效率與司法認可的平衡—電子簽名（簽章）應用方案的合規檢視
作者：吳衛明 2020-12-082020年初以來，由于疫情原因，對企業的商業活動產生了較大的影響，特別是對于各類商務合同簽約產生了巨大的影響。為了應對疫情影響，解決遠程電子合同簽約問題，越來越多的企業開始采用電子簽章系統。
與此同時，各地方政府在電子政務及社會服務方面，也采取了一些措施，幫助社會主體實施電子簽名，如上海市政府即依托大數據中心推出了一網通辦服務。該平臺既可以支持電子政務的各種申請文件簽署，也支持其他社會主體的電子合同簽署與電子簽名認證。
而中國證券投資基金業協會也于2020年10月28日發布了《私募投資基金電子合同業務管理辦法（試行）》（征求意見稿），推進電子簽名在私募基金合同簽署中的應用。
在這一大背景下，諸多電子簽名服務機構，獲得了大量的商業機會，行業發展迅猛。然而，相對于CA機構和其他電子簽名解決方案技術服務商，電子簽名（簽章）的應用機構（企業用戶）往往在技術和對法律問題的理解方面有所滯后。因此，借助專業的律師對于電子合同與電子簽名的應用方案進行合規檢視，是電子合同與電子簽名應用方案發揮其應有法律效力的重要保障。
電子簽名（簽章）問題，是在線辦公、在線交易無法回避的一個基礎性問題。從法律概念來講，電子簽章規范的稱呼應為“電子簽名”，但由于在實施過程中，對于企業用戶，通常從交易習慣角度采用簽章概念，包括在電子文檔展示過程中模擬出印章的圖樣，故“電子簽章”也經常被用作電子簽名的同一概念。
對于電子簽名的概念、用途及常見場景、法律效力等問題，已在筆者的多篇文章中體現[1]，此處不做贅述。
電子簽名的運用不是孤立的，電子簽名通常被應用于各種在線交易場景中。而適用電子簽名的在線交易平臺或者機構，采用何種電子簽名應用方案，對于其交易的便捷性、交易數據的可靠性、爭議解決的可支持性，均有直接的影響。本文旨在厘清電子簽名應用方案中常見的誤區，并對電子簽名應用方案的合規給出具有操作性的建議。
一、電子簽名應用方案合規檢視概述
1、什么是電子簽名應用方案？
電子簽名是一個靜態的概念，我國《電子簽名法》對于電子簽名的定義也比較抽象。電子簽名發揮法律效力，需要與相應的電子簽名應用方案相匹配。
所謂電子簽名應用方案，是從電子簽名支持在線可追溯交易機制出發，對于在線交易及電子合同簽署的全流程如何與電子簽名結合進行規劃，從而實現法律上所說的數據電文的可靠性與不可篡改性，為在線交易與電子合同的效力提供支撐。
電子簽名應用方案是網絡經營者在線交易流程最重要的基礎工程，這一方案的合法合規性關系到企業電子在線交易及電子合同目的是否能夠實現。
2、電子簽名應用方案的要素
一般而言，電子簽名應用方案的要素包含以下幾個方面：
（1）簽名制作證書（數字證書）的賦予方式
簽名制作證書，即通常所說的數字證書，以何種方式賦予實施電子簽名的主體，對于電子簽名的認證具有基礎性的意義。這一環節，可以理解為將電子簽名與制作數據及電子簽名人可靠地聯系起來的數據電文或電子記錄。電子簽名人以某種數據電文方式實施了電子簽名，但是由于數據電文與做出電子簽名的主體相互之間的關聯性如何證明，卻無法由數據電文本身加以證明，而需要由獨立第三方出具數字證書對此過程實施證明。按照法律規定，認證機構發放簽名證書，需要核實主體的身份。因此，如何賦予簽名主體數字證書，將是電子簽名方案中最為核心的環節。
（2）電子簽名的介入環節
電子簽名是與特定行為緊密聯系的，簽名主體在線做出某種活動的過程中，均存在確認或發出數據電文的行為，與線下簽署紙質合同的過程不同，在線交易通常不僅僅依靠一份合同文本證明當事人的意思表示，而是需要由一系列行為的匯總方可證明當事人的意思表示[1]。電子簽名在不同環節介入，對于交易證明發揮的作用并不相同。如果電子簽名服務機構（CA）或其授權機構（RA）給予的電子簽名解決方案并不完整，則可能會降低電子簽名在訴訟或仲裁過程中的證據效力。
（3）第三方數字認證機構（CA）的選用
第三方數字認證機構，通常指依照《電子認證服務管理辦法》取得《電子認證服務許可證》，具備為電子簽名數據簽發數字證書的專業服務機構。數字認證機構是電子交易及電子合同的基礎設施，也是最終為電子簽名行為提供證明的第三方機構。選取數據認證機構，需要核實其《電子認證服務許可證》的獲取情況及許可證的有效期等要素，從而判斷其認證服務是否符合法律的規定。
（4）第四方服務機構的選用
第四方服務機構，一般是指為CA提供數字證書代理服務的授權機構。在有些場景下，此類機構還會提供電子數據及電子合同存證服務。第四方機構通常是指不具備電子認證服務資質的服務方案提供商，因其并不具有電子認證的服務許可，因此，不能直接提供認證服務，而需要與第三方電子認證機構合作。
二、電子簽名應用方案合規檢視的作用分析
對于在線經營的企業而言，在搭建電子簽名（簽章）應用方案過程中，進行電子簽名應用方案合規檢視有積極的現實作用。電子合同或用戶簽署的其他電子化的文件，是在線經營主體業務流程的重要支撐文件，也是發生糾紛時進行舉證的基礎。而電子簽名方案是否合理？是否足以支撐上述目標？則是電子簽名應用方案合規檢視的基本內容。
總體而言，電子簽名應用方案合規檢視的主要作用如下：
1、甄別電子簽名應用方案在不同環節的法律風險
按照當前市場通行的做法，企業在電子簽名實施過程中，通常會涉及用戶身份驗證、身份識別、文檔簽署、其他節點性文件的點擊確認、文檔保存、文檔調用等多個環節。上述環節中，既有網絡經營者自行實施的環節，也有通過第三方專業服務機構實施的環節，共同構成了電子簽名應用方案。
由于不同環節實施成本、實施主體、實施的技術要求不同，從而存在不同的法律風險。對于網絡經營者而言，對上述不同環節采用的法律風險做出甄別，有利于構建更加可行的方案。
2、促使經營者對電子簽名應用方案有合理預期
實踐中，網絡經營者有時會認為，采用了電子簽名方案就一定會取得預期的效果。但事實上，并非如此。不同的電子簽名方案，由于其技術措施、實施環節的不同，最終的法律效果上存在一定的差異，企業對此應有正確的預期。
通常而言，用戶體驗、實施成本和預期效果有較強的關聯性。在當前的技術環境下，用戶體驗的便捷性與電子簽名實施方案的可靠性，存在一定的負相關，如果要獲得更為可靠的簽名方案，可能會以犧牲用戶體驗為代價。而實施成本則與預期效果正相關，即，采用成本較高的簽名方案，一般在法律上的可靠性也更強。
因此，電子簽名應用方案，并不只是一個法律上的可靠性判斷，而是需要綜合成本、用戶體驗等各種因素，合規檢視就是幫助經營者建立適當的預期，從而幫助經營者綜合各方面信息，選用不同的簽名應用方案。
3、幫助經營者選擇合適的簽名應用方案
選用怎樣的電子簽名應用方案，不僅是一個法律問題，也是一個商業利益的判斷問題。法律上可靠，且被司法接受的電子簽名應用方案是存在的。但是，由于身份認證、點擊簽約、其他交易環節等各個流程之間存在著一定的印證關系。如何根據交易環節的風險程度、交易違約的可能性等因素，合理選用電子簽名應用方案，對于網絡經營者而言，是成本與法律認可性之間的平衡問題。
三、電子簽名應用方案實施過程中的若干誤區
由于電子簽名的技術性、復雜性，以及法律及相關規則的抽象性，在電子簽名應用方案實施過程中，容易產生一些誤區，對于簽名的有效性、簽名的證明效力帶來一些負面影響。主要的誤區包括以下幾個方面：
1、對電子簽名應用效力的不當理解
《電子簽名法》第二條規定“本法所稱電子簽名，是指數據電文中以電子形式所含、所附用于識別簽名人身份并表明簽名人認可其中內容的數據。
按照這一概念，電子簽名是用戶持有第三方數字認證機構簽發的數字證書，并通過證書對其發送的有關數據電文進行簽署（哈希加密）。
然而，對電子簽名證明效力的理解，卻不宜按照傳統合同的視角進行理解。傳統合同以完整文本加蓋印章或簽名作為成立（生效）的標志，通常是一個簽署行為產生完整的法律效力。但是，電子簽名的“簽署”行為，卻未必能夠產生有效的合同。因為電子合同的簽署有時是一系列過程的組合，如有些情況下，為了用戶體驗，可能將電子合同的整體拆分為專用條款、用戶告知條款等不同的部分，用戶瀏覽確認有關文件，并對最后的文件進行簽署，從合同法的角度看，已經完成了簽約。但是從電子簽名的證明角度，可能其中只有部分數據電文經過了電子簽名過程，因而對合同效力的證明產生瑕疵。
2、電子簽名應用階段的不當理解
從法律角度看，電子簽名最好應用在所有的交易環節，從用戶注冊，到點擊確認交易行為，再到支付行為等。這種全流程運用電子簽名的做法固然能夠保障交易安全，但是在實際操作中，卻很難被采用。比如在用戶注冊環節，如果以電子簽名方式來實施用戶注冊，則用戶首先應從第三方數字認證機構處獲取數字證書，然后再實施相應的登陸和實名注冊。這本身就會增加交易的環節，降低用戶體驗，導致用戶流失，甚至增加了網絡運營者的成本[2]。
按照現有的交易慣例以及司法裁判的案例，通常采用多要素交叉驗證方式所實施的用戶實名驗證，即可以證明做出用戶注冊行為主體的身份。并且，電子化注冊行為，雖然也屬于以數據電文方式做出的法律行為，但由于注冊的行為本身并不直接涉及交易內容，因而這一環節也可以不采用電子簽名予以證明。
3、電子簽名效力的常見瑕疵
證書的效力瑕疵主要體現為以下幾個方面：
一是證書發放機構的資質問題，如發放證書的機構并不具有國家認可的電子認證服務資質。《電子簽名法》規定，提供認證服務，應經過國務院信息產業主管部門許可。因此，資質問題將是影響電子簽名效力的關鍵因素之一。
二是電子簽名制作證書持有者的身份驗證問題，電子認證機構（CA）對于簽名用戶身份驗證的方式包括自行認證和授權第三方（RA機構）驗證。經過身份驗證后，發放數字證書，從而證明持證人的身份以及證明簽名者的身份。CA自身及RA機構的身份驗證過程是否嚴謹，決定了數字證書是否能夠起到相應的證明效力。
四、電子簽名應用方案的合規檢視及優化
對于電子簽名（簽章）的應用機構而言，通常會從專業的CA機構或RA機構獲取電子合同與電子簽名的綜合應用方案。然而，上述應用方案是否可以達到預期的法律效果，是否足以獲得司法機關對于效力的認可，是否可以達到法律風險控制的需求，則需要專業律師幫助電子簽名應用機構進行把關。包括協助企業與電子簽名服務機構進行談判，以及對方案進行整體的檢視和判斷。
電子簽名應用方案的合規檢視，本質是對簽名應用方案在特定企業的商業模式、業務流程中適用的可行性、匹配性與合規性進行整體的檢視。
1、對于簽名應用方案的主要環節進行審核
簽名應用方案應該是針對整個業務流程的全面解決方案，正如本文前面所述，電子合同的簽署是一個動態的過程，而非簡單的一個文本簽署動作。用戶身份驗證、閱讀各種提示與說明，都可能成為證明電子合同有效性的必要環節。因此，電子簽名應用方案應與企業的業務流程匹配，能夠在法律證明效力上支撐企業的業務流程與商業目標。
2、對適用簽名方案的具體業務進行流程分析
企業適用電子簽名方案，目的是解決特定業務的電子合同簽約、存證、舉證等法律證明問題。因此，需要對特定業務的流程進行熟悉和分解，從而確定哪些關鍵環節需要電子簽名應用或電子數據存證。對于業務流程與電子簽名應用方案匹配度的判斷，無疑是建立在對業務流程的特征、作用、風險管控需求熟知的基礎之上的。
3、分析并對應用方案提出完善建議
律師作為電子簽名方案應用企業的顧問，根據對企業的業務流程及電子簽名應用方案的深入了解，對方案的風險控制狀況做出客觀的分析，幫助企業建立合理的法律效果預期，并提出對方案的優化建議，以有利于企業實施電子簽名（簽章）方案。
4、與電子認證機構或/及綜合應用方案提供商溝通協調
通常而言，電子簽名應用方案提供商包括持牌的電子認證機構（CA）和其他服務機構。兩種方案下，參與的主體并不相同。
在CA機構直接提供方案的情況下，整體解決方案所涉主體會相對簡單，包括CA機構與電子簽名應用方，相關的合同關系也會比較簡單。CA機構提供用戶驗證、簽名證書發放、數據電文及電子合同存證等一攬子服務。
在其他服務機構提供電子簽名解決方案情況下，由于證書需要CA發放，因而，整體方案的提供方主要是完成用戶的驗證和數據電文及電子合同存證，而簽名證書或數字證書的發放則仍需CA機構完成。
律師需要根據不同的模式，充分考慮到參與主體不同而可能給實施帶來的差異，并就實施中的法律與合規問題進行溝通。
結語：
在電子簽名（簽章）日益普及的今天，企業都在逐步建立自身的電子簽章系統。而電子合同、電子簽約流程、電子簽名方案應用等事項，具有高度的專業化特征。引入專業律師作為企業的顧問，協助企業與電子簽名服務商進行溝通，幫助企業規劃簽名應用方案，并對其合規性進行判斷與完善，有利于企業順暢地完成在線化轉型。
注釋：
[1] 《電子合同的信息成本分析—基于經濟學的立法路徑研究》，《情報雜志》，2006年第12期
[2] 《銀行金融機構遠程簽約法律問題分析及建議》，《金融科技時代》，2020年第4期。
