从2001年人民银行颁布《网上银行业务管理暂行办法》到2005年4月《电子签名法》实施，以及人民银行2005年10月颁布《电子支付指引》到中国银监会2006年2月颁布《电子银行业务管理办法》，这几年是我国电子立法、立规从无到有，起步发展的阶段。特别是《电子签名法》的颁布实施，不仅拉开了我国电子立法的序幕，而且在我国现行法律体系中首次引入了一个新的法律关系——电子认证的法律关系。根据这些法律规定，对于采用内部认证的商业银行网银业务来说，有些问题是需要深入思考的。
　　
　　自助签约能完全取代柜台签约吗？
　　
　　电子银行业务自助签约，是指客户不经过柜台签约过程（包括出示身份证明，阅读表单、协议等法律性文件，现场手写签名确认等），仅通过电话、自助终端、因特网等非现场方式，以及本人独有的账户号、身份证号、密码等专属数据信息，以电子方式向银行做出同意开通某项电子银行业务的意思表示。从广义上它属于电子签名的范畴，那么这种电子签名在当前的法律环境下是否具有表示当事人真实意图的法律效力呢？这个问题属于电子签名的法律适用范畴，通俗地说，就是在什么情况下使用电子签名才是合法有效的，可以达到表示当事人真实意图的法律效果。这也是各家商业银行最关心的电子银行自助签约的法律效力问题。如果电子银行业务能实现合法有效的自助签约，对于网银业务的市场拓展会是一个重大利好。但是，根据现有法律规定，笔者认为，自助签约在目前还不能完全取代传统的柜台签约。
　　2005年4月我国《电子签名法》正式实施，尽管第十四条规定了：“可靠的电子签名与手写签名或者盖章具有同等的法律效力”，但根据该法第三条的规定：“民事活动中的合同或者其他文件、单证等文书，当事人可以约定使用或者不使用电子签名、数据电文。当事人约定使用电子签名、数据电文的文书，不得仅因为其采用电子签名、数据电文的形式而否定其法律效力”，可以看出电子签名的适用范围仅限于当事人的约定，当事人可以选择使用或不使用，只有选择使用的，该电子签名才具有法律认可的效力。而在当前尚未建立全社会统一标准、惟一可识别、可验证的电子身份标识的情况下，这个“选择使用”的意思表示本身仍应当是通过传统签约方式，经过传统的身份确认、手写签名等程序做出。具体到电子银行业务就是在柜台签约时完成的。在柜台签约时，客户以其传统的、惟一可识别的真实身份与银行达成协议，同意开通网上银行业务，同意将来以网上身份（密码及/或证书及/或其他数据信息）发出电子指令授权银行办理账户查询、结算等业务，也可以说是客户对银行的一个基础授权。有了这个基础授权之后，银行凭客户的网上身份授权办理业务才是合法有效的，如果没有这个基础授权，那就是客户没有与银行达成使用电子签名的约定，那么任何以身份证号码、账户号、密码等数据信息为特征发出的授权指令都不能被确认为是客户惟一真实的授权，银行为客户办理的电子银行业务就是无权代理，后果应由银行自行承担，给客户造成的损害也应由银行做出赔偿。
　　
　　网银内部认证会面临质疑吗？
　　
　　网银认证的合法性问题
　　网上交易当事人的身份认证（authentication）是保证网上交易真实性、安全性的关键。电子签名认证机构（certificate authority CA）负责签发、管理网上交易主体的电子证书（也即网上交易当事人的身份证明），产生、管理网上交易使用者的密钥以及CA密钥等。在《电子签名法》颁布前，仅有人民银行于2001年颁布的《网上银行业务管理暂行办法》第十七条规定了“银行应采用合适的加密技术和措施，以确认网上银行业务用户身份和授权，保证网上交易数据传输的保密性、真实性，保证通过网络传输信息的完整性和交易的不可否认性。”其中，银行采用加密技术与措施以保证数据传输的保密真实是无需质疑的，但由银行来“确认用户身份和授权”，显然是将网上银行交易的身份认证问题作为一项法定义务完全交付给了交易中的一方当事人——开设网上交易的银行。从当前角度来看，这样的规定可以说是一个不成熟的制度安排，对交易双方均有失公平：从客户的角度考虑，难以从根本上信任交易对方的公正性，从银行的角度考虑，也大大加重了银行方的义务与交易成本，成熟的银行会认为认证过程本身只是一种工具或手段，而不应该成为交易中的义务。故2006年中国银监会颁布的《电子银行业务管理办法》第四十条规定“金融机构应采取适当的措施和采用适当的技术，识别与验证使用电子银行服务客户的真实、有效身份，并应依照与客户签订的有关协议对客户作业权限、资金转移或交易限额等实施有效管理”，不再提“确认”用户身份与授权，只是“识别与验证”客户身份的真实有效性，使认证程序不再成为银行的一项法定义务。
　　《电子签名法》在全篇三十六条中，以多达十六条的篇幅着力于规定电子认证及认证机构，对电子认证服务设立了市场准入制度，第十八条“从事电子认证服务，应当向国务院信息产业主管部门提出申请”，经审查许可并颁发电子认证许可证书方可从业。
　　但鉴于国内网银实务中两种认证方式同时存在，既有采用第三方认证机构（中国金融认证中心，CFCA）对客户、银行进行双方认证的，也有各家银行采用自设的认证机构仅对客户身份进行单方认证的，如招行、工行和建行等，并且这些银行的网银市场占比已很大，故该法对这一既成事实做出了迁就，第十六条规定“电子签名需要第三方认证的，由依法设立的电子认证服务提供者提供认证服务”，也可以理解为：如网银客户同意并信任网银服务提供者（银行）提供的内部电子认证，也可以不需要第三方认证。
　　但随后信息产业部于2005年1月28日颁布的《电子认证服务管理办法》（与《中华人民共和国电子签名法》同时实施）中又明确规定“本办法施行前已从事电子认证服务的机构拟继续从事电子认证服务的，应在2005年9月30日前依照本办法取得电子认证服务许可；拟终止电子认证服务的，应当对终止业务的相关事项作出妥善安排。自2005年10月1日起，未取得电子认证服务许可的，不得继续从事电子认证服务”，那么，商业银行的内部认证是否取得了国家许可并依法注册成为合格的第三方？
　　事实上，现存的商业银行内部电子认证运作如常，我们是否可以这样来理解：第一，商业银行在网银业务中提供的认证不是一个独立的服务，不以盈利为目的，是银行业务的附随服务或是业务流程的必要环节；第二，该认证是银行与客户双方共同约定认可的，不违反央行《电子支付指引》第三十四条“银行采用数字证书或电子签名方式进行客户身份认证和交易授权的，提倡由合法的第三方认证机构提供认证服务”，符合其第十条“银行为客户办理电子支付业务，应根据客户性质、电子支付类型、支付金额等，与客户约定适当的认证方式，如密码、密钥、数字证书、电子签名等”，及银监会《电子银行业务管理办法》第四十四条“金融机构开展电子银行业务，需要对客户信息和交易信息等使用电子签名或电子认证时，应遵照国家有关法律法规的规定”。
　　但笔者似乎还是感受到各方对于商业银行内部认证合法性的犹疑与踯躅。
　　
　　网银认证的法律责任
　　根据《电子签名法》第二十八条，“电子签名人或者电子签名依赖方因依据电子认证服务提供者提供的电子签名认证服务从事民事活动遭受损失，电子认证服务提供者不能证明自己无过错的，承担赔偿责任”，可以看出，法律对认证机构采用的是一种严格责任，即过错推定责任。尽管该条款规定得有失简单，因为在电子认证领域如何证明自己无过错，如何说服法官信任你的认证是无过错的，没有相关规定给出判断标准，甚至是在技术与法律两个层面都在探讨之中。在这一法条的规定之下，银行如选择第三方认证，则无需承担对电子认证的举证责任。但如采用的是内部认证，银行作为一方当事人，既参与交易又承担对对方当事人身份的认证，可能首先就会被要求举证认证无过错，一旦举证不能，网银业务本身就成了一件费力不讨好还要吃哑巴亏的赔本买卖。这可能就是当前部分商业银行在对个人的小额异常交易索赔案例中往往采取“一赔了之”息事宁人思路的主要原因。
　　那么，一旦客户质疑银行电子认证的合法性与安全性时，银行又将如何举证，以证明自己认证的无过错？这应是各家采用内部认证的商业银行亟需研究解决的新课题。
　　（作者单位：中国建设银行深圳市分行法律事务部）