Zarządzanie ryzykiem regulacyjnym. KSeF, NIS2, AI Act, PPWR i prawo pracy. Jeszcze kilka lat temu duża zmiana regulacyjna była dla przedsiębiorstwa projektem. Pojawiała się nowa ustawa, wyznaczano osoby odpowiedzialne, przygotowywano procedury, dostosowywano systemy, szkolono pracowników i po kilku miesiącach można było uznać wdrożenie za zakończone. Dzisiaj coraz częściej nie ma już momentu, w którym firma może powiedzieć: „wdrożyliśmy nowe przepisy, wracamy do normalnego działania”. Zmiana regulacyjna stała się normalnym działaniem.

W jednej organizacji dział finansowy stabilizuje właśnie funkcjonowanie KSeF. IT i compliance wdrażają wymagania wynikające z nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa implementującej NIS2. Marketing i HR analizują wykorzystanie sztucznej inteligencji pod kątem AI Act. Produkcja, zakupy i logistyka mierzą się z PPWR. HR dodatkowo dostosowuje się do nowych uprawnień Państwowej Inspekcji Pracy, a przed pracodawcami są kolejne zmiany dotyczące mobbingu i dyskryminacji.

Każdy z tych projektów może mieć innego właściciela. Problem polega na tym, że ryzyko wszystkich tych projektów ostatecznie spotyka się w jednym miejscu – na poziomie przedsiębiorstwa i jego zarządu. I właśnie tutaj pojawia się pytanie, które w wielu organizacjach nie ma jeszcze dobrej odpowiedzi: kto właściwie zarządza ryzykiem regulacyjnym jako całością?

KSeF jest dobrym przykładem. Dla większości przedsiębiorców nie jest to już projekt przyszłości. System obowiązuje, ale jego wdrożenie nie sprowadzało się do poinformowania księgowości o zmianie sposobu wystawiania faktur. Konieczne były zmiany systemów finansowo-księgowych, nadanie uprawnień, ustalenie odpowiedzialności, procedur awaryjnych, obiegu dokumentów i współpracy z kontrahentami.

Cyberbezpieczeństwo pokazuje ten problem jeszcze wyraźniej. Nowelizacja KSC weszła w życie 3 kwietnia 2026 r. i dla podmiotów kluczowych oraz ważnych uruchomiła konkretne obowiązki organizacyjne, dotyczące m.in. zarządzania bezpieczeństwem informacji, incydentami oraz ryzykiem. To nie jest już wyłącznie zadanie działu IT. Zarząd ma obowiązki związane z zatwierdzaniem środków zarządzania ryzykiem i nadzorowaniem ich wdrożenia. Odpowiedzialność za cyberbezpieczeństwo przesuwa się więc z poziomu technicznego na poziom corporate governance.

AI Act tworzy jeszcze inny rodzaj wyzwania. Przedsiębiorstwo najpierw musi w ogóle ustalić, gdzie wykorzystuje sztuczną inteligencję. Nie tylko w rozwiązaniach kupionych jako „system AI”, ale również w funkcjach wbudowanych w programy HR, marketingowe, sprzedażowe, analityczne czy służące do obsługi klienta. Część obowiązków AI Act już znajduje zastosowanie, w tym obowiązki dotyczące kompetencji personelu w zakresie AI czy – od sierpnia – określone obowiązki transparentności. Jednocześnie terminy stosowania części regulacji dotyczących systemów wysokiego ryzyka zostały przesunięte. To dodatkowo pokazuje, że compliance nie jest jednorazowym wdrożeniem. Trzeba zarządzać regulacją, która sama w czasie się zmienia.

Podobnie jest z PPWR. Rozporządzenie dotyczące opakowań i odpadów opakowaniowych stosuje się od 12 sierpnia 2026 r., ale poszczególne wymagania mają własne terminy i okresy dostosowawcze. Dla przedsiębiorstwa oznacza to konieczność przełożenia regulacji na konkretne decyzje dotyczące produktu, opakowania, dostawców, logistyki i modelu sprzedaży.

Prawo pracy dokłada do tego kolejne projekty. Od 8 lipca Państwowa Inspekcja Pracy dysponuje nowymi instrumentami dotyczącymi oceny stosowania umów cywilnoprawnych w warunkach właściwych dla stosunku pracy. Od 5 listopada zmieniają się przepisy dotyczące mobbingu i dyskryminacji, a pracodawcy będą musieli odpowiednio dostosować swoje rozwiązania wewnętrzne. Równolegle trwają prace związane z pełnym wdrożeniem unijnych regulacji dotyczących przejrzystości wynagrodzeń.

Można oczywiście powiedzieć: każda z tych regulacji ma swojego specjalistę. KSeF – dyrektora finansowego. NIS2 – CISO albo dyrektora IT. AI Act – compliance i IT. PPWR – produkcję, ESG albo environmental compliance. Prawo pracy – HR. I właśnie w tym może tkwić największy problem. Bo przedsiębiorstwo nie ponosi pięciu niezależnych ryzyk. Ponosi jedno łączne ryzyko regulacyjne wynikające z pięciu równolegle prowadzonych procesów.

Jeżeli każdy dział zarządza wyłącznie swoim fragmentem, łatwo powstaje złudzenie kontroli. CFO raportuje, że KSeF został wdrożony. IT informuje, że prowadzi projekt NIS2. HR przygotowuje nowe procedury. Marketing analizuje AI. Produkcja pracuje nad opakowaniami. Z perspektywy zarządu wszystko jest więc „w toku”. Tyle że „w toku” nie jest kategorią zarządzania ryzykiem.

Zarząd powinien wiedzieć przynajmniej, które regulacje dotyczą przedsiębiorstwa, na jakim etapie znajduje się ich wdrożenie, jakie są najbliższe terminy, gdzie występują największe ryzyka, kto jest właścicielem każdego projektu i – co szczególnie ważne – które problemy wymagają decyzji zarządczej, a nie tylko pracy specjalistów. Nie oznacza to, że zarząd ma samodzielnie interpretować PPWR, konfigurować KSeF czy oceniać zabezpieczenia sieci informatycznej. Rolą zarządu nie jest zastępowanie ekspertów. Rolą zarządu jest stworzenie takiego systemu, w którym właściwi eksperci identyfikują ryzyko, odpowiedzialne osoby nim zarządzają, a informacje o problemach wymagających decyzji docierają na odpowiedni poziom organizacji. To istotna różnica. Delegować można zadania. Znacznie trudniej delegować odpowiedzialność za stworzenie właściwego systemu zarządzania przedsiębiorstwem.

Z perspektywy prawa spółek nabiera to dodatkowego znaczenia. Członkowie zarządu mają obowiązek wykonywać swoje funkcje z należytą starannością wynikającą z zawodowego charakteru działalności. Nie oznacza to odpowiedzialności za każdy błąd popełniony w organizacji. Oznacza jednak, że w przypadku poważnego incydentu regulacyjnego może pojawić się pytanie nie tylko o to, co zrobił konkretny dział, ale także o sposób wykonywania nadzoru przez zarząd.

Wyobraźmy sobie incydent cybernetyczny. Pierwszym pytaniem będzie oczywiście to, jakie zabezpieczenia posiadała spółka. Kolejne mogą jednak brzmieć: kiedy zarząd otrzymał informację o ryzyku? Czy znał wyniki audytu? Czy otrzymał rekomendacje? Czy przeznaczył środki na ich wykonanie? Czy sprawdził później, czy zostały wykonanePodobnie może wyglądać sytuacja w innych obszarach. Firma korzystała z systemu AI w procesach HR. Kto ustalił, jakie funkcje rzeczywiście wykonuje system? Kto dokonał jego kwalifikacji prawnej? Czy istnieje rejestr wykorzystywanych narzędzi AI? Kto zatwierdził sposób ich stosowania? Albo PPWR. Dział prawny przesłał informację o nowym rozporządzeniu. Czy ktoś jednak przełożył ją na listę produktów i opakowań wymagających zmian? Czy zakupy wiedzą, jakie wymagania mają stawiać dostawcom? Czy dział sprzedaży wie, które dotychczasowe rozwiązania będą musiały zostać zmodyfikowane?

Właśnie dlatego compliance regulacyjne coraz mniej przypomina bibliotekę procedur, a coraz bardziej zarządzanie portfelem projektów. Firma potrzebuje czegoś w rodzaju mapy regulacyjnej. Nie kolejnego kilkudziesięciostronicowego dokumentu, lecz aktualnego obrazu pokazującego, jakie istotne regulacje dotyczą organizacji, jakie obowiązki z nich wynikają, kto za nie odpowiada, jakie są terminy, jaki jest status wdrożenia i gdzie znajdują się ryzyka wymagające decyzji.

Co więcej, taka mapa powinna uwzględniać zależności pomiędzy regulacjami. System AI używany w rekrutacji nie jest tylko problemem AI Act. Może jednocześnie dotyczyć prawa pracy, ochrony danych osobowych i zasad niedyskryminacji. Incydent cybernetyczny może uruchomić obowiązki wynikające z KSC, RODO, umów z klientami i regulacji sektorowych. Zmiana opakowania wynikająca z PPWR może mieć konsekwencje dla umów z dostawcami, oznakowania produktu, marketingu i kosztów całego łańcucha dostaw. Ryzyka regulacyjne nie respektują schematu organizacyjnego przedsiębiorstwa.

Dlatego nie jestem przekonany, czy odpowiedzią powinno być stworzenie kolejnego stanowiska pod nazwą „regulatory manager”. W mniejszych i średnich organizacjach byłoby to często niepotrzebne. Ważniejszy jest sam mechanizm zarządzania. Ktoś powinien odpowiadać za całościowy obraz. Poszczególne projekty powinny mieć właścicieli biznesowych. Dział prawny lub compliance powinien zapewniać interpretację i kontrolę prawną. Zarząd powinien natomiast regularnie otrzymywać syntetyczną informację o najważniejszych ryzykach, terminach, opóźnieniach i decyzjach, których nie można pozostawić niżej w strukturze. I tu pojawia się jeszcze jeden element – dokumentowanie. Jeżeli po dwóch latach organ nadzoru, audytor, wspólnik albo sąd zapyta, jak zarząd reagował na określone ryzyko, sama procedura może nie wystarczyć. Znaczenie będzie miało to, czy zarząd otrzymywał raporty, czy omawiał problem, jakie informacje posiadał, jakie decyzje podejmował i czy kontrolował ich wykonanie. To jest coraz ważniejsza część współczesnego corporate governance: nie tylko działać z należytą starannością, ale również pozostawić możliwość wykazania, że tak właśnie było. Największym błędem przy obecnej kumulacji regulacji może więc nie być nawet niewdrożenie pojedynczej procedury. Może nim być brak systemu, który pozwala zarządowi wiedzieć, czego przedsiębiorstwo jeszcze nie wdrożyło. KSeF, NIS2, AI Act, PPWR czy zmiany prawa pracy są bardzo różnymi regulacjami. Łączy je jednak jedna rzecz. Każda z nich wymusza zmiany wykraczające poza dział prawny i każda może mieć konsekwencje finansowe, operacyjne albo reputacyjne.

Dlatego pytanie, które zarząd powinien dzisiaj zadać, nie brzmi już tylko: „czy jesteśmy zgodni z przepisami?”. Powinno brzmieć: „Czy mamy system, który pozwala nam wiedzieć, z którymi przepisami nie jesteśmy jeszcze zgodni, kto ma to zmienić i kiedy zarząd powinien się o tym dowiedzieć?”. Przy obecnym tempie zmian regulacyjnych właśnie odpowiedź na to pytanie może być jednym z najlepszych testów jakości zarządzania przedsiębiorstwem.

Autor: Jarosław Chałas

Partner Zarządzający, Radca Prawny

Kancelaria Prawna Chałas i Wspólnicy