Chữ ký điện tử: tính năng truy xuất và kiểm toán nội bộ năm 2026

Sự gia tăng các luồng tài liệu không giấy tờ để lại các doanh nghiệp tiếp xúc với một rủi ro thường bị đánh giá thấp: không khả năng tái tạo, trong trường hợp tranh chấp hoặc kiểm tra, chuỗi sự kiện hoàn chỉnh xung quanh chữ ký của một tài liệu. Tuy nhiên, tính năng truy xuất hoàn chỉnh của chữ ký điện tử không phải là một tiện ích kỹ thuật đơn giản — đó là một yêu cầu pháp lý, một công cụ kiểm toán nội bộ và một lập luận quyết định trước các tòa án dân sự và thương mại. Bài viết này khám phá các cơ chế truy xuất do khung eIDAS dự kiến, cách sử dụng chúng trong một thiết bị kiểm toán nội bộ mạnh mẽ, các thực hành tốt nhất để bảo quản nhật ký sự kiện và các tiêu chí lựa chọn giải pháp tuân thủ.

Tính năng truy xuất trong chữ ký điện tử là gì?

Các thành phần của piste d'audit hoàn chỉnh

Một piste d'audit (hay audit trail) liên kết với một tài liệu ký điện tử không chỉ là một dấu thời gian đơn giản. Nó bao gồm tất cả các sự kiện được ghi lại từ lúc phát hành tài liệu đến khi lưu trữ chữ ký, đi qua mỗi lần tham khảo, từ chối, ủy quyền hoặc xác nhận trung gian. Cụ thể, một nhật ký sự kiện đáng tin cậy thu thập:

• Danh tính được xác minh của người ký: phương pháp xác thực được sử dụng (OTP SMS, chứng chỉ hợp lệ, danh tính số eIDAS), địa chỉ IP, dấu vân tay của thiết bị (device fingerprint).

• Horodatage hợp lệ: được cung cấp bởi Nhà cung cấp Dịch vụ Tin cậy (PSC) được công nhận, nó định vị từng hành động trong thời gian một cách không thể tranh cãi theo tiêu chuẩn ETSI EN 319 421.

• Tính toàn vẹn của tài liệu: hàm băm mã hóa (SHA-256 hoặc SHA-3) được tính toán trước và sau mỗi tương tác, cho phép phát hiện bất kỳ sự thay đổi nào.

• Siêu dữ liệu theo ngữ cảnh: trình duyệt, ngôn ngữ, độ phân giải màn hình, địa chỉ địa lý tùy chọn có sự đồng ý RGPD, múi giờ.

Mức độ chi tiết này không thể thiếu để nhật ký cấu thành bằng chứng có thể chấp nhận trước các tòa án Pháp và châu Âu. Để đi sâu hơn về nền tảng pháp lý của các cơ chế này, hãy tham khảo hướng dẫn toàn diện về chữ ký điện tử.

Mức độ chữ ký và mức độ truy xuất liên kết

Quy định eIDAS phân biệt ba mức chữ ký — đơn giản (SES), nâng cao (AdES) và hợp lệ (QES) — và mỗi mức ngụ ý mức độ truy xuất khác nhau:

| Mức độ | Truy xuất tối thiểu cần thiết | Giá trị bằng chứng | |---|---|---| | Đơn giản (SES) | Horodatage, IP, email | Suy định đơn giản | | Nâng cao (AdES) | Xác thực mạnh, chứng chỉ, piste d'audit hoàn chỉnh | Mạnh (đảo ngược gánh nặng chứng minh khó khăn) | | Hợp lệ (QES) | Chứng chỉ hợp lệ QSCD + TSA hợp lệ | Tương đương chữ ký viết tay |

Lựa chọn mức độ phải được hướng dẫn bởi phân tích rủi ro dành riêng cho mỗi luồng tài liệu. Bảng so sánh các giải pháp chữ ký điện tử của chúng tôi giúp bạn xác định giải pháp phù hợp với bối cảnh của bạn.

Tích hợp tính năng truy xuất trong thiết bị kiểm toán nội bộ

Sơ đồ các luồng tài liệu quan trọng

Trước khi triển khai giải pháp chữ ký, nhóm kiểm toán nội bộ phải sơ đồ tất cả các luồng tài liệu nhạy cảm: hợp đồng thương mại, sửa đổi nhân sự, biên bản hội đồng quản trị, lệnh chuyển khoản, cam kết bảo mật (NDA). Đối với mỗi luồng, cần xác định:

• Mức độ chữ ký cần thiết theo giá trị pháp lý và rủi ro tài chính liên kết.

• Các bên liên quan và vai trò của họ (người khởi xướng, người xác nhận, người ký, thủ quỹ).

• Thời hạn bảo quản các nhật ký, phù hợp với thời hạn quy định hiện hành (5 năm trong vấn đề thương mại, 10 năm đối với các tài liệu chính thức).

• Điều kiện truy cập các nhật ký kiểm toán, đảm bảo tách biệt các chức năng.

Sơ đồ này tạo nền tảng cho tiêu chuẩn kiểm soát nội bộ liên quan đến chữ ký điện tử. Nó phù hợp tự nhiên trong tiếp cận rộng hơn về quản trị chữ ký điện tử trong doanh nghiệp.

Khai thác nhật ký sự kiện trong các nhiệm vụ kiểm toán

Trong suốt một nhiệm vụ kiểm toán nội bộ, các nhật ký sự kiện được tạo bởi nền tảng chữ ký điện tử cho phép:

• Xác minh tuân thủ các ủy quyền quyền hạn: ai đã ký cái gì, với mức ủy quyền nào, vào ngày nào?

• Phát hiện các bất thường về thời gian: một hợp đồng ký ngoài giờ làm việc, từ một vị trí không thường xuyên hoặc trong thời gian bất thường ngắn có thể tiết lộ gian lận nội bộ.

• Xác nhận các tuyên bố: trong trường hợp tranh chấp của người ký phủ nhận đã ký, nhật ký kiểm toán cung cấp bằng chứng kỹ thuật mâu thuẫn.

• Nuôi dưỡng báo cáo tuân thủ: RGPD (sổ đăng ký xử lý), ISO 27001 (tính năng truy xuất truy cập), chỉ thị khu vực (DSP2, khu vực bảo hiểm, sức khỏe).

Một điểm cảnh báo: chính các nhật ký sự kiện phải toàn vẹn và không thể thay đổi. Một thực hành tốt bao gồm horodatage chúng định kỳ và lưu trữ chúng trong một coffre-fort numérique riêng biệt khỏi hệ thống sản xuất, lý tưởng là thông qua lưu trữ điện tử có giá trị bằng chứng (AEVP) tuân thủ tiêu chuẩn NF Z 42-013.

Tự động hóa báo cáo kiểm toán nhờ API

Các nền tảng chữ ký điện tử hiện đại tiếp xúc các API REST cho phép trích xuất tự động dữ liệu truy xuất và tiêm chúng vào các công cụ GRC (Governance, Risk & Compliance) của doanh nghiệp (ServiceNow, SAP GRC, IBM OpenPages, v.v.). Tự động hóa này làm giảm đáng kể gánh nặng của các kiểm toán viên nội bộ và loại bỏ rủi ro lỗi của con người khi hợp nhất các bằng chứng theo cách thủ công. Công cụ tính toán ROI của chữ ký điện tử của Certyneo minh họa các lợi ích năng suất có thể đo lường được liên quan đến tích hợp này.

Bảo quản và lưu trữ các bằng chứng chữ ký

Thời hạn pháp lý bảo quản và quy định

Bảo quản các bằng chứng chữ ký tuân theo một số chế độ pháp lý chồng chéo:

• Quyền thương mại (art. L. 123-22 C. com.): các tài liệu kế toán và chứng thực chi phí phải được bảo quản 10 năm tính từ lúc đóng cửa tài khoản.

• Quy định của luật dân sự chung (art. 2224 C. civ.): 5 năm đối với các hành động cá nhân hoặc động sản, điểm khởi hành vào ngày chủ sở hữu đã biết hoặc nên biết các sự kiện.

• Quyền lao động: các phiếu lương phải được bảo quản 50 năm hoặc cho đến khi người lao động đủ 75 tuổi.

• Dữ liệu sức khỏe: 20 năm kể từ lần thăm khám cuối cùng (art. R. 1112-7 CSP).

Những thời hạn này buộc giải pháp lưu trữ phải đảm bảo khả năng đọc của các định dạng trong thời gian dài (PDF/A-3, XAdES-LTA cho các chữ ký XML) và khả năng truy cập của các khóa giải mã.

Định dạng chữ ký có tuổi thọ lâu dài

Các hồ sơ XAdES-LT và XAdES-LTA (Long Term Archival), được định nghĩa bởi tiêu chuẩn ETSI EN 319 132, nhúng trong tệp được ký toàn bộ thông tin cần thiết để xác thực chậm trễ: chuỗi chứng chỉ hoàn chỉnh, phản hồi OCSP hoặc CRL, horodatage của lưu trữ. Tính độc lập tài liệu này là quan trọng vì các chứng chỉ của các cơ quan cấp chứng chỉ có thời gian sống hạn chế (1 đến 3 năm) và các cơ sở hạ tầng PKI phát triển. Mà không có cơ chế này, một chữ ký hợp lệ hôm nay có thể trở thành về mặt kỹ thuật không thể xác minh trong năm năm, gây nguy hiểm không thể phục hồi cho giá trị bằng chứng của nó.

Các chỉ số trưởng thành của tính năng truy xuất: đánh giá tư thế của bạn

Mô hình trưởng thành năm cấp

Để giúp các giám đốc kiểm toán và tuân thủ xác định vị trí tổ chức của họ, sẽ hữu ích khi sử dụng một mô hình trưởng thành có cấp:

• Cấp 1 — Không tồn tại: chữ ký qua email mà không có piste d'audit chính thức.

• Cấp 2 — Sơ cấp: horodatage cơ bản, không có chứng chỉ, nhật ký không có cấu trúc.

• Cấp 3 — Được xác định: giải pháp SaaS tuân thủ eIDAS, nhật ký có thể xuất, bảo quản 5 năm.

• Cấp 4 — Được quản lý: tích hợp GRC, cảnh báo tự động về bất thường, AEVP tuân thủ NF Z 42-013.

• Cấp 5 — Tối ưu hóa: piste d'audit thời gian thực, AI phát hiện bất thường, báo cáo RGPD tự động, xem xét tiêu chuẩn hàng năm.

Phần lớn các doanh nghiệp vừa Pháp nằm giữa các cấp 2 và 3 theo báo cáo State of Digital Trust của Adobe (2025). Các doanh nghiệp lớn của CAC 40 có xu hướng hướng tới cấp 4, do các yêu cầu của các kiểm toán viên tài chính độc lập của họ và các cơ quan quản lý khu vực.

Tiêu chí lựa chọn giải pháp có tính năng truy xuất và có thể kiểm toán

Khi lựa chọn hoặc di chuyển sang một nền tảng chữ ký mới, các tiêu chí truy xuất phải có trọng lượng ít nhất bằng tính dễ sử dụng hoặc giá cả. Các câu hỏi chính để đặt cho nhà cung cấp:

• Là nhật ký kiểm toán bất biến (bảo vệ chống lại sửa đổi bởi chính nhà biên soạn)?

• Horodatage được cung cấp bởi một TSA hợp lệ được liệt kê trong danh sách tin cậy eIDAS (Trust List)?

• Dữ liệu truy xuất có được lưu trữ ở châu Âu (chủ quyền, RGPD)?

• Nhật ký có có thể xuất ở định dạng mở (JSON, XML, CSV) mà không phụ thuộc độc quyền?

• Có tồn tại API kiểm toán cho phép tích hợp với các công cụ GRC hiện có?

• Là nhà cung cấp chính nó phải chịu kiểm toán SOC 2 Loại II hoặc chứng chỉ ISO 27001?

Nếu bạn đang cân nhắc thay đổi giải pháp, hướng dẫn di chuyển từ DocuSign hoặc YouSign sang Certyneo của chúng tôi chi tiết các bước để duy trì tính liên tục của các piste d'audit hiện có mà không gián đoạn tài liệu.

Khung pháp lý áp dụng cho tính năng truy xuất của chữ ký điện tử

Bộ luật dân sự và giá trị bằng chứng

Điều 1366 của Bộ luật dân sự đặt ra nguyên tắc cơ bản: « Chữ ký điện tử có sức mạnh bằng chứng bằng chữ ký trên giấy, với điều kiện là danh tính của người phát hành có thể được xác định đúng cách và nó được thiết lập và bảo quản trong các điều kiện có tính chất đảm bảo tính toàn vẹn của nó. » Điều 1367 làm rõ rằng chữ ký điện tử « bao gồm việc sử dụng một quy trình đáng tin cậy để xác định bảo đảm mối liên hệ với hành động mà nó gắn kết ». Hai điều này làm cho tính năng truy xuất và tính toàn vẹn các điều kiện pháp lý sine qua non của khả năng tiếp nhận bằng chứng điện tử.

Quy định eIDAS n° 910/2014 và eIDAS 2.0

Quy định châu Âu eIDAS n° 910/2014 thiết lập khung pháp lý cho chữ ký điện tử trong Liên minh châu Âu. Điều 25 của nó quy định rằng chữ ký điện tử hợp lệ (QES) có hiệu lực pháp lý tương đương với chữ ký viết tay ở tất cả các quốc gia thành viên. Các điều 26 (chữ ký nâng cao) và 27 (công nhận xuyên biên giới) áp dụng các yêu cầu kỹ thuật chính xác về xác thực và tính toàn vẹn dịch trực tiếp thành các yêu cầu truy xuất. Quy định eIDAS 2.0 (Quy định UE 2024/1183, có hiệu lực vào ngày 20 tháng 5 năm 2024) tăng cường các yêu cầu này bằng cách tích hợp ví danh tính số châu Âu (EUDIW) và mở rộng các yêu cầu cho các Nhà cung cấp Dịch vụ Tin cậy Hợp lệ.

RGPD n° 2016/679 và dữ liệu truy xuất

Nhật ký kiểm toán chứa dữ liệu cá nhân (địa chỉ IP, danh tính của những người ký, siêu dữ liệu hành vi). Do đó, chúng tạo nên một xử lý dữ liệu cá nhân phải tuân theo RGPD. Các yêu cầu chính:

• Căn cứ pháp lý: lợi ích hợp pháp (art. 6.1.f) hoặc yêu cầu pháp lý (art. 6.1.c), được ghi lại trong sổ đăng ký xử lý.

• Tối thiểu hóa: chỉ thu thập dữ liệu hoàn toàn cần thiết cho mục đích chứng minh.

• Thời hạn bảo quản: giới hạn ở các thời hạn quy định hiện hành, với xóa tự động khi hết hạn.

• Bảo mật: mã hóa các nhật ký ở trạng thái yên tĩnh và trong quá trình chuyển, kiểm soát truy cập nghiêm ngặt (art. 32).

• Chuyển phát hành ngoài EU: bị cấm mà không có các bảo đảm phù hợp (các điều khoản hợp đồng tiêu chuẩn, quyết định về sự phù hợp).

Tiêu chuẩn ETSI và lưu trữ có giá trị bằng chứng

Các tiêu chuẩn ETSI EN 319 132 (XAdES), ETSI EN 319 122 (CAdES) và ETSI EN 319 102 (quy trình tạo và xác nhận) định nghĩa các yêu cầu kỹ thuật của định dạng chữ ký có tuổi thọ dài hạn. Tiêu chuẩn Pháp NF Z 42-013 điều chỉnh các hệ thống lưu trữ điện tử có giá trị bằng chứng (SAEVP). Bất kỳ tổ chức nào muốn nhật ký kiểm toán của họ cấu thành bằng chứng không thể bác bỏ trong thời gian dài phải đảm bảo rằng nhà cung cấp hoặc SAE nội bộ của họ tuân thủ những tiêu chuẩn này.

NIS 2 và khả năng phục hồi của cơ sở hạ tầng tin cậy

Chỉ thị NIS 2 (được chuyển tiếp thành luật Pháp bằng luật n° 2024-659 ngày 9 tháng 7 năm 2024) áp dụng cho các nhà khai thác các dịch vụ thiết yếu và các thực thể quan trọng các yêu cầu quản lý rủi ro và thông báo sự cố bao gồm rõ ràng các cơ sở hạ tầng tin cậy được sử dụng cho chữ ký điện tử. Một lỗi của hệ thống truy xuất của PSC có thể cấu thành sự cố có thể thông báo cho ANSSI trong vòng 24 giờ.

Các tình huống sử dụng: tính năng truy xuất trong hành động

Tình huống 1 — Một tập đoàn công nghiệp kích thước trung bình và 1.200 hợp đồng nhà cung cấp hàng năm

Một tập đoàn công nghiệp khoảng 3.500 nhân viên, phân bổ trên sáu trang web ở Pháp và hai trang web ở Trung Âu, quản lý mỗi năm hơn 1.200 hợp đồng nhà cung cấp (các lệnh khung, các thỏa thuận bảo mật, sửa đổi giá). Trước khi triển khai giải pháp chữ ký điện tử với piste d'audit tích hợp, bộ phận mua hàng của nó bảo quản các hợp đồng được ký trong một thư mục mạng được chia sẻ, mà không có phiên bản hoặc nhật ký sự kiện. Trong quá trình kiểm toán ngoài được lệnh bởi một cổ đông tổ chức, nhân viên kiểm toán không thể tái tạo lịch sử xác nhận của 23% hợp đồng được kiểm tra: không thể chứng minh rằng người ký đã có ủy quyền quyền hạn cần thiết vào thời điểm ký.

Sau khi triển khai nền tảng chữ ký nâng cao (AdES) với nhật ký kiểm toán bất biến được horodatage bởi TSA hợp lệ, tập đoàn hiện có, cho mỗi hợp đồng, một báo cáo piste d'audit có thể tải xuống bằng một cú nhấp chuột. Trong quá trình kiểm toán tiếp theo (18 tháng sau đó), tỷ lệ tái tạo chuỗi xác nhận đã tăng lên 100%, và thời gian mà nhóm kiểm toán dành cho việc thu thập bằng chứng tài liệu đã giảm 65%.

Tình huống 2 — Một văn phòng tư vấn quản lý (40 cố vấn) tuân theo các yêu cầu RGPD của các khách hàng

Một văn phòng tư vấn hỗ trợ các ban giám đốc tài chính của các doanh nghiệp lớn được kiểm toán thường xuyên bởi các ban tư pháp của các khách hàng của nó, những người yêu cầu bằng chứng rằng các thư ủy quyền và thỏa thuận bảo mật được ký bởi những người được phép, trong các thời hạn hợp đồng. Văn phòng trước đó sử dụng chữ ký đơn giản qua email (chụp màn hình + PDF), mà không có bất kỳ giá trị bằng chứng vững chắc nào.

Bằng cách di chuyển sang giải pháp chữ ký điện tử hợp lệ (QES) cho các tài liệu nhạy cảm nhất và nâng cao (AdES) cho các cam kết hoạt động, văn phòng hiện có thể cung cấp cho các khách hàng của nó một gói bằng chứng được tiêu chuẩn hóa: chứng chỉ chữ ký, báo cáo piste d'audit, horodatage hợp lệ và siêu dữ liệu xác thực. Gói này đã cho phép giành chiến thắng hai cuộc gọi tìm kiếm mà tính năng truy xuất tài liệu là một tiêu chí loại trừ rõ ràng, đại diện cho doanh số bổ sung được ước tính là 180.000 € trong năm đầu tiên.

Tình huống 3 — Một nhóm bệnh viện khoảng 1.100 giường đối mặt với các kiểm tra của Tòa án Kiểm toán

Một nhóm bệnh viện công lập quản lý nhiều cơ sở phải đối mặt với các kiểm tra thường xuyên của phòng khu vực Kiểm toán trên các thị trường công cộng của nó và các thỏa thuận hợp tác. Các tài liệu hợp đồng được ký điện tử phải có thể được sản xuất với piste d'audit hoàn chỉnh của chúng trong thời gian rất ngắn (48 đến 72 giờ trong trường hợp triệu tập).

Cơ sở đã triển khai một kiến trúc lưu trữ có giá trị bằng chứng (AEVP) tuân thủ tiêu chuẩn NF Z 42-