دليل الربط مع الفوترة الإلكترونية (ZATCA) في السعودية 2026: كل ما تحتاج معرفته

الفوترة الإلكترونية: القصة باختصار

الهدف النهائي للهيئة هو القضاء على الفواتير اليدوية، والتستر التجاري، والاقتصاد الخفي. لتحقيق ذلك، قسمت المشروع لمرحلتين:

تفاصيل "أمواج" المرحلة الثانية (Waves)

لم تطبق الهيئة المرحلة الثانية على الجميع دفعة واحدة، بل قسمتها لـ "أمواج" بناءً على إيرادات المنشأة الخاضعة للضريبة.

• الموجة 1: إيرادات +3 مليار ريال (بدأت 2023).
• الموجة 12 (نحن هنا الآن): المنشآت التي تتجاوز إيراداتها 5 ملايين ريال. (تحديث 2026: الهيئة بدأت بإشعار المنشآت الأصغر تدريجياً).

الجانب التقني: للمطورين ومدراء الـ IT

إذا كنت تبني نظاماً داخلياً أو مبرمجاً، فهذا ما يجب أن تعرفه. الربط ليس مجرد إرسال PDF، بل هو عملية تشفير معقدة.

1. صيغة الفاتورة (XML UBL 2.1)

الفاتورة الحقيقية هي ملف XML يحتوي على مئات الحقول (اسم المشتري، الرقم الضريبي، تفاصيل السلعة). هذا الملف يتم "تضمينه" (Embedded) داخل ملف PDF المرئي للمستخدم، وليس العكس.

2. الخصائص الأمنية (Security Features)

• UUID: معرف فريد عالمياً لكل فاتورة.
• Cryptographic Stamp (الختم الرقمي): توقيع إلكتروني يضمن عدم التلاعب بالفاتورة.
• Hash Chain: كل فاتورة تحتوي على "Hash" للفاتورة السابقة. هذا يعني أنك لا تستطيع حذف فاتورة رقم 50 دون أن تكسر السلسلة وتكشفك الهيئة فوراً.
• QR Code المشفر: ليس رابط موقع، بل كود Base64 يحتوي على (اسم البائع، الرقم الضريبي، الوقت، المبلغ، والهاش) بصيغة TLV (Tag-Length-Value).

3. خطوات الربط مع API (Onboarding)

1. طلب OTP: من بوابة "فاتورة" باستخدام رقم الجوال المسجل في أبشر.
2. إصدار CSR: إنشاء طلب توقيع شهادة (Certificate Signing Request) من السيرفر الخاص بك.
3. الحصول على CSID: الهيئة ستعطيك "شهادة رقمية" (Compliance CSID) لاختبار النظام.
4. الاختبارات (Compliance Checks): يجب أن تجتاز مجموعة من اختبارات الفواتير (فاتورة صحيحة، فاتورة دائنة، فاتورة مدينة).
5. الإنتاج (Production CSID): بعد النجاح، تحصل على الشهادة النهائية للبدء الفعلي.

قائمة الغرامات: التكلفة الباهظة للإهمال

الهيئة لا تتساهل مع المخالفين. الغرامات تصاعدية وقد تصل لإغلاق النشاط.

• عدم إصدار فاتورة إلكترونية: تبدأ من 5,000 ريال وتصل إلى 50,000 ريال.
• عدم حفظ الفواتير: غرامة تبدأ من 5,000 ريال.
• التلاعب بالفواتير (حذف أو تعديل بعد الإصدار): غرامة تبدأ من 10,000 ريال وتعتبر تهرباً ضريبياً قد يحول للنيابة العامة.
• استخدام نظام غير مطابق: إذا اكتشفت الهيئة أن نظامك يسمح بتعديل الفواتير أو لا يربط معها، الغرامة تصل لـ 50,000 ريال.

متطلبات الفاتورة المبسطة (B2C) vs الضريبية (B2B)

هناك خلط كبير بينهما.

1. الفاتورة الضريبية (Tax Invoice):
   • بين منشأة ومنشأة (B2B).
   • يجب أن تحتوي على عنوان المشتري ورقمه الضريبي.
   • يتم إرسالها للهيئة للموافقة عليها (Clearance) قبل إعطائها للعميل.
2. الفاتورة المبسطة (Simplified Invoice):
   • بين منشأة وفرد (B2C - سوبرماركت، مطعم).
   • لا تتطلب بيانات المشتري التفصيلية.
   • تعطى للعميل فوراً، ويرسل تقرير للهيئة خلال 24 ساعة (Reporting).

خارطة الطريق التقنية للمطورين (The Developer Roadmap)

إذا كنت المطور المسؤول عن الربط، إليك الخطوات بالتفصيل الممل:

1. توليد مفاتيح التشفير (Key Generation)

استخدم OpenSSL لتوليد مفتاح خاص (Private Key) ومفتاح عام (Public Key).

• المعيار: ECDSA (Elliptic Curve Digital Signature Algorithm) باستخدام منحنى secp256k1.
• تنبيه: المفتاح الخاص يجب أن يحفظ في مكان آمن جداً (HSM أو Key Vault) ولا يغادر السيرفر أبداً.

2. إنشاء ملف CSR

قم بإنشاء طلب توقيع شهادة (CSR) يحتوي على بيانات المنشأة بدقة (الاسم، الرقم الضريبي، العنوان).

• config.cnf: تأكد من استخدام ملف تكوين (Configuration File) يطابق معايير ZATCA الحرفية (OID extensions).

3. التوقيع (Signing)

بعد الحصول على الشهادة من الهيئة، ستستخدم مفتاحك الخاص لتوقيع "هاش" الفاتورة. التوقيع يوضع في عقدة UBL extensions.

4. الإرسال (Submission)

• استخدم endpoint compliance للتجارب.
• استخدم endpoint reporting للفواتير المبسطة (B2C).
• استخدم endpoint clearance للفواتير الضريبية (B2B).

أكواد الأخطاء الشائعة وحلها

أثناء التجارب، ستواجه هذه الأخطاء كثيراً. لا تقلق، إليك الحل:

استراتيجية العمل "أوفلاين" (Offline Strategy)

الانترنت قد ينقطع، لكن البيع يجب أن يستمر. كيف تضمن الامتثال؟

1. التخزين المحلي: يجب أن يخزن نظامك الفواتير محلياً مع التوقيع والهاش.
2. التسلسل: استمر في توليد الهاش بناءً على آخر فاتورة (حتى لو لم ترسل للهيئة بعد).
3. المزامنة: بمجرد عودة الانترنت، يجب أن يقوم النظام "تلقائياً" (Background Job) بإرسال الفواتير المتراكمة بالترتيب الصحيح.
4. الحد الزمني: لديك 24 ساعة فقط للإبلاغ عن الفواتير المبسطة. تجاوزها قد يعرضك للمساءلة.

دراسة حالة: لماذا يفشل الربط؟ (Lessons Learned)

من واقع تجربتنا مع عملاء حاولوا الربط وفشلوا قبل الاستعانة بنا:

1. تجاهل "التايم زون" (Timezone):
   • الخطأ: السيرفر مضبوط على توقيت UTC، والفاتورة تخرج بتوقيت الرياض.
   • النتيجة: رفض الفواتير لأن التوقيت في الـ QR Code لا يطابق توقيت إصدار الفاتورة.
2. حقول العنوان الناقصة:
   • الخطأ: عدم تعبئة "رقم المبنى" أو "الرمز البريدي" للعميل في الفواتير الضريبية.
   • النتيجة: رفض الفاتورة من الهيئة (Validation Error).
3. تغيير المفاتيح دون تحديث:
   • الخطأ: المبرمج يقوم بتجديد الـ CSID وينسى تحديث المفتاح الخاص في ملف التكوين.
   • النتيجة: توقف النظام بالكامل عن العمل.

كيف نساعدك في أنزافورج؟

الربط مع ZATCA عملية تقنية دقيقة. خطأ واحد في التشفير قد يوقف صدور فواتيرك ويشل عملك.

في أنزافورج، نقدم حلول ربط مخصصة (Custom Integration):

1. ربط أنظمتك الحالية (ERPs): نطور وسيطاً (Middleware) لربط نظامك القديم مع الهيئة دون الحاجة لاستبداله.
2. بناء أنظمة فوترة خاصة: نصمم لك نظام فوترة مفصل على مقاس عملك ومتوافق 100% مع متطلبات الهيئة.
3. استشارات الامتثال: نراجع دورتك المستندية للتأكد من خلوها من الثغرات القانونية.