Как пройти аудит закупок
Польский операционный гайд о том, как пройти аудит закупок корпоративной мерч-программы — на что смотрят UZP, KAS, NIK и дирекция внутреннего аудита, как выстраивать KSeF-фактуры для чистого возмещения VAT 23%, как вести due diligence поставщиков в режиме PZP и как удерживать sustainability-claimы и RODO/GDPR защитимыми.
Как на самом деле выглядит аудит закупок мерч-программы в Польше
Аудит закупок корпоративной мерч-программы в Польше — это не одно событие. Это набор из четырёх перекрывающихся ревью, которые срабатывают в разные моменты и читают тот же набор документов через разные линзы. По нашему опыту крупнейшие программы в Варшаве, Кракове, Вроцлаве и Гданьске — в PKO BP, Pekao, ING Hubs Poland, mBank, ORLEN, PZU, CD Projekt, Asseco и Comarch — проверяются как минимум раз в год через этот стек, и проверка почти всегда ловит что-то, что команда закупок внутри не отфлагала.
Четыре ревью: ревью дирекции внутреннего аудита (обычно ежегодное, проводимое собственной командой внутреннего аудита компании), ревью по закону о госзакупках (только если организация входит в сферу PZP, но эти ревью острые, когда случаются), налоговое ревью (проводимое KAS в компании или внешним налоговым консультантом компании ежеквартально) и ревью устойчивости / ESG (проводимое собственной ESG-функцией компании или внешним верификатором). Этот текст проходит каждое из них и объясняет, что каждое переживает.
Ревью дирекции внутреннего аудита
Dyrekcja Audytu Wewnętrznego проверяет закупки мерча в рамках собственной закупочной политики компании. Ревью фокусируется на четырёх вещах: закупки из одного источника, концентрация поставщиков, наличие утверждённого списка поставщиков и наличие конкурентных тендеров для любого расхода выше внутреннего порога компании (обычно zł20 тыс.–zł50 тыс. нетто, в зависимости от политики).
Что переживает это ревью, прямолинейно: утверждённый список поставщиков, поддерживаемый командой закупок, как минимум три конкурентные оферты для любого расхода выше внутреннего порога компании (хранятся в течение стандартных семи лет ретенции), письменное statement of work для каждого заказа и подписанное подтверждение получения на принимающем складе. Мерч-программа, которая проваливает это ревью, — та, где команда закупок два года заказывает у одного поставщика без тендера, где список поставщиков устарел на два года, и где подтверждения получения отсутствуют для последнего тиража.
Оборонительная дисциплина — ежегодно обновлять утверждённый список поставщиков, проводить мини-тендер для любого расхода выше zł50 тыс. нетто и подавать пакет из трёх оферт в архив закупок до утверждения фактуры к оплате. KSeF не заменяет эту файловую дисциплину — KSeF обслуживает фактурную сторону цепочки, дирекция внутреннего аудита обслуживает сторону закупочной политики.
Ревью PZP / UZP — когда применяется закон о госзакупках
Если покупатель попадает в сферу польского Prawa Zamówień Publicznych (PZP) — а это включает государственные предприятия, публичные компании с госучастием и любую организацию, получающую публичное финансирование выше определённого порога — закупки мерча выше zł130 тыс. нетто (товары и услуги) или zł5 382 тыс. нетто (работы) должны тендериться через ezamowienia.gov.pl под надзором Prezesa Urzędu Zamówień Publicznych (UZP).
Ревью фокусируется на корректности тендера: структура лотов, код CPV (39294100-0 для информационно-промо продуктов, 18143000-9 для hi-vis, 18110000-3 для спецодежды), критерии присуждения (только-цена против цена-плюс-качество), таймлайн оценки и документация выбора. Самые частые режимы отказа: лотирование китa как одного большого лота, тогда как разбиение по семействам товаров привлекло бы больше оферентов; использование нестандартного кода CPV, исключающего правильных оферентов; ведение таймлайна оценки короче установленного минимума; документирование выбора критерием только-цена, когда критерий качества был бы защитимым.
Что переживает ревью PZP, прямолинейно: тендер, опубликованный на ezamowienia.gov.pl с правильными кодами CPV, правильной структурой лотов, установленным таймлайном оценки (обычно 30 дней для нескладных тендеров на поставки) и письменным отчётом оценки, подписанным оценочной комиссией. UZP может провести контрольное ревью в любой точке в течение 18 месяцев после присуждения контракта, и стандартный исход — административный (корректирующий), а не уголовный, но корректирующие исходы публичны.
Налоговое ревью KAS — KSeF, VAT 23% и книги поставщика
Налоговое ревью Krajowej Administracji Skarbowej (KAS) — то, которое ловит большинство мерч-программ, и причина — структура KSeF-фактуры. С 1 февраля 2026 г. каждая B2B-фактура должна выставляться через Krajowy System e-Faktur, национальную систему электронного фактурирования, оперируемую KAS. Фактура должна нести правильную структуру, правильный NIP покупателя и продавца и правильную строку VAT. Стандартная фактура на мерч — плоско 23% VAT — пониженная ставка 8% применяется к узкому набору печатных книг и детских товаров, ставка 5% к базовым продуктам питания, ни одна не применяется к типичному корпоративному мерчу.
Что переживает ревью KAS: корректно структурированная KSeF-фактура с NIP покупателя, NIP продавца, строкой 23% VAT на позицию и датой выставления внутри стандартного 30-дневного окна для транзакции. Самые частые режимы отказа: поставщик выставляет фактуру под неверным NIP (обычно NIP группы компаний вместо NIP контрактующей организации), фактура выставлена вне 30-дневного окна, строка VAT показана как смесь 23% и неприменимой пониженной ставки, фактура выставлена в старом бумажном режиме вместо KSeF.
Оборонительная дисциплина — подтвердить регистрацию поставщика в KSeF до первого заказа, смаппить NIP, принимающий фактуру, в KSeF-аккаунте покупателя и валидировать фактуру при получении против стандартной KSeF-схемы. KAS-администрация может запросить файл фактур в любой точке в течение стандартного пятилетнего ретенционного периода, а фактура не-KSeF считается несуществующей для целей возмещения VAT.
Ревью устойчивости / ESG
Ревью устойчивости / ESG на мерч-программе — самое новое и самое быстро эволюционирующее. Ревью покрывает три вещи: легитимность любого sustainability-заявления на ките (содержание переработки, органический хлопок, хлопок с сертификацией GOTS, бумага с сертификацией FSC, переработанный PET пост-потребительский, материал с сертификацией GRS), due diligence цепочки поставок за заявлением и план end-of-life для китa (переработка, пожертвование, take-back).
Что переживает это ревью: письменный sustainability-claim на позицию со стандартной поддержкой (номер сертификата GOTS, номер цепочки ответственности FSC, транзакционный сертификат GRS, содержание переработки, верифицированное независимой лабораторией), собственная сертификация устойчивости поставщика, где применимо (ISO 14001, B-Corp, SA 8000), и задокументированный план end-of-life. Самый частый режим отказа — кит, который говорит «переработанный» без транзакционного сертификата GRS, кит, который говорит «органический» без сертификата GOTS, и кит, который говорит «carbon-neutral» без верифицированного расчёта scope-1/2/3.
Оборонительная дисциплина — держать sustainability-claim коротким (одно предложение на позицию), иметь сертификационный документ в файле и отказывать в печати заявлений, которые поставщик не может подкрепить действующим сертификатом. Директива EU Empowering Consumers for the Green Transition (действующая в Польше с марта 2026 г.) закручивает гайки ещё сильнее — расплывчатые экологические заявления без независимой верификации теперь рассматриваются как вводящие в заблуждение коммерческие практики и могут повлечь за собой enforcement UOKiK.
RODO/GDPR и данные на ките
RODO (польская реализация GDPR) кусает мерч-программу в двух конкретных точках: персонализированное имя на переплетённом блокноте или гравированной ручке и список пост-event дистрибуции для курируемого drop'а. Первая — операция обработки персональных данных, требующая задокументированного правового основания (обычно законный интерес для участника мероприятия, согласие для получателя-не-сотрудника); вторая — операция обработки персональных данных, требующая того же правового основания плюс соглашение об обработке данных с партнёром фулфилмента.
Что переживает ревью UODO (Urząd Ochrony Danych Osobowych): письменная оценка правового основания для персонализационных данных, письменное соглашение об обработке данных с партнёром фулфилмента (или соглашение controller-to-controller, если партнёр действует самостоятельно), ретенционный график для персонализационных данных (обычно 30 дней после мероприятия для имён, не приведших к жалобе) и задокументированный процесс удаления по запросу. Самый частый режим отказа — программа, которая персонализирует кит списком имён, полученным из системы регистрации мероприятия, без задокументированного правового основания для вторичного использования.
Оборонительная дисциплина — обращаться со списком персонализации как с отдельной операцией обработки от регистрации мероприятия, держать ретенцию короткой и иметь процесс удаления по запросу, который партнёр фулфилмента может выполнить за 7 дней.
Чисто-аудируемая мерч-программа в семи шагах
Собирая вместе, чисто-аудируемая мерч-программа в Польше проходит через семь шагов.
1. Утверждённый список поставщиков. Обновляется ежегодно, как минимум три польских или евросоюзных поставщика на категорию, задокументированных регистрацией компании (KRS), налоговой регистрацией (NIP) и текущей справкой об отсутствии задолженности в ZUS и KAS.
2. Дисциплина внутреннего порога. Три конкурентные оферты для любого расхода выше внутреннего порога компании (обычно zł20 тыс.–zł50 тыс. нетто), хранятся семь лет.
3. PZP-тендер для расходов в сфере госсектора. Тендер на ezamowienia.gov.pl для любого расхода выше zł130 тыс. нетто, с правильными кодами CPV, правильной структурой лотов, установленным таймлайном оценки и письменным отчётом оценки.
4. Структура KSeF-фактуры. Поставщик, зарегистрированный в KSeF, корректно структурированные фактуры с VAT 23%, правильный NIP-привязка и валидация при получении против KSeF-схемы.
5. Поддержка sustainability-claimов. Одно-предложенческие claimы на позицию, действующие сертификаты в файле (GOTS, FSC, GRS), никаких расплывчатых claimов, задокументированный план end-of-life.
6. RODO/GDPR-документация. Оценка правового основания для персонализационных данных, соглашение об обработке с партнёром фулфилмента, 30-дневная ретенция, процесс удаления по запросу.
7. Ежегодное ревью. Раз в год команда закупок пересматривает программу против последних рекомендаций UZP, KAS, UODO и ESG и обновляет документацию, требующую обновления.
FAQ
Каков порог PZP для тендеров на товары и услуги в Польше?
zł130 тыс. нетто для товаров и услуг; zł5 382 тыс. нетто для строительных работ. Выше этих порогов расход должен тендериться через ezamowienia.gov.pl под надзором UZP.
Как валидируется структура KSeF-фактуры?
При получении, против KSeF-схемы, публикуемой Министерством Финансов. KSeF-аккаунт покупателя мапит принимающий NIP и стандартное 30-дневное окно выставления. Строка VAT — плоско 23% для типичного мерча; пониженные ставки 8% и 5% применяются к узкому набору печатных книг, детских товаров и базовых продуктов питания.
Какие sustainability-claimы переживают ESG-ревью?
Одно-предложенческие claimы на позицию с действующими сертификатами в файле (GOTS для органического хлопка, FSC для бумаги и дерева, GRS для переработанного материала). Расплывчатые claimы («эко», «зелёный», «устойчивый») без независимой верификации рассматриваются как вводящие в заблуждение по директиве EU Empowering Consumers с марта 2026 г.
Какие RODO/GDPR-документы нужны программе мерча с персонализацией?
Письменная оценка правового основания для персонализационных данных, соглашение об обработке с партнёром фулфилмента, 30-дневный ретенционный график и задокументированный процесс удаления по запросу, который партнёр фулфилмента может выполнить за 7 дней.
Как часто дирекция внутреннего аудита пересматривает мерч-программу?
Как минимум раз в год по нашему опыту. Ревью фокусируется на закупках из одного источника, концентрации поставщиков, свежести утверждённого списка поставщиков и наличии конкурентных оферт для любого расхода выше внутреннего порога компании (обычно zł20 тыс.–zł50 тыс. нетто).
Каков ретенционный период для закупочной документации?
Стандартная семилетняя ретенция применяется к закупочным файлам (тендерные документы, отчёты оценки, контракты, фактуры). Сертификаты устойчивости должны поддерживаться действующими и архивироваться в папке аудита на те же семь лет.