امتثال زاتكا في السعودية: تصميم ملفات XML جاهزة للتدقيق

يمكن لملف XML فاشل أن يوقف أكثر من مجرد فاتورة واحدة. قد يوقف التخليص، ويؤخر الإبلاغ، ويعطل الفوترة، ويعرض الشركة لمخاطر امتثال تقنية.

بالنسبة لفرق هندسة تقنية المعلومات، ومزودي البرمجيات، ومطوري أنظمة ERP، وأقسام تقنية الضرائب الداخلية، فإن الامتثال للمرحلة الثانية من زاتكا في السعودية ZATCA Phase 2 compliance KSA ليس تحديثًا برمجيًا سطحيًا. بل هو نموذج تشغيل تقني كامل يقوم على XML منظم، وشهادات تشفير، وسير عمل للتسجيل التقني، واختبارات البيئة التجريبية، وربط رموز الضرائب، وأدلة تدقيق طويلة الأجل.

التحدي بسيط في وصفه، لكنه صعب في تنفيذه: يجب أن يكون نظام الفوترة قادرًا على إنشاء فواتير وإشعارات إلكترونية يمكن لزاتكا التحقق منها بنجاح من أول مرة.

وهذا يعني أن ملف XML يجب أن يتبع البنية المطلوبة. ويجب أن يتم ربط رموز الفئات الضريبية بشكل صحيح. ويجب تسجيل مجموعة إنشاء الفواتير الإلكترونية EGS بالطريقة الصحيحة. كما يجب إنشاء وربط معرفات الختم التشفيري بشكل دقيق. ويجب اجتياز اختبارات البيئة التجريبية قبل بدء حركة الإنتاج الفعلية.

توضح زاتكا في صفحة نظرة عامة على الفوترة الإلكترونية أن الفوترة الإلكترونية تحول الفواتير والإشعارات الورقية إلى عملية إلكترونية منظمة يتم تبادلها بين البائع والمشتري من خلال حل إلكتروني متكامل. وبالنسبة للمطورين، فإن عبارة “الصيغة الإلكترونية المنظمة” هي المكان الذي يبدأ فيه العمل الحقيقي.

يوضح هذا الدليل المسار التقني لتصميم ملفات XML جاهزة للتدقيق، وإنشاء مفاتيح CSR التشفيرية، واجتياز اختبارات البيئة التجريبية، وتجهيز محركات الفوترة لتكامل نظيف مع منصة فاتورة.

ملاحظة تقنية: هذا المقال مخصص للإرشاد التعليمي في التنفيذ. يجب دائمًا التحقق من إعدادات الإنتاج بالرجوع إلى وثائق زاتكا، ومزود الحل المعتمد، ومزود نظام ERP، وفريق الحوكمة الضريبية الداخلي.

مخطط XML وفق لغة الأعمال العالمية UBL

تعتمد المرحلة الثانية من زاتكا على XML منظم، وليس على تنسيق فواتير عادي أو غير مضبوط.

يجب أن يتبع ملف الفاتورة بنية محددة وفق لغة الأعمال العالمية Universal Business Language. توفر UBL 2.1 نموذج XML قياسيًا للمستندات التجارية الإلكترونية، بينما تضيف زاتكا متطلبات سعودية خاصة بالضرائب، وهوية الفاتورة، والتواقيع، ورموز QR، والتخليص، والإبلاغ، والتحقق.

توضح الإرشادات التقنية التفصيلية للفوترة الإلكترونية الصادرة عن زاتكا القواعد التقنية لإنشاء الفواتير والإشعارات الإلكترونية، بما في ذلك بنية XML، وقواعد الأعمال، والتوقيع الرقمي، وقيم الهاش، وتدفقات الإرسال. وبالنسبة لفرق البرمجيات، فهذا يعني أنه لا يمكن التعامل مع إنشاء الفواتير كعملية تصدير PDF. بل يجب التعامل معه كمسار بيانات مضبوط بالمخطط.

تشمل أسباب رفض XML الشائعة:

أفضل طريقة لتقليل حالات الرفض على مستوى السطر أو البنية هي التحقق محليًا قبل استدعاء نقاط نهاية فاتورة.

لماذا يجب أن يسبق التحقق من UBL 2.1 عملية الإرسال عبر API؟

تختبر كثير من فرق التطوير واجهة API مبكرًا جدًا.

ينشئون XML، ويرسلونه إلى نقطة النهاية، ويتلقون أخطاء، ثم يعدلون حقلًا واحدًا، ويعيدون الإرسال، ويكررون العملية. هذا يستهلك الوقت ويخلق خلطًا بين أخطاء المخطط، وأخطاء قواعد الأعمال، وأخطاء التسجيل التقني.

النموذج التقني الأفضل هو:

تحقق محليًا أولًا. ثم تحقق في البيئة التجريبية. ثم تحقق في بيئة المحاكاة. ثم انتقل إلى الإنتاج.

يجب أن يتحقق الفحص المحلي من: سلامة تكوين XML؛ Namespaces المطلوبة؛ بنية UBL 2.1؛ رمز نوع الفاتورة؛ إجماليات الضريبة؛ حقول المشتري والبائع؛ رموز فئات ضريبة القيمة المضافة؛ عناصر QR عند الحاجة؛ اتساق التوقيع والهاش؛ منطق عداد الفاتورة.

توفر زاتكا حزمة أدوات SDK لمساعدة المطورين والمكلفين على التحقق من الفواتير الإلكترونية، والإشعارات الدائنة، والإشعارات المدينة التي تم إنشاؤها وفق متطلبات الفوترة الإلكترونية. يجب أن تكون هذه الحزمة جزءًا من دورة اختبار المطورين، وليست فحصًا إنتاجيًا في اللحظة الأخيرة.

معايرة مصفوفة رموز الضرائب

قد يكون ملف XML صحيحًا من الناحية التقنية، لكنه يفشل إذا كان ربط الفئة الضريبية خاطئًا.

يجب أن يتم ربط كل خط منتج داخلي، ونوع خدمة، وخصم، وإعفاء، ورسوم بشكل صحيح مع فئات الضرائب المعتمدة لدى زاتكا.

تشمل الرموز الرئيسية:

يؤدي الربط غير الصحيح إلى إشارات امتثال حرجة، لأن XML قد يظهر معالجة ضريبية لا تتطابق مع منطق الفاتورة.

مثال:

بيانات المنتج الرئيسية تقول: معفى من ضريبة القيمة المضافة

رمز الفئة في XML يقول: خاضع للنسبة القياسية

إجمالي الضريبة يقول: 0%

النتيجة: تعارض في التحقق أو خطر تدقيق

لا ينبغي ترك ربط رموز الضرائب للمطورين فقط. فهو يتطلب تعاونًا بين:

•         مراقبي الضرائب؛

•         مالكي بيانات المنتجات الرئيسية؛

•         فرق إعداد ERP؛

•         مزودي البرمجيات؛

•         مراجعي الامتثال.

كيفية بناء مصفوفة موثوقة لرموز فئات ضريبة القيمة المضافة

أنشئ جدول ربط ضريبي مركزي داخل نظام ERP أو طبقة وسيطة للفوترة.

هذا يمنع المطورين من ترميز الفئات الضريبية مباشرة داخل منطق إنشاء الفاتورة.

يجب أن يسحب النظام القوي رموز الفئات الضريبية من بيانات رئيسية مضبوطة، وليس من اختيار يدوي عشوائي أثناء إصدار الفاتورة.

تسلسل تسجيل الجهاز في ثلاث خطوات

جزء رئيسي من الامتثال للمرحلة الثانية من زاتكا في السعودية ZATCA Phase 2 compliance KSA هو تسجيل EGS.

تمثل EGS حل أو جهاز إنشاء الفواتير الإلكترونية الذي ينتج الفواتير الإلكترونية. يجب تحديده، واعتماده، وربطه بشكل صحيح قبل أن يستطيع معالجة معاملات الإنتاج الحقيقية.

تصف إرشادات Microsoft لتسجيل الفوترة الإلكترونية في السعودية عملية التسجيل بأنها الحصول على Compliance CSID، المعروف باسم CCSID، ثم الحصول على Production CSID، المعروف باسم PCSID، لوحدات EGS المتوافقة، وذلك عبر صفحة تسجيل Dynamics 365 Finance في الفوترة الإلكترونية السعودية. وهذا يعكس التسلسل العملي الذي تحتاج الفرق التقنية إلى الاستعداد له: اختبار الامتثال أولاً، ثم تفويض الإنتاج ثانيًا.

يمكن فهم عملية التسجيل في ثلاث خطوات.

الخطوة 1: إنشاء CSR التشفيري محليًا

الخطوة الأولى هي إعداد المفاتيح محليًا.

يقوم الفريق التقني بإنشاء زوج مفاتيح خاص وطلب توقيع شهادة Certificate Signing Request أو CSR. يمثل هذا CSR هوية EGS ويجب أن يتطابق مع الملف التجاري الرسمي وإعداد الجهاز.

هنا تصبح عملية إنشاء CSR التشفيري Cryptographic CSR generation أمرًا حرجًا.

يجب أن تتطابق حقول CSR مع ملف زاتكا التجاري الرسمي وإعدادات EGS. قد يؤدي رقم ضريبة قيمة مضافة غير صحيح، أو اسم مؤسسة خاطئ، أو بيانات فرع غير مطابقة، أو Common Name غير دقيق، أو مرجع جهاز خاطئ إلى فشل التسجيل.

لا تنسخ قيم CSR من أمثلة الاختبار إلى الإنتاج. ولا تعيد استخدام هوية جهاز واحدة عبر أجهزة غير مرتبطة. ولا تعرض المفتاح الخاص داخل السجلات، أو التذاكر، أو رسائل البريد، أو المجلدات المشتركة.

يجب أن يبقى المفتاح الخاص محميًا لأنه يدعم الهوية التشفيرية لجهاز الفوترة.

الخطوة 2: تنفيذ حلقة التحقق في البيئة التجريبية

بعد تجهيز CSR، يجب على الفريق الاختبار في بيئة المطور أو المحاكاة قبل التسجيل الإنتاجي.

الهدف هو الحصول على Compliance Cryptographic Stamp Identifier أو CCSID واستخدامه في اختبارات الامتثال.

يجب أن تشمل حلقة البيئة التجريبية ثلاثة سيناريوهات أعمال على الأقل:

توفر صفحة مطوري الأنظمة لدى زاتكا للمطورين الوصول إلى المواصفات، والأدوات، والموارد التقنية اللازمة لبناء حلول فوترة إلكترونية متوافقة. يجب أن تستخدم فرق البرمجيات هذه الموارد قبل إعلان الجاهزية.

لا تختبر فقط المسار المثالي. اختبر عمليات الاسترداد، والإشعارات الدائنة، والبنود ذات النسبة الصفرية، والبنود المعفاة، والخصومات، والتقريب، وتعدد فئات ضريبة القيمة المضافة، وسير عمل إلغاء الفواتير عند الحاجة.

الخطوة 3: طلب وربط رمز الإنتاج

بعد أن تجتاز EGS اختبار الامتثال، ينتقل الفريق التقني نحو تفويض الإنتاج.

هنا يصبح Production Cryptographic Stamp Identifier أو PCSID نشطًا.

يجب تنفيذ هذه الخطوة ضمن ضوابط إدارة التغيير.

قبل ربط PCSID داخل الإنتاج، تأكد من:

• هوية EGS/الجهاز الصحيحة؛

• ملف التسجيل الضريبي الصحيح؛

• نقطة نهاية البيئة الصحيحة؛

• التخزين الآمن للشهادات؛

• حماية المفتاح الخاص؛

• النسخ الاحتياطي لقاعدة البيانات؛

• خطة التراجع؛

• خطة معاملة اختبارية؛

• تفعيل السجلات والمراقبة.

لا تخلط أبدًا بين بيانات اعتماد البيئة التجريبية، وبيئة المحاكاة، وبيئة الإنتاج.

واحدة من أسرع الطرق لتعطيل التسجيل هي استخدام XML صحيح مع شهادة خاطئة أو نقطة نهاية خاطئة.

بناء ملفات XML جاهزة للتدقيق

ملف XML الجاهز للتدقيق ليس صالحًا فقط في يوم إنشائه. بل يظل مفهومًا، وقابلًا للتتبع، وقابلًا للدفاع عنه بعد سنوات.

وهذا يعني أن النظام يجب أن يؤرشف أكثر من الفاتورة الظاهرة.

قم بتخزين:

تتضمن إرشادات زاتكا التقنية قسمًا خاصًا بتخزين البيانات وأرشفتها، وقد يحتاج المكلفون إلى تقديم الفواتير الإلكترونية المؤرشفة وملفات الإشعارات المرتبطة بها أثناء مراجعة التدقيق. وهذا يجعل الأرشفة جزءًا من تصميم الامتثال، وليس مجرد نشاط نسخ احتياطي لتقنية المعلومات.

ضوابط الإقامة الرقمية للبيانات والأرشفة

إقامة البيانات مهمة أيضًا.

في السعودية، يجب الاحتفاظ بالسجلات الضريبية وسجلات الفوترة الإلكترونية بشكل آمن وأن تكون متاحة للفحص. يجب على الشركات مواءمة بنية التخزين، والوصول، والاحتفاظ مع متطلبات زاتكا وتوقعات حوكمة البيانات في السعودية.

توفر الهيئة السعودية للبيانات والذكاء الاصطناعي توجيهات وطنية لحوكمة البيانات من خلال موارد مثل السياسات الوطنية لحوكمة البيانات، والتي يمكن للمؤسسات استخدامها ضمن تخطيطها الأوسع لحوكمة البيانات. وبالنسبة للفوترة الإلكترونية، يجب أن تضمن الفرق تخزين حمولات XML، والشهادات، وسجلات الفواتير، وسجلات التحقق، ومسارات التدقيق بشكل آمن، وأن يقتصر الوصول إليها على الأشخاص المصرح لهم فقط.

يجب أن تشمل بنية الأرشفة:

• تخزينًا مستضافًا داخل السعودية أو معتمدًا حيثما كان ذلك مطلوبًا؛

• التحكم في الوصول حسب الدور؛

• التشفير أثناء التخزين؛

• التشفير أثناء النقل؛

• سجلات غير قابلة للتعديل؛

• اختبار النسخ الاحتياطي والاسترداد؛

• مواءمة سياسة الاحتفاظ؛

• عملية استرجاع للتدقيق؛

• فصل بيانات الإنتاج عن بيانات الاختبار.

يشير الموجز إلى خط أساس للأرشفة لمدة 10 سنوات. عمليًا، قد تختلف متطلبات الاحتفاظ حسب نوع السجل الضريبي والالتزام القانوني، لذلك يجب على المؤسسات التحقق من فترة الاحتفاظ الدقيقة مع المستشار الضريبي، وإرشادات زاتكا، وقواعد الحوكمة الداخلية. التصميم الأكثر أمانًا هو بناء قدرة احتفاظ طويلة الأجل بدلًا من التخزين قصير المدى فقط.

التحقق المحلي قبل بوابة فاتورة الحية

لا ينبغي للمطورين اكتشاف مشكلات التنسيق عند بوابة فاتورة الحية.

يجب أن يتحقق التحليل المحلي من:

هذا يمنع تحول اختبار نقطة النهاية الحية إلى بيئة تصحيح أخطاء.

أخطاء التسجيل التقني الشائعة

تواجه الفرق التقنية غالبًا تأخيرات لأنها تقلل من تفاصيل التسجيل.

تشمل الأخطاء الشائعة:

يمكن منع معظم هذه المشكلات من خلال قائمة تحقق منظمة للتسجيل.

لماذا يهم التدريب للفرق التقنية؟

تكامل زاتكا ليس مهمة مطور فقط.

إنه يمس هندسة المؤسسات، وقواعد الضرائب، وتصميم قواعد البيانات، وإدارة الشهادات، واختبار البرمجيات، ومراقبة العمليات، والاستعداد للتدقيق.

قد يفهم المطور XML لكنه لا يفهم قواعد فئات ضريبة القيمة المضافة. وقد يفهم مراقب الضرائب فئات ضريبة القيمة المضافة لكنه لا يفهم إنشاء CSR. وقد يفهم مهندس الأنظمة تخزين الشهادات لكنه لا يفهم سير عمل التخليص مقابل الإبلاغ.

لهذا السبب، يساعد التعلم المنظم من خلال دورة الامتثال للفوترة الإلكترونية وفق زاتكا المرحلة الثانية الفرق على بناء لغة تقنية مشتركة. فالقيمة ليست فقط في معرفة القواعد. بل في معرفة كيف تظهر هذه القواعد داخل ملفات XML، وتسجيل API، ودورة حياة الشهادات، وسجلات التحقق، وعمليات الفوترة الإنتاجية.

عندما تفهم الفرق النظام بالكامل، تقل الإصلاحات المتسرعة وتصبح التكاملات أكثر مرونة.

قائمة تحقق تقنية قبل التشغيل الحي

قبل الانتقال إلى الإنتاج، تأكد مما يلي:

يجب مراجعة هذه القائمة مع مالكي تقنية المعلومات، وERP، والضرائب، والامتثال معًا.

الخلاصة

إن التعامل مع تكامل زاتكا كتحديث برمجي سطحي يعرض المؤسسة لمخاطر تشغيلية كبيرة.

من أجل الامتثال للمرحلة الثانية من زاتكا في السعودية ZATCA Phase 2 compliance KSA، يجب أن يكون محرك الفوترة قادرًا على إنشاء XML منظم، والتحقق من قواعد مخطط UBL 2.1، وربط رموز فئات ضريبة القيمة المضافة بدقة، وتسجيل كل EGS بشكل صحيح، وحماية الشهادات التشفيرية، واجتياز سيناريوهات البيئة التجريبية، وأرشفة كل سجل حرج لأدلة التدقيق المستقبلية.

المسار الأكثر أمانًا هو التنفيذ التقني المنضبط: بناء ربط XML نظيف، ومعايرة رموز الضرائب، وإنشاء CSR محليًا، والاختبار في البيئة التجريبية، والحصول على CCSID، والانتقال إلى PCSID فقط بعد تحقق نظيف، وحماية جميع بيانات اعتماد الإنتاج ضمن حوكمة صارمة.

الخبرة الداخلية المعتمدة هي ما يفرق بين تكامل هش ومحرك فوترة جاهز للتدقيق.

من خلال دورة الامتثال للفوترة الإلكترونية وفق زاتكا المرحلة الثانية، يمكن للفرق التقنية وفرق الامتثال بناء المعرفة المشتركة اللازمة للحفاظ على الأنظمة قوية وآمنة ومهيأة بالكامل لمستقبل الامتثال الضريبي الرقمي.