الشهادة الإلكترونية المؤهلة للمقاولة المغربية: من الطلب إلى التوقيع الآمن

لماذا أصبحت الشهادة الإلكترونية المؤهلة ضرورة للمقاولة المغربية؟

عشية أجل إداري حساس، اتصل بنا مسؤول مالي في شركة متوسطة الحجم بعدما اكتشف أن الشهادة المستعملة في إحدى المساطر الإلكترونية انتهت صلاحيتها منذ أيام. الملف جاهز، والأرقام مصادق عليها داخليا، لكن المنصة ترفض الإرسال. حاول الفريق تغيير الحاسوب والمتصفح وإعادة تثبيت البرنامج، قبل أن يتبين أن المشكل قانوني وتقني في آن واحد: الشهادة الإلكترونية منتهية الصلاحية. والنتيجة؟ سباق مع الوقت، طلب تجديد مستعجل، وخطر ترتيب غرامات أو آثار مرتبطة بالتأخير.

هذه الواقعة، بصيغة تحافظ على سرية العميل، تتكرر أكثر مما يُعتقد. ففي عدد من المقاولات المغربية ما زالت الشهادة الرقمية تُعامل كأنها مجرد مفتاح معلوماتي يحتفظ به قسم المحاسبة. لكنها، قانونا، وسيلة لإثبات الهوية والتعبير عن الموافقة ونسبة التوقيع إلى شخص محدد يتصرف باسمه أو لحساب الشركة. ومن يسيء تدبيرها قد يعرّض المقاولة لرفض تصريح، أو تعطيل صفقة، أو نزاع حول صحة عقد.

تسارعت الرقمنة بعد جائحة كوفيد-19، ثم عزز القانون رقم 43.20 المتعلق بخدمات الثقة بشأن المعاملات الإلكترونية هذا التحول. وأصبحت المقاولة تتعامل، بدرجات متفاوتة، مع خدمات المديرية العامة للضرائب، ومنصة ضمانكم DAMANCOM التابعة للصندوق الوطني للضمان الاجتماعي، وبوابة الصفقات العمومية، وخدمات السجل التجاري والمحاكم، والفوترة والتعاقد الإلكتروني.

يُتداول في السوق أن عدد الشهادات الممنوحة بالمغرب تجاوز مئات الآلاف إلى نهاية 2023. لكن لا يصح تقديم رقم دقيق باعتباره إحصاء رسميا نهائيا إلا بعد الرجوع إلى النشرة أو البيان الصادر عن المديرية العامة لأمن نظم المعلومات DGSSI. الأهم بالنسبة إلى المقاولة ليس الرقم الوطني، بل السؤال العملي: هل الشهادة التي تستعملها مؤهلة؟ هل مزودها معتمد بالنسبة إلى الخدمة المقصودة؟ وهل ما زالت صالحة ولم تُلغَ؟

التحول الرقمي للالتزامات القانونية بالمغرب

لم تعد الرقمنة محصورة في إرسال ملف ممسوح ضوئيا عبر البريد الإلكتروني. الإدارة والمحاكم والمتعاملون الاقتصاديون يريدون معرفة هوية الموقّع، وصفته داخل الشركة، وسلامة الوثيقة من أي تعديل بعد التوقيع، وتاريخ العملية. هنا يظهر الفرق بين صورة توقيع تُلصق على ملف PDF وبين توقيع إلكتروني مؤهل بالمغرب قائم على شهادة ووسيلة آمنة لإنشاء التوقيع.

وفي الممارسة، لا يمكن الجزم بأن كل كتابة ضبط بالمحاكم التجارية ترفض الورق في جميع formalités أو أن كل منصة عمومية تفرض النوع نفسه من الشهادات. مستوى الرقمنة يختلف بحسب المسطرة والمدينة والتحديثات التقنية. لذلك يجب فحص النص المنظم للخدمة، ودليل استعمال المنصة، وتعليمات كتابة الضبط أو الإدارة المعنية، بدل الاعتماد على عبارة عامة من قبيل: «الشهادة المؤهلة إلزامية في كل شيء».

ماذا تخاطر به الشركة إذا لم تتوفر على شهادة صالحة؟

الخطر الأول إجرائي: رفض الإيداع أو تعذر إتمامه داخل الأجل. والخطر الثاني مالي، عندما يرتبط التأخير بجزاء أو غرامة أو فوائد. أما الخطر الثالث فهو إثباتي؛ إذ قد تجد الشركة نفسها أمام المحكمة التجارية مطالبة بإثبات أن العقد الإلكتروني صدر فعلا عن الطرف الآخر وأن محتواه لم يتغير.

هناك أيضا خطر أمني لا يقل خطورة. إذا غادر المدير أو المسير الشركة وظل يحتفظ بالرمز السري أو بالـtoken USB، فإن المقاولة تكون قد تركت وسيلة توقيعها خارج رقابتها. وبعبارة واضحة: تغيير المسير في السجل التجاري لا يؤدي تقنيا، من تلقاء نفسه، إلى إبطال شهادة موجودة في جهاز أو مفتاح مشفر. يجب طلب إلغائها وفق مسطرة مزود الخدمة.

الإطار القانوني للشهادة والتوقيع الإلكترونيين في المغرب

من القانون 53.05 إلى القانون 43.20

وضع القانون رقم 53.05 المتعلق بالتبادل الإلكتروني للمعطيات القانونية الأساس الأول للاعتراف بالكتابة والتوقيع الإلكترونيين. وقد صدر بتنفيذه الظهير الشريف رقم 1.07.129 بتاريخ 30 نونبر 2007. وبفضله لم تعد الدعامة الورقية شرطا وحيدا للاحتجاج بالمحرر، شريطة احترام متطلبات التعرف إلى صاحبه وضمان سلامته.

ثم جاء القانون رقم 43.20 المتعلق بخدمات الثقة بشأن المعاملات الإلكترونية ليعيد تنظيم المجال ويوسعه. وقد صدر بتنفيذه الظهير الشريف رقم 1.20.100 بتاريخ 16 جمادى الأولى 1442 الموافق 31 دجنبر 2020. وهذا التصحيح مهم لأن بعض الصفحات التجارية تنسب صدور القانون إلى مراجع أو تواريخ أخرى غير دقيقة.

لا يتحدث القانون الجديد عن التوقيع وحده، بل عن منظومة أوسع من خدمات الثقة، تشمل، بحسب الخدمة والشروط النظامية، الشهادات الإلكترونية والتوقيع والختم الإلكتروني والطابع الزمني وخدمات الإرسال الإلكتروني المضمون. أما المتطلبات التقنية والتنظيمية فتُستكمل بالنصوص التطبيقية وقرارات السلطة الوطنية المختصة والمرجعيات المنشورة من طرف DGSSI. ولهذا ينبغي الرجوع إلى النسخة المحينة من الجريدة الرسمية، لا إلى عروض التسويق وحدها.

المستويات الثلاثة للتوقيع الإلكتروني

يميز القانون 43.20، من خلال تعريفاته وأحكامه، بين التوقيع الإلكتروني البسيط والتوقيع الإلكتروني المتقدم والتوقيع الإلكتروني المؤهل. المادة 2 هي المدخل الأساسي إلى التعريفات القانونية، لكن آثار كل فئة لا تُفهم بقراءة التعريف وحده؛ بل يجب ربطه بباقي أحكام القانون وقواعد الإثبات في قانون الالتزامات والعقود.

التوقيع البسيط قد يكون كتابة الاسم أسفل رسالة إلكترونية، أو الضغط على زر «أوافق»، أو إدراج صورة توقيع في وثيقة. لا يعني ذلك أنه عديم القيمة. فقد يشكل قرينة مع البريد الإلكتروني وسجل الاتصالات والفواتير والتنفيذ اللاحق للعقد. غير أن نسبة التوقيع إلى صاحبه وسلامة الوثيقة تكونان أكثر قابلية للنقاش.

أما التوقيع المتقدم فيرتبط بالموقّع ارتباطا أوثق، ويسمح بالتعرف إليه، ويُنشأ بوسائل يفترض أن تكون تحت سيطرته، كما يكشف التغيير اللاحق في البيانات الموقعة وفق الشروط التقنية والقانونية المطبقة. ومثاله نظام تعاقد مهني يعتمد تحقق الهوية ورمزا أحادي الاستعمال وسجلات تقنية مؤمنة، من دون أن يستوفي بالضرورة جميع شروط التأهيل.

التوقيع المؤهل هو أعلى مستوى. إنه توقيع متقدم يستند إلى شهادة إلكترونية مؤهلة ويُنشأ بواسطة وسيلة مؤهلة لإنشاء التوقيع، وفقا للشروط التي يحددها القانون والنصوص التنظيمية. لذلك يتمتع بأقوى مركز إثباتي، وتترتب عليه قرينة قانونية أقوى من المستويين السابقين.

الخلاصة القانونية: ليست كل موافقة إلكترونية توقيعا مؤهلا، وليست كل شهادة رقمية شهادة مؤهلة. وصف «مؤهل» نتيجة لاستيفاء شروط قانونية وتقنية وخضوع مقدم الخدمة للنظام الرقابي المختص، وليس مجرد تسمية تجارية.

القوة الثبوتية للمحرر الإلكتروني

ينص الفصل 417-1 من قانون الالتزامات والعقود على أن الوثيقة المحررة على دعامة إلكترونية تتمتع بالقوة الإثباتية نفسها التي تتمتع بها الوثيقة المحررة على الورق، بشرط إمكان التعرف قانونا إلى الشخص الذي صدرت عنه، وأن تكون معدة ومحفوظة وفق شروط تضمن تماميتها. والفصل 417-2 من القانون نفسه ينظم وظيفة التوقيع في التعرف إلى صاحبه والتعبير عن قبوله للالتزامات الناشئة عن المحرر.

أما الفصل 417 فيندرج ضمن قواعد الإثبات بالكتابة والحجة الرسمية والعرفية. والربط بين هذه الفصول ضروري: وجود شهادة قوية لا يعالج وحده كل عيب في العقد. فإذا كان موضوع الالتزام غير مشروع، أو كان الموقّع لا يملك سلطة تمثيل الشركة، أو كان القانون يفرض شكلا رسميا خاصا، فقد يبقى التصرف معرضا للبطلان أو عدم النفاذ رغم سلامة التوقيع تقنيا.

وهنا تظهر دقة يعرفها الممارسون: المعادلة القانونية بين التوقيع المؤهل والتوقيع بخط اليد لا تعني أن التوقيع الإلكتروني يحل آليا محل التوثيق العدلي أو التوثيق العصري أو التسجيل أو الإشهار العقاري متى فرض القانون شكلا خاصا. كما أن استعمال التوقيع المتقدم في بعض المحررات ذات الصبغة الرسمية ما زال يثير نقاشا مهنيا، خصوصا حيث تتداخل قواعد قانون 43.20 مع قوانين مهنية وشكليات آمرة.

دور المديرية العامة لأمن نظم المعلومات DGSSI

تضطلع المديرية العامة لأمن نظم المعلومات، التابعة لإدارة الدفاع الوطني، بمهام السلطة الوطنية في مجال أمن نظم المعلومات وخدمات الثقة وفق الاختصاصات القانونية والتنظيمية. ويهم المقاولة عمليا أن تتحقق عبر موقعها الرسمي من لائحة مقدمي خدمات الثقة المؤهلين أو المعتمدين، ومن نطاق التأهيل وحالته وتاريخ سريانه.

لا يكفي أن يكون المزود معروفا أو أن يعرض «توقيعا آمنا». فقد يكون معتمدا لخدمة محددة دون أخرى، أو يقدم منتجات مؤهلة وأخرى غير مؤهلة. لذلك يجب مطابقة اسم المنتج، ونوع الشهادة، وسياسة التصديق، واستعمالاتها مع اللائحة الموثوقة المنشورة رسميا.

من يحق له إصدار شهادة إلكترونية مؤهلة بالمغرب؟

اللائحة الرسمية لمقدمي خدمات الثقة

يخضع مقدم خدمة التصديق الإلكتروني المعتمد بالمغرب لمتطلبات ترتبط بأمن البنية التحتية، والتحقق من هوية طالبي الشهادات، وحماية مفاتيح التوقيع، واستمرارية الخدمة، والإلغاء، وحفظ السجلات، والتدقيق. الحصول على التأهيل ليس ترخيصا تجاريا عاديا؛ بل التزام تقني وقانوني مستمر.

يظل Barid eSign المغرب، المرتبط بمجموعة بريد المغرب، الاسم الأكثر حضورا تاريخيا لدى الإدارات والمقاولات. وتوجد عروض موجهة إلى الأشخاص الذاتيين والمهنيين والأشخاص الاعتباريين، مع اختلاف في نوع الشهادة ومدة صلاحيتها وطريقة تسليم وسيلة التوقيع.

أُعلن خلال 2024 عن دخول فاعلين إضافيين، من بينهم Damane Cash وAfricTrust، إلى سوق خدمات الثقة أو حصولهم على تأهيلات بحسب النطاق المعلن. لكن المقال يُقرأ في تواريخ لاحقة، والتأهيل قد يتغير أو يتوسع أو يعلق. لذلك لا نقدم أسماء 2024 كبديل عن التحقق الحالي. المرجع الحاسم هو لائحة DGSSI المحينة، مع مراجعة نوع الخدمة المؤهلة بالضبط.

كيف تتحقق من اعتماد المزود؟

قبل توقيع عقد الاشتراك، اطلب الاسم القانوني الكامل للمزود، ورقم أو قرار التأهيل، ونطاقه، وسياسة الشهادة، وشروط الإلغاء، وقائمة إلغاء الشهادات CRL أو خدمة التحقق الفوري OCSP. ثم قارن هذه المعطيات باللائحة الرسمية. لا تعتمد على شعار DGSSI الموجود في منشور إعلاني.

في الممارسة القضائية، قد لا تُستبعد الوثيقة لمجرد أن شهادتها غير مؤهلة؛ إذ يمكن للقاضي تقييمها مع باقي القرائن. لكن الطرف المستفيد يفقد القرينة الأقوى المرتبطة بالتأهيل، ويصبح مطالبا ببذل جهد أكبر لإثبات الهوية وسلامة المحرر والموافقة. لذلك فعبارة «القاضي سيرفضها حتما» مبالغ فيها، كما أن عبارة «أي توقيع رقمي يكفي» خاطئة بدورها.

شهادة الشخص المعنوي وتمثيل الشركة

هل تُمنح الشهادة للشركة أم للمسير؟

مصطلح شهادة إلكترونية لشخص معنوي بالمغرب قد يسبب التباسا. الشركة شخص معنوي، لكنها تتصرف بواسطة أشخاص ذاتيين: مسير شركة ذات مسؤولية محدودة، أو رئيس مدير عام، أو مدير عام، أو مفوض له. وقد تكون الأداة شهادة توقيع باسم شخص ذاتي يتصرف بصفته ممثلا للشركة، أو شهادة ختم إلكتروني مرتبطة بالشخص المعنوي، بحسب المنتج والاستعمال.

التوقيع يعبّر عن فعل شخص محدد. أما الختم الإلكتروني فيرتبط غالبا بالشخص المعنوي ويهدف إلى إثبات مصدر البيانات وسلامتها، من دون أن يؤدي دائما وظيفة التعبير الشخصي عن الرضا نفسها. لذلك يجب عدم شراء شهادة ختم عندما تشترط المنصة توقيع ممثل، والعكس صحيح.

ينبغي أيضا مراجعة سلطات الموقّع. فالمسير قد يملك تمثيل الشركة قانونا، بينما يحتاج المدير المالي أو مسؤول الموارد البشرية إلى تفويض مكتوب. وإذا كانت قيود النظام الأساسي منشورة ومحتجا بها، أو كانت العملية تتجاوز صلاحيات داخلية جوهرية، فقد ينشأ نزاع مستقل عن سلامة الشهادة.

أبرز الاستعمالات داخل المقاولة

• الضرائب: الولوج إلى خدمات SIMPL والتصريح والأداء الإلكتروني وفق شروط المديرية العامة للضرائب وصلاحيات المستخدمين.
• الصندوق الوطني للضمان الاجتماعي: استعمال DAMANCOM للتصريح بالأجور وأداء الاشتراكات وإدارة العمليات المرتبطة بالمشغل.
• الصفقات العمومية: توقيع الملفات والعروض والوثائق المطلوبة عبر بوابة الصفقات، بحسب نظام الاستشارة ودليل المنصة.
• العقود التجارية: توقيع عقود التوريد والخدمات والسرية والتوزيع، مع الاحتفاظ بسجلات الموافقة والطابع الزمني.
• المحاكم والسجل التجاري: إنجاز الخدمات الإلكترونية التي تتيحها المنصات المختصة، مع مراعاة استمرار بعض الإجراءات الورقية أو الحضورية.
• المعاملات الدولية: توقيع مستندات مع شركاء أجانب، بعد التحقق من الاعتراف بالشهادة في الدولة الأخرى.

الشهادة الإلكترونية والتصريح الضريبي

تحدد المديرية العامة للضرائب كيفيات التسجيل في خدمات SIMPL ومنح الصلاحيات واستعمال وسائل المصادقة أو التوقيع المتوافقة. وتستعمل الشهادات عادة معيار X.509، لكن التطابق النظري مع المعيار لا يضمن وحده العمل على كل بوابة؛ فإصدارات المتصفح، وبرامج تشغيل المفتاح، ومعمارية النظام 32 أو 64 بت، وإعدادات الأمان قد تمنع العملية.

ننصح المدير المالي بعدم انتظار يوم استحقاق الضريبة لاختبار الشهادة. يجب إجراء اختبار تقني بعد استلامها، وتوثيق اسم الحاسوب والإصدار البرمجي، ثم الاحتفاظ بحاسوب احتياطي مضبوط. وإذا تعذر الإرسال، تُحفظ لقطات الشاشة ورسائل الخطأ وتذكرة الدعم؛ فقد تفيد في إثبات حسن النية، وإن كانت لا تضمن الإعفاء من الجزاءات.

الشهادة الإلكترونية للصندوق الوطني للضمان الاجتماعي

يرتبط certificat électronique CNSS Maroc بمنصة DAMANCOM وبقواعد الانخراط والتصريح عن الأجراء. وتاريخيا توسع الإلزام بالتبادل الإلكتروني تدريجيا بحسب عدد الأجراء وفئات المشغلين، غير أن العتبات وكيفيات المصادقة عرفت تحديثات. لذلك لا ننصح باعتماد رقم ثابت متداول على الإنترنت من دون الرجوع إلى CNSS وشروط DAMANCOM الحالية.

بمعنى أدق، لا ينص القانون 43.20 وحده على أن كل مقاولة، مهما كان عدد أجرائها، مطالبة بالشهادة نفسها لدى CNSS. الالتزام ينتج عن النصوص المنظمة للتصريح، وقرارات المؤسسة، وشروط المنصة، ووضعية المشغل. يمكن الاتصال بوكالة CNSS أو الدعم الرسمي أو مستشار قانوني في قانون الشغل والتصريحات الاجتماعية لتحديد الوضعية الدقيقة.

الإيداع الإلكتروني بالمحكمة التجارية

تتطور خدمات الإيداع الإلكتروني للحسابات بالمحكمة التجارية في المغرب والسجل التجاري بحسب المنصات والمراحل التجريبية والتعليمات الوزارية. وقد تُطلب ملفات PDF موقعة، أو وثائق ممسوحة ضوئيا، أو أصول ورقية لاحقة، بحسب نوع العملية. المرجع العملي هو دليل الخدمة وكتابة الضبط المختصة، وليس تجربة مقاولة في مدينة أخرى.

لنتصور شركة ذات مسؤولية محدودة بمراكش أنهت حساباتها، لكنها أجلت الإيداع إلى اليوم الأخير. عند محاولة توقيع الوثائق ظهر أن الشهادة منتهية. هنا لا تنشئ الشهادة الالتزام بإيداع القوائم، لكنها تصبح الوسيلة التي يتوقف عليها احترام الأجل. وقد تتعرض الشركة أو مسيروها للآثار والجزاءات المنصوص عليها في قانون الشركات والنصوص ذات الصلة، بحسب طبيعة الإخلال. ولهذا يفيد التواصل المبكر مع محام في قانون الشركات بمراكش أو مع كتابة الضبط.

كيف تحصل المقاولة على شهادة إلكترونية مؤهلة؟

الوثائق المطلوبة

تختلف اللائحة بحسب المزود ونوع الشهادة، لكن ملف الحصول على شهادة إلكترونية بالمغرب يتضمن عادة نسخة حديثة من السجل التجاري، والنظام الأساسي المحين، ومحضر تعيين المسير أو المدير العام عند الحاجة، ونسخة البطاقة الوطنية للتعريف الإلكترونية للموقّع، ووثيقة تثبت صلاحية التمثيل أو التفويض.

قد يطلب المزود كذلك التعريف الموحد للمقاولة ICE، والتعريف الضريبي، وشهادة التسجيل في الضريبة المهنية، ونموذج طلب مختوما أو موقعا، وعنوان البريد المهني، ورقم الهاتف، ووثائق المستفيد الفعلي أو الوكيل. بعض الوثائق يجب أن تكون حديثة أو مطابقة للأصل. ومن أسباب التأخير الشائعة اختلاف كتابة الاسم بين البطاقة الوطنية والسجل التجاري أو انتهاء مدة صلاحية وثيقة الهوية.

المسطرة خطوة بخطوة

1. حدد الاستعمال: ضرائب، CNSS، صفقات عمومية، عقود، ختم إلكتروني أو توقيع ممثل قانوني.
2. تحقق من مقدم الخدمة ونطاق تأهيله عبر موقع DGSSI.
3. اطلب العرض وشروط الشهادة وسياسة الإلغاء والدعم التقني قبل الأداء.
4. اجمع الوثائق القانونية المحينة وتأكد من صفة الموقّع والتفويض عند الحاجة.
5. أودع الطلب إلكترونيا أو لدى نقطة التحقق المعتمدة، ثم أنجز التحقق الحضوري من الهوية إذا كان مطلوبا.
6. تسلّم الشهادة ووسيلة إنشائها الآمنة، مثل المفتاح المشفر، وغيّر الرمز السري الأولي دون مشاركته.
7. ثبت البرامج واختبر الشهادة على كل منصة مستهدفة قبل حلول الآجال.

بالنسبة إلى Barid eSign، يمكن أن يبدأ الطلب عبر البوابة المخصصة، ثم تُستكمل عملية التحقق والتسليم وفق المسار المطبق على المنتج ونقطة الخدمة. ولا ينبغي افتراض أن كل وكالة بريد تقدم الخدمة نفسها؛ الأفضل تحديد الوكالة أو النقطة المؤهلة مسبقا.

المدة المتوقعة

عندما يكون الملف كاملا ومتطابقا، قد تتراوح المدة العملية بين يومين وخمسة أيام عمل. وقد تطول بسبب التحقق من التمثيل القانوني، أو نقص الوثائق، أو ضغط الطلبات، أو ضرورة إرسال المفتاح المشفر إلى مدينة أخرى. هذه آجال سوقية تقريبية وليست أجلا قانونيا مضمونا في كل حالة.

في الملفات الحساسة ننصح بالبدء قبل أسبوعين على الأقل، لا قبل 48 ساعة. أما المجموعات متعددة الفروع، التي تحتاج شهادات لعدة مستخدمين وصلاحيات مختلفة، فقد تحتاج إلى مشروع داخلي كامل يشمل التفويضات وحماية المفاتيح وسجل التسليم والاسترجاع.

التكلفة والأسعار

كانت الأسعار المتداولة خلال 2024 للشهادة المهنية أو المرتبطة بشخص معنوي تدور، على سبيل الاستئناس، بين 300 و600 درهم دون احتساب الضريبة لمدة سنة، وبين 500 و900 درهم دون احتساب الضريبة لمدة سنتين. وقد يضاف ثمن المفتاح المشفر، وغالبا ما يتراوح بين 150 و300 درهم، إضافة إلى الدعم أو التسليم.

هذه ليست تعريفة قانونية موحدة، وقد تغيرت بعد 2024. السعر النهائي يتأثر بنوع الشهادة، ومدة الصلاحية، وعدد المستخدمين، ومستوى الدعم، والطابع الزمني، وتجديد المفتاح. اطلب عرضا مكتوبا يتضمن الضريبة والتجديد والإلغاء والاستبدال عند التلف، ولا تختَر الأرخص قبل اختبار توافقه مع منصاتك.

التثبيت التقني وحماية المفتاح

يُخزن المفتاح الخاص غالبا داخل token USB cryptographique أو وسيلة آمنة أخرى. يجب تثبيت برنامج التشغيل والـmiddleware والسلسلة الجذرية للشهادات، ثم التحقق من تعرف النظام والمتصفح عليها. وبعض المنصات الإدارية القديمة ما زالت تسبب مشكلات مع إصدارات Java أو Edge أو إعدادات كانت مصممة سابقا لـInternet Explorer. هذه ليست تفاصيل صغيرة؛ فقد توقف تصريحا كاملا.

يجب أن يظل الرمز السري شخصيا، وألا يوضع على ورقة ملصقة بالمفتاح. وإذا كانت المحاسبة الخارجية تحتاج إلى تنفيذ عمليات، فالحل ليس تسليم توقيع المسير بلا ضوابط، بل إنشاء تفويض وصلاحيات مناسبة أو شهادة منفصلة حيث تسمح المنصة. مشاركة المفتاح تضعف الأمن، وقد تجعل إثبات الاستعمال غير المأذون به أكثر صعوبة.

تجديد الشهادة وإلغاؤها

متى تبدأ إجراءات التجديد؟

تُعرض الشهادات عادة لمدة سنة أو سنتين أو ثلاث سنوات بحسب المنتج والسياسة المعتمدة، وتُذكر مدة الصلاحية الدقيقة داخل الشهادة والعقد. ويُشار في الممارسة التنظيمية إلى ثلاث سنوات كحد أقصى متداول لبعض فئات الشهادات المؤهلة، لكن ينبغي فحص سياسة الشهادة الخاصة بالمزود والنص التنظيمي المحين قبل اعتماد ذلك قاعدة مطلقة لكل منتج.

نوصي بإطلاق تجديد الشهادة الإلكترونية بالمغرب قبل انتهاء صلاحيتها بما بين 30 و45 يوما. تُبرمج ثلاثة تنبيهات: قبل 60 يوما، وقبل 45 يوما، وقبل 30 يوما. ويُسند التتبع إلى شخص مسمى داخل الإدارة القانونية أو المالية أو نظم المعلومات، لا إلى عنوان بريد عام لا يراجعه أحد.

ماذا يحدث عند انتهاء الصلاحية؟

التوقيعات التي أُنشئت خلال مدة صلاحية الشهادة لا تصبح باطلة آليا لمجرد انتهاء الشهادة لاحقا، خصوصا إذا أمكن إثبات تاريخ التوقيع وسلامة سلسلة الثقة وحالة الشهادة وقتها. لكن لا يجوز إنشاء توقيع جديد صالح بشهادة منتهية. وقد ترفض المنصة العملية فوريا.

لهذا يشكل الطابع الزمني المؤهل عنصرا مهما؛ فهو يساعد على إثبات أن التوقيع كان موجودا في وقت محدد، وأن الشهادة لم تكن منتهية أو ملغاة بحسب بيانات التحقق. كما يفيد الحفظ الإلكتروني طويل الأمد في مواجهة انتهاء الخوارزميات أو تغير سلاسل الشهادات.

مغادرة المسير أو ضياع المفتاح

إذا غادر الموقّع الشركة، أو سُرق المفتاح، أو انكشف الرمز السري، يجب طلب الإلغاء فورا. لا تنتظر تاريخ نهاية الشهادة. تُراجع سجلات العمليات، وتُسحب الصلاحيات من المنصات، ويُعيّن موقّع جديد، ثم تُصدر شهادة جديدة بعد التحقق من صفته.

تغيير المزود ممكن، لكنه ليس «نقل» الشهادة القائمة عادة. يُطلب إصدار شهادة جديدة لدى المزود الجديد، وقد تُلغى القديمة بعد اختبار الجديدة، مع ضبط فترة الانتقال حتى لا تقع الشركة في فراغ تشغيلي. ولا يجوز الاحتفاظ بالشهادة القديمة نشطة بلا حاجة لمجرد الخوف من تعطل الخدمة.

قيمة التوقيع المؤهل أمام المحاكم المغربية

قرينة الموثوقية وعدم التنصل

يتمتع التوقيع الإلكتروني المؤهل بمركز إثباتي قوي بسبب التحقق من الهوية واستعمال شهادة ووسيلة مؤهلتين. لكن عبارة عدم التنصل لا تعني استحالة المنازعة. يستطيع صاحب الشهادة الادعاء بسرقة المفتاح أو الإكراه أو تجاوز الصلاحيات أو عيب الرضا، غير أنه سيحتاج إلى أدلة جدية: تصريح بالضياع، وطلب إلغاء سريع، وسجلات ولوج، وخبرة تقنية، ومراسلات داخلية.

أمام المحكمة الابتدائية أو المحكمة التجارية، يمكن للقاضي أن يأمر بخبرة معلوماتية، وأن يطلب ملف الشهادة وسياسة التصديق وبيانات CRL أو OCSP. ثم تخضع الأحكام لرقابة محاكم الاستئناف ومحكمة النقض في حدود قواعد الإثبات والتعليل والقانون. ولا توجد، في المصادر الرسمية المتاحة بسهولة، قاعدة اجتهادية منشورة تسمح بالقول إن جميع المحاكم تبنت موقفا موحدا في كل صور التوقيع المؤهل.

تقبل المحاكم المغربية بصورة متزايدة الوثائق الإلكترونية والمراسلات الرقمية متى أمكن نسبتها إلى أصحابها وتعززت بقرائن متناسقة. ومع ذلك، يجب تجنب اختلاق أرقام أحكام غير منشورة. وما يُتداول مهنيا عن قبول المحاكم التجارية بالدار البيضاء لعقود موقعة إلكترونيا يظل مرتبطا بوقائع كل ملف وبطريقة تقديم الدليل.

الشهادة لا تعوض ملف الإثبات

في العقود المهمة، نوصي بحفظ النسخة الأصلية الموقعة بصيغتها الإلكترونية، لا نسخة مطبوعة فقط، مع تقرير التحقق، وسلسلة الشهادات، والطابع الزمني، وإشعار التسليم، وعنوان البريد، وعنوان IP حيث يكون جمعه مشروعا، وسجل الموافقات. يجب أيضا احترام القانون رقم 09.08 المتعلق بحماية الأشخاص الذاتيين تجاه معالجة المعطيات ذات الطابع الشخصي، ومداولات اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي CNDP.

وينبغي أن يتضمن العقد بندا ينظم التوقيع الإلكتروني، وعناوين التبليغ، وهوية الموقّعين، وطريقة التحقق، والقانون الواجب التطبيق. ويمكن الاستعانة بمحام متخصص في العقود الإلكترونية بالمغرب، خاصة إذا تعلق الأمر بمبالغ كبيرة أو بيانات حساسة.

هل يُعترف بالشهادة المغربية خارج المملكة؟

الاعتراف الدولي ليس تلقائيا. فالنظام الأوروبي eIDAS يعتمد قوائم ثقة وآليات اعتراف خاصة، ولا تصبح الشهادة المغربية مؤهلة أوروبيا لمجرد أنها مؤهلة في المغرب. يجب فحص قانون الدولة المقابلة، وشروط منصة الشريك، واتفاقات الاعتراف المتبادل إن وجدت.

في الصفقات الدولية الكبرى قد يكون الحل اعتماد مزود معروف في البلدين، أو استعمال توقيعين متوافقين، أو اللجوء إلى تصديق إضافي أو توثيق أو apostille عندما تنطبق اتفاقية لاهاي وطبيعة الوثيقة تسمح بذلك. ويتعين التنسيق مع محام في قانون الأعمال بالرباط أو متخصص في القانون الدولي الخاص.

قائمة عملية للمقاولة

سبع خطوات لا ينبغي تأجيلها

1. احصر جميع المنصات التي تستعملها الشركة: DGI وCNSS والصفقات والمحاكم والعقود الخاصة.
2. حدد هل تحتاج إلى توقيع شخص ذاتي ممثل للشركة أم إلى ختم إلكتروني للشخص المعنوي.
3. تحقق من اعتماد المزود ونطاق خدمته عبر DGSSI في يوم التعاقد.
4. راجع السجل التجاري والتفويضات وصفة كل موقّع.
5. اختبر الشهادة على كل منصة، وعلى حاسوب احتياطي، قبل الآجال.
6. ضع نظاما مكتوبا لحفظ المفتاح والإلغاء عند الضياع أو مغادرة المسؤول.
7. ابدأ التجديد قبل 30 إلى 45 يوما، واحتفظ بأدلة التوقيع والطابع الزمني.

اختيار قانوني واستراتيجي، لا شراء تقني فقط

الشهادة المؤهلة ليست مجرد منتج يطلبه قسم المعلوميات. إنها جزء من حوكمة الشركة وإدارة صلاحيات التمثيل والإثبات. الشركات متعددة المواقع أو الخاضعة لقطاعات منظمة تحتاج إلى سياسة توقيع تحدد من يوقع، وما الحد المالي لصلاحياته، وأين يحفظ المفتاح، وكيف تراجع السجلات.

وإذا كانت المقاولة تواجه نزاعا أو مسطرة حساسة، يمكنها الاستعانة بمحام في القانون الرقمي بالدار البيضاء، أو المنازعات أمام المحكمة التجارية بالدار البيضاء، أو القانون الضريبي المغربي. فالتوافق التقني لا يعالج وحده التفويض، وحجية الدليل، وحماية البيانات، والالتزامات القطاعية.

خلال سنوات الممارسة في قانون الأعمال رأينا مقاولات كثيرة تتعامل مع الشهادة الإلكترونية باعتبارها إجراء إداريا ثانويا. وهذا خطأ قد يكلف غرامات أو نزاعا أو، في أفضل الأحوال، ساعات طويلة من الوقت الضائع. الإدارة السليمة تبدأ قبل موعد التصريح، وقبل مغادرة المسير، وقبل أن يظهر على الشاشة تنبيه صغير يقول: الشهادة غير صالحة.