El panorama del cumplimiento en Kuwait descansa sobre cuatro pilares que alcanzan a casi toda empresa en operación: la Ley de Sociedades dictada por la Ley n.º 1 de 2016, el régimen de la Autoridad de Mercados de Capitales creado por la Ley n.º 7 de 2010, el marco de lucha contra el blanqueo de capitales de la Ley n.º 106 de 2013 modificada en 2025, y las reglas de protección de datos dictadas por la Autoridad Reguladora de Comunicaciones y Tecnologías de la Información. Cada pilar lleva consigo sus propios deberes de presentación, estándares de evidencia y sanciones. Este artículo traza el marco y luego aborda la disciplina práctica que decide si una entidad kuwaití puede defender sus decisiones: evidencia y escalación.
El marco: cuatro regímenes, una sola sociedad
La Ley de Sociedades, Ley n.º 1 de 2016, gobierna toda sociedad mercantil kuwaití y fija el suelo de gobierno: formación del consejo, juntas de accionistas, revelación y responsabilidad de los administradores. Su reglamento de aplicación se dictó por la Decisión Ministerial n.º 287 de 2016. Las sociedades con licencia de actividades de valores se suman a la Capital Markets Authority, establecida por la Ley n.º 7 de 2010, cuyos Reglamentos de Ejecución se dictaron por la Resolución del consejo de la CMA n.º 72 de 2015 y hoy suman diecinueve módulos. Toda sociedad que sea institución financiera o negocio o profesión no financiera designada según el artículo 1 de la Ley n.º 106 de 2013 soporta deberes de lucha contra el blanqueo de capitales, y los proveedores licenciados por la CITRA que tratan datos personales responden al Reglamento de Protección de Datos dictado por la Decisión n.º 26 de 2024.
El error que vemos con más frecuencia es tratar estos regímenes como proyectos separados a cargo de equipos distintos. Una sola aprobación, por ejemplo el alta de un nuevo cliente corporativo en una correduría con licencia de la CMA, puede activar las condiciones de licencia de valores del módulo cinco de los Reglamentos de Ejecución, los deberes de revelación del módulo diez, la diligencia debida con el cliente de la Ley n.º 106 de 2013 y, cuando un proveedor de servicios licenciado por la CITRA trata los datos personales del cliente, las reglas de tratamiento de datos de la Decisión n.º 26 de 2024, varias de ellas a la vez. El diseño del cumplimiento en Kuwait empieza por un mapa regulatorio por entidad y por actividad, no por una plantilla de política.
La base de gobierno: Ley de Sociedades n.º 1 de 2016
Para las sociedades anónimas, la ley fija reglas estructurales firmes. El artículo 181 exige la gestión por un consejo de administración de al menos cinco miembros, elegidos por mandatos renovables de tres años; el artículo 182 exige elección por voto secreto. El artículo 186 ancla los principios de gobierno corporativo en la propia ley, y el artículo 187 permite a las autoridades supervisoras exigir miembros independientes cualificados del consejo, elegidos por la junta ordinaria, con tope de la mitad del consejo y exentos de la obligación de ser titulares de acciones. El artículo 199 exige una licencia de la junta general para los intereses de los miembros del consejo en contratos de la sociedad, y el artículo 209 permite que los estatutos de la sociedad adopten el voto acumulativo, de modo que los accionistas minoritarios puedan concentrar sus votos en los puestos del consejo.
La responsabilidad de los administradores tiene dientes y un reloj. El artículo 201 expone a los miembros del consejo a acciones de responsabilidad, y el artículo 205 dispone que la acción se extingue cinco años después de la resolución de la junta general que aprueba la gestión del consejo o constata el error, salvo que el acto constituya delito, en cuyo caso la acción subsiste con la causa penal. Los consejos que levantan acta de sus deliberaciones, registran los votos discrepantes y documentan la información en que se apoyaron construyen su defensa en tiempo real; los demás dejan la ventana de cinco años abierta a la reconstrucción en su contra.
El régimen de la CMA: Ley n.º 7 de 2010 y sus reglamentos
La Ley n.º 7 de 2010 estableció la Capital Markets Authority y le dio poderes de regulación, supervisión y ejecución sobre las actividades de valores en Kuwait. Los Reglamentos de Ejecución dictados por la Resolución n.º 72 de 2015 organizan el régimen en módulos: el módulo cinco licencia actividades de valores y registra personas, el módulo diez gobierna la revelación y la transparencia, el módulo doce contiene las reglas de cotización, y el módulo quince impone exigencias de gobierno corporativo, incluidos comités del consejo y normas de independencia, a las sociedades cotizadas y a las entidades que supervisa la CMA.
Para una sociedad licenciada o cotizada, los reglamentos no son lectura de fondo; son el sistema operativo. El módulo cinco condiciona la licencia a personas idóneas, a controladores aprobados y a obligaciones continuas de capital y de conducta. El módulo quince exige que funcionen estructuras de auditoría, de riesgos y de nombramientos y retribuciones, con estatutos documentados. En nuestras revisiones de cumplimiento para licenciatarios kuwaitíes, probamos las obligaciones de los módulos contra los calendarios reales de los consejos, las actas de los comités y los registros de presentaciones, porque la CMA inspecciona la evidencia, no la carpeta de políticas.
Disciplina de revelación según el módulo diez
El módulo diez de los Reglamentos de Ejecución impone deberes continuos de revelación y transparencia: la información relevante debe publicarse con exactitud y a tiempo, los iniciados tienen restringido operar antes de la publicación, y la sociedad debe poder mostrar quién supo qué y cuándo. El núcleo práctico es una pista de decisión de revelación: cómo viaja un hecho desde el negocio hasta un análisis de relevancia, quién firma ese análisis y cómo se registra la publicación o la decisión de no publicar.
Los expedientes de revelación débiles comparten un patrón: relevancia juzgada informalmente, ningún registro contemporáneo del razonamiento y listas de iniciados que van por detrás de la realidad. Un expediente defendible contiene el hecho tal como se recibió, el análisis según los estándares del módulo diez, la decisión con nombres y marcas de hora, la actualización de la lista de iniciados y el texto de la publicación finalmente hecha. Cuando la CMA pregunta, y pregunta, el expediente responde de una sola pasada. Estructuramos los protocolos de revelación para que el expediente sea un subproducto de la decisión, no una reconstrucción posterior.
Antilavado: Ley n.º 106 de 2013
La Ley n.º 106 de 2013 de lucha contra el blanqueo de capitales y la financiación del terrorismo es la base del cumplimiento kuwaití en esta materia. El artículo 1 define la población obligada: instituciones financieras y negocios y profesiones no financieras designados, categoría que alcanza a abogados, contadores, agentes inmobiliarios y comerciantes de metales preciosos cuando realizan operaciones cubiertas para clientes. Los obligados deben identificar y verificar a los clientes, entender el propósito de la relación, aplicar una vigilancia continua, reportar las operaciones sospechosas a la Unidad de Inteligencia Financiera de Kuwait y conservar los registros durante los plazos legales de conservación.
La carga de cumplimiento es procedimental, no retórica. Un expediente de alta basado en riesgo debe mostrar quién fue identificado, qué se verificó, qué filtrado se ejecutó y cuál es la calificación de riesgo; la vigilancia debe poder hacer emerger patrones inusuales; y la vía de escalación desde una alerta de primera línea hasta el reporte de operación sospechosa debe ser corta, documentada e independiente del responsable de la relación. La formación y las pruebas cierran el círculo: los examinadores kuwaitíes piden registros de asistencia, resultados de muestreo y evidencia de remediación, no el PDF de la política.
La reforma de 2025: sanciones selectivas y artículo 33 bis
En junio de 2025 el Consejo de Ministros aprobó un decreto-ley que modifica la Ley n.º 106 de 2013 para alinear el marco con las resoluciones del Consejo de Seguridad de las Naciones Unidas. La reforma sustituyó el artículo 25: el Consejo de Ministros puede ahora, a propuesta del Ministro de Asuntos Exteriores, dictar decisiones que implementen las resoluciones del capítulo VII del Consejo de Seguridad, incluidas la inclusión y la exclusión de listas, la congelación de fondos y activos y las prohibiciones de operar, con garantías para los terceros que actúen de buena fe, y puede delegar estas facultades en un ministro.
La reforma añadió además el artículo 33 bis, que multa a quien viole una decisión dictada al amparo del artículo 25 con no menos de 10.000 dinares kuwaitíes ni más de 500.000 dinares por infracción, sin perjuicio de las medidas regulatorias contra las instituciones según el artículo 15. Para los equipos de cumplimiento el mensaje es operativo: el filtrado de sanciones debe actualizarse contra las decisiones de aplicación kuwaitíes, no solo contra listas extranjeras; las coincidencias deben escalarse, congelarse y documentarse el mismo día; y la pista de auditoría debe mostrar la versión de lista contra la que se filtró. Una lista de filtrado desactualizada es ahora un riesgo de multa medido por infracción.
Privacidad de datos: CITRA y Decisión n.º 26 de 2024
La CITRA se estableció por la Ley n.º 37 de 2014, cuyo artículo 15 la habilita a dictar las reglas necesarias para su cumplimiento. Con ese mandato, dictó el Reglamento de Protección de Datos Personales por la Decisión n.º 26 de 2024, de 7 de febrero de 2024 y publicada en el Boletín Oficial el 18 de febrero de 2024, que sustituye al reglamento de la Decisión n.º 42 de 2021; en paralelo, la Decisión n.º 34 de 2024 derogó la política de clasificación de datos de 2021. El Reglamento aplica a los proveedores licenciados por la CITRA que recogen, tratan o conservan datos personales de usuarios, total o parcialmente, por medios automatizados o de otro tipo, dentro o fuera de Kuwait.
El Reglamento exige disciplina de consentimiento y escalación rápida. Los proveedores deben obtener consentimiento previo para usar datos personales, y la notificación de violaciones corre en dos relojes: según el artículo 4, la revelación errónea de datos personales que exponga a un gran número de usuarios debe notificarse a la CITRA en setenta y dos horas, y según el artículo 6, las violaciones de datos deben notificarse en veinticuatro horas, con deberes de comunicación que alcanzan a afiliadas, sociedades matrices y terceros vinculados, y con indicación de si los datos se almacenan en Kuwait o en el extranjero. Un año de gracia corrió desde la publicación en el Boletín Oficial, de modo que el régimen está ahora en pleno vigor. Los operadores de telecomunicaciones y tecnología en Kuwait necesitan un manual de incidentes que nombre quién llama a la CITRA, en qué reloj y con qué contenido.
Evidencia: pruebe la decisión, no la política
Nuestro consejo permanente en Kuwait es probar el cumplimiento contra una decisión real, no contra el texto de la política. Tome una aprobación real, un alta de proveedor o una solicitud de regalo de la operación kuwaití y sígala: quién decidió, qué controles se ejecutaron, qué evidencia queda. Compare los límites de firma de la política con los derechos reales de los sistemas, y registre toda aprobación fuera de sistema con su fecha y su motivo. Si la política nombra un comité que nunca se reúne, corrija el proceso o el documento, porque un examinador encontrará la brecha de todos modos.
Las excepciones merecen una vía responsable, no tolerancia silenciosa. Un registro de excepciones debe nombrar al decisor, el motivo, el vencimiento y la prueba de seguimiento. La recepción de quejas debe separarse de la función cuestionada: las alertas y los informes de conducta indebida necesitan un canal que no pase por el responsable cuya decisión se cuestiona, y los registros originales deben preservarse en lugar de armonizarse en un solo relato. Estas mecánicas convierten los deberes legales de la Ley de Sociedades, de los reglamentos de la CMA y de la Ley n.º 106 de 2013 en conducta defendible.
Incidentes e investigaciones bajo los deberes kuwaitíes
Cuando surge una alegación, las primeras cuarenta y ocho horas deciden la calidad de todo lo que sigue. Preserve los registros originales, defina el alcance de la investigación, haga una verificación de conflictos del revisor y mapee las implicaciones laborales y de confidencialidad antes de que empiecen las entrevistas. Cuando los hechos tocan datos personales tratados por un proveedor licenciado por la CITRA, los relojes de veinticuatro y setenta y dos horas de la Decisión n.º 26 de 2024 pueden estar ya corriendo; cuando tocan activos de clientes en un licenciatario de la CMA, puede ser necesario en paralelo el análisis de revelación del módulo diez.
La escalación al extranjero exige cuidado. Las entidades kuwaitíes de grupos internacionales deben verificar, antes de transmitir material de investigación al exterior, lo que esperan las reglas de datos y el regulador sectorial, y documentar la base jurídica de cada transferencia. Un informe que sostendrá una respuesta al regulador o una decisión laboral debe separar alegación de conclusión, citar los registros usados y preservar la evidencia para que un revisor independiente reproduzca la conclusión. Este es el criterio que aplicamos cuando nuestra oficina de Kuwait apoya investigaciones internas.
Terceros, externalización y acuerdos de grupo
El cumplimiento kuwaití falla por terceros tanto como por el personal. Agentes, distribuidores, corredores, proveedores de nube y de TI y sociedades de servicios del grupo tocan deberes regulados: un captador puede crear exposición de diligencia debida según la Ley n.º 106 de 2013, un encargado del tratamiento externalizado que sea un proveedor de servicios licenciado por la CITRA puede crear exposición según la Decisión n.º 26 de 2024, y una sociedad del grupo que comparte locales o personal puede difuminar el perímetro licenciado de una entidad regulada por la CMA según el módulo cinco. Todo tercero significativo necesita un contrato que asigne el deber, un control de entrada proporcional a su riesgo y un derecho a obtener evidencia cuando el regulador la pida.
Recomendamos un registro de terceros que consigne, por relación, el deber tocado, los controles hechos, las protecciones contractuales y la fecha de renovación. Los acuerdos de grupo merecen el mismo rigor que los externos: compartición de costes, destacamentos y sistemas compartidos deben documentarse y tarifarse como acuerdos reales. Si el tercero está fuera de Kuwait, el contrato debe anticipar la evidencia que la entidad kuwaití necesitará, incluidos datos de filtrado, notificaciones de violación y acceso de auditoría, para que el deber local nunca dependa de la buena voluntad de una contraparte extranjera.
Construir el calendario de cumplimiento kuwaití
El cumplimiento sostenible es un calendario, no una campaña. Construimos para los clientes un mapa de doce meses que une las obligaciones de cada régimen: los ciclos de juntas generales y de consejos de la Ley de Sociedades, incluido el mandato trienal del consejo según el artículo 181; las presentaciones periódicas ante la CMA, los informes de los comités y los ensayos de revelación según los Reglamentos de Ejecución; la revisión del programa contra el blanqueo de capitales, la formación y la actualización de las listas de filtrado según la Ley n.º 106 de 2013 modificada; y, para los proveedores de servicios licenciados por la CITRA, los simulacros de incidentes y las auditorías de los registros de consentimiento según la Decisión n.º 26 de 2024. Cada partida recibe un responsable nombrado, un plazo y una prueba repetible.
Los fallos se repiten entre sectores: políticas sin correspondencia con los derechos de sistemas, listas de iniciados y de filtrado con meses de retraso, relojes de violación descubiertos durante el incidente y actas de consejo demasiado delgadas para sostener el análisis de prescripción del artículo 205 años después. Cada uno exige disciplina de evidencia, no ley nueva. Una función de cumplimiento capaz de reproducir sus últimas diez decisiones ya va por delante de la curva de ejecución.
Qué revisamos en un encargo de cumplimiento en Kuwait
Cuando nuestra oficina en Kuwait conduce una revisión de cumplimiento, empezamos por el mapa regulatorio: cuál de la Ley de Sociedades, los Reglamentos de Ejecución de la CMA, la Ley n.º 106 de 2013 y el Reglamento de la CITRA obliga a qué entidad y a qué actividad. Luego probamos el gobierno contra los artículos 181 a 209 de la Ley de Sociedades, los expedientes de revelación contra el módulo diez, el alta, el filtrado y los reportes en materia de blanqueo de capitales contra la Ley n.º 106 de 2013 modificada en 2025, y la preparación ante incidentes de datos contra la Decisión n.º 26 de 2024. El entregable es un plan de remediación con responsables, plazos y repruebas, más la arquitectura de evidencia, incluidos registros de excepciones, vías de escalación y estándares de actas, que mantiene a la sociedad defendible entre revisiones.
Vea también: nuestra guía de constitución en Kuwait y nuestra guía de derecho de la construcción en Kuwait, además de nuestra práctica mercantil y societaria.
Preguntas frecuentes
¿Qué sociedades deben cumplir los reglamentos de la CMA?
Las que ejercen actividades de valores licenciadas según el módulo cinco, las cotizadas según el módulo doce y las demás personas supervisadas por la CMA según la Ley n.º 7 de 2010; las obligaciones concretas siguen la licencia y la cotización.
¿Cuáles son las reglas esenciales del consejo de una anónima kuwaití?
Según la Ley de Sociedades, el artículo 181 exige un consejo de al menos cinco miembros por mandatos renovables de tres años, el artículo 182 exige voto secreto, el artículo 209 permite que los estatutos adopten el voto acumulativo y el artículo 187 permite exigir consejeros independientes con tope de la mitad del consejo.
¿Cuánto tiempo siguen expuestos los administradores?
El artículo 205 de la Ley de Sociedades dispone que la acción se extingue cinco años después de la resolución de la junta general que aprueba la gestión del consejo o constata el error, salvo que el acto sea un delito, en cuyo caso la exposición sigue a la causa penal.
¿Quién debe cumplir la Ley n.º 106 de 2013?
Las instituciones financieras y los negocios y profesiones no financieras designados del artículo 1, incluidos abogados, contadores, agentes inmobiliarios y comerciantes de metales preciosos en operaciones cubiertas; los deberes incluyen diligencia debida, vigilancia, reporte de sospechas a la Unidad de Inteligencia Financiera y conservación de registros.
¿Qué cambió la reforma de 2025 de la normativa contra el blanqueo de capitales?
Un decreto-ley aprobado en junio de 2025 sustituyó el artículo 25 para implementar resoluciones del Consejo de Seguridad de las Naciones Unidas bajo el capítulo VII, con inclusión en listas, congelación y prohibiciones de operar, y añadió el artículo 33 bis con multas entre 10.000 y 500.000 dinares kuwaitíes por infracción.
¿Qué reglas de protección de datos aplican en Kuwait?
Los proveedores licenciados por la CITRA se rigen por el Reglamento de Protección de Datos de la Decisión n.º 26 de 2024 al amparo de la Ley n.º 37 de 2014, que cubre tratamiento dentro o fuera de Kuwait; el reglamento de la Decisión n.º 42 de 2021 fue sustituido.
¿Con qué rapidez deben notificarse las violaciones de datos?
Según el Reglamento, el artículo 4 exige notificación a la CITRA en setenta y dos horas para revelaciones erróneas que expongan a muchos usuarios, y el artículo 6 en veinticuatro horas para violaciones de datos, extendido a afiliadas y terceros vinculados.
¿Realiza su firma revisiones de cumplimiento en Kuwait?
Sí. Nuestra oficina en Kuwait delimita los regímenes aplicables, prueba evidencia y escalación y entrega un plan de remediación. Contáctenos a través de nuestra página de contacto para concertar una revisión.