隨著金融服務數位化的浪潮席捲全球，電子簽章已不再是新興技術，而是業務流程中不可或缺的一環。然而，便利性的背後，如何確保每一份電子文件的真偽與法律效力，成為金融監理機關與企業稽核單位必須嚴肅面對的課題。本文將依據我國《電子簽章法》的基礎，深入探討金融業在查核電子簽章時，應如何從技術、流程及業務合規三大面向，建立一個完整且有效的查核框架。
電子簽章的法律效力與驗證流程
《電子簽章法》明確賦予了電子文件與電子簽章的法律地位，其第5條指出，若電子文件內容可完整呈現且日後可供查驗，即可取代傳統書面文件。而第6條更進一步說明，只要使用主管機關許可之憑證機構所簽發的有效憑證，透過數位簽章簽署的電子文件，即可推定為本人親簽。
在實務運作上，一個標準的電子簽章作業，主要涵蓋了三個核心環節。首先是身份驗證，藉由憑證機構（CA）發行的數位憑證，來確保簽署者的身份真實無誤。其次是文件簽署，系統會對文件產生一組獨特的哈希值（Hash Value），並使用簽署者的私鑰進行加密，從而生成電子簽章。最後則是簽章驗證，文件的接收方能透過簽署者的公鑰來解密簽章，並比對哈希值，以驗證文件的完整性及簽署者身份，確保文件在傳輸過程中未被竄改。
從憑證到時間戳的驗證之道
根據數位發展部的說明，電子簽章的檢核方式會因採用的技術而異。若採用基於非對稱式金鑰技術的國際標準，市面上已有許多成熟的驗證工具；但若是採用生物特徵等其他技術，則可能需要更複雜的數位證據查核。不論技術為何，管理流程的嚴謹度，始終是判斷其證據力的關鍵。
因此，在進行技術性查核時，首要步驟是確認簽署文件所使用的數位憑證，是否由受信任的憑證機構所簽發。接著，必須驗證該憑證當下的有效性，例如透過憑證撤銷清單（CRL）或線上憑證狀態協定（OCSP），檢查憑證是否已過期或被撤銷。最後，也是最關鍵的一步，是利用驗證工具來確認文件的哈希值與簽章內嵌的哈希值完全一致，藉此確保文件的完整性與不可否認性，這也正是司法院等單位建立內部驗章系統所要達成的目標。
此外，一個更為嚴謹的作法是檢查電子簽章是否包含由受信任時間戳服務提供者（TSA）所生成的有效時間戳（Timestamp）。時間戳能為簽署行為提供一個不容否認的時間證明。不過，考量到台灣市場上第三方時間戳廠商的普及度尚待發展，此項要求或可待未來市場環境更為成熟後再納入查核重點。
建立全面查核框架
對於金融機構的內部稽核或外部監理單位而言，建立一個系統性的查核框架至關重要。首先，應制定標準化的稽核程序與手冊，明確規範電子簽章文件的檢查流程，並可要求文件保存單位提供基於電子簽章的第三方驗證報告，或內部自行開發平台所產出的對應證明文件。
其次，查核時應隨機抽樣進行深度驗證，涵蓋憑證有效性、簽章完整性與簽署時間等面向，並同步檢視所使用的憑證機構是否符合國際標準，確保其可靠性。在文件留存與記錄方面，則需確保長期保存的電子文件版本為包含原始簽章的狀態，並備妥相關驗證記錄，同時其加密與備份措施也需滿足金融監理要求。為提升效率，查核單位可考慮部署自動化的電子簽章驗證系統，甚至是開發基於AI的稽核工具，以快速處理大量的查核需求，並確保各項業務對電子簽章的使用，均符合相關規範與法律效力。
持續精進與國際接軌
然而，一個完善的框架不僅僅是靜態的規範，更需要動態的維運與人員支持。企業應定期對內部三道防線的人員，進行電子簽章技術與相關法律的教育訓練，確保同仁能掌握最新的技術發展與合規要求。同時，也必須定期評估電子簽章的使用風險，例如技術本身的潛在漏洞，或是近期引發熱議的憑證機構信任問題，都應納入風險控管的範疇。
與此同時，借鏡國際經驗也是提升查核深度的重要途徑。例如，歐盟成員國在金融檢查中，普遍要求電子簽章需符合eIDAS規範，並對憑證提供者的資格進行定期審查；而美國則遵循《電子簽名法案》（ESIGN）與《統一電子交易法》（UETA），來確保其法律效力。
總結來說，電子簽章的查核是一項結合了技術、流程與法遵的複雜工程。台灣的金融監理單位與業者，若能參考本文所提出的查核框架，從建立標準化程序、部署驗證工具，到持續的人員培訓與風險評估，並借鏡國際最佳實踐，將能有效地確保電子簽章文件的真實性與可靠性，在享受數位化帶來便利的同時，也為金融市場的穩定與安全，奠定穩固的信任基礎。