Checklista przed podpisaniem dokumentu elektronicznego
Kilka minut kontroli przed autoryzacją chroni przed problemami, których nie naprawi późniejszy raport techniczny. Checklista nie odpowiada za podpisującego, czy dokument jest korzystny ani czy forma będzie skuteczna w każdej sytuacji. Porządkuje fakty, które trzeba ustalić u źródła: w przepisie, umowie, procedurze odbiorcy, rejestrze reprezentacji albo u osoby odpowiedzialnej za dany proces.
Bramka 1. Czy prośba jest autentyczna i oczekiwana?
Zestaw wiadomość z rzeczywistym przebiegiem sprawy. Czy czekałeś na ten dokument? Czy nadawca wcześniej zapowiadał wysyłkę? Czy domena adresu, nazwa portalu i kontekst zgadzają się z kanałem używanym dotąd? Sama obecność logo, imienia współpracownika albo fragmentu wcześniejszej korespondencji nie jest wystarczającym dowodem.
Przy nieoczekiwanym linku, załączniku, kodzie QR lub żądaniu instalacji programu przerwij. Potwierdź prośbę znanym numerem, w osobnym wątku lub przez adres znaleziony niezależnie. CERT Polska opisywał kampanie, w których złośliwe wiadomości prosiły właśnie o podpisanie i ostemplowanie załącznika. Ostrożność wobec pliku do podpisu jest więc częścią procesu, a nie przeszkodą organizacyjną.
Zapisz minimum kontekstu
Zachowaj informację, kto zlecił podpis, w jakiej sprawie, dla jakiego odbiorcy i na jaki termin. Jeżeli autentyczność potwierdzono innym kanałem, odnotuj sposób i osobę potwierdzającą. Nie zapisuj więcej danych osobowych, niż potrzeba do wykazania przebiegu.
Bramka 2. Kto podpisuje i w jakiej roli?
Tożsamość odpowiada na pytanie „kto”, a umocowanie — „czy może w tej sprawie”. Ustal, czy podpis ma zostać złożony prywatnie, jako pełnomocnik, członek organu, pracownik w ramach upoważnienia czy przedstawiciel ustawowy. Sprawdź aktualne źródło umocowania, jego zakres, limity, daty oraz reguły reprezentacji łącznej. Jeśli potrzebne są dwa podpisy, kolejność i wspólna wersja dokumentu powinny być ustalone przed rozpoczęciem.
Nazwa stanowiska w stopce e-maila nie zastępuje pełnomocnictwa ani zasad reprezentacji. Z kolei poprawny certyfikat podpisującego nie informuje automatycznie, czy dana osoba mogła podjąć konkretną decyzję. Gdy wynik zależy od interpretacji dokumentów korporacyjnych lub przepisów, skieruj sprawę do osoby odpowiedzialnej za obsługę prawną.
Bramka 3. Czy to ostateczna i kompletna treść?
Porównaj dokument z zatwierdzoną wersją główną. Sprawdź liczbę stron, oznaczenie wersji, datę, strony czynności, kwoty, numery rachunków, terminy oraz odwołania do załączników. Otwórz każdy załącznik i potwierdź, że jego numer oraz tytuł odpowiadają treści dokumentu. Upewnij się, że widok używany do podpisania pokazuje cały dokument, a nie tylko ekran akceptacji z ogólną nazwą.
Przed podpisem zakończ tryb zmian i komentarzy. Jeśli po akceptacji poprawiono choćby jeden znak, powstała nowa wersja, która wymaga ponownego sprawdzenia. Suma kontrolna może jednoznacznie oznaczyć konkretny plik, ale nie potwierdza jego jakości merytorycznej. Przy kilku plikach przydatny jest manifest: zamknięta lista nazw, wersji i sum kontrolnych zaakceptowanego zestawu.
Więcej o sterowaniu wersjami znajdziesz w artykule: Jedna wersja, komplet załączników i właściwa kolejność podpisów
Bramka 4. Jaka forma i jaki rodzaj podpisu są właściwe?
Zacznij od czynności, nie od dostępnego narzędzia. Sprawdź wymóg wynikający z prawa, umowy, regulaminu postępowania oraz instrukcji odbiorcy. Rozporządzenie eIDAS określa ogólną kategorię podpisu elektronicznego, wymogi podpisu zaawansowanego oraz podpis kwalifikowany. Ten ostatni jest podpisem zaawansowanym opartym na kwalifikowanym certyfikacie i złożonym za pomocą kwalifikowanego urządzenia; ma skutek równoważny podpisowi własnoręcznemu.
Nie należy odwracać tej zasady i zakładać, że podpis kwalifikowany zawsze wystarczy. Czynność może wymagać formy notarialnej, obecności dodatkowych osób, właściwego sposobu reprezentacji, konkretnego kanału złożenia albo formatu przyjmowanego przez system. Z kolei podpis niekwalifikowany nie jest z góry bezwartościowy: eIDAS zabrania odmawiania mu skutku prawnego lub dopuszczalności jako dowodu wyłącznie z powodu postaci elektronicznej albo braku kwalifikacji. Jego adekwatność zależy jednak od konkretnego wymagania i materiału dowodowego.
Podpis zaufany służy do procesów przewidzianych przez polskie przepisy i usługi cyfrowe. Nie jest kwalifikowanym podpisem elektronicznym. Przed użyciem sprawdź stronę właściwej usługi lub organu, ponieważ akceptowany rodzaj podpisu i format mogą być określone osobno.
Sprawdź dokładną usługę, nie tylko nazwę dostawcy
Kwalifikowany status dostawcy i usługi potwierdza właściwa krajowa zaufana lista. W Polsce publikuje ją Narodowe Centrum Certyfikacji, a Komisja Europejska udostępnia dostęp do list państw UE. Status należy odczytać dla konkretnej usługi i właściwego okresu, nie wnioskować z logo ani samej nazwy firmy. Przeglądarka zaufanych list nie zastępuje walidacji podpisanego dokumentu.
Bramka 5. Czy moment autoryzacji jest bezpieczny i świadomy?
Podpisuj na zaufanym, aktualnym urządzeniu. Przed podaniem PIN-u, użyciem aplikacji lub potwierdzeniem operacji jeszcze raz sprawdź nazwę dokumentu, jego skrót, liczbę plików i tożsamość procesu. Nie zatwierdzaj niespodziewanego powiadomienia tylko dlatego, że równocześnie czekasz na inną operację. Nikomu nie przekazuj PIN-u, kodu jednorazowego ani kontroli nad narzędziem składania podpisu.
Zatrzymaj się, gdy ekran nie pokazuje podpisywanej treści, liczba dokumentów się nie zgadza, pojawia się żądanie instalacji nieznanego programu, certyfikat wskazuje inną osobę albo proces nie pozwala pobrać wyniku. Najpierw wyjaśnij rozbieżność; dopiero potem rozpocznij nową, udokumentowaną próbę.