18 de agosto de 2025
Introducción
En una firma electrónica transfronteriza, el fraude no se reduce simplemente eligiendo una firma “más fuerte”. Un acuerdo México-China puede exponer riesgos distintos: suplantación del firmante, uso indebido de credenciales, falta de autoridad para representar a una empresa, sustitución de la versión final o alteración del documento después de la firma.
Por eso, el control debe diseñarse antes del envío. El equipo necesita identificar qué jurisdicciones y reglas contractuales son relevantes, separar los riesgos, elegir el método de firma adecuado para cada participante y definir qué evidencia permitirá reconstruir el acto más adelante.
Este análisis no debe partir de una supuesta equivalencia automática entre México y China. La ley aplicable al contrato, las reglas que correspondan al tipo de documento y las condiciones del método de firma deben revisarse para el caso concreto. Una matriz de riesgo ayuda a mantener esas decisiones visibles sin convertir una práctica interna en una conclusión jurídica universal.
Mapear el acuerdo antes de elegir el método de firma
El primer paso es describir el acuerdo: partes, versión contractual, firmantes previstos y las jurisdicciones que pueden resultar relevantes. Si el contrato contiene una cláusula de ley aplicable o requisitos específicos de firma, esa información debe formar parte del análisis. No conviene asumir que cada “lado” del acuerdo queda regido exclusivamente por la ley de su país.
Para México, la página oficial del SAT sobre e.firma identifica como fundamento la Ley de Firma Electrónica Avanzada y el artículo 17-D del Código Fiscal de la Federación. Esa referencia ayuda a documentar el marco de la e.firma, pero no determina por sí sola qué método exige un contrato privado México-China.
En China, el texto oficial de la Ley de Firma Electrónica de la República Popular China define en su artículo 13 las condiciones de una firma electrónica fiable y, en el artículo 14, le reconoce el mismo efecto jurídico que a una firma manuscrita o un sello. La aplicación de esas reglas al acuerdo concreto sigue dependiendo del documento, las partes y el marco jurídico correspondiente.
La matriz de riesgo debería registrar, como mínimo, el firmante, el documento y su versión, la jurisdicción o fuente normativa relevante, el método previsto y la evidencia que se espera conservar.
Separar suplantación, autoridad, consentimiento e integridad
Agrupar todo bajo la etiqueta “fraude” dificulta saber qué control falta. Es más útil separar cada riesgo y asignarle una evidencia concreta.
La suplantación plantea si quien firma es realmente la persona prevista. La autoridad pregunta algo diferente: incluso si la identidad es correcta, ¿esa persona está autorizada para actuar por la empresa? El consentimiento se refiere a si el participante realizó de forma consciente la acción de firma o aprobación. La integridad busca detectar si el documento firmado fue sustituido o modificado.
Esta separación evita una falsa sensación de seguridad. Verificar la identidad no demuestra por sí sola la facultad de representación, y conservar una firma visible no demuestra por sí sola que la versión contractual permaneció intacta.
La matriz debe relacionar cada riesgo con su control y con la evidencia esperada. Una fila sin responsable, método o resultado debería volver a revisión antes de que el acuerdo se envíe.
Elegir el método según el riesgo y el marco aplicable
El método de firma no debería seleccionarse solo por el país del firmante. También importan el tipo de documento, la función de la firma, la identidad del participante, los requisitos del destinatario y la evidencia que el proceso debe conservar.
Si el flujo utiliza e.firma en México, el equipo debe confirmar que ese método corresponde al acto concreto y registrar la evidencia que produzca. En China, cuando se pretenda basar el proceso en una “firma electrónica fiable”, conviene comprobar que el método utilizado pueda evaluarse frente a las condiciones previstas por la ley china, entre ellas el control de los datos de creación de firma y la posibilidad de detectar cambios posteriores en la firma o en el mensaje de datos.
Los dos métodos no deben declararse equivalentes por el simple hecho de aparecer en el mismo contrato. La matriz debe documentar cada elección por separado y dejar claro qué fuente o criterio respalda la decisión.
Nota Sign respalda flujos de firma locales y transfronterizos y conserva los registros generados por el proceso. El equipo puede mantener separadas las rutas de México y China, conectar cada método con la versión final y documentar la decisión aprobada para cada firmante.
Proteger la versión final del acuerdo
La prevención de fraude también depende del documento. Antes de iniciar la firma, el equipo debe identificar una versión final inequívoca y evitar que una copia distinta circule como si fuera el mismo acuerdo.
La referencia de versión puede complementarse con un hash u otro identificador técnico cuando el flujo lo permita. Lo importante es que los registros de cada firmante apunten al mismo contenido contractual o, en un expediente multilingüe, al conjunto final claramente identificado.
Si el texto cambia después de comenzar la firma, la modificación no debería quedar escondida dentro del mismo cierre. El nuevo contenido debe tratarse como una nueva versión y volver a pasar por las comprobaciones correspondientes.
Así, el control de integridad no se limita a preguntar si una firma es válida: también permite demostrar qué documento recibió cada participante y si el contenido cambió después.
Definir la evidencia antifraude antes del envío
La evidencia no debería decidirse después de que aparezca un problema. Antes del envío, el equipo debe saber qué registros necesita conservar para cada riesgo.
Según el método utilizado, el expediente puede incluir la versión final del acuerdo, la identificación o referencia del firmante, el registro de consentimiento, el método de firma, marcas de tiempo, información del certificado o del resultado de validación cuando exista, y el resultado de los controles internos. No todos los métodos producen los mismos datos, por lo que la matriz debe describir la evidencia real y no una lista genérica.
La evidencia de México y China puede mantenerse diferenciada dentro del mismo expediente para que sea posible reconstruir qué método y qué controles se aplicaron a cada participante. Esa separación no significa que existan automáticamente dos leyes aplicables al contrato; es una forma operativa de conservar la trazabilidad del flujo.
Aprobar los controles antes de liberar el acuerdo
La revisión final funciona como una puerta de salida. Antes de enviar el acuerdo, la persona responsable debería comprobar que no quedan riesgos relevantes sin control, que cada firmante tiene un método definido y que la evidencia esperada podrá vincularse a la versión final.
Una aprobación interna útil responde, al menos, a cinco preguntas: ¿quién firma?, ¿con qué autoridad?, ¿qué versión firma?, ¿qué método se utiliza y por qué?, ¿qué evidencia quedará disponible después?
Si una de estas respuestas falta, el acuerdo vuelve a revisión. El objetivo no es “homologar” jurídicamente México y China, sino aprobar internamente un conjunto de controles que mantenga separados los riesgos, los métodos y la evidencia sin asumir equivalencia automática entre jurisdicciones.
El resultado es un expediente capaz de reconstruir el cierre: acuerdo final, participantes, decisiones de método, controles antifraude y evidencia producida por cada ruta.
Siguiente paso: prueba en Nota Sign un acuerdo México-China con rutas separadas, controles antifraude y una revisión final antes del envío.
