Zarządzanie dostępem do KSeF. Jak ograniczyć ryzyko?

Nadawanie pracownikom indywidualnych uprawnień do KSeF, pozwalających na dostęp z dowolnego miejsca i urządzenia, istotnie zwiększa ryzyko naruszeń bezpieczeństwa. Takie uprawnienia nie wygasają wraz z zakończeniem zatrudnienia – do momentu ich formalnego odebrania były pracownik może nadal mieć dostęp do danych sprzedażowych i zakupowych firmy oraz wystawiać faktury w jej imieniu. Jaki model dostępu do KSeF wybrać, aby ograniczyć ryzyko?

Zarządzanie dostępem do KSeF. Jak ograniczyć ryzyko?

Nadawanie uprawnień do korzystania z KSeF – rodzaje uprawnień, procesy i modele »

Bezpośredni dostęp pracowników do KSeF - ryzyka

Bezpośredni dostęp pracowników do KSeF, polegający na nadawaniu im indywidualnych uprawnień na NIP lub PESEL, jest modelem rekomendowanym w materiałach Ministerstwa Finansów oraz przez część dostawców oprogramowania. Umożliwia on pracownikom podatnika lub biura rachunkowego samodzielne logowanie się do KSeF w kontekście podmiotu lub klienta z dowolnego miejsca i przy użyciu dowolnego narzędzia, w tym także rozwiązań udostępnianych bezpłatnie przez administrację publiczną.

Takie rozwiązanie niesie jednak istotne ryzyka bezpieczeństwa, ponieważ dostęp realizowany poza kontrolowanym środowiskiem firmowym zwiększa prawdopodobieństwo naruszeń. Dla podatnika kluczowe zagrożenie stanowi utrata kontroli nad dostępem do własnych danych zakupowych i sprzedażowych w KSeF, szczególnie w sytuacji zbyt szerokiego lub nieprzemyślanego nadania uprawnień wielu osobom.

Szczególnie niebezpieczne jest przyznanie pracownikowi – wewnętrznemu lub biura rachunkowego – prawa do nadawania i odbierania uprawnień, co umożliwia dalsze ich przekazywanie bez odrębnej zgody podatnika.

Model personalnych uprawnień wymaga więc wdrożenia precyzyjnych procedur kontrolnych i szybkiego reagowania, zwłaszcza w przypadku zakończenia lub przerwy we współpracy z pracownikiem. Kluczowe jest niezwłoczne odbieranie dostępu w KSeF, ponieważ uprawnienia te nie wygasają automatycznie wraz z zakończeniem zatrudnienia. Samo zablokowanie dostępu do sprzętu czy systemów firmowych jest niewystarczające – osoba posiadająca aktywne uprawnienia w KSeF może nadal działać w systemie z dowolnego miejsca i urządzenia.

Puste faktury i konsekwencje podatkowe

Najpoważniejszym zagrożeniem ze strony byłego pracownika jest możliwość wystawienia fikcyjnych faktur w imieniu byłego pracodawcy. Puste faktury – dokumenty wykazujące VAT, za którymi nie stoi żadne rzeczywiste świadczenie – wywołują poważne skutki podatkowe, karnoskarbowe i wizerunkowe. Wystawca odpowiada za nie jako osoba fizyczna, jednak to pracodawca może zostać obciążony obowiązkiem zapłaty podatku wykazanego w takim dokumencie.

W wyroku z 3 września 2024 r. Naczelny Sąd Administracyjny potwierdził, że pracodawca może uniknąć odpowiedzialności z art. 108 ustawy o VAT tylko wówczas, gdy dochował należytej staranności w nadzorowaniu czynności wystawiania faktur przez pracowników. Analogiczne stanowisko zajął Trybunał Sprawiedliwości UE w orzeczeniu ze stycznia 2024 r. Innymi słowy: samo powołanie się na to, że „to pracownik wystawił fakturę bez naszej wiedzy", nie jest wystarczające. Firma musi wykazać, że miała wdrożone procedury kontrolne i faktycznie je stosowała.

Niedopełnienie obowiązku nadzoru nad przestrzeganiem przepisów w firmie może skutkować grzywną za wykroczenie skarbowe. Osoby kierujące firmą mogą zostać pociągnięte do odpowiedzialności karnoskarbowej za to, że w kierowanych przez nie podmiotach nie zostały przygotowane, wdrożone albo nie były efektywnie stosowane procesy zabezpieczające przed niewłaściwym działaniem pracownika czy byłego pracownika (również tymi zamierzonymi, „odwetowymi”).

Jaki model zarządzania dostępem do KSeF wybrać

Pracownik może korzystać z KSeF jedynie wówczas, gdy ma dostęp do oprogramowania pracodawcy (czy to lokalnie, czy zdalnie, po przejściu procesu uwierzytelniania, dokładnie tak samo, jak czynił to od lat). Natomiast zablokowanie mu dostępu na poziomie firmowym automatycznie i całkowicie zamyka mu dostęp do kontekstu pracodawcy w KSeF.

Oprac. Katarzyna Bogucka

REDAKCJA INFORLEX