Firma z Mazowsza podpisała umowę o dofinansowanie z KPO. Wypłata środków została wstrzymana po kontroli – brakowało wewnętrznego kanału zgłoszeń dla sygnalistów i aktualnego wpisu w CRBR. Odzyskanie transzy zajęło cztery miesiące. To nie jest wyjątek – to schemat powtarzający się w całej Polsce od początku 2025 roku.

Compliance funduszy UE w ramach Krajowego Planu Odbudowy (KPO) i Instrumentu na rzecz Odbudowy i Zwiększania Odporności (RRF) obejmuje obowiązki z co najmniej czterech obszarów regulacyjnych: ochrony sygnalistów, CRBR, ESG raportowania i AML. Naruszenie któregokolwiek z tych wymagań może skutkować wstrzymaniem płatności lub żądaniem zwrotu wypłaconych środków. Instytucje zarządzające – w Polsce Ministerstwo Funduszy i Polityki Regionalnej oraz BGK – stosują te kryteria przy każdej weryfikacji wniosku o płatność.

Ten alert wyjaśnia, które wymagania są aktualnie egzekwowane, kogo dotyczą progi i co należy zrobić przed złożeniem kolejnego wniosku o płatność.

Co się zmieniło i dlaczego KPO wymaga compliance?

Instrument RRF – unijny mechanizm finansujący KPO – jest powiązany z tzw. kamieniami milowymi i wskaźnikami (milestones and targets). Polska zobowiązała się do wdrożenia szeregu reform strukturalnych jako warunek wypłaty kolejnych transz. Część tych reform dotyczy bezpośrednio beneficjentów funduszy, nie tylko instytucji państwowych.

Od 25 września 2024 r. obowiązuje ustawa o ochronie sygnalistów. Zgodnie z art. 8 ustawy o sygnalistach, każdy pracodawca zatrudniający co najmniej 50 pracowników musi wdrożyć wewnętrzny kanał zgłoszeń. Instytucje zarządzające KPO włączyły ten wymóg do standardowych list kontrolnych. Brak kanału to formalny brak zgodności – niezależnie od tego, czy naruszenie faktycznie wystąpiło.

Równolegle, Centralny Rejestr Beneficjentów Rzeczywistych (CRBR) jest weryfikowany automatycznie przy każdej wypłacie powyżej określonego progu. Nieaktualny lub brakujący wpis blokuje płatność. W praktyce – wiele firm aktualizuje dane przy rejestracji spółki, a potem zapomina o obowiązku przy każdej zmianie struktury właścicielskiej.

Dodatkowym elementem jest zgodność z wymogami AML. Beneficjenci kwalifikowani jako instytucje obowiązane muszą posiadać procedury przeciwdziałania praniu pieniędzy. Kontrolerzy KPO weryfikują ich aktualność – procedura sprzed 2022 roku bez uwzględnienia zmian ustawy AML jest traktowana jako brak zgodności.

Kogo dotyczą progi i wymagania – kto jest narażony na utratę środków?

Wymagania compliance KPO nie są jednolite dla wszystkich beneficjentów. Zakres obowiązków zależy od wielkości podmiotu, rodzaju działalności i wartości dofinansowania. Trzy kategorie podmiotów są szczególnie narażone na wstrzymanie płatności.

Pierwsza kategoria to przedsiębiorcy zatrudniający co najmniej 50 pracowników. Dla nich obowiązek wdrożenia kanału zgłoszeń sygnalistów jest bezwarunkowy – wynika wprost z art. 8 ustawy o sygnalistach. Brak procedury to podstawa do wstrzymania transzy bez względu na wartość projektu. Termin minął 25 września 2024 r. – każdy podmiot w tej grupie, który jeszcze nie wdrożył kanału, jest w stanie naruszenia.

Druga kategoria to beneficjenci, których projekt dotyczy infrastruktury cyfrowej, zdrowotnej lub energetycznej. Dla tych podmiotów instytucje zarządzające wymagają dodatkowo zgodności z wymogami CSRD – Dyrektywą UE 2022/2464 – w zakresie raportowania ESG. Dotyczy to podmiotów spełniających co najmniej dwa z trzech kryteriów: aktywa powyżej 110 mln PLN, przychody powyżej 220 mln PLN lub zatrudnienie powyżej 250 osób.

Trzecia kategoria to spółki z udziałem zagranicznym lub złożoną strukturą właścicielską. Dla nich CRBR jest szczególnie wrażliwym punktem. Każda zmiana udziałowca, prokurenta lub składu zarządu powinna uruchamiać aktualizację wpisu w ciągu 7 dni. W praktyce – termin ten jest nagminnie przekraczany, co przy kontroli KPO skutkuje wstrzymaniem płatności.

  • Kanał zgłoszeń sygnalistów: obowiązkowy dla podmiotów 50+ pracowników od 25 września 2024 r.
  • CRBR: aktualizacja wymagana w ciągu 7 dni od każdej zmiany struktury
  • ESG raportowanie (CSRD): dotyczy dużych podmiotów spełniających progi unijne
  • AML: aktualna procedura wymagana dla instytucji obowiązanych
  • Antykorupcja: program compliance antykorupcyjnego jako element due diligence przy projektach powyżej 5 mln PLN

Co zrobić teraz – lista działań przed kolejnym wnioskiem o płatność?

Utrata transzy KPO jest nieodwracalna w tym sensie, że procedura odwoławcza trwa od 3 do 6 miesięcy, a projekt może nie zmieścić się w harmonogramie rzeczowo-finansowym. Działanie prewencyjne zajmuje ułamek tego czasu. Poniżej przedstawiamy sekwencję działań, które należy podjąć przed złożeniem kolejnego wniosku o płatność.

Krok pierwszy: weryfikacja wpisu w CRBR. Sprawdzenie zajmuje 15 minut. Jeśli od ostatniej aktualizacji zmieniła się struktura właścicielska, skład zarządu lub prokurenci – wpis jest nieaktualny. Aktualizacja powinna nastąpić natychmiast, nie czekając na wezwanie instytucji zarządzającej.

Krok drugi: audyt kanału zgłoszeń sygnalistów. Nie wystarczy posiadać regulamin – kanał musi być faktycznie funkcjonalny, dostępny dla pracowników i obsługiwany przez wyznaczoną osobę lub podmiot zewnętrzny. Instytucje zarządzające weryfikują nie tylko istnienie dokumentu, ale jego praktyczne wdrożenie. Warto przy tej okazji sprawdzić, czy firma zatrudnia pracowników z Ukrainy lub innych krajów – kwestie mobilności i zatrudnienia cudzoziemców mogą wpływać na progi zatrudnienia, co szczegółowo opisujemy przy okazji EU Blue Card i nowych progów na 2026 rok.

Krok trzeci: przegląd procedury AML. Jeśli podmiot jest instytucją obowiązaną, procedura musi uwzględniać zmiany wprowadzone po 2022 roku. Procedura nieaktualna to brak zgodności – nawet jeśli nigdy nie doszło do transakcji podejrzanej.

Krok czwarty: ocena wymogów CSRD. Dla podmiotów zbliżających się do progów unijnych warto przeprowadzić wstępną ocenę luk w raportowaniu ESG. Instytucje zarządzające coraz częściej wymagają deklaracji zgodności z wymogami ESG jako załącznika do wniosku o płatność.

Konkretna sytuacja Państwa firmy – wartość projektu, struktura właścicielska, liczba pracowników – determinuje, które z tych działań są pilne, a które mogą poczekać. Błędna ocena priorytetu może oznaczać wstrzymanie płatności w nieodpowiednim momencie projektu. Skutki są nieodwracalne w skali harmonogramu.

Jeśli Państwa spółka realizuje projekt KPO lub RRF o wartości powyżej 1 mln PLN i nie przeprowadziła audytu compliance w ostatnich 12 miesiącach – przeprowadzimy weryfikację CRBR, kanału sygnalistów, AML i ESG oraz przygotujemy plan naprawczy przed złożeniem wniosku o płatność: info@kordeckipartners.com.

Często zadawane pytania

P: Czy mały beneficjent KPO – firma z 30 pracownikami – musi wdrażać kanał zgłoszeń sygnalistów?

O: Obowiązek z artykułu 8 ustawy o sygnalistach dotyczy pracodawców zatrudniających co najmniej 50 pracowników. Firma z 30 pracownikami formalnie nie musi wdrażać kanału na podstawie ustawy. Jednak instytucje zarządzające mogą wymagać tego jako warunku umownego w konkretnej umowie o dofinansowanie – zawsze należy sprawdzić zapisy umowy, nie tylko przepisy ustawy.

P: Jak szybko należy zaktualizować wpis w CRBR po zmianie w strukturze spółki?

O: Termin wynosi 7 dni od zaistnienia zmiany. Dotyczy to każdej zmiany beneficjenta rzeczywistego – nowego udziałowca, zmiany proporcji udziałów, nowego prokurenta lub zmiany składu zarządu. Przekroczenie terminu grozi karą administracyjną do 1 000 000 PLN, a przy kontroli KPO – wstrzymaniem płatności. Aktualizacja jest bezpłatna i odbywa się przez system teleinformatyczny Ministerstwa Finansów.

P: Czy wymogi CSRD dotyczące ESG raportowania są już egzekwowane przy projektach KPO?

O: Dyrektywa CSRD (Dyrektywa UE 2022/2464) weszła do polskiego prawa przez nowelizację ustawy o rachunkowości podpisaną 12 grudnia 2024 roku. Podmioty z pierwszej fali – te, które podlegały wcześniej NFRD – raportują już za rok 2024. Dla pozostałych dużych podmiotów termin został przesunięty do 2028 roku w ramach propozycji Omnibus. Instytucje zarządzające KPO coraz częściej wymagają jednak deklaracji ESG jako elementu due diligence, niezależnie od formalnego harmonogramu CSRD.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do compliance, ESG i dochodzeń wewnętrznych. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.

Zastrzeżenie: Niniejsza publikacja służy wyłącznie celom informacyjnym i nie stanowi porady prawnej. Informacje zawarte w materiale nie powinny być traktowane jako substytut profesjonalnej porady prawnej dostosowanej do konkretnych okoliczności. KORDECKI & Partners nie ponosi odpowiedzialności za działania podjęte lub zaniechane na podstawie treści tego materiału. W sprawie porady dotyczącej Państwa konkretnej sytuacji prosimy o kontakt: info@kordeckipartners.com.