はい、電子署名はサウジアラビアで法的効力を持ちます。8/3/1428H 付の勅令第 (M/18) 号により公布された電子取引法は、電子取引と電子署名が法的効力を持つこと、そして文書は電子的であるという理由だけで証拠としての価値を失わないことを定めています。ただし、この有効性は無条件ではありません。同法の施行規則は、電子署名または電子印が信頼できるとみなされるには、国家デジタル認証センターまたは認可を受けた認証サービスプロバイダーが発行したデジタル認証証明書に紐づいている必要があると定めています。紛争の場で頼りにできる署名と、最初の異議で崩れてしまう署名との違いは、まさにこの要件にあります。

なぜ今注目すべきなのか

サウジアラビアの企業の多くはすでにデジタルで業務を回しています。見積書はシステムから出力され、請求書はザカート・税務・関税庁 (ZATCA) の要件に従って電子的に発行され、従業員はアプリから申請を出します。ところが、ある一つのステップでチェーン全体が止まります。署名です。契約書は印刷され、署名され、写真に撮られ、WhatsApp で送られ、六か月後には誰も見つけられないフォルダーにしまい込まれます。この紙のステップ一つが営業サイクルに何日もの遅れをもたらし、あらゆる紛争であなたの立場を弱めます。スキャン画像では、誰が署名したのかも、いつ署名したのかも証明できないからです。

適切に構築された電子署名は、このギャップを埋めます。承認サイクルを数日から数分に短縮し、誰でも編集できる画像ではなく、実際に証明できる記録を残します。

三つのレベル、それぞれにふさわしい場所

電子署名はすべて同じではなく、それらを混同することが多くのミスの原因です。

  • シンプルな署名。同意のクリック、入力欄に打ち込んだ名前、または SMS で送られるコード。迅速で、影響の小さい社内承認に適しています。休暇申請、受領確認、利用規約への同意などです。証拠としての力は限られます。
  • 本人確認付きの署名。署名前に Nafath で認証するなど、署名者の身元を実際に確認したうえで署名を紐づけます。最も重要な問い、つまり「この人物は本当は誰なのか」に答えるため、はるかに強力です。
  • 認定デジタル署名。国家デジタル認証センターまたは認可プロバイダーが発行したデジタル認証証明書に基づき、公開鍵暗号を用います。高額な契約、規制対象の文書、政府機関とのやり取りではこのレベルを目指すべきです。

実務上のルールは、文書を財務面と規制面の影響度で分類し、それぞれの分類に適切なレベルを割り当てることです。すべてに最高レベルを適用すれば理由もなく業務が遅くなり、すべてに最低レベルを適用すればリスクにさらされます。

本当に時間を節約できる場面

実際に遅れを感じているところから始めましょう。顧客との契約書や発注書、工事請負における変更指示書、雇用契約書や従業員の確認書、プロジェクトの引き渡し議事録、支払承認などです。これらすべてにおいて、失われる時間は署名そのものではなく、誰かが書類を前にして自席に着くのを待つ時間です。

システムの中にどう組み込むか

クライアントのシステムに組み込む際、私たちは別の署名ツールを後付けするのではなく、署名を既存のワークフローの中の一つのステップにします。実際の手順は次のとおりです。

  • 固定された最終版を生成する。システムは、誰かが手作業でアップロードしたファイルではなく、自らのデータから最終的な PDF を作成します。
  • デジタル指紋を計算する。ファイルのハッシュを計算します。その後の編集は、たとえ一文字であってもハッシュを変えるため、改ざんはすぐに表面化します。
  • 署名者の身元を確認する。文書のレベルに合わせて、通常のログイン、Nafath による確認、またはデジタル認証証明書を使います。
  • 署名とタイムスタンプを埋め込む。署名は、署名の時点を確定する信頼できるタイムスタンプとともにファイルに埋め込まれます。
  • 保存と取り出し。署名済みの文書は顧客または従業員のレコードに紐づけて保存され、フォルダーを探し回る代わりにワンクリックで取り出せます。

監査証跡：忘れられがちだが紛争を左右する部分

署名済みの文書だけでは十分ではありません。意見の対立を決着させるのは、その周囲の記録です。誰が文書を開いたのか、いつ、どの IP アドレスから、どの確認方法で、そして署名の瞬間にどのバージョンの文書が表示されていたのか。この記録を改ざん検知可能にして文書そのものに紐づけ、求めに応じて文書と一緒にエクスポートできるようにしてください。デジタル紛争に負ける企業は、署名が電子的だったから負けるのではほとんどありません。署名時の状況を証明できないから負けるのです。

個人データの保護

署名フローは本質的に個人データを収集します。氏名、身分証番号、連絡先番号、アクセス元アドレスなどです。そのため、個人データ保護法 (PDPL) の対象にまさに該当します。実務的には、本当に必要な最小限だけを収集し、文書の種類ごとに明確な保存期間を定め、保存中および転送中のデータを暗号化し、すべての従業員がすべての契約書を見られないよう権限を制限することを意味します。

高くつくよくある間違い

  • 貼り付けた署名画像で済ませる。ファイルに挿入された署名画像は電子署名ではなく、ほかのどの文書にもコピーできる単なる画像です。
  • メールを証拠として扱う。承認が書かれたメッセージは、本人確認と監査証跡に紐づいた署名に比べてはるかに弱いものです。
  • 文書を分類しない。休暇申請に最高レベルの確認を強制すると、スタッフはシステムを回避するようになります。
  • ファイルをシステムの外に保存する。一人の担当者のフォルダーにある文書は、その人が辞めた日に消えてしまいます。

どこから始めるか

頻繁に繰り返され、実際に遅れを感じている文書を一つ選びましょう。たとえば顧客との契約書や発注書です。作成から保管までの現在の流れを洗い出し、どこで、なぜ滞っているのかを特定します。次に、その一つの文書について適切なレベルでデジタルの流れを構築し、一か月運用して、時間の差を測定します。一つの文書で成功すれば、細部で行き詰まる大規模なプログラムではなく、残りの文書にも自信を持って展開できる実証済みのテンプレートが手に入ります。

Origami では、これを単独のツールとしてではなく、クライアントのシステムの一部として構築します。署名はワークフローの中の一ステップであり、署名済みの文書は顧客レコードに紐づき、監査証跡は必要なときにいつでもエクスポートできます。

出典

  • 電子取引法、閣僚評議会専門家局：laws.boe.gov.sa
  • 電子取引法施行規則、Umm Al-Qura：uqn.gov.sa
  • デジタル認証サービス、サウジアラビア・データ人工知能庁 (SDAIA)：sdaia.gov.sa
  • 個人データ保護法、SDAIA：sdaia.gov.sa