EUDR a due diligence prawna: checklista krok po kroku dla firm

a due diligence prawna: co musi wiedzieć dział prawny firmy

a due diligence prawna: dla działu prawnego firmy przygotowanie się na wymogi Rozporządzenia o produktach wolnych od wylesiania () to nie tylko zadanie compliance i zakupów — to strategiczny obowiązek prawny. Dział prawny musi rozumieć zakres regulacji: jakie towary i produkty pochodne są objęte przepisami, jakie informacje o geolokalizacji i łańcuchu dostaw trzeba gromadzić oraz jaki standard dowodowy będzie wymagany przy ewentualnej kontroli. Już na etapie mapowania warto określić kompetencje wewnętrzne i punkty odpowiedzialności, aby dokumentacja i procesy miały jasną podstawę prawną i były odporne na ewentualne spory administracyjne lub karne.

Dział prawny powinien skupić się na kilku filarach działalności: ocenie ryzyka prawnego i opracowaniu kryteriów tolerancji ryzyka, przygotowaniu i aktualizacji wzorców umów z dostawcami, oraz wdrożeniu mechanizmów audytu i zbierania dowodów. Praktyczne działania obejmują: wprowadzenie klauzul o reprezentacji i zapewnieniach dotyczących pochodzenia produktów, sankcji za nieprawidłowości, a także uprawnień do audytu u poddostawców. Równocześnie prawnik musi zadbać o zgodność z innymi obowiązującymi przepisami (np. Ochrona Danych Osobowych przy przetwarzaniu geolokalizacji, prawo karne gospodarcze, zamówienia publiczne) — to pozwoli ograniczyć ryzyko kumulacji sankcji.

Dowody i standardy due diligence będą kluczowe w kontaktach z władzami nadzorczymi: oczekuje się spójnej dokumentacji śledzącej trasę produktu od miejsca produkcji po importera, w tym danych geolokalizacyjnych i dokumentów potwierdzających brak wylesiania. Dział prawny powinien współpracować z IT i zespołem zakupów przy wdrożeniu systemów do gromadzenia i weryfikacji tych danych oraz przygotować procedury przechowywania i udostępniania dokumentów na potrzeby kontroli. W praktyce warto opracować gotowe szablony żądań dokumentów, protokołów audytowych i oświadczeń, co skróci czas reakcji i podniesie jakość dowodów.

Na poziomie procesowym niezbędne jest ustanowienie mechanizmów reagowania na niezgodności: procedury eskalacji, korekty umów, wezwania do usunięcia naruszeń i ewentualne rozwiązania kontraktów. Dział prawny musi także przygotować scenariusze obrony i komunikacji w razie kontroli administracyjnej lub postępowania egzekucyjnego — w tym analizę potencjalnej odpowiedzialności cywilnej, karnej oraz ryzyka reputacyjnego. Proaktywne działania — szkolenia, audyty prewencyjne i współpraca z zewnętrznymi ekspertami ds. łańcucha dostaw — znacząco zwiększają szanse na szybkie i zgodne z prawem dostosowanie do wymogów .

Kluczowe obowiązki działu prawnego:

zidentyfikowanie i interpretacja zakresu produktów objętych ;

aktualizacja umów i opracowanie klauzul due diligence;

współpraca z działami operacyjnymi przy zbieraniu dowodów i wdrożeniu systemów IT;

przygotowanie procedur audytu, eskalacji i reakcji na niezgodności;

monitoring zmian legislacyjnych i prowadzenie szkoleń prawnych dla kluczowych zespołów.

Krok 1 — mapowanie łańcucha dostaw i identyfikacja produktów objętych

Krok 1 — mapowanie łańcucha dostaw i identyfikacja produktów objętych to fundament całego procesu due diligence prawnego. Zanim dział prawny zacznie oceniać ryzyko czy aktualizować umowy, musi wiedzieć dokładnie, które towary i komponenty trafiają na rynek UE i czy mieszczą się w zakresie rozporządzenia. obejmuje m.in. cattle, cocoa, coffee, oil palm, rubber, soy, wood oraz produkty pochodne — dlatego pierwszym zadaniem jest zmapowanie asortymentu na poziomie SKU/produktów gotowych, komponentów i surowców.

Praktyczne mapowanie zaczyna się od zebrania i ustrukturyzowania danych: faktury, zamówienia, kody HS, listy dostawców, świadectwa przewozu i dokumenty celne. Należy prześledzić proces produkcyjny od surowca do finalnego produktu, wskazując punkty, w których surowce objęte są dodawane lub przetwarzane. Ważne jest także rozróżnienie między dostawcami bezpośrednimi a pośrednimi — często to właśnie poddostawcy w łańcuchu wywołują największe ryzyko nierespektowania wymogów dotyczących pochodzenia i braku wylesiania.

Do mapowania warto wykorzystać narzędzia cyfrowe: bazy danych dostawców, systemy ERP, GIS i rozwiązania do śledzenia łańcucha dostaw (traceability), a także dane satelitarne i certyfikaty (FSC, RSPO itp.) jako elementy dowodowe. Należy jednak pamiętać, że certyfikat sam w sobie nie zwalnia z obowiązku weryfikacji — wymaga wskazania położenia geograficznego działek, kraju pochodzenia i dowodów, że dany obszar nie był przedmiotem wycinki po określonej dacie. Dlatego już na etapie mapowania ustal priorytety: które surowce i regiony są najwyżej ryzykowne i trzeba zebrać pełniejsze dane.

Na koniec proponuję krótką checklistę, która ułatwi wstępne mapowanie łańcucha dostaw:

Zidentyfikuj wszystkie produkty i komponenty zawierające surowce objęte (SKU-level mapping).

Zgromadź dokumentację transakcyjną i logistyczną (faktury, BL, kody HS).

Oznacz dostawców bezpośrednich i pośrednich oraz przypisz odpowiedzialność za pozyskanie dowodów.

Weryfikuj źródła pochodzenia: kraj, region, geolokalizacja działki.

Zastosuj narzędzia traceability i skategoryzuj priorytety do dalszej oceny ryzyka.

Mapowanie to etap techniczny i organizacyjny, który przygotowuje grunt pod Krok 2 — ocenę i klasyfikację ryzyka prawnego, dlatego warto poświęcić mu odpowiednie zasoby i współpracę między działami prawnym, zakupów, IT i zrównoważonego rozwoju.

Krok 2 — ocena i klasyfikacja ryzyka prawnego: kryteria i źródła dowodów

Krok 2 — ocena i klasyfikacja ryzyka prawnego to moment, w którym dział prawny przekuwa mapowanie łańcucha dostaw w konkretne decyzje compliance. Celem jest nie tylko identyfikacja potencjalnych naruszeń , lecz także przypisanie im stopnia ryzyka, który będzie determinował zakres weryfikacji, środków zaradczych i zapisów kontraktowych. Przygotowując ocenę, pamiętaj o dwutorowym podejściu: analiza czynników prawnych (np. tytuły własności, pozwolenia, obowiązki formalne) oraz ocena prawdopodobieństwa i skutków naruszenia (np. ryzyko sankcji, przerwania dostaw, reputacji).

Praktyczne kryteria, które warto uwzględnić w modelu oceny ryzyka, to między innymi:

pochodzenie geograficzne — kraje i regiony o wysokiej deforestacji lub słabej egzekwowalności prawa;

rodzaj surowca/produktu — niektóre towary (np. drewno, soja, olej palmowy) mają wyższe prawdopodobieństwo ryzyka;

status gruntów i prawa własności — brak jasnych tytułów, spory o ziemię lub koncesje;

transparentność dostawcy — historia zgodności, struktura właścicielska, powiązania z podmiotami wysokiego ryzyka;

stopień pośrednictwa w łańcuchu dostaw — większa liczba pośredników zwiększa niepewność dowodów;

istnienie pozwoleń i dokumentów — licencje, zezwolenia na wyrąb, certyfikaty leśne czy rolne.

Ocena opiera się na różnych źródłach dowodów — uporządkuj je wg ważności. Na szczycie hierarchii powinny znaleźć się źródła pierwotne: dokumenty urzędowe (rejestry gruntów, koncesje, faktury z numerami partii), dane GPS i śledzenie partii, oficjalne deklaracje eksportowe/importowe. Na drugim poziomie umieść dowody wtórne: raporty audytów zewnętrznych, certyfikaty (FSC, RSPO itp.), protokoły audytów społecznych. Na trzecim — sygnały ostrzegawcze: raporty NGO, media, analizy satelitarne i zdjęcia, doniesienia w mediach społecznościowych. Ważne jest także ocenianie wiarygodności źródła i datowania dowodu.

System klasyfikacji ryzyka powinien być prosty i operacyjny — np. schemat trzystopniowy: niski / średni / wysoki. Każdemu kryterium przypisz wagę i punkty, a następnie agreguj wynik. Przykładowo: pochodzenie z regionu wysokiego ryzyka = +3, brak pozwolenia = +4, brak możliwości weryfikacji GPS = +2; suma >6 => ryzyko wysokie. Dla każdego poziomu zdefiniuj standardowe działania: dla niskiego — dokumentacja i okresowy monitoring; dla średniego — dodatkowa weryfikacja dostawcy i wymaganie certyfikatów; dla wysokiego — wstrzymanie zakupu lub wdrożenie planu naprawczego i klauzul umownych z karami.

Na koniec kilka praktycznych wskazówek prawnych: dokumentuj wszystkie źródła i kryteria oceny tak, aby w razie kontroli móc wykazać proces due diligence; integruj ocenę ryzyka z umowami (klauzule o audycie, prawo do weryfikacji, mechanizmy rozliczeń); i włącz interdyscyplinarny zespół — prawników, zakupowców, specjalistów ds. zrównoważonego rozwoju oraz analityków danych. Regularna reewaluacja ryzyka oraz archiwizacja dowodów zwiększają odporność firmy na wyzwania związane z i obniżają prawdopodobieństwo sankcji i strat reputacyjnych.

Krok 3 — weryfikacja dostawców i dokumentacja zgodności: checklista i wzory dokumentów

Krok 3 — weryfikacja dostawców i dokumentacja zgodności to moment, w którym teoria due diligence musi stać się procedurą operacyjną. Dział prawny odpowiada tu za stworzenie powtarzalnego procesu potwierdzania, że dostawcy faktycznie spełniają wymogi : legalność pochodzenia surowca, brak konwersji gruntów po określonej dacie oraz rzetelne dowody geolokalizacyjne. Kluczowe jest, by wszystkie działania weryfikacyjne były udokumentowane i łatwe do odtworzenia podczas kontroli — zarówno wewnętrznych, jak i zewnętrznych.

Praktyczna checklista dokumentów i dowodów, które powinny znaleźć się w aktach współpracy z każdym dostawcą, obejmuje między innymi: oświadczenia o legalnym pochodzeniu, geolokalizację działek/parceli, dokumenty transportowe i celne, certyfikaty (jeżeli występują), wyniki wcześniejszych audytów oraz plan działań naprawczych. Ważne jest także zidentyfikowanie źródeł informacji: umowy, faktury, zdjęcia satelitarne, raporty niezależnych weryfikatorów oraz protokoły z wizyt terenowych. Wszystkie dokumenty warto przechowywać w formie elektronicznej z wersjonowaniem i datowaniem — wymaga często archiwizacji danych przez określony okres (np. 5 lat), dlatego polityka przechowywania dowodów powinna być jasno określona.

Metody weryfikacji powinny łączyć kilka poziomów zaufania: 1) weryfikacja dokumentarna (automatyczne sprawdzenie kompletności i wiarygodności dokumentów), 2) wywiad z dostawcą i potwierdzenie procesów wewnętrznych, 3) audyt zewnętrzny lub audyt terenowy oraz 4) weryfikacja z użyciem narzędzi satelitarnych i systemów traceability. Dla każdego dostawcy warto przypisać profil ryzyka i adekwatny poziom weryfikacji — dostawcy z wysokiego ryzyka wymagają częstszych audytów i bardziej szczegółowej dokumentacji.

Przykładowe wzory dokumentów, które powinny znaleźć się w szablonach działu prawnego i zakupów: ankieta dla dostawcy (supplier questionnaire), oświadczenie o legalności i braku konwersji gruntów, załącznik do umowy z klauzulą odpowiadalności i mechanizmem korekty (corrective action plan), protokół audytu oraz formularz akceptacji dowodów geolokalizacyjnych. Dobrą praktyką jest włączenie do umów klauzul gwarancyjnych i sankcyjnych (np. obowiązek naprawy, prawo do audytu, rozwiązanie umowy przy naruszeniu), a także wymóg udostępnienia dokumentów w formacie dogodnym dla systemu ewidencji firmy.

Wdrożenie i utrzymanie — dokumentacja to nie jednorazowy wysiłek. Należy zdefiniować proces aktualizacji dokumentów (kto, kiedy, jakie wersje), procedurę reakcji na niezgodności oraz sposób raportowania do zarządu. Automatyzacja (systemy do zarządzania dostawcami i traceability) ułatwia monitorowanie terminów, wygenerowanie list kontrolnych i przechowywanie dowodów. Dział prawny powinien współpracować z zakupami, compliance i IT, by checklisty i wzory dokumentów były nie tylko poprawne prawnie, ale też praktyczne w codziennym użyciu.

Krok 4 — aktualizacja umów, klauzul bezpieczeństwa i mechanizmów odpowiedzialności

Krok 4 — aktualizacja umów, klauzul bezpieczeństwa i mechanizmów odpowiedzialności to moment, w którym polityki compliance trzeba przełożyć na twarde postanowienia kontraktowe. Dział prawny powinien skoncentrować się na doprecyzowaniu obowiązków dostawcy względem i due diligence: jednoznacznych oświadczeń i gwarancji dotyczących pochodzenia surowców, obowiązku przekazywania dowodów (np. współrzędne GPS, certyfikaty, wyniki audytów) oraz terminów na dostarczenie brakujących dokumentów. Ważne jest też wskazanie, jakie rodzaje dowodów są akceptowalne, aby uniknąć sporów interpretacyjnych w przyszłości.

W praktyce umowy powinny zawierać zestaw klauzul minimalnych, które zabezpieczą firmę przed ryzykiem prawnym i operacyjnym. Do rozważenia należą m.in.: klauzula powiązania z polityką (flow-down), prawo do audytu i inspekcji, obowiązek natychmiastowego powiadomienia o niezgodnościach, mechanizmy korekcyjne (CAP — corrective action plan) oraz uprawnienia do zawieszenia lub rozwiązania kontraktu w przypadku poważnych naruszeń. Warto też określić sankcje finansowe i reguły alokacji kosztów związanych z wycofaniem produktu czy przywróceniem zgodności.

Klauzule odpowiedzialności i indemnizacji muszą być przemyślane pod kątem alokacji ryzyka: kto pokrywa koszty audytów zewnętrznych, kto odpowiada za szkodę reputacyjną czy kary administracyjne wynikające z niezgodności z . Standardowe ograniczenia odpowiedzialności mogą wymagać modyfikacji — np. wyłączenie limitów odpowiedzialności dla szkód wynikających z niezgodności z przepisami lub obowiązek posiadania odpowiedniego ubezpieczenia środowiskowego/odpowiedzialności produktowej.

Aby umowy działały w praktyce, niezbędne jest dopracowanie mechanizmów kontroli i komunikacji: obowiązek comiesięcznego/kwartalnego raportowania, formaty i terminy przekazywania dokumentów, klauzule dotyczące zachowania i przetwarzania danych (w tym elementy związane z ochroną danych osobowych, jeśli dotyczy) oraz postanowienia dotyczące przekazywania obowiązków podwykonawcom. Konieczny jest też zapis o obowiązku „flow-down” — czyli nakazanie dostawcom przeniesienia analogicznych zobowiązań na ich poddostawców.

Przy wdrażaniu nowego wzorca umownego warto współpracować z działami zakupów i operacji, wprowadzić szablony kontraktów oraz procedury aktualizacji klauzul w zależności od poziomu ryzyka. Regularne przeglądy umów i testy klauzul w realnych scenariuszach (tzw. stress testing) pomogą upewnić się, że mechanizmy odpowiedzialności są wykonalne i skuteczne w egzekwowaniu zgodności z .

Krok 5 — monitoring, audyty, raportowanie i reakcja na niezgodności

zmienia paradygmat odpowiedzialności w całym łańcuchu dostaw — dlatego kluczowe staje się wdrożenie stałego systemu monitoringu. Dział prawny nie może ograniczyć się do jednorazowej weryfikacji dostawców: obowiązkowe jest śledzenie zgodności każdej dostawy, aktualizacja oceny ryzyka oraz natychmiastowa identyfikacja odstępstw. Skuteczny monitoring to kombinacja procesów operacyjnych i narzędzi technologicznych, które umożliwiają bieżące potwierdzanie pochodzenia i stanu prawnego surowców objętych regulacją.

W praktyce warto łączyć różne źródła danych — geolokalizację działek, obrazy satelitarne, rejestry publiczne oraz informacje od dostawców — z systemami klasy ERP/CRM i platformami do zarządzania zgodnością. Automatyzacja alarmów (np. wykrycie zmiany użytkowania terenu) oraz wskaźniki KPI (np. odsetek dostaw z pełną dokumentacją) pozwalają prawnikom i compliance managerom szybko wyłapać sytuacje podwyższonego ryzyka. Integracja z systemami workflow ułatwia eskalację spraw do odpowiednich zespołów i dokumentowanie podjętych działań.

Audyty — zarówno zaplanowane, jak i ad hoc — są elementem weryfikującym rzetelność deklaracji dostawców. Dział prawny powinien określić częstotliwość audytów w oparciu o klasę ryzyka, stosować próbki reprezentatywne oraz korzystać z niezależnych audytorów tam, gdzie wymagana jest obiektywność. Przygotowanie audytów obejmuje jasne kryteria oceny, checklisty dowodów (m.in. faktury, zaświadczenia geolokalizacji, dokumenty celem potwierdzenia legalności pozyskania) oraz procedury postępowania na wypadek wykrycia niezgodności.

Raportowanie w ramach due diligence prawnej powinno być dwuetapowe: wewnętrzne — dla zarządu i właścicieli procesów, oraz zewnętrzne — w formie wymaganej przez i organy nadzorcze. Każda decyzja musi być udokumentowana w formie due diligence statement lub analogicznego raportu oraz przechowywana przez okres wskazany w przepisach. Transparentne, łatwo dostępne archiwa dowodów zwiększają odporność firmy na inspekcje i ułatwiają obronę w razie postępowania kontrolnego.

Reakcja na niezgodności powinna być szybka i skategoryzowana: od natychmiastowego zawieszenia współpracy z dostawcą, przez wdrożenie planu naprawczego, aż po aktywne działania naprawcze (remediacja, rekompensata, zmiana łańcucha dostaw). Kluczowe jest wprowadzenie mechanizmów kontraktowych (klauzule gwarancyjne, kary umowne, prawo do audytu) oraz procedur eskalacji i komunikacji z organami. Dział prawny pełni rolę koordynatora — nie tylko egzekwuje zgodność, lecz także buduje procesy uczące organizację, by minimalizować ryzyka i koszty przyszłych naruszeń.