Orice discuție despre automatizarea facturilor în România ajunge la aceeași propoziție, de obicei cu o urmă de suspiciune: „deci trebuie să vă dau acces la ANAF?”
E întrebarea corectă, pusă puțin strâmb. Nimic nu ajunge la datele tale de la ANAF fără o autorizare pe care o dai tu, la ANAF, cu o credențială care e a ta. Credențiala e un certificat digital calificat, autorizarea se înregistrează pe firma ta, iar amândouă pot fi retrase.
Mai jos: ce e certificatul, cum se înregistrează, ce primește de fapt o aplicație când o conectezi și cele patru feluri în care firmele își strică singure accesul.
SPV-ul nu e opțional, deci nici certificatul nu e
Din martie 2022, firmele, PFA-urile și celelalte entități fără personalitate juridică comunică cu Fiscul exclusiv prin Spațiul Privat Virtual. Documentele depuse pe hârtie nu se consideră depuse, iar regula aceasta — din Codul de procedură fiscală — face ca restul să fie inevitabil, nu o preferință.
SPV-ul e gratuit, iar înrolarea o gestionează ANAF. Pentru o firmă, ca să acționezi acolo îți trebuie un certificat digital calificat deținut de o persoană care are un drept asupra firmei respective. Nu există cale cu utilizator și parolă pentru o persoană juridică și nu există e-Factura fără certificat.
Ce e un certificat calificat și ce nu e
Un certificat digital calificat e o credențială de identitate emisă de un prestator de servicii de încredere supravegheat, ținută pe un token fizic sau în mediul securizat al prestatorului și protejată de un PIN pe care îl știe doar titularul. În drept, are valoarea unei semnături olografe.
Trei lucruri care nu sunt:
- Nu e o credențială a firmei. Se emite pe numele unei persoane. Firma apare pe el, dar titularul e un om, iar fiecare acțiune făcută cu el îi este atribuită.
- Nu e permanent. Certificatele se emit pe termen determinat și trebuie reînnoite. Un certificat care expiră fără să bage nimeni de seamă oprește, chiar în ziua aceea, și depunerile, și e-Factura, și tot ce depinde de ele.
- Nu e o parolă pe care o poți da mai departe. Să împrumuți tokenul și PIN-ul unui coleg sau unui furnizor nu e o scurtătură — transferi o semnătură cu valoare legală, iar asta e cel mai prost aranjament din tot articolul.
Înregistrarea la ANAF: documentul de confirmare, apoi formularul 150
Cumpărarea certificatului nu îți dă niciun acces la ANAF. Trebuie înregistrat, iar procedura are două jumătăți pe care lumea le face frecvent în ordine inversă.
| Pasul | Cine îl face | Ce iese |
|---|---|---|
| 1. Obținerea certificatului | Un prestator de servicii de încredere calificat | Certificatul și tokenul sau PIN-ul |
| 2. Documentul de confirmare | Îl semnezi tu cu certificatul; îl contrasemnează prestatorul | Documentul electronic care leagă certificatul de identitatea ta, așa cum cere ANAF |
| 3. Formularul 150 — cerere pentru utilizarea unui certificat digital calificat | Tu, către ANAF | Cererea de înregistrare, cu documentul de confirmare atașat |
| 4. Verificarea | ANAF, împreună cu prestatorul emitent | Confirmarea dreptului de utilizare, pe e-mailul din formularul 150 |
Instrucțiunile ANAF pentru depunerea cu certificat digital descriu documentul de confirmare pas cu pas. Pasul pe care nu merită să-l improvizezi e împuternicirea: dacă titularul certificatului nu e reprezentantul legal — un contabil, de exemplu — firma trebuie să îl fi împuternicit să semneze în numele ei, iar ANAF verifică asta.
Lasă câteva zile lucrătoare între depunere și momentul în care chiar poți transmite. Nu e instantaneu, iar departamentele financiare descoperă asta pe 24.
Cine poate acționa pentru firmă
Există trei feluri de drepturi asupra spațiului unei firme, iar distincția contează în ziua în care pleacă cineva:
- Reprezentant legal — administratorul, așa cum e înregistrat la registrul comerțului.
- Reprezentant desemnat — o persoană nominalizată de firmă ca să acționeze în SPV.
- Împuternicit — de obicei contabilul sau firma de contabilitate, pe bază de mandat, în general cu un domeniu mai îngust.
Două reguli care scutesc de bătăi de cap: dă-i contabilului extern drepturi de împuternicit, nu de reprezentant, și asigură-te că măcar un certificat cu drepturi de reprezentant e ținut de cineva care nu își schimbă locul de muncă fără să te anunțe.
Ce primește, de fapt, o aplicație
ANAF expune e-Factura printr-un API, iar accesul la el se acordă prin OAuth 2.0 — același tipar ca „autentifică-te cu”, în care certificatul joacă rolul autentificării. ANAF publică procedura de înregistrare a aplicațiilor.
Ce înseamnă în practică:
- Certificatul se folosește la autorizare, o dată. Aplicația nu îți ține nici tokenul, nici PIN-ul. Prezinți certificatul la ANAF, ANAF emite un token de acces către aplicație, iar de atunci aplicația vorbește cu ANAF prin token.
- Accesul acoperă doar entitățile pentru care e înrolat certificatul. Dacă ai drepturi pe trei firme, autorizarea le poate acoperi; dacă ai pe una, acoperă una.
- Tokenul e limitat în timp și trebuie reînnoit. E o calitate, nu un neajuns: o autorizare pe care nu o mai reînnoiește nimeni expiră singură.
- Poți revoca. Accesul se termină când îl termini tu, din partea ta, fără să depindă de aplicație.
Propoziția care contează pentru oricine cântărește decizia: o aplicație cu acces la API poate citi documentele pe care firma le trimite și le primește prin sistemul pentru care a fost autorizată. Nu poate mișca bani. Plata e o autorizare complet separată, la banca ta, descrisă în cum funcționează open banking-ul.
Cele patru feluri în care se strică
Aproape orice poveste de tipul „ni s-a oprit e-Factura” e una dintre astea:
- A expirat certificatul și reînnoirea nu era în sarcina nimănui. Ține data de expirare acolo unde ții polițele de asigurare, nu în inbox-ul unui om.
- A plecat singurul titular. Dacă unicul certificat cu drepturi pe firmă iese pe ușă, firma rămâne blocată în afara propriei corespondențe fiscale până se finalizează o înregistrare nouă.
- Totul merge pe certificatul contabilului. Comod, până schimbi contabilul — și discutabil juridic cu mult înainte de asta.
- Se împrumută tokenul. Fiecare depunere, și fiecare plată care decurge din ea, e atribuită titularului. Împrumutul distruge exact lucrul pentru care există certificatul.
Unde se potrivește OpenPay
OpenPay se conectează la ANAF pe drumul obișnuit: autorizezi accesul din contul tău, cu propriul certificat, iar autorizarea se înregistrează la ANAF pe firma ta. De acolo încolo, facturile de la furnizori vin singure — vezi cum plătești facturile din e-Factura pentru ce urmează. Obligațiile fiscale nu intră în acest acces; pentru ele rămâne cum plătești taxele la ANAF. Poți retrage accesul oricând, din același loc din care l-ai dat, iar plata e o autorizare separată, care se face la banca ta, cu autentificare multifactor.