电子签名使用管理细则

电子签名使用管理细则一、第一章总则1.1第一条编制目的与依据电子签名一旦被冒用、伪造或私钥泄露，其法律后果与手写签名完全等同，且事后追溯难度远高于纸质文件——这是本细则将电子签名管理提升到专项制度层面的根本原因。本细则依据《中华人民共和国电子签名法》（2019年修正）、《中华人民共和国数据安全法》《中华人民共和国密码法》及公司《信息安全管理规定》制定，用于规范公司在合同签署、内部审批、财务支付、人事文件等场景中电子签名的申请、使用、保管与注销全流程。1.2第二条适用范围本细则适用于：1.公司全体在职员工，含正式员工、劳务派遣人员、实习人员；2.所有使用公司电子签名平台（以下简称「签章平台」）完成的签署行为；3.涉及对外的合同、订单、对账单、授权书，以及对内的审批单、考勤确认、薪酬确认等全部文件类型。纸质签署场景不适用本细则，但经纸质签署后扫描归档的文件，其归档管理参照本细则第五章执行。1.3第三条术语定义•电子签名：指《电子签名法》第二条所定义的数据电文中以电子形式所含、所附用于识别签名人身份并表明签名人认可其中内容的数据，本细则主要指基于PKI技术的数字证书签名与可信时间戳。•数字证书：由依法设立的电子认证服务机构（CA机构）签发，绑定签名人身份与公钥的电子文件。•可靠电子签名：同时满足签名人专有、签署时仅由签名人控制、签署后任何改动可被发现、任何改动可被发现的前提下能查知改动内容的电子签名，其法律效力与手写签名或盖章同等。•盖章账户：以单位名义申请、对应公司公章/合同章/财务章电子化的账户。二、第二章组织与职责电子签名管理的核心矛盾是「用得方便」与「管得住」之间的平衡，职责划分必须做到「用签的人不管钥，管钥的人不签章」，任何一人不得同时掌握签名权限与密钥管理权限。2.1第四条信息化部门（系统管理方）1.负责签章平台的部署、运维、账号开通与回收，平台可用性目标为99.5%（每月累计不可用时长不超过3.6小时）；2.负责数字证书的申请、更新（到期前30日启动换证）、吊销；3.负责签名日志的留存，日志保存期限不少于5年（依据《电子签名法》对数据电文保存要求及公司档案管理规定取严值）；4.每季度对平台账号进行一次权限复核，形成《账号权限复核表》报信息安全负责人签字确认。2.2第五条行政部（印章管理方）1.负责盖章账户的实体印章对应关系登记，确保一枚电子章对应一枚实体章、一个保管责任人；2.负责盖章账户使用授权的审批台账维护；3.每半年与信息化部门核对一次盖章账户清单，差异项5个工作日内查明原因并整改。2.3第六条各业务部门（使用方）1.负责本部门员工电子签名账号的申请、变更、注销发起；2.负责本部门签署文件内容的准确性核验——签名人对签署内容负全部法律责任；3.员工离职当日，由部门经办人发起账号注销，信息化部门在1个工作日内完成证书吊销。2.4第七条法务部1.负责审核电子签名适用文件的负面清单（见第九条）；2.负责签署纠纷中的证据固定与司法鉴定对接；3.每年组织1次面向全员的电子签名法律效力培训，培训考核通过率要求100%。三、第三章电子签名账号与证书管理证书是电子签名的「笔」，笔被冒用等同于签名被冒用，因此本章所有要求均围绕「证书与自然人一一绑定、私钥永不离开本人控制」展开。3.1第八条账号申请流程1.员工本人填写《电子签名账号申请表》（附件1），本人签字确认并提交部门负责人审核；2.部门负责人审核通过后，转信息化部门，信息化部门核验身份证信息后2个工作日内完成证书申请与账号开通；3.账号开通后系统自动发送一次性激活链接至员工本人手机，员工须在72小时内完成激活并修改初始口令；口令要求长度不少于12位，包含大小写字母、数字、特殊字符中的至少三类；4.激活时须完成实名核验（人脸识别或银行卡四要素核验），核验不通过则账号保持锁定状态。3.2第九条签名适用文件清单优先适用电子签名的文件：采购/销售合同、框架协议、订单、对账单、保密协议、劳动合同、入职/离职文件、内部审批单、考勤与薪酬确认单。必须使用纸质手写签名或实物印章的文件（负面清单）：1.涉及不动产权属转移的文件；2.依据现行司法实践存在效力争议、法务部明确要求纸质签署的文件（如部分公证、登记类文件）；3.对方当事人明确拒绝电子签名的文件；4.法律、行政法规规定不适用电子文书的其他情形。负面清单由法务部每年1月更新一次并全员公示；负面清单外的文件，业务部门主张使用纸质签署的，须书面说明理由报法务部备案。3.3第十条私钥与认证介质管理1.私钥必须存储在符合国家密码管理要求的介质（手机本地安全芯片、UKey或CA机构托管的加密模块）中，严禁以截图、拍照、导出文件、抄写笔记等任何形式留存私钥或签名口令——私钥一旦外泄，冒签文件在技术鉴定排除前推定为本人签署，签名人将直接承担合同责任；2.认证手机必须由本人持有，严禁将认证短信验证码、人脸识别过程交由他人代为完成——代刷脸完成的签署等同于授权他人冒用身份，一经发现，双方当事人均按公司《员工奖惩条例》记大过处理，造成损失的依法追偿；3.口令连续输错5次账号自动锁定，员工本人持工牌至信息化部门办理解锁，严禁由他人代办解锁；4.员工怀疑口令泄露或手机丢失的，必须在发现后2小时内拨打信息化部门值班电话（见附件3）申请证书冻结，信息化部门30分钟内完成冻结操作；冻结期间该账号无法签署任何文件，确认安全后由本人到场解锁或换发证书。3.4第十一条盖章账户（电子印章）管理1.公司公章、合同章、财务章电子化后，实行「一印一责」：每枚电子章指定1名用印管理员（由行政部对应实体章保管人兼任）；2.单份文件用印：用印申请人发起→部门负责人审批→用印管理员核验文件与审批单一致后加盖，全程留痕；3.批量用印（单次超过20份）：须额外经分管副总审批；4.严禁将盖章账户口令告知用印管理员以外的任何人；严禁在审批手续不全时「先盖章后补批」——补批不及时将导致合同先行生效而公司内部授权缺失，直接引发越权签约风险。确属紧急的，采用「分管副总口头批准+24小时内书面补批」的例外流程，书面补批未完成的，暂停该经办人3个月内的一切用印申请资格；5.电子章每半年校验一次印模完整性（与CA机构联合进行），发现印模异常立即吊销换发。四、第四章电子签名使用操作规程本章是日常签署的执行标准。签名行为不可逆——文件一经签署即产生法律效力，签署前的每一项核对都是在为不可逆行为加保险，必须严格执行。4.1第十二条签署前核对（三查一确认）签署人打开待签文件后，必须依次完成：1.查文件完整性：核对文件页数、金额、日期、当事人名称与审批通过的版本一致，差异超过任何一处的，必须退回发起人重新发起，严禁凭印象签署或「先签后改」——签署后修改文件将破坏签名完整性，轻则导致文件需重新签署，重则被对方主张签署人认可篡改内容；2.查相对方身份：核验对方签署主体名称与其营业执照/身份证明一致；对方通过平台签署的，核验平台返回的对方证书信息（证书主体、证书状态为有效）；3.查签署环境：确认本人操作、本人认证介质在手，不在他人注视下输入口令，不在公共WiFi下完成大额合同（金额超过50万元）的签署，优先使用公司网络或4G/5G移动网络；4.确认签署意愿：点击签署前系统弹出二次确认框，展示文件名称、关键金额/期限字段，签署人逐项勾选确认后方可完成签名。4.2第十三条签署后确认1.签署完成后10分钟内下载或查看签署完成版文件，确认各方签章齐全、时间戳正常；2.合同类文件由经办部门在签署完成后5个工作日内将原件（含签章数据文件）归档至公司档案系统，纸质打印件（如需）加盖「与电子原件一致」章后归档；3.发现签章缺失、时间戳异常的，2个工作日内报信息化部门核查，核查期间暂停该批次文件的后续履行动作。4.3第十四条异常情形处置异常情形判定标准处置动作责任人签名验证失败平台或验签工具提示证书无效/签名不完整立即停止使用该文件，24小时内查清原因信息化部门签署后发现文件内容错误签署版本与审批版本不一致1个工作日内通知对方作废重签，同时报法务部评估已生效部分的法律后果经办部门账号疑似被盗签本人未操作但日志显示本人账户有签署记录立即申请证书冻结，4小时内由信息化部门导出日志，法务部启动证据固定信息化部门、法务部平台故障影响签署平台不可用超过2小时启用备用签署方案（纸质签署或备用平台），故障恢复后3个工作日内补录归档信息化部门五、第五章存档与证据管理电子签名的证据效力不取决于「签了没有」，而取决于「事后能否证明是谁签的、签的是什么、有没有被改过」。存档管理的全部目标是让任何一份签署文件在争议发生时能通过司法鉴定验证。5.1第十五条存档要求1.所有签署完成的文件以「签署完成版PDF（含签章与时间戳）+签署日志」双件归档；2.归档命名规则：年份-部门-文件类型-文件编号-签署日期，例如2025-CG03-采购合同-CG2025031-20250315；3.存档系统采用只写不改（WORM）存储策略，任何人严禁删除或修改已归档签署文件；确需更正的，以「作废重签+新文件关联旧文件编号」方式处理；4.保存期限：合同类不少于合同终止后10年，人事类不少于劳动关系终止后10年（劳动关系存续期间争议时效及社保稽核追溯考虑），财务类按《会计档案管理办法》执行（会计凭证类30年）；其他类不少于5年。5.2第十六条证据固定与鉴定配合发生签署争议时，按以下步骤固定证据：1.法务部在知悉争议后3个工作日内，通知CA机构出具《签名验证报告》（含证书状态、签名完整性、时间戳核验结果）；2.需司法鉴定的，由法务部委托有电子数据司法鉴定资质的机构进行，鉴定费用先行垫付、按责任划分结算；3.涉嫌刑事犯罪的（如盗用他人证书签署合同），由法务部24小时内完成报案材料准备，报分管副总批准后向公安机关报案。六、第六章监督检查与责任追究制度的有效性取决于违规成本是否高于违规收益，本章通过定期检查、分级追责形成闭环。6.1第十七条监督检查1.信息化部门每季度开展1次账号与日志抽查，每次抽查比例不低于全部账号的10%，抽查内容包括：口令合规性、异常登录记录、离职人员账号注销及时性；2.行政部每半年开展1次电子印章使用台账与实际签署记录的核对，差异率要求为0，任何差异均须逐条形成书面说明；3.信息安全负责人每年组织1次电子签名管理专项审计，审计报告提交总经理办公会，问题项整改期限不超过30日。6.2第十八条违规责任分级级别典型情形处理措施一级（轻微）未按时归档、口令强度不达标、账号激活超期责令3日内整改，部门内通报二级（较重）转借认证手机、代他人完成人脸核验、先盖章后补批未按时补批记过并扣发当月绩效的20%~50%，暂停其签署权限1~3个月三级（严重）泄露私钥或盖章账户口令、伪造或盗用他人签名、篡改已签署文件解除劳动合同，追偿损失，涉嫌犯罪的移送司法机关七、第七章附则7.1第十九条解释与修订本细则由信息化部会同法务部负责解释，每年12月结合法律法规变化与平台功能升级评审修订一次；《电子签名法》等上位法修订的，本细则在30日内完成对应条款修订。7.2第二十条生效本细则自发布之日起施行，原有相关规定与本细则不一致的，以本细则为准。附件1：电子签名账号申请表（样表）项目填写内容申请人姓名工号所属部门手机号码身份证号申请类型□新开□变更□注销申请人承诺本人承诺所填信息真实，承诺妥善保管认证介质与口令，不转借、不代签申请人签字部门负责人意见信息化部门办理结果受理人：证书序列号：完成日期：附件2：签署前自查表（可打印张贴）1.文件页数、金额、日期、当事人与审批版本一致？2.对方签署主体名称与营业执照/身份证明一致？3.对方证书状态有效？4.本人操作、本人介质、无旁人注视口令？5.大额合同（>50万元）未使用公共WiFi？6.二次确认框关键信息逐项核对？以上6项全部为「是」方可点击签署