AES مقابل QES مع نفاذ: لماذا لا يحتاج معظم التوقيع التجاري السعودي إلى الفئة المؤهَّلة

تبالغ فرق B2B السعودية بشكل روتيني في تحديد متطلبات التوقيع. الحدس معقول — نفاذ سيادية وبيومترية وموثوقة؛ والتوقيع الإلكتروني المؤهَّل (QES) المدعوم بها هو أعلى فئة تشفيرية بموجب نظام التعاملات الإلكترونية السعودي. إذن من المؤكد أنك ستريدها على كل عقد، دائماً. النص القانوني يقول شيئاً أكثر دقّة. يمنح النظام السعودي التوقيعات الإلكترونية الوزن الإثباتي نفسه للتوقيعات اليدوية في اللحظة التي تُستوفى فيها مجموعة من الشروط التقنية — وفئة التوقيع الإلكتروني المتقدّم (AES) تستوفي تلك الشروط لأنواع المستندات التي تشكّل نحو ٩٥٪ من حجم التوقيع التجاري السعودي. اللجوء افتراضياً إلى QES مع نفاذ لكل توقيع يشتري لك إفراطاً قانونياً بثمن فجوات تغطية واحتكاك توقيع يخفض الإكمال بأرقام مزدوجة.

ما يقوله نظام التعاملات الإلكترونية فعلاً عن فئات التوقيع

اعترفت المملكة العربية السعودية بالتوقيع الإلكتروني في عام ٢٠٠٧ عبر المرسوم الملكي رقم م/١٨ لعام ١٤٢٨هـ، نظام التعاملات الإلكترونية (ETL)، مدعوماً بلائحته التنفيذية. مثل eIDAS في أوروبا، يعترف الإطار بثلاث فئات: توقيع إلكتروني أساسي، توقيع إلكتروني متقدّم، وتوقيع إلكتروني معتمَد/مؤهَّل مرتكز على جهة إصدار شهادات سعودية مرخّصة. تنظّم هيئة الاتصالات والفضاء والتقنية (CST، سابقاً CITC) جهات إصدار الشهادات المرخّصة التي تُصدر الشهادات المؤهَّلة؛ ونفاذ، التي يشغّلها المركز الوطني للمعلومات، تقدّم تأكيد هوية جانب المواطن الذي يُشغّل تدفقات QES في الممارسة العملية.

معظم الالتباس التشغيلي يقع في مكان واحد: افتراض أن QES مطلوبة للتوقيع الملزم قانوناً. ليست كذلك. المادة ٥ من النظام تحدّد الشروط التي يجب على التوقيع الإلكتروني استيفاؤها ليحمل نفس الوزن الإثباتي للتوقيع اليدوي — ربط فريد بالموقِّع، سيطرة حصرية على بيانات التوقيع، وربط مقاوم للعبث بالمستند. أي تطبيق AES مبني بشكل صحيح يستوفي هذه الشروط. تضيف QES شهادة هوية مرتكزة على الدولة فوق ذلك، وهو ما يتطلّبه النظام فقط لفئات مستندات محدّدة بشكل خاص.

مشكلة احتكاك نفاذ

نفاذ بنية تحتية ممتازة للهوية. وهي أيضاً مصمَّمة للمعاملات التي يكون فيها الموقِّع قد اختار بالفعل التفاعل مع خدمة حكومية سعودية — التقديم على تأشيرة، دفع غرامة، تسجيل مركبة. المستخدم محفَّز؛ الاحتكاك مقبول. التوقيع التجاري له منحنى تحفيز مختلف. الموقِّع هو طرف مقابل تحاول تحويله من "يفكّر" إلى "وقّع" بأسرع ما يمكن. كل خطوة مصادقة إضافية تكلّف معدل الإكمال.

QES مع نفاذ تتفوّق على الورق، لكنها تخسر أرقاماً مزدوجة لـ AES في الإكمال. سببان. أولاً، كل توقيع نفاذ يتطلّب من الموقِّع تثبيت تطبيق نفاذ (إن لم يكن مثبتاً)، فتحه، قبول إشعار فوري، وإكمال مصادقة بيومترية. كل خطوة من هذه تحلق نقاطاً مئوية قليلة من الإكمال. ثانياً — وهذا هو القاتل — نفاذ غير متاحة لأي شخص ليس مواطناً سعودياً أو حامل إقامة. إذا كان طرفك المقابل مستشاراً أجنبياً، نائب رئيس إقليمي يزور من دبي، مورّداً خارجياً، أو مرشّحاً لم توظّفه بعد (وبالتالي لم تكفله للإقامة بعد)، فإن تدفق QES مستحيل هيكلياً. تشطر تدفق العمل: QES للموقّعين السعوديين، AES لكل من سواهم، كل عقد يُعالَج مرتين.

متى تحتاج فعلاً إلى QES

QES ليست خاطئة — هي أداة دقيقة. هناك قائمة واضحة من أنواع المستندات حيث إما تُفرَض قانوناً أو تتطلّبها السلطة المتلقّية تشغيلياً. القاعدة: افتراضياً AES، صعّد إلى QES عندما تنطبق هذه القائمة.

واقع B2B — وتدفق العمل الذي يتعامل معه

التوقيع B2B السعودي الحقيقي هو مشكلة تجمّع موقّعين مختلط. عقد المشتريات النموذجي لديه موقِّع سعودي واحد من جانبك وممثل مورّد غير سعودي على الجانب الآخر. عقد العمل النموذجي لديه مدير موارد بشرية سعودي ومرشّح أجنبي لا يحمل إقامة بعد. تدفق العمل الذي يفوز ليس "دائماً QES" أو "دائماً AES" — بل "افتراضياً AES، صعّد QES عندما يتطلّبها نوع المستند."

جنباً إلى جنب — ما الذي تشتريه كل فئة فعلاً

كيف يبدو الانتقال — بشكل ملموس

المسار الصحيح لمؤسسة سعودية ليس "التحوّل بالكامل إلى QES" أو "تجاهل QES". هو سياسة من فئتين تعكس كيف يُنظَّم النظام فعلاً. ابنِ تدفق العمل الافتراضي AES أولاً؛ ضع طبقة تصعيد QES فوقه لفئات المستندات الضيّقة التي تتطلّبها.

الخلاصة

نفاذ و QES ممتازتان لما هما موجودتان من أجله. ليستا الإعداد الافتراضي الصحيح لكل عقد توقّعه شركة سعودية — لم تُصمَّما لذلك أبداً، والنظام لا يتطلّب أن تكونا كذلك. النظام متعدّد الفئات لسبب: AES تعطي التوقيع التجاري الوزن القانوني الكامل دون إجبار كل موقّع على المرور بتدفق هوية سيادية يمكن استخدامه فقط من قِبَل ~٢١ مليون شخص على الكوكب. الموقف الناضج هو AES كافتراض، QES عند التصعيد. يتطابق مع القانون كما هو مكتوب، يستوعب تجمّع الموقّعين الحقيقي، ويُحوِّل بمعدلات أعلى ماديّاً من QES-في-كل-مكان.

قراءات ذات صلة

• مستقبل الهوية والتوقيع في الشرق الأوسط — البنية التحتية الأوسع للهوية نفاذ / هوية الإمارات / QDI التي تركبها QES، وإلى أين تتجه بحلول ٢٠٢٧.
• لماذا تهمّ الاستضافة الإقليمية للمستندات الحساسة — قواعد نقل البيانات عبر الحدود في PDPL السعودي (م/١٩ لعام ١٤٤٣هـ) التي تنطبق إلى جانب اختيار فئة التوقيع.
• هل التوقيع الإلكتروني قانوني في قطر؟ — ولاية قضائية مجاورة؛ مرجع مفيد إذا كانت عملياتك تمتد عبر قطر والسعودية.

المصادر

• نظام التعاملات الإلكترونية السعودي — مرسوم ملكي رقم م/١٨ لعام ١٤٢٨هـ (٢٠٠٧)
• اللائحة التنفيذية لنظام التعاملات الإلكترونية
• هيئة الاتصالات والفضاء والتقنية (CST) — البنية التحتية للمفاتيح العامة وجهات الإصدار المرخّصة
• نفاذ — خدمة مصادقة المركز الوطني للمعلومات
• أبشر — بوابة الخدمات الحكومية السعودية
• ناجز — بوابة الإيداع الإلكتروني لوزارة العدل
• اعتماد — منصة المشتريات الحكومية
• PDPL السعودي — مرسوم ملكي رقم م/١٩ لعام ١٤٤٣هـ
• سدايا — الهيئة السعودية للبيانات والذكاء الاصطناعي
• رؤية المملكة ٢٠٣٠ — برنامج التحول الرقمي