Il panorama della conformità in Kuwait poggia su quattro pilastri che raggiungono quasi ogni impresa operativa: la legge sulle società, emanata con la legge n. 1 del 2016, il regime della Capital Markets Authority creato dalla legge n. 7 del 2010, il quadro antiriciclaggio della legge n. 106 del 2013 modificata nel 2025, e le regole di protezione dei dati dell'Autorità di regolazione delle comunicazioni e delle tecnologie dell'informazione. Ogni pilastro ha i propri obblighi di deposito, standard probatori e sanzioni. Questo articolo traccia il quadro e poi affronta la disciplina pratica che decide se un'entità kuwaitiana può difendere le proprie decisioni: prove ed escalation.
Il quadro: quattro regimi, una sola società
La legge n. 1 del 2016 sulle società governa ogni società commerciale kuwaitiana e fissa la base di governance: formazione del consiglio, assemblee dei soci, informativa e responsabilità degli amministratori. Il suo regolamento attuativo è stato adottato con la Decisione ministeriale n. 287 del 2016. Le società autorizzate in attività mobiliari si aggiungono alla Capital Markets Authority, istituita dalla legge n. 7 del 2010, i cui regolamenti esecutivi, adottati con la Risoluzione n. 72 del 2015 del consiglio della CMA, contano oggi diciannove moduli. Ogni società che sia istituzione finanziaria o professione non finanziaria designata ai sensi dell'articolo 1 della legge n. 106 del 2013 porta obblighi antiriciclaggio, e i fornitori di servizi licenziati dalla CITRA che trattano dati personali rispondono al Regolamento sulla protezione dei dati adottato con la Decisione n. 26 del 2024.
L'errore più frequente è trattare questi regimi come progetti separati di team separati. Una sola approvazione, per esempio l'attivazione di un nuovo cliente societario presso un intermediario licenziato dalla CMA, può attivare insieme le condizioni di licenza per i titoli del modulo cinque dei Regolamenti di attuazione, gli obblighi informativi del modulo dieci, l'adeguata verifica della clientela della legge n. 106 del 2013 e, quando un fornitore autorizzato dalla CITRA tratta i dati personali del cliente, le regole sui dati della Decisione n. 26 del 2024. Il disegno della conformità in Kuwait parte quindi da una mappa regolamentare per entità e attività, non da un modello di policy.
La base di governance: legge sulle società n. 1 del 2016
Per le società per azioni, la legge fissa regole strutturali ferme. L'articolo 181 richiede un consiglio di amministrazione di almeno cinque membri, eletti per mandati rinnovabili di tre anni; l'articolo 182 richiede l'elezione a scrutinio segreto. L'articolo 186 ancora i principi di governance nella legge stessa, e l'articolo 187 consente alle autorità di vigilanza di imporre consiglieri indipendenti qualificati, eletti dall'assemblea ordinaria, entro la metà del consiglio e dispensati dalla qualità di soci. L'articolo 199 richiede un'autorizzazione dell'assemblea generale per gli interessi dei consiglieri nei contratti della società, e l'articolo 209 consente allo statuto di adottare il voto cumulativo, permettendo alle minoranze di concentrare i voti per i seggi del consiglio.
La responsabilità degli amministratori ha conseguenze concrete e un termine. L'articolo 201 espone i consiglieri ad azioni di responsabilità, e l'articolo 205 estingue l'azione cinque anni dopo la delibera assembleare di esonero dalla responsabilità del consiglio o di accertamento dell'errore, salvo reato, nel qual caso l'azione segue quella penale. I consigli che verbalizzano deliberazioni, dissensi e informazioni utilizzate costruiscono la difesa in tempo reale; gli altri lasciano la finestra di cinque anni aperta a loro danno.
Il regime CMA: legge n. 7 del 2010 e regolamenti esecutivi
La legge n. 7 del 2010 ha istituito la Capital Markets Authority e le ha dato poteri di regolazione, vigilanza e enforcement sulle attività mobiliari in Kuwait. I regolamenti esecutivi della Risoluzione n. 72 del 2015 organizzano il regime in moduli: il modulo cinque licenzia le attività e registra le persone, il modulo dieci governa informativa e trasparenza, il modulo dodici contiene le regole di quotazione, e il modulo quindici impone a quotate e vigilate requisiti di governance, inclusi comitati e standard di indipendenza.
Per una società licenziata o quotata, i regolamenti non sono lettura di sfondo; sono il sistema operativo. Il modulo cinque condiziona la licenza a persone idonee, controllanti approvati e a obblighi continui di capitale e condotta. Il modulo quindici richiede strutture di audit, rischi, nomine e remunerazioni con statuti documentati. Nelle nostre revisioni di licenziatari kuwaitiani, testiamo gli obblighi dei moduli contro calendari reali dei consigli, verbali dei comitati e ricevute di deposito, perché la CMA ispeziona le prove, non il raccoglitore delle policy.
Disciplina informativa secondo il modulo dieci
Il modulo dieci dei regolamenti esecutivi impone obblighi continui di informativa: le informazioni rilevanti vanno pubblicate con esattezza e tempestività, gli insider sono limitati nelle operazioni prima della pubblicazione, e la società deve poter mostrare chi sapeva cosa e quando. Il nucleo pratico è una pista decisionale dell'informativa: come un fatto sale dal business alla valutazione di rilevanza, chi firma la valutazione e come si registra la pubblicazione o la decisione di astenersi.
I fascicoli deboli condividono uno schema: rilevanza giudicata informalmente, nessuna traccia contemporanea del ragionamento, liste di insider in ritardo. Un fascicolo difendibile contiene il fatto ricevuto, la valutazione secondo il modulo dieci, la decisione con nomi e orari, la lista insider aggiornata e il testo pubblicato. Quando la CMA chiede, e chiede, il fascicolo risponde in una passata. Strutturiamo i protocolli perché il fascicolo sia sottoprodotto della decisione, non una ricostruzione successiva.
Antiriciclaggio: legge n. 106 del 2013
La legge n. 106 del 2013 sul contrasto al riciclaggio e al finanziamento del terrorismo fonda la conformità AML kuwaitiana. L'articolo 1 definisce la popolazione obbligata: istituzioni finanziarie e professioni e attività non finanziarie designate, categoria che raggiunge avvocati, commercialisti, agenti immobiliari e commercianti di metalli preziosi in operazioni coperte. Gli obbligati devono identificare e verificare i clienti, comprendere lo scopo del rapporto, monitorare in continuo, segnalare le operazioni sospette all'Unità di Informazione Finanziaria kuwaitiana e conservare i documenti per i termini di legge.
Il carico è procedurale, non retorico. Un fascicolo di attivazione basato sul rischio deve mostrare chi è stato identificato e verificato, quali controlli sono stati effettuati e quale rating di rischio vale; il monitoraggio deve far emergere schemi insoliti; e la via di escalation dalla segnalazione di prima linea alla segnalazione di sospetto deve essere breve, documentata e indipendente dal gestore del rapporto. Formazione e test chiudono il cerchio: gli ispettori kuwaitiani chiedono presenze, esiti dei campionamenti e prove di remediation, non il PDF della policy.
La riforma del 2025: sanzioni mirate e articolo 33 bis
A giugno 2025 il Consiglio dei ministri ha approvato un decreto-legge che modifica la legge n. 106 del 2013 per allinearla alle risoluzioni del Consiglio di Sicurezza ONU. La riforma ha sostituito l'articolo 25: il Consiglio dei ministri può ora, su raccomandazione del ministro degli esteri, adottare decisioni che attuano le risoluzioni ex capitolo VII, incluse iscrizione e cancellazione, congelamento di fondi e attività e divieto di operazioni, preservando i diritti dei terzi in buona fede, e può delegare tali poteri a un ministro.
La riforma ha anche aggiunto l'articolo 33 bis, che punisce chi viola una decisione adottata ai sensi dell'articolo 25 con multa non inferiore a 10.000 dinari kuwaitiani né superiore a 500.000 per violazione, fatte salve le misure regolamentari contro gli enti ai sensi dell'articolo 15. Il messaggio operativo: lo screening sanzionatorio va aggiornato sulle decisioni kuwaitiane di attuazione, non solo sulle liste estere; le corrispondenze vanno escalate, congelate e documentate il giorno stesso; e la pista di audit deve mostrare la versione di lista usata. Una lista vecchia è ora un rischio di multa misurato per violazione.
Privacy dei dati: CITRA e Decisione n. 26 del 2024
La CITRA è stata istituita dalla legge n. 37 del 2014, il cui articolo 15 la abilita ad adottare le regole necessarie al rispetto della legge. Su questa base, ha adottato il Regolamento sulla protezione dei dati personali con la Decisione n. 26 del 2024 emanata il 7 febbraio 2024 e pubblicata nella Gazzetta Ufficiale il 18 febbraio 2024, in sostituzione del regolamento emanato con la Decisione n. 42 del 2021; in parallelo, la Decisione n. 34 del 2024 ha abrogato la politica di classificazione dei dati del 2021. Il Regolamento si applica ai fornitori licenziati dalla CITRA che raccolgono, trattano o conservano dati personali degli utenti, in tutto o in parte, con mezzi automatizzati o altri, in Kuwait o all'estero.
Il Regolamento esige disciplina del consenso ed escalation rapida. I fornitori devono ottenere il consenso preventivo all'uso dei dati personali, e la notifica delle violazioni corre su due orologi: secondo l'articolo 4, la comunicazione errata di dati personali che esponga molti utenti va notificata alla CITRA entro settantadue ore, e secondo l'articolo 6, le violazioni di dati vanno notificate entro ventiquattro ore, con obblighi estesi ad affiliate, capogruppo e terzi collegati, e con l'indicazione se i dati sono conservati in Kuwait o all'estero. L'anno di grazia dalla pubblicazione in Gazzetta Ufficiale è decorso: il regime è pienamente in vigore. Gli operatori tlc e tecnologici in Kuwait hanno bisogno di un manuale incidenti che nomini chi chiama la CITRA, su quale orologio e con quale contenuto.
Le prove: verificare la decisione, non la policy
Il nostro consiglio costante in Kuwait: testare la conformità su una decisione reale, non sul testo della policy. Prenda un'approvazione, l'attivazione di un fornitore o una richiesta di regalo dell'attività in Kuwait e la tracci: chi ha deciso, quali controlli sono stati effettuati, quali prove restano. Confronti i limiti di firma della policy con i diritti reali dei sistemi e registri ogni approvazione fuori sistema con data e motivo. Se la policy nomina un comitato che non si riunisce mai, corregga il processo o il documento, perché un ispettore troverà comunque il divario.
Le eccezioni meritano una via responsabile, non tolleranza silenziosa. Un registro delle eccezioni deve nominare il decisore, il motivo, la scadenza e il test di follow-up. Separi la ricezione dei reclami dalla funzione messa in causa: le segnalazioni hanno bisogno di un canale che non passi dal responsabile la cui decisione è in questione, e i documenti originali vanno preservati invece che armonizzati in un unico racconto. Queste meccaniche trasformano gli obblighi legali della legge sulle società, dei regolamenti CMA e della legge n. 106 del 2013 in condotta difendibile.
Incidenti e indagini sotto i doveri kuwaitiani
Quando emerge un'accusa, le prime quarantotto ore decidono la qualità di tutto il resto. Preservi i documenti originali, definisca il perimetro dell'indagine, verifichi i conflitti dell'investigatore e mappi le implicazioni di riservatezza e giuslavoristiche prima delle audizioni. Se i fatti toccano dati personali trattati da un fornitore licenziato dalla CITRA, gli orologi di ventiquattro e settantadue ore della Decisione n. 26 del 2024 possono già correre; se toccano attività di clienti presso un licenziatario CMA, l'analisi di rilevanza del modulo dieci può essere dovuta in parallelo.
L'escalation all'estero richiede cautela. Le entità kuwaitiane di gruppi internazionali devono verificare, prima di trasmettere materiale istruttorio oltre confine, cosa si attendono le regole sui dati e il regolatore settoriale, e documentare la base giuridica di ogni trasferimento. Un rapporto che sosterrà una risposta al regolatore o una decisione lavoristica deve separare accusa e conclusione, citare i documenti usati e preservare le prove così che un revisore indipendente possa riprodurre la conclusione. Questo è lo standard che applichiamo quando il nostro ufficio in Kuwait assiste nelle indagini interne.
Terzi, outsourcing e accordi di gruppo
La conformità kuwaitiana fallisce per i terzi quanto per i dipendenti. Agenti, distributori, intermediari, fornitori cloud e IT, e società di servizi del gruppo toccano tutti doveri regolati: un procacciatore di clienti può creare obblighi di adeguata verifica secondo la legge n. 106 del 2013, un responsabile del trattamento che sia fornitore autorizzato dalla CITRA può creare esposizione secondo la Decisione n. 26 del 2024, e una società del gruppo che condivide locali o personale può sfumare il perimetro licenziato di un'entità CMA secondo il modulo cinque. Ogni terzo significativo richiede un contratto che allochi il dovere, un controllo in ingresso proporzionato al rischio e il diritto di ottenere le prove quando il regolatore chiede.
Raccomandiamo un registro dei terzi che annoti, per rapporto, il dovere toccato, i controlli fatti, le protezioni contrattuali e la data di rinnovo. Gli accordi di gruppo meritano lo stesso rigore degli esterni: condivisione dei costi, distacchi e sistemi condivisi vanno documentati e prezzati come accordi reali. Se il terzo è fuori dal Kuwait, il contratto deve anticipare le prove che serviranno all'entità kuwaitiana, inclusi dati di screening, notifiche di violazione e accesso di audit, così che il dovere locale non dipenda mai dalla buona volontà di una controparte estera.
Costruire il calendario di conformità kuwaitiano
La conformità sostenibile è un calendario, non una campagna. Costruiamo per i clienti una mappa di dodici mesi che unisce gli obblighi di ogni regime: cicli di assemblee e consigli secondo la legge sulle società, incluso il mandato triennale dell'articolo 181; depositi periodici CMA, relazioni dei comitati e prove di informativa secondo i regolamenti; revisione del programma AML, formazione e aggiornamento delle liste secondo la legge n. 106 del 2013 modificata; e, per i fornitori autorizzati dalla CITRA, esercitazioni sugli incidenti e audit dei consensi secondo la Decisione n. 26 del 2024. Ogni voce riceve un titolare nominato, una scadenza e un test ripetibile.
I fallimenti si ripetono tra i settori: policy senza corrispondenza con i diritti dei sistemi, liste insider e di screening vecchie di mesi, orologi di violazione scoperti durante l'incidente, e verbali troppo magri per sostenere l'analisi della prescrizione dell'articolo 205 anni dopo. Ciascuno richiede disciplina probatoria, non legge nuova. Una funzione di conformità capace di riprodurre le sue ultime dieci decisioni è già davanti alla curva dell'enforcement.
Cosa esaminiamo in un incarico di conformità in Kuwait
Quando il nostro ufficio in Kuwait conduce una revisione di conformità, partiamo dalla mappa regolamentare: quali norme della legge sulle società, dei regolamenti CMA, della legge n. 106 del 2013 e del Regolamento CITRA vincolano quale entità e attività. Poi testiamo la governance contro gli articoli da 181 a 209 della legge sulle società, i fascicoli informativi contro il modulo dieci, attivazione, screening e segnalazioni AML contro la legge n. 106 del 2013 modificata nel 2025, e la prontezza sugli incidenti di dati contro la Decisione n. 26 del 2024. Il risultato è un piano di remediation con titolari, scadenze e re-test, più l'architettura probatoria, registri delle eccezioni, vie di escalation e standard dei verbali, che mantiene la società difendibile tra una revisione e l'altra.
Si veda anche: la nostra guida alla costituzione in Kuwait, la nostra guida al diritto delle costruzioni in Kuwait e la nostra pratica di diritto commerciale e societario.
Domande frequenti
Quali società devono rispettare i regolamenti CMA?
Quelle che svolgono attività mobiliari licenziate secondo il modulo cinque, le quotate secondo il modulo dodici e le altre persone vigilate dalla CMA secondo la legge n. 7 del 2010; gli obblighi specifici seguono licenza e quotazione.
Quali sono le regole essenziali del consiglio di una società per azioni kuwaitiana?
Secondo la legge sulle società, l'articolo 181 richiede un consiglio di almeno cinque membri per mandati rinnovabili di tre anni, l'articolo 182 richiede scrutinio segreto, l'articolo 209 consente allo statuto di adottare il voto cumulativo e l'articolo 187 consente di imporre consiglieri indipendenti entro la metà del consiglio.
Per quanto tempo gli amministratori restano esposti ad azioni di responsabilità?
L'articolo 205 della legge sulle società estingue l'azione cinque anni dopo la delibera di esonero dalla responsabilità o l'accertamento dell'errore, salvo reato, nel qual caso l'azione segue quella penale.
Chi deve rispettare la legge n. 106 del 2013?
Le istituzioni finanziarie e le professioni non finanziarie designate dell'articolo 1, inclusi avvocati, commercialisti, agenti immobiliari e commercianti di metalli preziosi in operazioni coperte; i doveri includono adeguata verifica della clientela, monitoraggio, segnalazioni di sospetto all'Unità di Informazione Finanziaria e conservazione dei documenti.
Cosa ha cambiato la riforma AML del 2025?
Un decreto-legge approvato a giugno 2025 ha sostituito l'articolo 25 per attuare le risoluzioni del Consiglio di Sicurezza ex capitolo VII, con iscrizione, congelamento e divieti, e ha aggiunto l'articolo 33 bis con multe tra 10.000 e 500.000 dinari kuwaitiani per violazione.
Quali regole di protezione dei dati valgono in Kuwait?
I fornitori licenziati CITRA sono retti dal Regolamento sulla protezione dei dati della Decisione n. 26 del 2024 ai sensi della legge n. 37 del 2014, che copre il trattamento in Kuwait o all'estero; il regolamento emanato con la Decisione n. 42 del 2021 è stato sostituito.
Con che rapidità vanno notificate le violazioni di dati?
Secondo il Regolamento, l'articolo 4 richiede la notifica alla CITRA entro settantadue ore per comunicazioni errate che espongano molti utenti, e l'articolo 6 entro ventiquattro ore per le violazioni di dati, con obblighi estesi ad affiliate e terzi collegati.
Il vostro studio esegue revisioni di conformità in Kuwait?
Sì. Il nostro ufficio in Kuwait delimita i regimi che La vincolano, testa prove ed escalation contro le norme citate e consegna un piano di remediation. Ci contatti tramite la nostra pagina dei contatti per fissare una revisione.