认证合规整改落地，电子签章行业怎么样了？

随着《电子认证业务规则规范》（T/CQAE 11034-2025）实施及配套监管部署推进，电子认证行业的合规整改已进入2026年10月30日过渡期截止前的关键收尾阶段。本轮整改不是CPS文本的简单修订，而是对订户告知、身份查验、意愿记录、协议签署、私钥保管、资料留存全服务链条的系统性改造，并要求CA机构推动合作方同步适配。电子签章服务商的业务路径与产业协作模式，正在这一框架下被重新界定。

在《电子签名法》与《电子认证服务管理办法》的框架下，电子签章与电子认证定位分层、功能互补。一份具备可靠效力的电子签章，以数字证书为信任根基；数字证书的签发、身份查验、订户告知、认证协议签署、证书生命周期管理，属于电子认证业务，法定实施主体是取得工信部《电子认证服务许可证》的CA机构。电子签章则承载文件发起、签署流程编排、印章管理、文档归档、系统对接、验签展示等应用层能力。二者共同构成可信签署体系，也是产业分工的规范基础。

本轮整改的核心指向，是将电子认证的法定责任压实到CA机构，落实“CA直验、CA直签、意愿留证、私钥直管”四条合规底线。工信部在整改部署中明确，服务告知、身份查验、签署协议、数据留存等核心职责不得委托，须由CA机构自身承担，不得通过委托、外包等方式转移。与之相配套，CA机构不得将用户身份核验委托给第三方（非同一法人主体即视为外部机构），认证服务协议须由CA与订户直接签署，申请意愿须全程留证。这一要求实质上取消了RA（注册审核机构）承接身份实质审核的空间——RA仅可保留材料收集、技术转发等辅助职能，不再介入认证决策与缔约环节。

在这一合规链路中，电子签章服务商的应然定位是应用层的流程载体与场景服务商。服务商可以搭建签署工作台，承接业务发起、文件流转、权限管理、客户侧运维、行业方案适配等应用能力；但证书申请、身份核验、意愿确认、认证缔约等认证动作，其入口、交互、核验判断、协议签署和证据留存均归属CA体系，由CA面向订户直接完成。服务商的功能边界在于业务流程串联，不介入认证环节的决策与缔约。越过这一边界的“代核验”“代缔约”安排，在新规下不再具有合规空间。

合规边界明确之后，电子签章服务商的可行路径趋于清晰：聚焦垂直行业与本地化服务，围绕行业解决方案、项目实施与客户运营构建能力，认证能力完全由持牌CA闭环提供。选择这一路径的服务商，需要完成两项关键工作：一是与CA深度协同改造业务链路，确保身份查验、意愿确认、协议签署等环节在CA体系内直达订户；二是做好多CA协同的备选安排，保障业务连续性，避免因单一CA合作方调整而出现服务中断。

对企业采购方而言，签署链路的合规甄别可以聚焦三个可核查的问题：第一，数字证书的签发主体是哪一家持证CA机构；第二，身份查验、意愿确认、认证服务协议签署，是否由CA机构面向签署人直接完成，而非经由电子签章平台代为操作；第三，认证相关的核验记录、意愿证据、协议文本，是否由CA机构留存并承担对应的法定责任。三个问题的答案均指向CA独立履职时，该签署链路才具备规范意义上的合规基础。

本轮整改的实质，是让认证归认证、应用归应用，在CA与应用服务商之间划出一条可执行、可核查的权责边界。它并不否定产业协同，而是要求协同在“CA独立完成认证环节”的前提下重新组织。对电子签章服务商而言，可持续的业务空间不在于寻找规避红线的变通路径，而在于将自身能力锚定在应用层价值上，并与CA建立起经得起核查的合规协同链路。行业竞争的重心，正在从功能覆盖与价格竞争，转向可信链路的合规可验证性、证据闭环的完整性，以及场景化履约的稳定性。

从行业实践看，头部电子签章服务商的整改动作已经与上述路径形成呼应。以契约锁为例，作为电子签章应用单位，其服务原则明确为“认证归CA、签署归平台”。在认证环节，契约锁协同上海CA、陕西CA、天津CA、亚数CA、CFCA、GDCA等多家持牌CA机构，按照工信部“一证四步”要求完成数字证书申领流程改造，认证服务告知、身份核验、意愿确认、协议签署及证书私钥托管均由CA机构独立完成，平台不介入认证决策。

在应用层，契约锁保留签署流程管控、智能印章管控、电子合同管理、数据存证保全及业务系统集成等配套能力，与“应用层流程载体”的定位一致。在业务连续性方面，多CA对接使其客户可在监管要求或自身需要变化时灵活切换认证通道，降低了单一CA合作方调整带来的中断风险。

目前，这一协同模式已在政务、金融、医疗、教育、工程、制造等行业的签署场景中落地，哈尔滨市卫健委、山西省农业信贷融资担保、南京理工大学、中国建材集团、江苏省铁路集团等案例均体现了CA独立认证、平台承接场景的分工结构。契约锁的实践说明，服务商在整改中的可行位置，不是替代CA的认证职能，而是把CA的认证能力接入具体业务场景，并以多CA协同保障链路稳定——这与前文“认证归认证、应用归应用”的整改指向是一致的。