Корпоративне дотримання вимог у Нідерландах: які правила застосовуються до вас?

Корпоративний комплаєнс у Нідерландах — це не єдиний режим, а сукупність зобов’язань, що випливають з різних законів, кожне з яких має свого наглядового органу та власні санкції. Більшість цих зобов’язань застосовуються до кожної голландської компанії, але кілька важливих залежать від вашого сектору та розміру, тому першим кроком завжди є встановлення того, які правила фактично застосовуються до вашого бізнесу.

Спільним для цих зобов'язань є те, що більшість із них виконуються в адміністративному порядку. Керівник може накласти штраф без урахування збитків та скарг. Чотири блоки охоплюють більшість підприємств. По-перше, зобов'язання щодо корпоративного права згідно з Книгою 2 Цивільного кодексу Нідерландів (Burgerlijk Wetboek, BW): ведення належного обліку, своєчасне подання річної звітності, реєстрація кінцевих бенефіціарних власників та обов'язки директорів, які роблять раду директорів особисто вразливою у разі їх нехтування. По-друге, захист даних згідно з GDPR та його імплементаційним актом Нідерландів, під наглядом Управління захисту даних Нідерландів (Autoriteit Persoonsgegevens, AP), зі штрафами, розрахованими на основі світового обороту. По-третє, зобов'язання щодо кібербезпеки згідно із Законом про кібербезпеку (Cyberbeveiligingswet) для організацій у визначених основних та важливих секторах, що діє з 15 серпня 2026 року, який покладає відповідальність безпосередньо на керівний орган. По-четверте, для підприємств, що входять до його сфери застосування, обов'язки щодо належної перевірки клієнта, моніторингу та звітності згідно із Законом про запобігання відмиванню грошей та фінансуванню тероризму (Wwft).

Понад певний розмір застосовуються додаткові вимоги незалежно від сектора: внутрішня процедура повідомлення про правопорушення відповідно до Закону про захист викривачів (Wet bescherming klokkenluiders), цілі щодо збалансованого складу ради директорів та звітність про сталий розвиток для компаній, на які поширюється дія європейської системи звітності, сфера застосування та терміни якої були суттєво змінені у 2026 році.

Що означає корпоративний комплаєнс у Нідерландах?

Корпоративна відповідність означає, що ваша компанія виконує встановлені законодавчі зобов'язання та може це довести. У Нідерландах ці зобов'язання випливають із голландських законів, безпосередньо застосовних нормативних актів ЄС, таких як GDPR, та голландських актів, що імплементують директиви ЄС.

Не існує єдиного кодексу відповідності, який би перераховував усе, що повинна робити компанія. Натомість кожен закон встановлює власні обов'язки, призначає свого керівника та має власні санкції. Наприклад, бізнес-партнерство в технологічному секторі співпрацює з Торговою палатою (Камер ван Коопхандель, KVK) для своїх документів та записів у реєстрі, з AP для персональних даних та, можливо, з галузевим наглядачем відповідно до Закону про кібербезпеку. Трастовий офіс або платіжна установа також підпадають під дію Wwft та фінансових наглядачів. Тому визначення того, які закони застосовуються, є відправною точкою будь-якої програми дотримання вимог.

Як голландські наглядові органи забезпечують дотримання вимог?

Більшість зобов'язань щодо дотримання вимог забезпечуються адміністративним правом: наглядовий орган проводить розслідування та може накласти штраф або розпорядження, що підлягає стягненню. Кримінальне переслідування можливе за деякі порушення, але зазвичай воно застосовується до серйозних або навмисних випадків.

Це має практичні наслідки. Керівнику не потрібна жертва чи скарга, перш ніж діяти. Він може розпочати розслідування з власної ініціативи, наприклад, після повідомлення про витік даних, повідомлення ЗМІ або галузевого розслідування. Під час розслідування ваша компанія повинна співпрацювати та надавати інформацію у встановлений керівником термін. Рішення про штраф можна оскаржити шляхом подання заперечення (bezwaar) керівнику, а потім апеляції до адміністративного суду.

Керівники також звертають увагу на суть, а не на документацію. Політика, якої ніхто не дотримується, не захищає вас. Важливо те, чи заходи дійсно впроваджуються, чи знають про них співробітники та чи контролює їх рада директорів. Розмір штрафу зазвичай залежить від серйозності та тривалості порушення, ступеня вини та заходів, які вжила сама компанія. Таким чином, задокументована, робоча система комплаєнсу допомагає як запобігти порушенням, так і обмежити наслідки, якщо щось піде не так.

Які зобов'язання застосовуються майже до кожної компанії?

Кожна голландська бізнес-компанія (BV) та незалежна компанія (NV) повинна вести належний облік, вчасно подавати свою річну звітність та реєструвати своїх кінцевих бенефіціарних власників. Директори, які нехтують першими двома зобов'язаннями, наражають на реальний особистий ризик, якщо компанія збанкрутує.

Основні зобов'язання згідно із законодавством про компанії такі:

• Належне управління : згідно зі статтею 2:10 Закону про бізнес-процеси, рада директорів повинна вести облік фінансового стану компанії таким чином, щоб її права та обов'язки були відомі в будь-який час. Рада директорів повинна зберігати бухгалтерські книги, документи та інші носії даних протягом семи років.

• Річні рахункиBV або NV повинні готувати річну звітність та подавати її до KVK протягом восьми днів з моменту їх прийняття. Згідно з KVK, кінцевий термін прийняття залежить від організаційно-правової форми, але становить максимум дванадцять місяців після закінчення фінансового року. Якщо звітність не була прийнята вчасно, компанія повинна подати попередню звітність.

• реєстр УБОкомпанії повинні зареєструвати своїх кінцевих бенефіціарних власників (UBO) у KVK. Користувач-власник (UBO) – це фізична особа, яка зрештою володіє компанією або контролює її, наприклад, той, хто володіє понад 25% акцій. Про зміни необхідно повідомляти KVK протягом одного тижня. Доступ до реєстру було обмежено: широка громадськість більше не може з ним ознайомитися, тоді як уповноважені особи та державні органи, такі як Податкова адміністрація, можуть.

• Захист даних : кожна компанія, яка обробляє персональні дані, включаючи дані співробітників, повинна дотримуватися GDPR. Згідно зі статтею 83 GDPR, найсерйозніші порушення можуть призвести до штрафу в розмірі до 20 мільйонів євро або 4% від загального світового річного обороту за попередній фінансовий рік, залежно від того, що більше. Інші порушення, такі як неналежне забезпечення безпеки даних, тягнуть за собою максимальний штраф у розмірі 10 мільйонів євро або 2%.

Зв'язок між цими зобов'язаннями та особистою відповідальністю є прямим. Згідно зі статтею 2:248 BW, кожен директор несе солідарну відповідальність перед майном банкрута, якщо рада директорів явно не виконала своїх обов'язків належним чином, і це є важливою причиною банкрутства. У пункті 2 статті 2:248 BW додається, що якщо рада директорів не виконала своїх зобов'язань згідно зі статтею 2:10 або 2:394 BW (адміністрування та подання річної звітності), вона виконала свої обов'язки неналежним чином згідно із законом, і вважається, що це було важливою причиною банкрутства. Позов може ґрунтуватися лише на неналежному виконанні зобов'язань протягом трьох років до банкрутства. Тому несвоєчасне подання річної звітності є не адміністративною деталлю, а значним ризиком для кожного директора.

Більшість підприємств також мають зобов'язання згідно з трудовим законодавством, податковим законодавством та законодавством про захист прав споживачів. Вони виходять за рамки цієї статті, але належать до того ж переліку застосовних правил.

Які вимоги залежать від вашого сектору та розміру?

Кілька важливих режимів застосовуються лише до компаній у певних секторах або перевищують певні порогові значення розміру. Закон про кібербезпеку, Wwft, правила сталого розвитку та правила різноманітності в раді директорів працюють таким чином, тому порогові значення визначають, чи потрібно вам взагалі діяти.

Закон про кібербезпеку є гарним прикладом. Він набрав чинності 15 серпня 2026 року та імплементує Європейську директиву NIS2. Він застосовується до організацій у критичних секторах, які мають щонайменше 50 співробітників та річний обіг або загальний баланс понад 10 мільйонів євро. У цій групі закон розрізняє ключові суб'єкти господарювання у дуже критичних секторах, таких як енергетика, транспорт, банківська справа та охорона здоров'я, та важливі суб'єкти господарювання в інших критичних секторах.

Організації, на які поширюється дія Закону про кібербезпеку, повинні зареєструватися в Національному центрі кібербезпеки (NCSC), оцінити ризики для своїх цифрових систем та вжити відповідних заходів (обов'язок турботи, або zorgplicht). Про значні інциденти необхідно повідомляти поетапно: раннє попередження протягом 24 годин, повідомлення про інцидент протягом 72 годин та остаточний звіт протягом одного місяця. Рада несе остаточну відповідальність за обов'язок турботи, повинна оновлювати свої знання з кібербезпеки та проходити навчання. Штрафи можуть сягати 10 мільйонів євро або 2% від світового річного обороту для ключових організацій та 7 мільйонів євро або 1.4% для важливих організацій.

Закон про управління фінансами (Wwft) поширюється на певні групи установ та фахівців, такі як банки та інші фінансові установи, а також певних постачальників послуг, таких як бухгалтери, податкові консультанти, нотаріуси та агенти з нерухомості. Вони повинні проводити комплексну перевірку клієнтів, контролювати ділові відносини та повідомляти про незвичайні операції до Підрозділу фінансової розвідки (FIU-Nederland). Кожна група має свого керівника Wwft. Якщо ваш бізнес не є установою в значенні Закону про управління фінансами (Wwft), ці обов'язки не стосуються вас безпосередньо, хоча ваш банк або бухгалтер запитуватимуть у вас інформацію для виконання власних зобов'язань.

Чи застосовуються до вас правила звітності про сталий розвиток та належної перевірки?

Оскільки ЄС ухвалив Директиву Omnibus I 24 лютого 2026 року, правила сталого розвитку застосовуються лише до дуже великих компаній. Більшість малих та середніх підприємств тепер не підпадають під дію ні директиви про звітність, ні директиви про належну перевірку.

Директива про звітність про корпоративний сталий розвиток (CSRD) вимагає від компаній звітувати про свої екологічні, соціальні та управлінські показники. Після Omnibus I вона охоплює компанії ЄС з кількістю працівників понад 1,000 та чистим оборотом понад 450 мільйонів євро. Для груп, що не входять до ЄС, тестом є чистий оборот у ЄС понад 450 мільйонів євро, а також дочірня компанія або філія в ЄС з оборотом понад 200 мільйонів євро. Держави-члени повинні імплементувати ці зміни у своє національне законодавство, тому точні терміни в Нідерландах залежать від голландського імплементаційного законодавства.

Директива про належну перевірку корпоративної стійкості (CSDDD) вимагає від компаній виявляти та усувати негативний вплив на права людини та навколишнє середовище у своєму ланцюжку діяльності. Після Омнібусу I вона застосовується до компаній ЄС з кількістю працівників понад 5,000 та світовим чистим оборотом понад 1.5 мільярда євро, а також до компаній, що не входять до ЄС, з чистим оборотом у ЄС понад 1.5 мільярда євро. Держави-члени повинні транспонувати директиву до 26 липня 2028 року, а компанії повинні дотримуватися її з 26 липня 2029 року. Максимальний штраф становить 3% від чистого світового обороту. Загальноєвропейський режим цивільної відповідальності, який спочатку був частиною директиви, було скасовано; питання про застосування цивільної відповідальності тепер залежить від національного законодавства.

Для компаній, що перевищують ці порогові значення, правила все ще мають опосередковане значення. Великі клієнти, на яких поширюється дія цих правил, часто запитують у своїх постачальників інформацію та договірні гарантії щодо власної діяльності. Якщо ви постачаєте послуги такому клієнту, уважно перегляньте ці запити та договірні положення. Вони можуть створювати договірні зобов'язання, що виходять за рамки самого закону.

Які правила управління та доброчесності застосовуються?

Обов'язки управління також залежать від типу та розміру компанії. Найсуворіші правила різноманітності в раді директорів застосовуються лише до компаній, акції яких котируються на біржі, тоді як обов'язок мати процедуру викриття неправомірних дій поширюється на кожного роботодавця з 50 або більше працівниками.

Основні правила управління та доброчесності такі:

• Різноманітність у раді директорів : згідно із Законом про збалансоване гендерне представництво (Wet ingroeiquotum en streefcijfers), наглядова рада голландської компанії, акції якої котируються на біржі Нідерландів, повинна складатися щонайменше на одну третину з жінок і щонайменше на одну третину з чоловіків. Призначення, яке не сприяє досягненню цього балансу, є недійсним. Великі незалежні комерційні компанії (NV) та бізнес-асоціації (BV), які не котируються на біржі, повинні ставити відповідні та амбітні цілі для ради директорів, наглядової ради та вищого керівництва, розробляти план їх досягнення та щорічно звітувати перед Соціально-економічною радою (SER) протягом десяти місяців після закінчення фінансового року. Закон не передбачає квот щодо професійного досвіду.

• Викриття викривачів : згідно із Законом про захист викривачів, роботодавці з 50 або більше працівниками повинні мати внутрішню процедуру повідомлення про підозрювані правопорушення. Працівники, які належним чином повідомляють про порушення, захищені від помсти.

• Кодекс корпоративного управління : Кодекс корпоративного управління Нідерландів застосовується до компаній, акція яких котирується на біржі, і які повинні пояснити у своєму річному звіті, де вони відхиляються від нього (дотримуватися або пояснювати). Інші компанії можуть використовувати його як орієнтир, але не зобов'язані його дотримуватися.

• Управління ризиками : загальний обов'язок директорів щодо належного виконання своїх завдань включає розуміння основних ризиків бізнесу. Для організацій, на які поширюється дія Закону про кібербезпеку, цей обов'язок чітко визначений для цифрових ризиків.

Нагляд за дотриманням правил щодо викриття неправомірних дій все ще розвивається. Орган з питань викриття неправомірних дій (Huis voor Klokkenluiders) наразі має обмежені повноваження щодо забезпечення виконання зобов’язань роботодавця, і готується законопроект щодо посилення його наглядових та правозастосовчих повноважень. Це не привід чекати: працівник, який потрапив у невигідне становище після повідомлення, вже може звернутися до суду за захистом від діяння.

Які помилки створюють найбільші юридичні ризики?

Помилки з найбільшими наслідками рідко бувають складними. Несвоєчасне подання документів, застарілі реєстри та відсутність процедур створюють явні порушення, які керівник або керуючий у справі про банкрутство може легко встановити.

Які помилки в документації та подачі документів є найнебезпечнішими?

Помилки в документації небезпечні, оскільки закон пов'язує з ними презумпції. Якщо річна звітність подана із запізненням або адміністрування є неповним, директор у справі про банкрутство повинен спростувати законодавчу презумпцію, а не довірча особа, яка доводить неналежне управління.

Помилки, на які слід звернути увагу, включають:

• Несвоєчасне подання річної звітності : подання після встановленого законом терміну активує презумпцію статті 2:248 пункту 2 BW, якщо компанія збанкрутує протягом трьох років. Зафіксуйте терміни та переконайтеся, що акціонери вчасно затвердили звітність.

• Неповні записи : адміністрація, яка не може в будь-який момент продемонструвати права та обов'язки компанії, не відповідає статті 2:10 BW. Це також стосується групових компаній та неактивних юридичних осіб.

• Застарілі дані кінцевого власника : зміни у власності або контролі необхідно повідомляти протягом одного тижня. Застаріла інформація може мати серйозні наслідки, наприклад, у кримінальному розслідуванні, а також може спричинити проблеми з банками та іншими установами, які покладаються на реєстр.

• Суперечливість інформації : цифри та заяви у річному звіті, інформація про сталий розвиток та інформація, надана банкам або інвесторам, повинні збігатися. Суперечності підривають довіру з боку наглядових органів і можуть призвести до претензій щодо відповідальності.

Яких управлінських пасток слід уникати?

Помилки в управлінні часто є упущеннями: процедура, яка ніколи не була прийнята, ціль, яка ніколи не була встановлена, або навчання, яке ніколи не проводилося. Такі упущення керівнику легко виявити.

Серед пасток, яких слід уникати:

• Відсутність процедури викриття неправомірних дій : роботодавець з 50 або більше працівниками, який не має внутрішньої процедури, порушує Закон про захист викривачів. Процедура, яка існує, але про яку працівники не знають, на практиці забезпечує мало захисту.

• Цілі щодо гендерного балансу не встановлені або не повідомляються : великі незалежні торговельні підприємства та бізнес-підрозділи повинні щорічно звітувати перед SER. Встановлення цілей без плану їх досягнення не відповідає меті закону.

• Кібербезпека розглядається виключно як питання ІТ : згідно із Законом про кібербезпеку, рада директорів сама відповідає за обов'язок турботи та повинна проходити навчання. Рада директорів, яка повністю залишає кібербезпеку відділу ІТ, не може довести, що вона виконує власні зобов'язання.

• Процедура у разі відсутності інцидентів : терміни звітності у 24 години, 72 години та один місяць згідно із Законом про кібербезпеку, а також обов’язок повідомляти про порушення даних згідно із GDPR можуть бути виконані лише за умови, що компанія заздалегідь вирішила, хто оцінює інцидент і хто про нього повідомляє.

Як ви забезпечуєте актуальність відповідності вимогам?

Підтримуйте дотримання вимог, переглядаючи принаймні раз на рік, які правила застосовуються до вашої компанії, та перевіряючи, чи вжиті вами заходи все ще працюють. Правила змінюються, як і ваш бізнес: зростання, новий вид діяльності або придбання можуть поширити на вас режим, який раніше не застосовувався.

Порогові значення розміру, наведені в цій статті, пояснюють, чому. Компанія, яка має понад 50 співробітників, повинна запровадити процедуру викриття неправомірних дій, а організація в критичному секторі, яка перевищує порогові значення Закону про кібербезпеку, повинна зареєструватися в NCSC та виконати обов'язок щодо обачності. Включення цих порогових значень до вашого щорічного огляду дозволяє уникнути несподіванок.

Що вам слід перевірити як директору?

Кілька зобов'язань покладаються особисто на раду директорів, і стаття 2:248 BW безпосередньо пов'язує їх з відповідальністю у разі банкрутства. Ці перевірки охоплюють пункти, які створюють цей ризик.

• Річна звітність затверджується вчасно та подається до KVK протягом восьми днів з моменту усиновлення.
• Адміністративна документація відображає права та обов'язки компанії в будь-який час і зберігається протягом семи років (стаття 2:10 BW).
• Зміни в даних UBO повідомляються до KVK протягом одного тижня.
• Рішення Ради директорів та конфлікти інтересів документуються відповідно до вимог законодавства та статуту.
• Якщо застосовується Закон про кібербезпеку, рада пройшла необхідне навчання та схвалила заходи щодо ризиків.

Що вам слід перевірити як компанії?

Для організації головним завданням є знання того, які режими застосовуються та хто займається кожним із них. Почніть з цих перевірок і повторюйте їх принаймні раз на рік.

• Складіть перелік чинних законів із зазначенням порогових значень, які визначають їх застосування, наприклад, 50 працівників для процедури викриття неправомірних дій.
• Надайте кожному зобов'язанню одного власника та вкажіть терміни виконання в календарі: річна звітність, звіт про SER, перевірка UBO.
• Перевірте, чи має роботодавець з 50 або більше працівниками внутрішню процедуру звітності, з якою працівники дійсно знайомі.
• Встановіть процедуру реагування на інциденти, яка відповідає 24-годинним, 72-годинним та одномісячним термінам звітності, встановленим Законом про кібербезпеку та правилами GDPR щодо порушень даних.
• Перегляньте положення про сталий розвиток та дотримання вимог, які великі клієнти просять вас підписати.

Що ми можемо зробити для вас у сфері корпоративного комплаєнсу?

Наша команда корпоративних юристів допомагає компаніям та директорам розробити програму, яка відповідає їхньому розміру та ризикам.

• Ми визначаємо, які режими відповідності застосовуються до вашої компанії та на яких порогах.
• Ми розробляємо або переглядаємо процедуру повідомлення про викриття неправомірних дій, процедуру врегулювання інцидентів та рішення правління.
• Ми перевіряємо ваші документи, реєстрацію UBO та адміністрування на відповідність статтям 2:10 та 2:394 BW.
• Ми перевіряємо положення про сталий розвиток та дотримання вимог у контрактах з великими клієнтами.
• Ми допомагаємо під час розслідування, яке проводить AP або інший керівник, та складаємо заперечення (bezwaar) проти рішення про штраф.
• Ми консультуємо директорів щодо їхньої особистої відповідальності згідно зі статтею 2:248 Цивільного кодексу.

Резюме

• Корпоративне дотримання вимог у Нідерландах складається з окремих зобов'язань, передбачених різними законами, кожне з яких має свого наглядового органу та санкції; більшість із них забезпечуються за допомогою адміністративних штрафів.
• Кожна бізнес-компанія (BV) та незалежна бізнес-компанія (NV) повинна вести належний облік (ст. 2:10 BW), вчасно подавати річну звітність (ст. 2:394 BW) та постійно оновлювати дані про кінцевого власника (UBO); невиконання цих зобов'язань може призвести до особистої відповідальності директорів у разі банкрутства (ст. 2:248 BW).
• Закон про кібербезпеку (з 15 серпня 2026 року), Wwft та правила різноманітності в раді директорів застосовуються залежно від сектору та розміру; перевірте порогові значення для вашої компанії.
• Після Omnibus I, CSRD та CSDDD застосовуються безпосередньо лише до дуже великих компаній, але постачальники можуть стикатися з вимогами, передбаченими договорами їхніх клієнтів.
• Роботодавцям з 50 або більше працівниками потрібна внутрішня процедура інформування про викриття неправомірних дій; переглядайте свої зобов’язання принаймні раз на рік.

Часті питання