فحص الجاهزية للفوترة الإلكترونية: متطلبات الربط ZATCA

مقدمة حول منظومة الفاتورة الإلكترونية (مشروع فاتورة – ZATCA)

أطلقت هيئة الزكاة والضريبة والجمارك (ZATCA) في المملكة العربية السعودية منظومة الفاتورة الإلكترونية (مشروع فاتورة) بهدف رقمنة المعاملات التجارية وتعزيز الامتثال الضريبي ومكافحة التستر التجاري والاقتصاد الخفي. يُلزم النظام كافة المنشآت الخاضعة لضريبة القيمة المضافة (VAT) بإصدار فواتيرها إلكترونياً عبر حلول تقنية متوافقة، بدلاً من الفواتير الورقية أو المكتوبة بخط اليد أو الممسوحة ضوئياً.

تنقسم المنظومة إلى مرحلتين أساسيتين:

• المرحلة الأولى (مرحلة الإصدار والحفظ): بدأت في 4 ديسمبر 2021م، وألزمت المنشآت بتوليد فواتير إلكترونية تشتمل على رمز استجابة سريعة (QR Code) مبسط مكوّن من 5 حقول أساسية، مع حظر التعديل أو الحذف اليدوي.
• المرحلة الثانية (مرحلة الربط والتكامل): انطلقت تدريجياً على شكل مجموعات وموجات إلزامية (Waves) تتطلب ربط الأنظمة المحاسبية ونقاط البيع (ERP / POS) مباشرة وبشكل آلي مع منصة (فاتورة) التابعة للهيئة عبر واجهات برمجة التطبيقات (APIs).

المعايير التقنية الستة الإلزامية للمرحلة الثانية (ZATCA Phase 2 Compliance)

يتطلب الامتثال الفني في مرحلة الربط والتكامل تطبيق حزمة من المواصفات والبروتوكولات الأمنية والمعمارية المشددة لضمان سلامة البيانات وعدم قابليتها للتلاعب، وتتلخص في 6 معايير أساسية:

1. تنسيق الفاتورة القياسي (XML UBL 2.1): يجب أن تصدر جميع الفواتير بتنسيق لغة الترميز القابلة للامتداد وفق مواصفات UBL 2.1، أو بتنسيق PDF/A-3 الذي يحتوي على ملف XML المعتمد مضمناً بداخله.
2. شهادة التشفير المعتمدة (Cryptographic Stamp Identifier – CSID): تُعد الهوية الرقمية المعتمدة لجهاز الكاشير أو الخادم المحاسبي، ويتم استخراجها عبر بوابة فاتورة باستخدام رمز التحقق (OTP) ومفتاح التشفير العام.
3. الختم والتوقيع الرقمي (ECDSA Cryptographic Stamp): يتم توقيع الفاتورة إلكترونياً باستخدام خوارزمية التشفير بالمنحنيات الإهليلجية ECDSA (secp256k1)، مما يضمن حجيتها القانونية ويثبت مصدرها.
4. سلسلة الفواتير وتجزئة الهاش المتتالي (SHA-256 Hash Chaining): ترتبط كل فاتورة جديدة بهاش الفاتورة السابقة لها في التسلسل، مما يُنشئ سلسلة غير قابلة للكسر ويمنع إدراج فواتير بأثر رجعي أو التلاعب في الترقيم.
5. المعرف الفريد عالمياً (UUID v4): توليد معرّف فريد مكون من 128 بت لكل فاتورة صادر وفق المعيار العالمي RFC 4122 لضمان عدم تكرار أي رقم فاتورة مطلقاً.
6. رمز الاستجابة السريعة المطور (9 TLV Tags QR Code): توليد كود QR مشفر بنظام TLV (Tag-Length-Value) بترميز Base64 يتضمن 9 حقول فنية إلزامية.

الفرق بين الفاتورة الضريبية القياسية (B2B) والفاتورة المبسطة (B2C)

حددت اللائحة التنفيذية مسارين تقنيين مختلفين بحسب نوع المعاملة والطرف المشتري:

بنية رمز الاستجابة السريعة (QR Code) المكون من 9 حقول (TLV Structure)

في المرحلة الثانية من الفوترة الإلكترونية، تشترط الهيئة تضمين 9 حقول فنية (Tags) داخل رمز الـ QR وفق صيغة TLV (Tag-Length-Value) المشفرة بـ Base64:

• العلامة 1 (Tag 1): اسم المورد أو المنشأة المصدرة (Seller’s Name).
• العلامة 2 (Tag 2): الرقم التعريفي لضريبة القيمة المضافة للمنشأة (VAT Registration Number).
• العلامة 3 (Tag 3): الطابع الزمني وتاريخ إصدار الفاتورة بصيغة ISO 8601 (Timestamp).
• العلامة 4 (Tag 4): إجمالي الفاتورة شاملاً ضريبة القيمة المضافة (Invoice Total with VAT).
• العلامة 5 (Tag 5): إجمالي قيمة ضريبة القيمة المضافة (VAT Total Amount).
• العلامة 6 (Tag 6): كود تجزئة الفاتورة (SHA-256 Hash of XML).
• العلامة 7 (Tag 7): التوقيع الرقمي المشفر بخوارزمية ECDSA (Digital Signature).
• العلامة 8 (Tag 8): المفتاح العام لشهادة التشفير (Public Key).
• العلامة 9 (Tag 9): الختم المشفر من هيئة ZATCA الصادر للفواتير المعتمدة (Cryptographic Stamp).

جدول موجات ومجموعات الإلزام للربط والتكامل (ZATCA Waves Calendar)

أعلنت هيئة الزكاة والضريبة والجمارك عن موجات الإلزام الزمني للمنشآت بناءً على حجم إيراداتها السنوية الخاضعة لضريبة القيمة المضافة:

خطوات الربط والتهيئة على بوابة فاتورة (Fatoora Onboarding Steps)

لإتمام الربط والتكامل بنجاح، تتبع المنشأة أو مزود الخدمة الخطوات التالية:

1. الدخول إلى بوابة فاتورة: تسجيل الدخول عبر حساب المنشأة في بوابة هيئة الزكاة والضريبة والجمارك والانتقال لقسم (الفاتورة الإلكترونية).
2. توليد رمز التحقق (OTP): طلب رمز تحقق لمرة واحدة لتسجيل جهاز الكاشير أو النظام المحاسبي الجديد.
3. إنشاء طلب التوقيع (CSR): إنشاء مفتاح تشفير خاص وطلب توقيع شهادة عبر النظام المحاسبي المحلي.
4. استخراج شهادة الامتثال (Compliance CSID): إرسال الـ CSR مع كود الـ OTP لاستلام شهادة الفحص المؤقتة.
5. اجتياز اختبارات المطابقة (Compliance Checks): إصدار فواتير تجريبية واختبار معايير الفحص (Clearance & Reporting) في بيئة المحاكاة (Sandbox).
6. الترقية لشهادة الإنتاج الحية (Production CSID): بعد اجتياز الفحص بنسبة 100%، يتم إصدار شهادة الإنتاج الحية وبدء إصدار الفواتير الفعلية المتصلة بالهيئة.

لائحة الغرامات والجزاءات لمخالفات الفوترة الإلكترونية

الأسئلة الشائعة حول الفوترة الإلكترونية والمرحلة الثانية (FAQ)

هل يُلزم صاحب المنشأة بتغيير برنامجه المحاسبي الحالي؟

ليس بالضرورة؛ إذا كان برنامجك المحاسبي الحالي سحابياً أو محلياً وقام مزود الخدمة بتطويره ليدعم بروتوكولات الربط عبر واجهات برمجة التطبيقات (API) واستخراج شهادة CSID وصيغة UBL 2.1 XML، فيمكنك الترقية لنفس البرنامج دون الحاجة لشراء نظام جديد.

ما هو التصرف الصحيح عند انقطاع الإنترنت أثناء إصدار الفواتير؟

تسمح لوائح الهيئة بالعمل في وضع الطوارئ غير المتصل (Offline Mode) لإصدار الفواتير المبسطة (B2C) للعملاء، شريطة حفظها وتوقيعها محلياً في تسلسل الهاش المتتالي، ثم رفعها وإرسالها للهيئة آلياً فور عودة الاتصال خلال مدة أقصاها 24 ساعة.

هل يشمل نظام الفوترة الإلكترونية المتاجر الإلكترونية؟

نعم؛ تخضع كافة المتاجر الإلكترونية المسجلة في ضريبة القيمة المضافة لمتطلبات الفوترة الإلكترونية، وتوفر منصات التجارة الإلكترونية المعتمدة (مثل سلة وزد) الربط التلقائي المباشر مع منصة فاتورة.

كيف يمكن التأكد من صحة رمز الاستجابة السريعة (QR Code)؟

يمكن فحص وتدقيق رمز الـ QR عبر تحميل التطبيق الرسمي للهيئة (تطبيق زكاة ZATCA) ومسح الرمز للتأكد من احتوائه على الحقول الإلزامية وسلامة التوقيع الرقمي.