KSeF to nie tylko nowy format faktury
Przygotowanie firmy do KSeF zwykle zaczyna się w księgowości: czy program wystawia faktury ustrukturyzowane, kto je wysyła, jak wygląda obieg kosztów. To ważne, ale połowa problemów, które widzimy u klientów, nie ma nic wspólnego z księgowaniem. Dotyczą tego, kto ma dostęp do systemu, gdzie leżą tokeny, co się dzieje, gdy program nie może połączyć się z serwerami Ministerstwa Finansów, i czy za dwa lata ktoś znajdzie potwierdzenie wysłania konkretnej faktury.
Krajowy System e-Faktur jest obowiązkowy od 2026 roku i był wprowadzany etapami: najpierw objął największych podatników, potem pozostałe firmy. Nawet jeśli Twoja firma wystawia już faktury przez KSeF, warto sprawdzić, czy zrobiła to porządnie, czy „na szybko”. Rozwiązania tymczasowe mają zwyczaj zostawać na lata.
Uprawnienia: kto może wystawiać, a kto tylko oglądać
KSeF ma własny model uprawnień. Właściciel albo osoba uprawniona do reprezentacji uwierzytelnia się w systemie, na przykład Profilem Zaufanym lub podpisem kwalifikowanym, i nadaje uprawnienia innym: do wystawiania faktur, do ich przeglądania, do zarządzania uprawnieniami. Osobno można upoważnić biuro rachunkowe jako podmiot.
W praktyce często spotykamy trzy błędy:
- wszyscy w dziale finansów mają komplet uprawnień, łącznie z nadawaniem ich innym, „żeby było prościej”,
- nikt nie prowadzi listy, kto i kiedy dostał dostęp, więc po odejściu księgowej jej uprawnienia zostają aktywne,
- jedyną osobą, która umie zarządzać uprawnieniami, jest prezes, który robi to raz na pół roku i za każdym razem szuka instrukcji.
Dobra praktyka jest prosta: dwie osoby z uprawnieniem do zarządzania (żeby urlop jednej nie blokował firmy), pozostali tylko z tym, czego potrzebują na co dzień. Przegląd dostępów do KSeF dopisz do listy kontrolnej przy odejściu pracownika. Usunięcie konta w Microsoft 365 nie odbiera nikomu uprawnień w systemie Ministerstwa Finansów.
Tokeny i certyfikaty to klucze do firmy
Program księgowy lub ERP łączy się z KSeF przez API i musi się jakoś uwierzytelnić. Służą do tego tokeny generowane w systemie albo certyfikaty KSeF. Kto ma token z uprawnieniem do wystawiania faktur, może w imieniu firmy wystawić dokument, który od razu trafi do kontrahenta. To nie jest zwykłe hasło, tylko coś bliższego pieczątce i podpisowi naraz.
Tymczasem tokeny lądują w arkuszach Excela, w mailach do dostawcy oprogramowania, w notatkach na pulpicie. Minimum, które warto wdrożyć:
- Osobny token dla każdej integracji (sklep, ERP, program biura rachunkowego), z najwęższym potrzebnym zakresem uprawnień.
- Przechowywanie w menedżerze haseł lub sejfie sekretów (Bitwarden, 1Password, Azure Key Vault), a nie w plikach konfiguracyjnych na dysku współdzielonym.
- Rejestr: jaki token, do czego służy, kto go wygenerował, kiedy był ostatnio zmieniany.
- Procedura unieważnienia na wypadek zmiany dostawcy oprogramowania albo kradzieży laptopa.
Konta osób logujących się do programu fakturowego i narzędzi Ministerstwa Finansów powinny mieć włączone uwierzytelnianie dwuskładnikowe. To zadanie z zakresu kontroli dostępu i ochrony stacji roboczych, a nie księgowości, dlatego często nikt się nim nie zajmuje.
Tryb offline i awarie: plan na dzień, gdy KSeF nie odpowiada
Przepisy przewidują wystawianie faktur w trybie offline, gdy firma nie może połączyć się z KSeF, oraz osobne tryby na czas niedostępności samego systemu. Faktura wystawiona offline dostaje kod QR do weryfikacji i musi zostać dosłana do KSeF w określonym terminie. Terminy różnią się w zależności od trybu, więc sprawdź je z księgowym i w aktualnych komunikatach Ministerstwa Finansów.
Z perspektywy IT pytania są konkretne:
- czy Twój program potrafi wystawić fakturę offline i sam ją potem dosłać, czy trzeba to robić ręcznie,
- kto zauważy, że kolejka niewysłanych faktur rośnie od dwóch dni,
- czy firma ma zapasowe łącze internetowe, jeśli bez niego staje sprzedaż,
- czy magazyn i handlowcy wiedzą, jak wydrukować fakturę z kodem QR dla odbiorcy.
Najczęstsza wpadka z KSeF nie jest prawna, tylko organizacyjna: faktura nie poszła, bo ktoś przy porządkach unieważnił token albo integracja przestała działać po aktualizacji, a nikt nie dostał powiadomienia. Monitoring wysyłki kosztuje mniej niż jedna korekta robiona w pośpiechu.
UPO i archiwum: dowód, że faktura dotarła
Po przyjęciu faktury KSeF nadaje jej numer i udostępnia urzędowe poświadczenie odbioru (UPO). Faktury są przechowywane w systemie przez lata, ale to nie zwalnia firmy z dbania o własne dane. Przy sporze z kontrahentem, kontroli albo migracji do nowego ERP chcesz mieć pod ręką plik XML, numer KSeF i UPO, powiązane z konkretnym zamówieniem i dokumentem magazynowym.
Sprawdź, czy program zapisuje numer KSeF przy każdej fakturze, także kosztowej pobranej z systemu, czy te dane są objęte kopią zapasową razem z bazą programu i czy po zmianie oprogramowania da się je wyeksportować. Zdarza się, że historia faktur zostaje w starym systemie, do którego po wygaśnięciu licencji nikt nie ma dostępu.
Integracje: wszystkie miejsca, w których powstają faktury
Wiele firm wystawia faktury w więcej niż jednym miejscu: w programie księgowym, w sklepie internetowym, w systemie do zleceń serwisowych, czasem w arkuszu, z którego ktoś przepisuje dane. Każde z tych miejsc musi albo wysyłać faktury do KSeF, albo przekazywać dane do programu, który to robi. Warto narysować ten obieg na jednej kartce, zanim zacznie się kupować wtyczki.
| Obszar | Kto zwykle odpowiada | Co przygotowuje IT |
|---|---|---|
| Uprawnienia w KSeF | właściciel, księgowość | lista osób, przegląd co kwartał, dwie osoby do zarządzania |
| Tokeny i certyfikaty | dostawca programu | sejf na sekrety, rejestr, procedura unieważnienia |
| Tryb offline | księgowość | próba awaryjna, powiadomienia o kolejce, zapasowe łącze |
| Archiwum XML i UPO | księgowość | kopia zapasowa, eksport przy zmianie programu |
| Integracje | sprzedaż, serwis | mapa przepływu danych, testy na środowisku testowym |
Ministerstwo udostępnia środowisko testowe, na którym można sprawdzić integrację bez wysyłania prawdziwych faktur. Szkoda z niego nie korzystać. Przykład: wyobraź sobie firmę serwisową, która wystawia faktury z własnego systemu zleceń i przetestowała tylko zwykłą fakturę sprzedaży. Przy pierwszej korekcie okazuje się, że system nie przechowuje numeru KSeF faktury pierwotnej, więc korekty nie da się wystawić automatycznie. Zanim programiści to poprawią, ktoś musi wystawiać korekty ręcznie w drugim programie.
Od czego zacząć w małej firmie
Mała firma nie potrzebuje projektu na pół roku. Zwykle wystarczy jedno spotkanie online z księgowością i osobą odpowiedzialną za IT, tabela z tego artykułu i kilka godzin pracy: uporządkowanie uprawnień, przeniesienie tokenów do sejfu, włączenie powiadomień o błędach wysyłki, sprawdzenie kopii zapasowej. Więcej pracy jest tam, gdzie faktury powstają w kilku systemach i trzeba je spiąć w jeden obieg. Wtedy przydaje się integracja z systemem księgowym.
Jeśli nie masz własnego informatyka, takie porządki mieszczą się w stałej opiece IT. Więcej o tym, jak ją układamy w małych firmach. Możemy też zrobić jednorazowy przegląd: zdalnie sprawdzimy, kto ma dostęp do KSeF, gdzie są przechowywane tokeny i co się stanie, gdy system nie odpowiada, a wnioski dostaniesz na piśmie.
Redakcja Apply
Chmura i oprogramowanie