ZATCA Phase 2: Unterzeichnung von Einheiten, Onboarding, Abfertigung und das Archiv

Für ein saudisches Unternehmen in Phase 1: Registrierung einer Unterzeichnungseinheit, Anbindung an ZATCA (OTP, Konformitätsprüfungen, Produktionszertifikat), Aktivierung von Phase 2. Jede Rechnung und jeder Beleg wird beim Versand abgestempelt. Standardrechnungen werden von ZATCA geprüft, bevor sie an den Käufer ausgehändigt werden dürfen; vereinfachte Rechnungen werden innerhalb von 24 Stunden gemeldet. Es stehen Einreichungen, ein Dashboard, ein Archiv (nur zum Anhängen) und PDF/A-3-Dateien mit dem enthaltenen XML-Code zur Verfügung. Für Unternehmen in Phase 1 ändert sich nichts.

Phase 2 (Integration) baut auf Phase 1 auf. Alle Vorgänge von Phase 1 werden fortgesetzt; Phase 2 fügt die XML-Rechnung (UBL 2.1), ihren Hashwert, den kryptografischen Stempel und einen Zähler hinzu, der jede Rechnung mit der vorherigen verknüpft. Außerdem wird jedes Gerät in die Fatoora-Plattform von ZATCA integriert, jedes gestempelte Dokument wird an ZATCA gesendet (zur Freigabe oder Berichterstattung) und es werden die gesendeten Daten sowie die Antworten von ZATCA protokolliert.

Unterzeichnungseinheiten

Buchhaltung → Abschluss & Compliance → E-Rechnung → ZATCA-Signatureinheiten (nur für ein Unternehmen, das in Saudi-Arabien tätig ist, und nur für Rollen, die dies erlauben) listet die E-Rechnungsgenerierungseinheiten (EGS) auf, die Rechnungen abstempeln: Code, Name, Niederlassung, Umgebung, Status, Test, Zertifikat, Ablaufdatum des Zertifikats, Letzter Zähler (ICV) und Letzter Stempel.

1. Fügen Sie eine Einheit hinzu: Code, Name, die Niederlassung, für die sie ausgestellt wird (leer für das gesamte Unternehmen), die Details der Zertifikatsanforderung (Allgemeiner Name (CN), EGS-Seriennummer, Organisationseinheit (OU), Rechnungstypen (TSCZ), Standort, die nationale Kurzadresse der Niederlassung und Branche) und Umgebung (Sandbox, Simulation oder Produktion).
2. Aktivieren Sie die Option „Standardeinheit“, die verwendet wird, wenn ein Zweig keine eigene Einheit hat.
3. Nur zu Demonstrationszwecken: Aktivieren Sie „Testgerät“ und klicken Sie auf „Testzertifikat“: Das Gerät erhält einen Schlüssel und ein selbstsigniertes Zertifikat. ZATCA akzeptiert das von ihm ausgestellte Zertifikat nicht.
4. Die Registrierung bei ZATCA erfolgt über ZATCA Onboarding. Der Schritt „Onboard (OTP)“ erstellt automatisch den Schlüssel und die Zertifikatsignierungsanforderung (CSR) des Geräts. Die Option „CSR generieren“ auf diesem Bildschirm dient lediglich der manuellen Erstellung einer Anforderung; die Option „CSR herunterladen“ zeigt die entsprechende Anforderung an.

Phase 2 wird eingeschaltet

• Buchhaltung → Abschluss & Compliance → Steuern → Steuerhoheitsgebiete, für das saudische Hoheitsgebiet: ZATCA Phase 2 (Integration) auswählen und Phase 2 ab dem ersten Tag der ZATCA-Welle des Unternehmens angeben (leer: ab dem Tag der Aktivierung).
• Der Antrag wird abgelehnt, es sei denn, Phase 1 läuft bereits, und er wird auch ohne eine unterzeichnende Einheit abgelehnt.

Der Käufer und die Filiale

• CRM → Konten, für einen saudischen Kunden ohne Umsatzsteuer-Identifikationsnummer: Käufer-ID-Typ (TIN, CRN, MOM, MLS, 700, SAG, NAT, GCC, IQA, PAS oder OTH) und Käufer-ID-Nummer. Wenn dieses Feld leer bleibt, wird die CR-Nummer als CRN verwendet.
• Eine Zweigstelle kann ihre eigene Handelsregisternummer und nationale Adresse haben; Rechnungen, die für diese Zweigstelle abgestempelt werden, verwenden diese.

Was macht die Post in Phase 2?

1. Alles, was in Phase 1 geprüft wird, und alles, was im XML fehlen würde, wird gleichzeitig geprüft und in Sätzen mit der ZATCA-Regelnummer benannt.
2. Die Einheit der Filiale (oder die Standardeinheit) wird verwendet, und die Rechnung erhält den nächsten Zähler (ICV) dieser Einheit sowie den Hash der vorherigen Rechnung (PIH). Fünfzig gleichzeitig gebuchte Rechnungen erhalten weiterhin fünfzig aufeinanderfolgende Zähler.
3. Die UBL 2.1-Rechnung wird erstellt, gehasht (SHA-256), mit dem Schlüssel der Einheit (ECDSA) versehen und geprüft.
4. Der QR-Code enthält neun Tags auf einer vereinfachten Rechnung (der neunte ist die Unterschrift des Zertifikats) und acht auf einer Standardrechnung, anstelle der fünf Tags in Phase 1.
5. Schlägt der Posting-Vorgang fehl, wird nichts verbraucht: Der Zähler wird zurückgegeben.

Der Stempel, der Hashwert, der Zähler und die UUID sind genauso endgültig wie die Beträge. Ein Unternehmen der Phase 1 und jedes Unternehmen in einem anderen Land verfahren genauso wie zuvor.

Einarbeitung einer Einheit bei ZATCA

Buchhaltung → Abschluss & Compliance → E-Rechnung → ZATCA-Onboarding listet jede Signatureinheit mit ihrer Umgebung, ihrem Status, dem erreichten Schritt, dem Ereignis, bestandenen Prüfungen, dem Ablaufdatum des Zertifikats, den verbleibenden Tagen und dem Status „Verlängerung ausstehend“ auf. Registrieren Sie die Einheit zuerst bei den ZATCA-Signatureinheiten. Die Ausführung eines Schritts ist dem Administrator vorbehalten, es sei denn, jemandem wurde im Rollenbildschirm die Berechtigung für ZATCA-Onboarding erteilt. Andere Benutzer mit Buchhaltungszugriff können die Liste einsehen, die keine vertraulichen Informationen enthält.

1. Im Fatoora-Portal wählt die autorisierte Person des Unternehmens „Neue Lösungseinheit/Gerät hinzufügen“ und erhält ein Einmalpasswort (OTP): sechs Ziffern, einmalig verwendbar, eine Stunde gültig. Geben Sie es wie ein Passwort weiter; es wird niemals gespeichert.
2. Onboard (OTP): Wählen Sie die Umgebung (Entwicklerportal-Sandbox, Simulation oder Produktion) und geben Sie das OTP ein. Ein Schlüsselpaar und eine Zertifikatsignierungsanforderung werden erstellt und gesendet; ZATCA sendet das Konformitätszertifikat (Konformitäts-CSID) zurück. Bei einem abgelehnten OTP wartet das Gerät mit der Anfrage: Fordern Sie ein neues OTP an und klicken Sie erneut auf „Onboard“.
3. Führen Sie Konformitätsprüfungen durch: Von jedem Dokument, für das die Einheit registriert ist, wird ein Muster an die ZATCA gesendet. Eine Einheit mit Rechnungsarten 1100 (Standard und vereinfacht) sendet sechs: Standardrechnung, Gutschrift und Lastschrift sowie vereinfachte Rechnung, Gutschrift und Lastschrift. Alle Prüfungen müssen bestanden werden; beachten Sie etwaige Warnhinweise.
4. Produktionszertifikat anfordern: Ab diesem Zeitpunkt stempelt die Einheit die Rechnungen des Unternehmens, und diese werden abgefertigt oder bei der ZATCA gemeldet. Das Ablaufdatum des Zertifikats wird angegeben.
5. Erneuern Sie das Zertifikat mit einem neuen Einmalpasswort (OTP) von der Seite „Bestehende kryptografische Stempelkennung erneuern“ im Portal, bevor es abläuft. Das Gerät verwendet weiterhin seinen aktuellen Schlüssel, bis das neue Zertifikat eintrifft, und die Zählerkette wird fortgesetzt.

Ab 30 Tagen vor Ablauf eines Zertifikats löst der tägliche Job ACCT-ZATCA-WATCH einmal täglich pro Einheit eine Finanzwarnung, eine Benachrichtigung und einen Eintrag im Automatisierungs-Posteingang aus.

Freigabe und Berichterstattung

• Eine Standardrechnung (B2B) oder ein Standardvermerk wird nach Speicherung der Buchung zur Freigabe an die ZATCA gesendet. Post teilt mit, ob die Rechnung freigegeben, abgelehnt oder erneut versucht wurde. Nur die von der ZATCA freigegebene XML-Datei und der zugehörige QR-Code dürfen gedruckt oder dem Käufer ausgehändigt werden. Eine noch ausstehende Standardrechnung oder ein abgelehntes Dokument kann nicht gedruckt werden; die Ablehnung enthält die Begründung.
• Eine vereinfachte (B2C-)Rechnung wird umgehend mit Stempel und QR-Code (neun Felder) erstellt und innerhalb von 24 Stunden an die ZATCA gemeldet – zunächst im Hintergrund und anschließend über den stündlichen Job ACCT-ZATCA-SUBMIT. Wird eine Rechnung nicht innerhalb von 20 Stunden nach Ausstellung gemeldet, wird eine Finanzwarnung ausgelöst.
• Wenn ZATCA nicht erreichbar ist, wird dasselbe Dokument (gleiche UUID und gleicher Hash) mit zunehmenden Wartezeiten, bis zu stündlich, erneut versucht. Ein Dokument mit Warnungen wird akzeptiert; die Warnungen werden gespeichert und angezeigt.
• Wenn die ZATCA die Freigabe deaktiviert hat, wird stattdessen dasselbe unterzeichnete Dokument gemeldet, und im Dashboard wird angezeigt, wann die Freigabe zuletzt deaktiviert war.
• AR Invoices zeigt eine ZATCA-Spalte für ein saudisches Unternehmen an und bietet die Optionen „Erneut einreichen bei ZATCA“, „Neu ausstellen (von ZATCA abgelehnt)“, „PDF/A-3 mit ZATCA-XML“ und „ZATCA-Protokoll auf der Rechnung“.

ZATCA-Einreichungen

Jede Rechnung und jeder Vermerk aus Phase 2 enthält den ZATCA-Vermerk mit folgendem Status: Genehmigt, Gemeldet, Warnung (mit Warnungen akzeptiert), Abgelehnt oder Ausstehend. Die Spalten umfassen Versuche, Wartezeit in Stunden, Nächster Versuch, ZATCA-Vermerk und Neuausstellung.

• „Jetzt fällig senden“ löscht oder meldet alle Dokumente, deren nächster Versuch fällig ist. „Erneut senden“ sendet ein Dokument erneut: dasselbe Dokument mit derselben UUID und demselben Hash.
• Die Neuausstellung dient der Bearbeitung eines abgelehnten Dokuments. Ein abgelehntes Dokument wird niemals unverändert erneut versandt: Bei der Neuausstellung wird es in den Büchern für ungültig erklärt (der Buchungseintrag wird storniert) und ein Entwurf erstellt, der korrigiert und als neues Dokument mit dem nächsten Zähler versendet wird. Das abgelehnte Dokument verbleibt zusammen mit der Antwort der ZATCA im Archiv.
• PDF/A-3 mit XML stellt die Rechnung als PDF mit dem zugehörigen E-Rechnungs-XML bereit (das unformatierte XML für eine Standardrechnung, das gestempelte XML für eine vereinfachte Rechnung). Die XML-Datei für den Käufer enthält ausschließlich das XML.
• Das ZATCA-Protokoll listet jede Anfrage zu dieser Rechnung und die Antwort von ZATCA auf.

Dashboard, Protokoll und Archiv

• ZATCA-Dashboard: pro Unterzeichnungseinheit, wie viele Rechnungen bereinigt, gemeldet, mit Warnungen akzeptiert, abgelehnt und ausstehend sind; die älteste ausstehende Rechnung in Stunden und wie viele älter als 24 Stunden sind; Ablehnungen in den letzten 30 Tagen und die letzte; Ablaufdatum des Zertifikats und verbleibende Tage.
• ZATCA-API-Protokoll: Jeder Aufruf an Fatoora (Onboarding, Compliance-Prüfungen, Freigabe, Reporting) mit HTTP-Antwort, Ergebnis, Meldung und Dauer. OTPs, Geheimnisse und der Autorisierungsheader werden vor dem Schreiben entfernt. Nur Anhängen.
• ZATCA-Archiv: Jedes ausgestellte und freigegebene Dokument sowie jede ZATCA-Antwort, jeweils mit SHA-256-Hash. Nur Bearbeitung: Die Datenbank lässt keine Änderungen oder Löschungen zu. Die Aufzeichnungen werden mindestens sechs Jahre lang (Aufbewahrungsfrist für die Umsatzsteuer in Saudi-Arabien; bei Anlagevermögen oder Immobilien kann die Aufbewahrungsfrist auf Empfehlung Ihres Steuerberaters verlängert werden) aufbewahrt. Der Download ermöglicht den Zugriff auf das archivierte Dokument.