ENG
Электронная отчетность кажется бизнесу защищенным каналом: декларация подписана квалифицированной электронной подписью и принята налоговой — значит, все под контролем. Однако компания может обнаружить документы, которых она не составляла и не отправляла. Тогда решающим становится не только вопрос, каким сертификатом подписан файл, но и выражал ли он волю налогоплательщика, кто фактически использовал ключ и имел ли подписант право действовать от имени организации.
Чужая декларация от имени реальной компании
В моей практике было несколько кейсов, когда за общество в налоговую сдали декларации по НДС, подписав КЭП «номинального» сотрудника. Полномочия обосновали бумажной доверенностью, фактически не выдававшейся обществом: ее направили в налоговую Москвы из Тюмени. Отчетность подписали КЭП физического лица, указанного как сотрудник компании, хотя оно никогда в ней не работало и полномочий не получало.
Здесь важна точность квалификации. Без технического исследования нельзя утверждать, что была «подделана КЭП». Сертификат мог действительно принадлежать указанному физическому лицу, а подпись — корректно проходить криптографическую проверку. Подложной могла быть доверенность и созданная на ее основании видимость представительства. Иными словами, технически действительная КЭП могла использоваться для юридически значимых действий от имени чужой компании.
Декларация должна выражать волю налогоплательщика
Согласно пункту 5 статьи 80 НК РФ налогоплательщик или его представитель подписывает декларацию, подтверждая достоверность и полноту сведений. По статье 29 НК РФ уполномоченный представитель организации действует на основании доверенности, оформленной по гражданскому законодательству. Статья 185 ГК РФ определяет доверенность как письменное уполномочие, выдаваемое одним лицом другому для представительства перед третьими лицами.
Если руководитель доверенность не выдавал, а подписант не был связан с организацией, можно ли считать поступивший файл корректной декларацией? Действующий сертификат КЭП не устраняет отсутствие полномочий и сам по себе не доказывает волеизъявление налогоплательщика.
Показательна позиция Центрального аппарата ФНС России в решении от 25 января 2024 года № БВ-2-9/1030@. Декларацию по НДС представило лицо, не имевшее отношения к обществу, на основании доверенности, которую налогоплательщик не выдавал. ФНС пришла к выводу: при отсутствии волеизъявления директора такая доверенность не порождает юридических последствий, декларация признается непредставленной, а ее аннулирование является способом восстановления нарушенного права общества.
Может ли ФНС установить фактического подписанта
Выражение «декларация подписана копией ЭЦП» технически некорректно. Электронная подпись формируется для каждого файла с использованием закрытого ключа. Открытый сертификат можно копировать, но подписать им документ нельзя. Закрытые ключи КЭП руководителей и индивидуальных предпринимателей, выпускаемые УЦ ФНС на сертифицированных носителях, создаются как неэкспортируемые: штатно перенести такой ключ на другой носитель невозможно. Так считают. Фактически же копию КЭП можно сделать, и это зависит от того, на какой токен она записана.
Но это не исключает главного риска: владелец также может передать другому лицу оригинальный токен. Тогда декларация пройдет криптографическую проверку как подписанная действующей КЭП руководителя. Сама подпись покажет, каким ключом подписан файл и действовал ли сертификат, но не ответит, кто физически вставил носитель, ввел код и нажал кнопку «Подписать».
Фактического пользователя устанавливают по совокупности доказательств: данным оператора отчетности, учетной записи отправителя, квитанциям, журналам событий, времени операций, IP-адресам и иным цифровым следам. Такие сведения могут показать аномалии и связь с определенной инфраструктурой, но ни геолокация, ни IP-адрес по отдельности не доказывают личность подписанта. Поэтому корректнее говорить не о контроле ФНС за физическим местом хранения токена, а о проверке сертификата, полномочий и цифрового маршрута документа.
Передача ключа меняет позицию в споре
Статья 10 Закона № 63-ФЗ обязывает владельца обеспечивать конфиденциальность закрытого ключа, не допускать его использования без согласия и уведомить удостоверяющий центр о нарушении конфиденциальности не позднее одного рабочего дня с момента, когда об этом стало известно. ФНС также предупреждает: ключ нельзя передавать сотрудникам, бухгалтерам и обслуживающим организациям.
Если директор добровольно передал носитель бухгалтеру, отрицать свое волеизъявление значительно сложнее. Технически документ будет связан с сертификатом директора, а нарушение правил хранения может быть оценено против компании. Представитель должен подписывать отчетность собственной КЭП физического лица вместе с машиночитаемой доверенностью, а не пользоваться ключом руководителя.
Что должна доказать компания
Первое — отсутствие полномочий. Следует подтвердить, что предполагаемый представитель не работал в компании, не получал выплат, доверенности и доступ к системам. Помогут кадровые документы, сведения персонифицированного учета, расчеты по НДФЛ и взносам, банковские выписки и журналы доступа.
Второе — происхождение доверенности. У инспекции нужно запросить копию документа, сведения о дате, способе поступления, отправителе и почтовом идентификаторе. Подпись, конверт и реквизиты доставки могут стать самостоятельными доказательствами. При необходимости проводится экспертное исследование.
Третье — электронный след. Важно установить, каким сертификатом подписана декларация, кому и когда он выдан, через какого оператора и учетную запись передавалась отчетность. Нужны исходный файл, квитанции, временные метки, журналы событий и данные об устройствах. Сертификат подтверждает личность заявителя при выдаче, но не доказывает, кто использовал ключ позднее.
Алгоритм защиты бизнеса
Обнаружив сданную декларацию по НДС «чужим» КЭП, вначале следует получить в ФНС декларацию, доверенность и сведения об их поступлении. Идентифицировать сертификат, подписанта и оператора. Потребовать признать документ непредставленным и аннулировать его последствия. Все обращения направляются способом, подтверждающим дату и содержание отправки.
Для профилактики надо надежно хранить КЭП руководителя и не передавать ее третьим лицам. Если декларации по НДС не подаются представителями, организация вправе направить в налоговую уведомление о запрете их приема от уполномоченных лиц.
Цифровизация создала новый риск: юридически значимый файл может появиться раньше, чем собственник узнает о своем «представителе». Поэтому защита начинается с контроля закрытого ключа, полномочий и цифровых следов каждой отправки.
