Vállalati megfelelőségi szabályok Hollandiában

A vállalati megfelelőség Hollandiában nem egyetlen rendszer, hanem különböző törvényekből eredő kötelezettségek összessége, mindegyiknek megvan a saját felügyelete és szankciója. Ezen kötelezettségek többsége minden holland vállalatra vonatkozik, de számos fontos közülük az ágazattól és a mérettől függ, ezért az első lépés mindig annak megállapítása, hogy mely szabályok vonatkoznak ténylegesen az Ön vállalkozására.

A kötelezettségek közös jellemzője, hogy legtöbbjüket közigazgatási úton érvényesítik. A felügyelő bírságot szabhat ki anélkül, hogy bárki kárt szenvedett volna, és anélkül, hogy bárki panaszt tett volna. Négy blokk fedi le a vállalkozások többségét. Először is, a holland Polgári Törvénykönyv (Burgerlijk Wetboek, BW) 2. könyve szerinti társasági jogi kötelezettségek: megfelelő nyilvántartások vezetése, az éves beszámolók határidőre történő benyújtása, a végső tényleges tulajdonosok nyilvántartásba vétele, valamint az igazgatók azon feladatai, amelyek személyesen kiszolgáltatottá teszik az igazgatótanácsot, ha ezeket elmulasztják. Másodszor, az adatvédelem a GDPR és annak holland végrehajtási törvénye szerint, amelyet a Holland Adatvédelmi Hatóság (Autoriteit Persoonsgegevens, AP) felügyel, a bírságok a világméretű forgalom alapján számítva. Harmadszor, a kiberbiztonsági törvény (Cyberbeveiligingswet) szerinti kiberbiztonsági kötelezettségek a kijelölt alapvető és fontos ágazatokban működő szervezetek számára, amely 2026. augusztus 15. óta van hatályban, és amely kifejezetten a vezető testületre hárítja a felelősséget. Negyedszer, a hatálya alá tartozó vállalkozások számára a pénzmosás és a terrorizmusfinanszírozás megelőzéséről szóló törvény (Wwft) szerinti ügyfél-átvilágítási, monitoring és jelentéstételi kötelezettségek.

Bizonyos méret felett további követelmények vonatkoznak az ágazattól függetlenül: belső eljárás a visszaélések bejelentésére a visszaélések védelméről szóló törvény (Wet bescherming klokkenluiders) értelmében, célok a kiegyensúlyozott igazgatótanácsra vonatkozóan, valamint fenntarthatósági jelentéstétel az európai jelentéstételi keretrendszer hatálya alá tartozó vállalatok számára, amelynek hatályát és időzítését 2026-ban jelentősen módosították.

Egy csak papíron létező megfelelési program korlátozott értékkel bír, mivel a felügyelők a végrehajtást, nem pedig a dokumentációt értékelik. Ez a cikk ismerteti, hogy mit írnak elő az egyes kötelezettségek, hogyan közelítik meg a felügyelők a végrehajtást, és hogyan lehet a vállalkozás méretével arányos programot felépíteni.

Tartalomjegyzék

• Mit jelent a vállalati megfelelőség Hollandiában?

• Hogyan biztosítják a holland felügyeletek a megfelelést?

• Milyen kötelezettségek vonatkoznak szinte minden vállalatra?

• Mely követelmények függenek az ágazattól és a mérettől?

• Vonatkoznak Önre a fenntarthatósági jelentéstételre és a kellő gondosságra vonatkozó szabályok?

• Mely irányítási és integritási szabályok vonatkoznak?

• Mely hibák okozzák a legnagyobb jogi kockázatot?

• Dokumentációs és benyújtási hibák

• Irányítási és integritási buktatók

• Hogyan tartják naprakészen a megfelelőséget?

• Hogyan kell felállítani egy megfelelőségi struktúrát?

• Hogyan építsünk ki egy olyan kultúrát, amely támogatja a megfelelést?

Mit jelent a vállalati megfelelőség Hollandiában?

A vállalati megfelelőség azt jelenti, hogy a vállalat eleget tesz a rá vonatkozó jogi kötelezettségeknek, és ezt bizonyítani is tudja. Hollandiában ezek a kötelezettségek holland törvényekből, közvetlenül alkalmazandó uniós rendeletekből, például a GDPR-ból, valamint az uniós irányelveket végrehajtó holland törvényekből erednek.

Nincs egységes megfelelőségi kódex, amely felsorolná mindazt, amit egy vállalatnak meg kell tennie. Ehelyett minden törvény maga határozza meg a feladatait, kijelöli a saját felügyelőjét, és megvannak a saját szankciói. Egy technológiai szektorban működő BV például a Kereskedelmi Kamarával (Kamer van Koophandel, ...) működik együtt. KVK) bejelentéseihez és nyilvántartási bejegyzéseihez, az AP-hez a személyes adatokhoz, és esetleg egy ágazati felügyeleti szervhez a kiberbiztonsági törvény értelmében. A vagyonkezelői iroda vagy a fizetési intézmény szintén a Wwft és a pénzügyi felügyeletek hatálya alá tartozik. Ezért az alkalmazandó törvények feltérképezése minden megfelelési program kiindulópontja.

Hogyan biztosítják a holland felügyeletek a megfelelést?

A legtöbb megfelelési kötelezettséget közigazgatási jog útján érvényesítik: a felügyelő kivizsgálja az esetet, és bírságot vagy büntetéssel járó végzést szabhat ki. Bizonyos jogsértések esetén büntetőeljárás is lehetséges, de általában súlyos vagy szándékos esetekben tartják fenn.

Ennek gyakorlati következményei vannak. A felügyelőnek nincs szüksége áldozatra vagy panaszra a cselekvéshez. Saját kezdeményezésére is indíthat vizsgálatot, például adatvédelmi incidens bejelentése, médiajelentés vagy ágazati szintű vizsgálat után. A vizsgálat során a vállalatának együtt kell működnie és információkat kell szolgáltatnia a felügyelő által meghatározott határidőn belül. A bírságról szóló határozatot kifogással (bezwaar) lehet megtámadni a felügyelőnél, majd fellebbezéssel a közigazgatási bírósághoz.

A felügyelők a tartalmat is vizsgálják, nem pedig a papírmunkát. Egy olyan szabályzat, amelyet senki sem alkalmaz, nem véd meg. Az számít, hogy az intézkedéseket ténylegesen végrehajtják-e, hogy a személyzet ismeri-e azokat, és hogy az igazgatótanács figyelemmel kíséri-e azokat. A bírság mértéke általában a jogsértés súlyosságától és időtartamától, a vétkesség mértékétől és a vállalat által hozott intézkedésektől függ. Egy dokumentált, működő megfelelőségi rendszer tehát segít megelőzni a jogsértéseket, és korlátozni a következményeket, ha valami mégis rosszul sül el.

Milyen kötelezettségek vonatkoznak szinte minden vállalatra?

Minden holland BV-nek és NV-nek megfelelő nyilvántartást kell vezetnie, időben be kell nyújtania éves beszámolóját, és regisztrálnia kell a végső tényleges tulajdonosait. Azok az igazgatók, akik elhanyagolják az első két kötelezettséget, valódi személyes kockázatot vállalnak, ha a vállalat csődbe megy.

A társasági jog szerinti főbb kötelezettségek a következők:

• Megfelelő ügyintézés : a BW 2:10 cikkelye értelmében az igazgatótanácsnak nyilvántartást kell vezetnie a társaság pénzügyi helyzetéről oly módon, hogy jogai és kötelezettségei bármikor megismerhetők legyenek. Az igazgatótanácsnak hét évig meg kell őriznie a könyveket, dokumentumokat és egyéb adathordozókat.

• Éves beszámoló: a BV-nek vagy NV-nek éves beszámolót kell készítenie, és azt be kell nyújtania a KVK az elfogadásuktól számított nyolc napon belül. A ... szerint KVK, az elfogadás határideje a jogi formától függ, de legfeljebb a pénzügyi év végét követő tizenkét hónap. Ha a beszámolót nem fogadták el időben, a társaságnak be kell nyújtania az előzetes beszámolót.

• UBO regisztrációa vállalatoknak regisztrálniuk kell a végső tényleges tulajdonosaikat (UBO-ikat) a KVKA végső tulajdonos (UBO) az a természetes személy, aki végső soron a vállalat tulajdonosa vagy irányítója, például valaki, aki a részvények több mint 25%-ával rendelkezik. A változásokat be kell jelenteni a KVK egy héten belül. A nyilvántartáshoz való hozzáférést korlátozták: a nagyközönség már nem tekintheti meg, míg a jogosult személyek és a kormányzati szervek, például az Adóhatóság igen.

• Adatvédelem : minden olyan vállalatnak, amely személyes adatokat, beleértve az alkalmazottak adatait is, feldolgoz, be kell tartania a GDPR-t. A GDPR 83. cikke értelmében a legsúlyosabb jogsértések akár 20 millió eurós vagy az előző pénzügyi év teljes éves világméretű forgalmának 4%-át kitevő bírságot is kiszabhatnak, attól függően, hogy melyik a magasabb. Egyéb jogsértések, például az adatok nem megfelelő védelmének elmulasztása, legfeljebb 10 millió eurós vagy 2%-os bírsággal járnak.

E kötelezettségek és a személyes felelősség közötti kapcsolat közvetlen. A BW 2:248. cikke értelmében minden igazgató egyetemlegesen felelős a csődvagyonért, ha az igazgatótanács nyilvánvalóan nem teljesítette megfelelően feladatait, és ez a csődeljárás egyik fontos oka. A BW 2:248. cikkének (2) bekezdése hozzáteszi, hogy ha az igazgatótanács nem teljesítette a BW 2:10. vagy 2:394. cikke szerinti kötelezettségeit (az éves beszámoló kezelése és benyújtása), akkor a feladatait törvényileg nem megfelelően látta el, és vélelmezni kell, hogy ez a csődeljárás egyik fontos oka volt. A követelés csak a csődeljárást megelőző három évben elkövetett nem megfelelő teljesítésen alapulhat. Az éves beszámoló késedelmes benyújtása ezért nem adminisztratív részletkérdés, hanem jelentős kockázat minden igazgatótanács számára.

Az alábbi táblázat összefoglalja ezeket az alapvető kötelezettségeket:

A legtöbb vállalkozásnak munkajogi, adójogi és fogyasztóvédelmi kötelezettségei is vannak. Ezek kívül esnek e cikk keretein, de az alkalmazandó szabályok ugyanazon listájába tartoznak.

Mely követelmények függenek az ágazattól és a mérettől?

Számos fontos szabályozás csak bizonyos ágazatokban működő vagy bizonyos méretküszöbértékek feletti vállalatokra vonatkozik. A kiberbiztonsági törvény, a Wwft, a fenntarthatósági szabályok és az igazgatósági sokszínűségi szabályok mind így működnek, így a küszöbértékek határozzák meg, hogy egyáltalán kell-e cselekedni.

A kiberbiztonsági törvény jó példa erre. 2026. augusztus 15-én lépett hatályba, és végrehajtja az európai NIS2 irányelvet. A kritikus ágazatokban működő szervezetekre vonatkozik, amelyek legalább 50 alkalmazottat foglalkoztatnak, és éves árbevételük vagy mérlegfőösszegük meghaladja a 10 millió eurót. Ezen a csoporton belül a törvény különbséget tesz a nagyon kritikus ágazatokban, például az energiaiparban, a közlekedésben, a banki szektorban és az egészségügyben működő alapvető szervezetek, valamint más kritikus ágazatok fontos szervezetei között.

A kiberbiztonsági törvény hatálya alá tartozó szervezeteknek regisztrálniuk kell a Nemzeti Kiberbiztonsági Központnál (NCSC), fel kell mérniük a digitális rendszereiket fenyegető kockázatokat, és meg kell tenniük a megfelelő intézkedéseket (a gondossági kötelezettség, vagy zorgplicht). A jelentős incidenseket szakaszosan kell jelenteni: korai figyelmeztetés 24 órán belül, incidensértési értesítés 72 órán belül, és zárójelentés egy hónapon belül. A testület végső soron felelős a gondossági kötelezettségért, naprakészen kell tartania kiberbiztonsági ismereteit, és képzéseken kell részt vennie. A bírságok elérhetik a 10 millió eurót vagy a világméretű éves forgalom 2%-át a létfontosságú szervezetek esetében, és a 7 millió eurót vagy a világméretű éves forgalom 1.4%-át a fontos szervezetek esetében.

A Wwft meghatározott intézmény- és szakembercsoportokra vonatkozik, például bankokra és más pénzügyi intézményekre, valamint bizonyos szolgáltatókra, például könyvelőkre, adótanácsadókra, közjegyzőkre és ingatlanügynökökre. Ügyfél-átvilágítást kell végezniük, figyelemmel kell kísérniük az üzleti kapcsolatot, és jelenteniük kell a szokatlan tranzakciókat a pénzügyi hírszerző egységnek (FIU-Nederland). Minden csoportnak megvan a saját Wwft-felügyelője. Ha vállalkozása nem minősül intézménynek a Wwft értelmében, ezek a kötelezettségek nem vonatkoznak Önre közvetlenül, bár bankja vagy könyvelője információkat fog kérni Öntől saját kötelezettségeinek teljesítése érdekében.

Vonatkoznak Önre a fenntarthatósági jelentéstételre és a kellő gondosságra vonatkozó szabályok?

Amióta az EU 2026. február 24-én elfogadta az Omnibus I. irányelvet, a fenntarthatósági szabályok csak a nagyon nagyvállalatokra vonatkoznak. A legtöbb kis- és középvállalkozás mostantól kívül esik mind a jelentéstételi irányelv, mind a kellő gondossággal kapcsolatos irányelv hatályán.

A vállalati fenntarthatósági jelentéstételi irányelv (CSRD) előírja a vállalatok számára, hogy jelentést tegyenek környezeti, társadalmi és irányítási teljesítményükről. Az Omnibus I után az 1,000-nél több alkalmazottat foglalkoztató és 450 millió eurónál nagyobb nettó árbevételű uniós vállalatokra terjed ki. A nem uniós csoportok esetében a teszt a 450 millió eurónál nagyobb nettó árbevétel az EU-ban, amelyhez egy 200 millió eurónál nagyobb árbevételű uniós leányvállalat vagy fióktelep kapcsolódik. A tagállamoknak ezeket a módosításokat a nemzeti jogukban kell végrehajtaniuk, így a pontos időzítés Hollandiában a holland végrehajtási jogszabályoktól függ.

A vállalati fenntarthatósági kellő gondosságról szóló irányelv (CSDDD) előírja a vállalatok számára, hogy azonosítsák és kezeljék a tevékenységi láncukban jelentkező káros emberi jogi és környezeti hatásokat. Az Omnibus I. után az 5,000-nél több alkalmazottat foglalkoztató és 1.5 milliárd eurót meghaladó világméretű nettó árbevételű uniós vállalatokra, valamint az 1.5 milliárd eurót meghaladó nettó árbevételű, nem uniós vállalatokra vonatkozik. A tagállamoknak 2028. július 26-ig kell átültetniük az irányelvet, a vállalatoknak pedig 2029. július 26-tól kell megfelelniük annak. A maximális bírság a világméretű nettó árbevétel 3%-a. Az irányelv eredetileg részét képező, uniós szintű polgári jogi felelősségi rendszert eltávolították; a polgári jogi felelősség alkalmazandósága mostantól a nemzeti jogra van bízva.

Az ezen küszöbértékek alatti vállalatok számára a szabályok közvetve továbbra is számítanak. A hatály alá tartozó nagy ügyfelek gyakran kérnek információkat és szerződéses biztosítékokat beszállítóiktól a saját működésükkel kapcsolatban. Ha ilyen ügyfélnek szállít, gondosan tekintse át ezeket a kéréseket és szerződéses záradékokat. Ezek olyan szerződéses kötelezettségeket hozhatnak létre, amelyek túlmutatnak magán a törvényen.

Mely irányítási és integritási szabályok vonatkoznak?

Az irányítási feladatok a vállalat típusától és méretétől is függenek. A legszigorúbb igazgatósági sokszínűségi szabályok csak a tőzsdén jegyzett társaságokra vonatkoznak, míg a visszaélés-bejelentési eljárás kötelezettsége minden 50 vagy több alkalmazottat foglalkoztató munkáltatóra vonatkozik.

A főbb irányítási és integritási szabályok a következők:

• Igazgatótanácsi sokszínűség : a nemek közötti egyensúlyról szóló törvény (Wet ingroeiquotum en streefcijfers) értelmében a Hollandiában jegyzett holland társaságok felügyelőbizottságának legalább egyharmadának nőből és legalább egyharmadának férfiból kell állnia. Az a kinevezés, amely nem járul hozzá ennek az egyensúlynak az eléréséhez, érvénytelen. A nem tőzsdén jegyzett nagy NV-knek és BV-knek megfelelő és ambiciózus célokat kell kitűzniük az igazgatótanács, a felügyelőbizottság és a felső vezetés számára, tervet kell kidolgozniuk ezek elérésére, és évente, a pénzügyi év végét követő tíz hónapon belül jelentést kell tenniük a Szociális és Gazdasági Tanácsnak (SER). A törvény nem ír elő kvótákat a szakmai háttérrel rendelkezők számára.

• Visszaélések bejelentése : a visszaélések bejelentőinek védelméről szóló törvény értelmében az 50 vagy több alkalmazottat foglalkoztató munkáltatóknak belső eljárással kell rendelkezniük a feltételezett szabálysértések bejelentésére. Azok az alkalmazottak, akik szabályosan jelentik a helyzetet, védve vannak a megtorlástól.

• Vállalatirányítási kódex : a holland vállalatirányítási kódex a tőzsdén jegyzett társaságokra vonatkozik, amelyeknek éves jelentésükben ki kell fejteniük, hogy hol térnek el tőle (betartják vagy megindokolják). Más vállalatok referenciaként használhatják, de nem kötelező érvényűek számukra.

• Kockázatkezelés : az igazgatók általános kötelessége feladataik megfelelő ellátása magában foglalja az üzleti tevékenység főbb kockázatainak megismerését. A kiberbiztonsági törvény hatálya alá tartozó szervezetek esetében ez a kötelezettség kifejezetten a digitális kockázatok tekintetében szerepel.

Az alábbi táblázat bemutatja, hogy kikre vonatkoznak ezek az irányítási szabályok:

A visszaélés-bejelentési szabályok felügyelete még fejlesztés alatt áll. A Visszaélés-bejelentési Hatóság (Huis voor Klokkenluiders) jelenleg korlátozott hatáskörrel rendelkezik a munkáltatói kötelezettségek érvényesítésére, és egy törvényjavaslat készül a felügyeleti és végrehajtási hatásköreinek megerősítésére. Ez nem ok a várakozásra: a bejelentés után hátrányos helyzetbe került alkalmazott már most is hivatkozhat a törvény védelmére a bíróságon.

Az irányítás arról is szól, hogyan működik a gyakorlatban az igazgatótanács és a felügyelőbizottság. A döntéshozatalnak az alapszabálynak megfelelően kell történnie, és azt megfelelően dokumentálni kell, az összeférhetetlenséget a törvény és az alapszabály előírásai szerint kell kezelni, és az igazgatótanácsnak képesnek kell lennie bemutatni, hogyan figyeli az üzleti kockázatokat. A jegyzőkönyvek, az igazgatótanácsi határozatok és a feladatok egyértelmű megosztása azok a bizonyítékok, amelyekre egy igazgatónak szüksége van, ha a magatartását később megkérdőjelezik.

Mely hibák okozzák a legnagyobb jogi kockázatot?

A legnagyobb következményekkel járó hibák ritkán bonyolultak. A késedelmes bejelentések, az elavult nyilvántartások és a hiányzó eljárások egyértelmű szabálysértéseket okoznak, amelyeket egy felügyelő vagy egy csődgondnok könnyen megállapíthat.

Sok kockázat abból adódik, hogy a szervezeten belül senki sem felelős egy adott kötelezettségért, vagy mert a határidő sehol sincs rögzítve. Egy olyan megfelelési program, amely a kötelezettségek, tulajdonosok és határidők egyszerű listájával kezdődik, a legtöbb ilyen problémát megelőzi.

Dokumentációs és benyújtási hibák

A dokumentációs hibák veszélyesek, mert a törvény vélelmeket fűz hozzájuk. Ha az éves beszámolót késedelmesen nyújtják be, vagy a vagyonkezelés hiányos, a csődeljárásban az igazgatónak kell megcáfolnia a törvényes vélelmet, ahelyett, hogy a vagyonkezelőnek kellene bizonyítania a nem megfelelő irányítást.

A figyelendő hibák többek között:

• Az éves beszámoló késedelmes benyújtása : a törvényes határidő utáni benyújtás a BW 2:248. cikkelyének 2. bekezdésében foglalt vélelmet váltja ki, ha a társaság három éven belül csődbe megy. A határidőket rögzíteni kell, és gondoskodni kell arról, hogy a részvényesek időben elfogadják a beszámolót.

• Hiányos nyilvántartások : az adminisztráció, amely semmilyen pillanatban nem tudja bemutatni a vállalat jogait és kötelezettségeit, nem felel meg a BW 2:10 cikkének. Ez vonatkozik a csoportvállalatokra és az alvó szervezetekre is.

• Elavult UBO adatok : a tulajdonosi vagy irányítási változásokat egy héten belül be kell jelenteni. Az elavult információknak súlyos következményei lehetnek például bűnügyi nyomozás során, és problémákat okozhatnak a bankoknál és más, a nyilvántartásra támaszkodó intézményeknél.

• Ellentmondásos információk : az éves jelentésben szereplő adatoknak és állításoknak, a fenntarthatósági információknak, valamint a bankoknak vagy befektetőknek adott információknak meg kell egyezniük. Az ellentmondások aláássák a felügyeleti szervek hitelességét, és felelősségre vonási igényekhez vezethetnek.

Irányítási és integritási buktatók

Az irányítási hibák gyakran mulasztások: egy soha nem elfogadott eljárás, egy soha nem kitűzött cél, vagy soha nem lezajlott képzés. Az ilyen mulasztásokat a felügyelő könnyen azonosíthatja.

A kerülendő buktatók közé tartoznak:

• Nincs belső eljárás a visszaélés-bejelentésre : az 50 vagy több alkalmazottat foglalkoztató munkáltató, amelynek nincs belső eljárása, megsérti a visszaélés-bejelentők védelméről szóló törvényt. Egy olyan eljárás, amely létezik, de amelyről az alkalmazottak nem tudnak, a gyakorlatban kevés védelmet nyújt.

• A nemek közötti egyensúlyra vonatkozó célok nincsenek kitűzve vagy nem kerülnek bejelentésre : a nagy NV-knek és BV-knek évente jelentést kell tenniük a SER-nek. A célok kitűzése azok elérésére vonatkozó terv nélkül nem felel meg a törvény céljának.

• A kiberbiztonságot kizárólag informatikai kérdésként kezelik : a kiberbiztonsági törvény értelmében maga az igazgatótanács felelős a gondossági kötelezettségért, és képzésen kell részt vennie. Az az igazgatótanács, amely a kiberbiztonságot teljes mértékben az informatikai osztályra bízza, nem tudja bizonyítani, hogy eleget tesz saját kötelezettségeinek.

• Nincs incidenskezelési eljárás : a kiberbiztonsági törvény szerinti 24 órás, 72 órás és egy hónapos jelentési határidők, valamint a GDPR szerinti adatvédelmi incidensek bejelentési kötelezettsége csak akkor teljesíthető, ha a vállalat előre eldöntötte, hogy ki értékeli az incidenst, és ki jelenti azt.

A sikeres megfelelés ötvözi a jogi követelményeket a szervezet tényleges működésével. Az alkalmazottaknak tudniuk kell, mely szabályok vonatkoznak a munkájukra, hogyan jelenthetik aggályaikat, és mi történik egy jelentéssel. A képzésnek az egyes szerepkörökhöz kapcsolódó kockázatokra kell összpontosítania, nem pedig az általános elvekre.

A technológia segíthet, de önmagában nem oldja meg a problémát. Egy kötelezettségeket, határidőket és tulajdonosokat tartalmazó táblázat gyakran hatékonyabb, mint egy drága, senki által nem frissített rendszer. A lényeg az, hogy az információk teljesek, naprakészek és rendszeresen ellenőrizve legyenek.

A szabályok be nem tartásának következményei túlmutatnak a bírságokon. A felügyelő nyilvánosságra hozhatja döntését, a bankok és az ügyfelek kérdéseket tehetnek fel, az igazgatók pedig személyesen felelősségre vonhatók. Az egyik területen elkövetett hibák egy másikat is befolyásolhatnak: egy adatvédelmi incidens egyszerre vezethet GDPR-vizsgálathoz, kiberbiztonsági jelentéshez és az ügyfelek kérdéseire.

Ezen hibák elkerülése végső soron a vezetésen múlik. Amikor az igazgatótanács a megfelelést az üzletvezetés részeként kezeli, és nem a jogi osztály különálló feladataként, a kötelezettségek sokkal nagyobb valószínűséggel teljesülnek.

Hogyan tartják naprakészen a megfelelőséget?

Tartsa naprakészen a megfelelőséget legalább évente egyszer annak felülvizsgálatával, hogy mely szabályok vonatkoznak vállalatára, és ellenőrizze, hogy a megtett intézkedések továbbra is működnek-e. A szabályok változnak, és így változik a vállalkozása is: a növekedés, egy új tevékenység vagy egy felvásárlás olyan szabályozás hatálya alá sodorhatja Önt, amely korábban nem volt érvényes.

A cikkben szereplő méretküszöbök bemutatják, miért. Egy olyan vállalatnak, amely meghaladja az 50 alkalmazottat, visszaélés-bejelentési eljárást kell bevezetnie, és egy kritikus ágazatban működő szervezetnek, amely átlépi a kiberbiztonsági törvény küszöbértékeit, regisztrálnia kell az NCSC-nél, és teljesítenie kell a gondossági kötelezettséget. Ezen küszöbértékek beépítése az éves felülvizsgálatba elkerüli a meglepetéseket.

Hogyan kell felállítani egy megfelelőségi struktúrát?

Egy működőképes megfelelőségi struktúra a vállalatra vonatkozó kötelezettségek leltárával, az egyes kötelezettségekhez tartozó tulajdonos kijelölésével és a határidők naptárával kezdődik. Innentől kezdve a vállalat méretével és kockázataival arányos szabályzatokat, eljárásokat és dokumentációt adhat hozzá.

A megfelelőségi struktúra fő elemei a következők:

• Kötelezettségek leltárja : a vállalatára vonatkozó törvények listája, az alkalmazandóságot meghatározó küszöbértékekkel együtt.

• Egyértelmű felelősségi körök : minden egyes kötelezettségért egy személy felelős, és egy igazgatósági tag, aki a végső felelősséget viseli.

• Határidőnaptár : az éves beszámoló elfogadásának és benyújtásának, a SER-nek való jelentéstételnek, a végső tulajdonos adatainak felülvizsgálatának és egyéb ismétlődő kötelezettségeknek a dátumai.

• Dokumentáció : olyan feljegyzések, amelyek bemutatják a vállalat által végzett tevékenységeket, például igazgatósági határozatok, kockázatértékelések, képzési feljegyzések és eseménynaplók.

• Időszakos felülvizsgálat : annak éves ellenőrzése, hogy a leltár továbbra is teljes-e, és hogy az intézkedések a gyakorlatban működnek-e.

Hogyan építsünk ki egy olyan kultúrát, amely támogatja a megfelelést?

A megfelelést támogató kultúra az igazgatótanácsnál kezdődik. Amikor az igazgatók láthatóan maguk is betartják a szabályokat, komolyan veszik a jelentéseket, és időt szánnak a megfelelésre az igazgatótanácsi üléseken, az alkalmazottak is ugyanezt fogják tenni.

Gyakorlati lépések a következők:

• Látható elkötelezettség az igazgatótanács részéről : a megfelelés rendszeresen szerepel az igazgatótanács napirendjén, és az igazgatótanács jelentéseket kap az incidensekről és az értékelésekről.

• Biztonságos módszerek az aggályok felvetésére : az alkalmazottak tudják, hogyan jelentsék a feltételezett szabálytalanságokat, és bízhatnak abban, hogy védve lesznek a megtorlással szemben, ahogyan azt a visszaélést bejelentő személyek védelméről szóló törvény előírja.

• A szerepkörhöz illő képzés : a személyes adatokat feldolgozó, fizetéseket kezelő vagy informatikai rendszereket kezelő alkalmazottak képzésben részesülnek a saját munkájuk során felmerülő kockázatokról. A kiberbiztonsági törvény hatálya alá tartozó szervezetek esetében magát az igazgatótanácsot is ki kell képezni.

• Nyomon követés : a jelentéseket és incidenseket kivizsgálják, az eredményt rögzítik, és szükség esetén módosítják az eljárásokat.

A megfelelés nem egyszeri projekt. Az új jogszabályok, mint például a 2026-os kiberbiztonsági törvény és a módosított fenntarthatósági szabályok, azt mutatják, hogy a jogi keretrendszer folyamatosan változik. Jelöljön ki valakit, aki nyomon követi az ágazata szempontjából releváns fejleményeket, és tervezzen időt a változások végrehajtására, mielőtt azok hatályba lépnének.

A monitoring és jelentéskészítés eszközei hasznosak lehetnek, különösen nagyobb szervezeteknél. Győződjön meg azonban arról, hogy minden eszköz megfelel az Önre vonatkozó tényleges kötelezettségeknek, és hogy valaki ellenőrzi-e az általa előállított adatok helyességét. A felettes az eredményt fogja megítélni, nem a szoftvert.

A megfelelőségbe való befektetésnek üzleti oldala is van. A bankok, a befektetők és a nagy ügyfelek egyre gyakrabban kérnek bizonyítékot arra vonatkozóan, hogy a vállalat ügyei rendben vannak. Az a vállalat, amely gyorsan be tudja mutatni nyilvántartásait, eljárásait és nyilvántartásait, erősebb pozícióban van a finanszírozási fordulókban, az átvilágításokon és a pályázatokon.

Végső soron a megfelelés akkor működik a legjobban, ha az a vállalkozás működésének része. Egy olyan vállalat, amely ismeri a kötelezettségeit, egyértelműen meghatározza a felelősségi köröket, és rendszeresen ellenőrzi, hogy intézkedései működnek-e, általában megelőzheti a problémákat, és megmutathatja a felettesének, hogy komolyan veszi a kötelezettségeit.

Összefoglalva

• Hollandiában a vállalati megfelelőség különböző törvényekből eredő különálló kötelezettségekből áll, amelyek mindegyikének megvan a saját felügyelete és szankciói; a legtöbbet közigazgatási bírságokkal érvényesítik.
• Minden BV-nek és NV-nek megfelelő nyilvántartást kell vezetnie (BW 2:10. cikk), határidőre be kell nyújtania az éves beszámolóját (BW 2:394. cikk), és naprakészen kell tartania a végső tulajdonos (UBO) adatait; a mulasztások személyesen felelőssé tehetik az igazgatókat csődeljárás esetén (BW 2:248. cikk).
• A kiberbiztonsági törvény (2026. augusztus 15. óta), a Wwft és az igazgatósági sokszínűségi szabályok ágazattól és mérettől függően érvényesek; ellenőrizze a vállalatára vonatkozó küszöbértékeket.
• Az Omnibus I után a CSRD és a CSDDD csak a nagyon nagyvállalatokra vonatkozik közvetlenül, de a beszállítók az ügyfeleik szerződésein keresztül szembesülhetnek követelményekkel.
• Az 50 vagy több alkalmazottat foglalkoztató munkáltatóknak belső visszaélés-bejelentési eljárással kell rendelkezniük; legalább évente egyszer tekintsék át kötelezettségeiket.

Gyakran Ismételt Kérdések

Nem biztos benne, hogy hol áll? Meséljen nekünk a helyzetéről. Egy munkanapon belül tájékoztatjuk a lehetőségeiről.

Hogyan Law & More segíthetünk ebben, ezt elmagyarázzuk a mi oldalunkon vállalati ügyvéd cimre.