许多外资企业把整套数字签名令牌和电子税务门户密码交给外包会计公司，仿佛这只是无害的行政动作。在法律上，这是把以企业名义在税务机关面前签字的权力交给外部方——服务机构签错的申报表，仍然是企业的申报表。
法律依据
组织数字签名与税务身份账户的法律性质
组织的数字签名建立在认证服务提供商依据《电子交易法》第20/2023/QH15号和第130/2018/ND-CP号议定框架签发的数字证书之上；组织证书与组织及其法定代表人绑定，组织内个人则取得个人证书，在被授权范围内签字。会计服务机构用企业的令牌签署申报表时，税务机关系统记录的是企业的签名——不存在企业事后可以据以否认申报的”未经意愿代签”概念。
与此同时，电子税务交易账户和组织电子身份账户（依据第59/2022/ND-CP号议定、经第69/2024/ND-CP号议定修订）本身就是为按用户分权设计的渠道：企业可以为员工和服务机构创建操作范围受限的子账户，而不是共享唯一的母账户。继续让所有相关方共用一个账户和一枚令牌，是企业的运营选择，不是系统要求——由此产生的风险属于这一选择本身。
申报责任不随服务合同转移
依《税收征管法》第108/2025/QH15号，纳税人可以授权或聘请税务代理、会计服务机构办理税务手续，但申报材料在税务机关面前的准确性、真实性责任仍属于纳税人。服务机构的错误导致企业被核定补税并处罚款时，双方之间的赔偿关系是合同项下的民事关系——税务机关不会转而向服务机构追缴。这正是”雇人办理”与”转移责任”的根本区别：服务合同只产生内部求偿权，不构成面对税务机关的盾牌。
在服务机构一侧，会计服务企业和税务代理有其自身的执业条件（会计服务适用《会计法》第88/2015/QH13号；税务代理适用税收征管法律中的相关规定），并依合同对其过错造成的损害承担赔偿责任。但一份笼统的模板服务合同——不列明谁可以签哪些文件、交易金额限额和交接义务——会使事故发生时求偿权极难执行。
适用分析
实践中反复出现三种风险情形：（1）服务机构员工用企业令牌签署被授权范围之外的申报表、发票或文件（例如债务确认、退税档案）——由于是企业自己交出了签字工具，企业很难证明对方越权；（2）服务关系终止但令牌、密码和访问权限未同步收回——原服务方在数月内仍能操作税务门户；（3）服务机构多个客户共用的一枚令牌泄露——企业被卷入并非自己造成的安全事故。三种情形都可以通过分权结构设计预防，而不是靠信任。
正确的分权设计有三层：技术层——在税务门户为服务方设专用子账户、使用经办个人的个人数字证书而非组织令牌、系统允许时设置IP或时间窗口限制；合同层——可签署文件目录、须事先批准的金额门槛、经办人员变动时立即通知的义务、赔偿责任和职业保险；运营层——定期复核已开放权限清单、由企业自行导出签字日志而非接受服务方报告、以及合同终止时立即执行的带时间戳的权限收回清单。
行动建议
- 清点目前在企业之外持有的全部税务账户、令牌和访问权限；收回没有具体责任人的权限。
- 从共用组织令牌转为子账户加服务方经办人的个人证书，操作范围以必需为限。
- 在会计服务合同中增加授权附件：可签署目录、须事先批准的门槛、人员变动通知义务、赔偿与交接条款。
- 建立服务终止时24小时内收回权限的流程：修改密码、锁定子账户、通过认证机构撤销证书，并通知主管税务机关。
常见问题
企业将数字签名和电子税务账户授权给会计服务机构有哪些法律风险？
核心风险在于：用企业令牌签出的任何文件，都会被系统记录为企业的行为——服务方在被授权范围之外签署的申报表、发票或文件，仍在税务机关和交易对手面前约束企业。此外还有人员变动或服务终止时未收回权限的风险，以及服务方在多个客户间共用签字工具导致证书泄露的风险。这些风险通过子账户和个人证书分权来控制，而不是把组织令牌整体交出。
会计服务合同应包含哪些授权和代签责任条款？
合同需要：服务方可代签的文件和交易的具体目录（期间申报表、汇算申报表、退税档案、说明函）；签署前须经企业书面批准的金额门槛或事项类型；经办人员变动时立即通知并交接签字工具的义务；全额赔偿因服务方过错产生的补税、罚款和滞纳利息的条款；以及保密承诺和不得在客户间共用证书的承诺。
会计服务机构签错申报表时，责任属于企业还是服务方？
在税务机关面前，责任属于企业：依《税收征管法》第108/2025/QH15号，纳税人即使通过税务代理或会计服务机构办理，也对自己的税务申报负责，并被直接核定补税和计收滞纳利息。对服务方而言，则是民事合同项下的赔偿责任——企业依据约定的责任条款追回损失。因此，合同条款的质量决定了企业能否真正挽回损失。
会计服务终止时，企业如何收回税务门户访问权限？
在终止时点同步完成四件事：（1）修改电子税务交易账户密码，删除或锁定已发给服务方的子账户；（2）收回令牌，并要求认证服务提供商撤销或冻结已发给服务方人员的证书；（3）复核并将税务通知联系方式（邮箱、电话）改回企业自身联系人；（4）就档案和会计数据交接制作记录，并取得服务方不再持有任何访问工具的书面确认。
