ثبت‌نام و ورود سامانه مؤدیان؛ راهنمای کنترل دسترسی شرکت

ثبت‌نام سامانه مؤدیان دقیقاً از چه لایه‌هایی ساخته می‌شود؟

در زبان روزمره، «ثبت‌نام سامانه مؤدیان» به چند کار متفاوت گفته می‌شود: تشکیل یا تکمیل ثبت‌نام مالیاتی، تخصیص کارپوشه، معرفی حساب و ابزار پرداخت تجاری، انتخاب روش ارسال صورتحساب و آماده‌کردن حافظه و امضای الکترونیکی. موفقیت در یکی، بقیه را اثبات نمی‌کند. شرکتی که در درگاه ملی پرونده می‌بیند ممکن است هنوز روش ارسال یا مسئول امضا را آماده نکرده باشد. ^{[۱] [۳] [۸]}

متن تنقیحی قانون پس از اصلاح ۸ تیر ۱۴۰۴ می‌گوید سازمان باید برای شخصی که ثبت‌نام مالیاتی انجام داده، ظرف یک هفته کارپوشه تجاری یا غیرتجاری را حسب مورد تخصیص دهد. اگر این تخصیص از سوی سازمان انجام نشود، شخصی که قبلاً ثبت‌نام کرده بابت عدم عضویت جریمه نمی‌شود. این حکم، مجوز رهاکردن کنترل نیست؛ تاریخ ثبت‌نام و درخواست، وضعیت زنده و مکاتبه پیگیری را نگه دارید. ^{[۱] [۱۰]}

نقشه شناسه‌ها؛ هر شماره چه کاری می‌کند؟

شماره اقتصادی هویت مالیاتی فعال اقتصادی را در معاملات و مکاتبات مشخص می‌کند. شناسه یکتای حافظه مالیاتی، کانال یا حافظه‌ای را که صورتحساب از آن می‌آید شناسایی می‌کند. شماره منحصر‌به‌فرد مالیاتی متعلق به خود صورتحساب است. شناسه ملی نیز هویت ثبتی شخص حقوقی است. جایگزین‌کردن این چهار شماره در فایل راه‌اندازی، یکی از علت‌های رایج ارسال اشتباه یا تطبیق‌ناپذیری است. ^{[۴] [۱] [۷]}

برای هر شناسه یک شناسنامه یک‌صفحه‌ای بسازید: صاحب قانونی، کاربرد، منبع صدور، تاریخ فعال‌شدن، محیط استفاده، مسئول نگهداری و مدرک تأیید. هیچ رمز یا کلید خصوصی را در همان شناسنامه ننویسید. این جدول باید روشن کند کدام شناسه در قرارداد و صورتحساب دیده می‌شود و کدام فقط برای اتصال فنی یا کنترل داخلی است. ^{[۱] [۴] [۸]}

ماتریس نقش‌ها؛ چه کسی آماده می‌کند، چه کسی امضا می‌کند؟

حداقل چهار نقش را جدا کنید: آماده‌ساز اطلاعات که قرارداد و اقلام را بررسی می‌کند؛ تأییدکننده مالی که نوع، نرخ و طرف معامله را می‌سنجد؛ امضاکننده یا سرویس مجاز که داده را امضا و ارسال می‌کند؛ و پشتیبان که وضعیت و خطا را پیگیری می‌کند. یک نفر می‌تواند در شرکت کوچک چند نقش داشته باشد، اما ثبت اقدام و تأیید مبلغ بااهمیت نباید ناپدید شود. ^{[۱] [۲] [۷]}

مدیرعامل یا نماینده قانونی ممکن است دسترسی هویتی داشته باشد، اما نباید حساب شخصی او به صندوق ورودی روزانه تیم تبدیل شود. همچنین حسابدار برون‌سپاری‌شده ممکن است آماده‌سازی و ارسال را انجام دهد، ولی مؤدی همچنان باید مالک داده، روش تأیید، آرشیو و توان قطع دسترسی باشد. قرارداد خدمات باید مسئولیت عملیاتی را روشن کند و وعده «همه مسئولیت با پیمانکار» جای حکم قانون نمی‌نشیند. ^{[۱] [۲] [۸]}

• آماده‌ساز: منبع قرارداد، طرف معامله و اقلام را کامل می‌کند.
• تأییدکننده: نوع صورتحساب، نرخ، مبلغ و دوره را تصویب می‌کند.
• امضاکننده: از کلید یا مسیر مجاز، بدون اشتراک رمز، استفاده می‌کند.
• پشتیبان: شناسه پیگیری، خطا، اصلاح و پاسخ رسمی را مالک است.

روش ارسال و گواهی امضا را چگونه انتخاب و نگهداری کنیم؟

پرسش رسمی سامانه مؤدیان روش‌های ارسال مستقیم توسط مؤدی، استفاده از شرکت معتمد یا ابزار و نرم‌افزار متصل را توضیح می‌دهد. انتخاب باید بر حجم، پیچیدگی صورتحساب، توان نگهداری کلید، کیفیت پشتیبانی و نیاز به تطبیق با حسابداری بنا شود؛ نه صرفاً ارزان‌ترین اشتراک. پیش از خرید، خروجی نمونه و نحوه دریافت وضعیت و خطا را روی سناریوی واقعی شرکت آزمایش کنید. ^{[۸] [۲] [۱]}

در ارسال مبتنی بر امضای دیجیتال، گواهی عمومی برای راستی‌آزمایی و کلید خصوصی برای امضا به کار می‌رود. آیین‌نامه تجارت الکترونیکی، افشای کلید خصوصی را از اسباب ابطال یا تعلیق گواهی می‌شناسد. کلید خصوصی نباید در پیام‌رسان، ایمیل یا فایل مشترک گردش کند. محل امن، مالک دسترسی، نسخه پشتیبان رمزگذاری‌شده، تاریخ انقضا و فرآیند ابطال پس از خروج فرد را مکتوب کنید. ^{[۵] [۹] [۸]}

چک‌لیست تحویل دسترسی؛ اگر فردا مسئول مالی رفت چه می‌شود؟

تحویل امن از فهرست رمزها شروع نمی‌شود. ابتدا مالک قانونی پرونده، شماره اقتصادی، کارپوشه‌ها، شناسه حافظه‌ها، روش‌های ارسال و ارائه‌دهندگان را ثبت کنید. سپس برای هر نقش، حساب یا مجوز، آخرین ورود، دستگاه یا سرویس مجاز، محل مدرک و جانشین تعیین کنید. رمزهای شخصی باید بازنشانی شوند؛ اشتراک یک رمز قدیمی با جانشین، ردپای اقدام را نابود می‌کند. ^{[۱] [۵] [۶]}

در روز خروج کارمند یا تغییر پیمانکار، دسترسی‌های غیرضروری را قطع، گواهی یا کلید در معرض را ابطال، شماره تماس و ایمیل بازیابی را کنترل و یک ارسال آزمایشی بدون او اجرا کنید. پرونده‌های باز، خطاهای بی‌پاسخ و صورتحساب‌های ارجاعی باید مالک تازه داشته باشند. صورتجلسه تحویل باید شناسه و وضعیت را ثبت کند، نه رمز محرمانه را. ^{[۵] [۹] [۷]}

آزمون هفت‌مرحله‌ای آمادگی عملیاتی

یک صورتحساب نمونه مجاز را از منبع واقعی بسازید، هویت طرف و شناسه کالا یا خدمت را کنترل کنید، آن را از روش منتخب بفرستید، شناسه و وضعیت دریافت را ذخیره کنید، یک خطای کنترل‌شده مانند داده ناقص را در محیط یا روش امن بررسی کنید و سپس مسیر اصلاح یا ابطال را مرور کنید. هدف تولید معامله صوری نیست؛ هدف اثبات چرخه روی داده نمونه یا عملیات واقعی کم‌ریسک است. ^{[۷] [۸] [۱]}

آزمون با دیدن پیام «ارسال شد» تمام نمی‌شود. فروش دفتر را با صورتحساب‌های ارسالی، خرید را با کارپوشه و اقدام اصلاحی را با شماره مرجع تطبیق دهید. سپس بازیابی دسترسی را با جانشین مجاز امتحان کنید. خروجی باید پنج مدرک داشته باشد: تأیید منبع، تأیید مالی، شناسه ارسال، وضعیت نهایی و ردپای تطبیق حسابداری. ^{[۷] [۱] [۱۰]}

• پرونده و کارپوشه درست را شناسایی کنید.
• روش ارسال و حافظه فعال را ثبت کنید.
• یک نمونه را با تأیید دو مرحله‌ای ارسال کنید.
• وضعیت، خطا و شماره مرجع را بایگانی کنید.
• تطبیق دفتر و جانشینی دسترسی را اجرا کنید.

مثال: حسابدار بیرونی شرکت را ترک می‌کند

شرکت ب دو سال ارسال صورتحساب را به حسابدار بیرونی سپرده است. مدیر مالی فقط فایل اکسل فروش را می‌فرستد و پاسخ «انجام شد» می‌گیرد. در زمان قطع همکاری مشخص می‌شود کلید امضا روی لپ‌تاپ پیمانکار، ایمیل بازیابی متعلق به او و آرشیو وضعیت‌ها ناقص است. این شرکت عضو سامانه بوده، اما کنترل دسترسی و تداوم عملیات نداشته است. ^{[۵] [۸] [۱]}

راه‌حل، درخواست رمز در پیام‌رسان نیست. شرکت ابتدا دارایی‌های دسترسی و شناسه‌های فعال را فهرست می‌کند، دسترسی پیمانکار را از مسیر مجاز قطع یا گواهی در معرض را ابطال می‌کند، مخاطبان بازیابی را تغییر می‌دهد و وضعیت آخرین دوره را با دفتر تطبیق می‌دهد. سپس جانشین با حساب مجاز یک چرخه کامل را اجرا می‌کند و نتیجه در صورتجلسه تحویل ثبت می‌شود. ^{[۹] [۵] [۷] [۱۰]}

بازبینی فصلی دسترسی و شناسه‌های فعال

هر فصل فهرست کاربران، گواهی‌ها، حافظه‌ها، شرکت‌های معتمد و اتصال‌های نرم‌افزاری را با منابع انسانی و قراردادها تطبیق دهید. حساب فرد خارج‌شده، گواهی نزدیک انقضا، حافظه بدون استفاده و سرویس پیمانکار پایان‌یافته باید استثنا شود. بازبینی فقط گرفتن تیک از مدیر نیست؛ آخرین استفاده، دلیل نیاز، مالک جانشین و مدرک تمدید یا قطع باید ثبت شود. ^{[۵] [۹] [۲]}

هم‌زمان نمونه‌ای از صورتحساب‌های مبلغ بالا، اصلاحی و ابطالی را از منبع تا وضعیت نهایی بازاجرا کنید. اگر کاربر تأییدکننده نتواند توضیح دهد شماره مرجع چگونه انتخاب شده یا فایل امضاشده کجا نگهداری می‌شود، دسترسی فعال به‌تنهایی کنترل مؤثر نیست. نتیجه نمونه‌گیری باید به آموزش، محدودکردن مجوز یا اصلاح رویه منجر شود و در فصل بعد پیگیری شود. ^{[۷] [۱] [۸]}

یک آزمون بازیابی هم اجرا کنید: بدون حضور کاربر اصلی، جانشین مجاز باید بتواند وضعیت ارسال‌های اخیر، خطاهای باز و تاریخ انقضای گواهی را پیدا کند. این آزمون نباید با اشتراک رمز انجام شود. اگر فقط یک نفر مسیر را می‌داند، خطر تداوم عملیات ثبت و برای کاهش آن موعد و مسئول تعیین کنید. صورتجلسه نتیجه، بخشی از مدرک حاکمیت دسترسی است. ^{[۵] [۶] [۱۰]}

مرز این راهنما و تاریخ راستی‌آزمایی

این تحلیل در ۷ شهریور ۱۴۰۵، برابر با ۲۹ اوت ۲۰۲۶، با متن تنقیحی قانون پایانه‌های فروشگاهی شامل اصلاحات ۸ تیر ۱۴۰۴، دستورالعمل ماده ۲۰، بخشنامه شماره اقتصادی، دستورالعمل صورتحساب V07 و پرسش‌های متداول نسخه ۱٫۱۰ کنترل شده است. نام منو، ترتیب صفحه و روش احراز هویت ممکن است تغییر کند؛ مسیر زنده درگاه رسمی در روز اقدام مرجع است. ^{[۱] [۲] [۴] [۷] [۱۰]}

این مقاله مسیر کلیک‌به‌کلیک تازه‌ای را که از بیرون درگاه قابل مشاهده نیست اختراع نمی‌کند و داشتن یک گواهی را معادل اختیار نمایندگی حقوقی نمی‌گیرد. راهنمای موجود ژرف‌بان برای ترتیب عمومی ثبت‌نام مناسب است؛ این صفحه بر کنترل سازمانی پس از آن تمرکز دارد. برای پرونده خاص، آخرین پیام رسمی همان کارپوشه و نظر مسئول مالیاتی یا حقوقی را مستند کنید. ^{[۱۰] [۱۱] [۸]}

یک آزمون فصلی دسترسی برای سامانه مؤدیان اجرا کنید: فهرست کاربران و گواهی‌های فعال را با قرارداد کار، سمت سازمانی و اختیار مصوب مقایسه نمایید. حساب کاربر جداشده، گواهی نزدیک انقضا، کلید خصوصی جابه‌جا‌شده یا نقش بیش از نیاز باید مالک اصلاح و موعد بسته‌شدن داشته باشد. دستورالعمل ماده ۲۰ و مقررات گواهی الکترونیکی، اهمیت هویت و ابزار امضای معتبر را روشن می‌کنند؛ بنابراین نگهداری رمز یا کلید در پیام‌رسان و اشتراک یک حساب میان چند نفر شاهد کنترل‌شده محسوب نمی‌شود. نتیجه آزمون را با زمان آخرین ورود، تغییر نقش، لغو دسترسی و یک ارسال آزمایشی مستند کنید و گزارش آن را به مدیر مالی و مالک امنیت تحویل دهید. ^{[۲] [۵]}