Анна Кривошеева, С7 «ТехЛаб»: Подписание ЭЦП ФЛ+МЧД. Опыт холдинга С7 в условиях нового законодательства

В этой статье я хочу поделиться опытом холдинга С7 по адаптации к изменениям в Федеральном законе 63-ФЗ об электронной подписи. Мы пройдем путь от создания машиночитаемой доверенности (МЧД) до ее интеграции во внутренние сервисы, включительно с этапами валидации. Рассмотрим связку сертификатов физических лиц с МЧД и разберем, как организована проверка полномочий в холдинге С7 в сегменте B2B.

Для начала определим ключевое понятие. Машиночитаемая доверенность – это электронный документ в формате XML-файла, подписанный квалифицированной электронной подписью руководителя организации или ИП. Она подтверждает полномочия сотрудника на подписание электронных документов от имени юридического лица. Использование МЧД регламентируется Федеральным законом 63-ФЗ и стало обязательным с 1 сентября 2024 года. Основные требования к форме, структуре XML-файла и порядку использования определяет Приказ Минцифры РФ № 857 от 18.08.2021, а также статьи 17.2–17.5 закона № 63-ФЗ.

Создание МЧД в холдинге С7

Процесс создания машиночитаемых доверенностей в холдинге С7 построен на базе системы «1С:Документооборот» (1С:ДО). Ранее мы создавали и согласовывали бумажные доверенности именно в этом контуре, поэтому решили сохранить привычный для руководства организации процесс и в цифровых аналогах.

При формировании МЧД в 1С:ДО заполняются те же реквизиты, что и для бумажного варианта. Данные организации и руководителя подтягиваются автоматически. Сведения о доверенном лице – фамилия, имя, отчество, паспортные данные, дата рождения – также загружаются из системы без необходимости ручного ввода, требуется лишь проверка корректности.

Важно отметить, что полномочия зависят от выбранного шаблона: они зашиты непосредственно в него, и в итоговом XML-файле фиксируются именно те права, которые требуются для данной организации.

Процессы создания, согласования и подписания для бумажных и машиночитаемых доверенностей идентичны. Ключевые отличия заключаются лишь в формате файла (XML) и отправке данных в распределенный реестр ФНС.

Интеграция и валидация

После регистрации доверенности в ФНС и присвоения ей статуса действия она становится доступной для использования с применением сертификата в 1С:ДО. Однако для дальнейшей работы мы интегрируем МЧД в свои внутренние сервисы. Для этого не требуется передавать полные данные из 1С:ДО: мы интегрируем только три параметра – номер машиночитаемой доверенности, ИНН представителя и ИНН доверителя.

На основе этих данных во внутреннем интеграционном сервисе создается шаблон МЧД, который затем передается по API на валидацию. Для проверки мы используем сервис «Контур.Доверенность». Он обращается в распределенный реестр ФНС, валидирует доверенность и возвращает нам статусы, даты действия и сам XML-файл.

В наш интеграционный сервис поступают все МЧД, которые когда-либо к нам направлялись – как нашей организации, так и сторонних компаний. Хранение и валидация происходят в режиме реального времени: как только документ поступает в систему, сразу инициируется проверка доверенности.

Стоит отметить, что ФНС России сдвинула сроки обязательности применения МЧД с сентября 2023 на 2024 год, но холдинг С7 уже был готов использовать МЧД при подписании с 2023 года: мы не только создавали свои МЧД, но и тестировали их валидацию. Объем проверок постоянно растет, поскольку каждый поступающий документ, подписанный ЭЦП ФЛ, требует подтверждения полномочий.

Проблема полномочий: текст против кода

При детальном рассмотрении XML-файла доверенности большинство реквизитов – даты действия, данные представителя и доверителя – выглядят понятно и однозначно. Вопросы возникают только при определении полномочий, так как они могут быть представлены в текстовом или кодовом виде. Текстовые полномочия могут занимать более 10 страниц, что значительно усложняет их анализ.

По статистике нашего модуля, лишь 12% полномочий являются кодовыми, тогда как 88% представлены в текстовом формате. В связи с этим перед нами встала задача проверки правомерности подписания документов.

Мы выделили два ключевых вопроса: как обеспечить корректное подписание документов уполномоченными лицами самого холдинга С7 и как проверять подписи со стороны сторонних контрагентов.

Решение для внутренних сотрудников

Для решения первого вопроса мы реализовали жесткую сцепку сертификата с машиночитаемой доверенностью. Все сертификаты выпускаются и создаются в личном кабинете сотрудника через наш внутренний сервис. Там заполняются реквизиты компании и подтягивается публичный ключ, при этом закрытые ключи не хранятся в системе.

Под полномочиями мы понимаем категории или виды документов, которые выбираются из списка согласно нашей внутренней номенклатуре. Сотрудник выбирает номер ранее выданной машиночитаемой доверенности, причем доступен только тот номер, который был выдан для данной компании. Это ограничение особенно актуально для холдинга, где один сотрудник может иметь несколько доверенностей, но один сертификат.

Таким образом, все документы, подписываемые в системе, имеют жесткую связку сертификата физического лица с машиночитаемой доверенностью «ЭЦП ФЛ + МЧД». Подписание документа невозможно, если у сотрудника нет соответствующей категории полномочий. Без сертификата машиночитаемая доверенность становится бесполезной, что обеспечивает высокий уровень контроля.

Решение для сторонних контрагентов и роль ИИ

Второй вопрос – проверка полномочий сторонних контрагентов – оказался более сложным. Прежде всего, мы вывели информацию о полномочиях непосредственно в подписываемый документ. Для всех участников процесса отображаются даты действия, статусы доверенности, а также сведения о том, с каким сертификатом и какой МЧД был подписан документ. Эта информация видна на этапах согласования и подписания.

Далее мы разработали модуль для ввода ограничений по МЧД. В нем можно вручную задать направление документа, сумму от и до, а также вид документа, который разрешено подписывать. Однако ручной ввод ограничений для каждой доверенности – процесс длительный, учитывая большой объем документов и постоянную ротацию доверенностей (истечение сроков, создание новых).

Поэтому сейчас мы занимаемся доработкой системы с использованием искусственного интеллекта. Цель – перевести текстовые полномочия в структурированный вид и классифицировать их согласно нашим категориям. Полномочия из XML-формата будут передаваться во внутренние сервисы искусственного интеллекта, где после структурирования ответ вернется в виде JSON. Этот формат позволит сопоставить данные с нашими атрибутами и правилами, раскладывая их по категориям. На данный момент эта задача находится в стадии доработки и еще не выведена в продакшн.

Получение детализированного атрибутного состава и категорий документов позволит не только отображать информацию в документе, но и настраивать алерты, ограничения и всевозможные заморозки документооборота в соответствии с потребностями бизнеса.

В результате мы нашли ответы на оба вопроса о проверке правомерности подписания. Для сотрудников холдинга была внедрена жесткая сцепка сертификатов физического лица с МЧД. Для уполномоченных лиц сторонних контрагентов процесс сейчас работает в ручном режиме или через ручной ввод ограничений, однако в дальнейшем мы планируем автоматизировать его с помощью искусственного интеллекта.

Внедрение технологий ИИ позволит нам практически на 100% покрыть проверку правомерности подписания документов и обеспечить полный контроль полномочий.

Анна Кривошеева, менеджер продукта ЭЛФИНДО, компания С7 «ТехЛаб»