Najbezpieczniejszy model współpracy z biurem rachunkowym w KSeF nie polega na „daniu księgowej pełnego dostępu, żeby wszystko działało”. Powinien działać odwrotnie: najpierw ustalasz, jakie czynności biuro ma faktycznie wykonywać, a dopiero potem nadajesz mu dokładnie te uprawnienia, które są do tego potrzebne. Stan na 24 września 2026 r. jest pod tym względem czytelny: KSeF 2.0 rozdziela uprawnienie do wystawiania faktur od uprawnienia do dostępu do faktur, a biuro rachunkowe może otrzymać jedno z nich albo oba. Dostęp do faktur nie jest przy tym „dostępem tylko do zakupów” – obejmuje co do zasady wszystkie faktury danego podatnika, zarówno sprzedażowe, jak i zakupowe.
To ważne, bo w praktyce zakres KSeF bywa szerszy niż zakres zwykłej obsługi księgowej. Jeżeli biuro ma jedynie pobierać dokumenty do księgowania, nie potrzebuje prawa do wystawiania faktur ani prawa do zarządzania uprawnieniami. Jeżeli ma wystawiać faktury sprzedażowe, prawo do wystawiania staje się uzasadnione, ale nadal nie oznacza to, że powinno móc zarządzać całym modelem dostępu do KSeF. Zasada minimalnych uprawnień jest prosta: każde dodatkowe uprawnienie powinno mieć konkretną czynność biznesową, właściciela i powód.
Wariant minimalny: biuro tylko pobiera dokumenty
Jeżeli zakres umowy sprowadza się do księgowania, rozliczeń podatkowych, przygotowania JPK, deklaracji i raportów na podstawie faktur trafiających do KSeF, punktem wyjścia powinno być wyłącznie uprawnienie do dostępu do faktur. To uprawnienie pozwala przeglądać listę faktur i pobierać dokumenty z KSeF. Uprawnienie do wystawiania faktur jest systemowo odrębne, więc nie trzeba go dodawać „na zapas”.
Trzeba jednak świadomie zaakceptować zakres danych. Standardowe uprawnienie do dostępu do faktur obejmuje wszystkie faktury podatnika dostępne w jego kontekście, w tym sprzedażowe i zakupowe. Nie jest to filtr „tylko koszty”, „tylko faktury od dostawców” ani „tylko dokumenty potrzebne do VAT”. Jeśli przedsiębiorca ma w KSeF dokumenty zawierające wrażliwe biznesowo informacje – ceny, kluczowych kontrahentów, poziomy zakupów albo strukturę sprzedaży – udzielenie dostępu biuru oznacza dostęp również do tych informacji.
W tym wariancie biuro nie powinno mieć:
- uprawnienia do wystawiania faktur, jeżeli nie odpowiada za fakturowanie sprzedaży;
- uprawnienia do zarządzania uprawnieniami podatnika, bo nie jest ono potrzebne do pobierania dokumentów;
- uprawnień do zarządzania jednostkami podrzędnymi lub innymi strukturami KSeF, jeśli umowa nie obejmuje takiego zadania;
- firmowego środka uwierzytelnienia przedsiębiorcy przekazanego „do wspólnego używania”, jeżeli dostęp można zorganizować przez dedykowane uprawnienia dla biura lub konkretnych osób;
- uprawnień pozostawionych bez terminu przeglądu po zmianie biura, zespołu księgowego albo zakresu usługi.
Szczególnie ostrożnie należy traktować zarządzanie uprawnieniami. W KSeF jest to jedno szerokie uprawnienie obejmujące zarówno nadawanie, jak i odbieranie uprawnień; nie da się go rozdzielić na samo „dodawanie” albo samo „usuwanie”. Obejmuje ono również przeglądanie uprawnień. W typowej relacji z zewnętrznym biurem rachunkowym nie jest to uprawnienie potrzebne do księgowania ani do pobierania faktur, dlatego powinno pozostać po stronie przedsiębiorcy lub wskazanej osoby wewnątrz firmy.
Jeśli dokumenty pobiera kilka osób w biurze, pojawia się pytanie o dalsze przekazywanie uprawnienia. Sama możliwość delegowania nie jest obowiązkowa. Włączaj ją dopiero wtedy, gdy model pracy biura rzeczywiście wymaga, aby pracownicy uzyskiwali pośrednie uprawnienia. W wariancie „tylko dokumenty” delegowanie powinno dotyczyć wyłącznie dostępu do faktur, nie wystawiania.
Gdy biuro wystawia faktury i deleguje dostęp pracownikom
Drugi model jest szerszy: biuro nie tylko pobiera faktury, lecz także wystawia je w imieniu klienta. KSeF pozwala nadać biuru jako podmiotowi z NIP uprawnienie do wystawiania faktur i, osobno, dostęp do faktur. Można też dopuścić dalsze przekazywanie tych uprawnień. Wtedy biuro może nadać swoim pracownikom uprawnienia pośrednie do pracy dla konkretnego klienta albo dla wszystkich klientów biura, którzy zgodzili się na taki model. Pracownik uprawniony pośrednio może w tym łańcuchu dostać tylko uprawnienie do wystawiania i/lub dostępu do faktur; nie może przekazać go dalej następnej osobie.
Minimalny zakres zależy od faktycznej usługi:
- biuro tylko wystawia faktury – wystarczy uprawnienie do wystawiania; dostęp do wszystkich faktur nie powinien być dodawany automatycznie;
- biuro wystawia i księguje – uzasadnione może być wystawianie oraz dostęp do faktur;
- biuro pracuje zespołowo – prawo dalszego przekazywania ma sens tylko dla tych uprawnień, które są potrzebne pracownikom;
- jedna osoba obsługuje konkretnego klienta – bezpieczniej jest ograniczyć jej uprawnienia do tego klienta, zamiast nadawać dostęp do wszystkich klientów biura.
Najważniejsza różnica bezpieczeństwa pojawia się właśnie przy delegowaniu. Ministerstwo Finansów wskazuje, że podatnik, który nadał uprawnienie biuru na NIP, nie widzi w swoim kontekście, którym konkretnie pracownikom biuro przekazało pośrednie uprawnienia; widzi samo biuro. To oznacza, że kontrola personalna nie może opierać się wyłącznie na ekranie KSeF. Powinna być uzupełniona umową i procedurą po stronie biura.
W umowie z biurem warto więc wymagać co najmniej: prowadzenia aktualnej listy osób mających dostęp do twojego klienta, nadawania dostępu wyłącznie osobom realizującym usługę, niezwłocznego odbierania uprawnień po zmianie obowiązków lub odejściu pracownika, zakazu współdzielenia danych uwierzytelniających oraz zgłaszania incydentów dotyczących KSeF. Jeżeli biuro korzysta z podwykonawców, ustal, czy w ogóle mogą oni otrzymywać dostęp i na jakiej podstawie.
Warto też oddzielić uprawnienia od uwierzytelnienia. Przedsiębiorca nie powinien przekazywać biuru własnej pieczęci, prywatnego klucza, certyfikatu firmowego czy danych logowania tylko po to, żeby biuro mogło wykonać swoją pracę. KSeF został zaprojektowany tak, aby można było wskazać podmiot albo osobę z właściwym zakresem uprawnień. Materiały MF podkreślają, że certyfikaty i inne środki dostępu trzeba chronić, a dostęp do nich powinny mieć tylko osoby upoważnione.
Przy zakończeniu współpracy istotna jest jedna praktyczna cecha modelu pośredniego: odebranie biuru uprawnień przerywa łańcuch. Pracownik biura, który wcześniej miał uprawnienie pośrednie, nie może już w twoim imieniu wystawiać ani pobierać faktur. Jego wpis po stronie biura może nadal istnieć, ale staje się nieaktywny wobec twojego podmiotu. To dlatego odcięcie biura powinno być elementem formalnego offboardingu wykonywanym od razu, a nie „przy najbliższym porządkowaniu systemu”.
Przegląd uprawnień: checklista dla przedsiębiorcy
KSeF nie powinien być systemem, w którym raz nadane uprawnienia pozostają na lata. Dobrą praktyką operacyjną jest przegląd co najmniej raz na kwartał oraz dodatkowy przegląd zdarzeniowy po zmianie biura, zmianie zakresu umowy, zmianie pracownika prowadzącego, wdrożeniu nowego programu księgowego albo incydencie bezpieczeństwa. Taki cykl nie wynika z obowiązku ustawowego – to rekomendacja ograniczająca ryzyko nadmiarowych dostępów.
- Sprawdź, kto ma bezpośrednie uprawnienia. Porównaj listę osób i podmiotów z aktualną strukturą firmy oraz umowami.
- Dla każdego uprawnienia wskaż cel. Jeśli nie potrafisz dopisać konkretnej czynności – księgowanie, wystawianie, obsługa konkretnej jednostki – uprawnienie jest kandydatem do odebrania.
- Rozdziel dostęp i wystawianie. Nie traktuj ich jako jednego pakietu. Osoba pobierająca dokumenty nie musi móc wystawiać faktur.
- Sprawdź dalsze delegowanie. Ustal, przy których uprawnieniach jest włączone i czy nadal jest potrzebne.
- Zażądaj od biura aktualnej listy osób obsługujących twoją firmę. To szczególnie ważne, ponieważ KSeF nie pokazuje klientowi pracowników uprawnionych pośrednio przez biuro.
- Zweryfikuj zakres pracowników biura. Preferuj dostęp do konkretnego klienta zamiast do wszystkich klientów biura, jeżeli organizacja pracy na to pozwala.
- Sprawdź środki uwierzytelnienia. Upewnij się, że firma nie przekazała na stałe własnych danych logowania, firmowej pieczęci, certyfikatu lub innych sekretów tam, gdzie wystarczają dedykowane uprawnienia.
- Usuń dostępy po zakończonych rolach. Dotyczy to byłych pracowników, poprzedniego biura, czasowych zastępstw i nieużywanych integracji.
- Zachowaj własną kontrolę administracyjną. W firmie powinna pozostać co najmniej jedna realnie dostępna osoba zdolna sprawdzić i zmienić uprawnienia bez udziału biura.
- Udokumentuj przegląd. Zapisz datę, osobę zatwierdzającą, usunięte uprawnienia i wyjątki wraz z uzasadnieniem. Dzięki temu kolejny przegląd nie zaczyna się od zera.
W praktyce warto prowadzić prostą macierz: podmiot lub osoba – zakres – cel – możliwość delegowania – właściciel biznesowy – data ostatniego przeglądu. Nie musi to być rozbudowany system GRC. Dla małej firmy wystarczy jedna aktualna tabela, o ile ktoś faktycznie ją przegląda i reaguje na zmiany.
FAQ
Czy biuro rachunkowe musi mieć prawo do wystawiania faktur, żeby je pobierać? Nie. Dostęp do faktur i wystawianie są odrębnymi uprawnieniami. Jeśli biuro tylko księguje dokumenty, wystarczy dostęp do faktur.
Czy mogę dać biuru dostęp tylko do faktur zakupowych? W standardowym uprawnieniu do dostępu do faktur nie ma takiego podziału. Uprawnienie obejmuje wszystkie faktury danego podatnika dostępne w tym kontekście, w tym sprzedażowe i zakupowe. W bardziej złożonych organizacjach można stosować modele jednostek wewnętrznych, ale nie należy mylić ich ze zwykłym filtrem na zakupy.
Czy biuro powinno dostać zarządzanie uprawnieniami? Zwykle nie. Do pobierania i wystawiania faktur służą odrębne uprawnienia. Zarządzanie uprawnieniami pozwala nadawać i odbierać dostępy w kontekście podatnika, więc jest to rola administracyjna, którą warto pozostawić wewnątrz firmy, chyba że istnieje świadoma, udokumentowana potrzeba powierzenia jej konkretnej osobie.
Czy muszę sam nadawać uprawnienia każdemu pracownikowi biura? Nie. Możesz uprawnić biuro jako podmiot i – jeśli jest to potrzebne – dopuścić dalsze przekazywanie uprawnień pracownikom. Pamiętaj jednak, że wtedy to biuro kontroluje, kto z jego zespołu otrzymuje dostęp w ramach przekazanego zakresu.
Czy zobaczę w KSeF nazwiska pracowników biura, którym biuro przekazało moje uprawnienia? Nie w modelu uprawnień pośrednich. Z perspektywy klienta widoczne jest upoważnione biuro, dlatego listę faktycznych użytkowników trzeba kontrolować również organizacyjnie, np. poprzez obowiązek raportowania po stronie biura.
Co zrobić w dniu zakończenia współpracy z biurem? Odebrać biuru wszystkie uprawnienia dotyczące twojego podmiotu i zweryfikować, czy nie pozostały dodatkowe dostępy nadane wcześniej konkretnym osobom. W modelu pośrednim odebranie uprawnień biuru powoduje, że uprawnienia jego pracowników wobec twojej firmy przestają działać.
Jaka jest rekomendacja operacyjna? Zacznij od wariantu najmniejszego: biuru księgującemu nadaj wyłącznie dostęp do faktur; prawo do wystawiania dodaj tylko wtedy, gdy wynika to z umowy, a dalsze delegowanie włącz wyłącznie wtedy, gdy wymaga tego sposób pracy biura. Zarządzanie uprawnieniami pozostaw po swojej stronie. Raz na kwartał przeprowadź przegląd, a przy zakończeniu współpracy odbierz dostęp tego samego dnia. To daje biuru narzędzia potrzebne do pracy, ale nie przekazuje mu kontroli nad KSeF większej, niż rzeczywiście potrzebuje.
