Compliance – zarządzanie zgodnością
Compliance, czyli zarządzanie zgodnością, to system zasad, procedur i kontroli, dzięki któremu firma działa zgodnie z przepisami prawa, regulacjami wewnętrznymi i przyjętymi standardami etycznymi. Obejmuje rozpoznanie obowiązków, ocenę ryzyka ich naruszenia, procedury, szkolenia, kanał zgłaszania nieprawidłowości i dowody, że zasady działają w praktyce.
Compliance - co to znaczy w praktyce firmy
Słowo pochodzi od angielskiego „to comply”, czyli stosować się do czegoś. Przestrzeganie prawa to obowiązek każdej firmy, więc compliance nie polega na samym przestrzeganiu. Chodzi o zorganizowany sposób, dzięki któremu firma wie, jakie obowiązki ją dotyczą, kto za nie odpowiada i jak to udowodni kontrolerowi. Ryzyko braku zgodności to ryzyko sankcji, strat i utraty reputacji z powodu naruszenia przepisów albo własnych zasad. Typowy program compliance obejmuje:
- mapę obowiązków - rejestr przepisów i norm, które dotyczą firmy, z właścicielem każdego obszaru,
- ocenę ryzyka - gdzie naruszenie jest najbardziej prawdopodobne i najdroższe,
- polityki i procedury - kodeks etyki, polityka antykorupcyjna, konflikt interesów, prezenty,
- szkolenia odświeżane po każdej istotnej zmianie przepisów,
- kanał zgłoszeń i rzetelne wyjaśnianie sygnałów,
- monitoring i raporty dla zarządu.
Międzynarodowym wzorcem takiego systemu jest norma ISO 37301 z 2021 r., która zastąpiła wytyczne ISO 19600 i może być podstawą certyfikacji.
Kto musi mieć compliance - obowiązki w polskim prawie
Nie ma jednej ustawy o compliance. Obowiązki są rozproszone:
- Banki - Prawo bankowe (art. 9c) nakazuje wyodrębnić w systemie kontroli wewnętrznej komórkę do spraw zgodności, która identyfikuje, ocenia, kontroluje i monitoruje ryzyko braku zgodności oraz raportuje o nim.
- Instytucje obowiązane AML - m.in. banki, biura rachunkowe, doradcy podatkowi i notariusze - wyznaczają osobę na stanowisku kierowniczym odpowiedzialną za zgodność z przepisami o przeciwdziałaniu praniu pieniędzy i wprowadzają wewnętrzną procedurę.
- Podmioty, dla których pracuje co najmniej 50 osób - ustawa o ochronie sygnalistów, obowiązująca od 25 września 2024 r., wymaga procedury zgłoszeń wewnętrznych. Pracowników liczy się w przeliczeniu na pełne etaty, liczą się także osoby na umowach cywilnoprawnych, a w sektorze finansowym i kilku innych obszarach próg nie obowiązuje.
- Administratorzy danych osobowych - RODO wymaga, by administrator potrafił wykazać przestrzeganie zasad ochrony danych (zasada rozliczalności).
- Podmioty kluczowe i ważne - znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (NIS2) obowiązuje od 3 kwietnia 2026 r., a sektor finansowy od 17 stycznia 2025 r. stosuje rozporządzenie DORA.
Compliance officer i dział compliance
Compliance officer buduje i nadzoruje system: aktualizuje mapę obowiązków, pisze procedury, szkoli, przyjmuje sygnały i raportuje zarządowi. Potrzebuje niezależności i bezpośredniego dostępu do zarządu. Dział prawny doradza w konkretnych sprawach, compliance pilnuje, żeby naruszenia się nie zdarzały. Audyt wewnętrzny ocenia potem, czy cały system kontroli działa. W mniejszej firmie zadania dzieli się między głównego księgowego, prawnika, kadry i inspektora ochrony danych, ale ktoś musi spinać całość.
Oprogramowanie compliance - co da się zautomatyzować
Systemy compliance porządkują to, co zwykle żyje w arkuszach i skrzynkach e-mail: rejestr obowiązków z terminami i przypomnieniami, rozsyłkę polityk z potwierdzeniem zapoznania się, rejestr prezentów i konfliktów interesów, obsługę zgłoszeń oraz raporty. Najważniejszy jest dowód, czyli zapis, kto, kiedy i co zatwierdził.
e-MSI wdraża na platformie JobRouter® proces ochrony sygnalistów: zgłoszenie jawne lub anonimowe przez portal albo aplikację mobilną, klasyfikację według priorytetów i trybu, anonimowy dialog ze zgłaszającym oraz statystyki. W samej platformie dostęp opiera się na rolach i integracji z Active Directory, a każda operacja trafia do logów audytowych - o tych mechanizmach więcej na stronie bezpieczeństwo systemów.
Najczęstsze błędy w compliance
- Procedury w segregatorze, których nikt nie stosuje.
- Kanał zgłoszeń, do którego dostęp ma przełożony osób, których zgłoszenie może dotyczyć.
- Obowiązek bez właściciela - każdy zakłada, że pilnuje ktoś inny.
- Jednorazowe szkolenie bez aktualizacji po zmianie przepisów.
- Brak dowodów: akceptacje ustne, decyzje w e-mailach, rejestr w arkuszu bez historii zmian.
- Compliance jako osobny dział „od zakazów” zamiast kontroli wbudowanych w procesy.
Przykłady zastosowania
Biuro rachunkowe, które jako instytucja obowiązana AML wyznaczyło kierownika odpowiedzialnego za zgodność, dokumentuje ocenę ryzyka każdego nowego klienta przed podpisaniem umowy.
Spółka produkcyjna, która ma 48 pracowników na pełnych etatach i 12 osób na umowach zlecenia, konsultuje projekt procedury zgłoszeń wewnętrznych z przedstawicielami pracowników i ogłasza ją w intranecie.
Handlowiec dostaje od kontrahenta zaproszenie na płatny wyjazd. Wpisuje je do rejestru prezentów, a compliance officer akceptuje albo odrzuca je według polityki antykorupcyjnej.
Komórka do spraw zgodności w banku przedstawia zarządowi raport o ryzyku braku zgodności, w tym wyniki testu procedury rozpatrywania reklamacji.
Podczas kontroli podatkowej firma pokazuje w systemie obiegu dokumentów, kto i kiedy zaakceptował sporną fakturę, zamiast przeszukiwać skrzynki e-mail byłych pracowników.
Najczęstsze pytania
Co to znaczy compliance?
Compliance oznacza zgodność, a w firmie zarządzanie zgodnością. To zorganizowany system, dzięki któremu firma zna obowiązki wynikające z prawa i własnych regulacji, przypisuje za nie odpowiedzialność, szkoli ludzi, przyjmuje zgłoszenia nieprawidłowości i potrafi udowodnić kontrolerowi, że zasady są przestrzegane w codziennej pracy.
Na czym polega praca w compliance?
Na budowaniu i pilnowaniu systemu zgodności w firmie. Specjalista do spraw zgodności, czyli compliance officer, śledzi zmiany przepisów, ocenia ryzyko, pisze polityki i procedury, szkoli pracowników, przyjmuje i wyjaśnia sygnały o nieprawidłowościach oraz raportuje zarządowi. W bankach i instytucjach obowiązanych AML podobna funkcja wynika wprost z przepisów, w innych firmach jest decyzją zarządu.
Czy compliance jest obowiązkowe?
Jako wyodrębniona funkcja - tylko w części sektorów. Bank musi mieć komórkę do spraw zgodności, a instytucja obowiązana AML osobę odpowiedzialną za zgodność z przepisami o praniu pieniędzy. Poszczególne elementy dotyczą jednak wielu firm: procedura zgłoszeń wewnętrznych przy co najmniej 50 osobach pracujących, rozliczalność z RODO, obowiązki z ustawy o krajowym systemie cyberbezpieczeństwa dla podmiotów kluczowych i ważnych.
Czym compliance różni się od audytu wewnętrznego?
Compliance działa na bieżąco: projektuje procedury, szkoli, monitoruje i reaguje na sygnały. Audyt wewnętrzny patrzy z dystansu i okresowo ocenia, czy cały system kontroli, w tym compliance, działa skutecznie. W Prawie bankowym to dwie odrębne komórki, a audyt musi być niezależny.
Co to jest oprogramowanie compliance?
To system, który porządkuje pracę działu zgodności: rejestr obowiązków i terminów, rozsyłkę polityk z potwierdzeniem zapoznania się, kanał zgłoszeń, rejestry prezentów i konfliktów interesów oraz raporty. Kluczowa funkcja to zapis, którego nie da się zmienić: kto i kiedy coś zatwierdził, bo to on jest dowodem przy kontroli.
Czy mała firma potrzebuje compliance?
Potrzebuje przynajmniej podstaw: listy obowiązków, które jej dotyczą, jasnego podziału odpowiedzialności i dowodów wykonania. Nie musi tworzyć działu ani kupować drogiego systemu. Wystarczy, że ktoś wskazany z nazwiska pilnuje terminów, a decyzje i akceptacje są zapisywane, a nie ustne.
Powiązane hasła
Zobacz, jak wygląda to w systemach, które wdrażamy w polskich firmach.
