Conformitatea corporativă în Olanda: ce reguli vi se aplică?

Conformitatea corporativă în Olanda nu este un singur regim, ci un set de obligații impuse de legi diferite, fiecare cu propriul său supraveghetor și propria sancțiune. Majoritatea acestor obligații se aplică fiecărei companii olandeze, dar câteva importante depind de sectorul și dimensiunea companiei dumneavoastră, așa că primul pas este întotdeauna să stabiliți ce reguli se aplică efectiv afacerii dumneavoastră.

Ceea ce au în comun aceste obligații este faptul că majoritatea sunt aplicate pe cale administrativă. Un supraveghetor poate impune o amendă fără ca nimeni să fi suferit pierderi și fără ca cineva să fi depus o plângere. Patru blocuri acoperă majoritatea afacerilor. În primul rând, obligațiile de drept societar în temeiul Cărții 2 din Codul Civil olandez (Burgerlijk Wetboek, BW): păstrarea unor evidențe corespunzătoare, depunerea la timp a conturilor anuale, înregistrarea beneficiarilor reali finali și îndatoririle directorilor care expun personal un consiliu de administrație în cazul în care acestea sunt neglijate. În al doilea rând, protecția datelor în temeiul GDPR și al legii sale de punere în aplicare olandeze, supravegheată de Autoritatea Olandeză pentru Protecția Datelor (Autoriteit Persoonsgegevens, AP), cu amenzi calculate pe baza cifrei de afaceri la nivel mondial. În al treilea rând, obligațiile de securitate cibernetică în temeiul Legii privind securitatea cibernetică (Cyberbeveiligingswet) pentru organizațiile din sectoarele esențiale și importante desemnate, în vigoare de la 15 august 2026, care plasează responsabilitatea în mod expres asupra organului de conducere. În al patrulea rând, pentru afacerile care intră sub incidența sa, obligațiile de due diligence, monitorizare și raportare a clienților din Legea privind spălarea banilor și finanțarea terorismului (Wwft).

Peste o anumită dimensiune, se aplică cerințe suplimentare, indiferent de sector: o procedură internă pentru raportarea abaterilor în temeiul Legii privind protecția denunțătorilor (Wet bescherming klokkenluiders), obiective pentru un consiliu de administrație echilibrat și raportare privind sustenabilitatea pentru companiile care intră sub incidența cadrului european de raportare, al cărui domeniu de aplicare și calendar au fost modificate considerabil în 2026.

Ce înseamnă conformitatea corporativă în Olanda?

Conformitatea corporativă înseamnă că firma dumneavoastră îndeplinește obligațiile legale care i se aplică și poate demonstra acest lucru. În Olanda, aceste obligații provin din statutele olandeze, din regulamentele UE direct aplicabile, cum ar fi GDPR, și din actele olandeze care pun în aplicare directivele UE.

Nu există un cod de conformitate unic care să enumere tot ce trebuie să facă o companie. În schimb, fiecare lege își stabilește propriile îndatoriri, își numește propriul supraveghetor și are propriile sancțiuni. O societate comercială (BV) din sectorul tehnologic, de exemplu, are relații cu Camera de Comerț (Kamer van Koophandel, KVK) pentru depunerile și înregistrările sale, cu AP pentru datele cu caracter personal și, eventual, cu un supraveghetor sectorial în temeiul Legii privind securitatea cibernetică. Un birou fiduciar sau o instituție de plată se încadrează, de asemenea, în subordinea Wwft și a supraveghetorilor financiari. Prin urmare, stabilirea legilor aplicabile este punctul de plecare al oricărui program de conformitate.

Cum impun autoritățile de supraveghere olandeze conformitatea?

Majoritatea obligațiilor de conformitate sunt aplicate prin dreptul administrativ: supraveghetorul investighează și poate impune o amendă sau un ordin supus unei sancțiuni. Urmărirea penală este posibilă pentru anumite încălcări, dar este de obicei rezervată cazurilor grave sau deliberate.

Acest lucru are consecințe practice. Un supraveghetor nu are nevoie de o victimă sau de o plângere înainte de a acționa. Poate iniția o investigație din proprie inițiativă, de exemplu după o notificare de încălcare a securității datelor, un reportaj în mass-media sau o anchetă la nivel de sector. În timpul unei investigații, compania dumneavoastră trebuie să coopereze și să furnizeze informații în termenul stabilit de supraveghetor. O decizie privind amenzile poate fi contestată printr-o obiecție (bezwaar) adresată supraveghetorului și apoi printr-un apel la instanța administrativă.

Supervizorii se uită și la substanță, mai degrabă decât la documente. O politică pe care nimeni nu o aplică nu te protejează. Ceea ce contează este dacă măsurile sunt efectiv implementate, dacă personalul le cunoaște și dacă consiliul de administrație le monitorizează. Cuantumul unei amenzi depinde, în general, de gravitatea și durata încălcării, de gradul de culpabilitate și de măsurile luate de companie. Prin urmare, un sistem de conformitate documentat și funcțional ajută atât la prevenirea încălcărilor, cât și la limitarea consecințelor dacă ceva nu merge bine.

Ce obligații se aplică aproape fiecărei companii?

Fiecare societate comercială olandeză (BV) și societate neguvernamentală (NV) trebuie să țină evidențe corespunzătoare, să își depună conturile anuale la timp și să își înregistreze beneficiarii reali. Directorii care neglijează primele două obligații își asumă un risc personal real dacă societatea intră în faliment.

Principalele obligații prevăzute de dreptul societăților comerciale sunt următoarele:

• Administrare corespunzătoare : în conformitate cu articolul 2:10 BW, consiliul de administrație trebuie să țină evidența situației financiare a companiei astfel încât drepturile și obligațiile acesteia să poată fi cunoscute în orice moment. Consiliul de administrație trebuie să păstreze registrele, documentele și alte suporturi de date timp de șapte ani.

• Conturi anualeo societate comercială sau o societate neguvernamentală trebuie să întocmească conturi anuale și să le depună la KVK în termen de opt zile de la adoptarea lor. Conform KVK, termenul limită pentru adoptare depinde de forma juridică, dar este de cel mult douăsprezece luni după încheierea exercițiului financiar. Dacă conturile nu au fost adoptate la timp, societatea trebuie să depună conturile provizorii.

• Registrul UBOcompaniile trebuie să își înregistreze beneficiarii reali finali (UBO) la KVKUn UBO este persoana fizică care deține sau controlează în cele din urmă compania, de exemplu cineva care deține mai mult de 25% din acțiuni. Modificările trebuie raportate către KVK în termen de o săptămână. Accesul la registru a fost restricționat: publicul larg nu îl mai poate consulta, în timp ce persoanele autorizate și organismele guvernamentale, cum ar fi Administrația Fiscală, pot.

• Protecția datelor : fiecare companie care prelucrează date cu caracter personal, inclusiv date ale angajaților, trebuie să respecte GDPR. Conform articolului 83 din GDPR, cele mai grave încălcări pot duce la o amendă de până la 20 de milioane de euro sau 4% din cifra de afaceri anuală totală la nivel mondial a exercițiului financiar precedent, oricare dintre acestea este mai mare. Alte încălcări, cum ar fi nesecurizarea corectă a datelor, se sancționează cu maximum 10 milioane de euro sau 2%.

Legătura dintre aceste obligații și răspunderea personală este directă. În conformitate cu articolul 2:248 BW, fiecare administrator este răspunzător solidar față de masa falimentului dacă consiliul de administrație nu și-a îndeplinit în mod vădit atribuțiile în mod corespunzător, iar aceasta reprezintă o cauză importantă a falimentului. Articolul 2:248 alineatul 2 BW adaugă că, dacă consiliul de administrație nu și-a îndeplinit obligațiile în temeiul articolului 2:10 sau 2:394 BW (administrarea și depunerea conturilor anuale), acesta și-a îndeplinit atribuțiile în mod necorespunzător, conform legii, și se prezumă că aceasta a fost o cauză importantă a falimentului. Acțiunea se poate baza doar pe îndeplinirea necorespunzătoare a atribuțiilor în cei trei ani anteriori falimentului. Prin urmare, depunerea cu întârziere a conturilor anuale nu este un detaliu administrativ, ci un risc semnificativ pentru fiecare administrator.

Majoritatea întreprinderilor au, de asemenea, obligații în temeiul dreptului muncii, al dreptului fiscal și al dreptului consumatorilor. Acestea nu intră sub incidența acestui articol, dar aparțin aceluiași inventar de norme aplicabile.

Ce cerințe depind de sectorul și dimensiunea dumneavoastră?

Mai multe regimuri importante se aplică doar companiilor din anumite sectoare sau care depășesc anumite praguri de dimensiune. Legea privind securitatea cibernetică, Wwft, regulile privind sustenabilitatea și regulile privind diversitatea în consiliul de administrație funcționează toate în acest fel, astfel încât pragurile determină dacă trebuie să acționați deloc.

Legea privind securitatea cibernetică este un bun exemplu. A intrat în vigoare la 15 august 2026 și implementează Directiva europeană NIS2. Se aplică organizațiilor din sectoare critice care au cel puțin 50 de angajați și o cifră de afaceri anuală sau un bilanț total de peste 10 milioane EUR. În cadrul acestui grup, legea face distincție între entitățile esențiale, din sectoare foarte critice, cum ar fi energia, transporturile, sistemul bancar și asistența medicală, și entitățile importante din alte sectoare critice.

Organizațiile care intră sub incidența Legii privind securitatea cibernetică trebuie să se înregistreze la Centrul Național de Securitate Cibernetică (NCSC), să evalueze riscurile la adresa sistemelor lor digitale și să ia măsuri adecvate (obligația de diligență sau zorgplicht). Incidentele semnificative trebuie raportate în etape: o avertizare timpurie în termen de 24 de ore, o notificare a incidentului în termen de 72 de ore și un raport final în termen de o lună. Consiliul de administrație este responsabil în cele din urmă pentru obligația de diligență, trebuie să își mențină cunoștințele despre securitatea cibernetică la zi și trebuie să urmeze cursuri de formare. Amenzile pot ajunge la 10 milioane EUR sau 2% din cifra de afaceri anuală mondială pentru entitățile esențiale și la 7 milioane EUR sau 1.4% pentru entitățile importante.

Wwft se aplică unor grupuri specifice de instituții și profesioniști, cum ar fi băncile și alte instituții financiare, precum și anumitor furnizori de servicii, cum ar fi contabilii, consultanții fiscali, notarii și agenții imobiliari. Aceștia trebuie să efectueze diligența necesară pentru clienți, să monitorizeze relația de afaceri și să raporteze tranzacțiile neobișnuite către Unitatea de Informații Financiare (FIU-Nederland). Fiecare grup are propriul său supraveghetor Wwft. Dacă afacerea dumneavoastră nu este o instituție în sensul Wwft, aceste obligații nu vi se aplică în mod direct, deși banca sau contabilul dumneavoastră vă va solicita informații pentru a-și îndeplini propriile obligații.

Vi se aplică regulile de raportare a sustenabilității și de due diligence?

De când UE a adoptat Directiva Omnibus I la 24 februarie 2026, normele privind sustenabilitatea se aplică numai companiilor foarte mari. Majoritatea întreprinderilor mici și mijlocii nu intră acum sub incidența directivei de raportare și a directivei privind diligența necesară.

Directiva privind raportarea sustenabilității corporative (CSRD) impune companiilor să își raporteze performanța de mediu, socială și de guvernanță. După Omnibus I, aceasta acoperă companiile din UE cu peste 1,000 de angajați și o cifră de afaceri netă de peste 450 de milioane EUR. Pentru grupurile din afara UE, testul este o cifră de afaceri netă în UE de peste 450 de milioane EUR, combinată cu o filială sau sucursală din UE cu o cifră de afaceri de peste 200 de milioane EUR. Statele membre trebuie să implementeze aceste modificări în legislația lor națională, astfel încât momentul exact în Țările de Jos depinde de legislația olandeză de implementare.

Directiva privind diligența necesară în materie de sustenabilitate corporativă (CSDDD) impune companiilor să identifice și să abordeze impactul negativ asupra drepturilor omului și asupra mediului în lanțul lor de activități. După Omnibus I, aceasta se aplică companiilor din UE cu peste 5,000 de angajați și o cifră de afaceri netă la nivel mondial de peste 1.5 miliarde EUR, precum și companiilor din afara UE cu o cifră de afaceri netă în UE de peste 1.5 miliarde EUR. Statele membre trebuie să transpună directiva până la 26 iulie 2028, iar companiile trebuie să se conformeze începând cu 26 iulie 2029. Amenda maximă este de 3% din cifra de afaceri netă la nivel mondial. Regimul de răspundere civilă la nivelul UE, care făcea inițial parte din directivă, a fost eliminat; aplicarea răspunderii civile este acum lăsată la latitudinea legislației naționale.

Pentru companiile aflate sub aceste praguri, regulile contează în continuare indirect. Clienții mari care intră sub incidența reglementării solicită adesea furnizorilor lor informații și asigurări contractuale cu privire la propriile operațiuni. Dacă aprovizionați un astfel de client, examinați cu atenție aceste solicitări și clauze contractuale. Acestea pot crea obligații contractuale care depășesc legea în sine.

Ce reguli de guvernanță și integritate se aplică?

Atribuțiile de guvernanță depind și de tipul și dimensiunea companiei. Cele mai stricte reguli privind diversitatea în consiliul de administrație se aplică numai companiilor listate, în timp ce obligația de a avea o procedură de denunțare a neregulilor se aplică fiecărui angajator cu 50 sau mai mulți angajați.

Principalele reguli de guvernanță și integritate sunt următoarele:

• Diversitatea în consiliul de administrație : în conformitate cu Legea privind reprezentarea echilibrată a genurilor (Wet ingroeiquotum en streefcijfers), consiliul de supraveghere al unei societăți olandeze listate în Țările de Jos trebuie să fie format din cel puțin o treime femei și cel puțin o treime bărbați. O numire care nu contribuie la atingerea acestui echilibru este nulă. Societățile necotate (NV) și societățile comerciale (BV) mari care nu sunt listate trebuie să stabilească obiective adecvate și ambițioase pentru consiliul de administrație, consiliul de supraveghere și conducerea superioară, să elaboreze un plan pentru atingerea acestora și să prezinte un raport anual Consiliului Social și Economic (SER), în termen de zece luni de la sfârșitul exercițiului financiar. Legea nu prevede cote pentru experiențele profesionale.

• Sesizarea denunțătoare : în conformitate cu Legea privind protecția denunțătoarelor, angajatorii cu 50 sau mai mulți angajați trebuie să aibă o procedură internă pentru raportarea suspiciunilor de abateri. Angajații care raportează în mod corespunzător sunt protejați împotriva represaliilor.

• Codul de guvernanță corporativă : Codul de guvernanță corporativă olandez se aplică societăților listate la bursă, care trebuie să explice în raportul lor anual unde se abat de la acesta (respectă sau explică). Alte societăți îl pot utiliza ca referință, dar nu sunt obligate să îl respecte.

• Managementul riscurilor : obligația generală a directorilor de a-și îndeplini sarcinile în mod corespunzător include cunoașterea principalelor riscuri ale afacerii. Pentru organizațiile care intră sub incidența Legii privind securitatea cibernetică, această obligație este explicită pentru riscurile digitale.

Supravegherea regulilor privind denunțarea neregulilor este încă în curs de dezvoltare. Autoritatea pentru Denunțători (Huis voor Klokkenluiders) are în prezent competențe limitate pentru a pune în aplicare obligațiile angajatorului, iar un proiect de lege este în curs de elaborare pentru a consolida competențele sale de supraveghere și de aplicare a legii. Acesta nu este un motiv de așteptare: un angajat care este dezavantajat în urma unei sesizări poate deja invoca protecția actului în instanță.

Care greșeli creează cea mai mare expunere juridică?

Greșelile cu cele mai mari consecințe sunt rareori complexe. Depunerile tardive, registrele învechite și procedurile lipsă creează încălcări clare pe care un supraveghetor sau un administrator judiciar le poate stabili cu ușurință.

Care erori de documentație și de depunere sunt cele mai periculoase?

Erorile de documentație sunt periculoase deoarece legea le atașează prezumții. Dacă conturile anuale sunt depuse cu întârziere sau administrarea este incompletă, un director într-un faliment trebuie să infirme o prezumție legală în loc ca administratorul judiciar să dovedească o administrare necorespunzătoare.

Erorile la care trebuie să fiți atenți includ:

• Depunerea cu întârziere a conturilor anuale : depunerea după termenul legal declanșează prezumția prevăzută la articolul 2:248 alineatul 2 BW dacă societatea intră în faliment în termen de trei ani. Înregistrați termenele limită și asigurați-vă că acționarii adoptă conturile la timp.

• Înregistrări incomplete : o administrație care nu poate demonstra drepturile și obligațiile companiei în niciun moment nu îndeplinește prevederile articolului 2:10 BW. Acest lucru se aplică și companiilor din grup și entităților inactive.

• Date UBO învechite : schimbările în ceea ce privește proprietatea sau controlul trebuie raportate în termen de o săptămână. Informațiile învechite pot avea consecințe grave, de exemplu într-o anchetă penală, și pot cauza probleme cu băncile și alte instituții care se bazează pe registru.

• Informații inconsistente : cifrele și declarațiile din raportul anual, informațiile privind sustenabilitatea și informațiile furnizate băncilor sau investitorilor ar trebui să corespundă. Contradicțiile subminează credibilitatea în fața autorităților de supraveghere și pot duce la acțiuni în răspundere.

Ce capcane în materie de guvernanță ar trebui evitate?

Greșelile de guvernanță sunt adesea omisiuni: o procedură care nu a fost niciodată adoptată, un obiectiv care nu a fost niciodată stabilit sau o instruire care nu a avut loc niciodată. Astfel de omisiuni sunt ușor de identificat pentru un supervizor.

Capcanele de evitat includ:

• Lipsa procedurii de denunțare : un angajator cu 50 sau mai mulți angajați care nu are o procedură internă încalcă Legea privind protecția denunțătorilor. O procedură care există, dar despre care angajații nu sunt conștienți, oferă puțină protecție în practică.

• Obiective privind echilibrul de gen nestabilite sau neraportate : NV-urile și BV-urile mari trebuie să raporteze anual către SER. Stabilirea de obiective fără un plan pentru atingerea acestora nu îndeplinește scopul legii.

• Securitatea cibernetică tratată exclusiv ca o chestiune IT : în conformitate cu Legea securității cibernetice, consiliul de administrație este responsabil pentru obligația de diligență și trebuie să urmeze instruire. Un consiliu de administrație care lasă securitatea cibernetică în întregime în seama departamentului IT nu poate demonstra că își îndeplinește propriile obligații.

• Procedura fără incidente : termenele de raportare de 24 de ore, 72 de ore și o lună conform Legii privind securitatea cibernetică și obligația de a raporta încălcările de date conform GDPR pot fi respectate numai dacă societatea a decis în prealabil cine evaluează un incident și cine îl raportează.

Cum mențineți conformitatea la zi?

Mențineți conformitatea la zi verificând cel puțin o dată pe an ce reguli se aplică companiei dumneavoastră și verificând dacă măsurile luate încă funcționează. Regulile se schimbă, la fel și afacerea dumneavoastră: creșterea, o nouă activitate sau o achiziție vă pot aduce în domeniul de aplicare al unui regim care nu se aplica anterior.

Pragurile de dimensiune din acest articol arată de ce. O companie care depășește 50 de angajați trebuie să adopte o procedură de denunțare a neregulilor, iar o organizație dintr-un sector critic care depășește pragurile Legii privind securitatea cibernetică trebuie să se înregistreze la NCSC și să îndeplinească obligația de diligență. Includerea acestor praguri în raportul anual evită surprizele.

Ce ar trebui să verifici ca regizor?

Mai multe obligații revin personal consiliului de administrație, iar articolul 2:248 BW le leagă direct de răspunderea în caz de faliment. Aceste verificări acoperă punctele care creează acea expunere.

• Conturile anuale sunt adoptate la timp și depuse la KVK în termen de opt zile de la adopție.
• Actul de administrare prezintă drepturile și obligațiile companiei în orice moment și este păstrat timp de șapte ani (articolul 2:10 BW).
• Modificările datelor UBO sunt raportate către KVK în termen de o săptămână.
• Rezoluțiile consiliului de administrație și conflictele de interese sunt documentate conform legii și statutului.
• Dacă se aplică Legea privind securitatea cibernetică, consiliul a urmat instruirea necesară și a aprobat măsurile de risc.

Ce ar trebui să verificați ca și companie?

Pentru organizație, principala sarcină este de a cunoaște ce regimuri se aplică și cine se ocupă de fiecare. Începeți cu aceste verificări și repetați-le cel puțin o dată pe an.

• Faceți un inventar al legilor aplicabile, cu pragurile care decid dacă acestea se aplică, cum ar fi 50 de angajați pentru o procedură de denunțare a neregulilor.
• Atribuiți fiecărei obligații un proprietar și treceți termenele limită într-un calendar: conturi anuale, raport SER, revizuire UBO.
• Verificați dacă un angajator cu 50 sau mai mulți angajați are o procedură internă de raportare pe care angajații o cunosc efectiv.
• Stabiliți o procedură de raportare a incidentelor care să respecte termenele de raportare de 24 de ore, 72 de ore și o lună prevăzute de Legea privind securitatea cibernetică și de regulile GDPR privind încălcările de date.
• Revizuiți clauzele de sustenabilitate și conformitate pe care clienții mari vă solicită să le semnați.

Ce putem face pentru dumneavoastră în ceea ce privește conformitatea corporativă?

Echipa noastră de avocați specializați în drept corporatist ajută companiile și directorii să își construiască un program care să se potrivească dimensiunii și riscurilor lor.

• Cartografiem ce regimuri de conformitate se aplică companiei dumneavoastră și la ce praguri.
• Redactăm sau revizuim procedura de denunțare a neregulilor, procedura de incidente și hotărârile consiliului de administrație.
• Verificăm depunerile dumneavoastră, înregistrarea UBO și administrarea în conformitate cu articolele 2:10 și 2:394 BW.
• Verificăm clauzele de sustenabilitate și conformitate din contractele cu clienții mari.
• Asistăm în timpul unei investigații efectuate de AP sau de un alt supraveghetor și redactăm obiecția (bezwaar) împotriva unei decizii privind amenzile.
• Consiliem directorii cu privire la răspunderea lor personală în temeiul Articolului 2:248 BW.

Rezumat

• Conformitatea corporativă în Olanda constă în obligații separate din diferite legi, fiecare cu propriul său supraveghetor și sancțiuni; majoritatea sunt aplicate prin amenzi administrative.
• Fiecare societate comercială autorizată (BV) și societate neguvernamentală (NV) trebuie să țină evidențe corespunzătoare (art. 2:10 BW), să depună conturile anuale la timp (art. 2:394 BW) și să își mențină datele UBO la zi; neîndeplinirea obligațiilor poate face ca administratorii să fie răspunzători personal în caz de faliment (art. 2:248 BW).
• Legea privind securitatea cibernetică (din 15 august 2026), Wwft și regulile privind diversitatea în consiliul de administrație se aplică în funcție de sector și dimensiune; verificați pragurile pentru compania dumneavoastră.
• După Omnibus I, CSRD și CSDDD se aplică direct doar companiilor foarte mari, însă furnizorii se pot confrunta cu cerințe prin contractele cu clienții lor.
• Angajatorii cu 50 sau mai mulți angajați au nevoie de o procedură internă de denunțare a neregulilor; revizuiți-vă obligațiile cel puțin o dată pe an.

Întrebări frecvente