Obsługa korporacyjna i compliance

Ochrona sygnalistów — kto musi wdrożyć procedurę zgłoszeń wewnętrznych

Ustawa z 14 czerwca 2024 r. o ochronie sygnalistów nałożyła obowiązek posiadania procedury zgłoszeń wewnętrznych na podmioty, dla których na 1 stycznia lub 1 lipca danego roku pracę wykonuje co najmniej 50 osób — a niezależnie od progu na instytucje z sektora finansowego i podmioty objęte przepisami AML. Procedura musi wskazywać kanały przyjmowania zgłoszeń, osoby lub komórki odpowiedzialne, terminy działań następczych oraz — to jej sedno — realny zakaz działań odwetowych wobec zgłaszającego. Samo przyjęcie dokumentu nie wystarcza: jeśli pracownicy nie wiedzą, jak zgłosić nieprawidłowość, spółka odpowiada tak, jakby procedury nie miała. Wdrażamy kanał, rejestr i obieg zgłoszeń, a potem szkolimy zespół z ich stosowania.

Obowiązki organów spółki po nowelizacji KSH

Nowelizacja Kodeksu spółek handlowych, która weszła w życie 13 października 2022 r., zaostrzyła standard staranności członków zarządu i rad nadzorczych. Wprowadziła między innymi zasadę biznesowej oceny sytuacji (business judgement rule) — członek organu nie odpowiada za szkodę, jeśli działał w granicach uzasadnionego ryzyka gospodarczego, na podstawie informacji adekwatnych do okoliczności. W praktyce oznacza to jedno: decyzje trzeba dokumentować. Protokoły posiedzeń, uchwały, opinie i analizy, na których oparł się zarząd, przestają być formalnością, a stają się dowodem należytej staranności. Porządkujemy dokumentację korporacyjną tak, by broniła organu, gdy pojawi się zarzut — przy audycie, kontroli albo transakcji, w której nabywca prześwietla spółkę (piszemy o tym przy transakcjach M&A).

AML i RODO — dwa reżimy, w których błąd kosztuje najwięcej

Jeśli spółka jest instytucją obowiązaną w rozumieniu ustawy z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy, musi mieć wewnętrzną procedurę AML, aktualną ocenę ryzyka, stosować środki bezpieczeństwa finansowego (identyfikacja i weryfikacja klienta) oraz raportować do GIIF. Kary za zaniedbania sięgają milionów złotych, a odpowiedzialność ponosi też kadra kierownicza. Podobnie z RODO: rejestr czynności przetwarzania, umowy powierzenia, procedura reagowania na incydenty i obowiązek zgłoszenia naruszenia do UODO w 72 godziny to minimum, którego brak ujawnia się dopiero przy skardze albo wycieku — czyli w najgorszym momencie. Warto pamiętać, że obie odpowiedzialności są osobiste: za zaniedbania AML odpowiada wyznaczony członek kadry kierowniczej, a naruszenia RODO obciążają administratora, którym jest spółka reprezentowana przez zarząd. To nie są więc reżimy „działu prawnego" — to obowiązki organu. Oba budujemy jako działające procesy, nie jako komplet dokumentów do wglądu.

Stała obsługa czy pojedynczy projekt — kiedy co się opłaca

Nie każda firma potrzebuje stałej obsługi prawnej od pierwszego dnia. Model abonamentowy sprawdza się tam, gdzie prawo wchodzi w codzienność — regularne umowy handlowe, obsługa organów, bieżące pytania zespołu — bo daje przewidywalny koszt i prawnika, który zna kontekst spółki. Pojedynczy projekt (wdrożenie sygnalistów, audyt AML, uporządkowanie dokumentacji przed transakcją) ma sens, gdy potrzeba jest jednorazowa i domknięta w czasie. Na pierwszej rozmowie mówimy wprost, który model pasuje do skali i tempa firmy — bez naciągania na zakres, którego nie potrzebujesz.