„Nie budujmy korporacyjnej biurokracji w dziesięcioosobowym startupie”. Weronika Czaplewska radzi, jak nie utopić firmy w przepisach

My Company Polska: Mała firma chce zdobyć dużego klienta. Ma dobry produkt, konkurencyjną cenę, ale nagle dostaje listę dodatkowych wymagań. Czego mogą od niej zażądać duże korporacje i dlaczego?

Weronika Czaplewska: W życiu pewne są tylko trzy rzeczy: śmierć, podatki i to, że regulacje będą się zmieniać. I właśnie z takim nastawieniem firmy powinny dziś podchodzić do compliance.

W relacjach B2B coraz trudniej jest funkcjonować bez spełnienia choćby podstawowych wymagań regulacyjnych. Co ważne, nie trzeba być wielką korporacją ani bezpośrednio podlegać konkretnej dyrektywie, żeby odczuć jej skutki. Wystarczy być dostawcą firmy, która takim obowiązkom podlega. Duże przedsiębiorstwa przenoszą bowiem część swoich wymagań na partnerów biznesowych, a w efekcie compliance zaczyna obejmować całe łańcuchy dostaw.

Jakich konkretnie obszarów dotyczą dziś te wymagania?

Jeszcze niedawno dyskusje koncentrowały się przede wszystkim na ESG. Dzisiaj bardzo mocno wybrzmiewa cyberbezpieczeństwo, szczególnie w kontekście NIS2 i polskiej nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa. Równolegle mamy DORA w sektorze finansowym, wymagania środowiskowe dotyczące produktów, gospodarki obiegu zamkniętego czy należytej staranności w łańcuchach dostaw. Do tego dochodzi AI Act, który będzie istotny również dla wielu startupów i mniejszych firm wykorzystujących lub dostarczających rozwiązania oparte na sztucznej inteligencji.

A jak te wymagania wyglądają w praktyce?

W praktyce może to oznaczać ankietę bezpieczeństwa od klienta, konieczność przedstawienia polityk i procedur, wykazania stosowanych zabezpieczeń, poddania się audytowi czy zaakceptowania nowych klauzul umownych dotyczących incydentów, danych albo podwykonawców. Wymagania zależą, oczywiście, od branży, charakteru usług i ryzyka, jakie dany dostawca generuje.

Dlatego uważam, że największym błędem jest budowanie compliance osobno pod każdą regulację. Dzisiaj ESG, jutro cyberbezpieczeństwo, pojutrze AI a za każdym razem zaczynamy wszystko od zera. Znacznie rozsądniej jest stworzyć w firmie elastyczny system zarządzania zgodnością, który pozwala szybko reagować na nowe obowiązki i oczekiwania klientów.

Bo z perspektywy mniejszej firmy compliance nie jest już wyłącznie kwestią unikania kar. Coraz częściej jest po prostu warunkiem wejścia do biznesu z większym klientem.

Czy zna pani przypadki, w których mniejsza firma straciła kontrakt albo szansę na udział w przetargu, bo nie potrafiła wykazać zgodności z wymaganiami klienta?

Tak, i co więcej, takich sytuacji jest coraz więcej. Compliance staje się po prostu przepustką do kontraktów. Nie wystarczy już mieć dobry produkt, konkurencyjną cenę i świetny zespół. Coraz częściej trzeba jeszcze udowodnić, że jesteśmy odpowiedzialnym i bezpiecznym partnerem biznesowym.

Może pani podać konkretny przykład?

Współpracowaliśmy z firmą z branży transportowej, która, aby w ogóle móc ubiegać się o kontrakt z dużym klientem, musiała uzyskać złoty medal EcoVadis, czyli wysoką ocenę w międzynarodowym systemie ratingowym ESG. Bez tego nie mogłaby nawet przystąpić do postępowania. I to dobrze pokazuje, jak regulacje i oczekiwania dużych korporacji przekładają się na realne możliwości biznesowe mniejszych dostawców.

Przez ostatnie lata obserwowaliśmy to szczególnie w obszarze ESG, zwłaszcza wśród eksporterów współpracujących z zachodnimi koncernami. Pytania o ślad węglowy, wpływ środowiskowy produktów czy pochodzenie surowców stały się elementem procesów zakupowych. Dzisiaj wokół części regulacji ESG mamy pewne spowolnienie, ale nie oznacza to, że wymagania środowiskowe zniknęły z łańcuchów dostaw.

Czy podobne wymagania dotyczą już także firm technologicznych?

Teraz podobną, a momentami jeszcze bardziej dynamiczną zmianę widzimy w cyberbezpieczeństwie. Dla wielu startupów technologicznych i firm świadczących usługi B2B certyfikacja ISO/IEC 27001, czyli standardu zarządzania bezpieczeństwem informacji, staje się istotnym warunkiem współpracy z klientami europejskimi. Na rynku amerykańskim analogiczną rolę w procesach zakupowych bardzo często pełni raport SOC 2.

Skala zmian jest naprawdę imponująca. Według danych ISO Survey liczba certyfikatów ISO/IEC 27001 w Polsce wzrosła z 1410 w 2024 roku do 2151 w 2025 roku. To wzrost o ponad 52% w zaledwie rok! I nie mówimy przecież o jakiejś chwilowej modzie, ale o rosnących oczekiwaniach dotyczących bezpieczeństwa informacji. Wystarczy przejrzeć wymagania w przetargach technologicznych, żeby zobaczyć, jak często pojawiają się certyfikaty, audyty i konkretne standardy bezpieczeństwa.

A co z firmami B2C?

One mogą nie odczuwać aż tak mocno presji ze strony kontrahentów, ale mają swoje wyzwania. Najlepszym przykładem jest RODO. Wyciek danych klientów może oznaczać nie tylko karę administracyjną, ale również utratę reputacji i zaufania, na które firma pracowała latami.

Dlatego patrzyłabym na compliance nie tylko jak na koszt czy obowiązek. To coraz częściej element konkurencyjności. Firma, która potrafi szybko wykazać swoją zgodność, może po prostu wejść do przetargu, zdobyć większego klienta i skuteczniej rozwijać się na nowych rynkach. A firma, która tego nie potrafi, może odpaść, zanim ktokolwiek zdąży ocenić jakość jej produktu.

Dostawca korzysta z AI przy pracy dla klienta: pisze kod, obsługuje dane, tworzy treści. O co klient zapyta go w pierwszej kolejności?

Myślę, że pierwsze pytanie klienta będzie bardzo proste: co robicie z naszymi danymi i czy możemy być pewni, że nie trafią tam, gdzie nie powinny?

AI daje dziś ogromne możliwości, szczególnie mniejszym firmom i startupom, które dzięki niemu mogą działać szybciej i konkurować z dużo większymi organizacjami. Ale pojawia się też zupełnie nowa kategoria ryzyka. Wyobraźmy sobie software house, który wykorzystuje AI do pisania kodu dla banku, agencję marketingową tworzącą treści dla międzynarodowej marki albo firmę doradczą analizującą dokumenty klienta za pomocą modeli językowych. W każdym z tych przypadków klient będzie chciał wiedzieć, z jakich narzędzi korzystamy, jakie informacje do nich trafiają i kto ma do nich dostęp.

O co konkretnie może zapytać klient, gdy dowie się, że dostawca korzysta ze sztucznej inteligencji?

W praktyce spodziewałabym się kilku podstawowych pytań. Czy nasze dane są wykorzystywane do trenowania modeli AI? Czy trafiają poza Europejski Obszar Gospodarczy? Czy pracownicy mogą wklejać poufne dokumenty do ogólnodostępnych chatbotów? Kto odpowiada za błędy, które popełni AI? I wreszcie: czy człowiek weryfikuje rezultaty, zanim trafią do klienta?

A co z przepisami? Czy dotyczą również firm, które tylko korzystają z AI, a nie tworzą własnych rozwiązań?

AI Act zmienia sposób myślenia o odpowiedzialności za sztuczną inteligencję. Co ważne, nie dotyczy on wyłącznie firm tworzących własne modele. Obejmuje również podmioty wykorzystujące systemy AI w działalności biznesowej, choć zakres obowiązków zależy od roli przedsiębiorstwa i sposobu zastosowania technologii. Już teraz obowiązują wymagania dotyczące kompetencji osób pracujących z AI, a od sierpnia 2026 roku stosuje się także określone obowiązki przejrzystości. W przypadku systemów wysokiego ryzyka wymagania są znacznie bardziej rozbudowane, a terminy ich stosowania zostały rozłożone na kolejne lata.

Jak te przepisy wpłyną na współpracę małych firm z dużymi klientami?

Moim zdaniem, właśnie to będzie jednym z ważniejszych trendów w relacjach B2B. Duże firmy zaczną coraz częściej oczekiwać od dostawców polityk korzystania z AI, zasad ochrony danych, nadzoru człowieka, a w bardziej wrażliwych projektach również możliwości audytu i odpowiednich postanowień umownych.

Czy mała firma będzie musiała zatrudnić prawników, żeby spełnić te wymagania?

Nie chodzi o to, żeby mały startup budował od razu cały dział prawny. Chodzi o to, żeby wiedział, z jakich narzędzi korzysta jego zespół, jakie dane do nich przekazuje, kto odpowiada za efekty pracy i jakie ma zabezpieczenia. AI może być ogromną przewagą konkurencyjną. Ale niekontrolowane AI może bardzo szybko stać się powodem, dla którego duży klient nie podpisze z nami umowy.

Duży klient coraz częściej chce dowodów, a nie samych dokumentów. Po czym rozpozna, że procedury dostawcy istnieją tylko na papierze?

Papier przyjmie wszystko. Możemy mieć najpiękniejszą politykę cyberbezpieczeństwa na świecie, podpisaną przez cały zarząd, ale jeśli nikt jej nie stosuje, to z punktu widzenia bezpieczeństwa jest ona niewiele warta.

I właśnie tutaj obserwujemy bardzo ważną zmianę w podejściu do compliance. Coraz mniej chodzi o samo posiadanie dokumentacji, a coraz bardziej o udowodnienie, że opisane w niej działania rzeczywiście są realizowane. Zresztą wyraźnie widać to w najnowszych rekomendacjach Pełnomocnika Rządu ds. Cyberbezpieczeństwa. Liczą się konkretne działania, regularne przeglądy, testy, monitorowanie i możliwość wykazania, że zabezpieczenia faktycznie funkcjonują.

Jak firma może udowodnić, że rzeczywiście przestrzega procedur, a nie tylko trzyma je w segregatorze?

I tutaj pojawia się koncepcja, którą bardzo mocno promujemy w książce, czyli Continuous Compliance - ciągłe zarządzanie zgodnością. Na rynkach zachodnich jest to już bardzo rozwinięty kierunek, natomiast w Polsce dopiero nabiera rozpędu.

Na czym polega ta zmiana w podejściu do firmowych procedur?

Zamiast traktować compliance jako zbiór dokumentów, budujemy z niego żywy system zarządzania. Najpierw przekładamy polityki na konkretne procedury i procesy, następnie na zadania przypisane odpowiednim osobom. Część z nich wykonujemy cyklicznie, na przykład przeglądy uprawnień czy testy kopii zapasowych. Inne uruchamiają się w odpowiedzi na konkretne zdarzenie, chociażby incydent bezpieczeństwa, zmianę dostawcy czy zatrudnienie nowego pracownika. Do każdego działania możemy przypisać właściciela, termin i dowód wykonania.

Właśnie w tym pomagają systemy klasy GRC, czyli Governance, Risk & Compliance, takie jak rozwijany przez nas Quantifier. Pozwalają przejść od polityki, przez procedurę i konkretne zadanie, aż do dowodu jego realizacji. Dzięki temu compliance nie jest czymś, o czym przypominamy sobie tydzień przed audytem. Staje się częścią codziennego funkcjonowania firmy.

A jak może to wyglądać w małej firmie, która nie ma rozbudowanego działu prawnego?

To ma ogromne znaczenie również dla mniejszych przedsiębiorstw. Wyobraźmy sobie, że duży klient pyta startup, czy regularnie weryfikuje uprawnienia pracowników. Zamiast odsyłać mu kilkunastostronicową procedurę, firma może pokazać historię przeprowadzonych przeglądów, osoby odpowiedzialne, daty i wyniki. To zupełnie inny poziom wiarygodności.

Co mała firma powinna przygotować, zanim duży klient przyśle pierwszą ankietę? Od czego powinna zacząć przy ograniczonym budżecie?

Moje TOP 5 to: podstawowe polityki i procedury, czyli bezpieczeństwo informacji, RODO, reagowanie na incydenty; rejestr ryzyk i zabezpieczeń, czyli co chronimy, przed czym i w jaki sposób; lista dostawców i technologii, czyli z jakich narzędzi, w tym AI, korzystamy i komu powierzamy dane; dowody realizacji procedur, czyli szkolenia, testy, przeglądy uprawnień i zabezpieczeń; podstawowe dane ESG, czyli ślad węglowy, zużycie energii czy wpływ środowiskowy produktów, jeśli oczekują tego klienci.

Nie budujmy korporacyjnej biurokracji w dziesięcioosobowym startupie. Zacznijmy od podstaw, prostych procesów i zbierania dowodów. Compliance ma pomagać rozwijać biznes, a nie go spowalniać.

Rynek zalewają narzędzia, które obiecują automatyczną zgodność z przepisami. Czy mniejszy dostawca powinien w nie inwestować, czy to raczej złudzenie bezpieczeństwa?

Trzeba zrobić prosty rachunek kosztów i korzyści. Z jednej strony porównać koszt narzędzia z czasem i kosztami pracy pracowników, którzy bez niego musieliby wykonywać te zadania ręcznie. Z drugiej, zastanowić się, jakie korzyści przyniesie nam automatyzacja i gdzie widzimy firmę za trzy czy pięć lat.

Czy planujemy ekspansję na przykład rynek niemiecki, gdzie możemy spotkać się z dodatkowymi wymaganiami? A może na amerykański, gdzie oczekiwania dotyczące compliance są inne? Czy pojawią się nowe regulacje lub wymagania klientów B2B?

Dobre narzędzie powinno nie tylko rozwiązywać dzisiejsze problemy, ale też pozwalać firmie rosnąć bez proporcjonalnego zwiększania biurokracji. Oczywiście, żadna technologia nie zapewnia automatycznie zgodności. Może jednak znacząco obniżyć jej koszty i ułatwić zarządzanie nią.

Weronika Czaplewska - przedsiębiorczyni, dwukrotna laureatka Forbes 30 Under 30 (w Polsce i Europie), absolwentka London School of Economics i Uniwersytetu Warszawskiego. Redaktorka książki „Nowa architektura compliance. Zgodność, ryzyko, cyberbezpieczeństwo i sztuczna inteligencja”, która właśnie ukazała się na polskim rynku nakładem wydawnictwa C.H.Beck.