Odświeżanie uprawnień do KSeF przy zmianach kadrowych 

Zarządzanie uprawnieniami do Krajowego Systemu e-Faktur (KSeF) stanowi jeden z kluczowych elementów bezpieczeństwa operacyjnego w organizacjach. Zmiany kadrowe, takie jak odejścia pracowników, zmiana stanowiska czy reorganizacja działów, wymagają niezwłocznego przeglądu i aktualizacji nadanych dostępów, aby zapobiec nieautoryzowanemu dostępowi do danych wrażliwych.

Rodzaje uprawnień

W KSeF rozróżnia się kilka typów uprawnień:

• pełne uprawnienia (np. do wystawiania faktur),
  
• uprawnienia do nadawania kolejnych uprawnień (delegowanie),
  
• dostęp tylko do odczytu (np. dla działu księgowości lub zewnętrznych audytorów).
  

Uprawnienia nadawane są za pomocą tokenów autoryzacyjnych lub przez system e-Urząd Skarbowy / Aplikację Podatnika KSeF. Osoby uprawnione mogą dodawać lub odbierać dostęp użytkownikom reprezentującym daną firmę.

Kiedy aktualizować uprawnienia?

Uprawnienia powinny być natychmiast weryfikowane i aktualizowane w przypadkach takich jak:

• odejście pracownika (rozwiązanie umowy),
  
• awans lub zmiana działu (zmiana zakresu obowiązków),
  
• zakończenie współpracy z biurem rachunkowym lub wykonawcą IT,
  
• rotacja wśród osób z dostępem administracyjnym.
  

Warto wdrożyć procedurę offboardingu, która obejmuje:

1. Dezaktywację tokenów lub kont użytkownika w systemach ERP powiązanych z KSeF.
   
2. Cofnięcie nadanych uprawnień z poziomu Aplikacji Podatnika lub API.
   
3. Dokumentację zmiany – np. w formie protokołu.
   

Dobre praktyki

• Regularne audyty dostępów – np. raz na kwartał, sprawdzenie, kto ma aktywny dostęp i w jakim zakresie.
  
• Centralizacja zarządzania – przypisanie jednej osoby odpowiedzialnej za nadawanie i odbieranie dostępów.
  
• Unikanie tokenów współdzielonych – każdy użytkownik powinien mieć indywidualny token (lub konto), co ułatwia kontrolę.
  
• Rejestrowanie zmian – każda zmiana w uprawnieniach powinna być opisana w systemie i zatwierdzona zgodnie z procedurą wewnętrzną.
  

Niedopilnowanie aktualizacji uprawnień może prowadzić do nieautoryzowanego wglądu w dane podatkowe lub wystawiania dokumentów bez wiedzy firmy, dlatego zarządzanie uprawnieniami powinno być traktowane jako element polityki bezpieczeństwa danych.