الفوترة الإلكترونية في السعودية: دليل المرحلة الثانية والربط

تُمثّل منظومة الفوترة الإلكترونية في المملكة العربية السعودية، المعروفة باسم «فاتورة»، ربطاً تقنياً مباشراً بين الأنظمة المحاسبية للمنشآت وهيئة الزكاة والضريبة والجمارك (ZATCA). وبعد أن ألزمت المرحلة الأولى المنشآت بإصدار الفواتير وحفظها إلكترونياً اعتباراً من 4 ديسمبر 2021، جاءت المرحلة الثانية (مرحلة الربط والتكامل) لتربط برامج الفوترة بمنصة الهيئة عبر واجهات برمجة التطبيقات (APIs).

من المفاهيم الخاطئة الشائعة لدى بعض الإدارات المالية الاعتقاد بوجود موعد نهائي موحد في عام 2026 يشمل كافة المنشآت في المملكة. والواقع التنظيمي أن الهيئة تُطبّق المرحلة الثانية على موجات متتالية بحسب حجم الإيرادات السنوية، مع إشعار كل فئة رسمياً قبل ستة أشهر على الأقل من تاريخ إلزامها. ويتطلب الامتثال السليم التمييز بين الاعتماد المسبق والإبلاغ، واستخراج معرّفات الأختام التشفيرية (CSIDs)، والتحقق من حجية الفواتير لخصم الضريبة.

مراحل الفوترة الإلكترونية وآلية تطبيق موجات الربط

تنقسم الفوترة الإلكترونية في المملكة إلى مرحلتين تشغيليتين تخضعان للائحة الفوترة وقرارات الهيئة التنفيذية:

• المرحلة الأولى (مرحلة الإصدار والحفظ – 4 ديسمبر 2021): شملت جميع المكلفين المقيمين (مع استثناء غير المقيمين دون منشأة دائمة). وتوقفت المنشآت عن إصدار الفواتير اليدوية واعتمدت برامج لحفظ السجلات وتوليد رمز QR أساسي للفواتير المبسطة دون ربط مباشر بالمنصة.
• المرحلة الثانية (مرحلة الربط والتكامل – اعتباراً من 1 يناير 2023): تُلزم بالربط التقني المباشر بين حلول إصدار الفواتير (EGS) ومنصة «فاتورة». وتُنشأ الفواتير بصيغة UBL 2.1 XML أو صيغة PDF/A-3 معتمدة بالأختام الرقمية والتجزئة التشفيرية ورمز UUID ومتبادلة عبر REST APIs.

وتُطبّق الهيئة المرحلة الثانية على موجات متتالية استناداً إلى معيار الإيرادات السنوية الخاضعة للضريبة، بدءاً من 1 يناير 2023 للمنشآت التي تجاوزت إيراداتها 3 مليارات SAR وتدرجاً للمنشآت الأصغر. وبموجب النظام، تُخطر الهيئة كل فئة مستهدفة قبل 6 أشهر على الأقل من تاريخ إلزامها عبر البوابة والبريد الإلكتروني والبيانات الرسمية. ولا ينبغي افتراض موعد عشوائي في 2026، بل متابعة إشعارات البوابة بحسب شريحة الإيرادات.

مثال تطبيقي: إدارة مهلة الأشهر الستة للاستعداد التقني

شركة الشرق للتوزيع، منشأة تجارية في جدة يبلغ حجم مبيعاتها السنوية 35 مليون SAR، تلقّت إشعاراً بتحديد موعد ربطها بعد ستة أشهر ضمن فئتها المستهدفة. ورغم أن كبار مورديها متعددي الجنسيات يصدرون لها فواتير معتمدة مسبقاً، يتعين على الشركة ترقية نظام مبيعاتها وإجراء فحص الامتثال وتسجيل أجهزتها قبل حلول موعدها الملزم. وأي انتظار لموعد مفترض في 2026 يعرّض أعمالها للتعطل والغرامات الضريبية.

الاعتماد المسبق للفواتير القياسية مقابل الإبلاغ عن الفواتير المبسطة

تفصل المرحلة الثانية بين مسارين تنظيميين بحسب طبيعة المعاملة وقيمتها: الاعتماد المسبق (Clearance) للفواتير الضريبية القياسية، والإبلاغ (Reporting) للفواتير المبسطة.

الفواتير الضريبية القياسية (معاملات B2B وB2G): تصدر للمعاملات بين الشركات ومبيعات الجهات الحكومية، وإلزامية لأي توريد تجاري يبلغ 1,000 SAR أو أكثر، وفق نموذج الاعتماد المسبق. يرسل نظام المنشأة (EGS) ملف XML إلى منصة «فاتورة» لحظياً، بالنسبة للمورد الملزم، ولا يجوز مشاركة الفاتورة مع العميل إلا بعد أن تفحصها الهيئة وتضع ختمها التشفيري وتدرج رمز QR المعتمد وتعيد ملف XML المعتمد.

الفواتير الضريبية المبسطة: تصدر لمبيعات الأفراد (B2C) وتجوز للتوريدات التجارية بين المنشآت دون 1,000 SAR بموجب المادة 53 (8) من اللائحة التنفيذية. وتخضع لـ نموذج الإبلاغ؛ حيث يوقّع نظام EGS الفاتورة محلياً بمعرّف الإنتاج (CSID) ويطبع رمز QR المكوّن من 9 عناصر ويسلّم الإيصال فوراً، مع إلزامية رفع ملف XML إلى منصة «فاتورة» عبر API خلال 24 ساعة من لحظة إصدار الفاتورة.

البنية الفنية: صيغ XML وPDF/A-3 والتجزئة ورموز QR

الفاتورة الإلكترونية المعتمدة نظاماً لدى الهيئة ليست تصميماً صورياً، بل هي بيانات منظمة. فالمستند القانوني الملزم هو ملف UBL 2.1 XML، وتوليد ملف PDF مستقل دون ملف XML مدمج لا يحقق الامتثال القانوني المطلوبة.

وتسمح الهيئة باستخدام صيغة PDF/A-3 (ISO 19005-3) للجمع بين التصميم المرئي المقروء وملف XML المعتمد المدمج داخله؛ مما يمكّن الأنظمة المحاسبية المستقبلة من استيراد البيانات آلياً دون الحاجة للإدخال اليدوي.

ويجب أن يطبّق كل نظام فوترة متوافق مع المرحلة الثانية ثلاث آليات حماية تشفيرية رئيسية:

• المعرّف الفريد عالمياً (UUID): معرّف مكوّن من 128 بت (وفق معيار RFC 4122 v4) يُنشأ لكل فاتورة لضمان عدم تكرار أي مستند إطلاقاً.
• التجزئة التشفيرية وتسلسل الفواتير: يحسب النظام تجزئة SHA-256 لملف XML، وتدرج كل فاتورة تجزئة الفاتورة السابقة لها في حقل Previous Invoice Hash (PIH)، مما يشكّل سلسلة رقمية غير قابلة للتعديل أو الحذف.
• رمز الاستجابة السريعة (QR Code) ذو العناصر التسعة: تتطلب الفواتير المبسطة رمز QR بترميز TLV محوّلاً لصيغة Base64، يدمج: اسم المورد، ورقم الضريبة، والطابع الزمني، والإجمالي شاملاً الضريبة، ومبلغ الضريبة، وتجزئة XML، والختم الرقمي ECDSA، والمفتاح العام، وتوقيع شهادة الهيئة.

خطوات تسجيل الأجهزة وإصدار معرّفات الختم التشفيري CSID

تُعرّف وحدة إصدار الفواتير (EGS) بأنها أي نسخة ERP أو نقطة بيع POS تصدر فواتير مستقلة. ويجب تسجيل كل نقطة بيع على حدة لتوليد مفتاحها التشفيري الخاص وعداد فواتيرها المستقل.

وتتطلب عملية التسجيل استخراج معرّف الختم التشفيري (CSID) عبر بنية المفاتيح العامة للهيئة؛ حيث يبدأ المكلف باستخراج معرّف الامتثال التجريبي (CCSID) للاختبار، ثم معرّف الإنتاج التشغيلي (PCSID) للإصدار الحي.

1. 1توليد رمز OTP من منصة «فاتورة»تسجيل الدخول إلى منصة «فاتورة» (fatoora.zatca.gov.sa) باستخدام بيانات الاعتماد المسجلة، وطلب رمز تحقق لمرة واحدة (OTP) لوحدة الحل.
2. 2توليد زوج المفاتيح التشفيرية وطلب CSR محلياًيقوم نظام EGS بتوليد مفاتيح ECDSA secp256k1 وإنشاء طلب توقيع الشهادة (CSR) مشتملاً على الرقم الضريبي والاسم القانوني والرقم التسلسلي.
3. 3طلب معرّف الامتثال التجريبي عبر APIإرسال طلب CSR ورمز OTP إلى واجهة الامتثال لدى الهيئة لاستلام معرّف الامتثال التجريبي (CCSID) وبدء الفحص التجريبي.
4. 4استكمال اختبارات فحص الامتثالإرسال عينات من الفواتير القياسية والمبسطة والإشعارات الدائنة والمدينة عبر واجهة الامتثال للتحقق من مطابقة الحقول والقواعد.
5. 5استخراج معرّف الإنتاج التشغيلي (PCSID)بعد اجتياز اختبارات الامتثال بنجاح، يُستدعى مسار الإنتاج لتُصدر الهيئة معرّف الإنتاج التشغيلي (PCSID) لبدء العمليات المباشرة.
6. 6تفعيل المراقبة وإدارة صفوف الانتظارتفعيل إدارة صفوف المعاملات التلقائية ومراقبة الاستجابات لضمان رفع كافة الفواتير المبسطة إلى الهيئة خلال 24 ساعة من وقت إصدارها.

إذا كانت أنظمتك تعتمد على برمجيات مفصلة داخلياً، فإن واجهات الربط الجاهزة تسهل عملية الدمج. يمكنك استعراض حلولنا في برامج وحلول المحاسبة لتقييم البرمجيات الوسيطة المناسبة لمنشأتك.

متطلبات بيانات الفروع والعنوان الوطني والحقول الضريبية

يُعد نقص البيانات الأساسية السبب الأبرز لرفض الفواتير عبر API، حيث يطابق محرك الهيئة البيانات الواردة في ملف XML آلياً مع السجلات الحكومية في أربعة محاور أساسية:

• معيار العنوان الوطني السعودي: يجب تضمين عناصر العنوان الوطني كاملة للمورد والمشتري: رقم المبنى (4 أرقام)، واسم الشارع، والحي، والمدينة، والرمز البريدي (5 أرقام)، والرقم الإضافي (4 أرقام).
• أرقام التسجيل الضريبي والتعريفات: يُعد الرقم الضريبي للمورد (15 رقماً تبدأ وتنتهي بـ 3) إلزامياً، كما يلزم إثبات الرقم الضريبي للمشتري في فواتير B2B القياسية، أو معرّف بديل (كالسجل التجاري أو الرقم الموحد 700) للمشتري غير المسجل.
• التصنيف الضريبي للبنود: يجب تحديد سعر الوحدة، والكمية، وصافي القيمة، ونسبة الضريبة لكل بند، مع إدراج رموز الفئات الرسمية: الأساسية ('S')، أو نسبة الصفر ('Z')، أو الإعفاء ('E')، أو خارج النطاق ('O')، مصحوبة برموز الإعفاء المعتمدة.
• معاملات العملات الأجنبية: عند إصدار الفاتورة بعملة أجنبية، يجب توضيح سعر الصرف المعتمد وتسجيل كافة مجاميع الضريبة وقيمة الضريبة المستحقة بـ الريال السعودي (SAR) وفقاً لأحكام نظام الضريبة.

وينبغي للإدارات المالية مراعاة تقاطع الفوترة مع الالتزامات الضريبية الأخرى؛ فعند سداد مستحقات لموردين دوليين عن خدمات تقنية أو تراخيص، يجب التحقق من تطبيق ضريبة الاستقطاع في السعودية وفق أحكام نظام ضريبة الدخل.

الوظائف البرمجية المحظورة وإجراءات التعامل مع الأعطال

لمنع التهرب الضريبي وحظر المبيعات غير المثبتة، حظرت لوائح الهيئة صراحة عدداً من الخصائص البرمجية؛ ويُعد استخدام نظام يشتمل على وظائف محظورة مخالفة تستوجب غرامات مشددة:

• الدخول غير المحدد: يُحظر استخدام الحسابات المجهولة أو كلمات المرور المصنعية الافتراضية؛ ويجب فرض تسجيل دخول موثق لكل مستخدم.
• تعديل الفواتير أو حذفها: يُمنع تماماً أن يتيح البرنامج تعديل أي فاتورة صادرة أو معتمدة أو حذفها تحت أي ظرف.
• التلاعب بسجلات النشاط (Logs): يجب تأمين سجلات النظام التي ترصد عمليات الدخول وإصدار الفواتير واتصالات API ضد التعديل أو المسح.
• تعديل التوقيت والساعة: يُحظر تضمين أدوات تتيح تغيير تواريخ النظام يدوياً أو تزييف الطوابع الزمنية للفواتير بأثر رجعي.
• إعادة تعيين العداد: يجب أن تحافظ كل وحدة فوترة على عداد تسلسلي واحد غير قابل للتصفير، ويُمنع تشغيل سلاسل ترقيم متوازية من الجهاز نفسه.
• تصدير المفاتيح التشفيرية: يجب حفظ مفاتيح التشفير في بيئات آمنة محلياً أو وحدات HSM مع منع تصديرها كنصوص صريحة نهائياً.

تعديل الفواتير الصادرة: الإشعارات الدائنة والمدينة الإلكترونية

نظراً لاستحالة حذف الفاتورة أو تعديلها بعد صدورها، تتم أي تسوية مالية—سواء لرد بضائع أو منح تخفيضات أو تصحيح أخطاء—بإصدار إشعار دائن أو مدين إلكتروني. ويجب أن يشير الإشعار صراحة إلى الرقم المرجعي للفاتورة الأصلية (IRN)، وأن يخضع للاعتماد المسبق (في B2B) أو الإبلاغ خلال 24 ساعة (في الفواتير المبسطة).

إجراءات التعامل مع الأعطال وانقطاع الاتصال التقني

حددت الهيئة قواعد إجرائية للتعامل مع الأعطال الفنية، مؤكدة أن المهلة النظامية للإبلاغ تُحتسب من لحظة إصدار الفاتورة:

• المعالجة دون اتصال للفواتير المبسطة: تصدر أجهزة POS فواتير مبسطة محلياً برمز QR وتُحفظ في صف الانتظار للإبلاغ خلال 24 ساعة من إصدارها. وإذا تجاوز الانقطاع 24 ساعة، يُلزم بتقديم إشعار عطل عبر البوابة والرفع فور عودة الاتصال.
• تعطل خوادم الاعتماد في B2B: يعيد نظام المورد طلب الاعتماد بانتظام مع تسجيل الأخطاء، مع حفظ سجلات المعاملات وإعادة تقديم الفواتير للاعتماد فور عودة الخدمة لحماية حق المشتري في خصم الضريبة.
• التلف المادي للأجهزة: يُخطر المكلف الهيئة فوراً عبر النموذج المخصص في البوابة، وتُوثق العمليات وفق تعليمات الطوارئ، وتُعاد إعادة إصدارها إلكترونياً فور إصلاح الجهاز أو استبداله.

قائمة الجاهزية العملية وخطة الانتقال للأنظمة المحاسبية

يتطلب الانتقال الناجح للمرحلة الثانية خطة عمل محكمة تشترك فيها الإدارة المالية وتقنية المعلومات. وإذا كانت منشأتك قد تسلّمت إشعار الربط—أو تستعد لموجتها—اتبع خارطة الطريق التالية:

1. تصنيف مسارات المعاملات: فصل عقود الشركات والجهات الحكومية الخاضعة للاعتماد المسبق عن الفواتير المبسطة الخاضعة للإبلاغ، والتحقق من أهلية فواتير الموردين وفق معايير التسجيل في ضريبة القيمة المضافة.
2. تنقية البيانات الأساسية: مراجعة سجلات العملاء والتحقق من اكتمال العناوين الوطنية، وصحة الأرقام الضريبية، وتضمين أرقام السجلات التجارية الرسمية.
3. تقييم الأنظمة المحاسبية: التأكد من قدرة البرنامج على توليد ملفات UBL 2.1 XML والتجزئة التشفيرية والربط عبر APIs، أو الاستعانة ببرمجيات وسيطة متخصصة.
4. تنفيذ اختبارات الامتثال: استخراج معرّفات الامتثال CCSID وفحص سيناريوهات الفواتير القياسية والمبسطة والإشعارات الدائنة ومعالجة حالات الخطأ بنجاح عبر API.
5. تفعيل التشغيل الحي للإنتاج: الانتقال لمعرّفات PCSID وإجراء المطابقة اليومية بين قيود المحاسبة وإشعارات القبول الصادرة عن الهيئة وتدريب الموظفين على دورة الإشعارات.

ومع توسع متطلبات الفحص الضريبي الرقمي في المنطقة—كما هو موضح في الجدول الزمني للفوترة الإلكترونية في الإمارات—أصبحت أتمتة العمليات المالية ضرورة تشغيلية ملحة. ويساعد فريق معالجة الفواتير في إتش أو إف بارتنرز المنشآت في فحص البيانات وضبط الربط والمطابقة اليومية لضمان الامتثال المستمر مع متطلبات هيئة الزكاة.