المواصفات الفنية والمرجع المعماري لمنظومة الفوترة الإلكترونية السعودية (فاتورة)

1. الإطار التشريعي والمرحلتان التنظيميتان

أُقرّت منظومة الفوترة الإلكترونية في المملكة العربية السعودية — والمعروفة رسمياً باسم منظومة «فاتورة» (Fatoora) — بموجب قرار مجلس إدارة هيئة الزكاة والضريبة والجمارك (الهيئة العامة للزكاة والدخل سابقاً) رقم (2-6-20) وتاريخ 19 ربيع الآخر 1442هـ الموافق 4 ديسمبر 2020م، وتبعتها في 28 مايو 2021م وثيقة «الضوابط والمتطلبات والمواصفات الفنية والقواعد الإجرائية اللازمة لتنفيذ أحكام لائحة الفوترة الإلكترونية».

تسري اللائحة على جميع المكلفين المقيمين الخاضعين لضريبة القيمة المضافة في المملكة (وأي طرف ثالث يصدر فواتير ضريبية نيابةً عنهم)، ويُطبق الإلزام عبر مرحلتين رئيسيتين:

• المرحلة الأولى — مرحلة الإصدار والحفظ (Generation Phase)، دخلت حيز النفاذ في 4 ديسمبر 2021م: أوقفت إصدار الفواتير اليدوية أو المكتوبة عبر برامج تحرير النصوص غير المهيكلة، وألزمت المكلفين بإصدار وحفظ الفواتير الضريبية والفواتير الضريبية المبسطة والإشعارات الدائنة والمدينة إلكترونياً عبر نظام فوترة متوافق، مع تضمين رمز استجابة سريعة (QR Code) مشفر بصيغة (TLV Base64) يحتوي على خمسة وسوم أساسية (الوسوم 1 إلى 5).
• المرحلة الثانية — مرحلة الربط والتكامل (Integration Phase)، دخلت حيز النفاذ في 1 يناير 2023م على مجموعات متتالية: تُلزم بربط أنظمة الفوترة الإلكترونية الخاصة بالمكلفين مباشرةً مع منصة «فاتورة» التابعة للهيئة عبر واجهات برمجة التطبيقات (APIs)، وإصدار الفواتير بصيغة XML المطابقة لمعيار OASIS UBL 2.1 (ISO/IEC 19845:2015)، وتطبيق التسلسل التشفيري لمنع التلاعب عبر تضمين تجزئة الفاتورة السابقة (PIH) بخوارزمية SHA-256، وتوقيع كل فاتورة بختم تشفيري رقمي (CSID) مبني على المنحنى الإهليلجي secp256k1، مع إضافة أربعة وسوم تشفيرية جديدة لرمز الاستجابة السريعة (الوسوم 6 إلى 9).

2. تصنيف الفواتير ونماذج الاعتماد والإبلاغ

وفقاً للمادة (53) من اللائحة التنفيذية لنظام ضريبة القيمة المضافة وقاموس بيانات الفوترة الإلكترونية، تُصنف الوثائق الضريبية إلكترونياً عبر عنصر cbc:InvoiceTypeCode (قائمة رموز UN/CEFACT 1001) والسمة الفرعية المكونة من سبعة محارف name="NNPNESB":

3. معمارية OASIS UBL 2.1 وسلسلة التجزئة (PIH)

تُبنى كل فاتورة إلكترونية في المرحلة الثانية بصيغة XML بترميز UTF-8 (دون علامة ترتيب البايت BOM) وفق مخطط OASIS UBL 2.1 (راجع دليل مخطط XML التفصيلي). ولمنع الحذف اللاحق أو تعديل الفواتير الصادرة، يلتزم كل جهاز أو وحدة إصدار فواتير إلكترونية (EGS) بسجل تسلسلي غير قابل للتراجع يرتكز على ثلاثة عناصر إلزامية:

1. المعرف الفريد العالمي (UUID — KSA-1 / cbc:UUID): معرف فريد من الإصدار الرابع (RFC 4122 UUID v4) يميز كل وثيقة ضريبية على مستوى السجل الوطني.
2. عداد الفواتير التسلسلي (ICV — KSA-16): رقم صحيح متزايد غير قابل لإعادة الضبط (1, 2, 3, ...) لكل وحدة تقنية.
3. تجزئة الفاتورة السابقة (PIH — KSA-13): بصمة SHA-256 المشفرة بصيغة Base64 لملف XML الخاص بالفاتورة السابقة مباشرةً على نفس الوحدة التقنية. وفي الفاتورة الأولى (ICV = 1) لأي جهاز جديد، تنص المواصفات القياسية على استخدام تجزئة SHA-256 للمحرف النصي "0":

<!-- Genesis Previous Invoice Hash (PIH for ICV = 1: Base64(Hex(SHA-256("0")))) -->
<cac:AdditionalDocumentReference>
  <cbc:ID>PIH</cbc:ID>
  <cac:Attachment>
    <cbc:EmbeddedDocumentBinaryObject mimeCode="text/plain">NWZlY2ViNjZmZmM4NmYzOGQ5NTI3ODZjNmQ2OTZjNzljMmRiYzIzOWRkNGU5MWI0NjcyOWQ3M2EyN2ZiNTdlOQ==</cbc:EmbeddedDocumentBinaryObject>
  </cac:Attachment>
</cac:AdditionalDocumentReference>

<!-- Monotonic Invoice Counter Value (ICV) -->
<cac:AdditionalDocumentReference>
  <cbc:ID>ICV</cbc:ID>
  <cbc:UUID>1</cbc:UUID>
</cac:AdditionalDocumentReference>

ولحساب البصمة التشفيرية للفاتورة الحالية (KSA-14)، يقوم النظام باستثناء عقدة التوقيع <ext:UBLExtensions> وعقدة <cac:Signature> وعقدة رمز الاستجابة السريعة QR عبر تعبيرات XPath، ثم يطبق معيار التطبيع القياسي W3C Canonical XML 1.1 (C14N11)، ويحسب تجزئة SHA-256 الثنائية (32 بايت) قبل تحويلها إلى Base64.

4. الختم التشفيري (CSID) والبنية التحتية للمفاتيح العامة

تعتمد هيئة الزكاة والضريبة والجمارك خوارزمية التوقيع الرقمي بالمنحنيات الإهليلجية ECDSA على المنحنى secp256k1 (معرف الكائن القياسي 1.3.132.0.10) مع دالة التجزئة SHA-256 (ecdsa-with-SHA256). وتمر كل وحدة إصدار فواتير إلكترونية (EGS) بدورة تهيئة تشفيرية من مرحلتين:

• توليد طلب توقيع الشهادة (CSR): تُنشئ الوحدة زوج مفاتيح secp256k1 محلياً وتبني طلب توقيع شهادة بمعيار PKCS#10 يتضمن حقول X.509v3 المخصصة للهيئة داخل الاسم البديل للموضوع (SAN): الرقم التسلسلي للوحدة (1-Vendor|2-Version|3-UUID)، الرقم الضريبي المكون من 15 رقماً (UID)، قناع أنواع الفواتير المدعومة (1100 للقياسية والمبسطة معاً)، عنوان الفرع، والنشاط الاقتصادي.
• شهادة الامتثال التشفيرية (CCSID): باستخدام رمز تحقق لمرة واحدة (OTP) مكون من 6 أرقام من بوابة فاتورة، يُرسل طلب CSR إلى واجهة الامتثال لإصدار شهادة اختبارية تُستخدم للتحقق من فواتير وإشعارات الاختبار القياسية والمبسطة.
• شهادة الإنتاج التشفيرية (PCSID): بعد اجتياز فحوصات الامتثال، تُصدر الهيئة شهادة الإنتاج النهائية X.509v3 (PCSID) التي تُستخدم لمصادقة طلبات واجهة برمجة التطبيقات وتضمين تواقيع ETSI XAdES-EPES داخل كتلة <ext:UBLExtensions>.

5. المواصفات الثنائية لرمز الاستجابة السريعة TLV (الوسوم 1–9)

لا يُشفر رمز الاستجابة السريعة (QR Code) في منظومة فاتورة كنص عادي أو رابط ويب، بل يُبنى كمصفوفة بايتات ثنائية بصيغة الوسم-الطول-القيمة (Tag-Length-Value - TLV) ثم تُحول المصفوفة الثنائية بالكامل إلى سلسلة Base64 (راجع دليل ترميز رمز QR). ويتكون كل حقل من بايت واحد لرقم الوسم (0x01–0x09)، يليه طول القيمة بالبايتات، ثم بايتات القيمة الخام:

6. مجموعات الإلزام بالربط والتكامل (المجموعات 1–24)

تُشعر هيئة الزكاة والضريبة والجمارك كل مجموعة من المكلفين قبل ستة أشهر على الأقل من تاريخ إلزامهم بالربط والتكامل في المرحلة الثانية بناءً على إجمالي الإيرادات السنوية الخاضعة لضريبة القيمة المضافة بالريال السعودي:

7. المراجع النظامية والمعايير القياسية

1. هيئة الزكاة والضريبة والجمارك (ZATCA): لائحة الفوترة الإلكترونية، الصادرة بقرار مجلس الإدارة رقم (2-6-20) وتاريخ 19/04/1442هـ الموافق 4 ديسمبر 2020م، الرياض، المملكة العربية السعودية.
2. هيئة الزكاة والضريبة والجمارك (ZATCA): الضوابط والمتطلبات والمواصفات الفنية والقواعد الإجرائية اللازمة لتنفيذ أحكام لائحة الفوترة الإلكترونية، 28 مايو 2021م وتعديلاتها.
3. هيئة الزكاة والضريبة والجمارك (ZATCA): معيار تطبيق الفاتورة الإلكترونية بصيغة XML وقاموس البيانات (Electronic Invoice XML Implementation Standard & Data Dictionary) ومعيار تطبيق المواصفات الأمنية.
4. ISO/IEC 19845:2015 / OASIS UBL 2.1: Information technology — OASIS Universal Business Language version 2.1 (UBL v2.1).
5. W3C XML-C14N11: Canonical XML Version 1.1, W3C Recommendation, 2 May 2008.
6. ETSI EN 319 132-1: Electronic Signatures and Infrastructures (ESI); XAdES digital signatures.