Audyty compliance

Dlaczego audyt compliance jest kluczowy dla każdej firmy

Audyt compliance to ustrukturyzowana kontrola zgodności wewnętrznej działalności spółki z zewnętrznymi wymogami normatywnymi i przepisami wewnętrznymi. To właśnie ta kontrola pozwala wykryć słabe punkty systemu, zanim odkryje je państwo – i nałoży grzywnę.

W 2024 roku czeski Państwowy Urząd Inspekcji Pracy (Státní úřad inspekce práce, SÚIP) nałożył grzywny o łącznej wysokości ponad 253 mln CZK (ok. 10,4 mln EUR) tylko w pierwszym półroczu. Czeski Urząd Ochrony Danych Osobowych (ÚOOÚ) od 2018 roku nałożył za naruszenia RODO kary przekraczające 368 mln CZK (ok. 15,1 mln EUR), w tym rekordową sankcję w wysokości 351 mln CZK (ok. 14,4 mln EUR) za bezprawne przetwarzanie danych osobowych. Za naruszenie obowiązków AML instytucjom finansowym grożą kary do 130 mln CZK (ok. 5,3 mln EUR).

Prawnicy ARROWS przeprowadzają audyty compliance dla dziesiątek klientów rocznie i dobrze wiedzą, że prewencja jest wielokrotnie tańsza niż usuwanie skutków kontroli. Potrzebują Państwo pomocy prawnej? Prosimy o kontakt pod adresem konsultacja@arws.cz.

Jakie są etapy audytu compliance

Etapy przeprowadzania audytu compliance porządkują proces zapewniania zgodności spółki z kluczowymi wymogami i standardami. Na każdym etapie tworzone są warunki do skutecznej weryfikacji i identyfikowane są obszary ryzyka.

1. Przygotowanie i planowanie

Na tym etapie należy usystematyzować dokumentację wewnętrzną: polityki AML, KYC, procedury antykorupcyjne, wytyczne dotyczące ochrony danych i akty wewnętrzne. Należy wyznaczyć osoby odpowiedzialne – compliance managera, dział prawny i specjalistów IT. Przeprowadzić należy także wstępną samoocenę dojrzałości systemu compliance.

2. Identyfikacja i analiza ryzyk

Celem identyfikacji i analizy ryzyk compliance jest swoiste profilowanie danej spółki handlowej pod kątem ryzyk wynikających z prowadzonej działalności. Analiza ryzyka stanowi podstawę do stworzenia systemu powiązanych przepisów wewnętrznych, procesów i mechanizmów kontrolnych.

Compliance manager regularnie przeprowadza analizę ryzyka w ramach swojego zakresu merytorycznego i ocenia, czy konieczne są zmiany przyjętych środków.

3. Kontrola i analiza dokumentacji

Na tym etapie odbywa się weryfikacja: analizowane są dokumenty, przeprowadzane rozmowy z pracownikami, diagnostyka techniczna systemów IT oraz testy procedur monitoringu. Szczególną uwagę poświęca się sprawdzeniu przestrzegania przepisów wewnętrznych i zgodności z etyką firmy.

4. Ocena i działania naprawcze

Wynikiem audytu jest raport zawierający opis ustalonych faktów, zidentyfikowane ryzyka i rekomendacje, jak z tymi ryzykami postępować. Następnie wdraża się działania naprawcze i aktualizuje przepisy wewnętrzne.

Ostateczną odpowiedzialność ponosi zawsze organ statutowy – jednatel (członek zarządu s.r.o.) lub zarząd. W praktyce wykonywanie tych zadań powierza się konkretnej osobie (Compliance Officer) lub działowi. Pomożemy Państwu prawidłowo ustalić role i zakresy odpowiedzialności – prosimy o kontakt pod adresem konsultacja@arws.cz.

3. Dlaczego formalny compliance nie wystarcza

Zgodnie z orzeczeniem czeskiego Sądu Wyższego w Pradze (Vrchní soud v Praze) w nieujawnionej sprawie samo formalne istnienie programu compliance nie jest wystarczające i nie prowadzi automatycznie do wniosku, że osoba prawna dołożyła „wszelkich starań, jakich można było od niej sprawiedliwie wymagać”.

Aby można było wyciągnąć wiarygodny wniosek o uwolnieniu się od odpowiedzialności karnej, konieczny jest szczegółowy wgląd w działalność firmy oraz wiedza o jej funkcjonowaniu, zarządzaniu, kontroli wewnętrznej i zdolności do adekwatnego reagowania na wykryte problemy.

Do wskaźników niefunkcjonalnych systemów compliance należą na przykład niewystarczająca obsada kadrowa, niewystarczające uprawnienia compliance managera, bezrefleksyjne wdrożenie systemu zagranicznej spółki dominującej bez dostosowania do czeskich warunków czy niewyciąganie konsekwencji z działań niezgodnych z prawem.

Funkcjonalny program compliance powinien obejmować:

• Powiązane przepisy wewnętrzne regulujące strukturę organizacyjną i kompetencje
• Kontrolę zgodności przepisów wewnętrznych z przepisami prawa i ich regularną aktualizację
• Systemy wewnętrznej kontroli przestrzegania przepisów i dokumentację przeprowadzonych kontroli
• Dokumentację wykrytych naruszeń, ich skutków i podjętych działań
• Zapewnienie możliwości poufnego wewnętrznego zgłaszania naruszeń
• Szkolenia osób i kontrolę ich wiedzy

Prawnicy ARROWS specjalizują się w tworzeniu rzeczywiście funkcjonalnych programów compliance, które obronią się przed organami kontrolnymi i sądami. Aby niezwłocznie rozwiązać Państwa sytuację, prosimy pisać na konsultacja@arws.cz.

Odpowiedzialność karna osób prawnych i uwolnienie się od niej

Czeska ustawa nr 418/2011 Sb. o odpowiedzialności karnej osób prawnych daje firmom możliwość uwolnienia się od odpowiedzialności, jeśli wykażą, że dołożyły wszelkich starań, aby zapobiec działaniom niezgodnym z prawem za pomocą skutecznego programu compliance.

Mówiąc praktycznie – firma odpowiada za przestępstwo pracownika albo wtedy, gdy kierownictwo mu je nakazało lub je zaaprobowało, albo wtedy, gdy zarząd zawiódł w ustanowieniu kontroli, szkoleń i zasad (compliance), które zapobiegłyby takiemu działaniu niezgodnemu z prawem.

Na co zwrócić uwagę podczas audytu AML

Od 2021 roku w czeskiej ustawie AML (ustawa nr 253/2008 Sb., dalej „ustawa AML”) podwyższono górną granicę kar za niektóre wykroczenia, w związku z czym za poważne uchybienie podmiotom zobowiązanym grozi kara do 10 mln CZK (ok. 0,4 mln EUR), a w przypadku kwalifikowanych znamion czynu może to być nawet 30 mln CZK (ok. 1,2 mln EUR).

Lista kontrolna AML compliance

Czeski Urząd Analiz Finansowych (Finanční analytický úřad, FAÚ) przeprowadza rocznie od 15 do 30 kontroli bezpośrednio w firmach. W razie stwierdzenia uchybień wszczyna postępowanie w sprawie wykroczenia. Grzywna jest tylko jednym z rodzajów kar administracyjnych – FAÚ może nałożyć środki naprawcze, a w przypadku powtarzających się naruszeń zakaz działalności.

Kluczowe obowiązki AML:

• Wyznaczenie i rejestracja osoby kontaktowej ds. AML
• Przeprowadzenie kompletnego audytu procedur i usunięcie braków
• Inwestycje w automatyzację monitoringu
• Budowanie kultury compliance poprzez regularne szkolenia

Naruszenia są odnotowywane w rejestrach publicznych, co prowadzi do strat wizerunkowych i zerwania relacji z bankami i inwestorami. W praktyce zdarzały się przypadki, w których opóźniona rejestracja osoby kontaktowej ds. AML doprowadziła do zablokowania wszystkich płatności wychodzących aż do usunięcia naruszenia.

Kancelaria adwokacka ARROWS zapewnia kompleksowy AML compliance, w tym przygotowanie zasad wewnętrznych, szkolenia pracowników i reprezentację przed FAÚ. Zapraszamy do kontaktu z naszą kancelarią – konsultacja@arws.cz.

Whistleblowing – obowiązek, którego nie można ignorować

Czeska ustawa o ochronie sygnalistów nakłada obowiązek utworzenia wewnętrznego systemu zgłaszania na wszystkich pracodawców zatrudniających ponad 50 pracowników, wszystkich zamawiających publicznych zatrudniających ponad 25 pracowników oraz gminy liczące ponad 10 000 mieszkańców.

System musi umożliwiać składanie zgłoszeń i zapewniać poufność tożsamości sygnalisty. Wprowadzenie systemu zgłaszania nie jest jedynie formalnym obowiązkiem – chodzi o stworzenie mechanizmu wczesnego wykrywania problemów wewnątrz organizacji.

Praktyczne zalecenia:

• Opracowanie regulaminu wewnętrznego systemu zgłaszania
• Aktualizacja rejestru czynności przetwarzania
• Przeprowadzenie oceny skutków dla ochrony danych osobowych (DPIA)
• Przeszkolenie pracowników odpowiedzialnych za przyjmowanie i rozpatrywanie zgłoszeń

Prawnicy ARROWS przygotują kompletną dokumentację systemu whistleblowingu i zapewnią jego prawidłowe wdrożenie. Nasi prawnicy są gotowi Państwu pomóc – prosimy pisać na konsultacja@arws.cz.

Tak, jeśli zatrudniają Państwo ponad 50 pracowników lub działają w sektorach regulowanych (usługi finansowe, podmioty zobowiązane AML). Ustawa o ochronie sygnalistów określa surowe wymogi dotyczące funkcjonowania systemu. Potrzebują Państwo pomocy przy wdrożeniu? Prosimy o kontakt: konsultacja@arws.cz.

Kary do 130 mln CZK dla instytucji finansowych, zablokowanie rachunków, zakaz działalności i wpis do publicznych rejestrów naruszycieli. Prewencja jest znacznie tańsza niż usuwanie skutków – prosimy pisać na konsultacja@arws.cz.

Nowa czeska ustawa o cyberbezpieczeństwie wdrażająca dyrektywę NIS2 obejmie od 6 000 do 10 000 podmiotów w Republice Czeskiej. Ustawa rozróżnia reżim wyższych i niższych obowiązków w zależności od tego, jak ważną usługę dany podmiot świadczy.

W razie naruszenia przepisów członkom organów statutowych grozi osobista odpowiedzialność za wyrządzoną szkodę, odpowiedzialność wobec wierzycieli za długi spółki, wykluczenie z pełnienia funkcji i zakaz jej wykonywania przez co najmniej sześć miesięcy. Sankcje mogą sięgać do 20 mln CZK dla osób fizycznych. Firmom grożą kary do 250 mln CZK lub dwóch procent rocznego obrotu.

Firmy muszą przejść proces samoidentyfikacji, zarejestrować się w NÚKIB i wdrożyć środki bezpieczeństwa obejmujące zarządzanie aktywami i ryzykiem, określenie ról bezpieczeństwa, wprowadzenie polityki bezpieczeństwa, szkolenia pracowników i kierownictwa oraz regularne zgłaszanie incydentów.

Kancelaria adwokacka ARROWS pomaga klientom we wdrażaniu wymogów NIS2 dzięki doświadczeniu z międzynarodowej sieci ARROWS International. Więcej informacji – prosimy pisać na konsultacja@arws.cz.

Wewnętrzne regulaminy – podstawa funkcjonalnego systemu compliance

Większość firm wie, że potrzebuje wewnętrznych regulaminów, ale często zaniedbuje ich prawną egzekwowalność. Choć wiele firm posiada dokumenty dotyczące compliance, mogą one mieć problemy z ich ważnością prawną, gdyby sprawa trafiła do sądu.

Aby regulaminy były prawnie egzekwowalne, muszą spełniać kilka kluczowych wymogów:

• Regulaminy muszą być jednoznacznie wiążące dla wszystkich pracowników
• Muszą być wydane przez organ statutowy spółki
• Powinny być włączone do umów o pracę lub innych właściwych dokumentów
• Muszą być aktualizowane zgodnie ze zmianami przepisów
• Pracownicy muszą podpisać, że zapoznali się z regulaminem

Jeżeli wewnętrzne regulaminy nie są prawnie ważne, organizacja w razie naruszenia zasad compliance nie będzie w stanie wykazać istnienia ważnego polecenia, co może zagrozić jej obronie przed sankcjami.

Staranność należytego gospodarza i odpowiedzialność organu statutowego

Członek organu statutowego jest zobowiązany wykonywać swoją funkcję ze starannością należytego gospodarza, czyli z niezbędną lojalnością oraz z wymaganą wiedzą i starannością. Czeska ustawa o korporacjach handlowych (ustawa nr 90/2012 Sb., dalej „ZOK”) uzupełnia obowiązek staranności należytego gospodarza o zasadę osądu biznesowego – decyzje gospodarcze muszą opierać się na wystarczającej ilości informacji.

Odpowiedzialność za prawidłowe ustanowienie systemu zarządzania compliance spoczywa na najwyższym kierownictwie (organie statutowym) – nie można się jej pozbyć poprzez delegowanie.

W kontekście compliance oznacza to, że organ statutowy musi:

• Zapewnić, aby firma miała funkcjonalny program compliance
• Regularnie oceniać jego skuteczność
• Reagować na wykryte braki
• Zapewnić wystarczające zasoby na działania compliance

Niedopełnienie tych obowiązków może prowadzić do osobistej odpowiedzialności za szkodę wyrządzoną spółce lub osobom trzecim. W naszym portfolio znajduje się ponad 150 spółek akcyjnych (a.s., akciová společnost), 250 s.r.o. (společnost s ručením omezeným – czeska spółka z ograniczoną odpowiedzialnością) oraz 50 gmin i krajów (regionów) – stawiamy na szybkość i wysoką jakość usług prawnych. Prosimy o kontakt pod adresem konsultacja@arws.cz.

Praktyczne kroki przeprowadzenia audytu compliance

Audyt compliance nie jest jednorazową formalnością, lecz kompleksowym procesem niezbędnym dla każdej działalności. Oto praktyczny sposób postępowania:

Krok 1: Określenie zakresu audytu - Należy ustalić, które obszary compliance będą weryfikowane – korporacyjny, AML, RODO, prawo pracy, podatki czy wszystkie jednocześnie.

Krok 2: Skompletowanie zespołu audytowego - Audyt powinien przeprowadzać niezależny zespół – najlepiej zewnętrzni prawnicy, którzy wniosą obiektywne spojrzenie i doświadczenie z innych spółek.

Krok 3: Zebranie dokumentacji - Należy przygotować wszystkie istotne dokumenty: umowy, przepisy wewnętrzne, protokoły z posiedzeń organów, dokumentację pracowniczą, ewidencje.

Krok 4: Przeprowadzenie analizy - Należy porównać stan faktyczny z wymogami przepisów prawa i zidentyfikować luki.

Krok 5: Opracowanie raportu z rekomendacjami - Raport powinien zawierać wykryte braki, ich wagę oraz konkretne rekomendacje naprawcze.

Krok 6: Wdrożenie działań naprawczych - Należy wyznaczyć osoby odpowiedzialne i terminy usunięcia wykrytych braków.

Problematyka ta jest w praktyce bardziej złożona, niż wydaje się na pierwszy rzut oka. Poszczególne kroki kryją wyjątki, szczegóły proceduralne i powiązania z innymi przepisami, których laik często nie dostrzega. Nasza kancelaria adwokacka zajmuje się tą tematyką codziennie, dzięki czemu potrafi znacznie skrócić klientowi czas i zminimalizować ryzyko błędów. ARROWS jest ubezpieczona od szkód do kwoty 500 000 000 CZK (ok. 20,6 mln EUR) – dla klienta bezpieczniej jest więc powierzyć sprawę profesjonalistom.

Cena zależy od zakresu i złożoności działalności. Inwestycja w audyt to jednak ułamek potencjalnych kar i szkód. Po konkretną ofertę prosimy zgłosić się pod adres konsultacja@arws.cz.

SÚIP przeprowadził w 2024 roku ponad 10 000 kontroli i nałożył grzywny o łącznej wysokości prawie 254 mln CZK tylko w pierwszym półroczu. Najczęstsze naruszenia obejmują niewypłacanie wynagrodzeń, nieprowadzenie ewidencji przepracowanego czasu pracy i nieprzestrzeganie wymogów BHP.

Urząd skarbowy może przeprowadzać kontrole w ramach trzyletniego terminu prekluzyjnego na wymiar podatku. Kontrola zostaje wszczęta z chwilą doręczenia zawiadomienia, w którym organ podatkowy wskazuje, jaki podatek i za jaki okres kontroluje. W przypadku nieprawidłowości podmiotowi wstecznie wymierza się podatek i związane z nim sankcje – karę w wysokości 20% kwoty domiaru oraz odsetki za zwłokę.

Co może doprowadzić do wszczęcia kontroli:

• Długotrwała strata (podejrzenie ukrywania dochodów)
• Wysokie odliczenia lub wnioski o zwrot VAT
• Nieprawidłowości w informacji kontrolnej (kontrolní hlášení)
• Zgłoszenia od pracowników lub konkurencji
• Wyrywkowa kontrola w branżach ryzykownych

Na co dzień jesteśmy partnerami prawników firmowych w sprawach specjalnych, w tym w reprezentacji podczas kontroli i postępowań administracyjnych. Aby niezwłocznie rozwiązać Państwa sytuację, prosimy pisać na konsultacja@arws.cz.

Przegląd głównych ryzyk i sposoby zapobiegania im

Międzynarodowy wymiar compliance

Dla spółek o zasięgu międzynarodowym compliance jest jeszcze bardziej złożony. Należy uwzględnić nie tylko przepisy czeskie, ale także regulacje europejskie (RODO, NIS2, dyrektywy AML), a w razie potrzeby również przepisy innych państw, w których firma działa.

W spółkach międzynarodowych obowiązkowy staje się audyt w zakresie wymogów AML oraz weryfikacja partnerów biznesowych pod kątem ryzyk sankcyjnych. Screening list sankcyjnych powinien odbywać się co miesiąc.

Kancelaria adwokacka ARROWS świadczy usługi prawne także poza Republiką Czeską dzięki budowanej od dziesięciu lat sieci ARROWS International i praktycznie codziennie zajmuje się sprawami z elementem międzynarodowym.

Dlaczego warto powierzyć audyt compliance ekspertom

Przeprowadzenie audytu prawnego to bardzo drobiazgowa praca, wymagająca szczegółowej znajomości wielu dziedzin prawa. Czas trwania całego procesu zależy od wielkości spółki. Wynikiem jest raport due diligence podsumowujący ogólny stan spółki lub skoncentrowany wyłącznie na problemach wykrytych podczas audytu.

„Wczoraj było za późno” – każdy właściciel czy członek zarządu powinien jak najszybciej ocenić, czy jego firma ma wystarczające wewnętrzne zabezpieczenia przed działaniami niezgodnymi z prawem. Jeśli nie, należy wprowadzić program compliance lub przeprowadzić rewizję obowiązujących przepisów wewnętrznych.

Konsekwencje i ryzyka związane z oskarżeniem lub skazaniem firmy są poważne i mogą zagrozić jej istnieniu. Sąd może w toku postępowania zastosować środki zapobiegawcze, na przykład zakaz rozporządzania określonymi rzeczami lub zajęcie środków, co może bezpośrednio zagrozić płynności finansowej i funkcjonowaniu firmy.

Zależy to od wielkości spółki i zakresu audytu. W średnich firmach kompleksowy audyt trwa zwykle 4–8 tygodni, w dużych korporacjach może to być kilka miesięcy. Audyty cząstkowe skoncentrowane na konkretnym obszarze (np. RODO lub AML) można przeprowadzić szybciej. Aby oszacować czasochłonność w Państwa przypadku, prosimy o kontakt pod adresem konsultacja@arws.cz.

Należy niezwłocznie podjąć działania naprawcze. Jeśli za dotychczasowy stan grożą sankcje, warto rozważyć dobrowolne zawiadomienie regulatora – w niektórych przypadkach może to prowadzić do obniżenia kary. W żadnym wypadku nie należy ukrywać braków ani próbować ich później maskować. Potrzebują Państwo porady co do dalszego postępowania? Prosimy pisać na konsultacja@arws.cz.

Tak. Wprowadzenie nowego skutecznego programu compliance (najpóźniej przed wydaniem decyzji pierwszej instancji) może zostać uwzględnione przez ÚOHS przy ustalaniu wysokości kary jako okoliczność łagodząca poprzez obniżenie kwoty bazowej kary nawet o 5%. Podobne podejście stosują także inni regulatorzy. Więcej informacji – prosimy o kontakt pod adresem konsultacja@arws.cz.

Audyt wewnętrzny przeprowadzają pracownicy firmy (dział compliance, audytor wewnętrzny), audyt zewnętrzny realizuje niezależny podmiot trzeci (kancelaria adwokacka, firma audytorska). Audyt zewnętrzny ma większą wartość dowodową i zapewnia obiektywne spojrzenie, audyt wewnętrzny sprawdza się przy bieżącym monitoringu. Optymalne jest połączenie obu podejść. Jeśli zajmują się Państwo ustawieniem procesów audytowych, prosimy pisać na konsultacja@arws.cz.

Podsumowanie – zapobieganie jest tańsze niż leczenie

Audyt compliance nie jest zbędną biurokracją, lecz skutecznym narzędziem ochrony Państwa działalności. W otoczeniu, w którym kary sięgają setek milionów koron czeskich, a osobista odpowiedzialność organów statutowych jest coraz surowsza, żadna firma nie może sobie pozwolić na liczenie, że „jakoś to będzie”.

Jeśli nie chcą Państwo ryzykować błędów, szkód czy kar, mogą Państwo bezpiecznie powierzyć całą sprawę kancelarii adwokackiej ARROWS. Mamy doświadczenie z ponad 150 spółek akcyjnych i 250 s.r.o. w naszym portfolio. Jesteśmy ubezpieczeni od szkód do kwoty 500 000 000 CZK i stawiamy na szybkość oraz wysoką jakość usług.

Oferujemy:

• Kompleksowe audyty compliance szyte na miarę
• Przygotowanie i rewizję wewnętrznych regulaminów oraz dokumentacji compliance
• Szkolenia kierownictwa i pracowników wraz z certyfikatem
• Reprezentację podczas kontroli i postępowań administracyjnych
• Długoterminowy monitoring compliance
• Uzyskiwanie licencji i zezwoleń, w tym ich zmian

Zapraszamy do kontaktu z naszą kancelarią – zyskają Państwo pewność, że Państwa firma działa zgodnie z przepisami prawa.

Nie chcą Państwo rozwiązywać tego problemu sami? Kancelarii adwokackiej ARROWS zaufało ponad 2000 klientów, a nasza kancelaria otrzymała tytuł Kancelarii Prawnej Roku 2024. Nasze referencje znajdą Państwo TUTAJ, a pomoc w rozwiązaniu Państwa problemu będzie dla nas zaszczytem. Zapytanie jest bezpłatne.