Грешников К. 10 вопросов юристу по электронному документообороту // Zakon.kz – 2022.10.28

  Повсеместная цифровизация всех процессов не могла не коснуться такого важного элемента в бизнесе, как документооборот. С учетом современных реалий время как в повседневной жизни, так и в бизнес-среде становится все более и более ценным ресурсом, который необходимо грамотно оптимизировать и использовать. Руководители малых и крупных предприятий все чаще задаются вопросом о том, как можно сэкономить время и повысить эффективность работы сотрудников. Одной из потенциальных возможностей оптимизации работы и экономии рабочего времени является внедрение в структуру компании системы электронного документооборота (ЭДО). В западных странах системы ЭДО активно используются как малым, так и крупным бизнесом. В свою очередь, компании из стран постсоветского пространства (в том числе и Казахстан) только начинают свой путь к ЭДО. Ряд крупных казахстанских компаний уже активно пользуется системами ЭДО, однако для большинства предпринимателей ЭДО до сих пор остается так называемой «темной лошадкой», которую пока что обходят стороной.

  Мы сформулировали 10 вопросов-ответов на основании своего опыта в обслуживании как небольших компаний, так и крупных корпораций. Данные вопросы и ответы на них могут помочь компаниям понять, что представляет из себя ЭДО и насколько ЭДО необходимо для компании на данный момент.

1.Что такое ЭДО? 2.Как подписываются документы в СЭД? 3.Где получить ЭЦП? Как долго оформляется ЭЦП? Сколько стоит оформление электронной подписи? 4.Являются ли документы, подписанные в системе ЭДО, легитимными? 5.Что нужно для начала работы с ЭДО? 6.Можно ли использоваться систему ЭДО только для внутреннего пользования в компании? 7.Документ в ЭДО может подписывать только руководитель или же возможно предоставить иным сотрудникам право подписи? 8.Безопасно ли использовать ЭДО по сравнению с бумажными документами? 9.Как полученный электронный документ проверить на действительность? Каким образом проверить подлинность и подпись документа уполномоченным лицом контрагента? 10.Как обеспечивается защита персональных данных?

1. Что такое ЭДО?

  С электронным документооборотом крайне тесно связаны такие понятия, как электронный документ и электронная цифровая подпись (ЭЦП), без раскрытия которых понять сущность ЭДО крайне затруднительно.

  Под электронным документом понимается документ, в котором информация представлена в электронно-цифровой форме и удостоверена посредством электронной цифровой подписи.

  ЭЦП является аналогом физической подписи лица, только в цифровом виде. Иными словами, ЭЦП — это набор электронных цифровых символов, воспользоваться которым может только один человек, и который подтверждает достоверность электронного документа, его принадлежность и неизменность содержания.

  ЭДО — это обмен электронными документами по телекоммуникационным каналам связи помощью ЭЦП. С помощью ЭДО компании обмениваются электронными документами, а рабочая жизнь любого сотрудника становится значительно проще. Электронным документооборотом могут пользоваться все, кто так или иначе имеет дело с документацией: государственные органы, физические и юридические лица.

  При этом, важным отличием ЭДО от обмена документами посредством электронной почты является то, что ЭДО подразумевает под собой использование специальной программы - системы электронного документооборота (СЭД), которая предназначена для работы с электронными документами на протяжении всего жизненного цикла документов: создание, изменение, согласование, подписание, регистрация, хранение, поиск, классификация и т. д.

2. Как подписываются документы в СЭД?

Документы в СЭД подписываются при помощи ЭЦП. Процесс подписания документа как правило следующий:

• создается документ, который подписывается при помощи ЭЦП;
• подписанный документ направляется соответствующему адресату посредством СЭД;
• получатель в кратчайшие сроки получает отправленный документ и при необходимости подписывает его своей ЭЦП;
• отправитель документа получает соответствующее уведомление о получении и подписании документа.

  В зависимости от СЭД и предпочтений пользователя может потребоваться совершение дополнительных действий (например, двойной подписи, согласования документа, возврата и т. п.).

  В зависимости от СЭД и типа документа при подписании документов может использоваться ЭЦП юридического лица, первого руководителя и сотрудников.

3. Где получить ЭЦП? Как долго оформляется ЭЦП? Сколько стоит оформление электронной подписи?

На сегодняшний день граждане могут получить ЭЦП двумя способами:

• посетив центр обслуживания населения (ЦОН);
• онлайн.

  В случае получения ЭЦП через ЦОН, гражданину необходимо при себе иметь документ, удостоверяющий личность (оригинал), мобильный телефон и флэш-накопитель для загрузки ключей ЭЦП.

  Получение ЭЦП онлайн на сегодняшний день возможно через веб-портал Egov гражданам и иностранцам-резидентам Казахстана, зарегистрированным в мобильной базе граждан (МБГ). Для получения ЭЦП онлайн необходимо иметь доступ к персональному компьютеру (либо ноутбуку), на котором установлены программа NCALayer и веб-камера.

  В соответствующем диалоговом окне, доступном по ссылке выше, необходимо ввести индивидуальный идентификационный номер (ИИН), по которому система автоматически проверит подключение к специальной программе NCALayer и регистрацию в МБГ, и выбрать документ для идентификации. После чего появится подробная инструкция для получения ЭЦП. В случае, если на компьютере отсутствует веб-камера, система автоматически предложит пользователю использовать камеру на мобильном телефоне при помощи сканирования QR-кода.

  Для юридических лиц-резидентов, иностранных юридических лиц и иностранных граждан-нерезидентов Казахстана получение ЭЦП онлайн невозможно. Юридические лица-резиденты и нерезиденты (при наличии бизнес-идентификационного номера) в свою очередь могут оставить онлайн-заявку на получение ЭЦП для ответственного сотрудника. Как только заявка будет оставлена, ответственный сотрудник должен будет посетить ЦОН и получить в нем соответствующую ЭЦП. Для этого сотруднику необходимо иметь при себе соответствующую доверенность и документ, удостоверяющий личность. После посещения ЦОНа ЭЦП станет доступна для скачивания на компьютере, на котором была подана заявка.

ЭЦП могут получить следующие категории работников юридического лица:

• первый руководитель;
• сотрудник с правом подписи;
• сотрудник с правом подписи финансовых документов;
• сотрудник отдела кадров;
• сотрудник организации.

  Оформление ЭЦП при наличии всех необходимых сведений и ресурсов занимает до 15-30 минут. При этом ЭЦП оформляется бесплатно.

4. Являются ли документы, подписанные в системе ЭДО, легитимными?

  Согласно Закону Республики Казахстан «Об электронном документе и электронной цифровой подписи», электронный документ, удостоверенный посредством ЭЦП лица, имеющего полномочия на его подписание, равнозначен подписанному документу на бумажном носителе.

  При этом электронный документ считается отправленным с момента его передачи через сети телекоммуникаций, а входящий электронный документ считается поступившим после его фиксации в информационной системе адресата. Для того, чтобы документ считался доставленным, должно быть получено соответствующее уведомление о получении документа, в котором должны содержаться данные о факте и времени получения электронного документа и его отправителе. В случае непоступления такого уведомления отправителю, считается, что документ не получен адресатом. Большинство СЭД обеспечивают поступление таких уведомлений автоматически.

  Таким образом, правильно оформленные и подписанные электронные документы равнозначны подписанному документу на бумажном носителе и являются полностью легитимными.

5. Что нужно для начала работы с ЭДО?

  Каких-либо особых требований для начала работы с ЭДО не имеется. Тем не менее, перед началом работы с ЭДО следует получить ЭЦП на всех сотрудников, задействованных в процесс ЭДО. Также разумным будет проведение анализа на предмет необходимости и целесообразности внедрения СЭД в организацию. Также для работы с ЭДО следует подготовить техническую базу.

  Ряд СЭД по своей природе не предполагает использование специального оборудования и не требует профессионального внедрения в информационную среду компании. Для начала работы с некоторыми СЭД достаточно простой регистрации на веб-ресурсе и получения ЭЦП. При этом, как правило, регистрация и использование СЭД производится путем присоединения к публичному договору. Завершая регистрацию и прикладывая ЭЦП компании, пользователь соглашается на пользование СЭД.

6. Можно ли использоваться систему ЭДО только для внутреннего пользования в компании?

  Да, СЭД можно использовать как для обмена документами с контрагентами, так и для ведения внутренней документации компании.

7. Документ в ЭДО может подписывать только руководитель или же возможно предоставить иным сотрудникам право подписи?

  В зависимости от предпочтений пользователя, доступ к СЭД можно предоставить одному или нескольким сотрудникам и определить круг их полномочий в СЭД в зависимости от их статуса в компании. Большинство СЭД позволяют включить в круг пользователей как управленческий персонал, так и рядовых сотрудников. При этом в ряде СЭД также можно предоставить только право ознакомления с документами для сотрудников, без права их подписания.

8. Безопасно ли использовать ЭДО по сравнению с бумажными документами?

  Большое количество пользователей избегают работы с СЭД, опасаясь за безопасность документов и полагая, что системы не являются совершенными и могут быть подвергнуты взлому, а передаваемые документы могут быть перехвачены третьей стороной.

  Однако на самом деле вся информация, передаваемая посредством СЭД, передается по защищенным и зашифрованным каналам. При этом доступ в СЭД и к документам производится посредством сертификата ЭЦП, пароли которого также недоступны для злоумышленников, а сертификаты выпущены под конкретного пользователя и хранятся исключительно у него.

  Соответственно, если в компании соблюдаются принципы информационной безопасности, то утечка информации из электронных документов исключена.

9. Как полученный электронный документ проверить на действительность? Каким образом проверить подлинность и подпись документа уполномоченным лицом контрагента?

  Одним из явных преимуществ ЭДО является возможность проверки подлинности подписи контрагента, что помогает удостовериться в том, что документ является подлинным и в него не вносились какие-либо изменения. При этом процедура такой проверки является достаточно простой. Подтверждение подписания документа можно найти в сертификате ЭЦП. При этом, зачастую на подписанном электронном документе, после подписания формируется специальный QR-код, отсканировав который можно получить основную информацию о подписании и подтверждение неизменности документа.

  ЭЦП на электронном документе также возможно проверить на портале Национального Удостоверяющего Центра Республики Казахстан. В частности, информационная система проверяет ЭЦП на электронном документе путем использования открытого ключа ЭЦП, который содержится в регистрационном свидетельстве подписывающей стороны. Электронный документ должен содержать регистрационное свидетельство подписывающей стороны.

Проверка ЭЦП осуществляется в обратном порядке, по которому производилась подпись документа, по следующей схеме:

• с помощью открытого ключа ЭЦП отправителя дешифруется хэш сообщения (подпись отправителя);
• с помощью хэш-функции вычисляется контрольная сумма оригинального сообщения.

  В данном случае производится автоматическая сверка двух контрольных сумм, если они равны, то ЭЦП считается верной (определен положительный результат проверки ЭЦП), если не равны, то ЭЦП считается недействительной (определен отрицательный результат проверки ЭЦП).

  Помимо этого, также имеются сторонние сервисы проверки ЭЦП, загрузив документ в которые возможно проверить ЭЦП. Однако, поскольку данные сервисы являются сторонними, то с помощью них рекомендуется проверять документы, не содержащие конфиденциальные сведения.

10. Как обеспечивается защита персональных данных?

  Вся передаваемая в СЭД информация, включая персональные данные, хранится на сервере в специализированном дата-центре. При этом зачастую срок хранения данных на сервере неограничен, однако возможно направление запроса в компанию с требованием об уничтожении данных (однако следует понимать, что в зависимости от политики СЭД, срок хранения может быть иным).

В большинстве СЭД защита персональных данных обеспечивается на следующих уровнях:

• на инфраструктурном уровне;
• на уровне программного обеспечения;
• на уровне менеджмента в компании.

  Инфраструктурный уровень подразумевает под собой обеспечение защиты от утечки информации, разграничение периметра инстанции системы клиента, централизованная система анализа и мониторинга событий, оформление серверного помещения и т.п. На данном уровне защита информации обеспечивается как правило охраняемой территорией и строгим контролем доступа на территорию центров хранения информации.

  Уровень программного обеспечения в свою очередь распределяет полномочия на просмотр документов согласно полномочиям и компетенциям сотрудников СЭД, а также обеспечивает надежную защиту от перебора паролей пользователей, что сводит риск взлома практически к нулю.

  Уровень менеджмента подразумевает распределение ролей и обязанностей сотрудников СЭД.

Зачастую эксплуатация СЭД производится в соответствии со следующими мерами безопасности:

-Хранение чувствительной информации (пароли, секретные ключи и т. д.) в базе данных исключительно в зашифрованном виде. Доступ в базу данных имеют только авторизованные специалисты. -Использование специальных IT-политик для защиты внутренних сервисов системы. -Наличие защиты от DDoS атак.