CRU JSFP w dużej organizacji – czy można iść na żywioł?

CRU JSFP jest obowiązkiem ustawowym, a nie dodatkową ewidencją

Art. 34a ust. 1 ustawy o finansach publicznych stanowi, że to kierownik jednostki sektora finansów publicznych udostępnia i aktualizuje w CRU JSFP informacje o umowie zawartej przez jednostkę albo na jej rzecz, jeżeli umowa stanowi zamówienie w rozumieniu art. 7 pkt 32 Prawa zamówień publicznych i została zawarta w formie pisemnej, dokumentowej, elektronicznej albo innej formie szczególnej.

Ustawa nie wprowadza minimalnego progu wartościowego. Obowiązek dotyczy umów zawieranych od 1 lipca 2026 r., w tym szkoleń, licencji, subskrypcji, serwisu, publikacji, drobnych dostaw, noclegów, zakupów internetowych i zamówień składanych e-mailem.

Największym problemem jest wiedza rozproszona

Komórka zamówień publicznych może nie wiedzieć o zakupach poza procedurami PZP. Księgowość otrzymuje fakturę, ale nie zawsze zna datę zawarcia, okres obowiązywania, opcje, wznowienia lub pełny przedmiot zamówienia. Kancelaria może zarejestrować podpisaną umowę, ale nie zamówienie zawarte przez akceptację oferty e-mailem.

Informacja pojawia się najpierw tam, gdzie realizowane jest zamówienie. Dlatego problemu nie rozwiązuje samo wyznaczenie „osoby od rejestru”. Publikujący może prawidłowo obsłużyć każdy przekazany przypadek, a mimo to nie dowiedzieć się o części umów.

Organizacji procesu nie można sprowadzić do nadania dostępu do konta

Kierownik nie musi osobiście wprowadzać każdej informacji i może rozdzielić role administratora, wprowadzającego oraz publikującego. Samo nadanie uprawnień nie zmienia jednak podmiotu obowiązku wskazanego w art. 34a.

Kierownik powinien zapewnić identyfikowanie umów, przepływ informacji, zebranie danych, kwalifikację, stosowanie wyłączeń i ograniczeń jawności, terminową publikację, aktualizacje oraz kontrolę zaległości i błędów. Odpowiedzialność pracowników może wynikać z zakresów obowiązków i upoważnień, lecz powierzenie czynności nie zwalnia kierownika z zapewnienia działania całego procesu.

Czy ustawa nakazuje przyjęcie osobnej procedury CRU JSFP?

Nie. Ustawa ani rozporządzenie nie wymagają dokumentu zatytułowanego „Procedura obsługi CRU JSFP”. Art. 68 ustawy definiuje jednak kontrolę zarządczą jako działania zapewniające realizację zadań zgodnie z prawem, efektywnie, oszczędnie i terminowo, a art. 69 ust. 1 pkt 3 nakłada na kierownika obowiązek zapewnienia jej adekwatnego, skutecznego i efektywnego funkcjonowania.

W dużej organizacji brak formalnego podziału ról, terminów, źródeł danych i zasad kontroli może oznaczać niedostosowanie mechanizmów do skali ryzyka. Pisemna procedura jest narzędziem pozwalającym wykazać, że proces zaprojektowano świadomie.

CRU JSFP w kontroli zarządczej i zarządzaniu ryzykiem

Jednostka powinna uwzględnić ryzyka niezidentyfikowania umowy, błędnej kwalifikacji, pominięcia formy dokumentowej, złej wartości, niepełnych danych, błędnego ograniczenia jawności, przekroczenia terminu, braku aktualizacji lub zastępstwa oraz rozbieżności między ewidencją lokalną i CRU JSFP.

Szczególne znaczenie ma art. 68 ust. 2 pkt 6: efektywność i skuteczność przepływu informacji. Publikujący nie może działać prawidłowo, jeśli wiadomość o zawarciu lub zmianie umowy nie dotrze z komórki merytorycznej.

Termin 30 dni nie jest terminem na rozpoczęcie pracy

Informacje udostępnia się i aktualizuje bez zbędnej zwłoki, nie później niż w ciągu 30 dni od zawarcia umowy albo zmiany informacji. Jest to termin maksymalny. Wcześniej trzeba wykryć zdarzenie, zebrać dokumenty, przeprowadzić kwalifikację i kontrolę jawności, uzupełnić braki, wprowadzić dane i je opublikować.

Wewnętrzny termin zgłoszenia powinien być krótszy, przykładowo dwa lub trzy dni robocze. Nie wynika on z ustawy, lecz pozostawia margines na wyjaśnienia, korekty i zastępstwo.

Faktura nie zastępuje informacji o umowie

Faktura może nie zawierać daty zawarcia, okresu obowiązywania, opcji, wznowień, pełnego przedmiotu ani całkowitej wartości. Rozporządzenie każe uwzględniać całkowitą wartość umowy lub środki przeznaczone na realizację, opcje i wznowienia, bez VAT; faktycznie wydatkowana kwota jej nie zmienia.

Dane należy więc zbierać najpóźniej przy zawieraniu zamówienia, a nie dopiero podczas księgowania.

Centralizacja i decentralizacja mają różne ryzyka

Centralizacja sprzyja jednolitości, ale tworzy wąskie gardło. Decentralizacja daje dostęp do wiedzy, lecz grozi rozbieżną kwalifikacją, opisem, wartością i oceną jawności. Racjonalny jest zwykle model hybrydowy:

• zgłoszenie blisko miejsca zawarcia umowy,
• odpowiedzialność merytoryczna za dokumenty i dane,
• wspólne reguły kwalifikacji,
• konsultacja nietypowych przypadków,
• publikacja i kontrola przez uprawnione osoby,
• monitoring zaległości, błędów i aktualizacji przez koordynatora.

Identyczne przypadki powinny być kwalifikowane identycznie

Pomagają w tym katalogi typowych zamówień, przypadków publikowanych i wyłączeń, słownik podstaw ograniczenia jawności, wzorce opisów i uzasadnień oraz reguły eskalacji wątpliwości. Słownik nie zastępuje analizy konkretnego przypadku, ale ogranicza dowolność i ma znaczenie dowodowe.

Ślad audytowy nie jest dodatkiem

Jednostka powinna móc odtworzyć, kto i kiedy zgłosił umowę, przeprowadził kwalifikację, podjął decyzję, zmienił dane, ograniczył jawność, zatwierdził publikację oraz wykonał aktualizację i z jakiej przyczyny.

Ustawa wymaga wskazania podstawy prawnej nieudostępnienia oraz osoby lub organu wyłączającego jawność. Aktualizacja obejmuje podstawę, przyczynę, zwięzły opis i datę jej zaistnienia. Ślad audytowy pozwala wykazać autora, datę i podstawę decyzji.

Rozliczalność i ochrona danych osobowych

Kierownik jest administratorem danych w CRU JSFP w zakresie informacji zamieszczonych przez jednostkę i wykonuje obowiązki administratora. Zasada rozliczalności z art. 5 ust. 2 RODO wymaga wykazania przestrzegania zasad przetwarzania.

RODO nie jest samodzielną podstawą dokumentowania wszystkich decyzji kwalifikacyjnych, ale ma bezpośrednie znaczenie przy danych osobowych, a rozliczalność stanowi użyteczny wzorzec organizacyjny.

Ryzyko audytowe: kontrola może dotyczyć całego mechanizmu

Audyt wewnętrzny może oceniać adekwatność, skuteczność i efektywność kontroli zarządczej (art. 272). W granicach właściwości temat mogą badać także NIK, RIO, organ nadzorujący, kontrola wewnętrzna lub IOD.

Jakie mechanizmy zapewniały, że jednostka identyfikowała wszystkie umowy, publikowała je terminowo i aktualizowała dane po zmianach?

Jedna prawidłowo opublikowana umowa nie dowodzi skuteczności całego procesu.

Arkusz kalkulacyjny może ewidencjonować dane, ale nie zarządza procesem

W arkuszu powstają kopie, dane bywają nadpisywane, terminy są pilnowane ręcznie, a właściciel rekordu, uprawnienia, historia zmian, kwalifikacja, zatwierdzanie i status wysyłki są trudne do kontrolowania. Arkusz pokazuje znane umowy, ale nie dowodzi, że organizacja wykrywa te, których nikt nie zgłosił.

API nie rozwiązuje problemu organizacyjnego

API ogranicza przepisywanie danych, błędy techniczne i przyspiesza publikację, ale nie ustali, czy doszło do zawarcia umowy, czy czynność jest zamówieniem, czy zachodzi wyłączenie lub ograniczenie jawności ani czy później nastąpiła zmiana. Automatyzacja źle zorganizowanego procesu tylko szybciej przekaże błędne dane.

Która jednostka powinna udostępnić informację?

Przy umowach na rzecz jednej lub wielu jednostek obowiązki wykonują ich kierownicy w zakresie informacji odnoszących się do poszczególnych jednostek. Ministerstwo Finansów wskazuje interpretacyjnie na umowy obciążające plan finansowy lub budżet jednostki, a przy barterze – stanowiące inną formę kosztu. Kryterium planu finansowego nie jest dosłownym brzmieniem art. 34a.

W strukturach z CUW, jednostkami podległymi i centralnym zamawiającym właściwość konta wymaga wcześniejszej analizy.

Najczęstsze błędne założenia

• „Wystarczy wyznaczyć publikującego”. Nie wykryje umowy, o której nie wie.
• „Dział zamówień wychwyci wszystko”. Nie musi znać zakupów poza typowymi postępowaniami.
• „Faktura zawiera wszystkie dane”. Zwykle nie zawiera pełnych danych umowy.
• „Trzydzieści dni to dużo”. To maksymalny termin całego procesu.
• „Excel wystarczy”. Zapisuje dane, ale nie zarządza odpowiedzialnością i śladem audytowym.
• „API rozwiąże problem”. Rozwiązuje wymianę danych, nie ich identyfikację i jakość.
• „Po publikacji sprawa jest zamknięta”. Ustawa wymaga aktualizacji.

Co powinien zapewniać system wspomagający dużą organizację?

• pracę wielu komórek i przypisanie właściciela,
• zgłoszenie u źródła oraz etapy rejestracji, kwalifikacji, kontroli i publikacji,
• wspólne słowniki i rejestrowanie podstaw decyzji,
• kontrolę kompletności, terminów, jawności i aktualizacji,
• historię operacji oraz raportowanie zaległości i błędów,
• integrację z API i porównanie danych lokalnych z centralnymi.

Taką rolę może pełnić lokalny system Ewidencja Umów JSFP. Nie zastępuje CRU JSFP ani nie przenosi ustawowego obowiązku na dostawcę, lecz porządkuje role, terminy i ślad audytowy.

Czy można iść na żywioł?

Technicznie można utworzyć konto, wskazać publikującego i reagować na e-maile. W dużej organizacji taki model nie daje racjonalnej pewności kompletności, jednolitości kwalifikacji, poprawności danych i jawności, terminowości ani aktualizacji.

CRU JSFP nie jest wyłącznie projektem informatycznym ani zadaniem jednej komórki. Największym ryzykiem nie jest brak systemu, lecz brak pewności, że wszystkie umowy zostały zidentyfikowane, prawidłowo zakwalifikowane i terminowo opublikowane. Dopiero po rozwiązaniu tego problemu technologia rzeczywiście wspiera obowiązek ustawowy.