Dokumentacja wewnętrzna w zakresie nowych obowiązków jednostek finansów publicznych

Praktyczny poradnik dla jednostek sektora finansów publicznych, prezentujący nowe obowiązki wynikające ze zmian w przepisach oraz gotowe wzory dokumentów niezbędnych do ich wdrożenia.

Celem książki jest omówienie nowych obowiązków związanych ze zmianami w prawie oraz przedstawienie modelowych wzorów dokumentów, jakie należy wdrożyć w związku z tymi regulacjami. Centralny Rejestr Umów, KSeF, AI Act, NIS2, e-Doręczenia, ochrona sygnalistów, przeciwdziałanie mobbingowi, nowe uprawnienia PIP oraz regulacje dotyczące ochrony ludności i zarządzania kryzysowego wymagają przełożenia przepisów na konkretne procesy, odpowiedzialności i dokumenty wewnętrzne.

Brak procedury, niejasny podział kompetencji, niewłaściwe upoważnienia, nieprzeszkoleni pracownicy albo brak dowodów wykonania obowiązku mogą ujawnić się dopiero podczas kontroli, cyberataku, skargi pracownika, zgłoszenia sygnalisty, kryzysu lub sporu sądowego.

Publikacja identyfikuje najważniejsze ryzyka prawne i organizacyjne oraz przedstawia modelowe regulaminy, polityki, instrukcje, rejestry, listy kontrolne i wzory dokumentów. Ich celem jest nie tylko formalne wdrożenie nowych przepisów, lecz przede wszystkim ograniczenie ryzyka odpowiedzialności kierownika, sekretarza, skarbnika, głównego księgowego oraz osób kierujących poszczególnymi procesami.

Zmianę podejścia do myślenia o ryzyku i jego skutkach dla organizacji, zwłaszcza w kontekście zachowania ciągłości działalności, wywołały m.in. ostatnie wydarzenia. Mowa tu w szczególności o konfliktach zbrojnych na świecie (które powodują m.in. istotne wahania cen paliw i energii) oraz postępującej cyfryzacji, której istotnym elementem stał się rozwój sztucznej inteligencji. Zjawiska te uwypukliły potrzebę identyfikacji i zarządzania zarówno tradycyjnymi, jak i nowymi kategoriami ryzyk, obejmującymi m.in. zagrożenia technologiczne, informacyjne i cybernetyczne.

Książka jest nie tylko omówieniem zmian i zbiorem gotowych do wykorzystania dokumentów, ale przede wszystkim wyjaśnia:

• jak wykorzystać je do wzmocnienia systemu kontroli zarządczej;
• jak przypisać odpowiedzialność za nowe obowiązki;
• jak dokumentować wykonanie zadań i sprawowany nadzór;
• jak połączyć nowe procedury z zarządzaniem ryzykiem;
• jak zwiększyć skuteczność i użyteczność audytu wewnętrznego;
• jak wykorzystać Program Zapewnienia i Poprawy Jakości do ciągłego doskonalenia audytu;
• jak budować organizację przygotowaną na zmiany prawa, kontrole, incydenty i sytuacje kryzysowe.

Poradnik zawiera praktyczny zestaw narzędzi, które pomagają kierownikowi uporządkować organizację, wzmocnić nadzór, wykazać należytą staranność i skuteczniej chronić jednostkę przed skutkami nowych ryzyk prawnych i organizacyjnych.

Wspomniane nowe regulacje prawne związane są w szczególności z:

• nowymi Globalnymi Standardami Audytu Wewnętrznego (GSAW) opracowanymi przez The Institute of Internal Auditors (IIA) i wydanymi 9.1.2024 r., a ich polskie tłumaczenie zostało udostępnione 6.5.2024 r. na stronie internetowej Stowarzyszenia Audytorów Wewnętrznych IIA Polska. Zgodnie z decyzją właściwych organów IIA GSAW, weszły one w życie 9.1.2025 r., zastępując dotychczasowe Międzynarodowe Standardy Praktyki Zawodowej Audytu Wewnętrznego (MSPZAW);
• ustawą z 14.10.2021 r. o zmianie ustawy – Kodeks karny oraz niektórych innych ustaw (Dz.U. z 2021 r. poz. 2054), która dodała do ustawy o finansach publicznych przepisy art. 34a–34d regulujące funkcjonowanie Centralnego Rejestru Umów. Po kilkukrotnym odraczaniu obowiązek wpisywania przez JSFP do CRU informacji o zawieranych umowach z zakresu zamówień publicznych wszedł w życie 1.7.2026 r. To nie tylko nowy obowiązek techniczny, ale także istotna zmiana organizacyjna: konieczne będzie ustalenie, które umowy podlegają ujawnieniu, kto odpowiada za ich rejestrację, jakie dane należy wprowadzić, jak chronić dane osobowe i jak udokumentować cały proces w ramach kontroli zarządczej. Rejestr ten jest prowadzony w ogólnodostępnym centralnym systemie teleinformatycznym. Kwestie techniczne związane z zakładaniem kont i publikowaniem umów zawiera rozporządzenie Ministra Finansów i Gospodarki w sprawie Centralnego Rejestru Umów Jednostek Sektora Finansów Publicznych (Dz.U. 2026 r. poz. 440);
• ustawą z 17.4.2026 r. o zmianie ustawy o finansach publicznych oraz niektórych innych ustaw (Dz.U. z 2026 r. poz. 635). Celem tej nowelizacji ustawy o finansach publicznych było m.in. zwiększenie dostępności zawodu audytora wewnętrznego oraz ułatwienie pozyskiwania wykwalifikowanych specjalistów do JSFP, co ma przeciwdziałać problemom kadrowym zgłaszanym od wielu lat przez administrację publiczną;
• ustawą z 16.6.2023 r. o zmianie ustawy o podatku od towarów i usług oraz niektórych innych ustaw (Dz.U. z 2023 r. poz. 1598), która wprowadziła obowiązkowy KSeF; ostatecznie obowiązek ten dla JSFP wszedł w życie 1.4.2026 r.
• rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13.6.2024 r. (AI Act) ustanawiającym zharmonizowane zasady dotyczące sztucznej inteligencji, oparte na podejściu opartym na ryzyku. Weszło ono w życie 1.8.2024 r. i jest stosowane etapowo: od 2.2.2025 r. obowiązują między innymi przepisy o zakazanych praktykach oraz o kompetencjach w zakresie AI (AI literacy – art. 4 AI Act), od 2.8.2025 r. – przepisy dotyczące modeli ogólnego przeznaczenia oraz organów i kar, a od 2.8.2026 r. – zasadnicza część obowiązków dla systemów wysokiego ryzyka. Dla jednostek sektora finansów publicznych szczególne znaczenie ma obowiązek zapewnienia odpowiedniego poziomu kompetencji w zakresie AI wśród personelu, który obsługuje lub wykorzystuje systemy sztucznej inteligencji. Obowiązek ten wprost łączy się z potrzebą szkoleń i budowania świadomości ryzyk – a więc z przeciwdziałaniem shadow AI. W porządku krajowym wdrożenie AI Act zapewnia ustawa o systemach sztucznej inteligencji, uchwalona przez Sejm 11.6.2026 r. i rozpatrzona następnie przez Senat, którego poprawki Sejm rozpatrzył 3.7.2026 r. (ustawa czeka obecnie na podpis Prezydenta);
• ustawą o doręczeniach elektronicznych z 18.11.2020 r. (Dz.U. z 2020 r. poz. 2320), która wdrożyła do krajowego systemu prawnego założenia eIDAS. O ile zmiany przepisów procedur administracyjnych w zakresie doręczeń elektronicznych weszły w życie już 5.10.2021 r., samo wdrożenie systemu było wielokrotnie przekładane i opóźniane, początkowo z powodu pandemii, później ze względu na problemy organizacyjne docelowych uczestników systemu. Ostateczne wdrożenie systemu nastąpiło 1.1.2025 r.;
• dyrektywą NIS2 dotyczącą środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii Europejskiej oraz ustawą z 23.1.2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. z 2026 r. poz. 252), która weszła w życie 3.4.2026 r. Regulacje te chronią przed ryzykiem wystąpienia incydentu, utraty poufności, integralności, dostępności i autentyczności danych oraz ryzykiem zakłócenia zadania publicznego;
• ustawą z 14.6.2024 r. o ochronie sygnalistów (Dz.U. z 2024 r. poz. 928), która weszła w życie 25.9.2024 r., natomiast przepisy dotyczące zgłoszeń zewnętrznych obowiązują od 25.12.2024 r.;
• ustawą o zmianie ustawy – Kodeks pracy oraz ustawy – Kodeks postępowania cywilnego wprowadzającą regulacje w zakresie mobbingu (czeka na podpis Prezydenta); wprowadziła ona obowiązek wdrożenia w jednostce dokumentu o nazwie Strategia (Polityka) przeciwdziałania nagannym i niepożądanym działaniom i zachowaniom w zatrudnieniu;
• ustawą z 24.6.2026 r. o Państwowej Inspekcji Pracy (reforma PIP), która weszła w życie 8.7.2026 r. i przyznała PIP nowe uprawnienia do badania, czy umowa B2B lub umowa cywilnoprawna nie ukrywa w rzeczywistości stosunku pracy;
• ustawą o ochronie ludności i obronie cywilnej z 5.12.2024 r. (Dz.U. z 2024 r. poz. 1907) i jej nowelizacją z 17.4.2026 r. (Dz.U. z 2026 r. poz. 646);
• ustawą z 29.5.2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw (Dz.U. z 2026 r. poz. 815), która weszła w życie 4.7.2026 r.