فحص جاهزية ZATCA المرحلة الثانية

ما هي المرحلة الثانية من الفوترة الإلكترونية في السعودية؟

المرحلة الثانية من الفوترة الإلكترونية (e-Invoicing Phase 2) أو ما تُسمّيها هيئة الزكاة والضريبة والجمارك (ZATCA) بمرحلة "الربط والتكامل" Integration Phase، هي خطوة تطوُّرية تلت المرحلة الأولى التي كانت مرحلة "الإصدار والحفظ" Generation Phase. بدأت رسمياً في 1 يناير 2023 لأولى الموجات، وتستمر تباعاً حتى تشمل جميع المنشآت الخاضعة لـ VAT.

الفكرة الأساسية للمرحلة الثانية أن نظام الفوترة في المنشأة يجب أن يتصل مباشرة بمنصة "فاتورة" التابعة لـ ZATCA عبر واجهات برمجية (API)، فيُرسل كل فاتورة ضريبية قبل أو بعد إصدارها للعميل بحسب نوعها، ويستقبل ختمها التشفيري.

الفرق بين المرحلة الأولى والثانية

المرحلة الأولى كانت تتطلب من المنشأة فقط أن تُصدِر فواتيرها إلكترونياً عبر نظام معتمد (لا ورق، لا ملفات صور)، وأن تُولِّد QR Code على فواتير B2C. لم يكن هناك ربط مباشر مع ZATCA، وكانت المنشأة تحتفظ بالفواتير لديها فقط.

المرحلة الثانية أضافت طبقة كاملة من المتطلبات: الفواتير يجب أن تكون بصيغة UBL 2.1 XML (لا PDF فقط)، يجب أن تحمل Cryptographic Stamp يصدر من شهادة CSID مرتبطة بسجل المنشأة الضريبي، يجب أن تُرسَل عبر API إلى منصة فاتورة، ويجب أن تستقبل المنشأة UUID و Hash من ZATCA كتأكيد للاعتماد.

تصنيف الفواتير في المرحلة الثانية

ZATCA تُقسِّم الفواتير في المرحلة الثانية إلى نوعين رئيسين: فواتير ضريبية (Tax Invoice) للمعاملات بين الشركات B2B، وفواتير ضريبية مبسَّطة (Simplified Tax Invoice) للمعاملات مع المستهلك النهائي B2C. الفواتير الضريبية B2B تتطلب اعتماد مسبق Clearance من ZATCA قبل تسليمها للعميل، أما B2C فالإبلاغ Reporting يتم خلال 24 ساعة من الإصدار.

موجات الدمج: متى يجب أن تكون منشأتك جاهزة؟

ZATCA اعتمدت أسلوب الدمج التدريجي عبر "موجات" Waves، كل موجة تشمل المنشآت ذات الإيرادات الخاضعة للضريبة ضمن نطاق محدد. الموجات الأولى شملت أكبر المنشآت، وكل موجة لاحقة توسِّع النطاق ليشمل منشآت أصغر، حتى تغطي الجميع.

الموجات المُعلنة (مرجعية)

الموجة الأولى: المنشآت بإيرادات أكثر من 3 مليار ريال (يناير 2023). الموجة الثانية: أكثر من 500 مليون ريال (يوليو 2023). الموجة الثالثة: أكثر من 250 مليون ريال (أكتوبر 2023). الموجات 4-8 شملت تباعاً المنشآت بإيرادات من 30 مليون إلى 150 مليون ريال خلال 2024. الموجات 9-14 شملت المنشآت بإيرادات من 7 ملايين إلى 30 مليون ريال خلال 2024. الموجات 15-19 وما بعدها تشمل تدريجياً المنشآت الأصغر حتى تصل إلى المنشآت بإيرادات أقل من 1.5 مليون ريال.

كيف تعرف موجتك؟

ZATCA تُرسل إشعاراً رسمياً للمنشأة قبل ستة أشهر على الأقل من تاريخ الدمج المطلوب. الإشعار يصل عبر البريد الإلكتروني المسجَّل في بوابة ZATCA، ويتم نشره أيضاً في الحساب الضريبي للمنشأة. لا تنتظر الإشعار، استبق الموجة وكن جاهزاً.

شهادات CSID: Compliance و Production

شهادة Cryptographic Stamp Identifier (CSID) هي شهادة تشفيرية تربط منشأتك بـ ZATCA وتُستخدم للتوقيع الإلكتروني على كل فاتورة. هناك نوعان: شهادة الامتثال Compliance CSID تُستخدم خلال مرحلة الاختبار في Sandbox، وشهادة الإنتاج Production CSID تُستخدم على الفواتير الحقيقية.

كيف تحصل على CSID؟

الحصول على CSID يمر بثلاث خطوات تقنية: أولاً يولِّد نظامك زوج مفاتيح RSA 2048-bit. ثانياً يُرسل طلب توقيع شهادة Certificate Signing Request مع بيانات المنشأة الضريبية إلى نقطة compliance على API فاتورة، فيستقبل شهادة Compliance. ثالثاً بعد اجتياز اختبارات Sandbox يُرسل طلب الترقية إلى Production فيستقبل شهادة الإنتاج.

UBL 2.1 XML: البنية الإلزامية للفواتير

فواتير المرحلة الثانية يجب أن تُولَّد بصيغة Universal Business Language الإصدار 2.1 (UBL 2.1) — وهي صيغة XML دولية معتمدة من OASIS. ZATCA حدَّدت ملف Schema خاص بها (PINT-SA) يحتوي على القواعد المحلية الإضافية، ويجب أن يَعبُر كل ملف XML اختبارات Schematron قبل قبوله.

الحقول الإلزامية في UBL 2.1 SA

من أبرز الحقول الإلزامية: الرقم الضريبي للبائع والمشتري، UUID الفاتورة، نوع الفاتورة (Standard أو Simplified)، تاريخ ووقت الإصدار، تفاصيل البنود مع كميات وأسعار وضرائب، مجموع VAT بالتفصيل لكل فئة ضريبية، Previous Invoice Hash (هاش الفاتورة السابقة في سلسلة)، Cryptographic Stamp، و QR Code TLV.

Cryptographic Stamp و QR Code

Cryptographic Stamp هو ختم تشفيري يُولَّد بخوارزمية ECDSA-secp256r1 باستخدام مفتاحك الخاص الموقَّع من ZATCA. الختم يضمن أن الفاتورة لم تُعدَّل بعد إصدارها وأنها صادرة فعلاً من المنشأة المسجَّلة. أي تعديل لاحق على XML يكسر الختم ويجعل الفاتورة باطلة.

QR Code TLV

QR Code في المرحلة الثانية أكثر تعقيداً من المرحلة الأولى. بُنية TLV (Tag-Length-Value) تحتوي تسعة حقول إلزامية: اسم البائع، الرقم الضريبي، تاريخ ووقت الفاتورة، مجموع الفاتورة، مجموع VAT، الـ Hash، Cryptographic Stamp، Public Key، والشهادة CSID. الـ QR يجب أن يكون مضمَّناً داخل ملف PDF/A-3 المرفق بالفاتورة.

ربط API مع منصة فاتورة

منصة "فاتورة" Fatoora هي البوابة الرسمية لـ ZATCA لاستقبال الفواتير الإلكترونية. للمرحلة الثانية هناك ثلاث نقاط API رئيسة: نقطة Compliance للاختبار، نقطة Clearance لاعتماد الفواتير B2B، ونقطة Reporting للإبلاغ عن الفواتير B2C والملاحظات الدائنة والمدينة خلال 24 ساعة.

المتطلبات التقنية

الاتصال يتم عبر HTTPS مع TLS 1.2 على الأقل. المصادقة تعتمد على Basic Auth باستخدام Username (CSID) و Password (Secret) الصادرَين من ZATCA. الجسم body من نوع JSON يحتوي على invoiceHash و uuid و invoice (UBL XML Base64 Encoded). الرد يأتي بـ HTTP 200 إذا تم القبول، مع UUID و Hash موقَّعَين من ZATCA.

Sandbox والاختبار قبل الإنتاج

قبل أي ترقية إلى الإنتاج، يجب أن تجتاز منشأتك مجموعة من الاختبارات في بيئة Sandbox التي توفِّرها ZATCA. هذه البيئة تماثل الإنتاج لكنها لا تُسجِّل فواتير حقيقية. الهدف هو ضمان أن تنفيذك يلتزم بكل قواعد UBL 2.1 و Schematron و القواعد التجارية لـ ZATCA.

أنواع الاختبارات

هناك ثلاث فئات: اختبارات Standard Invoice، اختبارات Simplified Invoice، واختبارات Credit / Debit Notes. كل فئة تتطلب توليد عينات فواتير بأنماط متعددة (مع خصم، مع شحن، مع ضريبة صفر، مع إعفاء، إلخ). ZATCA لا تمنح شهادة Production CSID حتى تجتاز كل الاختبارات اللازمة.

الأرشفة لـ 7 سنوات

نظام VAT في السعودية يُلزم المنشأة بالاحتفاظ بكل الفواتير والمستندات الضريبية لمدة 6 سنوات على الأقل، وبعض الفئات تصل إلى 11 سنة (للعقارات). للمرحلة الثانية، الأرشفة يجب أن تشمل: ملف UBL 2.1 XML الأصلي، ملف PDF/A-3 المرفق، استجابة ZATCA (UUID + Hash + Cryptographic Stamp)، وأي ملاحظات دائنة أو مدينة مرتبطة.

متطلبات الأرشيف

الأرشيف يجب أن يكون: قابلاً للقراءة بسهولة طوال فترة الاحتفاظ، محمياً من العبث (Tamper-evident)، قابلاً للبحث والاسترجاع السريع عند طلب ZATCA، ومخزَّناً في موقع آمن (سحابة محلية أو نظام DMS معتمد).

خطوات الانتقال العملية إلى المرحلة الثانية

الخطوة الأولى: تحقق من إيرادك السنوي وحدِّد موجتك المتوقعة. الخطوة الثانية: اختر حلَّاً للفوترة الإلكترونية من قائمة الحلول المعتمدة من ZATCA، أو طوِّر حلَّك الداخلي إذا كنت منشأة تقنية. الخطوة الثالثة: ولِّد زوج مفاتيح RSA واطلب شهادة Compliance CSID. الخطوة الرابعة: عدِّل نظامك ليُولِّد UBL 2.1 XML بكل الحقول الإلزامية. الخطوة الخامسة: نفِّذ Cryptographic Stamping و QR TLV. الخطوة السادسة: ادخل Sandbox واجتز الاختبارات. الخطوة السابعة: اطلب ترقية إلى Production CSID. الخطوة الثامنة: فعِّل الإرسال الفعلي قبل تاريخ الموجة المُعلن.

الأخطاء الشائعة في تنفيذ المرحلة الثانية

أول خطأ شائع: التهاون في اختبار Sandbox والاكتفاء بعدد محدود من السيناريوهات. ZATCA قد ترفض شهادة Production إذا اكتشفت أن الاختبارات لم تغطِّ نطاقاً كافياً. ثاني خطأ: عدم احتساب Previous Invoice Hash بشكل صحيح، فيكسر سلسلة الفواتير ويُسبِّب رفضاً متتابعاً. ثالث خطأ: استخدام مكتبات XML غير قادرة على المحافظة على الترتيب الدقيق للحقول (Canonicalization)، فيختلف الـ Hash بين البائع والـ ZATCA.

أخطاء عملية أخرى

استخدام شهادة Compliance بدل Production بعد التحوُّل (يُسبِّب رفضاً فورياً). نسيان تحديث Hash الفاتورة السابقة بعد كل إصدار. إرسال فاتورة B2B إلى نقطة Reporting بدل Clearance. استخدام تاريخ بصيغة محلية بدل ISO 8601. تجاهل Schematron rules التي تتعلَّق بالاتساق الحسابي (مثل أن مجموع البنود يطابق مجموع الفاتورة قبل VAT).

أسئلة متكررة

هل أحتاج إلى استبدال نظام محاسبتي بالكامل؟

ليس بالضرورة. كثير من أنظمة ERP الرئيسة (SAP, Oracle, Microsoft Dynamics, Odoo) أصدرت إضافات Add-ons معتمدة من ZATCA. إذا كان نظامك الحالي يدعم API، يمكن إضافة طبقة توليد UBL وربط API دون استبدال جذري.

كم تكلفة الانتقال إلى المرحلة الثانية؟

التكلفة تتراوح من بضعة آلاف ريال (لحلول SaaS شهرية للمنشآت الصغيرة) إلى مئات الآلاف لمشاريع تكامل كاملة مع ERP الكبيرة. العامل الأهم هو حجم المنشأة وعدد الفواتير وتعقيد المنتجات.

ماذا لو فاتني تاريخ موجتي؟

يعرِّض المنشأة لغرامات تصل إلى 50,000 ريال للمخالفة، وقد تتكرَّر إذا استمرَّت المخالفة. الأخطر أن ZATCA قد تُوقِف إصدار الفواتير قانونياً مما يُعطِّل النشاط التجاري بالكامل.

هل يمكن إصدار فاتورة ورقية احتياطاً؟

لا. الفواتير الورقية أو ملفات PDF غير المُولَّدة عبر نظام فوترة إلكترونية معتمد تُعتبر مخالفة. كل فاتورة يجب أن تمرَّ بالنظام الإلكتروني وتحصل على UUID و Hash من ZATCA.

المراجع

المرسوم الملكي رقم (م/113) وتاريخ 1438/11/2هـ بنظام ضريبة القيمة المضافة. اللائحة التنفيذية للفوترة الإلكترونية الصادرة عن ZATCA. قرار رئيس مجلس إدارة هيئة الزكاة والضريبة والجمارك رقم (64709) في 28 يونيو 2021 بشأن القواعد التنظيمية للفوترة الإلكترونية. وثائق المرحلة الثانية على بوابة ZATCA: قواعد البيانات (Data Dictionary)، مخطط XML (PINT-SA Schema)، قواعد التحقق Schematron، ودليل المطورين Developer Portal. الموقع الرسمي لـ ZATCA: zatca.gov.sa — منصة فاتورة، الأدلة الإرشادية، ودليل الحلول المعتمدة.