Compliance w przedsiębiorstwach po dyrektywie (UE) 2026/1021 – co realnie zmienia się dla firm

11 maja 2026 r. w Dzienniku Urzędowym Unii Europejskiej ukazała się dyrektywa Parlamentu Europejskiego i Rady (UE) 2026/1021 w sprawie zwalczania korupcji, podpisana w Strasburgu 29 kwietnia 2026 r. Dwadzieścia dni później, 31 maja 2026 r., akt wszedł w życie, zastępując obowiązującą od ponad dwóch dekad decyzję ramową Rady 2003/568/WSiSW oraz konwencję z 1997 r. o zwalczaniu korupcji urzędników i zmieniając przy okazji dyrektywę PIF (UE) 2017/1371. W komentarzach branżowych, które ukazały się jeszcze przed publikacją finalnego tekstu, dominuje hasło „nowych obowiązków dla firm". Jest to bowiem najpoważniejszą zmianą otoczenia prawnego działów compliance od czasu dyrektywy o ochronie sygnalistów. Poniżej analiza tego, co realnie się zmienia, kiedy i co w związku z tym warto zrobić przed 2028 rokiem.

Obowiązek wdrożenia dyrektywy przez państwa członkowskie

Zgodnie z art. 37 państwa członkowskie mają czas na transpozycję do 1 czerwca 2028 r., a w odniesieniu do obowiązku okresowej oceny sektorów najbardziej narażonych na korupcję (art. 20 ust. 5) oraz przyjęcia krajowej strategii antykorupcyjnej (art. 21) — do 1 czerwca 2029 r. Do czasu wejścia w życie polskiej ustawy wdrożeniowej sytuacja prawna przedsiębiorcy formalnie się nie zmienia.

Byłby to jednak fałszywy spokój. Dyrektywa z góry przesądza, według jakich kryteriów polski sąd będzie za dwa–trzy lata oceniał program zgodności konkretnej spółki, oraz w jakich widełkach będzie się poruszać przy wymiarze kary. Firma, która zacznie budować system compliance dopiero po ogłoszeniu polskiej ustawy, będzie budowała go pod presją czasu i bez dorobku, który dałoby się przedstawić sądowi jako dowód rzeczywistego działania. Dwa lata to w tym obszarze termin realistyczny, a nie komfortowy.

Łapownictwo w sektorze prywatnym: art. 4 sięga dalej niż art. 296a k.k.

Z perspektywy przedsiębiorcy najistotniejszy jest art. 4 dyrektywy, kryminalizujący łapownictwo czynne i bierne w sektorze prywatnym. Przestępstwo popełnia osoba, która w ramach działalności gospodarczej, finansowej, biznesowej lub handlowej obiecuje, proponuje albo wręcza nienależną korzyść osobie „która w jakimkolwiek charakterze pełni funkcję kierowniczą lub pracuje w podmiocie działającym w sektorze prywatnym", po to aby ta osoba działała lub zaniechała działania z naruszeniem swoich obowiązków — oraz, w wariancie biernym, sama taka osoba, gdy korzyści żąda lub ją przyjmuje. Art. 2 pkt 7 definiuje „naruszenie obowiązku" szeroko: jako naruszenie obowiązku ustawowego albo naruszenie regulacji lub wytycznych zawodowych. Minimalne górne zagrożenie to trzy lata pozbawienia wolności (art. 12 ust. 2 lit. c).

Polski odpowiednik — art. 296a Kodeksu karnego — jest węższy w dwóch punktach. Po pierwsze, zawęża krąg sprawców biernych do osób pełniących funkcję kierowniczą w jednostce organizacyjnej wykonującej działalność gospodarczą albo pozostających z nią w stosunku pracy, umowy zlecenia lub umowy o dzieło. Dyrektywa mówi o pracy „w jakimkolwiek charakterze". Po drugie, co ważniejsze, polski przepis wymaga, aby nadużycie uprawnień lub niedopełnienie obowiązku mogło wyrządzić jednostce szkodę majątkową albo stanowiło czyn nieuczciwej konkurencji lub niedopuszczalną czynność preferencyjną. Art. 4 dyrektywy żadnego takiego kwalifikatora nie zawiera — wystarczy naruszenie obowiązków.

W praktyce oznacza to, że część zachowań mieszczących się w unijnej definicji dziś nie wypełnia znamion art. 296a k.k. Klasyczny przykład to gratyfikacja dla specjalisty ds. zakupów za wybór dostawcy oferującego warunki rynkowo poprawne, ale nie najlepsze — trudno tu wykazać groźbę szkody majątkowej, a mimo to mamy nienależną korzyść w zamian za działanie sprzeczne z wewnętrzną procedurą zakupową. Polski ustawodawca będzie musiał albo poszerzyć zakres art. 296a k.k., albo przekonująco wykazać, że obecne brzmienie realizuje standard minimalny. Dla działu compliance to sygnał, że procedury zakupowe i sprzedażowe warto już teraz projektować pod definicję unijną, a nie pod obecne, węższe znamiona przepisu krajowego.

Odpowiedzialność osoby prawnej: brak nadzoru jako samodzielna podstawa

Art. 13 ust. 1 przewiduje odpowiedzialność osoby prawnej za przestępstwa popełnione na jej korzyść przez osobę zajmującą pozycję kierowniczą, opartą na prawie do reprezentowania, uprawnieniu do podejmowania decyzji albo uprawnieniu do sprawowania kontroli w strukturach podmiotu. To konstrukcja znana. Nowa jakość kryje się w ustępie drugim.

Art. 13 ust. 2 nakazuje zapewnić możliwość pociągnięcia osoby prawnej do odpowiedzialności wtedy, gdy brak nadzoru lub kontroli ze strony osoby zajmującej pozycję kierowniczą umożliwił popełnienie przestępstwa przez osobę pozostającą pod jej zwierzchnictwem, na korzyść tej osoby prawnej. Podstawą zarzutu nie jest więc czyn zarządu, lecz zaniechanie organizacyjne. Art. 13 ust. 3 dopowiada, że odpowiedzialność podmiotu nie wyklucza postępowania karnego przeciwko osobom fizycznym — oba tory są niezależne.

Do tego dochodzi motyw 27 preambuły, zgodnie z którym osoby prawne nie powinny móc uniknąć odpowiedzialności przez korzystanie z pośredników, w tym powiązanych osób prawnych, wręczających łapówkę w ich imieniu. To bezpośrednie uzasadnienie dla due diligence agentów, konsultantów, dystrybutorów i spółek zależnych — obszaru, który w polskich programach compliance bywa traktowany pobieżnie. Jeżeli mechanizmem zarzutu jest „brak nadzoru", to udokumentowany nadzór staje się podstawowym argumentem obrony, a jego brak — samodzielną podstawą odpowiedzialności spółki. Zagadnienia z tego obszaru omawiamy szerzej przy okazji spraw dotyczących przestępstw gospodarczych.

5% obrotu i 40 mln euro to dolna granica górnego pułapu

Tu przebiega linia, na której najczęściej myli się prasa branżowa. Art. 14 ust. 3 nie ustanawia maksimum grzywny. Nakazuje państwom członkowskim zapewnić, aby maksymalny poziom grzywien nie był niższy niż:

• dla przestępstw z art. 3–5 (łapownictwo w sektorze publicznym, łapownictwo w sektorze prywatnym, sprzeniewierzenie) — 5% całkowitego światowego obrotu osoby prawnej albo kwota odpowiadająca 40 000 000 EUR;
• dla przestępstw z art. 6, 8 i 9 (płatna protekcja, utrudnianie działania wymiaru sprawiedliwości, wzbogacenie w wyniku przestępstw korupcyjnych) — 3% całkowitego światowego obrotu albo kwota odpowiadająca 24 000 000 EUR.

Są to zatem progi minimalne dla ustawodawcy krajowego, który może pójść dalej. Warto też zwrócić uwagę na sposób liczenia obrotu: chodzi o obrót całkowity światowy, z roku obrotowego poprzedzającego rok popełnienia czynu albo z roku poprzedzającego rok wydania decyzji o nałożeniu grzywny. Dla grupy kapitałowej działającej w kilku jurysdykcjach różnica między tymi dwiema podstawami potrafi być znacząca.

Katalog z art. 14 ust. 2 bywa jednak dla firmy groźniejszy od samej grzywny. Znajdziemy tam pozbawienie dostępu do finansowania publicznego, w tym do postępowań o udzielenie zamówienia, dotacji, koncesji i licencji; cofnięcie zezwoleń; czasowy lub stały zakaz prowadzenia działalności gospodarczej; możliwość unieważnienia lub odstąpienia przez organ publiczny od umowy, w związku z którą popełniono przestępstwo; objęcie nadzorem sądowym; likwidację sądową; zamknięcie zakładów oraz publikację orzeczenia. Dla podmiotu, którego model biznesowy opiera się na zamówieniach publicznych, wykluczenie z postępowań jest sankcją egzystencjalną, przy której nawet wysoka grzywna pozostaje problemem czysto finansowym.

Compliance jako okoliczność łagodząca — i pułapka programów „dla zachowania pozorów"

Art. 16 to przepis, wokół którego powinna się organizować cała rozmowa o compliance po dyrektywie 2026/1021. Jako okoliczność łagodzącą państwa członkowskie mają umożliwić uwzględnienie sytuacji, w której osoba prawna — przed popełnieniem przestępstwa lub po jego popełnieniu — wdrożyła skuteczne kontrole wewnętrzne, programy podnoszenia świadomości etycznej i programy zgodności w celu zapobiegania korupcji (lit. c), a także sytuacji, w której po wykryciu przestępstwa bezzwłocznie i dobrowolnie ujawniła je właściwym organom oraz wdrożyła środki zaradcze (lit. d). Obie te okoliczności zastrzeżono wyłącznie dla osób prawnych.

Dwa niuanse są tu łatwe do przeoczenia. Pierwszy: przepis mówi „o ile nie stanowi to podstawy wyłączenia odpowiedzialności" — dyrektywa dopuszcza więc, by prawo krajowe poszło dalej i uczyniło z rzetelnego programu przesłankę wyłączającą odpowiedzialność, ale sama tego nie wymaga. Drugi, znacznie ważniejszy praktycznie: motyw 29 preambuły precyzuje, że chodzi o kontrole i programy „rzeczywiste, skuteczne i należycie ocenione", i wprost pozwala sądowi wziąć pod uwagę fakt, że dana osoba prawna dysponuje programami zgodności tylko do celów wizerunkowych, również „dla zachowania pozorów".

To sformułowanie jest w tekście unijnym rzadkie i nie znalazło się tam przypadkiem. Segregator z politykami zgodności, których nikt nie czytał, przestaje być neutralny — staje się dowodem, który sąd może odczytać na niekorzyść spółki. Przymiotnik „należycie ocenione" oznacza z kolei, że program musi być poddawany okresowej weryfikacji skuteczności, a sama weryfikacja musi zostawiać ślad dokumentacyjny.

Czego dyrektywa oczekuje od takiego mechanizmu, podpowiada motyw 5, wymieniając mapę ryzyka, kodeks postępowania, ocenę zewnętrzną oraz kontrolę wewnętrzną i audyt wewnętrzny. Zachęca przy tym państwa członkowskie do współpracy nad wspólnymi wytycznymi w zakresie skuteczności takich mechanizmów, co sugeruje, że w perspektywie kilku lat mogą pojawić się bardziej konkretne standardy oceny. Warto, aby dokumentacja wewnętrzna była projektowana z myślą o tym, że kiedyś będzie czytana przez sąd, a nie przez audytora — w praktyce oznacza to inną logikę redakcyjną niż przy typowych regulaminach. Wspieramy klientów w tym zakresie w ramach tworzenia i opiniowania aktów prawa wewnętrznego firmy.

Sygnaliści: art. 25 idzie o krok dalej niż ustawa z 2024 roku

Art. 25 ust. 1 nakazuje zapewnić, aby dyrektywa (UE) 2019/1937 była stosowana do zgłaszania przestępstw z art. 3–11 oraz do ochrony osób, które ich dokonują. Dla Polski jest to w dużej mierze potwierdzenie stanu istniejącego — ustawa z 14 czerwca 2024 r. o ochronie sygnalistów obejmuje korupcję zakresem naruszeń prawa, a obowiązek utworzenia wewnętrznej procedury zgłoszeń dla podmiotów zatrudniających co najmniej 50 osób funkcjonuje od 2024 r. W wielu innych państwach członkowskich to realne rozszerzenie.

Nowość kryje się w ustępie drugim. Poza reżimem dyrektywy 2019/1937 państwa mają zapewnić, aby każda osoba zgłaszająca przestępstwa korupcyjne, dostarczająca dowodów lub w inny sposób współpracująca z właściwymi organami, miała dostęp do środków ochrony, wsparcia i pomocy w kontekście postępowania karnego. Krąg chronionych jest więc szerszy niż pojęcie sygnalisty w rozumieniu ustawy z 2024 r. — obejmuje także świadka czy kontrahenta, który przekazuje dowody, nie mając statusu pracownika.

Z perspektywy organizacji istotne jest sprzężenie art. 25 z art. 16 lit. d. Kanał zgłoszeń wewnętrznych przestaje być wyłącznie obowiązkiem formalnym, a staje się mechanizmem, dzięki któremu spółka w ogóle jest w stanie dowiedzieć się o nieprawidłowości przed organami ścigania — i skorzystać z okoliczności łagodzącej w postaci dobrowolnego ujawnienia. Wymaga to jednak przygotowanego wcześniej protokołu decyzyjnego: kto, w jakim terminie i na podstawie jakich kryteriów podejmuje decyzję o samodenuncjacji.

Terminy przedawnienia a polityka retencji dokumentów

Art. 19 ust. 1 wymaga, aby termin przedawnienia umożliwiający prowadzenie postępowania i wydanie orzeczenia wynosił co najmniej osiem lat od popełnienia przestępstwa zagrożonego karą maksymalną co najmniej czterech lat oraz co najmniej pięć lat przy zagrożeniu co najmniej trzyletnim. Art. 19 ust. 3 dopuszcza terminy krótsze — odpowiednio pięć i trzy lata — pod warunkiem, że ich bieg może zostać przerwany lub zawieszony. Osobne, dłuższe terminy (dziesięć i pięć lat) dotyczą wykonania kary.

To pozornie techniczny przepis o bardzo praktycznym skutku. Jeżeli za osiem lat spółka ma udowodnić, że jej program compliance w chwili czynu był rzeczywisty i skuteczny, musi dysponować dowodami z tamtego okresu. Listy obecności na szkoleniach, zapisy z oceny ryzyka, ścieżki akceptacji wydatków, wyniki postępowań wyjaśniających i wyciągnięte konsekwencje dyscyplinarne — to wszystko trzeba przechować dłużej, niż przewiduje typowa polityka przechowywania dokumentów. Jednocześnie okres przechowywania danych osobowych musi mieć uzasadnienie, więc rozsądnym rozwiązaniem jest udokumentowanie tej podstawy właśnie odwołaniem do horyzontu przedawnienia.

Co to oznacza dla polskiego porządku prawnego

Tu leży najciekawsza część zagadnienia, bo dystans między wymaganiami dyrektywy a obecnym stanem prawa polskiego jest duży.

Wysokość kar. Ustawa z 28 października 2002 r. o odpowiedzialności podmiotów zbiorowych za czyny zabronione pod groźbą kary przewiduje w art. 7 karę pieniężną od 1000 do 5 000 000 zł, nie wyższą jednak niż 3% przychodu osiągniętego w roku obrotowym, w którym popełniono czyn. Dyrektywa wymaga, aby pułap maksymalny nie był niższy niż 40 mln EUR albo 5% całkowitego światowego obrotu. Różnica jest rzędu wielkości, a nie kalibracji. Ustawodawca zna już zresztą konstrukcję kary liczonej od obrotu — w przypadku niektórych przestępstw z Prawa energetycznego ustawa przewiduje karę sięgającą 15% całkowitego rocznego obrotu. Rzecz w tym, by uczynić z niej rozwiązanie systemowe.

Prejudykat. Zgodnie z art. 4 ustawy o odpowiedzialności podmiotów zbiorowych warunkiem odpowiedzialności podmiotu jest co do zasady uprzednie prawomocne skazanie osoby fizycznej. Wyjątek wprowadzono w 2022 r. dla przestępstw środowiskowych. Skutek tej konstrukcji jest w literaturze opisany jednoznacznie: przez ponad dwie dekady obowiązywania ustawa pozostała w praktyce martwa, a liczba orzeczeń wydanych na jej podstawie jest znikoma. Dyrektywa nie zawiera przepisu, który wprost nakazywałby zniesienie prejudykatu. Wymaga jednak sankcji skutecznych, proporcjonalnych i odstraszających (art. 14 ust. 1) i w art. 13 ust. 3 zakłada niezależność obu torów odpowiedzialności. Utrzymanie modelu, w którym odpowiedzialność spółki jest nabudowana na wcześniejszym skazaniu człowieka, byłoby przy takim brzmieniu trudne do obrony w postępowaniu przed Komisją. Projekty reformy ustawy leżą w Ministerstwie Sprawiedliwości od 2018 r. i kolejnych lat — po raz pierwszy pojawia się jednak twardy termin, do którego coś trzeba z nimi zrobić.

Zakres kryminalizacji. Poza omówioną kwestią art. 296a k.k. transpozycji będą wymagały art. 6 (płatna protekcja), art. 9 (wzbogacenie w wyniku przestępstw korupcyjnych) i art. 10 (ukrywanie), przy czym art. 12 ust. 3 pozwala państwom wyłączyć karalność sprzeniewierzenia, gdy korzyść lub szkoda nie przekracza 10 000 EUR — z zastrzeżeniem, że próg ten można osiągnąć serią powiązanych czynów tego samego sprawcy.

Strategia i instytucje. Art. 21 zobowiązuje każde państwo do przyjęcia i opublikowania krajowej strategii zapobiegania korupcji i jej zwalczania, opracowywanej w porozumieniu ze społeczeństwem obywatelskim, niezależnymi ekspertami i naukowcami. Art. 22 wymaga istnienia co najmniej jednego organu zajmującego się zapobieganiem korupcji oraz co najmniej jednego prowadzącego postępowania, działających bez niepożądanych ingerencji, znanych opinii publicznej i składających sprawozdania ze swojej działalności. Art. 34 nakłada obowiązek corocznej publikacji danych statystycznych o postępowaniach korupcyjnych w formacie nadającym się do odczytu maszynowego.

Podsumowanie

Dyrektywa (UE) 2026/1021 jest instrumentem adresowanym do państw członkowskich. Akt przesądza, jak wysoko będzie sięgał pułap grzywny dla osoby prawnej, przesuwa podstawę jej odpowiedzialności w stronę zaniechań organizacyjnych i — co najistotniejsze — z góry definiuje, co polski sąd będzie mógł potraktować jako okoliczność łagodzącą. Program zgodności przestaje być elementem polityki reputacyjnej, a staje się pozycją o wymiernej wartości w postępowaniu karnym, przy czym wartość ta zależy od tego, czy program jest rzeczywisty, skuteczny i poddawany ocenie.

Dla polskiego ustawodawcy oznacza to konieczność sięgnięcia po reformę w szczególności Kodeksu karnego oraz ustawy o odpowiedzialności podmiotów zbiorowych, odkładaną od lat, tym razem jednak z terminem, którego nie da się przesunąć bez konsekwencji. Dla działów compliance oznacza dwa lata na zbudowanie dorobku dokumentacyjnego, którego nie da się wytworzyć wstecz — bo dowodem skuteczności programu jest jego historia, a nie treść obowiązujących w danym momencie polityk. Firmy, które potraktują ten okres jako czas przygotowań, wejdą w nowy reżim z argumentacją gotową do przedstawienia. Te, które poczekają na ogłoszenie polskiej ustawy, będą miały do dyspozycji wyłącznie dokumenty datowane po fakcie — a dyrektywa wprost przewiduje, że sąd może dostrzec różnicę między programem działającym a takim, który istnieje „dla zachowania pozorów". Jeżeli chcą Państwo omówić, jak przełożyć te wymagania na sytuację konkretnej organizacji, zapraszamy do kontaktu z kancelarią.

Najczęściej zadawane pytania