Чому не можна передавати свій КЕП бухгалтеру: безпечний порядок роботи

ФОП і бухгалтер: як працювати без спільного особистого ключа

Коли ФОП замовляє бухгалтерську послугу, окремо визначають підготовку даних, погодження, підписання й контроль прийняття. Договір із бухгалтером не перетворює особистий ключ підприємця на ключ бухгалтера. Якщо підписує сам ФОП, бухгалтер передає йому готовий файл та контрольні підсумки; ФОП перевіряє остаточну редакцію і застосовує власний ключ. Якщо підписуватиме інша особа, спочатку перевіряють належні повноваження та процедуру електронного подання саме для цього платника й документа, а не просто копіюють ключ.

Що передати бухгалтеру, а що залишити під контролем власника

Контроль остаточного файла: від чернетки до квитанції

1. Зафіксуйте назву форми, платника, період і тип документа в короткій контрольній довідці.
2. Зіставте дані у файлі, який фактично підписуєте, з погодженим розрахунком; попередній PDF не доводить, що пізніший XML не змінили.
3. Перевірте склад пакета, додатки та фактичного підписувача перед відправленням.
4. Не називайте підписаний, але не відправлений документ поданим; так само відправлення не є підтвердженням прийняття.
5. Збережіть остаточний файл, дані перевірки підпису та квитанції разом із журналом погодження.
6. Після зміни виконавця перевірте незавершені відправлення та відкличте непотрібні ролі в кожному сервісі окремо.

Приклад помилки: погодили декларацію, а підписали іншу редакцію

Підприємець погодив чернетку, після чого бухгалтер виправив суму й повторно сформував XML. Підпис попередньої редакції не поширюється на новий файл. Потрібно знову звірити остаточні показники й підписати саме погоджену версію. Не вирішуйте цю проблему передачею ключа: запровадьте правило версій, коротке повідомлення про зміни та окремий контроль квитанцій. Якщо ключ уже став відомий стороннім, діє процедура інциденту нижче, а не прохання «просто видалити копію».

Що саме небезпечно передавати

Розділяйте відкритий сертифікат і особистий ключ. Сертифікат містить відкриті відомості для перевірки підпису; особистий ключ використовується для його створення. Пароль захищає доступ до ключа, а не надає іншій людині окремі повноваження. Пересилання ключа й пароля одним повідомленням дозволяє використати їх разом. Пересилання різними каналами також не перетворює чужий ключ на належний спосіб делегування.

Розділіть підготовку, погодження й підписання

Як надати іншій особі право підпису звітності

ДПС пояснює, що керівник визначає уповноважених осіб та їхні повноваження. Для надання права підпису електронних документів контролюючий орган повідомляють за Порядком №557. У повідомленні зазначають підписувачів; застосовують їхні власні підписи, потім підпис керівника й електронну печатку за наявності відповідно до встановленої процедури. Не обмежуйтеся передачею доступу до робочого комп’ютера.

1. Визначте, хто лише готує дані, а хто має підписувати конкретний вид документа.
2. Оформіть належні повноваження та перевірте вимоги саме для цього платника й документа.
3. Звірте чинний формат повідомлення у реєстрі електронних форм і у вашій програмі.
4. Подайте потрібні відомості та перевірте результат їх прийняття.
5. Перевірте робочий сценарій із власним підписом уповноваженої особи й збережіть підтвердження.

Чому не варто переписувати код форми зі старої інструкції

У доступній довідці Електронного кабінету наведено код J/F1391104, а офіційне роз’яснення ДПС від 2026 року щодо делегування підпису ПН/РК вже називає J/F1391105. Тому код із чужого скриншота не слід використовувати без звірки актуальної форми й призначення документа. Різниця номерів не означає, що для безпечної роботи треба скористатися ключем керівника замість належного оформлення повноважень.

Приклад передачі справ без передачі ключа

Бухгалтер готує декларацію та передає керівнику погоджений пакет і контрольну довідку. Керівник звіряє дані й сам підписує свою версію документа. Якщо надалі підписуватиме інша уповноважена особа, для неї окремо оформлюють повноваження й налаштовують подання з її власним підписом. Перед зміною підписувача перевіряють незавершені відправлення, чинні сертифікати та потрібні повідомлення. У журналі варто записати, хто підготував, хто погодив і хто підписав конкретну версію.

Якщо ключ або пароль уже передали

1. Припиніть подальше використання скомпрометованого комплекту й зверніться до свого кваліфікованого надавача.
2. Повідомте обставини інциденту та виконайте процедуру зміни статусу сертифіката. КНЕДП ДПС вимагає невідкладного звернення за скасуванням за факту або обґрунтованої підозри компрометації.
3. Збережіть відомості про час виявлення, канали передачі й коло осіб, які могли мати доступ.
4. Перевірте документи та відправлення за відповідний період; сумнівні операції розбирайте окремо, не вважаючи їх автоматично анульованими.
5. Після отримання нового ключа перевірте необхідність оновити відомості про сертифікат у робочих системах і ДПС.
6. Перегляньте права в сервісі та порядок звільнення чи заміни бухгалтера, щоб прибрати причину повторного інциденту.

Типові помилки та межі перевірки

Зміна пароля в пошті або видалення повідомлення не гарантують, що копії ключа зникли. Заміна ключа не скасовує автоматично всі раніше підписані документи. Скасований сертифікат КНЕДП ДПС не поновлюється; блокування й скасування — різні процедури. Не публікуйте ключі, паролі або повні персональні дані в заявках до техпідтримки. У запиті достатньо спочатку описати помилку й користуватися офіційним каналом надавача.

FAQ

1. Чи можна дати бухгалтеру тільки пароль? Не передавайте дані, що дозволяють використати ваш особистий ключ; налаштуйте роботу з власними підписами.
2. Чи достатньо відкритого сертифіката, щоб підписати документ? Ні, сертифікат і особистий ключ мають різні функції.
3. Чи вирішує довіреність питання передачі чужого ключа? Повноваження потрібно реалізовувати належним способом, із власним підписом уповноваженої особи.
4. Що робити за підозри використання ключа стороннім? Звернутися до надавача, зафіксувати інцидент і перевірити пов’язані документи.