ZAW-FA i dostęp do KSeF – instrukcja techniczna

Jak naprawdę działa dostęp do KSeF i dlaczego sam KRS, NIP i bycie prezesem niczego nie załatwiają

KSeF nie jest systemem przypisanym do podmiotu jako takiego. To nie jest konto firmowe w klasycznym rozumieniu. KSeF działa wyłącznie na poziomie osób fizycznych, które zostały systemowo powiązane z danym numerem NIP. To powiązanie nie wynika ani z KRS, ani z CEIDG, ani z faktu pełnienia funkcji w zarządzie. Ono powstaje tylko w jeden sposób – przez mechanizm uprawnień KSeF.

Z perspektywy systemu wygląda to następująco: najpierw istnieje NIP podmiotu, który jest „pusty” operacyjnie. Dopiero gdy administracja skarbowa wprowadzi do KSeF informację, że konkretna osoba fizyczna ma prawo działać w imieniu tego NIP-u, system zaczyna akceptować logowanie i operacje. ZAW-FA jest formalnym poleceniem, aby takie powiązanie utworzyć.

Dlatego tak częste są sytuacje, w których prezes spółki loguje się Profilem Zaufanym, widzi komunikat o braku dostępu do KSeF albo w ogóle nie widzi spółki na liście podmiotów. Z punktu widzenia KSeF ta osoba po prostu nie istnieje w kontekście tego NIP-u.

Co dokładnie zmienia ZAW-FA po stronie systemu

Złożenie ZAW-FA powoduje, że urząd skarbowy ręcznie lub półautomatycznie wprowadza do systemu KSeF relację pomiędzy trzema elementami: osobą fizyczną, sposobem uwierzytelnienia tej osoby oraz numerem NIP podmiotu.

Dopiero po tym kroku KSeF zaczyna rozpoznawać logowanie tej osoby jako logowanie „w imieniu firmy”, a nie wyłącznie jako logowanie prywatne. Co istotne, pierwsza osoba wskazana w ZAW-FA uzyskuje faktycznie rolę administratora, ponieważ tylko ona może dalej nadawać uprawnienia kolejnym osobom lub systemom.

Bez tego etapu żadna integracja, żaden system księgowy, żadna platforma fakturowa nie będzie w stanie wystawić faktury w KSeF, nawet jeśli technicznie wszystko jest poprawnie skonfigurowane.

Kiedy ZAW-FA jest obowiązkowy, a kiedy tylko pozornie „opcjonalny”

ZAW-FA jest obligatoryjny zawsze wtedy, gdy podmiot nie jest osobą fizyczną i nie korzysta z kwalifikowanej pieczęci elektronicznej zawierającej numer NIP tego podmiotu. W praktyce oznacza to niemal wszystkie spółki z ograniczoną odpowiedzialnością i spółki akcyjne w Polsce.

Kwalifikowana pieczęć elektroniczna z NIP-em pozwala systemowi KSeF na automatyczne rozpoznanie podmiotu bez wskazywania osoby fizycznej, ale takie rozwiązanie jest wciąż rzadkością i dotyczy głównie dużych organizacji. Dla standardowej spółki z o.o. ZAW-FA nie jest wyborem, tylko koniecznością.

Jednoosobowe działalności gospodarcze stanowią wyjątek tylko wtedy, gdy właściciel loguje się do KSeF Profilem Zaufanym albo podpisem kwalifikowanym, który zawiera jego PESEL powiązany z NIP-em działalności. W każdej innej konfiguracji również pojawia się potrzeba złożenia ZAW-FA.

Skąd wziąć właściwy formularz i dlaczego to ma znaczenie

Obowiązujący formularz ZAW-FA jest publikowany wyłącznie przez Ministerstwo Finansów w ramach portalu KSeF. Aktualny wzór znajduje się pod adresem https://ksef.podatki.gov.pl/media/em1k4cmk/zaw-fa.pdf i tylko ten dokument należy traktować jako prawidłowy.

Użycie starszego formularza, wzoru znalezionego w artykule sprzed roku albo edytowanego PDF-a może skutkować sytuacją, w której dokument formalnie wpłynie do urzędu, ale nie zostanie poprawnie przetworzony w systemie KSeF. To jeden z najbardziej podstępnych problemów, bo nie zawsze kończy się wezwaniem do korekty – po prostu „nic się nie dzieje”.

Jak wypełnić ZAW-FA, żeby urząd faktycznie mógł nadać dostęp

W sekcji dotyczącej celu złożenia należy jednoznacznie wskazać nadanie uprawnień. Brzmi trywialnie, ale pomyłka w tym miejscu powoduje, że urząd nie tworzy relacji w KSeF, nawet jeśli reszta danych jest poprawna.

Dane podmiotu muszą być identyczne z danymi rejestrowymi. Nie stosujemy skrótów, nazw handlowych ani wersji marketingowych. KSeF porównuje dane literalnie, a nie znaczeniowo.

Kluczowa jest część dotycząca osoby fizycznej. To ta osoba będzie logować się do systemu, zarządzać uprawnieniami i integrować KSeF z systemami finansowymi. Jeżeli tutaj pojawi się błąd, system nie zasygnalizuje go wprost – dostęp po prostu nie zostanie nadany.

Jeżeli osoba ta korzysta z podpisu kwalifikowanego, a certyfikat nie zawiera numeru PESEL lub NIP, konieczne jest podanie odcisku palca certyfikatu w formacie SHA-256. To musi być dokładna wartość, bez spacji i bez dodatkowych znaków. Jeden błąd w tym polu powoduje, że podpis nigdy nie zostanie skojarzony z uprawnieniem.

Podpisy i reprezentacja – najczęstsza przyczyna odrzucenia lub „martwego” ZAW-FA

ZAW-FA musi być podpisany zgodnie z zasadami reprezentacji ujawnionymi w KRS. Jeżeli spółkę reprezentuje dwóch członków zarządu łącznie, podpis jednego z nich jest niewystarczający, nawet jeżeli w praktyce spółka tak funkcjonuje na co dzień.

Urząd skarbowy nie analizuje „zwyczaju”. Analizuje KRS. Niezgodność w tym zakresie kończy się brakiem skutku prawnego, nawet jeżeli dokument formalnie trafi do urzędu.