W 2025 roku Prezes Urzędu Ochrony Danych Osobowych nałożył kary przekraczające łącznie 64 mln zł — wobec niespełna 14 mln zł rok wcześniej. To ponadczterokrotny wzrost w ciągu dwunastu miesięcy. Liczba skarg trafiających do urzędu podskoczyła z 8 tys. do blisko 13 tys. (UODO, sprawozdanie za 2025 r.). Sam RODO to jednak tylko jeden front. Równolegle rosną kary za zatory płatnicze, zaostrzają się przepisy antymobbingowe, a od kwietnia 2026 r. obowiązki z zakresu cyberbezpieczeństwa objęły dziesiątki tysięcy firm, które wcześniej w ogóle o nich nie myślały.
Wniosek dla przedsiębiorcy jest prosty: organy kontrolne nie sprawdzają już wyłącznie tego, czy doszło do naruszenia. Sprawdzają, co firma zrobiła, żeby do niego nie dopuścić. I właśnie na to pytanie odpowiada system compliance — zbiór wewnętrznych procedur, które w razie kontroli albo procesu stają się dowodem należytej staranności.
Najważniejsze wnioski
- Kary UODO wzrosły z niespełna 14 mln zł (2024) do ponad 64 mln zł (2025), a liczba skarg — z 8 tys. do blisko 13 tys.
- Do PIP wpłynęło w 2025 r. ponad 2,6 tys. skarg na mobbing, o 34% więcej niż rok wcześniej (PIP, 2026).
- Po nowelizacji Kodeksu pracy podpisanej 30 lipca 2026 r. pracodawcy zatrudniający co najmniej 10 osób muszą mieć wewnętrzną procedurę antymobbingową — z terminem 6 miesięcy od wejścia ustawy w życie.
- Kara pieniężna wobec podmiotu zbiorowego sięga 5 mln zł, nie więcej niż 3% przychodu (art. 7 u.o.p.z.).
- Wdrożenie procedur nie jest kwestią wielkości firmy, lecz progów ustawowych — najniższy z nich zaczyna się już przy 10 pracownikach.
Czym w praktyce jest system compliance?
Corporate compliance to uporządkowany zestaw procedur, regulaminów i praktyk, którego zadaniem jest zapewnienie zgodności działania firmy z przepisami prawa, wymogami branżowymi i standardami etycznymi. Kluczowe słowo brzmi: prewencja. System compliance nie służy do gaszenia pożarów, tylko do tego, żeby wykryć nieprawidłowość, zanim zainteresuje się nią inspektor, prokurator albo pełnomocnik byłego pracownika.
Przez lata pokutowało przekonanie, że to zabawka międzynarodowych korporacji. Dziś jest inaczej — nie dlatego, że zmieniła się moda, ale dlatego, że polski ustawodawca wpisał obowiązek posiadania konkretnych procedur do kolejnych ustaw. Firma zatrudniająca 50 osób musi mieć kanał zgłoszeń dla sygnalistów. Firma zatrudniająca 10 osób będzie musiała mieć procedurę antymobbingową. Biuro rachunkowe, pośrednik nieruchomości czy kantor musi mieć procedurę AML. To już nie jest wybór.
Dobrze zaprojektowany system zaczyna się od audytu — mapowania ryzyk charakterystycznych dla danej branży, modelu sprzedaży i struktury organizacyjnej. Firma budowlana ma inne ryzyka niż sklep internetowy, a spółka z jednoosobowym zarządem inne niż spółka z radą nadzorczą. Kopiowanie cudzych regulaminów z internetu daje dokument, który przed sądem nie broni niczego. Wsparcie, jakiego udziela w tym zakresie kancelaria adwokacka zajmująca się obsługą prawną firm w Częstochowie, polega właśnie na dopasowaniu procedur do rzeczywistych procesów w konkretnym przedsiębiorstwie.
Które przepisy już dziś wymuszają wewnętrzne procedury?
Rok 2026 przyniósł kumulację terminów, jakiej polscy przedsiębiorcy dawno nie mieli. Warto zobaczyć te obowiązki obok siebie, bo dopiero wtedy widać skalę:
- Ochrona sygnalistów — od 25 września 2024 r. podmioty zatrudniające co najmniej 50 osób muszą mieć wewnętrzną procedurę zgłoszeń. Od wejścia ustawy w życie do 8 lipca 2026 r. do Rzecznika Praw Obywatelskich trafiły 1 004 zgłoszenia zewnętrzne, a do Szefa KAS — 535 zgłoszeń (dane RPO i KAS, 2026).
- Przeciwdziałanie mobbingowi i dyskryminacji — nowelizacja Kodeksu pracy podpisana 30 lipca 2026 r., wchodząca w życie po trzech miesiącach od ogłoszenia.
- Cyberbezpieczeństwo (KSC/NIS2) — nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 2 kwietnia 2026 r. i objęła około 42 tys. podmiotów. Pierwsze sześć miesięcy to okres samoidentyfikacji i rejestracji, pełne wdrożenie — do 2 kwietnia 2027 r.
- KSeF — obowiązek odbierania faktur ustrukturyzowanych objął wszystkich przedsiębiorców od 1 lutego 2026 r., a obowiązek wystawiania — od 1 kwietnia 2026 r. dla podmiotów poza grupą największych.
- AML — instytucje obowiązane muszą stosować procedurę wewnętrzną i oceniać ryzyko klienta. W 2025 r. do GIIF wpłynęło 11 071 zawiadomień o transakcjach podejrzanych, o 36% więcej niż rok wcześniej (GIIF, sprawozdanie za 2025 r.).
- RODO — rejestr czynności przetwarzania, analiza ryzyka i procedura reagowania na naruszenia.
Zwróćmy uwagę na jedną rzecz. Każdy z tych aktów prawnych używa innej terminologii, ale wymaga tego samego: żeby firma miała spisaną procedurę, potrafiła wykazać, że jej faktycznie używa, i wskazała osobę odpowiedzialną. To jest szkielet compliance — reszta to szczegóły branżowe.
Prewencja antymobbingowa — najbliższy termin do odhaczenia
Do Państwowej Inspekcji Pracy wpłynęło w 2025 r. ponad 2 626 skarg dotyczących mobbingu — o 34% więcej niż rok wcześniej. Inspektorzy podjęli w ich następstwie blisko 1 600 czynności kontrolnych, o 18,8% więcej niż w 2024 r. (PIP, 2026). Za zasadne uznano 129 skarg. Ta ostatnia liczba bywa cytowana jako dowód, że problem jest wyolbrzymiony — to błąd w rozumowaniu. Postępowanie przed inspekcją to nie to samo co proces cywilny, a to właśnie w sądzie pracy rozstrzyga się kwestia zadośćuczynienia.
Nowelizacja Kodeksu pracy podpisana przez Prezydenta 30 lipca 2026 r. zmienia zasady gry na niekorzyść pracodawcy, który nie ma procedur. Trzy zmiany są najistotniejsze:
- Nowa definicja mobbingu — ocena zachowania będzie dokonywana niezależnie od tego, czy sprawca działał celowo, i bez konieczności wykazania konkretnego skutku u pracownika.
- Minimalne zadośćuczynienie — nie niższe niż sześciokrotność minimalnego wynagrodzenia, czyli 28 836 zł przy stawce 4 806 zł obowiązującej w 2026 r.
- Rozkład ciężaru dowodu — pracownik zarzucający naruszenie zasady równego traktowania będzie je jedynie uprawdopodabniał, a wykazanie, że do naruszenia nie doszło, spocznie na pracodawcy.
Ta trzecia zmiana jest w praktyce najgroźniejsza. Jak pracodawca ma udowodnić, że czegoś nie było? Odpowiedź brzmi: dokumentacją systemu prewencji. Pracodawcy zatrudniający co najmniej 10 pracowników będą musieli określić w akcie wewnątrzzakładowym zasady, procedury i częstotliwość działań przeciwdziałających mobbingowi i dyskryminacji — a następnie wykazać, że działania te rzeczywiście przeprowadzono. Termin: sześć miesięcy od dnia wejścia ustawy w życie.
Co powinna zawierać taka procedura, żeby nie była martwym dokumentem? Jasno opisaną ścieżkę zgłoszenia — do kogo, w jakiej formie, w jakim terminie. Skład i tryb pracy komisji rozpatrującej zgłoszenie. Zasadę ochrony osoby zgłaszającej przed działaniami odwetowymi. Cykliczne szkolenia z listą obecności i testem sprawdzającym. I — to punkt najczęściej pomijany — protokoły z przeglądów, które dowodzą, że firma wraca do tematu regularnie, a nie raz na pięć lat.
Warto też pamiętać, że tylko co piąty pracownik skorzystał z istniejącej wewnątrzzakładowej procedury antydyskryminacyjnej (PIP, 2025). Procedura, o której załoga nie wie, nie chroni nikogo — ani pracownika, ani pracodawcy.
Jak compliance chroni członków zarządu?
Brak procedur uderza w spółkę, ale najboleśniej odczuwają go osoby zarządzające. Członek zarządu spółki kapitałowej odpowiada wobec spółki za szkodę wyrządzoną działaniem lub zaniechaniem sprzecznym z prawem albo umową spółki (art. 293 i art. 483 k.s.h.), przy czym oceniany jest według miernika staranności wynikającej z zawodowego charakteru działalności. To surowszy standard niż zwykła staranność — sąd pyta nie o dobre intencje, lecz o to, czy zarząd zorganizował kontrolę w sposób, jakiego można oczekiwać od profesjonalisty.
Dalej robi się poważniej. Artykuł 299 k.s.h. otwiera drogę do odpowiedzialności członka zarządu spółki z o.o. majątkiem osobistym za zobowiązania spółki, jeżeli egzekucja wobec niej okaże się bezskuteczna. Artykuł 296 Kodeksu karnego przewiduje odpowiedzialność za wyrządzenie znacznej szkody majątkowej przez nadużycie uprawnień lub niedopełnienie obowiązku. Do tego dochodzi odpowiedzialność karnoskarbowa za nierzetelne rozliczenia — obszar, w którym argument „nie wiedziałem, jak działa księgowość" nie jest linią obrony.
Sama spółka też ponosi ryzyko. Zgodnie z art. 7 ustawy o odpowiedzialności podmiotów zbiorowych sąd orzeka wobec niej karę pieniężną od 1 000 zł do 5 000 000 zł, nie wyższą jednak niż 3% przychodu osiągniętego w roku obrotowym, w którym popełniono czyn zabroniony. Kierunek prac legislacyjnych nad tą ustawą od kilku lat zmierza w stronę zaostrzenia sankcji i uzależnienia odpowiedzialności spółki od tego, czy wdrożyła realną prewencję organizacyjną.
Gdzie w tym wszystkim jest tarcza? W udokumentowanym systemie. Transparentne procedury decyzyjne, protokoły z posiedzeń zarządu, opinie prawne przed ryzykowną transakcją, regulamin weryfikacji kontrahentów — to materiał dowodowy pokazujący, że decyzja zapadła w oparciu o rzetelnie zebrane informacje. W sprawach, w których pojawia się wątek odpowiedzialności karnej i karnoskarbowej kadry zarządzającej, taka dokumentacja bywa jedynym twardym argumentem obrony.
Weryfikacja kontrahenta — procedura, która zwraca się najszybciej
Procedury KYC (Know Your Customer) kojarzą się z bankowością, ale w zwykłej spółce handlowej pełnią prostszą i bardziej wymierną funkcję: chronią przed nierzetelnym partnerem i przed zarzutem braku należytej staranności ze strony organów podatkowych.
Skala problemu z płatnościami jest dobrze udokumentowana. W 2025 r. UOKiK przeanalizował 385,2 mln faktur pochodzących od 148,5 tys. podmiotów i zidentyfikował opóźnienia w płatnościach o łącznej wartości 881,2 mln zł. Wydano 29 decyzji nakładających kary przekraczające 10 mln zł, a wobec 177 firm zastosowano tzw. wystąpienia miękkie — wobec 79 rok wcześniej (UOKiK, 2026). Około połowa firm, które takie wystąpienie otrzymały, poprawiła swoje praktyki płatnicze.
Co powinna obejmować podstawowa procedura weryfikacji przed podpisaniem umowy? Sprawdzenie KRS albo CEIDG i zakresu reprezentacji osoby podpisującej. Weryfikację rachunku na białej liście podatników VAT — przelew na rachunek spoza wykazu przy transakcji powyżej 15 tys. zł oznacza utratę prawa do zaliczenia wydatku do kosztów i solidarną odpowiedzialność za VAT kontrahenta. Sprawdzenie w rejestrach dłużników. Przy większych kontraktach — sprawdzenie sprawozdań finansowych w Krajowym Rejestrze Sądowym.
To kilkanaście minut pracy przed transakcją zamiast kilkunastu miesięcy procesu po niej. Do tego dochodzi kwestia zabezpieczeń umownych: kary umownej, zastrzeżenia własności rzeczy sprzedanej, gwarancji zapłaty. Te mechanizmy działają tylko wtedy, gdy zostały w umowie prawidłowo skonstruowane — źle sformułowana kara umowna bywa przez sąd miarkowana albo uznawana za nieskuteczną.
Jak wdrożyć compliance w małej i średniej firmie?
Nie trzeba budować działu compliance. W firmie zatrudniającej kilkadziesiąt osób wystarcza uporządkowany proces złożony z sześciu kroków:
- Audyt i mapa ryzyk — przegląd obszarów działalności pod kątem tego, które przepisy realnie dotyczą firmy i gdzie leżą największe ekspozycje. Punkt wyjścia: liczba pracowników, branża, obrót, rodzaj przetwarzanych danych, struktura właścicielska.
- Ustalenie progów ustawowych — sprawdzenie, które obowiązki już powstały, a które powstaną po przekroczeniu kolejnego progu zatrudnienia lub przychodu. To pozwala planować, a nie reagować.
- Opracowanie dokumentacji — procedura antymobbingowa, procedura zgłoszeń wewnętrznych, polityka ochrony danych, zasady weryfikacji kontrahentów, regulamin obiegu dokumentów. Każdy dokument dopasowany do realnych procesów, nie do wzorca.
- Przypisanie odpowiedzialności — imiennie wskazana osoba za każdy obszar, z określonym zakresem uprawnień. Procedura bez właściciela to procedura martwa.
- Szkolenia z weryfikacją — szkolenie zakończone testem sprawdzającym i podpisaną listą obecności. Udokumentowany wynik takiego szkolenia jest w sporze sądowym jednym z najmocniejszych dowodów na dołożenie należytej staranności.
- Cykliczny przegląd — raz do roku, protokołowany, z aktualizacją po każdej istotnej zmianie przepisów. W 2026 r. takich zmian było kilka.
Najczęstszy błąd? Zamówienie pakietu dokumentów, wpięcie go do segregatora i zapomnienie. Sąd i inspektor nie oceniają grubości segregatora — pytają o daty szkoleń, o zgłoszenia, które wpłynęły, i o to, co firma z nimi zrobiła. Drugi typowy błąd to procedura oderwana od struktury: kanał zgłoszeń prowadzony przez osobę, na którą najczęściej się skarżą, albo komisja antymobbingowa złożona wyłącznie z członków zarządu.
Dlaczego to inwestycja, a nie koszt?
Argument finansowy jest najprostszy do policzenia. Minimalne zadośćuczynienie za mobbing to po nowelizacji 28 836 zł — do tego dochodzą koszty zastępstwa procesowego, koszty sądowe i czas zarządu poświęcony na proces. Kara UODO w 2025 r. potrafiła sięgnąć kilkunastu milionów złotych; najwyższa ubiegłoroczna decyzja opiewała na ponad 18,4 mln zł. Kary przewidziane w znowelizowanej ustawie o KSC dla podmiotów kluczowych sięgają 10 mln euro albo 2% rocznego światowego obrotu. Koszt wdrożenia procedur jest wobec tych kwot pozycją marginalną.
Jest też druga strona, o której mówi się rzadziej. Firma z uporządkowaną dokumentacją wewnętrzną przechodzi due diligence przed transakcją bez obniżenia wyceny. Łatwiej spełnia wymagania kwalifikacyjne w przetargach publicznych. Szybciej domyka finansowanie bankowe. Wygląda wiarygodniej w oczach dużych kontrahentów, którzy coraz częściej audytują swoich dostawców. Dla przedsiębiorstw działających w e-commerce i branżach cyfrowych — gdzie kumulują się obowiązki z zakresu RODO, cyberbezpieczeństwa i regulaminów świadczenia usług — bywa to warunek wejścia we współpracę z większym partnerem.
Compliance nie eliminuje ryzyka. Przenosi je z obszaru, w którym firma jest bezbronna, do obszaru, w którym ma argumenty. To jest cała różnica.
Od czego zacząć?
Od odpowiedzi na trzy pytania. Ilu pracowników zatrudnia firma — bo od tej liczby zależą progi ustawowe. Jakie dane przetwarza i czyje. Z jakimi kontrahentami współpracuje i jak wygląda proces zawierania umów. Te trzy odpowiedzi wystarczą, żeby ustalić, które obowiązki już powstały, a które są kwestią najbliższych miesięcy.
Kolejność ma znaczenie: najpierw audyt, potem dokumenty. Odwrotna kolejność kończy się zestawem regulaminów, które nie pasują do firmy i w razie kontroli okazują się bezużyteczne. Jeśli w grę wchodzą postępowania przed organami administracji — kontrole, decyzje, odwołania — warto od początku uwzględnić także perspektywę postępowań administracyjnych i kontroli organów państwowych.
Bezpłatna pierwsza konsultacja — bez limitu czasu i bez zobowiązań
Jeżeli zastanawiają się Państwo, które obowiązki compliance dotyczą już dziś Państwa firmy i od czego zacząć wdrożenie — zapraszamy na konsultację. Pierwsze spotkanie w Kancelarii jest bezpłatne. Obejmuje analizę sytuacji prawnej przedsiębiorstwa, przegląd przekazanych dokumentów i omówienie możliwych kierunków działania. Nie ma limitu czasowego i nie wiąże się z żadnym zobowiązaniem do dalszej współpracy.
Telefon: +48 737 423 074
Umów termin: bezpłatna konsultacja prawna w Częstochowie
Formularz i dane kontaktowe: kontakt z kancelarią
Obsługujemy przedsiębiorców z Częstochowy oraz z okolicznych miejscowości — Kłobucka, Blachowni, Konopisk, Myszkowa, Lublińca, Zawiercia, Radomska i Koniecpola. Spotkanie może odbyć się w Kancelarii lub zdalnie.
Kancelaria Adwokacka Adwokat Damian Adasiewicz
ul. Dąbrowskiego 15 lok. 22, Częstochowa
Niniejszy artykuł ma charakter wyłącznie informacyjny i nie stanowi porady prawnej. Stan prawny na wrzesień 2026 r. Ocena sytuacji konkretnego przedsiębiorstwa wymaga indywidualnej analizy dokumentów i okoliczności sprawy.
