Ниже полная версия статьи.
ЭЦП инструмент удобный и давно знакомый почти каждому, кто работает с удаленным документооборотом. Однако реализовать ЭЦП на Корпоративном портале Битрикс24 оказалось задачей нетривиальной. Наше знакомство с подобной интеграцией началось с двух клиентских задач:
- Стандартной — внедрить подпись документации удаленно.
- Нестандартной — дать возможность сотрудникам, разбросанным по всей территории России, отлажено и вовремя сдавать авансовую отчетность.
Однако вначале давайте разберёмся «что это такое ЭЦП» и «с чем её едят».
Личная подпись — один из идентификаторов человека. Законодательно и безнаказанно повторить её может только этот человек, только его рука. А если она (рука) не дееспособна, а важная сделка не должна сорваться — проводится специальная нотариальная процедура и подпись ставит доверенный человек.
Не будем скрывать — подпись подделывают. Дело мастерства и привычки. Хоть и выработаны технологии сверки — по нажиму, толщине, линиям — гарантом является только обладатель подписи. Любая непонятная другим закорючка признаётся легитимной со слов её автора.
Значимые сделки требуют второй «защиты личной подписи». Человека просят предъявить документ, удостоверяющий личность, с фотографией, поставить подпись в присутствии подтверждающего лица — нотариуса. Последний ручается — подписант выполнит пункты договора, доверенности, заявления.
Но участники процесса не всегда находятся в досягаемости друг от друга. Есть почта, но это затратно и долго.
Здесь и перейдем к электронной подписи. Она бывает трех видов (ФЗ от 06.04.2011 № 63-ФЗ «Об электронной подписи»):
-
Простая электронная подпись (ПЭП). Это привычная для нас пара «логин-пароль». Явные недостатки ПЭП начинаются с низкой надежности и заканчиваются отсутствием механизма защиты от изменений. Иногда её применение возможно даже в суде (например, документ, переданный по электронной почте, там ведь есть логин-пароль), но это сложно и далеко не во всех случаях срабатывает. -
Неквалифицированная электронная подпись. Часто используют приставку «усиленная», но в законодательстве такого определения нет. Она, в отличие от ПЭП:- результат криптографии;
- содержит идентификатор подписанта;
- позволяет определить внесены ли изменения в электронный документ.
-
Квалифицированная электронная подпись. Также используют приставку «усиленная». Это то же самое, что и неквалифицированная, но с двумя важными дополнениями:- Сертификат выдан Аккредитованным удостоверяющим центром (далее УЦ). УЦ проверяет все нужные документы и выступает гарантом подлинности данных. Информация об авторе подписи хранится в УЦ. В случае спора, недопонимания личные данные проверяют, поэтому в каждом сертификате находится информация об удостоверяющем центре, который его выдал.
- ПО для подписи сертифицировано ФСБ России.
Подведём промежуточный итог. Неквалифицированная подпись будет действительна только между лицами, которые заключили соглашение и признают подпись действительной. Квалифицированной подписью можно заверить практически любые документы. Они будут легитимны. Работа с УЦ — это аналог нотариального заверения. Исключение составляют счет-фактуры для зачета НДС. Электронные счет-фактуры передаются только через операторов электронного документооборота. Даже счет-фактура, подписанная по всем правилам ЭЦП, отправленная по электронной почте, не будет легитимной.
Вопрос выбора того или иного вида подписи зависит только от потребностей бизнес-процессов.
Содержание
Что на выходе?Форматы документов с ЭЦП
Следующий вопрос — что мы получаем на выходе? Документ с факсимиле, с водяным знаком? Какой формат документа с ЭЦП можно получить?
Есть два возможных исхода:
-
Контейнер («обычная» подпись). Как правило, это архив формата «*.sig». Там находятся подписанные документы, данные о сертификате, с помощью которого сделана подпись и сама подпись. Файл такого формата открывается только с помощью специального ПО. Использовать привычные Adobe Reader или MS Office не получится — они не приспособлены для работы с криптографией. Кроме самих данных, подписи и сертификата, пользователь может сохранить неподписанную копию документа. -
«Встроенная» подпись. Мы получаем файл того же формата, что подали на подпись. В специальных областях подписанного документа размещаются данные о сертификате. Такая подпись возможна только для файлов формата:-
PDF. Подпись невидима в теле документа, но отображается на панели подписей. По желанию, её можно визуализировать, например, в виде штампа. При клике на него видны данные о подписи. Кстати, именно в таком виде, как правило, подписывают и присылают документы ИФНС (также используется вариант xml).
-
MS Office. Подпись размещается в специальной области документа и видна на панели подписей или в свойствах файла. -
XML. Подпись вместе с данными о ней содержится в области значений XML и встраивается в тот же XML-конверт, не изменяя начальные данные.
-
Неочевидные тонкости ЭЦП
- Один документ разные стороны могут подписать исключительно единообразно: либо только ЭЦП, либо только в бумажном виде (например, договор между Заказчиком и Исполнителем). Подпись в бумажном виде не действительна в электронном, а подпись в электронном виде не действительна в бумажном. Это два разных документа.
- Документ можно подписать сколько угодно раз. То есть сначала подписал сотрудник, потом бухгалтер, потом Генеральный директор.
- Несколько документов, подписанных ЭЦП, можно в одном пакете (архиве) подписать общей совершенно другой ЭЦП. Другие же документы в пакете с ЭЦП также остаются легитимными.
- Документы можно подписывать ЭЦП в автоматическом режиме. Предположим, сформировали счет на оплату в CRM — он автоматически подписался. Можно его отправлять клиенту, счет легитимен.
Про инструменты и возможности
С видами подписей и вариантами результата разобрались. Теперь перейдем к выбору инструментов. Держим в уме, что есть конкретная задача — интегрировать ЭЦП на корпоративном портале Битрикс24.
Важный шаг — выбор компании поставщика ПО для реализации ЭЦП. Выбор пал на признанного лидера отрасли с широким инструментарием, которому нет аналога в РФ — КриптоПро. Для решения нашей задачи поставщик предложил несколько инструментов.
КриптоПро CSP (СКЗИ)
Криптопровайдер «КриптоПро CSP» устанавливается на ПК пользователя локально. Он подписывает документы, обращаясь к сертификату в реестре, на eToken или RuToken, смарт-картах и других носителях.
Процесс подписи
Плюсы
Минусы
КриптоПро DSS
КриптоПро DSS позволяет через браузер создать ЭЦП. Установка программы на ПК пользователя не требуется, подписывать документы можно с любого устройства в любом месте. Сертификаты с ключами хранятся на защищенном модуле в специально развернутых серверах КриптоПро.
В КриптоПро DSS можно настроить способ аутентификации пользователя:
- по логину и паролю;
- с использованием кода доступа к сертификату (ПИН-код, 4-5 цифр);
- с использованием цифровых сертификатов, usb-Token или смарт-карт (в режиме DSS lite, подробности ниже);
- с дополнительным вводом одноразового пароля, доставляемого пользователю посредством SMS (OTP-via-SMS).
Как происходит процесс подписи документа
Пользователь нажимает «Подписать». Генерируется запрос к КриптоПро DSS на подпись. Портал просит ввести ПИН-код доступа к сертификату (если установлено такое требование), и пользователь получает одноразовый пароль по SMS. После правильного ввода документ будет подписан и сохранён на портале, соответственно, отправлен далее по запланированному маршруту. Клиент видит только конечный результат, переходить в другое окно ему не требуется. Что важно и удобно, результат приходит в том же формате pdf -> pdf, docx -> docx.
Плюсы
Минусы
КриптоПро DSS lite
Это «облегчённая» версия КриптоПро DSS. Она предназначена для подписания документов ЭЦП в браузере с использованием ПО. Отличие от DSS — в качестве криптопровайдера используется ПО установленное на ПК пользователя, что позволяет использовать usb-Token и Смарт-Карты для подписи.
DSS lite — режим DSS (т.е. идет в составе продукта DSS). Процесс подписи происходит аналогично DSS. Нажатие «подписать» отправляет файл на сервер DSS lite, тот формирует хэш документа и запрашивает доступ к криптопровайдеру (CSP, установленный на ПК пользователя) с помощью плагина. Выгодное отличие — мы получаем pdf и документы MS Office в исходном виде со встроенной в сам документ подписью, а не в контейнере.
Плюсы
Минусы
Практический опыт внедрения
ЭЦП — действительно нужное решение, прежде всего, для неизменности передаваемых документов, мобильности бизнес-процессов и сохранения времени.
Такая задача стояла и перед нами — реализовать подпись на корпоративном портале 1С-Битрикс24. Нужен правильный функционал, удобство в использовании и грамотное вложение бюджета.
Но, как известно, теория часто не сопоставима с практикой. Решение реальных задач оказывается сложнее, но интереснее.
Крупная биофармацевтическая компания обратилась к нам с двумя задачами:
-
Автоматизировать бизнес-процесс согласования документов. Особенность — возможность выбора определенных участников согласования, его последовательность. Реализовать проект требовалось на стандартном модуле бизнес-процессов корпоративного портала «1С-Битрикс24». Для заказчика было важно разработать наглядный, простой и интуитивный интерфейс. С этой задачей мы справились без каких-либо сложностей. Но нельзя опустить тот факт, что стандартный модуль бизнес-процессов особой красотой и наглядностью не обладает. Поэтому совет, если вам нужен красивый сложный бизнес-процесс «под вас», то лучше не использовать стандартный модуль. Он накладывает рамки, стесняет и лишает простора творческую мысль исполнителя. Показав свою компетенцию в решении первой задачи, мы перешли к следующей, более креативной и технически сложной. -
Реализовать ЭЦП на корпоративном портале «1С-Битрикс24» для ведения авансовой отчетности.
Предпроектные работы
В компании имеется отдел, главная задача которого распространять товар через промоушн, лоббирование интересов и другие виды личного воздействия на врачей, фармацевтов, представителей медицинской отрасли.
Для этого есть штат торговых представителей, разбросанных по всей стране, от Калининграда до Владивостока. Каждый агент продвигает продукт на своей, закреплённой территории. Чаще это его место жительства. Он несет издержки — встречи, транспортные расходы, питание — их возмещает компания. Процедура возмещения издержек — не что иное, как сдача авансовой отчетности, так знакомая нам по командировкам.
Ключевым и первичным моментом было пошагово описать бизнес-процесс сдачи авансовой отчетности. Хотя он стандартизирован и закреплен законодательно, но у каждой организации есть своя специфика. О ней мы поговорим позже. Идеальный же бизнес-процесс командировки, каким его задумало государство, выглядит так:
- Генеральный директор подписывает приказ о направлении сотрудника в командировку. Часто эти приказы подписываются после командировки задним числом, но это не меняет дальнейший юридический ход процесса.
- Командированный сотрудник получает денежные средства под отчет. Так он становится должником перед компанией.
- Торговый представитель едет в командировку, сохраняет все билеты, чеки и другие подтверждающие документы. Это ключевой этап для возмещения средств. Все бумаги с информацией о расходах — первичная бухгалтерская документация, основание для увеличения расходов или уменьшения налогооблагаемой базы (прибыли организации). Разумеется, в законодательстве четко прописано, какие именно расходы могут быть зачтены, а какие нет. Все жестко стандартизировано.
- Сотрудник по возвращению из командировки составляет авансовый отчет, чтобы с него «списали» долг. К авансовому отчету сотрудник прикладывает все подтверждающие документы: чеки, билеты и прочее.
- Любой авансовый отчет, согласно российскому законодательству, в обязательном порядке имеет три подписи: командированного сотрудника, главного бухгалтера и генерального директора.
- В маленьких организациях генеральный директор может совмещать должность главного бухгалтера, а в больших — появляется подпись руководителя сотрудника. После сдачи авансового отчета, сотрудник обязан вернуть остаток средств или получить недостающие.
Процесс, который нам нужно было автоматизировать для клиента идентичен по функциям, но имеет свои особенности:
- Сотрудники находятся в командировках ВСЕГДА — все рабочее время. Даже посещение главного офиса — командировка, ведь сотрудники имеют постоянное место жительства, как правило, не в Москве.
- Если подотчетные деньги на исходе, то следующий транш может быть выдан только после отчета по предыдущим. Именно тут возникало много сложностей, например:
- В связи с удаленностью сотрудников (Сибирь, Урал) оригиналы авансовых отчетов могли идти очень долго. А исправление ошибок — лишняя трата времени, средств на курьерскую службу, волокита с переподписанием и изменением дат. Очень вероятно, что отчетный период к моменту прибытия оригиналов может быть уже закрыт.
- Сотрудников множество, каждый отчитывается примерно раз в месяц, многие что-то забывают, теряют — бухгалтерам было трудно привести в соответствие документы. А ведь бухгалтер должен отразить операцию в своей системе, и не забыть, что сотрудник обещал донести или дослать.
- У каждого сотрудника есть денежный лимит, но в каждом правиле есть исключения. За этими исключениями следят руководители, именно они в курсе конкретной ситуации у сотрудника.
Переложение этого процесса систематизации и оптимизации авансовой отчетности в ИТ-среду было поэтапным.
Внедрение
Изначально мы посмотрели на задачу через призму законодательства. Какие ограничения оно накладывает, что можно, а что нельзя. Вердикт: сдавать авансовую отчетность в цифровом формате не запрещено.
Так как данный бизнес-процесс планировалось реализовать на корпоративном портале, мы изучили вопрос интеграции ЭЦП в портал. Что важно, весь процесс должен проходить в режиме одного окна, т.е. из портала.
Но самая большая сложность была вот в чем. Торговые представители пользуются только одним девайсом — корпоративным iPad. Подобные мобильные устройства не очень любят работать с сертификатами в реестрах или на внешних ключах (токенах, смарт-картах), по-настоящему удобных решений не так много. Мы остановились на интеграции с КриптоПро DSS.
В итоге автоматизированный бизнес-процесс авансовой отчетности в биофармацевтической компании работает следующим образом.
Каждому торговому представителю, выдается сертификат ЭЦП, его личный, именной (в принципе, он другим быть и не может).
При необходимости сдать авансовый отчет, сотрудник на своем планшете iPad, заходит на корпоративный портал компании и попадет в свой личный баланс.
Там он создает новый авансовый отчет, пошагово заполняя все строчки. Расходы он записывает с чеков, которые находятся в его руках. Параллельно агент фотографирует чеки на тот же iPad, и прикрепляет их к онлайн авансовому отчету.
Когда все заполнено, форма авансового отчета создается автоматически. Она типовая, поэтому вероятность, что форма будет меняться — минимальна. Сотрудник проверяет форму и подписывает её ЭЦП. Сам процесс подписи происходит по следующему алгоритму:
- Пользователь на корпоративном портале жмет кнопку «подписать ЭЦП».
- Документ через SOAP протокол без открытия дополнительных окон отправляется в КриптоПро DSS. КриптоПро DSS идентифицирует пользователя тремя шагами:
- Логин/пароль от сервиса DSS — для удобства они совпадают с логин/паролем от портала. Получается, что вводить ничего не надо, пользователь сразу переходит ко второму шагу проверки.
- ПИН-код, состоящий из 4 или 5 цифр (на выбор пользователя). Теперь сервис DSS может использовать сертификат, который хранится в его реестре на сервере.
- Одноразовый пароль — SMS на мобильный телефон. Один документ — одно SMS.
Кстати, КриптоПро позволяют оставить в качестве проверки только ПИН-код или только SMS для экономии времени. Бухгалтеры биофармацевтической компании так и поступили, оставив лишь ПИН-код.
Источник