INSTRUKCJA WYPEŁNIENIA

Do czego służy: To wewnętrzny dokument spółki, który opisuje jak zorganizowany jest system pilnowania zgodności działalności firmy z prawem (system compliance). Określa, kto za co odpowiada, jakie ma uprawnienia osoba odpowiedzialna za compliance (Compliance Officer) oraz jak działa cały proces: monitorowanie przepisów, kontrole, raportowanie, szkolenia.

Kiedy się go używa: Procedurę przyjmuje się raz - uchwałą zarządu - a następnie stosuje na bieżąco. Jest punktem odniesienia przy organizacji pracy komórki compliance, planowaniu kontroli, reagowaniu na incydenty i raportowaniu do organów spółki. Procedura podlega corocznemu przeglądowi.

Podstawa prawna: Brak jednej ustawy nakazującej każdej spółce posiadanie takiej procedury - jest to dobrowolny standard ładu korporacyjnego (compliance). Powiązane przepisy to m.in. art. 201 i art. 368 Kodeksu spółek handlowych (prowadzenie spraw spółki przez zarząd), ustawa z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, ustawa z 14 czerwca 2024 r. o ochronie sygnalistów, RODO. Stan prawny: 2025/2026 r. Dla podmiotów regulowanych (np. instytucje finansowe) obowiązują dodatkowo wytyczne organów nadzoru (np. KNF).

Jak wypełnić - krok po kroku:

1. Nazwa spółki (występuje w tytule, w § 1 i w definicjach) - wpisz pełną nazwę firmy zgodnie z wpisem do KRS (np. “ABC sp. z o.o. z siedzibą w Warszawie”). Wpisz ją wszędzie tam, gdzie we wzorze jest pole.
2. Organ nadzoru - wybór (występuje w § 3, § 9, § 11, § 12) - w wielu miejscach jest zapis “Rada Nadzorcza/Komisja Rewizyjna/Komitet Audytu”. Zostaw tę nazwę organu, który faktycznie działa w Twojej spółce, a pozostałe wykreśl. Jeśli w spółce nie ma żadnego z tych organów (np. mała sp. z o.o. bez rady nadzorczej), usuń odwołania do tego organu i zostaw sam zarząd jako organ nadzorujący.
3. Czas trwania kontroli (§ 9 ust. 4) - wpisz maksymalny czas jednej kontroli (we wzorze przykładowo 2 tygodnie). Możesz zostawić 2 tygodnie albo dostosować do skali firmy.
4. Termin przekazania raportu z kontroli (§ 9 ust. 4) - wpisz liczbę dni na sporządzenie raportu po zakończeniu kontroli (we wzorze przykładowo 7 dni).
5. Próg kwotowy raportowania ad hoc (§ 11 ust. 2) - wpisz kwotę kary finansowej, powyżej której Compliance Officer ma natychmiast informować zarząd (we wzorze przykładowo 100.000 zł). Dostosuj do wielkości firmy.
6. Częstotliwość raportowania realizacji planu (§ 12 ust. 4) - wpisz, jak często raportowana jest realizacja rocznego planu (we wzorze przykładowo kwartalnie).
7. Data wejścia w życie (§ 14 pkt 3) - wpisz datę, od której procedura obowiązuje (zwykle data uchwały zarządu albo data wskazana w uchwale).
8. Checklista (załącznik na końcu) - to narzędzie robocze dla osoby odpowiedzialnej za compliance. Wypełnia się ją zaznaczając TAK / NIE / CZĘŚCIOWO przy każdym obszarze ryzyka. Nie trzeba jej wypełniać przy przyjmowaniu procedury - służy do bieżącej oceny ryzyka.

Na co uważać / typowe błędy:

• Procedurę przyjmuje uchwała zarządu - bez uchwały dokument nie obowiązuje. Zachowaj uchwałę razem z procedurą.
• Wybierz tylko jeden organ nadzoru (rada nadzorcza / komisja rewizyjna / komitet audytu) i usuń pozostałe warianty w całym dokumencie - inaczej powstaną sprzeczności.
• Jeśli spółka nie ma rady nadzorczej - nie wpisuj jej “na zapas”. Dostosuj zapisy do realnej struktury organów.
• Funkcja compliance ma sens tylko jeśli Compliance Officer ma realną niezależność i dostęp do zarządu - nie podporządkowuj go działowi, który ma kontrolować.
• Procedura wymaga corocznego przeglądu - wpisz to do kalendarza, inaczej dokument szybko się zdezaktualizuje.
• Dla podmiotów regulowanych (banki, instytucje finansowe, ubezpieczyciele) sprawdź dodatkowo wytyczne właściwego organu nadzoru - mogą narzucać szczegółowe wymogi.

WZÓR

PROCEDURA ORGANIZACYJNA FUNKCJI COMPLIANCE

w [ ……………….. ] (wpisz: pełna nazwa spółki zgodnie z KRS)

§ 1. Cel i zakres procedury

1. Niniejsza Procedura określa organizację i zakresy odpowiedzialności wspierające realizację założeń wdrożonego w [ ……………….. ] (wpisz: nazwa spółki) systemu zarządzania zgodnością (systemu compliance).

2. Celem rozwiązań wprowadzanych niniejszą Procedurą jest:

   1. zapewnienie zgodności prowadzonej przez Spółkę działalności z przepisami prawa, zaleceniami i wytycznymi organów nadzoru, Regulacjami wewnętrznymi oraz standardami postępowania właściwymi dla obszaru działalności Spółki;
   2. wprowadzenie procesu monitorowania i raportowania o ekspozycji na ryzyko braku zgodności prowadzonej przez Spółkę działalności z regulacjami i standardami wskazanymi w pkt 2.1 powyżej;
   3. zapobieganie stratom finansowym, reputacyjnym, sankcjom cywilnym oraz administracyjnym będącym skutkiem prowadzenia przez Spółkę działalności w sposób niezgodny z regulacjami i standardami wskazanymi w pkt 2.1 powyżej

   poprzez ustanowienie skutecznej i właściwie umocowanej funkcji compliance i przypisanie jej odpowiednich uprawnień i odpowiedzialności.

§ 2. Definicje

Użyte w niniejszej Procedurze wyrażenia pisane wielką literą oznaczają:

§ 3. Organizacja funkcji compliance

1. Wdrożony w Spółce system zarządzania zgodnością jest nadzorowany przez Zarząd i [ Radę Nadzorczą / Komisję Rewizyjną / Komitet Audytu ] (wybierz organ działający w Twojej spółce, pozostałe wykreśl; jeśli żaden nie istnieje - usuń to odwołanie) Spółki.

2. W ramach systemu zarządzania zgodnością w Spółce został powołany Compliance Officer, którego rolą jest regularne monitorowanie oraz raportowanie kwestii związanych z przestrzeganiem przepisów prawa oraz procedur bezpośrednio do Zarządu Spółki, a także stały kontakt i wsparcie poszczególnych działów operacyjnych w kluczowych obszarach związanych z zapewnieniem zgodności z przepisami prawa.

3. Compliance Officer podlega bezpośrednio Zarządowi Spółki i ma zapewnioną możliwość raportowania do [ Rady Nadzorczej / Komisji Rewizyjnej / Komitetu Audytu ] (ten sam organ co w ust. 1) Spółki.

4. Zawarcie i rozwiązanie umowy o pracę z Compliance Officerem może być dokonane po uzyskaniu pozytywnej opinii [ Rady Nadzorczej / Komisji Rewizyjnej / Komitetu Audytu ] (ten sam organ co w ust. 1) Spółki.

§ 4. Zakres uprawnień i odpowiedzialności Komórki Compliance

1. Operacyjny nadzór nad prawidłowym funkcjonowaniem systemu zarządzania zgodnością wykonuje Compliance Officer.

2. Compliance Officer jest odpowiedzialny w szczególności za:

   1. monitorowanie ekspozycji na ryzyko braku zgodności;
   2. przeprowadzanie analizy ryzyka regulacyjnego i monitoringu zgodności;
   3. doradztwo oraz udzielanie bieżącej pomocy w zakresie kwestii objętych systemem zarządzania zgodnością;
   4. opiniowanie i udział w opracowaniu tworzonych w Spółce regulacji wewnętrznych i klauzul w relacjach z Partnerami biznesowymi;
   5. weryfikację i analizę zgłoszonych przypadków braku zgodności;
   6. promowanie kultury compliance w organizacji wspierającej etyczne i zgodne z prawem zachowania wśród Pracowników i Partnerów biznesowych;
   7. szkolenia Pracowników w zakresie kwestii pozostających w zakresie systemu compliance.

3. Compliance Officer wykonuje przypisane mu zadania za pomocą pracowników podległej mu Komórki compliance.

§ 5. Analiza wymogów regulacyjnych

1. Jednym z podstawowych obowiązków Compliance Officera jest zapewnienie możliwości wykazania zgodności działalności Spółki z przepisami prawa i wymogami regulacyjnymi. W tym celu Compliance Officer opracowuje mapę wymogów prawnych i regulacyjnych mających zastosowanie do zakresu działalności Spółki i jej procesów biznesowych (“Mapa zgodności”).

2. Opracowana przez Compliance Officera Mapa zgodności jest podstawą do ustalenia, we współpracy z właściwą jednostką organizacyjną (właścicielem procesu biznesowego), środków kontroli mających na celu zapewnienie stałej zgodności z Wymogami regulacyjnymi oraz osób odpowiedzialnych za monitorowanie zgodności w ramach danego procesu biznesowego.

3. Mapa zgodności podlega okresowej (nie rzadziej niż raz w roku) aktualizacji dokonywanej przez Compliance Officera, z uwzględnieniem zmian w Wymogach regulacyjnych oraz otoczeniu regulacyjnym i biznesowym Spółki.

§ 6. Monitoring zmian w otoczeniu regulacyjnym i biznesowym Spółki

1. Compliance Officer opracowuje, wdraża i wykonuje proces identyfikacji zmian w przepisach prawa oraz zaleceniach, wytycznych i innych aktach wydawanych przez Regulatora, a także dokonuje oceny ich potencjalnego wpływu na funkcjonowanie Spółki.

2. Monitoring zmian w otoczeniu regulacyjnym Spółki realizowany jest w trybie ciągłym, w oparciu o powszechnie dostępne informacje (np. strony Rządowego Centrum Legislacji, Sejmu, Senatu, informacje udostępniane przez Regulatora lub stowarzyszenia branżowe).

3. O planowanej zmianie regulacyjnej Compliance Officer informuje Pracownika odpowiedzialnego za zarządzanie jednostką organizacyjną, której dotyczyć może planowana zmiana. Informacja powinna zostać przekazana na możliwie najwcześniejszym etapie procesu legislacyjnego, by zagwarantować, że właściwe obszary biznesowe będą przygotowane na zmianę oraz aby uniknąć potencjalnej niezgodności wynikającej ze zmian w regulacjach.

4. Compliance Officer pełni również rolę doradczą w procesie implementacji zmian regulacyjnych w Spółce.

§ 7. Zaangażowanie w inicjatywy strategiczne Spółki

1. Compliance Officer musi być zaangażowany we wszelkie inicjatywy strategiczne Spółki (restrukturyzacje, outsourcing, projekty strategiczne i istotne kontrakty, a także w proces wdrożenia lub istotnej zmiany produktów lub usług Spółki) w celu zapewnienia właściwego uwzględnienia wymogów regulacyjnych w tym procesie.

2. Compliance Officer jest odpowiedzialny w szczególności za identyfikację, zaadresowanie i monitorowanie ryzyk regulacyjnych związanych z realizacją danej inicjatywy oraz określenie środków umożliwiających ich ograniczanie.

§ 8. Ocena ryzyka regulacyjnego

1. Compliance Officer przeprowadza, we współpracy z Pracownikami odpowiedzialnymi za zarządzanie poszczególnymi jednostkami organizacyjnymi Spółki, okresową ocenę ryzyka zgodności działalności Spółki z Wymogami regulacyjnymi.

2. Ocena dokonywana jest w oparciu o zatwierdzony przez Zarząd Spółki standard, a jej wyniki - w podziale na poszczególne obszary organizacyjne Spółki - są prezentowane Pracownikom zarządzającym tymi obszarami oraz zbiorczo Zarządowi Spółki.

3. Ocena ryzyka jest podstawą do określenia przez Compliance Officera właściwych środków kontrolnych i określenia planu pracy compliance.

§ 9. Kontrole compliance

1. Compliance Officer opracowuje i przedstawia Zarządowi do zatwierdzenia roczny plan kontroli compliance. Plan kontroli compliance jest ustalany na każdy kolejny rok kalendarzowy działalności Spółki, nie później niż do końca roku kalendarzowego poprzedzającego rok, na który ustalany jest plan. Plan zatwierdzany jest przez Zarząd Spółki i przedstawiany jest [ Radzie Nadzorczej / Komisji Rewizyjnej / Komitetowi Audytu ] (ten sam organ co w § 3) na pierwszym posiedzeniu tego organu odbywającym się bezpośrednio po zatwierdzeniu planu.

2. Kontrola compliance może obejmować wszystkie jednostki organizacyjne Spółki.

3. Compliance Officer informuje, co najmniej na tydzień przed planowanym rozpoczęciem działań kontrolnych, osoby zarządzające jednostkami organizacyjnymi podlegającymi kontroli o terminie i zakresie planowanej kontroli.

4. Kontrola compliance trwa maksymalnie [ ……………….. ] (wpisz: maksymalny czas jednej kontroli, np. 2 tygodnie) i kończy się przedstawieniem osobie zarządzającej jednostką organizacyjną, w której realizowana była kontrola, oraz Członkowi Zarządu nadzorującemu obszar compliance raportu z kontroli. Raport z kontroli powinien zostać przedstawiony osobom wskazanym w zdaniu poprzedzającym w terminie [ ……………….. ] (wpisz: liczba dni na sporządzenie raportu po zakończeniu kontroli, np. 7 dni) po zakończeniu kontroli.

5. Na podstawie raportu z kontroli Compliance Officer sporządza rejestr nieprawidłowości wraz z rekomendacją sposobu i terminu ich usunięcia. Rejestr podlega zatwierdzeniu przez Zarząd Spółki.

6. Compliance Officer przygotowuje i przedstawia Zarządowi cykliczną (nie rzadziej niż dwa razy w roku) informację o stanie realizacji planu kontroli.

§ 10. Identyfikacja incydentów compliance

1. Compliance Officer opracowuje, wdraża i realizuje monitoring Incydentów compliance.

2. Wszelkie zidentyfikowane Incydenty compliance są rejestrowane w prowadzonym przez Compliance Officera rejestrze naruszeń.

3. Po zidentyfikowaniu Incydentu compliance Compliance Officer podejmuje niezwłocznie działania mające na celu określenie możliwych skutków Incydentu oraz ich minimalizacji.

4. Elementem działań, o których mowa w ust. 3, jest ustalenie działań naprawczych mających na celu przywrócenie stanu zgodnego z prawem oraz przywrócenie funkcjonalności środków kontroli.

5. Plan działań naprawczych ustalany jest z Pracownikami zarządzającymi właściwymi jednostkami organizacyjnymi Spółki i obejmuje określenie:

   1. konkretnych działań;
   2. osób odpowiedzialnych za ich zrealizowanie;
   3. daty ich realizacji.

6. Realizacja planu działań naprawczych podlega monitorowaniu przez Compliance Officera.

7. W przypadku gdy w ocenie Compliance Officera zidentyfikowany Incydent compliance rodzi ryzyko odpowiedzialności prawnej Spółki lub kar administracyjnych, informuje on niezwłocznie Zarząd Spółki o Incydencie oraz przedstawia plan działań naprawczych do zatwierdzenia. W pozostałych przypadkach raport o zidentyfikowanych Incydentach compliance oraz podjętych działaniach naprawczych podlega raportowaniu okresowemu.

§ 11. Raportowanie

Compliance Officer realizuje obowiązki informacyjne wobec organów Spółki w trybie raportowania:

1. cyklicznego - przedstawiając Zarządowi Spółki i [ Radzie Nadzorczej / Komisji Rewizyjnej / Komitetowi Audytu ] (ten sam organ co w § 3) raporty wskazane w niniejszej Procedurze oraz innych Regulacjach wewnętrznych w formie i z częstotliwością w nich określonych;

2. ad hoc - przekazując Zarządowi Spółki niezwłocznie informację o Incydentach compliance, które:

   1. wiążą się z możliwością odebrania koncesji/licencji lub jakiegokolwiek ograniczenia lub zaprzestania możliwości prowadzenia działalności gospodarczej;
   2. skutkują lub mogą skutkować nałożeniem na Spółkę kary finansowej o wartości przewyższającej równowartość [ ……………….. ] (wpisz: kwota progu, np. 100.000 zł);
   3. wymagają zgłoszenia Regulatorowi;
   4. dotyczą zidentyfikowania lub skutkują prowadzeniem działalności bez odpowiedniej rejestracji lub zgody ze strony Regulatora;
   5. skutkują wszczęciem przez Regulatora kontroli jakiegokolwiek aspektu działalności Spółki;
   6. dotyczą manipulacji na rynku z udziałem Pracowników.

3. Na wniosek Zarządu lub [ Rady Nadzorczej / Komisji Rewizyjnej / Komitetu Audytu ] (ten sam organ co w § 3) Compliance Officer przygotowuje i przedstawia dodatkowe, inne niż wymienione powyżej informacje i raporty.

§ 12. Opracowanie rocznego planu zgodności

1. Compliance Officer przygotowuje i przedstawia do zatwierdzenia Zarządowi roczny plan pracy Komórki compliance uwzględniający realizację zadań określonych niniejszą Procedurą.

2. W rocznym planie pracy uwzględnia się konieczność zaadresowania głównych obszarów ryzyka regulacyjnego oraz środków kontroli, których wdrożenie jest niezbędne dla ograniczenia tego ryzyka.

3. Roczny plan zgodności określa również analizę sposobu, w jaki monitoruje się przestrzeganie wymogów regulacyjnych, oraz wskazuje osoby odpowiedzialne za realizację poszczególnych zadań.

4. Realizacja planu raportowana jest [ ……………….. ] (wpisz: częstotliwość raportowania, np. kwartalnie) Zarządowi Spółki oraz [ Radzie Nadzorczej / Komisji Rewizyjnej / Komitetowi Audytu ] (ten sam organ co w § 3).

§ 13. Podnoszenie świadomości i szkolenia

1. Compliance Officer przygotowuje i udostępnia Pracownikom program szkoleń obejmujących poszczególne obszary zarządzania ryzykiem zgodności.

2. Program szkoleniowy ma na celu podnoszenie świadomości Pracowników w zakresie poszczególnych elementów systemu zarządzania ryzykiem zgodności oraz dostarczenie im praktycznych wytycznych co do interpretacji i zastosowania poszczególnych Regulacji wewnętrznych wchodzących w skład tego systemu.

3. Program szkoleniowy obejmuje szkolenia wstępne, organizowane dla nowo zatrudnianych Pracowników, oraz szkolenia okresowe (przypominające).

4. Szkolenia realizowane są w terminach i trybie ustalonym w porozumieniu z Pracownikami odpowiedzialnymi za obszar HR w Spółce.

5. Program szkoleń uwzględnia konieczność dostosowania zakresu szkoleń do zakresu obowiązków i odpowiedzialności danego Pracownika i pełnionych przez niego funkcji.

6. Każdy Pracownik jest zobowiązany do terminowej realizacji udostępnionego mu szkolenia compliance.

§ 14. Postanowienia końcowe

1. Niniejsza Procedura została zatwierdzona uchwałą Zarządu i wszelkie jej zmiany wymagają akceptacji Zarządu wyrażonej w formie uchwały.
2. Procedura będzie podlegała corocznemu przeglądowi wykonywanemu przez Compliance Officera.
3. Procedura wchodzi w życie z dniem [ ……………….. ] (wpisz: data wejścia w życie, zwykle data uchwały zarządu).

Załącznik - Przykładowa checklista do identyfikacji ryzyk compliance

(Narzędzie robocze. Przy każdej pozycji zaznacz odpowiedź. Kolumna “Częściowo” - opisz w jakim zakresie.)