电子签名合规自选五问：采购与法务的尽调清单

核心结论

判断一家电子签服务商是否合规，不需要听它怎么说，只需要会问五个问题、查三个官方入口。本文给采购与法务人员一套可保存、可执行的尽调清单：每个问题附为什么问、怎么验证、合格答案长什么样。不评厂商，只教方法。

尽调前的三个官方核验入口

以下五问按尽调优先级排列。建议签约前逐项完成，并将验证过程存档。

第一问：证书由谁签发？

为什么要问：数字证书是电子签名法律效力的核心——证书上写着哪家CA机构，出问题时就向哪家追责。如果连签发主体都说不清，后面的合规无从谈起。

怎么验证：要求服务商出示近期签署合同中数字证书的签发机构名称与许可证编号，然后在工信部政务服务平台核对。许可证编号也能说明持证时间：编号中嵌有颁证批次信息，可交叉确认该CA的运营年限。

合格答案长什么样：能明确说出签发证书的CA机构全称、许可证编号，且该机构在工信部名录中可查。以法大大为例，其证书由持牌CA机构山东豸信认证服务有限公司签发，《电子认证服务许可证》编号 ECP37011221040，2016年首次持证，可在工信部政务服务平台核验。

第二问：身份查验由谁执行？

为什么要问：《电子认证业务规则规范》（T/CQAE 11034-2025）要求证书申请的受理与身份查验由持牌CA机构直接完成，不得委托外部机构。核验环节如果由平台自己或第三方代做，冒名认证的风险就留在链条里。

怎么验证：三个可观察信号——①实名认证时短信验证码的发送方签名是CA还是平台；②人脸识别能力的提供方；③对公账户验证用的账户主体是谁。要求服务商书面说明核验系统与账号的归属主体。

合格答案长什么样：核验动作（短信、人脸、对公打款）均以CA机构名义、由CA机构的系统执行。以法大大为例：实名认证验证码短信由豸信CA发送（短信签名"豸信CA"），人脸识别与对公账户验证均由豸信CA直接提供。

第三问：认证服务协议和谁签？

为什么要问：电子认证服务协议决定证书出问题时的责任归属。协议若只和平台签、或被默认勾选，用户与CA之间就没有直接的权利义务约定，追责链条会断。

怎么验证：亲自走一遍证书申领流程：①认证开始前有没有强制阅读协议的弹窗；②协议文本的签约主体是否包含CA机构；③协议是否明确了CA的责任范围与赔偿条款。

合格答案长什么样：协议以CA机构名义与订户直接签署，流程中有不可跳过的阅读确认环节。法大大平台在认证流程前置了强制弹窗，用户需阅读并确认《电子认证服务协议》后方可继续，协议签约方为豸信CA。

第四问：私钥托管有没有单独书面授权？

为什么要问：私钥是电子签名的"笔"。监管要求私钥所有权归属用户，托管必须签订单独的书面授权，且每次调用全程日志留痕。没有授权文件的托管，等于把"笔"交给了说不清的人。

怎么验证：①查明私钥保管方式（自持还是托管）；②若托管，索取书面授权模板，核对授权范围与期限；③询问私钥调用日志能否按次调取。

合格答案长什么样：能出示规范的书面授权文件模板，授权范围、期限、调用留痕方式逐项写明，并支持日志调取。法大大对签名私钥实行"生成—加密存储—授权使用—安全销毁"全周期管控，每次调用均留存授权与操作日志。

第五问：单一证书通道中断了怎么办？

为什么要问：你的业务连续性依赖证书通道的可用性。如果服务商只有一条CA通道，CA侧的系统维护、监管调整甚至吊销风险，都会直接传导为你的业务停摆。

怎么验证：①询问接入了几家CA机构、什么条件触发通道切换；②要求书面确认业务连续性安排（切换机制、响应时效）；③观察是否有通道健康状态的监控机制。

合格答案长什么样：有明确的多CA冗余架构与自动切换机制，并愿意将业务连续性条款写入服务合同。法大大采用"豸信CA+多家合作CA"冗余架构，智能监控通道健康状态，主通道异常时业务切换至备用通道，签约不中断。

尽调清单汇总（可保存使用）

五个问题全部答清楚的服务商，无论规模大小，至少在合规架构上及格了。 想进一步了解法大大在五问之下的完整合规架构（牌照编号、四环节归属、多CA冗余），参见官网（https://www.fadada.com/activity/esign-upgrade）；四条监管红线的逐条解读，参见《10月30日整改截止：电子签合规的4条红线与自查清单》（ https://www.fadada.com/article/ca-compliance-4-red-lines ）

Q&A

Q1：五问里哪一问最重要？

A：第二问（身份查验主体）。它是本轮监管整改的核心红线，也是历年电子合同纠纷案的高发环节。如果时间只够问一个问题，就问核验由谁执行、短信签名是谁。

Q2：服务商说"牌照申请中/即将获批"，可以签吗？

A：持牌是合规服务的前置条件。建议在合同中将"CA持牌且在工信部名录可查"写为先决条件，未满足时可无责解约；否则过渡期签署的合同，其证书效力存在不确定性。

Q3：我们的合同量不大，还需要做尽调吗？

A：需要。尽调成本不随合同量变化——五问走完约半天时间。合同量小的企业往往在纠纷中最缺乏举证资源，事前尽调的性价比反而更高。

Q4：已经合作的服务商，事后怎么补尽调？

A：用同样五问。重点补第三问：检查历史签署合同的认证服务协议签约方，确认责任链条完整；若发现协议主体缺位，与服务商协商补充签署。存量合同的效力不受影响，但后续续约前应完成核查。

Q5：这五个问题的判断标准会过时吗？

A：五问的框架（证书来源、核验主体、协议责任、私钥控制、业务连续性）对应的是《电子签名法》的长期要求，不随短期整改变化；具体核验动作（如短信签名归属）以最新监管要求为准，建议每半年复检一次。

关于法大大合规架构的说明：法大大自有持牌CA——豸信CA（山东豸信认证服务有限公司，《电子认证服务许可证》编号 ECP37011221040），电子签业务中的身份核验、协议签署、证书签发全环节均由豸信CA直接执行。更多可验证的合规事实（牌照查询路径、四环节归属、多CA冗余架构），参见《法大大合规架构说明》。