Kary za brak audytu KRI 2026 — odpowiedzialność kierownika jednostki

Rozporządzenie KRI (Dz.U. 2024 poz. 773) nakłada obowiązek corocznego audytu na podmioty realizujące zadania publiczne. Wbrew obiegowej opinii, brak audytu KRI nie skutkuje bezpośrednią karą administracyjną — ale konsekwencje prawne, dyscyplinarne i finansowe są realne i mogą dosięgnąć osobiście wójta, burmistrza, prezydenta, starostę czy dyrektora SPZOZ. Poniżej wyjaśniamy, co konkretnie grozi za zaniechanie audytu KRI i jak to ryzyko zminimalizować.

1. Czy istnieją bezpośrednie kary finansowe za brak audytu KRI?

Nie — w samym Rozporządzeniu KRI (Dz.U. 2024 poz. 773) nie znajdziesz katalogu kar pieniężnych. Rozporządzenie wprowadza obowiązek, ale sankcje wynikają z innych ustaw:

• Ustawy o naruszeniu dyscypliny finansów publicznych (Dz.U. 2005 Nr 14 poz. 114 ze zm.)
• Ustawy o pracownikach samorządowych (Dz.U. 2008 Nr 223 poz. 1458 ze zm.)
• Ustawy o ochronie danych osobowych z 2018 r. (Dz.U. 2018 poz. 1000 ze zm.) — kary UODO
• Ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2018 poz. 1560 ze zm.)
• Kodeksu cywilnego — odpowiedzialność za szkody
• Kodeksu karnego — w skrajnych przypadkach (niedopełnienie obowiązków — art. 231 k.k.)

W praktyce łączny katalog konsekwencji jest poważniejszy niż jedna grzywna — może dotyczyć osobiście kierownika jednostki, a nie tylko budżetu urzędu.

2. Naruszenie dyscypliny finansów publicznych

Najpoważniejsze ryzyko dla osoby kierującej jednostką. Komisja Orzekająca ds. naruszenia dyscypliny finansów publicznych może uznać, że brak audytu KRI = niewykonanie obowiązku ustawowego, co stanowi naruszenie dyscypliny w rozumieniu art. 5 ww. ustawy.

Katalog kar (art. 31 ustawy):

• Upomnienie — najlżejsza sankcja, ale wpisana do akt osobowych
• Nagana — drugi stopień, również w aktach
• Kara pieniężna — od 0,25 do 3 miesięcznych wynagrodzeń osoby ukaranej (dla wójta to typowo 3 000 – 50 000 zł)
• Zakaz pełnienia funkcji związanych z dysponowaniem środkami publicznymi — do 5 lat

Zakaz pełnienia funkcji to sankcja najpoważniejsza politycznie — wójt z zakazem 5-letnim faktycznie traci możliwość ubiegania się o reelekcję.

3. Odpowiedzialność dyscyplinarna pracownika samorządowego

Niezależnie od dyscypliny finansów, pracownik samorządowy (sekretarz, kierownik wydziału IT, ASI) może zostać pociągnięty do odpowiedzialności dyscyplinarnej zgodnie z ustawą o pracownikach samorządowych (art. 26-27). Katalog kar:

• Upomnienie
• Nagana
• Nagana z ostrzeżeniem
• Nagana z pozbawieniem możliwości awansowania na wyższe stanowisko przez okres 2 lat
• Zwolnienie z pracy z zachowaniem okresu wypowiedzenia
• Zwolnienie z pracy bez wypowiedzenia (najpoważniejsza)

4. Kary RODO (UODO) — pośrednia konsekwencja

Brak audytu KRI nie jest naruszeniem RODO sam w sobie, ale znacznie ułatwia stwierdzenie naruszenia art. 32 RODO ("odpowiednie środki techniczne i organizacyjne") w razie incydentu. Prezes UODO może nałożyć:

• Do 100 000 zł na podmiot publiczny (art. 102 ustawy o ochronie danych osobowych z 2018 r.)
• Do 10 000 zł na państwową lub samorządową instytucję kultury, publiczną jednostkę służby zdrowia, instytucję sportu (limit niższy)
• Dla podmiotów prywatnych — kara do 20 mln EUR lub 4% obrotu rocznego

W praktyce UODO bardzo rzadko nakłada maksymalne kary na JST — typowo 5 000 – 50 000 zł. Ale każda decyzja UODO jest publikowana, co psuje wizerunek urzędu i czesto kończy się wnioskami opozycji w radzie gminy.

5. Kontrole NIK i Regionalnej Izby Obrachunkowej (RIO)

NIK od 2022 r. systematycznie kontroluje cyberbezpieczeństwo JST. Audyt KRI jest jednym z pierwszych dokumentów, o które kontrolerzy proszą podczas kontroli systemowej. Brak audytu skutkuje:

• Negatywnym wystąpieniem pokontrolnym — publikowanym na stronie NIK i przekazywanym do Sejmu
• Zaleceniami pokontrolnymi z terminem realizacji (zwykle 3-6 miesięcy)
• Możliwym zawiadomieniem prokuratury w razie podejrzenia naruszenia art. 231 k.k. (niedopełnienie obowiązków przez funkcjonariusza publicznego — kara do 3 lat pozbawienia wolności)
• Wnioskiem o ukaranie do Komisji Orzekającej ds. dyscypliny finansów publicznych

RIO kontroluje aspekt finansowy — czy środki na audyt KRI były zaplanowane w budżecie, czy wydatkowane zgodnie z umową, czy nie zaistniało niegospodarne wydatkowanie. Wystąpienie RIO również ma charakter publiczny.

6. Odpowiedzialność cywilna w razie incydentu cyberbezpieczeństwa

To rosnące, choć wciąż mało eksploatowane ryzyko. Jeśli urząd doświadczy incydentu (ransomware, wyciek danych, niedostępność e-usług), a poszkodowani mieszkańcy lub przedsiębiorcy poniosą szkodę — jednostka może zostać pozwana cywilnie. W takim postępowaniu kluczowe jest pytanie: "czy jednostka dochowała należytej staranności?".

Brak corocznego audytu KRI jest silnym argumentem przeciwko jednostce — sąd może uznać, że zaniechano standardowych, ustawowo wymaganych środków zapewniających bezpieczeństwo. To otwiera drogę do:

• Odpowiedzialności jednostki za szkodę wobec poszkodowanego (art. 415 k.c.)
• Roszczeń regresowych jednostki wobec kierownika / odpowiedzialnego pracownika
• Odszkodowań grupowych (np. po wycieku danych mieszkańców)

Pierwsze pozwy zbiorowe po wyciekach z polskich JST już są w sądach — np. po incydencie z 2023 r. w jednej z gmin pomorskich.

7. Co konkretnie grozi wójtowi, burmistrzowi, prezydentowi?

Konkretny scenariusz dla osoby na stanowisku kierowniczym (oparty na realnych przypadkach 2022-2025):

1. Etap 1: Kontrola NIK lub RIO. Standardowa kontrola wykrywa brak audytu KRI w roku poprzednim.
2. Etap 2: Wystąpienie pokontrolne publikowane na BIP NIK. Sprawa staje się publiczna, opozycja w radzie wykorzystuje politycznie.
3. Etap 3: Wniosek o ukaranie do Komisji Orzekającej ds. dyscypliny finansów publicznych.
4. Etap 4: Postępowanie dyscyplinarne — wójt staje przed Komisją, może zostać ukarany finansowo (np. 1-3 wynagrodzenia) i otrzymać zakaz pełnienia funkcji do 5 lat.
5. Etap 5: Jeśli zdarzy się incydent — pozwy mieszkańców, postępowanie UODO, ewentualne zawiadomienie prokuratury (art. 231 k.k.).

Łączne ryzyko finansowe i polityczne znacznie przewyższa koszt corocznego audytu KRI, który wynosi od 4 000 zł netto dla małej gminy (zobacz pełen cennik audytu KRI).

8. Jak uniknąć kar — checklist dla kierownika

Jeśli któregokolwiek z tych dokumentów brakuje — masz konkretne ryzyko sankcji. Realnie do nadrobienia w 4-6 tygodni przy wsparciu zewnętrznego audytora.

FAQ — kary i odpowiedzialność za KRI

Powiązane artykuły

• Cena audytu KRI 2026 — widełki dla różnych JST
• KRI a RODO — różnice i podobieństwa
• Jak przygotować się do audytu KRI
• Rozporządzenie KRI 2024 — najważniejsze zmiany
• Jak przebiega audyt KRI

Ten artykuł ma charakter informacyjny i nie stanowi porady prawnej. Szczegóły odpowiedzialności w konkretnej sprawie warto omówić z radcą prawnym lub adwokatem specjalizującym się w prawie administracyjnym.