CSRD, NIS2, DORA, AI Act a polskie firmy
Regulacje unijne stają się częścią biznesowej codzienności. Akty prawne takie, jak CSRD, NIS2, DORA czy AI Act albo już weszły w życie, albo wejdą w życie w najbliższych latach. To oznacza wiele obciążeń dla polskich przedsiębiorstw. CSRD, zastępujące wcześniejszą dyrektywę NFRD, wymaga uporządkowanej sprawozdawczości ESG (Environment, Society, Governance) i kontroli danych niefinansowych. NIS2 podnosi poprzeczkę dla cyberbezpieczeństwa w wielu sektorach. DORA wprowadza jednolite zasady dotyczące odporności cyfrowej w sektorze finansowym. AI Act to pierwsze na świecie kompleksowe rozporządzenie regulujące stosowanie sztucznej inteligencji. Jego główny cel to zapewnienie, że systemy AI będą bezpieczne, przejrzyste i zgodne z prawami człowieka oraz wartościami UE - podobnie jak RODO w przypadku danych osobowych. Ten temat komentuje dr Piotr C. Sosnowski z Wydziału Zarządzania Uniwersytetu Łódzkiego.
Wejście w życie nowych unijnych regulacji
Regulacje i terminy obowiązywania:
- CSRD (Corporate Sustainability Reporting Directive) - UE: raporty od 2025 (za 2024); kolejne grupy do 2029
- NIS2 (Network and Information Systems 2) - UE: od 2023; Polska: początek 2026
- DORA (Digital Operational Resilience Act) - UE: pełne stosowanie od 17.01.2025
- AI Act (Artificial Intelligence Act) - UE: od 2024; kluczowe obowiązki 2025-2027
Zgodność z wymogami unijnymi to nie tylko obowiązek, ale również szansa na wzmocnienie pozycji rynkowej. Raportowanie ESG w ramach CSRD oraz spełnienie wymogów NIS2 i DORA budują zaufanie klientów i inwestorów, którzy coraz częściej oczekują od partnerów biznesowych odpowiedzialności i bezpieczeństwa. Firmy działające zgodnie z regulacjami zyskują zaufanie jako mniej ryzykowne, co ułatwia dostęp do finansowania i może stanowić przewagę konkurencyjną. Jednocześnie wdrożenie standardów przed terminem minimalizuje ryzyko kar i utraty reputacji.
Ryzyko konsekwencji finansowych i wizerunkowych
Brak dostosowania się do unijnych przepisów oznacza ryzyko konsekwencji zarówno finansowych, jak i wizerunkowych. Przedsiębiorstwa, które zignorują obowiązki wynikające z CSRD, NIS2, DORA czy AI Act, mogą zostać obciążone karami administracyjnymi. Brak transparentności w raportowaniu ESG obniża wiarygodność w oczach inwestorów, co utrudnia dostęp do finansowania i może prowadzić do utraty klientów. Niezgodność z regulacjami dotyczącymi cyberbezpieczeństwa zwiększa ryzyko incydentów, które mogą sparaliżować działalność operacyjną i spowodować utratę danych. W dłuższej perspektywie brak compliance oznacza nie tylko ryzyko kar, ale także utratę przewagi konkurencyjnej i reputacji, której odbudowa jest kosztowna i czasochłonna.
Czy polskie firmy dostosują się do nowych standardów?
Pytanie brzmi, czy polskim przedsiębiorstwom uda się opracować i wdrożyć działania umożliwiające dostosowanie się do tych standardów, bez szkody dla ich działalności biznesowej? Z punktu widzenia zarządzania operacyjnego wydaje się, że może w tym pomóc zastosowanie się do kilku zasad znanych zdecydowanej większości menadżerów.
Pierwszą z nich jest podział odpowiedzialności za procesy. Jeżeli nie wiadomo, kto jest właścicielem ryzyka, to nikt tym ryzykiem nie zarządza. Podział ryzyka umożliwia m.in. mapowanie procesów, np. przy pomocy diagramów BPMN (Business Process Model and Notation) i opracowanie Standardowych Procedur Operacyjnych (ang. Standard Operating Procedures, SPO). Pozwala to na określenie, kto odpowiada za który fragment procesu.
Drugą jest odpowiednie opomiarowanie procesów. Jeżeli nie możemy monitorować naszej działalności, nie jesteśmy w stanie zmierzyć postępów we wdrażaniu działań doskonalących. Opracowanie i wdrożenie mierników oraz kluczowych wskaźników efektywności (KPI, Key Performance Indicators) pozwala na ocenę skuteczności działań, identyfikację obszarów wymagających poprawy oraz szybkie reagowanie na odstępstwa od wyznaczonych celów.
Trzecią jest powtarzalność prowadzonych działań. Jeżeli przegląd zarządzania nie jest prowadzony regularnie, system traci skuteczność. Zapewnienie zgodności (compliance) z wymaganiami standardów można traktować albo jako projekt wdrożeniowy, albo BAU (Business As Usual), czyli element codziennej działalności operacyjnej, która nie zniknie po wdrożeniu i do której trzeba się dostosować.
Podsumowanie
Unijne regulacje, takie jak CSRD, NIS2, DORA czy AI Act, stają się integralną częścią prowadzenia działalności gospodarczej zarówno w Polsce, jak i w całej UE. Ich wdrożenie oznacza konieczność nie tylko dostosowania procesów, ale także zmiany podejścia do zarządzania ryzykiem i raportowania. Zapewnienie zgodności z tymi wymaganiami oznacza szansę na budowanie zaufania klientów i inwestorów, poprawę efektywności operacyjnej oraz uzyskanie przewagi konkurencyjnej. Z kolei brak compliance wiąże się z ryzykiem kar, utraty reputacji i ograniczonego dostępu do finansowania. Kluczowe jest, aby firmy traktowały dostosowanie się do regulacji jako element codziennej działalności, który w długiej perspektywie wspiera stabilny rozwój i bezpieczeństwo codziennej działalności.
Autor: dr Piotr C. Sosnowski z Wydziału Zarządzania Uniwersytetu Łódzkiego
Autorka licznych publikacji z zakresu prawa pracy, ubezpieczeń społecznych, prawa budowlanego i nieruchomości. Ukończyła studia na Wydziale Prawa i Administracji Uniwersytetu Kardynała Stefana Wyszyńskiego w Warszawie na kierunku Prawo. Doświadczenie zawodowe zdobywała w redakcjach oraz kancelariach prawnych. Z Grupą INFOR związana od 2012 roku. Pasjonuje się światem roślin i zwierząt.