Compliance oparte na dowodach: kontrola, która zostawia ślad
W każdej kontroli, przeglądzie i due diligence pada w końcu to samo pytanie: pokażcie, że ta kontrola zadziałała w marcu. Polityka odpowiada na inne pytanie. Ten tekst jest o tym, jak projektować kontrole, żeby dowód istniał, zanim ktokolwiek zapyta.
Sześćdziesiąt sekund, które ustawiają spotkanie
Wyobraź sobie rozmowę pod koniec sierpnia. Prawniczka inwestora udostępnia ekran, otwiera Waszą politykę AML i mówi: „Na stronie 12 piszecie, że każdy nowy kontrahent jest weryfikowany. Proszę pokazać zapis weryfikacji kontrahenta przyjętego w marcu”. Następna minuta ustawia resztę przeglądu.
Dowód ma anatomię: kto działał, co sprawdził, kiedy, na jakiej podstawie (która lista, która wersja, jaki próg) i gdzie leży zapis. Zrzut ekranu sklejony trzy tygodnie później broni niewielu z tych elementów.
KSeF jako wzorzec projektowy
Polska ma działający przykład obowiązku, który sam wytwarza dowody. KSeF jest obowiązkowy od 1 lutego 2026 r. dla podatników ze sprzedażą brutto powyżej 200 mln zł w 2024 r. i od 1 kwietnia 2026 r. dla pozostałych; podstawą jest ustawa z 5 sierpnia 2025 r. (Dz.U. 2025 poz. 1203). Do końca 2026 r. obowiązują przejściowe uproszczenia, m.in. dla faktur z kas fiskalnych i faktur uproszczonych przy sprzedaży do 10 000 zł miesięcznie.
Dla szefa compliance ważniejsza od wątku podatkowego jest mechanika: faktura przechodzi przez system państwowy w ramach samego wystawienia, więc zapis transakcji istnieje w chwili, w której praca się dzieje. Nikt w kwietniu nie odtwarza marcowych faktur. Tę samą logikę można przenieść na własne kontrole: zapis ma powstawać jako produkt uboczny wykonywania pracy, tworzony przez system, w którym ta praca się odbywa.
Test trzech pytań
Weź dowolną kontrolę z rejestru i zadaj trzy pytania. Po pierwsze: jeśli zadziałała w zeszłym miesiącu, gdzie jest zapis? Po drugie: czy zapis pokazuje, kto zdecydował, co obejrzał i na jakiej podstawie? Po trzecie: czy wyciągniesz go w godzinę, bez pytania osoby, która wykonała pracę? Każde „nie” wskazuje kontrolę, której trudno będzie bronić w przeglądzie.
Ten test zmienia przygotowanie do przeglądów i due diligence. Zamiast pisać narracje do data roomu, indeksujesz istniejące zapisy: kontrola, miejsce zapisu, właściciel, czas dostępu. Luki wychodzą na jaw miesiące wcześniej, kiedy jeszcze da się je zamknąć.
Co rekomendujemy teraz
Na najbliższe dwa tygodnie:
- Wybierz pięć kontroli z rejestru, od których zacząłby audytor, i przepuść każdą przez test trzech pytań.
- Dla kontroli, które oblały, przenieś zapis do narzędzia, w którym praca się dzieje: pola w tickecie, log w workflow, raport z systemu, z kompletem „kto, co, kiedy, na jakiej podstawie”.
- Ustal z zespołem jedną zasadę: przegląd zbiera istniejące zapisy, nikt nie odtwarza dowodów po fakcie.
- Jeśli KSeF objął Waszą firmę, opisz wdrożenie jako wewnętrzne studium przypadku i wskaż dwa inne obowiązki, przy których dowód może powstawać równie systemowo.
- Załóż indeks dowodów na potrzeby najbliższego przeglądu lub due diligence: kontrola, miejsce zapisu, właściciel, czas wyciągnięcia.
Źródła: ksef.podatki.gov.pl: podstawy prawne i terminy