Pomysły na integrację w KSeF i bezpieczna organizacja
Warto omówić także to, jakie mamy możliwości w Krajowym Systemie e-Fakturowania, jeżeli chodzi o integrację. W tym zakresie można wskazać na dwa podstawowe pomysły:
- Zaimplementowanie integracji w systemie ERP,
- Zewnętrzny komponent integracyjny.
Pierwszym z rozwiązań jest zaimplementowanie/zaszycie logiki związanej z integracją z KSeF bezpośrednio w systemie ERP. To w wielu przypadkach może być bardzo dobrym rozwiązaniem – przede wszystkim w przypadkach, jeżeli dysponujemy tylko jednym systemem i wysyłamy fakturę tylko z jednego systemu bądź odbieramy faktury w jednym systemie. Wówczas taki pomysł może być optymalnym rozwiązaniem. Natomiast w tym wypadku należy uwzględnić taki jeden aspekt, że nie we wszystkich systemach łatwo implementuje się kwestie związane z kryptografią, szyfrowaniem oraz tego typu operacjami. Wobec tego niektóre systemy mogą po prostu wymagać dużo większych nakładów pracy, jeżeli będziemy robić wewnątrz tych systemów.
Natomiast drugą opcją jest tworzenie integratora, który jest elementem zewnętrznym względem systemu i w ramach tego integratora zaszycie logiki, która to logika służy do komunikacji z KSeF. Wówczas nasz system ERP za pośrednictwem takiego pośrednika będzie komunikował się i ,,rozmawiał” z KSeF-em. Jest to na pewno świetne rozwiązanie, wtedy kiedy posiadamy więcej niż jeden system, bo dzięki takim rozwiązaniu omawiana logika związana z komunikacją z KSeF-em znajduje się w jednym miejscu. Wobec tego, jeżeli Ministerstwo wprowadzi zmiany – to my te zmiany wprowadzamy w jednym miejscu i staramy się tak hermetyzować całą operację wysyłki/odbioru, aby pozostałe systemy były tego po prostu tego nieświadome.
Dzięki temu zaoszczędzamy całkiem spore zasoby IT na to, żeby wprowadzać modyfikacje. To, co też przy okazji takiego integratora warto rozważyć, to zabezpieczenie się przed wysłaniem danej faktury więcej niż raz. Jeżeli wysyłamy je z jednego systemu i sesją interaktywną (bądź nawet sesją wsadową) i przez przypadek w sesji wsadowej będziemy mieli dokładnie dwie te same faktury, to wtedy KSeF to wykryje i odrzuci całą paczkę. Jeżeli wysyłamy sesję interaktywną i wyślemy dwa razy tą samą fakturę w ramach tej samej sesji, to KSeF to wykryje i odrzuci tą drugą fakturę.
Natomiast jeżeli wyślemy w sesji interaktywnej taką samą fakturę kolejnego dnia w innej sesji, to wówczas już nam tego KSeF nie wykryje. Gdyby się natomiast zdarzyło, że dwa systemy z jakiegoś powodu mają tą samą fakturę i próbują ją wysłać w dwóch różnych sesjach lub w różnych datach – to wtedy może się zdarzyć, że ta sama faktura zostanie wysłana do KseF dwukrotnie. To zaś będzie oznaczało jakby została ona wystawiona dwukrotnie – czyli dwa razy będziemy mieli obowiązek podatkowy. Wobec tego, robiąc taki integrator i mając wiele systemów możemy to zabezpieczyć – na przykład sprawdzając, czy ta faktura już nie została wysłana (nie w danej sesji, tylko czy w ogóle) i po prostu eliminując faktury, które mogłyby stanowić duplikaty. W tym przypadku można także oczywiście zawrzeć pewną logikę walidacyjną (merytoryczną, techniczną) i sprawdzać, czy dany dokument jest prawidłowy. Możemy wtedy nie wysyłać dokumentu, jeżeli wiemy, że on nie jest zgodny ze schematem. Dokładnie taką samą walidację robimy po swojej stronie.
Zaletą tego pomysłu jest to, że nie musimy czekać na to, aż Ministerstwo nam wskaże, że dana faktura jest nieprawidłowa, podczas gdy możemy to sprawdzić samodzielnie. Co więcej, jeżeli Ministerstwo nam wskaże, że dana faktura jest nieprawidłowa, to wówczas nie mamy od razu informacji dlaczego jest ona zła, natomiast robiąc walidacje po schemacie XML-owym wiemy dokładnie, w którym polu występuje błąd i jak wygląda problem. Wiemy także co powinniśmy zmienić, bo na przykład występuje za długa informacja pisana, albo NIP jest w niewłaściwym formacie, albo kwota nie jest liczbą czy też tego typu błędy. To wszystko możemy sprawdzić sami i zanim wyślemy fakturę już będziemy wiedzieć, że w ogóle nie ma sensu jej dalej procesować.
Bezpieczna organizacja
Jeśli chodzi natomiast ogólnie o kwestie bezpieczeństwa oraz o to, w jaki sposób postępować z KSeF, to jednym z najlepszych sposobów radzenia sobie z kwestiami bezpieczeństwa i dostępności/poufności danych jest przeprowadzenie analizy ryzyka. Polega to na rozważeniu i zbadaniu tego, co złego może się wydarzyć w mojej organizacji i na każdy z tych elementów, który może się wydarzyć albo zastosować od razu jakieś zabezpieczenie, albo przynajmniej przeanalizować, pomyśleć co wtedy zrobię. Polega to także na ustaleniu tego, jeżeli coś się wydarzy, to jak będę sobie wtedy radził, w jaki sposób odzyskam moje dane i jak zadziałam, żeby moja firma mogła pracować. Jeżeli utracę możliwość wysyłania faktur, bo np. stracę wszystkie tokeny, a pieczęć zgubię, podpisy elektroniczne się skończą i nie będę mógł się zalogować – to co wówczas zrobię w takiej sytuacji? Jakie postępowanie podejmę mając odpowiednie przepisy i procedury, w przypadku kiedy coś się wydarzy?
Analiza obejmuje rozważenie także tego, czy to jest problem techniczny, czy to jest problem prawny związany z ochroną i bezpieczeństwem danych. W takim wypadku mogę taką procedurę odszukać i postępować według kroków, które przygotowałem wcześniej. Wobec tego, w sytuacji stresowej jest to dużo ułatwienie, kiedy mam przetestowaną sytuację i wiem, w jaki sposób chciałbym sobie z nią radzić. Wówczas po prostu wykonuje tę procedurę i wiem, że taki problem już kiedyś przemyślałem. Wtedy robię krok po kroku według planu i jak skończę procedurę, to będę miał zdolność do dalszego działania i do dalszego prowadzenia działalności.
Warto też tworząc takie rozwiązania czy też zatrudniając podmioty, które mają dla nas takie rozwiązanie wykonać, zatroszczyć się o to, żeby dopytać o pewne elementy. Są to takie elementy jak to, czy te firmy, czy ci dostawcy spełniają pewne standardy. Na przykład jeden z najbardziej znanych standardów związanych z bezpieczeństwem stanowią certyfikacje ISO z ,,rodziny 27 tysięcy” – np. ISO 27002. Wówczas mogą występować właściwe firmy certyfikowane i mogą one posiadać takie certyfikaty. Świadczy to o tym, że taka firma chciała i zrobiła certyfikat i ktoś to poświadczył, że faktycznie posiada właściwe procedury i pracuje tak, aby zasłużyć na miano podmiotu, który działa bezpiecznie.
Planowane zmiany
Wiemy także na pewno, że w najbliższym czasie będą zmiany w API. W samym API jako takim już się nieco zmieniło, już wiemy jakie zmiany nas czekają. Natomiast w przyszłości jeszcze nie wiemy co dokładnie w API się zmieni – oprócz tego, że wiemy, że pewne nowe elementy dojdą do API. Natomiast prawdopodobnie zmieni się też sposób uwierzytelniania na bardziej standardowy. Na dzień dzisiejszy Ministerstwo nie opublikowało jeszcze pełnej listy potencjalnych zmian.
To, co mamy w tej chwili to jest rozwiązanie mocno ,,customowe” i nieoparte na standardach powszechnie dostępnych rynkowo. Z uwagi na to Ministerstwo prawdopodobnie zmieni to i dostosuje zmiany do tego, żeby stanowiło to bardziej rozwiązanie standardowe – np. takie jest wykorzystywane choćby w paragonach. Wobec tego w niedalekiej przyszłości ewidentnie czekają nas zmiany. Jeżeli ktoś już zaczął pracę i już implementuje określone fragmenty, to musi być przygotowany na to, że na pewno pewne elementy w przyszłości tutaj będzie musiał modyfikować. Najprawdopodobniej zmianom ulegną mechanizmy autoryzacji używane przy integracji systemów.
Dołącz do Programu „KSeF PRO”, poznawaj go z ekspertami Programu i wdrażaj sprawnie i bezpiecznie Program KSeF PRO
