Jak księgowy prowadzi cykl podatkowy klienta w KsięgowyUK

Pięcioetapowa pętla od podłączenia konta Agent Services Account do hashowanego SHA-256, niezmiennego receiptu w audit logu. Pod narracją znajdziesz uczciwy podział: które deklaracje są gotowe do bezpośredniego składania — zablokowanego do czasu uzyskania produkcyjnego dostępu od HMRC — a które oddajemy jako gotowy plik do uploadu.

1. Krok 1 — Konfiguracja jednorazowa

   Handshake z HMRC

   W panelu księgowego kliknij Connect to HMRC. Uruchamiamy OAuth UK Government dla danych Twojego firmowego konta Agent Services Account (ASA). Zwrócony token autoryzacyjny szyfrujemy w spoczynku algorytmem AES-256-GCM (zob. lib/secrets.ts) zanim w ogóle dotknie bazy. Od tego momentu software ma legalny dostęp API do składania w imieniu każdego klienta, który autoryzował Twoją firmę — bez haseł klienta, bez współdzielenia loginu Gateway.

2. Krok 2 — Wykonanie pracy

   Act as the client

   Z głównej listy klientów wybierz klienta i kliknij Act-As. Ustawiamy podpisane przez serwer ciasteczko (ACT_AS_MAX_AGE_SEC = 4 godziny) i Twój ekran staje się panelem klienta. Sprawdzasz paragony zeskanowane przez AI, ledger, pozwalasz modułowi podatkowemu policzyć liczby. Nigdy nie widzisz hasła klienta i nie potrzebujesz kodu 2FA. Każde wejście w trybie act-as jest zapisywane w audit logu pod Twoją prawdziwą tożsamością.

3. Krok 3 — Akceptacja klienta

   Wyślij do akceptacji

   Polskie i brytyjskie prawo: nie możesz wcisnąć Submit bez wyraźnej pisemnej akceptacji klienta. Klikasz Send for Approval i liczby trafiają do modułu Quarterly Reviews (status DRAFT). Klient dostaje alert w telefonie, otwiera aplikację, sprawdza matematykę, klika Approve. Rekord przechodzi w APPROVED, audit log zapisuje tożsamość klienta i znacznik czasu. Dni ścigania mailami zamienione na jedno tapnięcie.

4. Krok 4 — Złożenie deklaracji

   Payload zgłoszenia

   Gdy review ma status APPROVED, backend buduje payload MTD REST lub kopertę GovTalk XML dla modułu (VAT, ITSA kwartalny, ITSA crystallise, RTI FPS, CIS300) i dołącza HMRC fraud-prevention headers (Gov-Client-* device + IP + timezone z lib/hmrc-fraud-headers.ts). Transmisja do HMRC jest dziś wyłączona — fail-closed guard (lib/hmrc-filing-guard.ts) blokuje każdą ścieżkę wysyłki do czasu, aż dostaniemy produkcyjne dane dostępowe od HMRC, a UI wyłącza przycisk, zamiast udawać. Dostajesz teraz dokładny payload, gotowy do sprawdzenia i eksportu. Pozostałe moduły (CT600, SA800, CGT, SDLT, P11D) z założenia zatrzymują się o krok wcześniej — generujemy plik iXBRL lub obliczenie, a Ty uploadujesz do odpowiedniego portalu HMRC / Companies House.

   Gotowe do bezpośredniego składania: VAT · ITSA · RTI FPS · CIS300Compute & export — Ty składasz: CT600 · SA800 · CGT · SDLT · P11D

5. Krok 5 — Forensiczna obronność

   Niezmienny receipt + audit log

   Gdy transmisja będzie włączona, HMRC odpowie Correlation ID. Renderujemy receipt PDF (np. lib/vat-receipt-pdf.ts dla VAT), hashujemy SHA-256 i piszemy bajty + hash do prywatnego Vercel Blob. Akcja ląduje w audit logu (lib/audit.ts — append-only). Jeśli HMRC zacznie sprawdzać klienta za trzy lata, masz dowód co dokładnie złożyłeś, kiedy, czyim tokenem, i że klient wcześniej zaakceptował.