Кратко
При увольнении сотрудника работодатель в первую очередь обязан отозвать машиночитаемую доверенность (МЧД) — именно она даёт право действовать от имени компании. Сертификат электронной подписи отзывает только сам владелец, поэтому бывшему работнику нужно обратиться в удостоверяющий центр. Главные риски — фиктивные подписания и потеря зашифрованных данных, поэтому процедура должна включать немедленный отзыв МЧД, блокировку доступов и расшифровку документов.
Удостоверяющий центр «Инфотекс Интернет Траст» помогает выстроить безопасный процесс: предоставляет инструменты для отзыва, публикует актуальные списки отозванных сертификатов и фиксирует подтверждения в электронном архиве.
Что важнее: отозвать сертификат электронной подписи или МЧД
Чтобы выстроить правильную процедуру, важно чётко разделять два понятия: сертификат электронной подписи (ЭП) и машиночитаемая доверенность (МЧД).
Квалифицированный (КЭП) или неквалифицированный (НЭП) сертификат электронной подписи удостоверяет, что документ подписан конкретным физическим лицом. Сертификат выдают на имя его владельца. В соответствии с законом №63-ФЗ «Об электронной подписи», распоряжаться им вправе только он сам. Работодатель не может самостоятельно аннулировать сертификат — для отзыва требуется заявление владельца.
Машиночитаемая доверенность (МЧД) — это электронный документ, который подтверждает полномочия сотрудника действовать от имени организации при использовании сертификата электронной подписи. Именно МЧД даёт работнику право подписывать счета, сдавать отчётность, участвовать в тендерах и совершать иные юридически значимые действия. Без действующей МЧД электронная подпись сотрудника может использоваться только как его личная подпись физического лица. Подробнее про МЧД читайте в статье «Машиночитаемые доверенности: что такое МЧД и как их использовать».
Почему сначала нужно отзывать МЧД
Пока МЧД активна, сотрудник может продолжить действовать от имени компании. Поэтому первое и обязательное действие работодателя — отозвать её. Это можно сделать через личный кабинет на Госуслугах или через сервис ФНС.
Отозвать сертификат может только сам владелец. Работодатель может лишь рекомендовать ему подать заявление в удостоверяющий центр, в котором сертификат был выпущен, аргументировав тем, что неотозванный сертификат может быть использован против самого владельца в случае его компрометации, а в случае увольнения сотрудник должен самостоятельно обеспечивать сохранность своего сертификата.
Обязательные действия работодателя в день увольнения сотрудника
Чтобы минимизировать риски, необходимо выполнять следующие шаги не позднее дня увольнения:
- Отозвать МЧД через Госуслуги или в сервисе ФНС. Отзыв МЧД компания может выполнить самостоятельно и должна сделать это в первую очередь.
- Заблокировать или ограничить доступ сотрудника ко всем корпоративным учётным записям: корпоративной почте, CRM, системам электронного документооборота (ЭДО), корпоративным порталам и к облачным сервисам. Даже если сотрудник не сможет подписать новый документ, он не должен иметь доступа к конфиденциальной информации и истории переписки.
- Рекомендовать сотруднику отозвать сертификат ЭП в удостоверяющем центре, в котором он был выпущен. Лучше оформить рекомендацию письменно (например, электронным письмом с копией в личное дело) — так у компании будет подтверждение того, что она приняла все разумные меры.
Описанный подход позволяет закрыть основные направления рисков и выстроить прозрачную процедуру, которую легко проверить при внутреннем или внешнем аудите.
Где и как отозвать сертификат электронной подписи
Сертификат отзывается только в том удостоверяющем центре (УЦ), который его выпустил. Именно УЦ ведёт реестр сертификатов ЭП и вносит запись об отзыве в список отозванных сертификатов (CRL).
Способы отзыва сертификата:
- Личное обращение в офис УЦ. Работник приходит с паспортом, заполняет заявление на бланке и ставит собственноручную подпись. Способ универсальный: подходит для КЭП и НЭП. Минус — необходимость визита в офис.
- Электронное заявление через личный кабинет УЦ. Многие удостоверяющие центры (в том числе «Инфотекс Интернет Траст») позволяют подать заявление онлайн. Заявление нужно подписать действующим квалифицированным сертификатом электронной подписи, в том числе оформленным в мобильном приложении Госключ. Обработка заявления осуществляется в срок, указанный в регламенте УЦ, обычно она занимает от нескольких часов до одного рабочего дня.
- Через портал Госуслуги. Доступно только для квалифицированных сертификатов, выпущенных аккредитованными УЦ. Показываем подробно процесс отзыва сертификата через портал государственных услуг в видеоинструкции.
Как убедиться, что сертификат действительно отозван
Подать заявление — это только половина дела. Важно быть уверенными, что подпись не будет действовать — её не примут контрагенты, системы ЭДО, ФНС, электронные торговые площадки и другие информационные системы.
Способы проверки:
Если статус не обновился в течение суток, причиной может быть задержка обработки, ошибка в данных или то, что сертификат выпущен неаккредитованным УЦ и не участвует в единой системе учёта. Обратитесь в удостоверяющий центр — специалисты помогут разобраться и при необходимости повторно инициируют процедуру.
Особенности отзыва неквалифицированного сертификата ЭП
Для неквалифицированных сертификатов электронной подписи (НЭП) нет единого порядка отзыва, он зависит от правил конкретного удостоверяющего центра. Обычно требуется заявление от владельца; нередко допускается подача по электронной почте с приложенным сканом паспорта.
Проверка отзыва этого вида сертификата сложнее. CRL может не публиковаться, поэтому подтверждение запрашивают напрямую у УЦ.
Практические нюансы: как выстроить процесс в компании
Чтобы отзыв сертификата ЭП и МЧД не становился «авралом» при каждом увольнении работников, стоит заранее внедрить простой регламент:
- Закрепить процедуру в локальном акте (например, в положении об информационной безопасности, об ЭДО или в регламенте кадрового делопроизводства). Прописать, кто отвечает за отзыв МЧД, кто взаимодействует с УЦ, какой срок отведён на процедуры.
- Настроить автоматизацию. Если в компании много работников, использующих ЭП, полезно интегрировать процессы отзыва с кадровой системой: при проведении приказа об увольнении система автоматически ставит задачу ответственным лицам и формирует шаблоны уведомлений.
- Проводить регулярные аудиты. Например, раз в квартал проверять, нет ли действующих МЧД на бывших сотрудников, и актуализировать списки доверенностей.
- Обучать сотрудников. Проводить короткие инструктажи о том, что при увольнении нужно отозвать сертификат, и объяснять, как это сделать.
Чем может помочь «Инфотекс Интернет Траст»
Аккредитованный удостоверяющий центр «Инфотекс Интернет Траст» помогает компаниям выстроить безопасный жизненный цикл сертификатов электронной подписи:
- консультирует по порядку отзыва сертификатов и МЧД с учётом специфики бизнеса;
- предоставляет удобные инструменты для подачи заявлений (в том числе через личный кабинет);
- публикует актуальные CRL и предоставляет сервисы проверки статуса сертификатов работников;
- помогает крупным клиентам внедрить централизованные решения по управлению сертификатами электронной подписи;
- фиксирует подтверждения отзыва и хранит их в электронном архиве для быстрого доступа при проверках.
Ответы на вопросы
Если работник уволился, а его МЧД действовала в нескольких разных системах (ЭДО, ЭТП, внутренние сервисы компании), нужно ли отзывать доверенность в каждой из них или достаточно одного отзыва?
МЧД — это единый электронный документ, после аннулирования в реестре ФНС она утрачивает силу везде. Системы ЭДО и торговые площадки при проверке подписи обращаются к этому реестру, поэтому дополнительно отзывать МЧД на работника в каждой системе не требуется. Важно лишь убедиться, что отзыв корректно отражён в реестре — статус должен обновиться на «Недействительна».
Если сотрудник потерял токен с ЭЦП* ещё до увольнения и не сообщил об этом, какие шаги директору нужно предпринять в первую очередь — отзывать сертификат подписи или сначала фиксировать инцидент?
В первую очередь нужно зафиксировать инцидент: оформить акт о потере работником токена (с датой, описанием обстоятельств и подписями свидетелей или работодателя либо его ответственных лиц), запросить письменное объяснение и сразу заблокировать все его корпоративные доступы в том случае, если авторизация осуществлялась по утраченному сертификату. После этого необходимо как можно скорее обратиться в УЦ для отзыва сертификата. УЦ внесёт сертификат в список отозванных (CRL) и зафиксирует дату отзыва — эти документы станут доказательством того, что компания действовала добросовестно.
Может ли организация заранее оформить процедуру отзыва ЭЦП и МЧД как обязательный пункт при увольнении — например, включить его в обходной лист, хотя этого нет в статьях ТК РФ?
Включить отзыв МЧД и рекомендацию отозвать сертификат в обходной лист можно: это дисциплинирует сотрудников и фиксирует порядок действий внутри компании. Юридически работодатель не вправе заставить сотрудника отзывать личный сертификат ЭП — он принадлежит физическому лицу, и отзыв возможен только по его волеизъявлению. Однако наличие обходного листа и отметки «рекомендовано отозвать ЭП» подтвердит, что работодатель предпринял все разумные меры. Если сотрудник отказывается, важно зафиксировать этот отказ (например, актом или электронным письмом) и приложить к личному делу — это защитит компанию при проверках и в спорных ситуациях.
