Zgodność z przepisami w obiegu dokumentów: mapa wymagań prawnych i ich automatyzacja

Nie ma w Polsce czegoś takiego jak „ustawa o elektronicznym obiegu dokumentów”.

Jest kilka równoległych reżimów prawnych, które powstały w różnym czasie, z różnych powodów, dla różnych celów. Kodeks postępowania administracyjnego reguluje komunikację z urzędami. Ustawa o VAT koncentruje się na dokumentach rozliczeniowych. RODO wchodzi wszędzie tam, gdzie pojawia się jakikolwiek człowiek. Rozporządzenie eIDAS porządkuje kwestie podpisów.

Każda z tych regulacji patrzy z innej strony. Ale wszystkie dotyczą tych samych dokumentów w Twojej firmie. Zgodność z przepisami nie dotyczy pliku. Dotyczy sposobu pracy.

Firmy najczęściej traktują dokument jak „plik do przechowania”. Skan faktury ląduje na dysku. Umowa w folderze „Umowy 2025″. Problem zamknięty.

Tyle że przepisy nie pytają: „Czy masz dokument?”

Pytają:

• skąd on się wziął,
• kto go wprowadził,
• kto i na jakiej podstawie podjął decyzję,
• kto miał do niego dostęp,
• czy jego treść była zmieniana,
• jak szybko jesteś w stanie go udostępnić.
  
  

To nie są pytania techniczne. To pytania o proces. Albo jego brak. Bo dokument nie tylko „istnieje”. Dokument funkcjonuje w organizacji przez lata. I każdy przechodzi przez te same etapy:

Najpierw wpływa do firmy albo jest w niej tworzony. Ktoś go rejestruje – formalnie lub przez wrzucenie na dysk. Trafia do obiegu – sprawdzasz, opiniujesz, zatwierdzasz, albo po prostu „wysyłasz dalej”. Bywa podpisywany. Jest przechowywany. W pewnym momencie musisz go udostępnić – kontrola, audyt, spór. Po określonym czasie podlega archiwizacji lub usunięciu.

I żeby było ciekawie, różne przepisy „łapią” dokument na innym etapie

Nie da się spełnić wymagań, skupiając się tylko na jednym fragmencie. KPA reguluje doręczenia. VAT – przechowywanie i dostępność. RODO – kontrolę dostępu. KSeF – moment wystawienia. Ordynacja podatkowa – struktury danych.

To nie jest jeden problem. To sześć problemów w jednym folderze.

KPA: dokument elektroniczny i doręczenia

Kodeks postępowania administracyjnego dopuszcza dokument elektroniczny jako pełnoprawną formę pisma. Jednocześnie bardzo precyzyjnie reguluje doręczenia elektroniczne (art. 39 § 1 KPA).

Doręczenie następuje za pomocą środków komunikacji elektronicznej, jeżeli:

• strona posiada adres do doręczeń elektronicznych,
• albo wyraziła zgodę na ten sposób doręczenia.

Pismo jest skutecznie doręczone, jeżeli adresat potwierdzi odbiór w sposób określony w przepisach – przez system teleinformatyczny lub e-Doręczenia – w terminie przewidzianym w KPA.

Od momentu doręczenia liczone są terminy procesowe. Brak możliwości ich odtworzenia to nie teoretyczny problem. To realne ryzyko dla Twojej firmy.

KPA reguluje również sytuacje, w których pismo sporządzone w formie elektronicznej może zostać doręczone jako wydruk (art. 39³ KPA). Dotyczy to pism opatrzonych:

• kwalifikowanym podpisem elektronicznym,
• podpisem zaufanym,
• podpisem osobistym,
• zaawansowaną pieczęcią elektroniczną,
• kwalifikowaną pieczęcią elektroniczną.
  
  

W praktyce oznacza to, że dokument musi mieć kontekst, a nie tylko treść. Nie wystarczy „mamy PDF na dysku”. Trzeba wiedzieć, kiedy wpłynął, kto go odebrał, kto potwierdził.

Chaos w mailach i folderach nie odpowiada na te pytania.

Ustawa o VAT: przechowywanie dokumentów to stan ciągłej gotowości

Ustawa o VAT zobowiązuje podatników do przechowywania dokumentów – w szczególności faktur – do czasu przedawnienia zobowiązania podatkowego. Co do zasady jest to 5 lat, licząc od końca roku, w którym upłynął termin płatności podatku (art. 112 ustawy o VAT).

Przepisy dopuszczają formę elektroniczną, ale pod konkretnymi warunkami (art. 112a ustawy o VAT). Dokument musi być:

• autentyczny – wiadomo, skąd pochodzi,
• integralny – treść nie była zmieniana,
• czytelny przez cały okres przechowywania,
• łatwy do odnalezienia,
• przypisany do okresu rozliczeniowego.

Dodatkowo podatnik musi zapewnić organom:

• bezzwłoczny dostęp,
• możliwość poboru i przetwarzania danych (dla faktur elektronicznych).

„Bezzwłocznie” nie oznacza: „jak zbierzemy dokumenty z maili i dysków”. Oznacza: masz je mieć uporządkowane i dostępne.

Przepisy nie wymagają konkretnej technologii. Wymagają stanu, w którym możesz udostępnić dokument na żądanie – bez improwizacji.

KSeF: faktura przestaje być dokumentem „u kogoś na komputerze”

Krajowy System e-Faktur to system teleinformatyczny administracji publicznej służący do wystawiania, otrzymywania i przechowywania faktur ustrukturyzowanych.

Faktura ustrukturyzowana nie istnieje prawnie w momencie jej wygenerowania. Istnieje w momencie przesłania do KSeF. Przepisy precyzyjnie określają, że fakturę ustrukturyzowaną uznaje się za wystawioną w dniu jej przesłania do KSeF (art. 106na ust. 1 ustawy o VAT).

Faktury ustrukturyzowane są przechowywane w KSeF przez 10 lat, licząc od końca roku, w którym zostały wystawione (art. 112aa ust. 1 ustawy o VAT). Po upływie tego okresu minister właściwy do spraw finansów publicznych może określić zasady dalszego przechowywania faktur poza KSeF (art. 112aa ust. 2).

Temat archiwizacji i dostępności wcale nie znika po wyjściu faktury z KSeF. Po prostu przesuwa się do Twojego systemu.

JPK: dane bez dokumentów nie mają wartości kontrolnej

Jednolity Plik Kontrolny wynika z ordynacji podatkowej (art. 193a). Organ może żądać ksiąg i dowodów księgowych w formacie JPK – odpowiadającym strukturze logicznej określonej przez ministra finansów.

JPK to nie „plik z systemu księgowego”. To odwzorowanie rzeczywistości gospodarczej, opartej na dokumentach. Dlatego liczy się:

• spójność danych z dokumentami źródłowymi,
• możliwość powiązania zapisu z konkretnym dokumentem,
• wiarygodność i kompletność informacji.

Jeżeli dokumenty są rozproszone, a dane księgowe „żyją osobno”, kontrola bardzo szybko to pokaże. Minister finansów określa w rozporządzeniu mechanizmy zapewnienia bezpieczeństwa, integralności i poufności danych oraz ochrony przed nieuprawnionym dostępem (art. 193a § 3) – co wymaga utrzymywania spójnych, weryfikowalnych danych źródłowych.

RODO: dokumenty to dane osobowe i obowiązek rozliczalności

RODO wchodzi wszędzie tam, gdzie dokument zawiera dane osobowe – czyli w większości procesów biznesowych.

Najczęściej pomijany wymóg to rozliczalność (art. 5 ust. 2 RODO). Nie wystarczy „przestrzegać zasad”. Trzeba być w stanie to wykazać.

Oznacza to konieczność kontroli:

• kto miał dostęp do dokumentu,
• w jakim celu,
• przez jaki czas,
• jakie działania zostały wykonane.

RODO wymaga prowadzenia rejestru czynności przetwarzania (art. 30 RODO), odpowiedniego zarządzania uprawnieniami dostępu i stosowania środków technicznych zapewniających bezpieczeństwo przetwarzania (art. 24, 25, 32 RODO).

Zasada ograniczenia przechowywania (art. 5 ust. 1 lit. e RODO) wymaga, aby dane osobowe były przechowywane przez okres nie dłuższy niż niezbędny do celów przetwarzania – z wyjątkami m.in. dla celów archiwalnych. Procesy przechowywania i niszczenia dokumentów zawierających dane osobowe muszą być uregulowane i dokumentowane.

RODO premiuje porządek procesowy. Chaos w dokumentach to chaos w danych.

Archiwizacja: dokument bez kontekstu nie spełnia wymogów

Przepisy podatkowe i RODO nie wymagają tylko przechowywania dokumentów przez określony czas. Wymagają również, aby dokument:

• był dostępny,
• był czytelny,
• dało się ustalić jego kontekst.

Archiwum nie może być „czarną skrzynką”, do której dostęp wymaga tygodnia przygotowań. Ustawa o VAT wymaga „łatwego odszukania” dokumentów (art. 112a ustawy o VAT). To nie jest ozdoba legislacyjna. To wymóg operacyjny.

Ścieżka audytu: nie jako funkcja, tylko jako konsekwencja

Pojęcie ścieżki audytu wynika wprost z obowiązku rozliczalności. Przepisy nie zawsze używają tej nazwy, ale wymagają możliwości odtworzenia historii dokumentu.

Czyli:

• kiedy dokument powstał lub wpłynął,
• kto go przetwarzał,
• jakie decyzje zapadły,
• jakie były zdarzenia systemowe.

Ordynacja podatkowa nakłada obowiązek określenia mechanizmów zapewnienia bezpieczeństwa, integralności i poufności danych oraz ochrony przed nieuprawnionym dostępem (art. 193a § 3). Zasada rozliczalności z RODO obliguje do możliwości wykazania przestrzegania zasad przetwarzania – co w praktyce wiąże się z dokumentowaniem czynności (rejestry, logi dostępu, dokumentacja środków technicznych).

Jeżeli nie da się tego odtworzyć, problemem nie jest brak funkcji. Problemem jest brak procesu.

Podpis elektroniczny: skutki prawne, nie „technologia”

Rozporządzenie eIDAS porządkuje definicje podpisów elektronicznych. Kwalifikowany podpis ma skutki równoważne podpisowi własnoręcznemu w całej UE (art. 25 ust. 2–3 eIDAS).

Zaawansowany podpis elektroniczny to podpis spełniający wymogi art. 26 eIDAS:

• jest jednoznacznie przyporządkowany podpisującemu,
• pozwala go zidentyfikować,
• jest składany przy użyciu danych pod wyłączną kontrolą podpisującego,
• jest powiązany z podpisanymi danymi w sposób umożliwiający wykrycie późniejszych zmian.

Kwalifikowany podpis elektroniczny to zaawansowany podpis składany za pomocą kwalifikowanego urządzenia i oparty na kwalifikowanym certyfikacie (art. 3 pkt 12 eIDAS).

Kluczowe jest to, żeby podpis:

• identyfikował osobę,
• zabezpieczał integralność dokumentu,
• był adekwatny do czynności prawnej.

eIDAS przewiduje, że podpisowi elektronicznemu nie można odmówić skutku prawnego tylko dlatego, że ma formę elektroniczną lub nie spełnia wymogów dla podpisu kwalifikowanego (art. 25 ust. 1 eIDAS). Przepisy krajowe (np. KPA – art. 39³) przewidują, które formy podpisów i pieczęci elektronicznych mogą być stosowane w komunikacji z administracją.

Gdzie w tym wszystkim DocuWare?

Prawo nie reguluje narzędzi. Reguluje stan, jaki organizacja musi być w stanie wykazać.

Nie interesuje się tym, czy dokument jest w PDF-ie, XML-u czy w systemie ERP. Interesuje się tym, czy:

• wiesz, gdzie dokument się znajduje,
• masz nad nim kontrolę,
• potrafisz odtworzyć jego historię,
• zapewniasz właściwy dostęp,
• przechowujesz go przez wymagany czas,
• jesteś w stanie udostępnić go „bezzwłocznie”.

Chodzi o porządek procesowy, a nie o digitalizację samą w sobie.

Centralne repozytorium dokumentów

Przepisy zakładają istnienie jednego, spójnego źródła dokumentów. Dokument nie może „żyć” w kilku wersjach, w kilku miejscach, u kilku osób.

DocuWare realizuje to poprzez centralne repozytorium, w którym dokument ma jedno miejsce, jest opisany metadanymi i funkcjonuje jako element procesu – a nie załącznik do maila zgubiony w skrzynce.

Z punktu widzenia przepisów to warunek podstawowy. Bez jednego punktu odniesienia nie da się mówić o kontroli ani rozliczalności.

Kontrola dostępu

RODO i przepisy podatkowe wymagają realnej kontroli nad tym, kto ma dostęp do dokumentów i w jakim zakresie. Nie deklaratywnej – egzekwowalnej.

DocuWare opiera dostęp na rolach i uprawnieniach. Możesz ograniczyć dostęp do konkretnych typów dokumentów i procesów. Możesz wykazać to w razie kontroli.

Historia działań

Najczęstszy problem przy audytach: „Kto to zatwierdził i kiedy?”

DocuWare zapisuje historię działań na dokumencie. Kto go wprowadził. Kto przeglądał. Kto zatwierdził lub odrzucił. Jakie kroki zostały wykonane w procesie.

Dokładnie odpowiada to na wymóg rozliczalności wynikający z RODO oraz na oczekiwania organów podatkowych przy kontroli danych i dokumentów źródłowych.

Uporządkowany workflow

Przepisy nie wymagają „workflow”. Wymagają, żeby decyzje były podejmowane przez właściwe osoby, w określonej kolejności, w sposób możliwy do odtworzenia.

Workflow w DocuWare nie jest celem samym w sobie. Jest sposobem na to, żeby obieg dokumentów nie zależał od pamięci ludzi i nie odbywał się w mailach. Żeby był spójny i powtarzalny.

Dzięki temu dokument przechodzi przez organizację według ustalonych zasad, a nie improwizacji.

Archiwizacja i retencja

Ustawa o VAT, KSeF i RODO bardzo jasno określają, jak długo dokumenty muszą być przechowywane i kiedy powinny zostać usunięte lub zarchiwizowane.

DocuWare pozwala porządkować dokumenty zgodnie z okresami retencji, utrzymać ich czytelność i dostępność przez wymagany czas, uniknąć zarówno zbyt krótkiego, jak i zbyt długiego przechowywania.

Szczególnie ważne przy dokumentach podatkowych i kadrowych, gdzie błędy w retencji generują realne ryzyko.

Wyszukiwanie i udostępnianie – „bezzwłocznie” znaczy teraz

Przepisy podatkowe mówią wprost o „bezzwłocznym dostępie” do dokumentów (art. 112a ust. 4 ustawy o VAT). W praktyce oznacza to możliwość ich odnalezienia i udostępnienia bez ręcznego kompletowania.

DocuWare umożliwia szybkie wyszukiwanie po metadanych i treści. Odnalezienie dokumentu w sekundach. Kontrolowane udostępnienie dokumentów na potrzeby kontroli lub audytu.

Przygotowanie do kontroli nie dezorganizuje pracy zespołów. Ponad 20 000 firm na świecie korzysta z DocuWare – w tym wiele w branżach silnie regulowanych, gdzie kontrole są normą, a nie wyjątkiem.

Integracje z systemami finansowo-księgowymi i KSeF

JPK i kontrola podatkowa wymagają spójności między danymi a dokumentami źródłowymi. Dokumenty nie mogą istnieć „obok” księgowości.

DocuWare integruje się z systemami ERP i finansowo-księgowymi, co pozwala powiązać dokument z konkretnym zapisem, zachować spójność danych, uniknąć ręcznego dopasowywania dokumentów do ksiąg.

W kontekście KSeF istotne jest również to, że dokumenty fakturowe mogą być obsługiwane w spójnym procesie – bez ręcznego przenoszenia danych między systemami. Faktura wpływa z KSeF, trafia do obiegu zatwierdzającego, integruje się z księgowością. Automatycznie.

Podsumowanie

Zgodność z przepisami w obiegu dokumentów nie polega na wdrożeniu jednego narzędzia ani na „odhaczeniu” wymogu. Wynika z tego, jak dokumenty funkcjonują w organizacji przez lata.

Chaos w dokumentach nie jest normalny. Jest kosztowny. I da się go uporządkować.

Jeżeli chcesz sprawdzić, gdzie realnie jesteście dziś z punktu widzenia KPA, VAT/KSeF/JPK i RODO – bez audytów „na 200 slajdów” – możemy to przejść w jednej rozmowie.

Bez zobowiązań. Bez sprzedaży na siłę. Jedna rozmowa często wystarcza, żeby zobaczyć, gdzie są realne ryzyka i co da się uporządkować najszybciej.