電子署名・タイムスタンプ確認の実務｜CFDI真正性チェックリスト

はじめに

CFDIは電子署名とタイムスタンプによって真正性が担保された証憑ですが、メキシコでは実体のない取引を装って発行される「架空請求書（factura falsa）」が社会問題となっています。そのため、SATは架空取引に関与した発行者をリスト化して公表しています。したがって、CFDIを受領する側の企業にとっては、単にXMLの形式が整っているかだけでなく、発行者の実在性・信頼性まで含めた真正性の確認が、税務リスクを避ける上で重要になります。本記事では、CFDI真正性チェックの方法（電子署名・タイムスタンプの仕組み、EFOSリストの確認）を、駐在員・現地経理担当者向けに整理します。

この記事のポイント

• CFDIには、発行者自身の電子署名（Sello Digital del CFDI、発行者が保有する証明書CSDの秘密鍵で署名）と、PAC（認証事業者）がSATに代わって付与するタイムスタンプ（Timbre Fiscal Digital、TFD）の2種類の電子的な認証情報が含まれている。
• これらの署名・タイムスタンプの技術的な検証は、通常は会計ソフトやPACの検証ツール、SATの公式検証サービスが自動的に行うため、経理担当者が手作業で暗号学的な検証を行う必要は基本的にない。
• 一方で、SATは実体のない取引を仮装して発行された「架空請求書」に関与した企業を「EFOS（Empresas que Facturan Operaciones Simuladas）」としてリスト化し、官報（DOF）等で公表しており、EFOSに該当する取引先からのCFDIに基づく費用計上・仕入税額控除は、税務当局から否認されるリスクがある。
• EFOSの確定リストが公表されると、そのCFDIを使って費用計上や控除等の税務上の効果を得ていた受領側の企業（EDOS＝Empresas que Deducen Operaciones Simuladas）は、公表日から30日以内に、実際に商品・サービスを受領したことを証明するか、税務上の効果を取り消す形で自主是正（修正申告等）するかのいずれかの対応が求められる。
• EFOSリストは「推定」段階と「確定」段階の2段階の公表プロセスを経るため、取引時点でリストに掲載されていなかった取引先が、後から確定リストに掲載されるケースもあり、一度確認して終わりにせず、定期的な再確認が望ましい。

CFDI真正性チェック フロー サマリー表

チェック項目	内容	確認方法
①電子署名の有効性	発行者のSello Digital（CSDの秘密鍵による署名）が有効か	会計ソフト・PACツールでの自動検証
②タイムスタンプの有効性	PACが付与したTFDが正しいか	会計ソフト・PACツールでの自動検証
③CFDIのステータス	有効（Vigente）か取消済みか	SATの検証サービス
④発行者のEFOS該当性	発行者がEFOS（確定・推定）リストに該当しないか	SATが公表するEFOSリストとの照合
⑤定期的な再確認	取引後もリスト掲載状況を再確認（該当時は30日以内に対応）	月次・四半期等の定期チェック

CFDIの電子署名・タイムスタンプの仕組み

発行者の電子署名（Sello Digital del CFDI）

CFDIの発行者は、自身のCSD（Certificado de Sello Digital、SATから発行される電子証明書）の秘密鍵を用いて署名します。この署名が「Sello Digital del CFDI」としてCFDIに含まれています。これにより、CFDIの内容が発行後に改ざんされていないこと、および発行者本人が発行したものであることが技術的に担保されます。

タイムスタンプ（Timbre Fiscal Digital）

CFDIは、発行者が作成した時点ではまだ正式なCFDIとして成立していません。PAC（Proveedor Autorizado de Certificación、SAT認定の認証事業者）による「timbrado（タイムスタンプ付与）」を経て、初めて法的に有効なCFDIとなります。このタイムスタンプ付与の過程で、UUID（Folio Fiscal）、タイムスタンプが付与された日時、PACの署名等を含む「Timbre Fiscal Digital（TFD）」が付加されます。

技術的な検証は自動化されているのが実務上の前提

これらの電子署名・タイムスタンプの暗号学的な検証は、通常、会計ソフトやPACが提供するツール、あるいはSATの公式検証サービスによって自動的に行われます。経理担当者が手作業で証明書の有効性を暗号学的に検証する必要は基本的になく、実務上は「検証済みである」ことを示すツールの結果を確認することが中心になります。

EFOS（架空取引発行企業）リストの確認

EFOSリストとは

SATは、連邦税法（CFF）第69条-Bに基づき、実体のない取引を仮装して発行された「架空請求書」に関与したとみなされる企業を「EFOS（Empresas que Facturan Operaciones Simuladas）」と呼びます。そして、SATはこれらの企業をリスト化し、公表しています。そのため、EFOSに該当する企業から受領したCFDIに基づく費用計上・仕入税額控除は、実際の取引の実在性を証明できない限り、税務当局から否認されるリスクがあります。

推定リストと確定リストの2段階

EFOSリストの公表プロセスには2段階あります。当局が疑いを持った段階で公表される「推定（presuntos）」リストと、当該企業に一定の弁明期間を与えた後に最終的に公表される「確定（definitivos）」リストです。また、取引時点では推定リストにすら掲載されていなかった取引先が、後から確定リストに掲載されるケースもあるため、一度確認しただけで安心せず、定期的に再確認することが望ましいといえます。

確定リスト公表後の対応期限（30日）

取引先が確定リストに掲載されると、そのCFDIを使って費用計上や仕入税額控除などの税務上の効果を得ていた受領側の企業（EDOS＝Empresas que Deducen Operaciones Simuladas）は、CFF第69条-Bに基づく対応義務を負います。確定リスト公表日から30日以内に、実際に商品・サービスの提供を受けたことを証明する資料を提出するか、当該取引の税務上の効果を取り消す形で自主的に是正（修正申告等）するか、いずれかの対応を行うことが求められます。なお、この期限内に対応しない場合、当局は当該取引を仮装取引とみなし、控除等を一律否認する扱いとなるため、確定リストの公表を把握したら速やかに対応することが重要です。

実務上の確認方法

発行者がEFOSリストに該当するかどうかは、SATが公表するリスト（官報DOF掲載分、SATウェブサイト上の一覧・オープンデータ等）と、自社の主要取引先のRFCを照合することで確認できます。特に、取引金額が大きい取引先や、新規の取引先については、契約・取引開始前にこの確認を行うことが望ましいといえます。

よくある誤解と正しい理解

• 誤解：CFDIの電子署名・タイムスタンプが正しければ、その取引は税務上必ず認められる。
  正解：電子署名・タイムスタンプの有効性は証憑の形式的な真正性を示すに過ぎず、発行者がEFOSに該当する場合等、取引の実在性自体が否認されるリスクは別途存在する。
• 誤解：EFOSリストは一度確認すれば、その後は確認不要である。
  正解：推定・確定の2段階のプロセスを経て後から掲載されるケースもあるため、定期的な再確認が望ましい。
• 誤解：電子署名・タイムスタンプの検証は、経理担当者が個別に暗号学的な検証作業を行う必要がある。
  正解：通常は会計ソフトやPACのツール、SATの検証サービスが自動的に検証するため、担当者はその結果を確認することが中心になる。

実務FAQ

Q. 取引先がEFOSの確定リストに掲載されていることが分かった場合、どう対応すればよいか。

A. 確定リストの公表日から30日以内の対応が必要です。実際に商品・サービスの提供を受けたことを証明する資料（契約書、納品書、検収記録等）を提出するか、当該取引の税務上の効果を取り消す形で自主的に是正（修正申告等）するか、いずれかを選びます。なお、この期限内に対応しないと、当局は取引を仮装取引とみなし、控除等が一律否認される扱いとなるため、時間的猶予は大きくありません。そのため、判断が難しい場合は速やかに税務アドバイザーに相談することが望ましいといえます。

Q. 新規の取引先と契約する前に、何を確認すればよいか。

A. 相手企業のRFCがEFOSリスト（推定・確定）に該当しないかを確認するとともに、実体のある事業を行っているか（所在地の実在性、事業内容等）を一定程度確認することが望ましいといえます。

Q. 電子署名・タイムスタンプの検証を自社で個別に行う必要はあるか。

A. 基本的には、利用している会計ソフトやPACのサービス、SATの検証ツールが自動的に検証を行うため、個別に暗号学的な検証を行う必要はありません。

実務チェックリスト

• 会計ソフト・PACツールでCFDIの電子署名・タイムスタンプの検証結果を確認したか
• SATの検証サービスでCFDIのステータス（Vigente）を確認したか
• 主要取引先のRFCがEFOSの推定・確定リストに該当しないか確認したか
• 新規取引先については、契約前にEFOS該当性を確認したか
• 定期的（月次・四半期等）にEFOSリストとの照合を行っているか
• EFOS該当が判明した場合、公表日から30日以内に実在性の証明または自主是正の対応方針を検討したか

まとめ

CFDIの真正性確認は、電子署名・タイムスタンプという技術的な仕組みの理解に加えて、SATが公表するEFOSリストとの照合という、より実務的なリスク管理までを含めて考える必要があります。技術的な検証は会計ソフトやツールに委ねつつ、取引先のEFOS該当性を定期的に確認することが重要です。そのうえで、確定リスト公表時には30日以内という期限を意識し、速やかに対応する運用を組み込むことが、税務リスクに備えた実務に定着するCFDI管理につながります。

本記事は、「日系企業が安心してメキシコで事業を展開できるための知識基盤」を目的に作成しています。今後も実務に役立つ情報を発信してまいります。

関連記事

• CFDI受領から仕訳まで｜XML検証・税率確認・保管手順
• CFDI取消・代替発行の現場対応｜期限・理由コード・再発行フロー
• SATポータルからのCFDI一括取得｜監査・税務調査に備える保管術

リソース

• SAT（税務庁）公式サイト・EFOS/EDOSリスト公表ページ
• 連邦税法（CFF）第69条-B