Uprawnienia KSeF w biurze rachunkowym: 40 klientów, 40 różnych dostępów i lista, której nikt nie prowadzi

Dostęp, którego nikt nie spisał

Zapytajcie właściciela biura, ilu klientów obsługuje w KSeF, a odpowie w sekundę. Zapytajcie, jak każdy z tych klientów dał biuru dostęp, i zapada cisza.

O tej ciszy jest ten tekst. Przez ostatnie trzy tygodnie pisałem o wyciągach bankowych w enova365, Optimie i nexo. Dziś wracam do KSeF, bo jest tu problem, którego nie naprawi żadne ustawienie w ERP: sam dostęp.

Między styczniem a kwietniem 2026 r. każde biuro przeszło przez to samo. Czterdziestu klientów, czterdzieści telefonów, czterdzieści razy „proszę zalogować się do Aplikacji Podatnika i kliknąć tutaj”. Każdy klient zrobił to trochę inaczej, bo każdego prowadził ktoś inny i innego dnia. Zadziałało, faktury zaczęły spływać. I nikt nie zapisał, co dokładnie nadano, komu i w jaki sposób.

Wszystko gra, dopóki nie zdarzy się jedna z trzech rzeczy: odchodzi księgowa, wygasa certyfikat albo u klienta zmienia się osoba zarządzająca uprawnieniami. Wtedy okazuje się, że dostęp biura do KSeF to nie jedna konfiguracja, tylko czterdzieści osobnych decyzji podjętych przez czterdziestu klientów. I nikt nie ma ich listy.

Cztery sposoby, w jakie klient może nadać dostęp

W KSeF 2.0 o tym, jak biuro wchodzi do systemu, decyduje klient. Różnice między wariantami wychodzą dopiero po czasie.

Podmiotowo, z delegowaniem. Klient nadaje uprawnienie na NIP biura i zaznacza, że biuro może je przekazać swoim pracownikom. Wtedy to biuro decyduje, kto u niego wystawia albo przegląda faktury tego klienta. Kiedy ktoś odchodzi, biuro samo mu je odbiera. Tak powinno być u każdego klienta.

Podmiotowo, bez delegowania. Klient nadaje na NIP biura, ale opcji delegowania nie zaznacza. Przez telefon brzmi identycznie. W praktyce biuro ma wtedy ograniczone możliwości przypisania pracy konkretnej osobie, a każda zmiana w zespole może oznaczać kolejny telefon do klienta.

Osobowo, na konkretną księgową. Klient nadaje uprawnienie na PESEL albo NIP pani Anny. Najłatwiej to wytłumaczyć przez telefon („proszę wpisać dane pani Anny”) i podejrzewam, że przy mniejszych klientach tak właśnie skończyła spora część biur. Haczyk: uprawnienie należy do Anny, a nie do biura.

Osobowo, na pracownika klienta, a biuro pracuje na jego danych. Nikt się do tego nie przyznaje, ale tak też bywa: loguje się księgowa po stronie klienta, a biuro działa przez nią, albo token wygenerowano u klienta i przesłano mailem. Biuro ma dostęp, a KSeF nie ma po tym żadnego śladu.

Do tego dochodzi zakres. Wśród uprawnień są m.in. wystawianie faktur, dostęp do faktur i zarządzanie uprawnieniami. Biuro, które tylko pobiera faktury zakupowe do zaksięgowania, potrzebuje mniej niż takie, które dodatkowo wystawia za klienta sprzedaż. Uprawnienia nadawano w pośpiechu, więc wiele biur ma szerszy zakres, niż faktycznie używa. Albo węższy, niż im się wydaje.

Tokeny, certyfikaty i osoba z ZAW-FA

Druga warstwa to sposób, w jaki uwierzytelnia się Wasze oprogramowanie.

Tokeny z KSeF 1.0 nie działają w 2.0. Nowe można było generować od 1 lutego 2026 r., a Ministerstwo Finansów zapowiedziało, że uwierzytelnianie tokenem zostaje w KSeF 2.0 bez daty końcowej. Wygodne? Tak. I właśnie dlatego nikt tokenów nie pilnuje: skoro nie wygasają, łatwo o nich zapomnieć. Także o tych, które siedzą w starej integracji, której nikt nie dotykał od miesięcy.

Z certyfikatami KSeF jest odwrotnie. Są ważne najwyżej dwa lata od wydania. Większość biur, które przeszły na certyfikaty, zrobiła to w pierwszych miesiącach 2026 r. Czyli na początku 2028 r. przyjdzie fala odnowień — wszystkie naraz, w najgorętszym okresie roku. Jeśli Wasza integracja działa na certyfikacie, jego data ważności powinna być w kalendarzu, z nazwiskiem osoby obok.

Trzecia sprawa leży po stronie klienta i nie macie na nią wpływu. Firma bez pieczęci kwalifikowanej wskazuje jedną osobę zawiadomieniem ZAW-FA i to ta osoba zarządza potem uprawnieniami elektronicznie. Od 2026 r. ZAW-FA nie da się skutecznie złożyć przez ePUAP. Zostaje e-Urząd Skarbowy, e-Doręczenia albo papier. Jeśli osoba wskazana w ZAW-FA odchodzi od klienta, klient składa nowe zawiadomienie. Do tego czasu nikt po jego stronie nie zmieni Waszego dostępu. Nawet wtedy, gdy trzeba go naprawić.

Musicie wiedzieć, kto to jest u każdego klienta. Nie login. Imię, nazwisko i numer telefonu.

Rejestr: jedno popołudnie, dziewięć kolumn

Konkretnie. Jeden wiersz na klienta, dziewięć kolumn:

1. NIP i nazwa klienta
2. Rodzaj uprawnienia: podmiotowe z delegowaniem / podmiotowe bez / osobowe / brak widocznego
3. Jeśli osobowe: na kogo (i czy ta osoba nadal u Was pracuje?)
4. Zakres: wystawianie, dostęp do faktur, zarządzanie uprawnieniami
5. Kto w biurze faktycznie pracuje z tym klientem w KSeF
6. Jak uwierzytelnia się Wasz program: token czy certyfikat
7. Data ważności certyfikatu, jeśli jest
8. Osoba zarządzająca uprawnieniami u klienta (z ZAW-FA albo jej następca), z telefonem
9. Data ostatniej weryfikacji

Większość odczytacie z Aplikacji Podatnika i z ustawień integracji. O kolumnę 8 trzeba będzie zapytać. Przy 40 klientach to popołudnie, może dwa.

Co zwykle wychodzi przy pierwszym przejściu? Opiszę hipotetyczne biuro z 40 klientami, bo wzorzec mówi więcej niż pojedyncza liczba. Większość klientów jest w pierwszej grupie. Kilku ma uprawnienia osobowe na jedną czy dwie osoby. Jedna z nich odeszła wiosną. Dwóch, trzech klientów w ogóle nie nadało biuru widocznego uprawnienia, bo praca idzie przez login klienta. A kilka integracji nadal trzyma token, którego utworzenia nikt nie pamięta.

Najważniejszy jest wiersz z uprawnieniem osobowym na kogoś, kto już odszedł. Ta osoba w teorii nadal może przeglądać faktury tych klientów. To nie jest problem techniczny. To problem ochrony danych, a w tle stoi nazwa Waszego biura. Bez klienta go nie naprawicie — i właśnie dlatego musi trafić na listę.

Dlaczego to pierwsze zadanie agenta, a nie ostatnie

Kiedy projektuję agenta dla biura, pierwsze, co go wykłada, to dostęp do KSeF. Nie model i nie logika dekretacji. Agent pobiera faktury zakupowe dla 40 klientów na poświadczeniach biura. Jeśli trzech z nich po cichu straciło dostęp, agent nie wysypuje się z hukiem. Raportuje „brak nowych faktur”, co wygląda dokładnie jak spokojny tydzień.

To ta sama pułapka co z nocnym zadaniem, którego nikt nie pilnuje, o czym pisałem przy Harmonogramie zadań w enova365. „Nic nie przyszło” i „już nic nie widzimy” dają ten sam pusty wynik.

Dlatego pierwsza wersja działa tylko do odczytu i jest celowo nudna:

• Co noc próba odczytania metadanych faktur każdego klienta z rejestru. Błąd dostępu to alert z nazwiskiem, a nie wpis w logu.
• Co tydzień lista certyfikatów wygasających w ciągu 60 dni i uprawnień osobowych osób, których nie ma już na liście pracowników.
• Co miesiąc klienci, u których data ostatniej weryfikacji jest starsza niż 90 dni.

Agent niczego nie nadaje i niczego nie odbiera. Zarządzanie uprawnieniami to dokładnie czwarty poziom z tekstu o odpowiedzialności: zostaje przy człowieku, którego da się wskazać w niecałą minutę. Agent ma prostsze zadanie: ten człowiek ma się dowiedzieć o problemie przed klientem. Jak podchodzę do takich wdrożeń, opisuję na stronie agenci AI dla firm.

Wiąże się to też z opóźnieniem dostępu, czyli liczbą dni między „umówiliśmy się” a „konektor ma działające poświadczenia”. Z rejestrem biuro już pierwszego dnia mówi mi, którzy klienci są gotowi. Bez niego pierwsze dwa tygodnie każdego projektu schodzą na ustalaniu tego.

Dwie liczby na ten tydzień

Jeśli w tym tygodniu zrobicie tylko jedno, policzcie dwie rzeczy:

1. Odsetek klientów z uprawnieniem podmiotowym i delegowaniem. Tylko przy takim ustawieniu zmiany w zespole są wyłącznie sprawą biura. Cel: wszyscy klienci. Najbliższą rozmowę z każdym z nich wykorzystajcie, żeby go przestawić.
2. Liczbę uprawnień osobowych osób, które już u Was nie pracują. Cel: zero. Najpóźniej do końca miesiąca.

Chcecie, żebym spojrzał na Wasz rejestr? Wyślijcie mi zanonimizowane kolumny, a powiem Wam, do których klientów zadzwonić najpierw.