Zarządzanie uprawnieniami w KSeF – dlaczego to największe wyzwanie dla firm i biur rachunkowych?

Krajowy System e-Faktur (KSeF) to rewolucja w podejściu do fakturowania. Od 2026 roku niemal każdy podatnik VAT będzie musiał korzystać z tego narzędzia, a przedsiębiorstwa i biura rachunkowe zostaną zmuszone do zmiany wielu procesów. O ile sama techniczna obsługa faktur ustrukturyzowanych jest stosunkowo prosta, o tyle prawdziwe wyzwanie stanowi zarządzanie uprawnieniami. To właśnie od tego elementu zależy bezpieczeństwo danych, skuteczność rozliczeń i zgodność z prawem.

Na czym polega system uprawnień w KSeF?

Ustawodawca wprost uregulował rolę KSeF w zakresie nadawania i kontrolowania dostępów. Zgodnie z art. 106nd ustawy o VAT:

„Krajowy System e-Faktur służy w szczególności do: nadawania, zmiany lub odbierania uprawnień do korzystania z Krajowego Systemu e-Faktur; powiadamiania podmiotów o nadanych uprawnieniach do korzystania z Krajowego Systemu e-Faktur lub ich odebraniu; uwierzytelnienia oraz weryfikacji uprawnień do korzystania z Krajowego Systemu e-Faktur, posiadanych przez podmioty uprawnione; powiadamiania podmiotów innych niż uprawnione o braku uprawnień do korzystania z Krajowego Systemu e-Faktur.”

Brzmi sucho i technicznie, ale w praktyce oznacza to, że każda firma musi odpowiedzieć na pytanie: kto faktycznie będzie korzystał z KSeF, w jakim zakresie i na jakich zasadach?

Jak nadaje się uprawnienia w KSeF?

Dostęp do systemu można uzyskać dwiema drogami:

1. Elektronicznie, poprzez aplikację interfejsową KSeF – dostępna na stronie ksef.mf.gov.pl

2. W formie papierowej, przez złożenie zawiadomienia ZAW-FA do właściwego naczelnika urzędu skarbowego. Ta metoda jest bardziej ograniczona – umożliwia jedynie nadanie albo odebranie uprawnień, ale już nie ich modyfikację.

W praktyce większość firm będzie korzystać z pierwszej metody. Formularz papierowy sprawdzi się tylko w wyjątkowych sytuacjach, np. gdy firma nie ma dostępu do systemów elektronicznych albo chce dodać biuro rachunkowe jako podmiot uprawniony.

Uwierzytelnienie i autoryzacja – fundament KSeF

KSeF opiera się na modelu poświadczeń. Innymi słowy, każda osoba logująca się do systemu musi przejść dwa etapy:

• Uwierzytelnienie – czyli potwierdzenie tożsamości. Może odbywać się np. przy użyciu profilu zaufanego, kwalifikowanego podpisu elektronicznego, kwalifikowanej pieczęci albo tokena autoryzacyjnego.

• Autoryzacja – czyli nadanie konkretnego zakresu uprawnień. Po uwierzytelnieniu system decyduje, co dany użytkownik może zrobić – np. czy wolno mu wystawiać faktury, przeglądać je czy tylko zarządzać uprawnieniami.

Wybór metody logowania zależy od rodzaju działalności:

• dla jednoosobowych działalności gospodarczych najprościej sprawdza się profil zaufany lub podpis kwalifikowany,

• w przypadku spółek często stosuje się pieczęcie elektroniczne albo tokeny, które ułatwiają pracę wielu osobom jednocześnie.

Dlaczego uprawnienia są tak krytyczne?

Zarządzanie uprawnieniami w KSeF – dlaczego to największe wyzwanie dla firm i biur rachunkowych? - zarządzanie dostępami do KSeF to nie formalność, lecz proces, od którego zależy bezpieczeństwo całego systemu fakturowania.

1. Ryzyko nieautoryzowanego dostępu – jeśli uprawnienia zostaną nadane zbyt szeroko, istnieje ryzyko, że osoby niepowołane uzyskają dostęp do wrażliwych danych handlowych.

2. Odpowiedzialność podatkowa – faktura wystawiona w KSeF przez osobę bez właściwego upoważnienia może prowadzić do sporów z organami podatkowymi, a nawet do zakwestionowania prawa do odliczenia VAT.

3. Bezpieczeństwo informacji – w systemie znajdą się wszystkie faktury firmy, a więc kompletny obraz działalności gospodarczej. Dostęp musi być przyznawany tylko osobom, które faktycznie go potrzebują.

4. Kontrola i audyt – właściwe przypisanie uprawnień pozwala na monitorowanie działań użytkowników, co ma kluczowe znaczenie w razie kontroli podatkowej czy incydentu bezpieczeństwa.

Jak przygotować się do zarządzania uprawnieniami?

Firmy i biura rachunkowe powinny opracować wewnętrzne procedury, które jasno określą:

• kto w organizacji odpowiada za nadawanie i odbieranie uprawnień,

• jakie role użytkowników są potrzebne (np. osoba wystawiająca faktury, osoba odbierająca, administrator systemu),

• jak wygląda proces dodawania nowych pracowników i odbierania uprawnień po zakończeniu współpracy,

• w jaki sposób dokumentowane są decyzje związane z dostępami,

• jakie środki bezpieczeństwa stosuje się przy logowaniu (np. używanie wyłącznie podpisu kwalifikowanego dla kluczowych operacji).

Przykład procedury dla biura rachunkowego

Wyobraźmy sobie biuro rachunkowe obsługujące kilkudziesięciu klientów. Wdrożenie KSeF wymaga od niego nowego podejścia do zarządzania uprawnieniami. Przykładowa procedura mogłaby wyglądać tak:

1. Klient podpisuje pełnomocnictwo do korzystania z KSeF.

2. Biuro rachunkowe składa ZAW-FA lub korzysta z aplikacji KSeF, aby uzyskać dostęp.

3. Administrator w biurze przydziela uprawnienia konkretnym księgowym – jedna osoba ma prawo wystawiać faktury, inna tylko je odbierać, a jeszcze inna pełni rolę kontrolną.

4. Raz w miesiącu przeprowadzany jest audyt listy uprawnień – usuwa się dostępy byłych pracowników i weryfikuje aktualność ról.

Przykład procedury dla dużej spółki

W przypadku spółki zatrudniającej kilkaset osób, proces jest bardziej skomplikowany:

1. Zarząd wyznacza administratora KSeF w firmie.

2. Administrator tworzy matrycę uprawnień – np. dział sprzedaży ma dostęp do wystawiania faktur, dział księgowości do odbierania i kontrolowania, a dział IT do integracji systemów poprzez tokeny.

3. Każda zmiana uprawnień wymaga zgody kierownika działu oraz akceptacji administratora.

4. Systematycznie przeprowadzane są audyty i testy bezpieczeństwa, aby wyeliminować ryzyko nadużyć.

Zarządzanie uprawnieniami w KSeF – dlaczego to największe wyzwanie dla firm i biur rachunkowych? – podsumowanie

Wdrożenie Krajowego Systemu e-Faktur to nie tylko kwestia techniczna, ale przede wszystkim organizacyjna i prawna. Art. 106nd ustawy o VAT wyraźnie wskazuje, że KSeF służy do nadawania, zmiany i odbierania uprawnień. Jednak to od przedsiębiorców i biur rachunkowych zależy, jak te przepisy przełożą się na codzienną praktykę.

Dobre zarządzanie uprawnieniami to nie tylko wymóg prawa, ale i warunek bezpiecznego funkcjonowania firmy. To właśnie w tym obszarze kryją się największe ryzyka i jednocześnie największe szanse na uporządkowanie procesów.

Kto dziś potraktuje ten temat poważnie i przygotuje jasne procedury, ten uniknie chaosu i sankcji, gdy KSeF stanie się obowiązkowy dla wszystkich.