牦牛科技与e签宝合同曝光，电子签名实名认证谁之责？

“我们只是技术工具，公章真假由牦牛科技负责”，3月18日，电子签名服务商e签宝高管在浙江华侨系案件专班组织的沟通会上，面对投资人追问时抛出争议性回应。

自2005年4月1日起施行的《中华人民共和国电子签名法》（下称《电子签名法》），即将迎来它的二十岁生日。半个月前，华侨系黄金理财诈骗案投资者代表与e签宝管理层进行了第二次正式沟通会，这次对话中关于电子签名行业技术合规性、责任边界与行业生态的争议，在《电子签名法》20周年这个时点显得颇为尴尬。

自半年前华侨系暴雷以来，中国黄金集团旗下公司中鑫国际融资租赁（深圳）有限公司（下称：中鑫国际）在不同场合声明自己在华侨系涉案公章为假公章。这一声明把电子签名行业龙头公司e签宝推上了风口浪尖——假章如何批量从e签宝出口流出？

“318”沟通会上，e签宝第一次派出了高管作为代表，公司管理层解释称，e签宝向华侨系平台牦牛信息科技（杭州）有限公司（下称：牦牛科技，侨行天下APP的运营主体）提供的是工具性质的接口产品，且约定将实名认证的义务和责任，委托“让渡”给牦牛科技。

这次沟通会再次引发电子签名认证行业服务底线的讨论。客户的不正当需求是否应成为挡箭牌？将身份认证责任转嫁给客户平台以规避审核是否已成为行业潜规则？

央视“315晚会”曝光电子签被高利贷利用，部分电子签平台的“实名认证”成了摆设，许多受害者签署电子合同后才发现，收款方竟然是虚假身份，甚至“不是活人”。

在《电子签名法》颁布20周年之际，电子签名行业的合规性困境和隐含的系统性风险是否已经充分暴露？

正如某电子签名行业垂直媒体近日发文写道：从鼓吹法律效力到滥发数字证书；从价格战内卷到放任接口的“裸奔”，这场危机早被写好了剧本。

技术“犯规”还是甩锅行业？

3月18日召开的沟通会，e签宝派高级副总裁顾福燕和业务总裁余贤圆作为代表来参加。记者获得了此次沟通会的相关会谈资料。

与e签宝此前在多个场合中表达的意思类似，此次管理层仍然表示，其向市场提供的产品有两套截然不同的流程：一套是工具类的产品，即e签宝提供接口，供客户在自己的业务平台调用；一套是官网产品，即签约的完整流程在e签宝的平台实现。侨行天下使用的第一类产品。

有行业内人士向第一财经记者指出，嵌套产品，可以称之为工具类产品，即通过API接口集成到客户平台；后一种产品是SaaS产品，即在电子签厂商的自有平台实现全流程签约。

e签宝管理层称，自2019年起，e签宝作为RA（注册机构）服务商为侨行天下提供电子合同签署，根据双方协议，身份认证通过侨行天下平台完成。

去年12月，e签宝发布官方声明称：根据协议约定，牦牛科技平台用户的身份认证由牦牛科技完成并承担相应法律责任。

记者近日从华侨系员工处获得了e签宝与牦牛科技2023版和2021版两版合同，也佐证了“约定认证委托”和“让渡”认证“责任”的事实。

以2023版合同为例，其中第4.2（7）条指出：双方理解，通过集成乙方（e签宝）软件功能实现电子化签约是基于甲方（牦牛科技）的需求，甲方可自行确认签约流程和需验证的要素，乙方仅可建议甲方按照符合《电子签名法》和相关法律法规的要求进行操作。

在2021版合同中，同样的条款出现在第4.2（6）条款中。另外，2021版合同所附风险提示函第6款条款为：您（牦牛科技）应知悉，乙方（e签宝）对您提交至电子签名系统和数据存证系统的数据不会做实质内容审核，您应确保您通过技术接口传递的电子数据的合法性、真实性、完整性。

对此，e签宝管理层表示，现实应用场景，比如平台客户中通过“约定认证委托”“让渡”认证“责任”是普遍存在的行业现象。

e签宝管理层承认，认证材料存于侨行天下的APP服务器内，而非e签宝服务器。e签宝只留存了中鑫国际的企业名称与统一社会信用代码。

但是对于华侨系投资人来说，这件事情变得很荒唐。“中鑫国际在华侨系案件中本质上是一个增信人，借款人是牦牛科技，现在增信人的身份，由借款人来认证，这很荒唐。我们是相信e签宝的平台对于增信人来进行身份认证，结果他们把这个权利交给了借款人。”一位投资人对记者表示 。

“我们希望看到中鑫国际和e签宝面对面发声，到底章是真的还是假的； 我们希望电子签行业厂商站出来为自己的行业澄清，到底是一家之言一家所为，还是行业通行做法，我们也想知道这个系统性风险到底有多大”，上述投资人对记者表示。

模糊且利益丰厚的“灰色地带”

北京一位不愿具名的律师表示，不管工具类产品还是Saas产品，都要符合电子签名法。电子认证行业服务的底线是需要坚守的，客户的不正当需求该作为挡箭牌，不能为争夺客户降低审核标准，甚至默许虚假合同。

e签宝去年“甩锅”行业之后，行业出现不同声音。上上签CEO万敏正是其中一位。万敏向记者表示，去年她试图为行业“正名”的声明文章，不久后便找不到踪迹。

一位电子签名行业匿名投资人对记者表示 ，当前各大厂商普遍在平台中整合了电子签名服务，可视为行业常态。然而，“约定认证委托”与“让渡认证责任”等做法并不是行业“惯例”。

举例来说，按规定应实施“三要素认证”的情况下，擅自降为标准较低的“二要素认证”，此种行为已经是对合规底线的挑战，更遑论将认证责任全部“单边委托”给电子合同的某方。此类超越规范的操作，往往潜藏着高额利润，却也步入了法律与道德风险边缘的灰色区域。

万敏告诉记者，平台类客户上线前必须完成实名认证，因为他们作为开发者主体会发起签署大量的电子合同，“一出错就是大错”，更要严格实名验证。

嵌入客户的平台，在行业内称为“客户的生产环境”。“客户上‘生产环境’前，需提交产品实名、合同签署说明及日志截图进行合规审核。每一份合同上，每一个签署人，都要去做身份审核 ，审核通过后释放开发者参数。”万敏说。

法大大一名区域负责人也对记者表示，电子签名公司法人实名认证需人脸比对法人及经办人，并验证组织信息。

一位行业专家指出，如果“约定委托认证”确认存在，不论是e签宝个别行为，还是“行业通行做法”，都隐含着巨大的风险隐患。“别说央企了，更高级别，甚至公权力部门的公章是否也可能被伪造？系统性风险不可不察。”

提到“天下无假章”的宣传时，e签宝管理层表示，天下无假章，只是社会公众都希望实现的一种状态。

当被投资者问及“以你们的技术服务，能保障章都是真的吗？”，e签宝代表回答：“”这个问题有点大。

记者注意到，此前e签宝官方视频号中，“天下无假章”的宣传视频，目前已寻觅不到。

行业漏洞

1月中旬，华侨投资者投诉后得到工业和信息化部12381的答复，称中鑫国际的电子签名证书由江苏智慧数字认证有限公司（下称：江苏CA）与黑龙江CA颁发，通过e签宝平台签署电子合同，但杭州天谷信息科技有限公司（下称：杭州天谷，e签宝运营主体）非该项目电子认证服务者。

根据投资人提供的合同验证信息，中鑫国际的CA证书服务商2024年1月2日前为江苏CA，之后变为黑龙江CA。

有意思的是，杭州天谷曾为江苏CA股东，2023年4月退出股东名单。

e签宝管理层称，退出江苏CA股东与中鑫国际的电子认证服务商的转换，没有关系。

工业和信息化部已向相关投资者回复表示，正在开展深入调查，并将依据调查结果依法作出相应处理。

专业人士指出，工业和信息化部的回复明确界定了e签宝并非认证机构（CA），但同时也确认了e签宝作为注册机构（RA）的身份不容忽视。具体而言，当通过e签宝的接口进行服务调用时，其角色即被界定为RA。作为RA，e签宝承担着实名认证审核的法定责任与义务。

一名电子签名领域的投资人向记者表示，电子合同签署流程涉及三个关键协同实体：首要为CA（数字认证机构），其职责在于颁发、管理及吊销数字证书，以认证用户身份的真实性，构成了电子认证流程中的“根本信任源”；其次为RA（注册机构），旨在缓解CA的身份验证压力，提升整体效率，直接服务于证书订户，并负责在订户与CA间传递证书管理相关信息，功能类似于渠道服务商；第三则为电子签约平台，专注于提供合同签署与管理服务。

具体操作流程通常如下：用户首先向RA提交证书申请，例如SSL证书，随后RA对用户身份进行严格审核，包括域名所有权或企业信息的验证；审核通过后，RA将申请转交至CA，由CA正式签发证书并反馈给用户。

CA机构与电子签约平台保持紧密合作，利用CA颁发的数字证书来验证签署方的身份，从而确保签署行为的合法性与有效性。同时，RA负责证书的申请、审批及日常管理工作，并采用先进的加密技术来保障服务的安全性，有效防止签名被非法篡改或伪造。

根据工业和信息化部颁布的《电子认证服务管理办法》，所有CA公司均被要求公开其认证业务规则（CPS）。例如，中国银联集团及其控股子公司中金金融认证中心有限公司（CFCA）在其CPS中明确规定，CFCA体系下的注册机构设置于CFCA内部，由CFCA自行承担RA职责，不委托任何外部机构执行此任务。

然而，记者发现，黑龙江某CA机构未能公示其CPS，这已明显违反了工信部的相关规定。

业内专家与法律界人士共同呼吁，应积极推动电子签名行业建立“双认证”机制，以进一步强化RA机构的责任担当。

值得注意的是，2024年9月2日，工信部发布了《电子认证服务管理办法》的征求意见稿，其中明确指出，“电子认证服务机构不得将证书申请的受理、查验以及证书的签发、交付等环节委托给外部机构或个人执行”。这意味着，未来电子签名的全流程将不再允许将认证工作授权给第三方，而必须由同一家企业独立完成。