Najczęstsze wyzwania prawne w zarządzaniu firmą – czego się wystrzegać?

Problem prawny w firmie rzadko zaczyna się od spektakularnego naruszenia. Znacznie częściej zaczyna się od decyzji, której nikt nie udokumentował, umowy podpisanej przez niewłaściwą osobę, miesiąca opóźnień w płatnościach uznanego za „przejściowy problem”, dostępu do CRM-u pozostawionego byłemu pracownikowi albo projektu, za który firma zapłaciła, ale nie nabyła do niego praw.

Najgorszy moment na sprawdzanie takich rzeczy przychodzi wtedy, gdy pojawia się już spór, kontrola albo problem z płynnością.

Trzeba też od razu rozdzielić dwie kwestie. „Firma” nie jest jedną kategorią prawną, a odpowiedzialność właściciela jednoosobowej działalności, wspólnika spółki osobowej i członka zarządu spółki z o.o. wygląda inaczej. Tak samo nie każda zła decyzja zarządu oznacza osobistą odpowiedzialność. Znaczenie mają forma prawna, rodzaj zobowiązania, sposób podejmowania decyzji i to, jak wcześnie zareagowano na problem.

Umowa to dopiero początek. Sprawdź zakres, reprezentację i prawa do tego, za co płacisz

Przy umowie pierwszym problemem nie jest jej długość. Problemem jest to, czy po sześciu miesiącach obie strony nadal będą rozumiały ją tak samo.

„Kompleksowa obsługa marketingowa”, „wdrożenie systemu”, „przygotowanie strony” albo „prowadzenie działań sprzedażowych” brzmią dobrze w ofercie, ale są słabym opisem zobowiązania. Gdy projekt się opóźni albo klient zakwestionuje fakturę, natychmiast pojawia się pytanie: co właściwie miało zostać wykonane?

Dobra umowa powinna pozwolić bez dyskusji ustalić przynajmniej:

• zakres świadczenia i rezultat, który ma zostać dostarczony,

• termin albo harmonogram etapów,

• cenę i warunki, po których wynagrodzenie staje się należne,

• sposób odbioru prac,

• liczbę rund poprawek albo procedurę zgłaszania wad,

• zasady zmiany zakresu,

• odpowiedzialność stron i ewentualny jej limit,

• kary umowne oraz zdarzenia, które je uruchamiają,

• zasady wypowiedzenia lub odstąpienia,

• poufność,

• prawa autorskie i licencje,

• zasady przetwarzania danych, jeżeli druga strona otrzymuje dostęp do danych osobowych,

• prawo właściwe i sposób rozwiązywania sporów, gdy współpraca ma element zagraniczny.

W projekcie informatycznym samo stwierdzenie „wykonawca wdroży system CRM” jest za słabe. Trzeba wiedzieć, jakie funkcje mają działać, jakie dane mają zostać przeniesione, kto wykonuje migrację, kiedy następuje odbiór oraz co uznaje się za błąd blokujący odbiór. Bez tego klient może uważać projekt za niedokończony, a wykonawca za wykonany.

Podobnie jest z płatnościami. Termin „14 dni od wystawienia faktury” niewiele daje, jeżeli strony nie ustaliły, kiedy wykonawca może fakturę wystawić. Przy projekcie wartym kilkadziesiąt tysięcy złotych sensowniejsze bywa rozliczenie etapowe niż jedna płatność na końcu: część po rozpoczęciu, część po osiągnięciu określonego kamienia milowego, reszta po odbiorze. To nie jest uniwersalny model dla każdej umowy, ale ogranicza sytuację, w której wykonawca finansuje cały projekt z własnej kieszeni.

Czerwona flaga: kontrahent może wstrzymać 100% płatności z powodu sporu dotyczącego niewielkiej części prac. Jeżeli strony chcą rozdzielić kwotę bezsporną od spornej, mechanizm powinien wynikać z umowy.

Drugie ryzyko jest mniej widoczne: kto właściwie podpisuje umowę?

Fakt, że ktoś jest dyrektorem handlowym, szefem działu albo osobą prowadzącą negocjacje, nie oznacza automatycznie, że może zawrzeć w imieniu spółki każdą umowę.

Przed ważnym kontraktem trzeba sprawdzić:

• sposób reprezentacji spółki,

• czy wymagane jest współdziałanie dwóch członków zarządu,

• czy podpisujący dysponuje pełnomocnictwem albo prokurą,

• jaki jest zakres umocowania,

• czy umowa albo wewnętrzne zasady spółki wymagają dodatkowej zgody na daną transakcję.

To szczególnie ważne przy umowach zawieranych szybko przez działy sprzedaży i zakupów. Jeden z częstszych błędów organizacyjnych polega na tym, że negocjowanie kontraktu i prawo do jego podpisania traktuje się jako tę samą kompetencję.

Trzecie pole minowe to własność intelektualna.

Firma płaci freelancerowi za logo. Agencja dostarcza projekt strony. Software house pisze kod. Fotograf wykonuje zdjęcia produktowe. Powstaje przekonanie: „zapłaciliśmy, więc to jest nasze”.

Nie zawsze.

Przy materiałach twórczych trzeba ustalić:

• kto faktycznie jest twórcą,

• czy firma nabywa autorskie prawa majątkowe, czy tylko licencję,

• jaki jest zakres dozwolonego wykorzystania,

• czy materiał może być modyfikowany,

• czy można przekazać go klientowi albo innej spółce,

• czy firma może wykorzystać rezultat w reklamie, aplikacji, druku i kanałach cyfrowych,

• czy wykonawca korzystał z elementów należących do osób trzecich.

Dla sporu o prawa autorskie nie ma większego znaczenia, że faktura została zapłacona trzy lata temu. Liczy się to, jak prawa zostały uregulowane.

Podobny błąd dotyczy tajemnicy przedsiębiorstwa. Wstawienie słowa „POUFNE” do dokumentu nie tworzy automatycznie skutecznej ochrony. Jeżeli lista klientów jest dostępna dla całej organizacji, pliki można kopiować bez ograniczeń, a odchodzący pracownik przez tydzień zachowuje dostęp do systemów, trudno jednocześnie twierdzić, że firma bardzo starannie chroniła informacje.

Tutaj działa prosta zasada: najpierw ogranicz dostęp do ludzi, którzy rzeczywiście go potrzebują, potem pilnuj odbierania uprawnień, a dopiero później rozbudowuj dokumentację.

Zarząd nie odpowiada za każdy błąd. Problem zaczyna się wtedy, gdy decyzja była źle podjęta albo reakcja przyszła za późno

Strata na inwestycji nie oznacza automatycznie, że członek zarządu powinien pokryć ją z własnego majątku. Biznes zawsze zawiera ryzyko.

W spółce z o.o. członkowie zarządu mogą jednak odpowiadać wobec samej spółki za szkodę wynikającą z działania lub zaniechania sprzecznego z prawem albo umową spółki, jeżeli ponoszą winę. Jednocześnie przepisy uwzględniają uzasadnione ryzyko gospodarcze. Przy ocenie decyzji znaczenie ma więc również to, czy była podejmowana lojalnie wobec spółki i na podstawie informacji, analiz oraz opinii odpowiednich do jej wagi.

To zmienia sposób, w jaki powinno się dokumentować duże decyzje.

Słaby zapis wygląda tak:

„Zarząd zdecydował o uruchomieniu inwestycji za 2 mln zł.”

Znacznie lepiej, gdy z dokumentacji wynika:

• jakie warianty analizowano,

• jaki był zakładany koszt,

• jakie ryzyka zidentyfikowano,

• jakie prognozy finansowe przyjęto,

• z których analiz albo opinii korzystano,

• dlaczego odrzucono inne warianty,

• jaki był wynik głosowania,

• czy któryś członek organu zgłosił zdanie odrębne.

Nie chodzi o produkowanie dokumentów dla samej objętości. Im większa wartość i nieodwracalność decyzji, tym mocniejszy powinien być ślad pokazujący, w jaki sposób ją podjęto.

Dokumentacja nabiera szczególnego znaczenia przy zakupie innej spółki, dużym finansowaniu, sprzedaży istotnej części majątku, kosztownej inwestycji, wejściu na nowy rynek albo podpisaniu długoletniego kontraktu zawierającego wysokie kary.

Inny mechanizm odpowiedzialności dotyczy zobowiązań spółki z o.o. Jeżeli egzekucja przeciwko spółce okaże się bezskuteczna, art. 299 Kodeksu spółek handlowych przewiduje możliwość odpowiedzialności członków zarządu za jej zobowiązania. Nie jest to jednak zasada „zarząd zawsze płaci długi spółki”. Przepisy przewidują również przesłanki umożliwiające uwolnienie się od odpowiedzialności.

Największym błędem jest więc nie samo istnienie długu, lecz przekonanie, że dopóki spółka formalnie działa, problem można odłożyć.

Szczególnie niebezpieczna jest utrata płynności.

Prawo upadłościowe przyjmuje, że dłużnik jest niewypłacalny, gdy utracił zdolność wykonywania swoich wymagalnych zobowiązań pieniężnych. Istnieje przy tym domniemanie utraty tej zdolności, jeżeli opóźnienie w wykonywaniu zobowiązań pieniężnych przekracza trzy miesiące. Jeżeli powstanie podstawa do ogłoszenia upadłości, wniosek należy co do zasady złożyć nie później niż w ciągu 30 dni.

To jeden z tych terminów, których zarząd nie powinien poznawać dopiero po kilku miesiącach kryzysu.

Czerwone flagi finansowe dla zarządu to m.in.:

• systematyczne przesuwanie płatności dostawcom,

• zaległości podatkowe lub składkowe,

• wezwania do zapłaty od kilku wierzycieli naraz,

• utrata podstawowego finansowania,

• zajęcia rachunków,

• rolowanie zobowiązań tylko po to, aby przetrwać następny miesiąc,

• brak środków na zobowiązania wymagalne w najbliższych tygodniach,

• utrata głównego kontraktu bez możliwości szybkiego zastąpienia przychodów.

Trzymiesięczne opóźnienie nie jest „bezpiecznym okresem”, przez który można nic nie robić. Ustawa posługuje się nim jako podstawą domniemania. Analiza niewypłacalności powinna ruszyć wcześniej, gdy zarząd widzi utratę realnej zdolności do regulowania wymagalnych zobowiązań.

W takiej sytuacji trzeba przestać opierać się na zdaniu „sprzedaż powinna odbić w przyszłym miesiącu” i przygotować aktualne dane: saldo środków, zobowiązania według terminów wymagalności, należności i prawdopodobieństwo ich odzyskania, dostępne finansowanie oraz prognozę przepływów pieniężnych.

Dopiero na tej podstawie można odpowiedzialnie decydować, co dalej.

D&O również nie powinno być traktowane jako wyjście awaryjne z bałaganu.

Ubezpieczenie odpowiedzialności członków władz spółki może mieć znaczenie przy roszczeniach kierowanych przeciwko osobom pełniącym funkcje zarządcze. W zależności od konstrukcji polisy ochrona może obejmować m.in. koszty obrony oraz określone roszczenia finansowe. Zakres nie jest jednak identyczny w każdej polisie.

Przed zawarciem albo odnowieniem D&O trzeba sprawdzić przede wszystkim:

• limit odpowiedzialności,

• jakie osoby obejmuje definicja ubezpieczonego,

• czy koszty obrony pomniejszają dostępny limit,

• jakie są wyłączenia,

• zakres terytorialny,

• zasady zgłaszania roszczeń,

• zasady zgłaszania okoliczności, które dopiero mogą doprowadzić do roszczenia,

• czy ochrona obejmuje byłych członków organów,

• jak polisa traktuje postępowania administracyjne i regulacyjne.

Szczególnej ostrożności wymaga zdanie „D&O pokrywa kary”. Nie można przyjmować tego jako ogólnej zasady. Możliwość objęcia określonych sankcji zależy od warunków polisy oraz dopuszczalności takiej ochrony. Celowego łamania prawa nie da się też zamienić w bezpieczną strategię tylko przez wykupienie ubezpieczenia.

D&O ma ograniczać określone skutki ryzyka. Nie zastąpi kontroli płynności, poprawnego podejmowania uchwał ani dokumentowania decyzji.

Ludzie, dane i obowiązki operacyjne: największe ryzyko tworzy rozdźwięk między dokumentami a tym, jak firma naprawdę działa

Umowa może nazywać współpracownika przedsiębiorcą, ale nazwa dokumentu nie przesądza jeszcze o charakterze relacji.

Jeżeli człowiek ma codziennie pracować w wyznaczonych godzinach, pod kierownictwem przełożonego, wykonywać bieżące polecenia i działać w organizacji tak jak pozostali pracownicy, samo wystawianie faktury nie rozwiązuje problemu.

Model B2B ma mocniejsze uzasadnienie wtedy, gdy wykonawca rzeczywiście prowadzi niezależną działalność: sam organizuje pracę, może obsługiwać innych klientów, ponosi własne ryzyko gospodarcze i odpowiada za określone świadczenie.

Nie oznacza to, że każdy kontraktor B2B musi spełniać identyczny zestaw cech. Ocenia się realny sposób współpracy. Najgorszym rozwiązaniem jest skopiowanie do umowy B2B całego modelu etatowego i zmiana wyłącznie nazwy stron na „Zamawiający” i „Wykonawca”.

Przy umowie zlecenia trzeba pilnować także obowiązującej minimalnej stawki godzinowej. Od 1 stycznia 2026 r. wynosi ona 31,40 zł brutto dla objętych przepisami umów. Minimalne wynagrodzenie za pracę w 2026 r. wynosi natomiast 4806 zł brutto miesięcznie.

Znacznie groźniejsze niż sama wysokość wynagrodzenia są jednak źle prowadzone procesy:

• brak ewidencji czasu pracy tam, gdzie jest wymagana,

• nieudokumentowane nadgodziny,

• nieaktualne badania lub szkolenia,

• chaotyczne zasady pracy zdalnej,

• brak procedury odbierania dostępów,

• rozwiązywanie współpracy bez dokumentów potwierdzających przyczyny decyzji,

• stosowanie szerokich zakazów konkurencji „na wszelki wypadek”.

Zakaz konkurencji powinien chronić konkretny interes. Jeżeli osoba ma dostęp do marż, klientów, technologii, kodu źródłowego lub planów ekspansji, ograniczenie może mieć wyraźne uzasadnienie. Wpisywanie identycznego zakazu każdemu pracownikowi i wykonawcy nie świadczy o dobrej kontroli ryzyka. Świadczy raczej o braku selekcji.

Osobno trzeba sprawdzić sygnalistów.

Co do zasady przepisy o zgłoszeniach wewnętrznych obejmują podmiot, na rzecz którego według stanu na 1 stycznia lub 1 lipca danego roku pracę zarobkową wykonuje co najmniej 50 osób. Do tego progu wlicza się nie tylko pracowników w przeliczeniu na pełne etaty, ale również określone osoby świadczące odpłatną pracę na innych podstawach. Dla części działalności, m.in. wskazanych w ustawie obszarów finansowych, próg 50 osób nie ma zastosowania.

Procedura nie może sprowadzać się do utworzenia skrzynki „sygnalista@firma.pl”.

Trzeba ustalić:

• kto przyjmuje zgłoszenie,

• kto może mieć dostęp do danych sygnalisty,

• kto prowadzi postępowanie wyjaśniające,

• jak rejestrowane są zgłoszenia,

• jak przekazywana jest informacja zwrotna,

• w jaki sposób chroni się poufność,

• jak firma zapobiega działaniom odwetowym.

Szczególnie zły model wygląda tak: zgłoszenie wpływa do wspólnej skrzynki działu HR, do której dostęp ma sześć osób, w tym menedżer wskazany w zawiadomieniu. Formalnie kanał istnieje. W praktyce jego konstrukcja sama tworzy problem.

Drugim obszarem jest RODO.

Największym błędem nadal pozostaje utożsamianie zgodności z polityką prywatności na stronie. Firma powinna potrafić odpowiedzieć na znacznie bardziej praktyczne pytania:

• jakie dane przetwarza,

• w jakim celu,

• na jakiej podstawie,

• komu je udostępnia,

• z jakich podmiotów przetwarzających korzysta,

• jak długo przechowuje poszczególne kategorie danych,

• kto ma uprawnienia do systemów,

• jak odbiera dostęp osobie odchodzącej z firmy,

• kto reaguje na żądania osób, których dane dotyczą,

• co dzieje się po wykryciu naruszenia.

Incydent nie powinien rozpoczynać improwizacji.

Po stwierdzeniu naruszenia firma powinna co najmniej zabezpieczyć zdarzenie, ustalić zakres danych i osób, ocenić możliwe konsekwencje, udokumentować naruszenie oraz ustalić, czy zachodzą przesłanki zgłoszenia go Prezesowi UODO. Jeżeli naruszenie może powodować ryzyko dla praw lub wolności osób fizycznych, zgłoszenia dokonuje się bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Przy wysokim ryzyku może powstać również obowiązek zawiadomienia osób, których dane dotyczą.

To dlatego procedura typu „pracownik zgłasza incydent informatykowi, kiedy ten będzie dostępny” jest niewystarczająca.

Trzeba wcześniej odpowiedzieć: kto podejmuje decyzję, kto ocenia ryzyko i kto pilnuje biegu czasu?

Jeszcze jeden błąd ujawnia się przy narzędziach SaaS. Dział marketingu samodzielnie zakłada konto w aplikacji, importuje listę klientów i zaczyna pracę. Dopiero kilka miesięcy później ktoś pyta, gdzie trafiają dane, kto jest podmiotem przetwarzającym i czy ustalono warunki powierzenia. Im łatwiejsze jest uruchomienie nowego narzędzia, tym łatwiej ominąć kontrolę.

W 2026 r. podobnego podejścia wymaga KSeF. Obowiązek wystawiania faktur ustrukturyzowanych został wdrożony etapowo: od 1 lutego 2026 r. dla przedsiębiorców, których sprzedaż wraz z podatkiem przekroczyła w 2024 r. 200 mln zł, a od 1 kwietnia 2026 r. dla pozostałych przedsiębiorców, z przewidzianymi przepisami przejściowymi dla najmniejszych podatników. Odbieranie faktur w KSeF stało się obowiązkowe od 1 lutego 2026 r.

Problemem nie jest samo uruchomienie programu obsługującego KSeF.

Problem zaczyna się wtedy, gdy nikt nie ustalił:

• kto ma uprawnienia do wystawiania faktur,

• kto może nadawać dalsze uprawnienia,

• kto zatwierdza korekty,

• jak wygląda obieg faktur zakupowych,

• jak dział księgowości otrzymuje dokumenty,

• co firma robi w trybie awaryjnym,

• kto odbiera uprawnienia osobie odchodzącej z organizacji.

To dobrze pokazuje szerszą zasadę: procedura prawna działa tylko wtedy, gdy ma właściciela i jest częścią normalnej pracy firmy. Dokument zapisany w folderze „procedury” nie zabezpiecza niczego, jeśli zespół działa inaczej.

FAQ: najczęstsze pytania o ryzyka prawne w zarządzaniu firmą

Czy członek zarządu spółki z o.o. zawsze odpowiada prywatnym majątkiem za długi spółki?
Nie. Spółka z o.o. odpowiada za własne zobowiązania, ale w określonych warunkach odpowiedzialność może objąć także członków zarządu. Jednym z takich mechanizmów jest odpowiedzialność związana z bezskutecznością egzekucji wobec spółki. Znaczenie mają jednak konkretne przesłanki i okoliczności pozwalające członkowi zarządu uwolnić się od odpowiedzialności.

Czy trzy miesiące zaległości oznaczają, że dopiero wtedy trzeba reagować na niewypłacalność?
Nie. Przekroczenie trzech miesięcy opóźnienia tworzy ustawowe domniemanie utraty zdolności do wykonywania wymagalnych zobowiązań pieniężnych. Jeżeli firma wcześniej realnie traci zdolność do regulowania wymagalnych zobowiązań, zarząd powinien analizować sytuację wcześniej. Termin na złożenie wniosku o ogłoszenie upadłości wynosi co do zasady 30 dni od powstania podstawy do jej ogłoszenia.

Czy opłacenie faktury za logo, stronę albo kod oznacza automatyczne nabycie praw autorskich?
Nie. Zakres praw wynika z przepisów i zawartej umowy. Przed zamówieniem materiałów trzeba ustalić, czy firma potrzebuje przeniesienia autorskich praw majątkowych, czy wystarczy jej odpowiednio szeroka licencja, oraz do jakich sposobów wykorzystania potrzebuje praw.

Czy każda firma zatrudniająca 50 osób musi mieć procedurę dla sygnalistów?
Co do zasady próg wynosi co najmniej 50 osób wykonujących pracę zarobkową według stanu na 1 stycznia lub 1 lipca, a sposób liczenia obejmuje również określone osoby pracujące na innych podstawach niż umowa o pracę. Ustawa przewiduje przy tym szczególne reguły i branże, dla których próg 50 osób nie ma zastosowania.

Czy każde naruszenie danych trzeba zgłosić UODO w ciągu 72 godzin?
Nie. Najpierw trzeba ocenić ryzyko dla praw i wolności osób fizycznych. Jeżeli naruszenie prawdopodobnie powoduje takie ryzyko, administrator dokonuje zgłoszenia bez zbędnej zwłoki, w miarę możliwości do 72 godzin od stwierdzenia naruszenia. Sam incydent należy jednak odpowiednio przeanalizować i udokumentować.

Czy D&O rozwiązuje problem osobistej odpowiedzialności członków zarządu?
Nie. Polisa może ograniczać finansowe skutki określonych roszczeń i finansować niektóre koszty obrony, ale działa w granicach warunków ubezpieczenia, limitów i wyłączeń. Nie zastępuje właściwego zarządzania spółką ani terminowej reakcji na niewypłacalność.

Jeżeli firma ma uporządkować tylko jedną rzecz, nie powinna zaczynać od pisania kolejnej ogólnej polityki. Najpierw trzeba zrobić przegląd pięciu obszarów: największych kontraktów, sposobu reprezentacji, płynności i przeterminowanych zobowiązań, dostępów do danych oraz dokumentacji najważniejszych decyzji zarządu. Pierwszy błąd do usunięcia to ten, który może już dziś spowodować osobistą odpowiedzialność, utratę pieniędzy albo brak możliwości wykazania, dlaczego firma podjęła daną decyzję.

Dodatkowe informacje na: Ubezpieczenie D&O dla firm – Twoja ochrona zarządu | Gdzieubezpiecze.pl.