otp动态令牌用手机的本身的模块去实现怎么判定

现在有个项目，然后遇到了一个otp动态令牌，就是这个动态令牌系统呢。这个过检的时候呢，他拿手机去的，他说用的手机的那个密码模块过的二级。然后用的时候呢，他在本地服务器那块在服务器上插了个密码卡，然后用户还是用手机的本身的模块去实现的，并不是用动态令牌硬件，那个令牌可以手机扫二维码绑定，像这种情况下是怎么去判定的密码管理安全性，身份鉴别是否合规呢。