Po trwającej prawie trzy lata ścieżce legislacyjnej 11 maja 2026 r. opublikowano dyrektywę Parlamentu Europejskiego i Rady (UE) 2026/1021 w sprawie zwalczania korupcji. Akt ten może także w Polsce okazać się kamieniem milowym w historii rozwoju compliance. Nie chodzi bowiem wyłącznie o harmonizację przepisów karnych dotyczących korupcji. Dyrektywa zobowiązuje państwa członkowskie do zharmonizowania regulacji w obszarze odpowiedzialności podmiotów zbiorowych – zagadnienia, które w Polsce potrafi wywołać swoistą „zadyszkę dogmatyczną” oraz, w perspektywie politycznej, wielokrotnie nie doczekało się konsekwentnego domknięcia mimo wieloletnich deklaracji. Tymczasem przedsiębiorstwa wyprzedziły legislację – organizacje w coraz szerszym stopniu wprowadzają prewencyjne, a często już ustandaryzowane systemy zarządzania zgodnością, określane skrótowo CMS (Compliance Management Systems). Co ciekawe, trend ten widoczny jest nie tylko w sektorze prywatnym, ale także publicznym.
Czytaj więcej:
Kilka miesięcy temu w środowisku związanym ze zrównoważonym rozwojem wrzawę wywołał post, którego autor ostro skrytykował liczbę, złożoność i nieko...
Pro
Polska zmuszona do działania
Zanim zerkniemy bliżej na dyrektywę, warto na wstępie zaakcentować rzecz oczywistą: UE nie jest pozbawiona ambicji ani konsekwencji legislacyjnej w kwestii compliance. Wystarczy wspomnieć o obszarach takich, jak zrównoważony rozwój i odpowiednie raportowanie (CS3D i inne), whistleblowing, pakiety AML-owe, prawo konkurencji, sankcje w handlu zagranicznym, ochronę danych (RODO) czy wreszcie AI Act. W tym sensie można bez przesady stwierdzić, że UE zasłużyła na miano „superustawodawcy compliance”, dyrektywami motywując państwa członkowskie do działania także w przypadkach, w których ich własne ścieżki legislacyjne kończyły się w ślepych zaułkach.
Czytaj więcej:
Ryzyko to nieodłączny element biznesu, a compliance stanowi jedno z najważniejszych narzędzi chroniących zarząd spółki przed jego konsekwencjami.
Pro
W Polsce od dekad już takim zaułkiem pozostaje kwestia funkcjonowania ustawy o odpowiedzialności podmiotów zbiorowych za czyny zabronione pod groźbą kary. W praktyce jest to prawo zasadniczo nieużytkowane, a próby jego ożywienia – niezależnie od tego, czy przybierały formę projektu ustawy nowelizującej, czy też pod nazwą projektu ustawy o jawności życia publicznego – spełzały dotąd na niczym. Tym razem będzie jednak inaczej, bo państwa członkowskie są zobowiązane do wdrożenia dyrektywy antykorupcyjnej.
Odpowiedzialność podmiotów zbiorowych
Co jednak sprawia, że dyrektywa, na pierwszy rzut oka ograniczona „tylko” do zwalczania korupcji, staje się istotna dla rozwoju compliance jako zjawiska systemowego? Z pewnością zharmonizowanie podstawowych pojęć prawa karnego, a także ujednolicenie kategorii czynów zabronionych, terminów przedawnienia oraz wymiaru kar wobec osób fizycznych zasługuje na uwagę. Komisja poszła jednak o spory krok dalej: przewidziano bowiem zharmonizowany model odpowiedzialności podmiotów zbiorowych, polegający na ustanowieniu minimalnych standardów warunkujących ich odpowiedzialność, poziom możliwych sankcji oraz warunki ich złagodzenia.
Czytaj więcej:
Dziś UOKiK odtwarza mechanizm zmów kartelowych na podstawie szeregu sygnałów – korespondencji, spotkań branżowych i danych rynkowych. Brak „twardeg...
Pro
Jak ma to działać w praktyce? Dyrektywa przewiduje dwa podstawowe scenariusze odpowiedzialności podmiotów zbiorowych. Pierwszy obejmuje sytuację, gdy skorumpowane czyny na korzyść podmiotu zbiorowego popełniła osoba pełniąca funkcję kierowniczą albo osoba korzystająca z kompetencji do reprezentowania, podejmowania decyzji lub sprawowania kontroli.
Drugi scenariusz dotyczy sytuacji, gdy do popełnienia przestępstwa dochodzi wskutek braku należytego nadzoru lub kontroli w odniesieniu do osoby podległej takiej osobie kierowniczej. W przypadku spełnienia jednej z przesłanek, dyrektywa dostarcza państwom członkowskim mechanizm oparty o zasadę kija i marchewki, który ma skłonić przedsiębiorstwa do powrotu na właściwą ścieżkę.
Kij i marchewka
W tej logice najpierw pojawia się kij, który określając wysokość sankcji w przyspieszonym tempie ożywia zapomniane powiedzenie: „if you think compliance is expensive, try non-compliance” („jeśli sądzisz, że zapewnienie zgodności z prawem jest kosztowne, to sprawdź koszty braku tej zgodności”). Przewidziane sankcje wobec podmiotu zbiorowego to 5 proc. światowego łącznego obrotu lub alternatywnie kwota odpowiadająca 40 mln euro. W przypadku części innych czynów zabronionych stosuje się odpowiednio progi 3 proc. lub 24 mln euro. Komisja akcentuje, że sankcje mają być skuteczne, proporcjonalne i odstraszające. Kij działa sam przez się, a już sam wymiar sankcji może wystarczyć, by zmotywować niezdecydowanych decydentów w polskich spółkach do zainwestowania w compliance.
Obok kija dyrektywa przewiduje też marchewkę – model zachęt oparty o CMS. W Polsce nie jest on dotąd ani skodyfikowany, ani utrwalony w orzecznictwie, choć wiadomo, że funkcjonuje w wybranych obszarach. Generalnie chodzi o to, że wspomniane sankcje można znacznie złagodzić, jeśli podmiot zbiorowy na poważnie bierze compliance. Tu jednak ujawnia się słabość dyrektywy: nie wskazuje ona albowiem szczegółowo, co zrobić, by zasłużyć na marchewkę, tj. jak konkretnie powinien być ukształtowany CMS, aby uzasadniał złagodzenie sankcji. Poszukiwanie spójnego katalogu elementów takiego systemu w dyrektywie prowadzi raczej do mozaiki niespójnych sformułowań, niż do przejrzystej i technicznie przekonującej konstrukcji. Mimo to, z samej logiki i systemu dyrektywy, już teraz da się wyprowadzić praktyczne wskazówki dla podmiotów zbiorowych.
Tylko uczciwość może popłacać
System compliance nie może sprowadzać się do celów wizerunkowych, a więc do działań wyłącznie dla zachowania pozorów. Pomijając przytoczony raczej marny styl legislacyjny, można przyjąć, że w gruncie rzeczy chodzi o zasadę praktycznej skuteczności danego systemu. Dyrektywa doprecyzowuje, że przedsiębiorstwa mają wdrożyć – przed popełnieniem przestępstwa lub po jego popełnieniu, o ile zostanie to uczynione w odpowiednim czasie i w sposób niebudzący wątpliwości – skuteczne kontrole wewnętrzne, programy w zakresie etyki oraz programy zgodności. Pod względem jakości legislacyjnej trudno mówić o doskonałości, jednak merytorycznie można wywnioskować, że model CMS przewidziany w dyrektywie opiera się na etyce w biznesie, czyli znanym już w kraju dobrze podejściu integrity (uczciwości). Pojęcie integrity pojawia się w dyrektywie wielokrotnie. Braki w integrity dyrektywa uznaje wręcz za źródło korupcji. Ponadto zwalczanie korupcji ma opierać się na podejściu ukierunkowanym na wzmocnienie integrity i transparentności. Kierunek ten jest zgodny ze współczesnym podejściem określanym jako integrity-based compliance.
Na poziomie dogmatycznym można zatem budować spójne rozumowanie modelu CMS, choć na poziomie praktycznym dyrektywa pozostawia państwom członkowskim swobodę implementacyjną akurat tam, gdzie należałoby ją ograniczyć: przy kodyfikacji konkretnych elementów systemów zarządzania zgodnością. Tę niepewność prawną, a w kontekście wspólnego rynku wewnętrznego UE – transgraniczną, można było wyeliminować, chociażby poprzez odesłanie do istniejącej i uznanej globalnie normy ISO 37001 Anti-Bribery Management Systems. Norma ta funkcjonuje od lat i – co więcej – obecnie trwa proces jej przejęcia i opublikowania jako europejskiej normy EN.
Ruch po polskiej stronie
Jak zareaguje na dyrektywę polski ustawodawca? Trudno spekulować, jednak Warszawa prawdopodobnie nie powita tych rozwiązań z entuzjazmem. Odpowiedzialność podmiotów zbiorowych jest w Polsce w sensie praktycznym martwa i nie funkcjonuje jako realny mechanizm promujący zachowania uczciwe i zgodne z prawem. Próby ożywienia tej materii nie zakończyły się sukcesem. Nawet dyrektywa dotycząca ochrony osób zgłaszających naruszenia prawa została wdrożona wyraźnie po terminie. Nie była to zatem kwestia politycznie atrakcyjna. Tym razem jednak stawka jest wyższa, jeśli polska gospodarka ma pozostać konkurencyjna.
Systemy zarządzania zgodnością stanowią współcześnie nieodłączną część dobrego ładu korporacyjnego. Tak bardzo, jak niepodlegającym wątpliwości jest fakt, że gospodarka i społeczeństwo zdane są na sprawnie funkcjonujące przedsiębiorstwa, tak oczywistym jest, że jednocześnie generują one ryzyka, czego dowodzą liczne skandale gospodarcze ostatnich lat. Ryzyka te muszą zostać zidentyfikowane w sposób ukierunkowany i skutecznie zaadresowane. Tutaj właśnie jest miejsce na skuteczny CMS. Jeżeli przedsiębiorstwa realizują te zadania i wdrażają skuteczny CMS, nie powinno się ich traktować tak samo jak podmiotów, które nie zrobiły w tym kierunku nic.
W obliczu konieczności wdrożenia dyrektywy nastała pora na odpowiednie regulacje, które uwzględnią osiągnięcia ostatnich lat w tym zakresie. Mowa tutaj o co najmniej piętnastoletniej historii rozwoju compliance w Polsce, fachowych dyskusjach, kongresach, specjalistycznych publikacjach, w tym pracach doktorskich i komentarzach. Nadeszła pora, aby ustawodawca wszczepił tę praktykę w ramy normatywne. I tym razem można pokazać Unii Europejskiej, że regulowanie potrafi być jednocześnie dogmatycznie poprawne, praktycznie użyteczne, proporcjonalne, a przede wszystkim uczciwe i sprytne. Zegar tyka. Do 1 czerwca 2028 r. dyrektywa musi zostać wdrożona, inaczej podatnik znów surowo zapłaci za zwłokę.
Autor jest profesorem, doktorem, kierownikiem Katedry Polskiego i Niemieckiego Prawa Publicznego, Prawa Europejskiego i Gospodarczego oraz Zarządzania Zgodnością na Europejskim Uniwersytecie Viadrina we Frankfurcie nad Odrą
