Audyt prawny: co sprawdzamy, co Państwo dostają i czego audyt nie załatwia

Wiele obowiązków z zakresu zgodności ma datę. Deklarację dostępności przegląda się i aktualizuje do 31 marca każdego roku. Raport o stanie zapewniania dostępności składa się co cztery lata, również do 31 marca. Próg 50 osób uruchamiający procedurę zgłoszeń wewnętrznych bada się 1 stycznia i 1 lipca. Audyt prawny polega na ustaleniu, które z tych dat Państwa dotyczą — i których Państwo nie dotrzymali.

Obowiązki, które mają termin i dlatego przepadają po cichu

Procedurę zgłoszeń wewnętrznych ustala podmiot, na rzecz którego 1 stycznia albo 1 lipca danego roku wykonuje pracę zarobkową co najmniej 50 osób (art. 23 ust. 1 ustawy o ochronie sygnalistów). Wchodzi ona w życie po upływie 7 dni od podania do wiadomości, a poprzedzają ją konsultacje trwające od 5 do 10 dni. Próg nie działa przy tym wszędzie tak samo: w finansach, przeciwdziałaniu praniu pieniędzy, bezpieczeństwie transportu i ochronie środowiska obowiązek jest bez względu na liczbę osób, a dla jednostek organizacyjnych gmin i powiatów poniżej 10 000 mieszkańców ustawa przewiduje zwolnienie, którego zastosowanie do konkretnej jednostki wymaga analizy (art. 23 ust. 3 i 5). Wyznaczenie, zmianę danych albo odwołanie inspektora ochrony danych zgłasza się Prezesowi UODO w terminie 14 dni (art. 10 ustawy o ochronie danych osobowych), a naruszenie ochrony danych — w 72 godziny od stwierdzenia (art. 33 ust. 1 RODO). Oba obowiązki opisujemy osobno na stronach o ochronie sygnalistów i o wdrożeniu RODO.

Dostępność ma dwa reżimy i dwa kalendarze. Podmiot publiczny przegląda deklarację dostępności co roku do 31 marca i aktualizuje ją niezwłocznie po każdej zmianie (art. 11); za niesporządzenie i nieopublikowanie deklaracji albo brak jej wymaganych elementów grozi kara do 5 000 zł, jeżeli brak wykazano w dwóch kolejnych monitorowaniach ministra, a za nieuzasadnione i uporczywe niezapewnienie dostępności cyfrowej — do 10 000 zł, przy czym uporczywość ustawa wiąże z brakiem poprawy w trzech kolejnych monitorowaniach i rosnącą liczbą uzasadnionych skarg (art. 19 ustawy o dostępności cyfrowej stron internetowych i aplikacji mobilnych podmiotów publicznych). Osobno, na podstawie ustawy o zapewnianiu dostępności osobom ze szczególnymi potrzebami, każdy organ władzy publicznej — w tym urząd gminy — wyznacza co najmniej jednego koordynatora do spraw dostępności (art. 14 ust. 1), a każdy podmiot publiczny, więc także szkoła, biblioteka i instytucja kultury, składa co cztery lata, do 31 marca, raport o stanie zapewniania dostępności architektonicznej, cyfrowej i informacyjno-komunikacyjnej i publikuje go w Biuletynie Informacji Publicznej (art. 11 ust. 1).

Od 3 kwietnia 2026 r. obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrażająca dyrektywę NIS2 (Dz.U. 2026 poz. 252). Podmiot sam ocenia, czy jest podmiotem kluczowym albo ważnym, i zależnie od kategorii składa wniosek o wpis do wykazu albo uzupełnia dane wpisane z urzędu. Termin zależy od tego, kiedy przesłanki zostały spełnione: kto spełnił je dopiero po wejściu ustawy w życie, ma 6 miesięcy od tego dnia (art. 7c ust. 1), a kto spełniał je już 3 kwietnia 2026 r. — składa wniosek według harmonogramu, który minister właściwy do spraw informatyzacji ogłasza komunikatem, osobno dla poszczególnych rodzajów podmiotów. Na wdrożenie środków technicznych i organizacyjnych podmioty istniejące mają 12 miesięcy od wejścia ustawy w życie. Instytucja obowiązana w rozumieniu ustawy o przeciwdziałaniu praniu pieniędzy aktualizuje ocenę ryzyka nie rzadziej niż co 2 lata, a spółka zgłasza beneficjenta rzeczywistego do Centralnego Rejestru Beneficjentów Rzeczywistych w terminie 14 dni od wpisu do KRS i w tym samym terminie aktualizuje zgłoszenie po każdej zmianie (art. 60 ust. 1 i 1a), pod rygorem kary pieniężnej do 1 000 000 zł (art. 153 ust. 1). Przedsiębiorców obejmuje od 28 czerwca 2025 r. ustawa o zapewnianiu spełniania wymagań dostępności niektórych produktów i usług (Dz.U. 2024 poz. 731), dotycząca między innymi handlu elektronicznego, usług bankowych i e-booków; mikroprzedsiębiorcy są z niej wyłączeni w zakresie usług, ale przy produktach obowiązki ich nie omijają. Szerzej piszemy o tym na stronach o cyberbezpieczeństwie, dostępności cyfrowej i przeciwdziałaniu praniu pieniędzy.

Umowy: klauzule, które uruchamiają się bez Państwa udziału

Umowy przeglądamy przede wszystkim pod kątem zdarzeń, które nastąpią bez Państwa decyzji. Klauzula zmiany kontroli daje kontrahentowi prawo wypowiedzenia albo żądania natychmiastowej spłaty, gdy zmieni się wspólnik, właściciel albo skład organu — potrafi wywrócić transakcję już po jej podpisaniu, bo o jej istnieniu nikt nie pamiętał. Kary umowne sprawdzamy pod kątem limitu łącznego, podstawy naliczenia i tego, czy nie zastrzeżono ich na wypadek niewykonania zobowiązania pieniężnego — art. 483 § 1 Kodeksu cywilnego dopuszcza je wyłącznie przy zobowiązaniu niepieniężnym, a zastrzeżenie wykraczające poza tę granicę orzecznictwo uznaje za nieważne.

Dalej idą: terminy wypowiedzenia i automatycznego przedłużenia, waloryzacja wynagrodzenia, zakaz cesji, prawo opcji, właściwość sądu i prawa, zabezpieczenia, umowy powierzenia przetwarzania danych (art. 28 RODO) oraz to, czy osoba, która umowę podpisała, miała do tego umocowanie. Ostatnie brzmi trywialnie, a jest jedną z częstszych wad: umowa podpisana przez jednego członka zarządu przy reprezentacji łącznej albo przez dyrektora jednostki bez pełnomocnictwa organu prowadzącego.

Zamówienia publiczne, statut, regulaminy i reprezentacja

U zamawiającego sprawdzamy plan postępowań, który sporządza się nie później niż w 30 dni od przyjęcia budżetu albo planu finansowego i zamieszcza w Biuletynie Zamówień Publicznych oraz na stronie internetowej zamawiającego, oraz roczne sprawozdanie o udzielonych zamówieniach, przekazywane Prezesowi Urzędu Zamówień Publicznych do 1 marca za rok poprzedni. Osobno czytamy wewnętrzny regulamin zamówień poniżej progu 170 000 zł, bo tam ustawy się nie stosuje, a odpowiedzialność za gospodarowanie środkami publicznymi zostaje.

W jednostce sektora finansów publicznych statut i regulamin organizacyjny czytamy obok siebie: kto jest kierownikiem jednostki, czy powierzenie obowiązków w zakresie gospodarki finansowej potwierdzono dokumentem — odrębnym imiennym upoważnieniem albo wskazaniem w regulaminie organizacyjnym (art. 53 ust. 2 ustawy o finansach publicznych), które dokumenty wymagają podpisu głównego księgowego jako dowodu wstępnej kontroli (art. 54 ust. 3), a w gminie — które czynności wymagają kontrasygnaty skarbnika (art. 46 ust. 3 ustawy o samorządzie gminnym), i czy udzielone pełnomocnictwa nadal obejmują osoby, które faktycznie wykonują dane czynności.

Kiedy audyt ma sens

Pięć typowych momentów. Przed kontrolą — gdy wiadomo, że przyjdzie UODO, regionalna izba obrachunkowa albo NIK, i jest jeszcze czas, by usunąć stwierdzone nieprawidłowości i ograniczyć ryzyko ich powtórzenia. Przed transakcją — gdy sprzedają Państwo udziały, kupują przedsiębiorstwo albo przystępują do konsorcjum. Po zmianie kierownictwa — nowy dyrektor odpowiada za stan jednostki od dnia objęcia funkcji i powinien wiedzieć, co przejmuje.

Po wpadce — po wycieku danych, zgłoszeniu sygnalisty albo zerwanej umowie, gdy okazuje się, że zdarzenie miało przyczynę systemową, a nie jednostkową. I przy przejmowaniu obowiązków na stanowisku obciążonym odpowiedzialnością osobistą: głównego księgowego, koordynatora do spraw dostępności, inspektora ochrony danych.

Czym audyt prawny różni się od due diligence

Cel jest inny i dlatego inny jest raport. Due diligence robi się dla kupującego albo inwestora: pyta o wartość, o ryzyka, które obniżą cenę, i o to, jakie oświadczenia i zapewnienia wpisać do umowy sprzedaży. Odbiorcą wyniku jest druga strona transakcji, a sam wynik trafia do negocjacji.

Audyt prawny robi się dla samej jednostki i pyta o zgodność: czego brakuje, co jest nieważne, co przepadło terminowo i w jakiej kolejności to naprawić. Wynik nie jest argumentem w negocjacji, tylko harmonogramem pracy. Bywa też etapem przygotowawczym — podmiot, który przeszedł audyt przed rozpoczęciem rozmów, wchodzi w due diligence kupującego bez łatwych do znalezienia braków.

Odpowiedzialność, która spada na osobę, a nie na jednostkę

Kierownik jednostki sektora finansów publicznych odpowiada za całość gospodarki finansowej jednostki (art. 53 ust. 1 ustawy o finansach publicznych). Za naruszenie dyscypliny finansów publicznych grozi upomnienie, nagana, kara pieniężna albo zakaz pełnienia funkcji związanych z dysponowaniem środkami publicznymi na okres od roku do 5 lat; zakaz obejmuje także stanowiska skarbnika i głównego księgowego oraz członkostwo w organach stanowiących, nadzorczych i wykonawczych państwowych i samorządowych osób prawnych, nie ogranicza natomiast biernego prawa wyborczego na wójta, burmistrza i prezydenta miasta. Karalność ustaje po 3 latach od popełnienia czynu, a gdy w tym czasie wszczęto postępowanie — po upływie kolejnych 2 lat.

Sankcje osobiste są też poza dyscypliną. Nieustanowienie procedury zgłoszeń wewnętrznych albo ustanowienie jej z istotnym naruszeniem wymogów ustawy jest wykroczeniem zagrożonym grzywną, za które odpowiada osoba odpowiedzialna za jej ustanowienie (art. 58 ustawy o ochronie sygnalistów; orzeka się w trybie Kodeksu postępowania w sprawach o wykroczenia — art. 59). Udaremnianie lub utrudnianie kontroli Prezesa UODO jest przestępstwem zagrożonym grzywną, karą ograniczenia wolności albo pozbawienia wolności do lat dwóch (art. 108 ust. 1 ustawy o ochronie danych osobowych). Tego rodzaju odpowiedzialności nie przenosi się umową na firmę zewnętrzną.

Co Państwo dostają

Zakres audytu, forma raportu, lista zaleceń, harmonogram wdrożenia i ewentualny przegląd wykonania zależą od uzgodnionego zlecenia. Raport może mieć formę listy uchybień uszeregowanych według ryzyka: najpierw to, co jest zagrożone sankcją i ma bliski termin, potem to, co grozi nieważnością czynności albo utratą uprawnienia, na końcu wady redakcyjne. Przy każdej pozycji można wskazać podstawę prawną, opis stanu faktycznego i to, co konkretnie trzeba zrobić.

Jeżeli obejmuje to zlecenie, przygotowujemy wzory brakujących dokumentów (procedur, regulaminów, klauzul umownych, upoważnień i pełnomocnictw) oraz harmonogram wdrożenia z datami wynikającymi z ustawowych terminów. Możemy też wskazać, co Państwo wykonają sami, a co wymaga adwokata, i omówić wyniki z zarządem, radą albo organem prowadzącym.

Czego audyt prawny nie załatwia

Nie jest ubezpieczeniem. Nie chroni przed odpowiedzialnością za stan sprzed audytu i nie usuwa naruszeń, które już nastąpiły — raport je pokazuje, ale skutki zostają.

Nie zastępuje wdrożenia. Sam dokument niczego nie zmienia: procedurę trzeba skonsultować, ogłosić i stosować, a to praca po stronie jednostki.

Nie jest audytem finansowym ani informatycznym. Nie badamy sprawozdania finansowego ani konfiguracji systemów: przy cyberbezpieczeństwie i dostępności cyfrowej wskazujemy obowiązki prawne i terminy, a testy techniczne wykonuje audytor techniczny.

Nie obejmuje tego, czego nam Państwo nie pokażą. Raport opiera się na przekazanych dokumentach i oświadczeniach; umowa, która nie trafiła do przeglądu, nie znajdzie się w wykazie wad.

Nie zamraża stanu prawnego. Ustalenia są aktualne na dzień sporządzenia raportu, a sam 2026 rok pokazuje tempo zmian: ustawę o ochronie danych osobowych znowelizowano trzykrotnie, a ustawę o krajowym systemie cyberbezpieczeństwa przebudowano.

Jak wygląda praca z Kancelarią

Zaczynamy od rozmowy o tym, co ma się wydarzyć: kontrola, transakcja, zmiana na stanowisku. Potem ustalamy zakres na piśmie. Zakres audytu dobieramy do działalności, struktury organizacji i zidentyfikowanych ryzyk. Prosimy o schemat organizacyjny, statut i regulamin organizacyjny, wykaz obowiązujących umów, dokumentację ochrony danych, akty powołania i pełnomocnictwa oraz protokoły z ostatnich kontroli.

Adwokat przegląda dokumenty, prosi o wyjaśnienia i rozmawia z osobami, które dany obszar prowadzą. Formę i termin przekazania wyników, a także to, czy obejmują one wzory i harmonogram, ustalamy przed rozpoczęciem pracy. Jeżeli po audycie zdecydują się Państwo na wdrożenie, wykonujemy je na podstawie odrębnego zlecenia.

Obsługujemy jednostki samorządu i instytucje kultury oraz spółki i przedsiębiorców. Spotykamy się w Katowicach przy Placu Oddziałów Młodzieży Powstańczej 5/8 i w Zawierciu przy ul. 3 Maja 33. Wynagrodzenie ustalamy przed rozpoczęciem pracy, po ustaleniu zakresu.

Pytania i odpowiedzi

Czy audyt prawny jest obowiązkowy?

Nie, żaden przepis nie nakazuje jego przeprowadzenia. Obowiązkowe są poszczególne czynności, które audyt ujawnia: procedura zgłoszeń wewnętrznych, wyznaczenie inspektora ochrony danych, deklaracja dostępności, raport o stanie zapewniania dostępności, ocena ryzyka AML. Audyt jest sposobem sprawdzenia, czy one istnieją, a nie osobnym obowiązkiem.

Ile trwa audyt prawny?

Zależy od zakresu i od tego, jak szybko dostaniemy dokumenty. Przegląd jednego obszaru — na przykład dokumentacji ochrony danych albo umów z jednym kontrahentem — zamyka się zwykle w kilku dniach roboczych, a przegląd jednostki samorządowej razem z jej jednostkami organizacyjnymi liczy się w tygodniach. Termin wpisujemy do zlecenia przed rozpoczęciem pracy.

Czym audyt prawny różni się od kontroli zarządczej i audytu wewnętrznego?

Kontrola zarządcza i audyt wewnętrzny to instytucje ustawy o finansach publicznych: prowadzi je jednostka własnymi siłami albo audytor wewnętrzny, a ich celem jest zapewnienie realizacji zadań w sposób zgodny z prawem, efektywny, oszczędny i terminowy (art. 68 ust. 1). Audyt prawny prowadzi kancelaria z zewnątrz i pyta o co innego: czy konkretna czynność jest ważna, czy dokument spełnia wymogi ustawy i co grozi za brak — także w obszarach spoza finansów publicznych. Jedno drugiego nie zastępuje.

Czy raport z audytu może zostać wykorzystany przeciwko jednostce w kontroli?

Raport sporządzony przez adwokata dla Klienta jest objęty tajemnicą adwokacką, która wiąże Kancelarię niezależnie od Państwa zgody (art. 6 ust. 1 i 3 Prawa o adwokaturze); odstępstwa od niej przewidują ustawy, w tym przepisy procesowe. W praktyce bywa odwrotnie: okazanie raportu i harmonogramu naprawy bywa argumentem za łagodniejszym potraktowaniem, bo dowodzi, że podmiot uchybienie wykrył i usuwał. Decyzję o ujawnieniu podejmują Państwo, nie my.

Co zrobić, jeżeli audyt wykaże obowiązek, którego termin już minął?

Zaległy obowiązek wykonuje się i tak, bo upływ terminu go nie znosi. Naruszenie ochrony danych zgłasza się po terminie, dołączając wyjaśnienie przyczyn opóźnienia (art. 33 ust. 1 RODO), a procedurę zgłoszeń wewnętrznych ustala się z opóźnieniem, ale ustala. Oceniamy też, gdzie samo wykonanie zaległości zamyka sprawę, a gdzie należy liczyć się z postępowaniem.

Czy audyt obejmuje umowy zawarte przez poprzedniego dyrektora?

Tak i zwykle jest to jego najważniejsza część, bo za wykonywanie tych umów odpowiada osoba obecnie pełniąca funkcję. Sprawdzamy przede wszystkim umocowanie osoby podpisującej, terminy wypowiedzenia i automatycznego przedłużenia, kary umowne, zabezpieczenia oraz to, czy umowa jest wykonywana zgodnie ze swoim brzmieniem, czy według praktyki, która się utarła.

Czy wystarczy jeden audyt?

Jednorazowy audyt ustala stan na dany dzień i tym jest cenny przed kontrolą albo transakcją. Do bieżącej zgodności potrzebny jest kalendarz: 1 stycznia i 1 lipca — sprawdzenie progu 50 osób, 1 marca — sprawozdanie o udzielonych zamówieniach, 31 marca — przegląd deklaracji dostępności, co 2 lata — aktualizacja oceny ryzyka AML. Taki kalendarz możemy przygotować razem z raportem, jeżeli obejmuje go zlecenie.

Kontakt

Jeżeli mają Państwo ustalić, na czym stoi Państwa jednostka przed kontrolą, transakcją albo zmianą na stanowisku, zapraszamy do Katowic lub do Zawiercia. Termin umówią Państwo pod numerem 535 204 359 lub pisząc na sekretariat@oca.com.pl.

Wróć do zgodności i audytów