Jak przejść audyt zakupowy
Polski przewodnik operacyjny o tym, jak przejść audyt zakupowy programu merchu korporacyjnego — czego szukają UZP, KAS, NIK i dyrekcja audytu wewnętrznego, jak budować faktury KSeF dla czystego odzyskania VAT 23%, jak prowadzić due diligence dostawców w reżimie PZP i jak utrzymać claimy zrównoważonościowe oraz RODO/GDPR obronne.
Jak naprawdę wygląda audyt zakupowy programu merchu w Polsce
Audyt zakupowy programu merchu korporacyjnego w Polsce nie jest jednym wydarzeniem. To zestaw czterech nakładających się przeglądów, które odpalają się w różnych momentach i czytają ten sam zestaw dokumentów przez różne soczewki. W naszym doświadczeniu największe programy enterprise w Warszawie, Krakowie, Wrocławiu i Gdańsku — w firmach takich jak PKO BP, Pekao, ING Hubs Poland, mBank, ORLEN, PZU, CD Projekt, Asseco i Comarch — są przeglądane co najmniej raz w roku w tym stosie, a przegląd prawie zawsze łapie coś, czego zespół zakupowy wewnętrznie nie oflagował.
Cztery przeglądy to: przegląd dyrekcji audytu wewnętrznego (zwykle roczny, prowadzony przez własny zespół audytu wewnętrznego firmy), przegląd prawa zamówień publicznych (tylko jeśli podmiot jest w zakresie PZP, ale te przeglądy są ostre, kiedy się zdarzają), przegląd podatkowy (prowadzony przez KAS w firmie albo przez zewnętrznego doradcę podatkowego firmy kwartalnie) i przegląd zrównoważoności / ESG (prowadzony przez własną funkcję ESG firmy albo przez zewnętrznego weryfikatora). Ten tekst przechodzi przez każdy z nich i wyjaśnia, co który przetrwa.
Przegląd dyrekcji audytu wewnętrznego
Dyrekcja Audytu Wewnętrznego przegląda zakupy merchu w ramach własnej polityki zakupowej firmy. Przegląd koncentruje się na czterech rzeczach: zakupach z jednego źródła, koncentracji dostawców, istnieniu zatwierdzonej listy dostawców oraz istnieniu konkurencyjnych przetargów dla każdego wydatku powyżej wewnętrznego progu firmy (zwykle zł20 tys.–zł50 tys. netto, w zależności od polityki).
Co przetrwa ten przegląd jest proste: zatwierdzona lista dostawców utrzymywana przez zespół zakupowy, co najmniej trzy konkurencyjne oferty dla każdego wydatku powyżej wewnętrznego progu firmy (przechowywane przez standardowe siedem lat retencji), pisemne statement of work dla każdego zamówienia oraz podpisane potwierdzenie odbioru w magazynie przyjmującym. Program merchu, który oblewa ten przegląd, to ten, w którym zespół zakupowy zamawia od jednego dostawcy od dwóch lat bez przetargu, lista dostawców jest sprzed dwóch lat nieaktualna, a potwierdzenia odbioru brakuje dla ostatniego runu.
Dyscyplina obronna to coroczne odświeżenie zatwierdzonej listy dostawców, mini-przetarg dla każdego wydatku powyżej zł50 tys. netto i złożenie pakietu trzech ofert w archiwum zakupowym przed zatwierdzeniem faktury do płatności. KSeF nie zastępuje tej dyscypliny plikowej — KSeF obsługuje stronę faktury łańcucha, dyrekcja audytu wewnętrznego obsługuje stronę polityki zakupowej.
Przegląd PZP / UZP — kiedy prawo zamówień publicznych ma zastosowanie
Jeśli kupujący jest w zakresie polskiego Prawa Zamówień Publicznych (PZP) — a obejmuje to przedsiębiorstwa państwowe, spółki giełdowe z udziałem państwa oraz każdy podmiot otrzymujący finansowanie publiczne powyżej zdefiniowanego progu — zakupy merchu powyżej zł130 tys. netto (dostawy i usługi) albo zł5 382 tys. netto (roboty budowlane) muszą być przetargowane przez ezamowienia.gov.pl pod nadzorem Prezesa Urzędu Zamówień Publicznych (UZP).
Przegląd koncentruje się na poprawności przetargu: struktura lotów, kod CPV (39294100-0 dla produktów informacji i promocji, 18143000-9 dla hi-vis, 18110000-3 dla odzieży roboczej), kryteria wyboru (tylko-cena versus cena-plus-jakość), timeline oceny i udokumentowanie wyboru. Najczęstsze tryby awarii to: lotowanie kitu jako jednego dużego lotu, kiedy rozbicie po rodzinach towarów przyciągnęłoby więcej oferentów; użycie niestandardowego kodu CPV, który wyklucza właściwych oferentów; prowadzenie timeline oceny krótszego niż ustawowe minimum; udokumentowanie wyboru kryterium tylko-cena, kiedy kryterium jakościowe byłoby obronne.
Co przetrwa przegląd PZP jest proste: przetarg opublikowany na ezamowienia.gov.pl z właściwymi kodami CPV, właściwą strukturą lotów, ustawowym timeline oceny (zwykle 30 dni dla nieskomplikowanych przetargów na dostawy) i pisemnym raportem oceny podpisanym przez komisję oceniającą. UZP może przeprowadzić kontrolę w dowolnym momencie w ciągu 18 miesięcy od udzielenia zamówienia, a standardowym wynikiem jest wynik administracyjny (korekcyjny) zamiast karnego, ale wyniki korekcyjne są publiczne.
Przegląd podatkowy KAS — KSeF, VAT 23% i księgi dostawcy
Przegląd podatkowy Krajowej Administracji Skarbowej (KAS) to ten, który łapie większość programów merchu, a powodem jest struktura faktury KSeF. Od 1 lutego 2026 r. każda faktura B2B musi być wystawiona przez Krajowy System e-Faktur, krajowy system e-fakturowania obsługiwany przez KAS. Faktura musi nosić właściwą strukturę, właściwy NIP kupującego i sprzedającego oraz właściwą linię VAT. Standardowa faktura na merch to płasko 23% VAT — stawka obniżona 8% dotyczy wąskiego zestawu drukowanych książek i artykułów dziecięcych, stawka 5% podstawowych artykułów spożywczych, żadna nie dotyczy typowego merchu korporacyjnego.
Co przetrwa przegląd KAS: prawidłowo zbudowana faktura KSeF z NIP-em kupującego, NIP-em sprzedającego, linią 23% VAT per pozycja i datą wystawienia wewnątrz standardowego 30-dniowego okna dla transakcji. Najczęstsze tryby awarii to: dostawca wystawiający fakturę pod złym NIP (zwykle NIP-em grupy spółek zamiast NIP-em kontraktującego podmiotu), faktura wystawiona poza 30-dniowym oknem, linia VAT pokazana jako mieszanka 23% i nieobowiązującej stawki obniżonej, faktura wystawiona w starym reżimie papierowym zamiast przez KSeF.
Dyscyplina obronna to potwierdzenie rejestracji dostawcy w KSeF przed pierwszym zamówieniem, zmapowanie NIP-u przyjmującego fakturę w koncie KSeF kupującego i walidacja faktury przy odbiorze przeciw standardowej schemie KSeF. Administracja KAS może zażądać pliku faktur w dowolnym momencie w ciągu standardowej pięcioletniej retencji, a faktura nie-KSeF jest traktowana jako nieistniejąca dla celów odzyskania VAT.
Przegląd zrównoważoności / ESG
Przegląd zrównoważoności / ESG na programie merchu jest najnowszy i najszybciej ewoluujący. Przegląd obejmuje trzy rzeczy: legitymację każdego claimu zrównoważonościowego na kicie (zawartość recyklingowana, bawełna organiczna, bawełna certyfikowana GOTS, papier certyfikowany FSC, recyklowany PET post-consumer, materiał certyfikowany GRS), due diligence łańcucha dostaw stojące za claiem oraz plan end-of-life dla kitu (recykling, darowizna, take-back).
Co przetrwa ten przegląd: pisemny claim zrównoważonościowy per pozycja ze standardowym zapleczem (numer certyfikatu GOTS, numer łańcucha custody FSC, transakcyjny certyfikat GRS, zawartość recyklowana zweryfikowana przez niezależne laboratorium), własna certyfikacja zrównoważonościowa dostawcy, gdzie to dotyczy (ISO 14001, B-Corp, SA 8000), i udokumentowany plan end-of-life. Najczęstszym trybem awarii jest kit, który mówi "recyklowany" bez transakcyjnego certyfikatu GRS, kit, który mówi "organiczny" bez certyfikatu GOTS, oraz kit, który mówi "carbon-neutral" bez zweryfikowanej kalkulacji scope-1/2/3.
Dyscyplina obronna to utrzymanie claimu zrównoważonościowego krótkim (jedno zdanie per pozycja), posiadanie dokumentu certyfikacyjnego w pliku i odmowa drukowania claimów, których dostawca nie jest w stanie wesprzeć aktualnym certyfikatem. Dyrektywa UE Empowering Consumers for the Green Transition (obowiązująca w Polsce od marca 2026 r.) dokręca to jeszcze bardziej — mgliste claimy środowiskowe bez niezależnej weryfikacji są teraz traktowane jako praktyki wprowadzające w błąd i mogą pociągać za sobą egzekucję UOKiK.
RODO/GDPR i dane na kicie
RODO (polska implementacja GDPR) uderza w program merchu w dwóch konkretnych punktach: spersonalizowane imię na oprawionym notesie albo grawerowanym długopisie oraz lista dystrybucji po-event dla kuratorowanego dropu. Pierwsza to operacja przetwarzania danych osobowych i wymaga udokumentowanej podstawy prawnej (zwykle prawnie uzasadniony interes dla uczestnika eventu, zgoda dla odbiorcy niebędącego pracownikiem); druga to operacja przetwarzania danych osobowych, która wymaga tej samej podstawy prawnej plus umowy powierzenia przetwarzania danych z partnerem fulfillmentowym.
Co przetrwa przegląd UODO (Urząd Ochrony Danych Osobowych): pisemna ocena podstawy prawnej dla danych personalizacyjnych, pisemna umowa powierzenia z partnerem fulfillmentowym (lub umowa controller-to-controller, jeśli partner działa samodzielnie), harmonogram retencji dla danych personalizacyjnych (zwykle 30 dni po evencie dla imion, które nie zaowocowały skargą) i udokumentowany proces usuwania na żądanie. Najczęstszym trybem awarii jest program, który personalizuje kit listą imion pozyskaną z systemu rejestracji na event bez udokumentowanej podstawy prawnej dla wtórnego użycia.
Dyscyplina obronna to traktowanie listy personalizacyjnej jako osobnej operacji przetwarzania od rejestracji eventu, utrzymanie retencji krótkim i posiadanie procesu usuwania na żądanie, który partner fulfillmentowy może wykonać w ciągu 7 dni.
Czysto-audytowy program merchu w siedmiu krokach
Składając to razem, czysto-audytowy program merchu w Polsce przechodzi przez siedem kroków.
1. Zatwierdzona lista dostawców. Odświeżana rocznie, z co najmniej trzema dostawcami polskimi albo unijnymi per kategoria, udokumentowana rejestracją firmy (KRS), rejestracją podatkową (NIP) i aktualnym zaświadczeniem o niezaleganiu z ZUS i KAS.
2. Dyscyplina wewnętrznego progu. Trzy konkurencyjne oferty dla każdego wydatku powyżej wewnętrznego progu firmy (zwykle zł20 tys.–zł50 tys. netto), przechowywane przez siedem lat.
3. Przetarg PZP dla wydatków w zakresie sektora publicznego. Przetarg na ezamowienia.gov.pl dla każdego wydatku powyżej zł130 tys. netto, z właściwymi kodami CPV, właściwą strukturą lotów, ustawowym timeline oceny i pisemnym raportem oceny.
4. Struktura faktury KSeF. Dostawca zarejestrowany w KSeF, prawidłowo zbudowane faktury z VAT 23%, właściwe mapowanie NIP i walidacja przy odbiorze przeciw schemie KSeF.
5. Zaplecze claimów zrównoważonościowych. Jedno-zdaniowe claimy per pozycja, aktualne certyfikaty w pliku (GOTS, FSC, GRS), brak mglistych claimów, udokumentowany plan end-of-life.
6. Dokumentacja RODO/GDPR. Ocena podstawy prawnej dla danych personalizacyjnych, umowa powierzenia z partnerem fulfillmentowym, 30-dniowa retencja, proces usuwania na żądanie.
7. Przegląd roczny. Raz w roku zespół zakupowy przegląda program pod kątem najnowszych wytycznych UZP, KAS, UODO i ESG i odświeża dokumentację, która wymaga odświeżenia.
FAQ
Jaki jest próg PZP dla przetargów na dostawy i usługi w Polsce?
zł130 tys. netto dla dostaw i usług; zł5 382 tys. netto dla robót budowlanych. Powyżej tych progów wydatek musi być przetargowany przez ezamowienia.gov.pl pod nadzorem UZP.
Jak waliduje się strukturę faktury KSeF?
Przy odbiorze, przeciw schemie KSeF publikowanej przez Ministerstwo Finansów. Konto KSeF kupującego mapuje NIP przyjmujący i standardowe 30-dniowe okno wystawienia. Linia VAT to płasko 23% dla typowego merchu; stawki obniżone 8% i 5% dotyczą wąskiego zestawu drukowanych książek, artykułów dziecięcych i podstawowych artykułów spożywczych.
Jakie claimy zrównoważonościowe przetrwają przegląd ESG?
Jedno-zdaniowe claimy per pozycja z aktualnymi certyfikatami w pliku (GOTS dla bawełny organicznej, FSC dla papieru i drewna, GRS dla materiału recyklowanego). Mgliste claimy ("eko", "zielony", "zrównoważony") bez niezależnej weryfikacji są traktowane jako wprowadzające w błąd w ramach dyrektywy EU Empowering Consumers od marca 2026 r.
Jakie dokumenty RODO/GDPR potrzebuje program merchu z personalizacją?
Pisemna ocena podstawy prawnej dla danych personalizacyjnych, umowa powierzenia z partnerem fulfillmentowym, 30-dniowy harmonogram retencji i udokumentowany proces usuwania na żądanie, który partner fulfillmentowy może wykonać w ciągu 7 dni.
Jak często dyrekcja audytu wewnętrznego przegląda program merchu?
Co najmniej raz w roku w naszym doświadczeniu. Przegląd koncentruje się na zakupach z jednego źródła, koncentracji dostawców, aktualności zatwierdzonej listy dostawców i istnieniu konkurencyjnych ofert dla każdego wydatku powyżej wewnętrznego progu firmy (zwykle zł20 tys.–zł50 tys. netto).
Jaki jest okres retencji dla dokumentacji zakupowej?
Standardowa siedmioletnia retencja dotyczy plików zakupowych (dokumenty przetargowe, raporty oceny, umowy, faktury). Certyfikaty zrównoważonościowe powinny być utrzymywane aktualne i archiwizowane w folderze audytu przez te same siedem lat.