Firma z Mazowsza otrzymała decyzję o przyznaniu dotacji z KPO. Radość trwała krótko – podczas weryfikacji wstępnej instytucja pośrednicząca zakwestionowała brak wewnętrznego kanału zgłoszeń i nieaktualne dane w CRBR. Wypłata środków została wstrzymana. To nie wyjątek – to coraz częstszy scenariusz w 2026 roku.

Krajowy Plan Odbudowy (KPO) i Instrument na rzecz Odbudowy i Zwiększania Odporności (RRF) nakładają na beneficjentów obowiązki compliance wykraczające poza klasyczne rozliczenie finansowe. Instytucje wdrażające – przede wszystkim BGK i PARP – weryfikują zgodność z przepisami o sygnalistach, AML, CRBR oraz ESG raportowaniem. Naruszenie któregokolwiek wymogu może skutkować wstrzymaniem lub zwrotem dofinansowania.

Ten alert wyjaśnia, co się zmieniło w 2025–2026 roku, kogo dotyczą nowe progi i jakie działania należy podjąć natychmiast. Trzy obszary wymagają pilnej uwagi: ochrona sygnalistów, rejestr beneficjentów rzeczywistych i wymogi ESG powiązane z CSRD.

Co się zmieniło – nowe wymagania compliance w projektach KPO i RRF?

Od 25 września 2024 roku obowiązuje ustawa o ochronie sygnalistów. Zgodnie z art. 8 ustawy o sygnalistach każdy pracodawca zatrudniający co najmniej 50 pracowników musi wdrożyć wewnętrzny kanał zgłoszeń. Dla beneficjentów KPO i RRF ten obowiązek nabrał dodatkowego wymiaru – instytucje pośredniczące traktują brak kanału jako naruszenie warunków umowy o dofinansowanie.

Równolegle zaostrzyły się wymogi dotyczące CRBR. Centralny Rejestr Beneficjentów Rzeczywistych jest powiązany z systemem KRS i musi odzwierciedlać aktualną strukturę właścicielską. Rozbieżność między danymi w CRBR a rzeczywistą strukturą spółki blokuje wypłatę kolejnych transz. Termin aktualizacji po każdej zmianie to 7 dni – a kontrole przed wypłatą środków stają się standardem.

Dodatkowym elementem jest CSRD – Dyrektywa UE 2022/2464 dotycząca raportowania zrównoważonego rozwoju. Choć obowiązek raportowania dla większości firm przesuwa się na 2028 rok (Wave 2), instytucje zarządzające KPO już teraz oczekują od dużych beneficjentów wstępnych danych ESG. W praktyce – wiele firm o tym zapomina – wnioski o płatność zawierają rubryki dotyczące śladu węglowego i polityki różnorodności.

Nie można pominąć wymagań AML. Beneficjenci realizujący projekty powyżej 5 mln PLN podlegają wzmożonej weryfikacji pod kątem przepisów o przeciwdziałaniu praniu pieniędzy. Instytucja pośrednicząca może zażądać dokumentacji potwierdzającej procedury AML wdrożone w organizacji.

Kogo dotyczą progi i terminy – czy Twoja spółka jest w grupie ryzyka?

Progi compliance w projektach KPO i RRF zależą od trzech zmiennych: liczby pracowników, wartości dofinansowania i sektora działalności. Obowiązek kanału zgłoszeń sygnalistów obejmuje wszystkich beneficjentów z co najmniej 50 pracownikami – bez względu na wartość projektu. Dla mniejszych podmiotów termin wdrożenia upływa 1 stycznia 2025 roku w zakresie sektora publicznego, ale instytucje wdrażające KPO stosują ten próg wobec wszystkich wnioskodawców.

Beneficjenci z dofinansowaniem powyżej 10 mln PLN muszą przedstawić politykę antykorupcyjną i procedury AML przed podpisaniem umowy. Projekty infrastrukturalne powyżej 20 mln PLN wymagają dodatkowo oceny środowiskowej – co łączy się z due diligence środowiskowym nieruchomości w Polsce. Pominięcie tego kroku opóźnia podpisanie umowy o minimum 60 dni.

Spółka IT z Małopolski realizująca projekt cyfryzacji w ramach KPO (wartość: 8 mln PLN) stanęła przed żądaniem uzupełnienia dokumentacji AML w ciągu 14 dni roboczych. Brak reakcji oznaczałby cofnięcie decyzji o przyznaniu środków. Firma zdążyła – ale tylko dlatego, że miała wdrożone podstawowe procedury.

Co sprawdzić natychmiast:

  • Aktualność danych w CRBR – weryfikacja w ciągu 7 dni od każdej zmiany struktury właścicielskiej
  • Status wdrożenia kanału zgłoszeń sygnalistów zgodnie z art. 8 ustawy o sygnalistach
  • Procedury AML – czy są udokumentowane i aktualne na 2026 rok
  • Wstępne dane ESG wymagane przez instytucję pośredniczącą w ramach CSRD
  • Polityka antykorupcyjna – wymagana przy projektach powyżej 10 mln PLN

Pełne omówienie obowiązków AML dla polskich firm – w tym progi i procedury – zawiera nasz przewodnik AML: obowiązki compliance w polskich firmach. To punkt wyjścia dla każdego beneficjenta KPO weryfikującego swój status.

Uważamy, że bezpieczniejszym rozwiązaniem jest przeprowadzenie audytu compliance przed złożeniem wniosku o płatność – nie po otrzymaniu wezwania. Instytucje pośredniczące coraz rzadziej dają dodatkowy czas na uzupełnienia. Zamknięcie projektu bez wypłaty ostatniej transzy to nieodwracalna strata.

Konkretna sytuacja Państwa spółki – wartość projektu, liczba pracowników, sektor – determinuje zakres wymaganych działań. Każde opóźnienie w uzupełnieniu dokumentacji compliance może nieodwracalnie zamknąć drogę do wypłaty środków z KPO lub RRF.

Jeśli Państwa spółka realizuje projekt KPO lub RRF o wartości powyżej 5 mln PLN i nie ma pewności co do kompletności dokumentacji compliance – przeprowadzimy szybki audyt, zidentyfikujemy luki i przygotujemy dokumenty wymagane przez instytucję pośredniczącą: info@kordeckipartners.com.

Często zadawane pytania

P: Czy każdy beneficjent KPO musi wdrożyć kanał zgłoszeń sygnalistów?

O: Obowiązek wynika z artykułu 8 ustawy o sygnalistach i dotyczy pracodawców zatrudniających co najmniej 50 pracowników. Instytucje pośredniczące KPO traktują brak kanału jako naruszenie warunków umowy o dofinansowanie – niezależnie od wartości projektu. Wdrożenie powinno obejmować regulamin, procedurę przyjmowania zgłoszeń i ochronę tożsamości zgłaszającego.

P: Jak szybko trzeba zaktualizować dane w CRBR po zmianie struktury właścicielskiej?

O: Termin wynosi 7 dni od zaistnienia zmiany. Centralny Rejestr Beneficjentów Rzeczywistych jest powiązany z KRS, ale aktualizacja nie następuje automatycznie – spółka musi złożyć zgłoszenie samodzielnie. Rozbieżność między CRBR a rzeczywistą strukturą właścicielską jest jednym z najczęstszych powodów wstrzymania wypłaty transz w projektach KPO.

P: Czy wymogi CSRD dotyczą już teraz małych beneficjentów KPO?

O: Formalny obowiązek raportowania według dyrektywy CSRD (Dyrektywa UE 2022/2464) dla Wave 2 – czyli firm spełniających dwa z trzech kryteriów: 110 mln PLN aktywów, 220 mln PLN przychodów, 250 pracowników – jest przesunięty na 2028 rok. Jednak instytucje zarządzające KPO już teraz wymagają wstępnych danych ESG od dużych beneficjentów w formularzach wniosków o płatność. Warto przygotować podstawowe wskaźniki środowiskowe i społeczne z wyprzedzeniem.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do compliance ESG, wymogów KPO i RRF oraz ochrony sygnalistów. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.

Zastrzeżenie: Niniejsza publikacja służy wyłącznie celom informacyjnym i nie stanowi porady prawnej. Informacje zawarte w materiale nie powinny być traktowane jako substytut profesjonalnej porady prawnej dostosowanej do konkretnych okoliczności. KORDECKI & Partners nie ponosi odpowiedzialności za działania podjęte lub zaniechane na podstawie treści tego materiału. W sprawie porady dotyczącej Państwa konkretnej sytuacji prosimy o kontakt: info@kordeckipartners.com.