Firma wdraża jednocześnie KSeF, NIS2, AI Act, PPWR i nowe prawo pracy

Firma wdraża jednocześnie KSeF, NIS2, AI Act, PPWR i nowe prawo pracy. Kto adekwatnie zarządza ryzykiem regulacyjnym? Zarządzanie ryzykiem regulacyjnym. KSeF, NIS2, AI Act, PPWR i prawo pracy. Jeszcze kilka lat temu duża zmiana regulacyjna była dla przedsiębiorstwa projektem. Pojawiała się nowa ustawa, wyznaczano osoby odpowiedzialne, przygotowywano procedury, dostosowywano systemy, szkolono pracowników i po kilku miesiącach można było uznać wdrożenie za zakończone. Dzisiaj coraz częściej nie ma już momentu, w którym firma może powiedzieć: „wdrożyliśmy nowe przepisy, wracamy do normalnego działania”. Zmiana regulacyjna stała się normalnym działaniem. W jednej organizacji dział finansowy stabilizuje właśnie funkcjonowanie KSeF. IT i compliance wdrażają wymagania wynikające z nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa implementującej NIS2. Marketing i HR analizują wykorzystanie sztucznej inteligencji pod kątem AI Act. Produkcja, zakupy i logistyka mierzą się z PPWR. HR dodatkowo dostosowuje się do nowych uprawnień Państwowej Inspekcji Pracy, a przed pracodawcami są kolejne zmiany dotyczące mobbingu i dyskryminacji. Każdy z tych projektów może mieć innego właściciela. Problem polega na tym, iż ryzyko wszystkich tych projektów ostatecznie spotyka się w jednym miejscu – na poziomie przedsiębiorstwa i jego zarządu. I właśnie tutaj pojawia się pytanie, które w wielu organizacjach nie ma jeszcze dobrej odpowiedzi: kto adekwatnie zarządza ryzykiem regulacyjnym jako całością? KSeF jest dobrym przykładem. Dla większości przedsiębiorców nie jest to już projekt przyszłości. System obowiązuje, ale jego wdrożenie nie sprowadzało się do poinformowania księgowości o zmianie sposobu wystawiania faktur. Konieczne były zmiany systemów finansowo-księgowych, nadanie uprawnień, ustalenie odpowiedzialności, procedur awaryjnych, obiegu dokumentów i współpracy z kontrahentami. Cyberbezpieczeństwo pokazuje ten problem jeszcze wyraźniej. Nowelizacja KSC weszła w życie 3 kwietnia 2026 r. i dla podmiotów kluczowych oraz ważnych uruchomiła konkretne obowiązki organizacyjne, dotyczące m.in. zarządzania bezpieczeństwem informacji, incydentami oraz ryzykiem. To nie jest już wyłącznie zadanie działu IT. Zarząd ma obowiązki związane z zatwierdzaniem środków zarządzania ryzykiem i nadzorowaniem ich wdrożenia. Odpowiedzialność za cyberbezpieczeństwo przesuwa się więc z poziomu technicznego na poziom corporate governance. AI Act tworzy jeszcze inny rodzaj wyzwania. Przedsiębiorstwo najpierw musi w ogóle ustalić, gdzie wykorzystuje sztuczną inteligencję. Nie tylko w rozwiązaniach kupionych jako „system AI”, ale również w funkcjach wbudowanych w programy HR, marketingowe, sprzedażowe, analityczne czy służące do obsługi klienta. Część obowiązków AI Act już znajduje zastosowanie, w tym obowiązki dotyczące kompetencji personelu w zakresie AI czy – od sierpnia – określone obowiązki transparentności. Jednocześnie terminy stosowania części regulacji dotyczących systemów wysokiego ryzyka zostały przesunięte. To dodatkowo pokazuje, iż compliance nie jest jednorazowym wdrożeniem. Trzeba zarządzać regulacją, która sama w czasie się zmienia. Podobnie jest z PPWR. Rozporządzenie dotyczące opakowań i odpadów opakowaniowych stosuje się od 12 sierpnia 2026 r., ale poszczególne wymagania mają własne terminy i okresy dostosowawcze. Dla przedsiębiorstwa oznacza to konieczność przełożenia regulacji na konkretne decyzje dotyczące produktu, opakowania, dostawców, logistyki i modelu sprzedaży. Prawo pracy dokłada do tego kolejne projekty. Od 8 lipca Państwowa Inspekcja Pracy dysponuje nowymi instrumentami dotyczącymi oceny stosowania umów cywilnoprawnych w warunkach adekwatnych dla stosunku pracy. Od 5 listopada zmieniają się przepisy dotyczące mobbingu i dyskryminacji, a pracodawcy będą musieli odpowiednio dostosować swoje rozwiązania wewnętrzne. Równolegle realizowane są prace związane z pełnym wdrożeniem unijnych regulacji dotyczących przejrzystości wynagrodzeń. Można oczywiście powiedzieć: każda z tych regulacji ma swojego specjalistę. KSeF – dyrektora finansowego. NIS2 – CISO albo dyrektora IT. AI Act – compliance i IT. PPWR – produkcję, ESG albo environmental compliance. Prawo pracy – HR. I właśnie w tym może tkwić największy problem. Bo przedsiębiorstwo nie ponosi pięciu niezależnych ryzyk. Ponosi jedno łączne ryzyko regulacyjne wynikające z pięciu równolegle prowadzonych procesów. o ile każdy dział zarządza wyłącznie swoim fragmentem, łatwo powstaje złudzenie kontroli. CFO raportuje, iż KSeF został wdrożony. IT informuje, iż prowadzi projekt NIS2. HR przygotowuje nowe procedury. Marketing analizuje AI. Produkcja pracuje nad opakowaniami. Z perspektywy zarządu wszystko jest więc „w toku”. Tyle iż „w toku” nie jest kategorią zarządzania ryzykiem. Zarząd powinien wiedzieć przynajmniej, które regulacje dotyczą przedsiębiorstwa, na jakim etapie znajduje się ich wdrożenie, jakie są najbliższe terminy, gdzie występują największe ryzyka, kto jest właścicielem każdego projektu i – co szczególnie ważne – które problemy wymagają decyzji zarządczej, a nie tylko pracy specjalistów. Nie oznacza to, iż zarząd ma samodzielnie interpretować PPWR, konfigurować KSeF czy oceniać zabezpieczenia sieci informatycznej. Rolą zarządu nie jest zastępowanie ekspertów. Rolą zarządu jest stworzenie takiego systemu, w którym adekwatni eksperci identyfikują ryzyko, odpowiedzialne osoby nim zarządzają, a informacje o problemach wymagających decyzji docierają na odpowiedni poziom organizacji. To istotna różnica. Delegować można zadania. Znacznie trudniej delegować odpowiedzialność za stworzenie adekwatnego systemu zarządzania przedsiębiorstwem. Z perspektywy prawa spółek nabiera to dodatkowego znaczenia. Członkowie zarządu mają obowiązek wykonywać swoje funkcje z należytą starannością wynikającą z zawodowego charakteru działalności. Nie oznacza to odpowiedzialności za każdy błąd popełniony w organizacji. Oznacza jednak, iż w przypadku poważnego incydentu regulacyjnego może pojawić się pytanie nie tylko o to, co zrobił konkretny dział, ale także o sposób wykonywania nadzoru przez zarząd. Wyobraźmy sobie incydent cybernetyczny. Pierwszym pytaniem będzie oczywiście to, jakie zabezpieczenia posiadała spółka. Kolejne mogą jednak brzmieć: kiedy zarząd otrzymał informację o ryzyku? Czy znał wyniki audytu? Czy otrzymał rekomendacje? Czy przeznaczył środki na ich wykonanie? Czy sprawdził później, czy zostały wykonanePodobnie może wyglądać sytuacja w innych obszarach. Firma korzystała z systemu AI w procesach HR. Kto ustalił, jakie funkcje rzeczywiście wykonuje system? Kto dokonał jego kwalifikacji prawnej? Czy istnieje rejestr wykorzystywanych narzędzi AI? Kto zatwierdził sposób ich stosowania? Albo PPWR. Dział prawny przesłał informację o nowym rozporządzeniu. Czy ktoś jednak przełożył ją na listę produktów i opakowań wymagających zmian? Czy zakupy wiedzą, jakie wymagania mają stawiać dostawcom? Czy dział sprzedaży wie, które dotychczasowe rozwiązania będą musiały zostać zmodyfikowane? Właśnie dlatego compliance regulacyjne coraz mniej przypomina bibliotekę procedur, a coraz bardziej zarządzanie portfelem projektów. Firma potrzebuje czegoś w rodzaju mapy regulacyjnej. Nie kolejnego kilkudziesięciostronicowego dokumentu, ale aktualnego obrazu pokazującego, jakie istotne regulacje dotyczą organizacji, jakie obowiązki z nich wynikają, kto za nie odpowiada, jakie są terminy, jaki jest status wdrożenia i gdzie znajdują się ryzyka wymagające decyzji. Co więcej, taka mapa powinna uwzględniać zależności pomiędzy regulacjami. System AI używany w rekrutacji nie jest tylko problemem AI Act. Może jednocześnie dotyczyć prawa pracy, ochrony danych