Tajemnice rządowego rejestru: firmy, które istniały — a których w systemie „nie ma”

Weryfikacja kontrahenta w oficjalnym rejestrze publicznym potrafi zakończyć się komunikatem o braku wyników nawet w przypadku podmiotu, który legalnie działał przez pięć lat.

Sprawdzenie numeru NIP w rządowym interfejsie API zakończyło się natychmiastową odpowiedzią systemową: wskazany podmiot nie istnieje w bazie danych. Taka informacja wprowadzona do dowolnego programu księgowego lub skanera ryzyka oznacza automatyczny alert bezpieczeństwa.

Problem polega na tym, że firma istniała i prowadziła aktywną działalność. Działała w latach 2017–2022, posiadała fizyczny adres, zarejestrowaną nazwę, telefon oraz aktywnych klientów. W 2022 roku właściciel formalnie zawiesił działalność, a na początku 2024 roku wpis został wykreślony z rejestru. Wszystko odbyło się zgodnie z procedurą administracyjną.

Wystarczyło skorzystać ze starszej wersji wyszukiwarki internetowej tego samego urzędu, aby uzyskać pełną, chronologiczną historię podmiotu. Jednak nowa infrastruktura API — używana przez masowe narzędzia do automatycznej weryfikacji firm — zwróciła pusty wynik.

Sytuacja wymagała przeprowadzenia głębszej analizy technicznej. Poniższe wnioski pokazują, jak w praktyce działa infrastruktura rejestrów publicznych i dlaczego bezmyślne odpytywanie jednego API nie ma nic wspólnego z profesjonalnym wywiadem biznesowym.

---

2,7 miliona śladów w bazie i mechanizm prawa do zniknięcia

Pierwsza hipoteza badawcza zakładała błąd indeksacji lub celowe ukrywanie przez rejestr wszystkich podmiotów zamkniętych. Hipoteza ta została szybko obalona.

Pojedyncze zapytanie analityczne do bazy danych wykazuje, że rejestr zawiera dokładnie 2 727 419 wykreślonych działalności gospodarczych. W celach weryfikacyjnych sprawdziłem również historię własnej, pierwszej firmy założonej w 2001 roku i zamkniętej w 2013 roku. Wpis pozostaje w pełni widoczny do dziś, zawierając kompletną historię zmian, nazwę oraz daty rejestracji i wykreślenia.

Dlaczego zatem podmiot zamknięty w 2024 roku przestał istnieć w oficjalnym API?

Odpowiedź kryje się w przepisach prawnych dotyczących ochrony danych osobowych oraz ustawodawstwie regulującym Centralną Ewidencję i Informację o Działalności Gospodarczej. Jednoosobowa działalność gospodarcza jest ściśle powiązana z osobą fizyczną — jej imieniem, nazwiskiem oraz adresem zamieszkania. Po wykreśleniu firmy z rejestru były przedsiębiorca ma prawo złożyć wniosek o cofnięcie zgody na dalsze udostępnianie swoich danych osobowych w ogólnodostępnej bazie.

To rozwiązanie prawne chroni prywatność obywateli. Generuje jednak poważny skutek uboczny w obszarze analizy ryzyka biznesowego:

Z punktu widzenia systemu weryfikacyjnego status „wpis ukryty na wniosek właściciela” zwraca dokładnie ten sam ładunek danych co status „podmiot nigdy nie istniał”.

Rejestr nie wysyła jawnego komunikatu o treści: „dane zostały zastrzeżone”. Zwraca pustą tablicę obiektów lub kod błędu oznaczający brak wyników. Dla analityka lub przedsiębiorcy rozważającego wypłatę zaliczki dla kontrahenta twierdzącego, że „prowadził firmę przez pięć lat”, brak rozróżnienia między tymi dwoma stanami stanowi bezpośrednie zagrożenie decyzyjne.

---

Plik z pulpitu programisty z 2019 roku, czyli jak kłamią systemy publiczne

Podczas audytu technicznego zapytań rejestrowych wyszła na jaw kolejna anomalia związana ze stabilnością państwowej infrastruktury IT.

Wysłanie do systemu zapytania zawierającego nietypowy format danych nie spowodowało wygenerowania standardowego błędu walidacji nagłówków (np. HTTP 400 Bad Request). Zamiast tego serwer zwrócił odpowiedź z kodem sukcesu, wyświetlając komunikat: „Przerwa serwisowa. System nie jest dostępny”.

Analiza kodu źródłowego zwróconej strony ujawniła mechanizm powstawania tej odpowiedzi. Wyświetlony komunikat nie był dynamicznym widokiem generowanym przez system monitorowania infrastruktury. Była to statyczna strona HTML zapisana w maju 2019 roku na służbowym komputerze jednego z programistów — w kodzie źródłowym do dzisiaj widnieje bezwzględna ścieżka dostępowa do pulpitu konkretnego pracownika.

Siedem lat temu plik ten został skopiowany na serwer produkcyjny jako awaryjna zaślepka. Od tamtej pory serwer wita tą informacją każdego użytkownika lub skrypt, który zada pytanie spoza przewidzianego szablonu.

Infrastruktura twierdzi, że trwa przerwa techniczna. Od siedmiu lat. Wyłącznie dla wybranych zapytań.

---

Wywiad biznesowy: dlaczego pojedyncze API to za mało

Opisane przypadki nie stanowią wyłącznie anegdot o funkcjonowaniu administracji publicznej. To twardy materiał dowodowy dla każdego dyrektora finansowego, analityka ryzyka oraz właściciela firmy B2B, który przyznaje kredyty kupieckie lub akceptuje odroczone terminy płatności.

Poleganie na prostym odpytaniu jednego rejestru poprzez fabryczną wtyczkę w programie fakturującym nie jest weryfikacją kontrahenta. To bezmyślna automatyzacja ułomnych danych.

Profesjonalny wywiad biznesowy różni się od prostej weryfikacji NIP trzema fundamentalnymi założeniami:

→ Krzyżowa weryfikacja źródeł: Żaden rejestr publiczny nie posiada pełnego obrazu sytuacji. Brak aktywnego wpisu w CEIDG wymaga natychmiastowego automatycznego prześwietlenia Krajowego Rejestru Sądowego (KRS), Rejestru Beneficjentów Rzeczywistych (CRBR), Białej Listy podatników VAT oraz archiwów prasowych i rejestrowych.

→ Interpretacja kontekstowa: Odpowiedź „brak danych” to zaledwie punkt startowy. Zadaniem wywiadu gospodarczego jest ustalenie, czy brak wynika z faktu braku rejestracji, skorzystania z prawa do zniknięcia, czy awarii węzła API po stronie urzędu.

→ Odporność na błędy infrastruktury publicznej: Systemy rządowe zwracają błędne statusy z pełnym przekonaniem. Zbudowanie bezpiecznego procesu decyzyjnego wymaga nakładania na dane rejestrowe własnej algebry ryzyka i weryfikacji powiązań osobowych.

---

Trzy zasady bezpiecznej weryfikacji kontrahenta przed przelewem

Zanim firma przeleje zaliczkę nowemu dostawcy lub wyda towar z odroczonym terminem płatności, warto wdrożyć następujące procedury weryfikacyjne:

→ 1. Traktowanie braku wpisu jako sygnału do weryfikacji rozszerzonej. Komunikat o braku wyników w wyszukiwarce nie oznacza automatycznie oszustwa, ale wyklucza natychmiastowe zatwierdzenie transakcji. Wymaga to sięgnięcia do rejestrów archiwalnych lub zażądania od kontrahenta historycznych dokumentów rejestrowych.

→ 2. Weryfikacja tożsamości reprezentanta. Jeśli historia podmiotu została ukryta na mocy przepisów o ochronie danych, wywiad biznesowy skupia się na weryfikacji historii zawodowej i powiązań kapitałowych osób zarządzających w rejestrach spółek prawa handlowego (KRS).

→ 3. Wykorzystanie dedykowanych silników wywiadu gospodarczego. Samodzielne odpytywanie wielu baz danych po kolei jest czasochłonne i podatne na błędy ludzkie. Narzędzia nowej generacji automatyzują ten proces w czasie rzeczywistym.

---

Silnik wywiadu biznesowego w praktyce

Opisane odkrycia i anomalie rejestrowe nie powstały w wyniku teoretycznych rozważań. Są efektem prac nad budową xKRS.pl — silnika wywiadu gospodarczego zaprojektowanego do automatycznego prześwietlania ryzyka kontrahentów.

Projektując architekturę xKRS, założyliśmy, że system weryfikacji nie może powielać błędów pojedynczych API. Silnik odpytuje równolegle KRS, CEIDG, Rejestr Beneficjentów Rzeczywistych oraz Białą Listę VAT. W przypadku wykrycia luk lub zastrzeżeń prawnych w jednym źródle, algorytm automatycznie sięga po dane z rejestrów pomocniczych i archiwów, zamiast wyświetlać użytkownikowi bezużyteczny komunikat „taka firma nie istnieje”.

Wywiad biznesowy to nie zgadywanie. To programistyczne wyciąganie twardych faktów tam, gdzie inni widzą tylko puste pole w formularzu.

---