активами (около 25 сотрудников, 800 активных клиентов) должна собирать подписанные мандаты на перевод от своих клиентов для исполнения операций по счетам ценных бумаг и договорам страхования жизни. Почтовый процесс долгий, с риском неполного возврата документов (отсутствует подпись, не указана дата и т. д.).

После внедрения решения электронной подписи с усиленной процедурой идентификации (проверка удостоверения личности + OTP) отслеживаются следующие показатели:

• Срок сбора подписанного мандата: требуется измерить до и после пилотного проекта

• Доля неполных мандатов: подлежит отслеживанию, при этом автоматические проверки полноты перед подписанием призваны её снизить

• Удовлетворённость клиентов, измеряемая по NPS: подлежит отслеживанию по критерию простоты административных процедур

• Усиленное соответствие требованиям AMF к отслеживаемости инструкций клиентов (статья 16 MiFID II)

Часто задаваемые вопросы

Является ли продвинутая электронная подпись достаточной для защиты мандата на снятие средств SEPA?

Для подавляющего большинства мандатов на снятие средств SEPA продвинутая электронная подпись (AdES) обеспечивает надлежащий уровень безопасности: она гарантирует личность подписывающего лица, защищает документ от любых изменений и создает расписание с отметкой времени. Положение SEPA не требует определенного уровня подписи, но требует сохранения мандата в течение всего периода деловых отношений плюс 14 месяцев после последнего снятия средств. Электронно подписанный документ облегчает выполнение этого требования по хранению доказательственных материалов.

Чем юридически отличается подпись мандата на переводы от валидации банковского приказа?

Это два акта различной природы, подчиняющиеся разным нормативно-правовым базам. Подпись мандата — это документальный юридический акт, регулируемый Положением eIDAS и контрактным правом: она устанавливает согласие подписывающего лица и целостность документа. Валидация приказа об оплате — это банковская инструкция, регулируемая Директивой DSP2, которая требует строгой аутентификации со стороны финансового учреждения. Одно не заменяет другое: они реализуются в два последовательных и дополняющих момента.

Допустим ли мандат на переводы с электронной подписью в случае судебного спора во французском суде?

Да, при условии, что подпись соответствует требованиям Положения eIDAS. Статья 1366 Гражданского кодекса Франции признает юридическую силу электронного документа, если гарантирована личность его автора и обеспечена целостность документа. Продвинутая или квалифицированная электронная подпись удовлетворяет эти условия и является допустимым доказательством. Сопутствующий расписание — проверенная личность, отметка времени, IP-адрес, явное согласие — усиливает доказательственную силу документа перед судом.

Как обнаружить подделку мандата на переводы после его подписи?

С электронной подписью, соответствующей стандарту PAdES, любое изменение документа после подписи нарушает криптографическую печать. Совместимый модуль чтения PDF (например, Adobe Acrobat Reader) сразу же сигнализирует об инвалидности сертификата, если содержание изменилось, будь то сумма, реквизиты банка или любые другие данные. Это автоматическое обнаружение — именно то, чего не хватает мандатам, подписанным от руки и отсканированным, где подделка цифры или IBAN остается визуально неопределяемой.

Является ли видео-идентификация обязательной для получения квалифицированной подписи на мандате на переводы?

Квалифицированная подпись (QES) требует предварительной проверки личности у квалифицированного поставщика услуг доверия (QTSP), признаваемого на европейском уровне. Эта проверка может проводиться либо при личной встрече, либо путем удаленной видео-идентификации в соответствии с процедурами, одобренными компетентным органом надзора — во Франции это ANSSI. Выбор между этими способами зависит от выбранного поставщика. После получения квалифицированного сертификата его можно использовать повторно для подписания нескольких мандатов без повторной проверки личности в пределах его срока действия.

Заключение

Мандаты на переводы с электронной подписью больше не являются роскошью, зарезервированной для крупных компаний: они сегодня представляют собой минимальный стандарт безопасности и соответствия для любого субъекта, управляющего чувствительными финансовыми потоками. Комбинируя продвинутую или квалифицированную электронную подпись, сильную аутентификацию и надежную временную метку, вы нейтрализуете основные векторы мошенничества, одновременно ускоряя циклы одобрения и упрощая аудиты.

Правовая база Европейского союза — eIDAS, DSP2/DSP3, Гражданский кодекс — сегодня является зрелой и признана банками, аудиторами и судами. Осталось только внедрение.

Certyneo помогает вам в защите мандатов на переводы с платформой, соответствующей eIDAS, интегрируемой с вашими существующими инструментами и используемой без технического обучения. Откройте для себя тарифы Certyneo или оцените вашу окупаемость инвестиций, чтобы запустить свой проект уже сегодня.