Phase 2 du ZATCA : signature des unités, intégration, autorisation et archives

Pour une entreprise saoudienne déjà en phase 1 : enregistrer une unité de signature, l’intégrer à la ZATCA (mot de passe à usage unique, contrôles de conformité, certificat de production), activer la phase 2, et chaque facture et note est tamponnée lors de son envoi. Les factures standard sont validées par la ZATCA avant d’être remises à l’acheteur ; les factures simplifiées sont signalées sous 24 heures. Le système comprend les soumissions, un tableau de bord, une archive en mode ajout uniquement et un format PDF/A3 avec le code XML intégré. Les entreprises en phase 1 restent inchangées.

La phase 2 (intégration) s'appuie sur la phase 1. Toutes les opérations de la phase 1 sont conservées ; la phase 2 ajoute la facture XML (UBL 2.1), son hachage, le cachet cryptographique et un compteur qui relie chaque facture à la précédente. Elle intègre également chaque unité à la plateforme Fatoora de ZATCA, transmet chaque document cacheté à ZATCA (pour dédouanement ou déclaration) et conserve les documents envoyés ainsi que les réponses de ZATCA.

Unités de signature

Comptabilité → Clôture et conformité → Facturation électronique → Unités de signature ZATCA (uniquement pour une entreprise opérant en Arabie saoudite et uniquement pour les rôles qui l'autorisent) liste les unités de génération de factures électroniques (EGS) qui apposent un cachet sur les factures : Code, Nom, Succursale, Environnement, Statut, Test, Certificat, Expiration du certificat, Dernier compteur (ICV) et Dernier cachet.

1. Ajouter une unité : code, nom, la succursale pour laquelle elle est apposée (vide pour l’ensemble de l’entreprise), les détails de la demande de certificat (nom commun (CN), numéro de série EGS, unité organisationnelle (OU), types de factures (TSCZ), emplacement, adresse nationale abrégée de la succursale et secteur d’activité) et l’environnement (bac à sable, simulation ou production).
2. Cochez la case « Unité par défaut » pour celle utilisée lorsqu'une branche n'a pas d'unité propre.
3. À titre de démonstration uniquement, cochez « Tester l'unité » et cliquez sur « Tester le certificat » : l'unité reçoit une clé et un certificat auto-signé. ZATCA n'accepterait pas ce qu'elle appose.
4. L'intégration à ZATCA s'effectue via la page d'intégration ZATCA. L'étape d'intégration (OTP) génère automatiquement la clé et la demande de signature de certificat de l'unité. L'option « Générer une CSR » sur cet écran sert uniquement à préparer une demande manuellement ; l'option « Télécharger la CSR » permet de l'afficher.

Mise en marche de la phase 2

• Comptabilité → Clôture et conformité → Fiscalité → Juridictions fiscales, sur la juridiction saoudienne : cochez ZATCA Phase 2 (intégration) et indiquez Phase 2 à partir du premier jour de la vague ZATCA de l'entreprise (vide : à partir du jour de son activation).
• Elle est refusée sauf si la phase 1 est déjà en cours, et refusée sans unité de signature.

L'acheteur et la succursale

• CRM → Comptes, pour un client saoudien sans numéro de TVA : type d’identification de l’acheteur (TIN, CRN, MOM, MLS, 700, SAG, NAT, GCC, IQA, PAS ou OTH) et numéro d’identification de l’acheteur. Si ce champ est laissé vide, le numéro CR est utilisé comme CRN.
• Chaque succursale peut avoir son propre numéro CR et son adresse nationale ; les factures portant le cachet de cette succursale les utilisent.

Que fait Post dans le cadre de la phase 2 ?

1. Tout ce que la phase 1 vérifie, et tout ce qui manquerait au XML, est vérifié en une seule fois et nommé dans des phrases avec le numéro de règle ZATCA.
2. L’unité de facturation de l’agence (ou l’unité par défaut) est utilisée, et la facture se voit attribuer le prochain numéro d’identification de l’unité (ICV) et le hachage de la facture précédente (PIH). Cinquante factures enregistrées simultanément reçoivent donc cinquante numéros d’identification consécutifs.
3. La facture UBL 2.1 est construite, hachée (SHA-256), estampillée avec la clé de l’unité (ECDSA) et vérifiée.
4. Le QR code comporte neuf étiquettes sur une facture simplifiée (la neuvième étant la signature du certificat) et huit sur une facture standard, au lieu des cinq de la phase 1.
5. Si la publication échoue, rien n'est consommé : le compteur est restitué.

Le timbre, le hachage, le compteur et l'UUID sont aussi définitifs que les montants. Une entreprise de la phase 1, comme toutes les entreprises des autres pays, effectue ses opérations exactement comme auparavant.

Intégration d'une unité avec ZATCA

Comptabilité → Clôture et conformité → Facturation électronique → L'intégration ZATCA répertorie chaque unité de signature avec son environnement, son statut, l'étape atteinte, le détail des actions effectuées, les contrôles réussis, la date d'expiration du certificat, le nombre de jours restants et le renouvellement en attente. Veuillez d'abord enregistrer l'unité sur la liste des unités de signature ZATCA. Seule l'administration peut effectuer une action, sauf si un utilisateur dispose des droits d'accès à l'intégration ZATCA dans l'écran des rôles. Les autres utilisateurs ayant accès à la comptabilité peuvent consulter la liste, qui ne contient aucune information confidentielle.

1. Sur le portail Fatoora, la personne autorisée de l'entreprise sélectionne « Intégrer une nouvelle unité/un nouvel appareil » et reçoit un mot de passe à usage unique (OTP) : six chiffres, valable une seule fois et pendant une heure. Ce mot de passe est communiqué comme un mot de passe classique et n'est jamais stocké.
2. Connexion (OTP) : choisissez l’environnement (bac à sable du portail développeur, simulation ou production) et saisissez le code OTP. Une paire de clés et une demande de signature de certificat sont générées et envoyées ; ZATCA renvoie le certificat de conformité (CSID de conformité). En cas de refus du code OTP, l’unité reste en attente : obtenez un nouveau code OTP et cliquez à nouveau sur Connexion.
3. Effectuez des contrôles de conformité : un échantillon de chaque document pour lequel l’unité est enregistrée est envoyé à ZATCA. Une unité utilisant le type de facture 1100 (standard et simplifié) envoie six échantillons : facture standard, avoir et note de débit, et facture simplifiée, avoir et note de débit. Chaque échantillon doit être conforme ; prenez connaissance des éventuelles alertes.
4. Demande de certificat de production : dès lors, l’unité appose son cachet sur les factures de l’entreprise, lesquelles sont ensuite validées ou déclarées auprès de la ZATCA. La date d’expiration du certificat est indiquée.
5. Renouvelez le certificat à l'aide d'un nouveau code OTP généré par le système de renouvellement d'identifiant cryptographique existant sur le portail, avant son expiration. L'unité continue d'émettre des empreintes avec sa clé actuelle jusqu'à réception du nouveau certificat, et la chaîne de comptage se poursuit.

Trente jours avant l'expiration d'un certificat, la tâche quotidienne ACCT-ZATCA-WATCH génère une alerte financière, une notification et une entrée dans la boîte de réception automatisée, une fois par jour et par unité.

Autorisation et rapports

• Une facture ou un avis de paiement standard (B2B) est envoyé à ZATCA pour validation dès son enregistrement. Le système indique ensuite si la facture a été validée, rejetée ou fera l'objet d'une nouvelle tentative. Seuls le document XML validé par ZATCA et son code QR peuvent être imprimés ou remis à l'acheteur : une facture standard en attente de validation ou tout document rejeté ne peut être imprimé, et le motif du refus est précisé.
• Une facture simplifiée (B2C) est émise immédiatement avec le cachet et le code QR à neuf points, puis transmise à la ZATCA dans les 24 heures, d'abord automatiquement, puis par la tâche horaire ACCT-ZATCA-SUBMIT. Une alerte financière est déclenchée pour toute facture non transmise 20 heures après son émission.
• Si ZATCA est injoignable, le même document (même UUID et même hachage) est retenté avec des délais croissants, jusqu'à une heure. L'option « Accepté avec avertissements » est activée ; les avertissements sont conservés et affichés.
• Si ZATCA a désactivé l'autorisation, le même document signé est signalé à la place, et le tableau de bord indique la date de la dernière désactivation de l'autorisation.
• Les factures AR affichent une colonne ZATCA pour une société saoudienne et proposent les options suivantes : soumettre à nouveau à ZATCA, réémettre (rejeté par ZATCA), PDF/A-3 avec XML ZATCA et journal ZATCA sur la facture.

Soumissions ZATCA

Chaque facture et note est estampillée « Phase 2 » avec la mention ZATCA et un badge indiquant : Traitée, Signalée, Avertissement (acceptée avec avertissements), Rejetée ou En attente. Les colonnes comprennent : Tentatives, Heures d’attente, Prochaine tentative, Mention ZATCA et Réémission.

• L'option « Envoyer maintenant » efface ou signale tous les documents dont la prochaine tentative d'envoi est prévue. L'option « Resoumettre » renvoie immédiatement le même document, avec le même UUID et le même hachage.
• La réémission concerne un document rejeté. Un document rejeté n'est jamais renvoyé tel quel : la réémission l'annule dans les registres (son enregistrement est inversé) et crée une copie brouillon à corriger et à poster comme nouveau document, avec le prochain contre-référent. Le document rejeté est conservé, avec la réponse de la ZATCA, dans les archives.
• Le format PDF/A3 avec XML fournit la facture au format PDF avec son code XML de facture électronique intégré (le code XML non formaté pour une facture standard, le code XML tamponné pour une facture simplifiée). L'option « XML pour l'acheteur » fournit uniquement le code XML.
• Le journal ZATCA répertorie chaque demande concernant cette facture et la réponse de ZATCA.

Tableau de bord, journal et archives

• Tableau de bord ZATCA : par unité de signature, nombre de factures validées, signalées, acceptées avec avertissements, rejetées et en attente ; la plus ancienne en attente en heures et le nombre de factures en attente depuis plus de 24 heures ; les rejets au cours des 30 derniers jours et le plus récent ; expiration du certificat et jours restants.
• Journal de l'API ZATCA : chaque appel à Fatoora (intégration, contrôles de conformité, autorisation, rapports) contient la réponse HTTP, le résultat, le message et le temps d'exécution. Les codes OTP, les secrets et l'en-tête d'autorisation sont supprimés avant l'écriture. Écriture en mode ajout uniquement.
• Archives ZATCA : chaque document tamponné tel qu’émis, chaque document validé et chaque réponse ZATCA, chacun avec son SHA-256. Ajout uniquement : la base de données ne peut être ni modifiée ni supprimée. Les documents sont conservés pour la durée minimale de conservation des données de l’entreprise (durée de conservation des documents relatifs à la TVA en Arabie saoudite ; une durée plus longue est recommandée pour les immobilisations ou les biens immobiliers, sur recommandation de votre conseiller fiscal). Le téléchargement donne accès au document archivé.