Dokumentacja wewnętrzna w zakresie nowych obowiązków jednostek finansów publicznych + wzory do pobrania

Praktyczny poradnik dla jednostek sektora finansów publicznych, prezentujący nowe obowiązki wynikające ze zmian w przepisach oraz gotowe wzory dokumentów niezbędnych do ich wdrożenia.

Celem tej książki jest omówienie nowych obowiązków związanych ze zmianami w prawie oraz przedstawienie modelowych wzorów dokumentów, jakie należy wdrożyć w związku z tymi regulacjami. Centralny Rejestr Umów, KSeF, AI Act, NIS2, e-Doręczenia, ochrona sygnalistów, przeciwdziałanie mobbingowi, nowe uprawnienia PIP oraz regulacje dotyczące ochrony ludności i zarządzania kryzysowego wymagają przełożenia przepisów na konkretne procesy, odpowiedzialności i dokumenty wewnętrzne.

W związku z tym książka uwzględnia oraz omawia liczne zmiany w przepisach m.in.:

• nową ustawę z 3.7.2026 r. o systemie sztucznej inteligencji, która weszła w życie 11.8.2026 r. oraz unijne rozporządzenie AI Act;
• nowelizację Kodeksu Pracy z 19.6.2026 r. w zakresie mobbingu, która wejdzie w życie 5.11.2026 r.;
• nowelizację ustawy o PIP z 11.3.2026 r., która weszła w życie 8.7.2026 r. i daje urzędnikom narzędzia prawne do przekwalifikowania umów B2B na stosunek pracy;
• nowelizację ustawy o zarządzaniu kryzysowym z 29.5.2026 r., która weszła w życie 4.7.2026 r. Dotychczasowy jednolity dokument „Plan zarządzania kryzysowego” został zastąpiony przez dwa plany: zarządzania ryzykiem oraz reagowania kryzysowego;
• nowelizację ustawy o ochronie ludności i obronie cywilnej z 17.4.2026 r., która weszła w życie 29.5.2026 r. i wprowadziła m.in. nową kategorię miejsc schronienia;
• nowelizację ustawy o cyberbezpieczeństwie z 23.1.2026 r., która weszła w życie 3.4.2026 r. i wprowadziła rozróżnienie na podmioty kluczowe i podmioty ważne oraz rewiduje definicje z zakresu cyberbezpieczeństwa. Podmioty kluczowe i ważne po dokonaniu samooceny do 3.10.2026 r. są obowiązane złożyć wniosek o wpis do wykazu za pomocą systemu teleinformatycznego.

Publikacja ta, oprócz omówienia licznych zmian w prawie, identyfikuje najważniejsze ryzyka prawne i organizacyjne oraz przedstawia zbiór ponad 80 modelowych wzorów dokumentów (regulaminy, polityki, instrukcje, rejestry, listy kontrolne i inne wzory dokumentów). Ich celem jest nie tylko formalne wdrożenie nowych przepisów, lecz przede wszystkim ograniczenie ryzyka odpowiedzialności kierownika, sekretarza, skarbnika, głównego księgowego oraz osób kierujących poszczególnymi procesami.

Przykładowe obszary ryzyka to:

• niewystarczające mechanizmy przeciwdziałania mobbingowi, dyskryminacji i innym zachowaniom niepożądanym (brak wdrożenia strategii przeciwdziałania nagannym i niepożądanym zjawiskom w zatrudnieniu, niejednoznaczna procedura zgłaszania nieprawidłowości – zgłaszanie skargi, zaniedbanie podczas postępowania wyjaśniającego skargę, brak zmian w regulaminie pracy);
• niekontrolowane korzystanie ze sztucznej inteligencji oraz niewywiązywanie się z obowiązków ustawowych w tym zakresie (korzystanie przez pracowników z narzędzi AI bez przyjętych zasad i procedur, ujawnienie informacji prawnie chronionych lub danych osobowych, generowanie błędnych informacji czy podejmowanie decyzji na podstawie niezweryfikowanych wyników, brak rejestru systemów AI używanych w JSFP, zakup systemu AI bez wymagań dotyczących zgodności, bezpieczeństwa, lokalizacji danych, logów, audytu i wyjścia z umowy, niewdrożenie procedur i mechanizmów kontroli zapewniających zgodność z przepisami dotyczącymi wykorzystywania systemów AI oraz ochrony danych);
• brak dostosowania procesów organizacyjnych i technicznych do wymogów KSeF (błędne zarządzanie uprawnieniami, wadliwa organizacja procesu odbioru i obiegu faktur, brak integracji KSeF z systemem finansowo-księgowym lub elektronicznym obiegiem dokumentów, brak powiązania numeru KSeF z zapisami księgowymi, umowami i zamówieniami oraz ryzyko zdublowania dokumentów w różnych systemach, brak procedur postępowania na wypadek awarii KSeF lub korzystania z trybu offline24 oraz brak zasad postępowania po przywróceniu prawidłowego działania systemu);
• niewłaściwa realizacja obowiązków w zakresie CRU JSFP (nieprawidłowa kwalifikacji umowy, niekompletności rejestru, naruszenia terminu publikacji lub aktualizacji, błędne ustalenia danych publikowanych w rejestrze, brak aktualizacji w cyklu życia umowy, nieprawidłowy podział zadań i odpowiedzialności, brak ciągłości działania, nadmierne ujawnienia informacji, nieuzasadnione ograniczenia jawności);
• zakwestionowanie przez kontrolę PIP przyjętego modelu współpracy z pracownikiem i uznanie, że w rzeczywistości odpowiada on stosunkowi pracy (nieprawidłowe zapisy w umowie B2B, rozbieżność między treścią umowy a praktyką współpracy, brak okresowego przeglądu długotrwałej współpracy, wykorzystanie B2B do obsadzenia wakatu, włączenie wykonawcy w strukturę organizacyjną jednostki, brak rzeczywistego ryzyka gospodarczego po stronie wykonawcy);
• brak odpowiednich procedur związanych ze zgłoszeniami sygnalistów (brak wyznaczenia osób odpowiedzialnych za przyjmowanie zgłoszeń sygnalistów i prowadzenie działań następczych, przyjęcie procedury zgłoszeń wewnętrznych bez wymaganych konsultacji z zakładową organizacją związkową, konflikt interesów po stronie osoby przyjmującej zgłoszenie sygnalisty lub podejmującej działania następcze, niezapewnienie adekwatnych kanałów dokonywania zgłoszeń, nierzetelne lub pozorne prowadzenie postępowania wyjaśniającego, brak rejestru zgłoszeń i udokumentowania aktów staranności w ramach podejmowanych działań następczych wobec zgłoszeń wewnętrznych i zewnętrznych);
• naruszenie bezpieczeństwa informacji (brak aktualnych polityk bezpieczeństwa, niewłaściwa analiza ryzyka, nieprzestrzeganie procedur zgłaszania incydentów, brak powiązania procedury incydentowej z ochroną danych osobowych; błędna lub zbyt późna kwalifikacja zdarzenia, oderwanie procedury incydentowej od ciągłości działania, brak działań po zakończeniu incydentu, niejasny podział odpowiedzialności oraz niewystarczająca ochrona systemów teleinformatycznych);
• niewłaściwe wdrożenie regulacji w zakresie ochrony ludności i obrony cywilnej (rozmycie kompetencyjne i dublowanie zadań – znaczna część zadań wójta i starosty pokrywa się przedmiotowo – np. w zakresie analizy zagrożeń, ewidencji zasobów czy budowli ochronnych, brak planów ciągłości działania, ograniczona dostępność miejsc schronienia, problemy z uznaniem obiektów budowlanych za budowle ochronne – nakładanie na prywatnych właścicieli obowiązków przystosowania obiektów do funkcji ochronnych może prowadzić do licznych sporów prawnych i odwołań od decyzji administracyjnych wydawanych przez JST, brak określonych ram granicznych dla „zaleceń” wydawanych np. przez starostę wójtowi rodzi ryzyko arbitralności i nieuzasadnionego podporządkowania merytorycznego);
• cyberataki (wzrost liczby i zaawansowania cyberataków wynikających z sytuacji geopolitycznej, cyfryzacji usług publicznych oraz wykorzystywania nowych technologii);
• niewłaściwe stosowanie e-doręczenia (nieistnienie doręczanych aktów i orzeczeń ze względu na pominięcie właściwego sposobu doręczenia, niedostosowanie systemów informatycznych w podmiotach publicznych do realizacji zadań przy wykorzystaniu doręczeń elektronicznych, nierozstrzygnięte wątpliwości prawne i procesowe w zakresie stosowania doręczeń elektronicznych, nadmierne korzystania z wyjątków, skierowania korespondencji do niewłaściwego adresata);
• nieefektywne zarządzanie kryzysowe (brak planów zarządzania ryzykiem, niewystarczająca koordynacja działań, nieprzygotowanie organizacji do reagowania na sytuacje nadzwyczajne, niemożność precyzyjnego usankcjonowania czasu reakcji pracowników samorządowych na sytuacje kryzysowe);

Brak procedury, niejasny podział kompetencji, niewłaściwe upoważnienia, nieprzeszkoleni pracownicy albo brak dowodów wykonania obowiązku mogą ujawnić się dopiero podczas kontroli, cyberataku, skargi pracownika, zgłoszenia sygnalisty, kryzysu lub sporu sądowego.

Zmianę podejścia do myślenia o ryzyku i jego skutkach dla organizacji, zwłaszcza w kontekście zachowania ciągłości działalności, wywołały m.in. ostatnie wydarzenia. Mowa tu w szczególności o konfliktach zbrojnych na świecie (które powodują m.in. istotne wahania cen paliw i energii) oraz postępującej cyfryzacji, której istotnym elementem stał się rozwój sztucznej inteligencji. Zjawiska te uwypukliły potrzebę identyfikacji i zarządzania zarówno tradycyjnymi, jak i nowymi kategoriami ryzyk, obejmującymi m.in. zagrożenia technologiczne, informacyjne i cybernetyczne.

Książka wyjaśnia również bieżące/aktualne problemy związane z nowymi obowiązkami i odpowiada m.in. na następujące pytania:

• jak przygotować umowę B2B (w szczególności dla informatyków, doradców prawnych, specjalistów ds. zamówień publicznych), aby nie została zakwestionowana przez kontrolę PIP i uznana za umowę o pracę;
• jak opracować i wdrożyć w jednostce strategię przeciwdziałania nagannym i niepożądanym zjawiskom w zatrudnieniu;
• czy do CRU należy wprowadzać umowy ze: strażakami OSP, asystentami osób z niepełnosprawnościami, lekarzami i pielęgniarkami, mężami zaufania itd. – bieżąca praktyka;
• jak w CRU wprowadzać umowy bez określonej kwoty maksymalnej;
• czy w CRU zamieszczać zakupy dokonywane przez platformy zakupowe (np. eB2B, OpenNexus, Platforma Zakupowa.pl, Allegro) lub sklepy internetowe;
• jak powinna postąpić JST, jeżeli pobrana z KSeF faktura zawiera błędy rachunkowe oraz nieprawidłowo określoną stawkę VAT;
• czy każda faktura ustrukturyzowana powinna zostać dodatkowo podpisana podpisem kwalifikowanym albo podpisem zaufanym ePUAP, analogicznie jak niektóre dokumenty elektroniczne funkcjonujące w administracji publicznej;
• jakie rozwiązania są dostępne w przypadku, gdy rozmiar pliku XML faktury przekracza dopuszczalny limit w KSeF;
• jak zapewnić całodobowe alarmowanie członków gminnego zespołu zarządzania kryzysowego przez organ wykonawczy JST;
• jakie zmiany należało wprowadzić do już istniejącej dokumentacji w zakresie bezpieczeństwa informacji (np. polityce bezpieczeństwa, regulaminie zarządzania bezpieczeństwem informacji) po wejściu w życie nowelizacji z 23.1.2026 r.;
• jak w JST wdrożyć obowiązek prowadzenia ewidencji zasobów i personelu w systemach teleinformatycznych, takich jak Centralna Ewidencja Zasobów Ochrony Ludności i Obrony Cywilnej z uwzględnieniem nowelizacji z 29.5.2026 r.;
• jak wdrożyć ustalenia przyjęte w Krajowej Ocenie Ryzyka na gruncie gminnym i powiatowym;
• jak opracować i wykonywać Plan Zarządzania Ryzykiem (wcześniej zwany Plan Zarządzania Kryzysowego) z kolejnością elementów wskazanych przez ustawodawcę;
• jak opracować i wdrożyć w JST program zapewnienia i poprawy jakości audytu wewnętrznego w sektorze publicznym.

Książka jest nie tylko omówieniem zmian i zbiorem gotowych do wykorzystania dokumentów, ale przede wszystkim wyjaśnia:

• jak wykorzystać je do wzmocnienia systemu kontroli zarządczej;
• jak przypisać odpowiedzialność za nowe obowiązki;
• jak dokumentować wykonanie zadań i sprawowany nadzór;
• jak połączyć nowe procedury z zarządzaniem ryzykiem;
• jak zwiększyć skuteczność i użyteczność audytu wewnętrznego;
• jak wykorzystać Program Zapewnienia i Poprawy Jakości do ciągłego doskonalenia audytu;
• jak budować organizację przygotowaną na zmiany prawa, kontrole, incydenty i sytuacje kryzysowe.

Nie jest to zbiór dokumentów przeznaczonych wyłącznie do wypełnienia formalnego obowiązku. To praktyczny zestaw narzędzi, które pomagają kierownikowi uporządkować organizację, wzmocnić nadzór, wykazać należytą staranność i skuteczniej chronić jednostkę przed skutkami nowych ryzyk prawnych i organizacyjnych.

Wspomniane nowe regulacje prawne związane są w szczególności z:

• nowymi Globalnymi Standardami Audytu Wewnętrznego (GSAW) opracowanymi przez The Institute of Internal Auditors (IIA) i wydanymi 9.1.2024 r., a ich polskie tłumaczenie zostało udostępnione 6.5.2024 r. na stronie internetowej Stowarzyszenia Audytorów Wewnętrznych IIA Polska. Zgodnie z decyzją właściwych organów IIA GSAW, weszły one w życie 9.1.2025 r., zastępując dotychczasowe Międzynarodowe Standardy Praktyki Zawodowej Audytu Wewnętrznego (MSPZAW);
• ustawą z 14.10.2021 r. o zmianie ustawy – Kodeks karny oraz niektórych innych ustaw (Dz.U. z 2021 r. poz. 2054), która dodała do ustawy o finansach publicznych przepisy art. 34a–34d regulujące funkcjonowanie Centralnego Rejestru Umów. Po kilkukrotnym odraczaniu obowiązek wpisywania przez JSFP do CRU informacji o zawieranych umowach z zakresu zamówień publicznych wszedł w życie 1.7.2026 r. To nie tylko nowy obowiązek techniczny, ale także istotna zmiana organizacyjna: konieczne będzie ustalenie, które umowy podlegają ujawnieniu, kto odpowiada za ich rejestrację, jakie dane należy wprowadzić, jak chronić dane osobowe i jak udokumentować cały proces w ramach kontroli zarządczej. Rejestr ten jest prowadzony w ogólnodostępnym centralnym systemie teleinformatycznym. Kwestie techniczne związane z zakładaniem kont i publikowaniem umów zawiera rozporządzenie Ministra Finansów i Gospodarki w sprawie Centralnego Rejestru Umów Jednostek Sektora Finansów Publicznych (Dz.U. 2026 r. poz. 440);
• ustawą z 17.4.2026 r. o zmianie ustawy o finansach publicznych oraz niektórych innych ustaw (Dz.U. z 2026 r. poz. 635). Celem tej nowelizacji ustawy o finansach publicznych było m.in. zwiększenie dostępności zawodu audytora wewnętrznego oraz ułatwienie pozyskiwania wykwalifikowanych specjalistów do JSFP, co ma przeciwdziałać problemom kadrowym zgłaszanym od wielu lat przez administrację publiczną;
• ustawą z 16.6.2023 r. o zmianie ustawy o podatku od towarów i usług oraz niektórych innych ustaw (Dz.U. z 2023 r. poz. 1598), która wprowadziła obowiązkowy KSeF; ostatecznie obowiązek ten dla JSFP wszedł w życie 1.4.2026 r.;
• rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13.6.2024 r. (AIAct) ustanawiającym zharmonizowane zasady dotyczące sztucznej inteligencji, oparte na podejściu opartym na ryzyku. Weszło ono w życie 1.8.2024 r. i jest stosowane etapowo: od 2.2.2025 r. obowiązują między innymi przepisy o zakazanych praktykach oraz o kompetencjach w zakresie AI (AI literacy – art. 4 AI Act), od 2.8.2025 r. – przepisy dotyczące modeli ogólnego przeznaczenia oraz organów i kar, a od 2.8.2026 r. – zasadnicza część obowiązków dla systemów wysokiego ryzyka. Dla jednostek sektora finansów publicznych szczególne znaczenie ma obowiązek zapewnienia odpowiedniego poziomu kompetencji w zakresie AI wśród personelu, który obsługuje lub wykorzystuje systemy sztucznej inteligencji. Obowiązek ten wprost łączy się z potrzebą szkoleń i budowania świadomości ryzyk – a więc z przeciwdziałaniem shadow AI. W porządku krajowym wdrożenie AI Act zapewnia ustawa z 3.7.2026 r. o systemach sztucznej inteligencji (Dz.U. z 2026 r. poz. 1003)
• ustawą o doręczeniach elektronicznych z 18.11.2020 r. (Dz.U. z 2020 r. poz. 2320), która wdrożyła do krajowego systemu prawnego założenia eIDAS. O ile zmiany przepisów procedur administracyjnych w zakresie doręczeń elektronicznych weszły w życie już 5.10.2021 r., samo wdrożenie systemu było wielokrotnie przekładane i opóźniane, początkowo z powodu pandemii, później ze względu na problemy organizacyjne docelowych uczestników systemu. Ostateczne wdrożenie systemu nastąpiło 1.1.2025 r.;
• dyrektywą NIS2 dotycząca środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii Europejskiej oraz ustawą z 23.1.2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. z 2026 r. poz. 252), która weszła w życie 3.4.2026 r. Regulacje te chronią przed ryzykiem wystąpienia incydentu, utraty poufności, integralności, dostępności i autentyczności danych oraz ryzykiem zakłócenia zadania publicznego;
• ustawą z 14.6.2024 r. o ochronie sygnalistów (Dz.U. z 2024 r. poz. 928), która weszła w życie 25.9.2024 r., natomiast przepisy dotyczące zgłoszeń zewnętrznych obowiązują od 25.12.2024 r.;
• ustawą z 19.6.2026 r. o zmianie ustawy – Kodeks pracy oraz ustawy – Kodeks postępowania cywilnego (Dz.U. z 2026 r. poz. 1046), która wejdzie w życie 5.11.2026 r.; wprowadziła ona obowiązek wdrożenia w jednostce dokumentu o nazwie Strategia (Polityka) przeciwdziałania nagannym i niepożądanym działaniom i zachowaniom w zatrudnieniu;
• ustawą z 24.6.2026 r. o Państwowej Inspekcji Pracy (reforma PIP), która weszła w życie 8.7.2026 r. i przyznała PIP nowe uprawnienia do badania, czy umowa B2B lub umowa cywilnoprawna nie ukrywa w rzeczywistości stosunku pracy;
• ustawą o ochronie ludności i obronie cywilnej z 5.12.2024 r. (Dz.U. z 2024 r. poz. 1907) i jej nowelizacją z 17.4.2026 r. (Dz.U. z 2026 r. poz. 646);
• ustawą z 29.5.2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw (Dz.U. z 2026 r. poz. 815), która weszła w życie 4.7.2026 r. Dotychczasowy jednolity dokument „Plan zarządzania kryzysowego” został zastąpiony przez dwa plany: zarządzania ryzykiem oraz reagowania kryzysowego;