Sanepid nawet raz na pięć lat, skarbówka bez limitu. Jak działają kategorie ryzyka przy kontrolach firm

Analizę ryzyka przed kontrolą urzędy robiły już wcześniej. Od 1 stycznia 2026 roku muszą jednak przypisać każdą firmę do jednej z trzech kategorii ryzyka, a od kategorii zależy, jak często mogą przyjść z kontrolą planową. Brzmi jak dobra wiadomość i w dużej części nią jest. Tyle że w internecie krąży już wersja, w której „algorytm skarbówki” daje Ci pięć lat spokoju. Takiej wersji w ustawie nie ma.

Trzy kategorie, trzy tempa kontroli

Zmiana pochodzi z ustawy deregulacyjnej z 21 maja 2025 r. (Dz.U. 2025 poz. 769), która przebudowała art. 47 i dodała art. 55a Prawa przedsiębiorców. Organ kontroli przeprowadza okresową analizę prawdopodobieństwa naruszenia prawa i na jej podstawie przypisuje firmy do jednej z trzech kategorii (art. 47 ust. 1). Limity częstotliwości kontroli planowych są w art. 55a ust. 1. Opisuje je m.in. Wojewódzka Stacja Sanitarno-Epidemiologiczna w Poznaniu:

Kategoria ryzyka	Jak często może być kontrola planowa
Niskie	nie częściej niż raz w ciągu 5 lat
Średnie	nie częściej niż raz w ciągu 3 lat
Wysokie	tak często, jak to konieczne dla skutecznego stosowania przepisów

Kategoria wyznacza górny limit, a nie harmonogram. „Raz na pięć lat” nie znaczy, że kontrola przyjdzie co pięć lat. Znaczy, że planowo nie może przyjść częściej. Część urzędów ustala sobie przy tym także minimalną częstotliwość. WSSE w Poznaniu pisze na przykład przy ryzyku średnim: „nie częściej niż raz w ciągu 3 lat, ale nie rzadziej niż raz na 5 lat”.

Licznik startuje od zera. Kontrole wszczęte przed 1 stycznia 2026 r. nie wliczają się do nowych limitów (art. 40 ust. 2 ustawy deregulacyjnej), więc kontrola z 2025 roku nie „zużywa” Twoich pięciu lat.

Nie musisz nic zgłaszać ani o nic wnioskować, żeby dostać kategorię. Przypisuje ją organ kontroli (albo organ nadrzędny) na podstawie danych, które już ma. Twoja rola zaczyna się wcześniej: od tego, co w tych danych widać.

Co analizuje urząd, zanim przypisze Ci kategorię

Każdy organ ustala kryteria pod swój zakres. W procedurze jednej z powiatowych stacji sanepidu (PPIS w Ostródzie) ryzyko wynika z macierzy dwóch ocen w skali 1–3: jak prawdopodobne jest naruszenie i jak poważne byłyby jego skutki. Wynik 1–2 punkty daje ryzyko niskie, 3–5 średnie, 6–9 wysokie.

Weźmy Panią Krysię, kosmetyczkę z gabinetem, w którym robi zabiegi naruszające ciągłość skóry. W tej samej procedurze salon wykonujący zabiegi z naruszeniem ciągłości tkanek od razu trafia do ryzyka wysokiego, niezależnie od tego, jak porządną ma dokumentację. Pan Areczek, programista na B2B pracujący z domu, sanepidu nie interesuje w ogóle. Kategoria to ocena branży i historii firmy, a nie nagroda za porządek w segregatorze.

Według infor.pl (17.09.2026) ZUS zapowiada, że weźmie pod uwagę m.in. dane z formularza ZUS IWA, kod PKD, częstotliwość wypadków przy pracy i historię wcześniejszych kontroli. Moim zdaniem zaległości w składkach i częste korekty deklaracji też nie poprawią Twojego obrazu. Jeśli masz historię z ZUS-em, przeczytaj, dlaczego zaległość w składkach potrafi zablokować nawet zasiłek i odszkodowanie po wypadku.

Gdzie sprawdzisz kryteria swojego urzędu

Organ kontroli publikuje w Biuletynie Informacji Publicznej informację o zasadach przypisywania przedsiębiorców do kategorii ryzyka. Ustawa (art. 47 ust. 1a i 1b) daje na to 3 miesiące, a ZUS-owi 6 miesięcy, liczone od przyjęcia kolejnej analizy ryzyka. Publikuje się przy tym zasady z analizy poprzedniej, więc to, co widzisz w BIP, może opisywać zeszły cykl. Część urzędów opublikowała zasady wcześniej, z własnej inicjatywy.

W praktyce szukasz w BIP konkretnego organu: powiatowej stacji sanepidu, okręgowego inspektoratu pracy, inspekcji handlowej, a przy składkach w BIP ZUS. Najczęściej dokument nazywa się „zasady przypisania przedsiębiorców do kategorii ryzyka” albo „procedura klasyfikacji ryzyka”. Opublikowały je już m.in. stacje sanepidu i okręgowe urzędy miar.

Takiego dokumentu nie traktuj jak zaświadczenia o Twojej kategorii. BIP pokazuje zasady, a nie listę firm z przypisanymi ocenami. Swoją kategorię poznasz inaczej: przy kontroli planowej organ musi ją podać w zawiadomieniu o zamiarze wszczęcia kontroli (art. 48 ust. 3 pkt 4b). Z zasad w BIP wyczytasz za to, co dany urząd uważa za sygnał ostrzegawczy w Twojej branży.

Kogo nowe limity nie chronią

Tu zaczyna się część, której nie ma w nagłówkach typu „pięć lat spokoju”.

Urząd skarbowy i cała KAS

Limitów „raz na 3” i „raz na 5 lat” nie stosuje się do kontroli i analiz Krajowej Administracji Skarbowej (art. 55a ust. 3 pkt 1). KAS nie musi też publikować w BIP zasad kategoryzacji (art. 47 ust. 2a pkt 2). Urząd skarbowy to organ KAS, więc wizyta skarbówki nie jest ograniczona Twoją kategorią.

Nie znaczy to, że skarbówka typuje na oślep. Robi to po swojemu, na podstawie danych, które co miesiąc sam jej wysyłasz, m.in. w JPK_VAT. Dlatego spójność ewidencji, JPK i faktur ma dziś większe znaczenie niż jakakolwiek kategoria w BIP. O tym, co od 2026 roku trafia do urzędu w plikach JPK, piszę w tekście o JPK_PKPiR i JPK_EWP.

Jedno zastrzeżenie, żeby nie panikować przy każdej kopercie. Nie każde pismo z urzędu skarbowego to kontrola. Prośba o wyjaśnienie rozbieżności albo o przesłanie dokumentów to zwykle czynności sprawdzające, czyli osobna, lżejsza procedura z Ordynacji podatkowej.

Kontrole poza planem

Kategoria ryzyka dotyczy kontroli planowych. Poza planem urząd może przyjść przy uzasadnionym podejrzeniu przestępstwa, wykroczenia albo innego naruszenia prawnego zakazu lub niedopełnienia obowiązku, przy zagrożeniu życia lub zdrowia, a także żeby sprawdzić wykonanie zaleceń po poprzedniej kontroli (art. 47 ust. 2). Klientka, która po zabiegu trafi do lekarza i złoży skargę, może uruchomić kontrolę niezależnie od Twojej kategorii.

Inne wyłączenia

• Częstotliwość określona gdzie indziej. Limity z art. 55a nie działają, jeśli umowa międzynarodowa, prawo UE albo przepisy odrębne inaczej określają częstotliwość kontroli (art. 55a ust. 2). Procedura z Ostródy wyłącza na przykład z kategoryzacji kontrole bezpieczeństwa żywności i żywienia.
• Kontrole jakości paliw (art. 55a ust. 3 pkt 2) i nadzór nad rynkiem finansowym (art. 47 ust. 2 pkt 2).
• Działalność pod nadzorem weterynaryjnym, dla której Prawo przedsiębiorców wyłącza większość przepisów o kontroli (art. 62 ust. 2).

Działalność koncesjonowana, transport drogowy i obszary bezpieczeństwa są zwolnione tylko z obowiązku publikacji zasad w BIP (art. 47 ust. 2a). Limity ich dotyczą. Dla typowej JDG z usługami najważniejsze jest wyłączenie KAS, bo to ono najczęściej budzi złudzenia.

Jeden urząd skontroluje mikrofirmę co do zasady najwyżej przez 6 dni w roku

Druga zmiana z tej samej ustawy weszła w życie wcześniej, 13 lipca 2025 r. Skrócono łączny czas kontroli jednego organu u mikroprzedsiębiorcy: z 12 do 6 dni roboczych w roku kalendarzowym (art. 55 ust. 1). Dla małych firm limit to 18 dni, dla średnich 24, dla pozostałych 48.

Są od tego wyjątki. Najważniejszy dla mikrofirmy: art. 55 ust. 6a pozwala przedłużyć kontrolę, jeśli po zakończeniu czynności na miejscu organ pracuje dalej u siebie albo zdalnie, bez zgody przedsiębiorcy. Łącznie nie może to przekroczyć dwukrotności limitu, czyli 12 dni. Są też wyłączenia z art. 55 ust. 2, np. przy podejrzeniu przestępstwa.

Mikroprzedsiębiorca to w uproszczeniu firma, która średniorocznie zatrudnia mniej niż 10 pracowników i ma obroty albo sumę bilansową nie większą niż 2 mln euro. Niemal każda JDG się w tym mieści. Limit liczy się dla każdego organu osobno, więc sanepid i inspekcja pracy nie dzielą między siebie jednej puli sześciu dni.

Prawo przedsiębiorców zostawiło też zasadę zawiadomienia. Co do zasady organ zawiadamia Cię o zamiarze kontroli, a kontrola zaczyna się nie wcześniej niż po 7 i nie później niż przed upływem 30 dni od doręczenia zawiadomienia (art. 48 ust. 2). Bez zawiadomienia urząd może przyjść m.in. wtedy, gdy kontrola jest niezbędna do przeciwdziałania przestępstwu lub wykroczeniu albo uzasadnia ją bezpośrednie zagrożenie życia, zdrowia lub środowiska (art. 48 ust. 11). Zawiadomienia coraz częściej przychodzą elektronicznie, dlatego adres do e-Doręczeń warto mieć sprawdzony, zanim ktokolwiek zechce Cię skontrolować.

Jeśli kontrola planowa przychodzi częściej, niż pozwala Twoja kategoria, możesz wnieść sprzeciw (art. 59 ust. 1 obejmuje naruszenie art. 55a). To samo narzędzie działa przy przekroczeniu limitu dni z art. 55.

Jak nie dać urzędowi powodu do wyższej kategorii

Na kategorię nie masz bezpośredniego wpływu, ale masz wpływ na to, co urząd widzi. Twoje łzy nad segregatorem nie stanowią kosztu uzyskania przychodu, za to porządek w dokumentach realnie zmniejsza liczbę sygnałów ostrzegawczych.

1. Sprawdź zasady w BIP organów, które Cię dotyczą. Fryzjer i kosmetyczka zaczynają od sanepidu, mechanik od inspekcji ochrony środowiska (odpady, BDO), każdy płatnik składek od ZUS. Zapisz, jakie czynniki podnoszą ryzyko.
2. Wykonaj zalecenia z poprzednich kontroli i zachowaj dowody. Sprawdzenie zaleceń to jeden z powodów kontroli poza planem, więc kategoria Cię wtedy nie ochroni.
3. Pilnuj składek i deklaracji ZUS. ZUS ma te dane pod ręką.
4. Trzymaj spójność między fakturami, ewidencją i JPK. To Twoja jedyna „kategoria” w oczach skarbówki. Rozbieżność kwot w JPK i na fakturach to najprostszy powód do pisma z urzędu.
5. Zapisuj każdą kontrolę: kto, kiedy, ile dni. Przy limicie 6 dni w roku (w wyjątkowych przypadkach 12) to Ty najszybciej zauważysz, że organ go przekroczył, i zdążysz wnieść sprzeciw.

Kategoria ryzyka to przepis, który działa na Twoją korzyść, ale tylko w zakresie, który obejmuje. Na urząd skarbowy działa wyłącznie porządek w papierach.

FAQ

Czy kategorie ryzyka dotyczą kontroli z urzędu skarbowego? Nie w zakresie limitów. Limitów „raz na 3” i „raz na 5 lat” nie stosuje się do kontroli i analiz Krajowej Administracji Skarbowej (art. 55a ust. 3 pkt 1 Prawa przedsiębiorców), a KAS nie musi publikować zasad kategoryzacji w BIP (art. 47 ust. 2a pkt 2).

Jak sprawdzić, w jakiej kategorii ryzyka jest moja firma? Przy kontroli planowej organ musi podać Twoją kategorię w zawiadomieniu o zamiarze wszczęcia kontroli (art. 48 ust. 3 pkt 4b). W BIP organ publikuje tylko zasady przypisywania do kategorii, a nie listę firm z ocenami. Z zasad dowiesz się, jakie czynniki podnoszą ryzyko w Twojej branży.

Czy przy niskim ryzyku kontrola przyjdzie dokładnie raz na 5 lat? Nie. To górny limit dla kontroli planowych: organ nie może ich przeprowadzać częściej niż raz na 5 lat. Może nie przyjść wcale. Kontrole poza planem (np. po skardze klienta lub przy podejrzeniu naruszenia prawa) nie są tym limitem objęte.

Co mogę zrobić, jeśli urząd przychodzi częściej, niż pozwala moja kategoria? Możesz wnieść sprzeciw wobec podjęcia i wykonywania kontroli. Art. 59 ust. 1 Prawa przedsiębiorców obejmuje wprost naruszenie art. 55a. Sprzeciw składa się na piśmie do organu kontroli i trzeba go uzasadnić.

Ile dni może trwać kontrola w jednoosobowej firmie? Od 13 lipca 2025 r. łączny czas kontroli jednego organu u mikroprzedsiębiorcy to co do zasady 6 dni roboczych w roku kalendarzowym (wcześniej 12). Limit liczy się dla każdego organu osobno. W określonych przypadkach kontrolę można przedłużyć, łącznie najwyżej do 12 dni.

Od kiedy obowiązują kategorie ryzyka? Od 1 stycznia 2026 r. Wprowadziła je ustawa deregulacyjna z 21 maja 2025 r. (Dz.U. 2025 poz. 769), zmieniająca art. 47 i dodająca art. 55a Prawa przedsiębiorców. Kontrole wszczęte wcześniej nie wliczają się do nowych limitów.

Czy ZUS też przypisuje firmy do kategorii ryzyka? Tak, kontrole planowe ZUS również opierają się na kategoriach ryzyka. ZUS ma na publikację zasad w BIP 6 miesięcy od przyjęcia kolejnej analizy, dłużej niż inne organy (3 miesiące).

Porządek zamiast nadziei

Kategorie ryzyka to rzadki przypadek, kiedy przepisy mówią przedsiębiorcy „mniej kontroli, jeśli nie dajesz powodów”. Tylko nie myl sanepidu ze skarbówką. Pięć lat spokoju od jednego urzędu nie przenosi się na drugi, a ten drugi co miesiąc czyta Twoje JPK.

Chcesz, żeby faktury, ewidencja i pliki JPK były ze sobą zgodne, zanim ktoś zacznie je porównywać? Automatyczna księgowość z Klarą wychwytuje rozbieżności na bieżąco, a nie przy okazji wizyty z urzędu.

Merytorycznie zweryfikował: Piotr Gloger

Newsletter od Klary — co tydzień na maila

Krótkie podsumowanie zmian w przepisach, terminów i poradników. Zero spamu, można się wypisać jednym kliknięciem.

Zapisz mnie

Zapisując się akceptujesz politykę prywatności.