客户的不正当需求是否应成为挡箭牌？将身份认证责任转嫁给客户平台以规避审核是否已成为行业潜规则？
“w66国际·利来(中国)最给力的老牌只是技术工具，公章真假由牦�？萍几涸稹�，3月18日，电子签名服务商e签宝高管在浙江华侨系案件专班组织的沟通会上，面对投资人追问时抛出争议性回应。
自2005年4月1日起施行的《中华人民共和国电子签名法》（下称《电子签名法》），即将迎来它的二十岁生日。半个月前，华侨系黄金理财诈骗案投资者代表与e签宝管理层进行了第二次正式沟通会，这次对话中关于电子签名行业技术合规性、责任边界与行业生态的争议，在《电子签名法》20周年这个时点显得颇为尴尬。
自半年前华侨系暴雷以来，
“318”沟通会上，e签宝第一次派出了高管作为代表，公司管理层解释称，e签宝向华侨系平台牦牛信息科技（杭州）有限公司（下称：牦�？萍�，侨行天下APP的运营主体）提供的是工具性质的接口产品，且约定将实名认证的义务和责任，委托“让渡”给牦�？萍肌�
这次沟通会再次引发电子签名认证行业服务底线的讨论。客户的不正当需求是否应成为挡箭牌？将身份认证责任转嫁给客户平台以规避审核是否已成为行业潜规则？
央视“315晚会”曝光电子签被高利贷利用，部分电子签平台的“实名认证”成了摆设，许多受害者签署电子合同后才发现，收款方竟然是虚假身份，甚至“不是活人”。
在《电子签名法》颁布20周年之际，电子签名行业的合规性困境和隐含的系统性风险是否已经充分暴露？
正如某电子签名行业垂直媒体近日发文写道：从鼓吹法律效力到滥发数字证书；从价格战内卷到放任接口的“裸奔”，这场危机早被写好了剧本。
3月18日召开的沟通会，ｅ签宝派高级副总裁顾福燕和业务总裁余贤圆作为代表来参加。记者获得了此次沟通会的相关会谈资料。
与ｅ签宝此前在多个场合中表达的意思类似，此次管理层仍然表示，其向市场提供的产品有两套截然不同的流程：一套是工具类的产品，即e签宝提供接口，供客户在自己的业务平台调用；一套是官网产品，即签约的完整流程在e签宝的平台实现。侨行天下使用的第一类产品。
有行业内人士向第一财经记者指出，嵌套产品，可以称之为工具类产品，即通过API接口集成到客户平台；后一种产品是SaaS产品，即在电子签厂商的自有平台实现全流程签约。
ｅ签宝管理层称，自2019年起，ｅ签宝作为RA（注册机构）服务商为侨行天下提供电子合同签署，根据双方协议，身份认证通过侨行天下平台完成。
去年12月，e签宝发布官方声明称：根据协议约定，牦�？萍计教ㄓ没У纳矸萑现び申笈？萍纪瓿刹⒊械Ｏ嘤Ψ稍鹑�。
记者近日从华侨系员工处获得了e签宝与牦牛科技2023版和2021版两版合同，也佐证了“约定认证委托”和“让渡”认证“责任”的事实。
以2023版合同为例，其中第4.2（7）条指出：双方理解，通过集成乙方（ｅ签宝）软件功能实现电子化签约是基于甲方（牦�？萍迹┑男枨�，甲方可自行确认签约流程和需验证的要素，乙方仅可建议甲方按照符合《电子签名法》和相关法律法规的要求进行操作。
在2021版合同中，同样的条款出现在第4.2（６）条款中。另外，2021版合同所附风险提示函第６款条款为：您（牦�？萍迹┯χぃ曳剑ǎ迩┍Γ┒阅峤恢恋缱忧┟低澈褪荽嬷は低车氖莶换嶙鍪抵誓谌萆蠛�，您应确保您通过技术接口传递的电子数据的合法性、真实性、完整性。
对此，ｅ签宝管理层表示，现实应用场景，比如平台客户中通过“约定认证委托”“让渡”认证“责任”是普遍存在的行业现象。
ｅ签宝管理层承认，认证材料存于侨行天下的APP服务器内，而非ｅ签宝服务器。ｅ签宝只留存了中鑫国际的企业名称与统一社会信用代码。
但是对于华侨系投资人来说，这件事情变得很荒唐。“中鑫国际在华侨系案件中本质上是一个增信人，借款人是牦�？萍�，现在增信人的身份，由借款人来认证，这很荒唐。w66国际·利来(中国)最给力的老牌是相信e签宝的平台对于增信人来进行身份认证，结果他们把这个权利交给了借款人。”一位投资人对记者表示。
“w66国际·利来(中国)最给力的老牌希望看到中鑫国际和e签宝面对面发声，到底章是真的还是假的；w66国际·利来(中国)最给力的老牌希望电子签行业厂商站出来为自己的行业澄清，到底是一家之言一家所为，还是行业通行做法，w66国际·利来(中国)最给力的老牌也想知道这个系统性风险到底有多大”，上述投资人对记者表示。
北京一位不愿具名的律师表示，不管工具类产品还是Saas产品，都要符合电子签名法。电子认证行业服务的底线是需要坚守的，客户的不正当需求该作为挡箭牌，不能为争夺客户降低审核标准，甚至默许虚假合同。
ｅ签宝去年“甩锅”行业之后，行业出现不同声音。上上签CEO万敏正是其中一位。万敏向记者表示，去年她试图为行业“正名”的声明文章，不久后便找不到踪迹。
一位电子签名行业匿名投资人对记者表示，当前各大厂商普遍在平台中整合了电子签名服务，可视为行业常态。然而，“约定认证委托”与“让渡认证责任”等做法并不是行业“惯例”。
举例来说，按规定应实施“三要素认证”的情况下，擅自降为标准较低的“二要素认证”，此种行为已经是对合规底线的挑战，更遑论将认证责任全部“单边委托”给电子合同的某方。此类超越规范的操作，往往潜藏着高额利润，却也步入了法律与道德风险边缘的灰色区域。
万敏告诉记者，平台类客户上线前必须完成实名认证，因为他们作为开发者主体会发起签署大量的电子合同，“一出错就是大错”，更要严格实名验证。
嵌入客户的平台，在行业内称为“客户的生产环境”。“客户上‘生产环境’前，需提交产品实名、合同签署说明及日志截图进行合规审核。每一份合同上，每一个签署人，都要去做身份审核，审核通过后释放开发者参数。“万敏说。
法大大一名区域负责人也对记者表示，电子签名公司法人实名认证需人脸比对法人及经办人，并验证组织信息。
一位行业专家指出，如果“约定委托认证”确认存在，不论是ｅ签宝个别行为，还是“行业通行做法”，都隐含着巨大的风险隐患。“别说央企了，更高级别，甚至公权力部门的公章是否也可能被伪造？系统性风险不可不察。”
提到“天下无假章”的宣传时，ｅ签宝管理层表示，天下无假章，只是社会公众都希望实现的一种状态。
当被投资者问及”以你们的技术服务，能保障章都是真的吗？“，ｅ签宝代表回答：”“这个问题有点大。”
记者注意到，此前ｅ签宝官方视频号中，“天下无假章”的宣传视频，目前已寻觅不到。
1月中旬，华侨投资者投诉后得到工业和信息化部12381的答复，称中鑫国际的电子签名证书由江苏智慧
根据投资人提供的合同验证信息，中鑫国际的CA证书服务商2024年1月2日前为江苏CA，之后变为黑龙江CA。
有意思的是，杭州天谷曾为江苏CA股东，2023年4月退出股东名单。
ｅ签宝管理层称，退出江苏CA股东与中鑫国际的电子认证服务商的转换，没有关系。
工业和信息化部已向相关投资者回复表示，正在开展深入调查，并将依据调查结果依法作出相应处理。
专业人士指出，工业和信息化部的回复明确界定了e签宝并非认证机构（CA），但同时也确认了e签宝作为注册机构（RA）的身份不容忽视。具体而言，当通过e签宝的接口进行服务调用时，其角色即被界定为RA。作为RA，e签宝承担着实名认证审核的法定责任与义务。
一名电子签名领域的投资人向记者表示，电子合同签署流程涉及三个关键协同实体：首要为CA（数字认证机构），其职责在于颁发、管理及吊销数字证书，以认证用户身份的真实性，构成了电子认证流程中的“根本信任源”；其次为RA（注册机构），旨在缓解CA的身份验证压力，提升整体效率，直接服务于证书订户，并负责在订户与CA间传递证书管理相关信息，功能类似于渠道服务商；第三则为电子签约平台，专注于提供合同签署与管理服务。
具体操作流程通常如下：用户首先向RA提交证书申请，例如SSL证书，随后RA对用户身份进行严格审核，包括域名所有权或企业信息的验证；审核通过后，RA将申请转交至CA，由CA正式签发证书并反馈给用户。
CA机构与电子签约平台保持紧密合作，利用CA颁发的数字证书来验证签署方的身份，从而确保签署行为的合法性与有效性。同时，RA负责证书的申请、审批及日常管理工作，并采用先进的加密技术来保障服务的安全性，有效防止签名被非法篡改或伪造。
根据工业和信息化部颁布的《电子认证服务管理办法》，所有CA公司均被要求公开其认证业务规则（CPS）。例如，中国银联集团及其控股子公司中金金融认证中心有限公司（CFCA）在其CPS中明确规定，CFCA体系下的注册机构设置于CFCA内部，由CFCA自行承担RA职责，不委托任何外部机构执行此任务。
然而，记者发现，黑龙江某CA机构未能公示其CPS，这已明显违反了工信部的相关规定。
业内专家与法律界人士共同呼吁，应积极推动电子签名行业建立“双认证”机制，以进一步强化RA机构的责任担当。
值得注意的是，2024年9月2日，工信部发布了《电子认证服务管理办法》的征求意见稿，其中明确指出，“电子认证服务机构不得将证书申请的受理、查验以及证书的签发、交付等环节委托给外部机构或个人执行”。这意味着，未来电子签名的全流程将不再允许将认证工作授权给第三方，而必须由同一家企业独立完成。
