Комплаенс-ландшафт Кувейта опирается на четыре опоры, затрагивающие почти каждую работающую компанию: Закон о компаниях по Закону № 1 от 2016 года, режим Управления по рынкам капитала, созданный Законом № 7 от 2010 года, антиотмывочную рамку Закона № 106 от 2013 года в редакции 2025 года и правила защиты данных Управления по регулированию связи и информационных технологий. У каждой опоры свои обязанности по подаче документов, свои стандарты доказательств и свои санкции. Эта статья очерчивает рамку, а затем переходит к практической дисциплине, решающей, сможет ли кувейтская организация защитить свои решения: доказательства и эскалация.
Рамка: четыре режима, одна компания
Закон № 1 от 2016 года о компаниях регулирует каждую кувейтскую коммерческую компанию и задаёт базу корпоративного управления: формирование совета директоров, собрания акционеров, раскрытие информации и ответственность директоров. Его исполнительный регламент принят Министерским решением № 287 от 2016 года. Компании с лицензией на операции с ценными бумагами дополнительно подпадают под Управление по рынкам капитала, учреждённое Законом № 7 от 2010 года, чьи исполнительные положения, принятые Постановлением его совета № 72 от 2015 года, насчитывают сегодня девятнадцать модулей. Каждая компания, являющаяся финансовым институтом или обозначенной нефинансовой профессией по статье 1 Закона № 106 от 2013 года, несёт антиотмывочные обязанности, а лицензированные CITRA поставщики услуг, обрабатывающие персональные данные, подчиняются Регламенту о защите конфиденциальности данных, принятому Решением № 26 от 2024 года.
Самая частая ошибка - рассматривать эти режимы как отдельные проекты отдельных команд. Одно согласование, например подключение нового корпоративного клиента у брокера, лицензированного CMA, может одновременно затронуть условия лицензирования по модулю пять исполнительных положений, обязанности раскрытия модуля десять, должную проверку клиентов по Закону № 106 от 2013 года и, если персональные данные клиента обрабатывает лицензированный CITRA поставщик услуг, правила данных Решения № 26 от 2024 года. Поэтому построение комплаенса в Кувейте начинается с регуляторной карты по каждой организации и виду деятельности, а не с шаблона политики.
База управления: Закон о компаниях № 1 от 2016 года
Для акционерных обществ закон устанавливает жёсткие структурные правила. Статья 181 требует совет директоров не менее чем из пяти членов, избираемых на возобновляемые трёхлетние сроки; статья 182 требует тайного голосования. Статья 186 закрепляет принципы корпоративного управления в самом законе, а статья 187 позволяет надзорным органам требовать квалифицированных независимых членов совета, избираемых очередным общим собранием, в пределах половины совета и без требования акционерного статуса. Статья 199 требует разрешения общего собрания на интересы членов совета в договорах компании, а статья 209 допускает введение кумулятивного голосования уставом компании, позволяя миноритариям концентрировать голоса за места в совете.
Ответственность директоров реальна и ограничена сроком. Статья 201 подвергает членов совета искам об ответственности, а статья 205 прекращает иск через пять лет после решения общего собрания об освобождении совета от ответственности или установлении ошибки, если только деяние не является уголовным преступлением, и тогда иск следует за уголовным делом. Советы, протоколирующие обсуждения, несогласия и использованную информацию, строят свою защиту в реальном времени; остальные оставляют пятилетнее окно открытым для реконструкции против них.
Режим CMA: Закон № 7 от 2010 года и исполнительные положения
Закон № 7 от 2010 года учредил Управление по рынкам капитала и наделил его регуляторными, надзорными и принудительными полномочиями над деятельностью с ценными бумагами в Кувейте. Исполнительные положения по Постановлению № 72 от 2015 года делят режим на модули: модуль пять лицензирует деятельность с ценными бумагами и регистрирует лиц, модуль десять регулирует раскрытие и прозрачность, модуль двенадцать содержит правила листинга, а модуль пятнадцать возлагает на листинговые и надзираемые компании требования корпоративного управления, включая комитеты и стандарты независимости.
Для лицензированной или листинговой компании положения - не фоновое чтение; это операционная система. Модуль пять обусловливает лицензию надлежащими лицами, одобрением контролирующих лиц и непрерывными капитальными и поведенческими обязательствами. Модуль пятнадцать требует действующих структур аудита, рисков, номинаций и вознаграждений с документированными уставами. В наших комплаенс-проверках кувейтских лицензиатов мы проверяем соблюдение обязательств модулей по реальным календарям советов, протоколам комитетов и подтверждениям подач, потому что CMA инспектирует доказательства, а не папку политик.
Дисциплина раскрытия по модулю десять
Модуль десять исполнительных положений возлагает непрерывные обязанности раскрытия: существенная информация должна раскрываться точно и своевременно, инсайдеры ограничены в сделках до раскрытия, и компания должна уметь показать, кто что и когда знал. Практическое ядро - след решения о раскрытии: как факт поднимается от бизнеса к оценке существенности, кто подписывает оценку и как фиксируется раскрытие или решение воздержаться.
Слабые досье раскрытия разделяют один образец: существенность оценивается неформально, своевременная запись рассуждений отсутствует, списки инсайдеров отстают от реальности. Досье, способное выдержать проверку, содержит факт как полученный, оценку по стандартам модуля десять, решение с именами и отметками времени, обновлённый список инсайдеров и опубликованный текст. Когда CMA спрашивает, а она спрашивает, досье отвечает с первого раза. Мы строим протоколы раскрытия так, чтобы досье было побочным продуктом решения, а не реконструкцией задним числом.
Противодействие отмыванию: Закон № 106 от 2013 года
Закон № 106 от 2013 года о противодействии отмыванию денег и финансированию терроризма - основание кувейтского AML-комплаенса. Статья 1 определяет обязанных лиц: финансовые институты и обозначенные нефинансовые предприятия и профессии, категория, охватывающая юристов, бухгалтеров, агентов по недвижимости и торговцев драгоценными металлами при покрытых операциях. Обязанные лица должны идентифицировать и проверять клиентов, понимать цель отношений, вести непрерывный мониторинг, сообщать о подозрительных операциях в кувейтское подразделение финансовой разведки и хранить записи в течение установленных сроков.
Требования комплаенса носят процедурный, а не риторический характер. Досье подключения, основанное на риске, должно показывать, кто был идентифицирован и проверен, какой скрининг выполнен и какой рейтинг риска присвоен; мониторинг должен выявлять необычные закономерности; а путь эскалации от сигнала первой линии к сообщению о подозрении должен быть коротким, задокументированным и независимым от владельца отношений. Обучение и тестирование замыкают круг: кувейтские инспекторы просят ведомости посещаемости, результаты выборок и доказательства исправления, а не PDF политики.
Поправка 2025 года: адресные санкции и статья 33 бис
В июне 2025 года Совет министров одобрил декрет-закон, изменяющий Закон № 106 от 2013 года в согласовании с резолюциями Совета Безопасности ООН. Поправка заменила статью 25: Совет министров теперь может по представлению министра иностранных дел издавать решения по исполнению резолюций по главе VII, включая включение и исключение из списков, замораживание средств и активов и запреты на сделки, с сохранением прав добросовестных третьих лиц, и может делегировать эти полномочия министру.
Поправка также добавила статью 33 бис, предусматривающую штраф для нарушителя решения по статье 25 на сумму не менее 10 000 и не более 500 000 кувейтских динаров за каждое нарушение, без ущерба для регуляторных мер против учреждений по статье 15. Практический вывод: санкционный скрининг должен обновляться по кувейтским исполнительным решениям, а не только по иностранным спискам; совпадения эскалируются, замораживаются и документируются в тот же день; а аудиторский след должен показывать версию списка, по которой проверяли. Устаревший список скрининга - теперь риск штрафа, измеряемый по каждому нарушению.
Приватность данных: CITRA и Решение № 26 от 2024 года
CITRA учреждено Законом № 37 от 2014 года, чья статья 15 уполномочивает его издавать правила, необходимые для соблюдения закона. На этой основе CITRA приняло Регламент о защите конфиденциальности данных Решением № 26 от 2024 года (датировано 7 февраля 2024 года и опубликовано в Официальной газете 18 февраля 2024 года), заменившим прежний регламент, изданный Решением № 42 от 2021 года; параллельно Решение № 34 от 2024 года отменило политику классификации данных 2021 года. Регламент применяется к лицензированным CITRA поставщикам услуг, собирающим, обрабатывающим или хранящим персональные данные пользователей, полностью или частично, автоматизированно или иначе, в Кувейте или за рубежом.
Регламент требует дисциплины согласия и быстрой эскалации. Поставщики должны получать предварительное согласие на использование персональных данных, а уведомления о нарушениях идут по двум срокам: по статье 4 ошибочное раскрытие персональных данных, подвергающее риску многих пользователей, сообщается CITRA в течение семидесяти двух часов, а по статье 6 нарушения данных уведомляются в течение двадцати четырёх часов, причём обязанности распространяются на аффилированные лица, материнские компании и связанных третьих лиц, с указанием, хранятся ли данные в Кувейте или за рубежом. Годовая отсрочка с публикации в официальном вестнике истекла: режим действует в полную силу. Операторам связи и технологическим компаниям в Кувейте нужен сценарий реагирования, называющий, кто звонит в CITRA, по каким часам и с каким содержанием.
Доказательства: проверяйте решение, а не политику
Наш постоянный совет в Кувейте: проверяйте решения, а не текст политики. Возьмите фактическое согласование, подключение поставщика или запрос на подарок из кувейтской операции и проследите его: кто решал, какие проверки прошли, какие доказательства остались. Сравните пределы подписи в политике с фактическими правами в системах и зафиксируйте каждое внесистемное согласование с датой и причиной. Если политика называет комитет, который никогда не собирается, исправьте процесс или документ, потому что инспектор найдёт разрыв в любом случае.
Исключения заслуживают подотчётного пути, а не молчаливой терпимости. Реестр исключений должен называть принявшего решение, причину, срок и контрольный тест. Приём жалоб следует отделить от подразделения, на которое жалуются: сигналам о нарушениях нужен канал, не проходящий через руководителя, чьё решение под вопросом, а первичные записи должны сохраняться, а не приводиться к единой версии событий. Эти механизмы превращают законные обязанности из Закона о компаниях, положений CMA и Закона № 106 от 2013 года в поведение, которое можно обосновать.
Инциденты и расследования по кувейтским обязанностям
Когда появляется сообщение о нарушении, первые сорок восемь часов решают качество всего последующего. Сохраните первичные записи, определите предмет расследования, проверьте конфликт интересов ревизора и наметьте последствия для конфиденциальности и трудовых отношений до начала интервью. Если факты касаются персональных данных лицензиата CITRA, сроки в двадцать четыре и семьдесят два часа по Решению № 26 от 2024 года, возможно, уже идут; если они касаются активов клиентов у лицензиата CMA, параллельно может потребоваться анализ существенности по модулю десять.
Эскалация за рубеж требует осторожности. Кувейтские подразделения международных групп должны до трансграничной передачи материалов расследования проверить ожидания правил о данных и отраслевого регулятора и задокументировать правовое основание каждой передачи. Отчёт, который будет поддерживать ответ регулятору или трудовое решение, должен отделять утверждение от вывода, ссылаться на использованные записи и сохранять доказательства так, чтобы независимый ревизор мог воспроизвести вывод. Это стандарт, который наш офис в Кувейте применяет во внутренних расследованиях.
Третьи лица, аутсорсинг и внутригрупповые соглашения
Кувейтский комплаенс терпит неудачу через третьих лиц не реже, чем через сотрудников. Агенты, дистрибьюторы, брокеры, облачные и ИТ-поставщики и групповые сервисные компании касаются регулируемых обязанностей: привлекающий посредник может создать риск, связанный с должной проверкой по Закону № 106 от 2013 года, обработчик, являющийся лицензированным CITRA поставщиком услуг, - риск по Решению № 26 от 2024 года, а групповая компания, делящая помещения или персонал, может размыть круг лицензируемой деятельности организации CMA по модулю пять. Каждому существенному третьему лицу нужен договор, распределяющий обязанность, входная проверка по его риску и право получить доказательства, когда спросит регулятор.
Мы рекомендуем реестр третьих лиц, фиксирующий по каждой связи затронутую обязанность, проведённые проверки, договорные защиты и дату продления. Внутригрупповые соглашения заслуживают той же строгости, что и внешние: разделение затрат, командирования и общие системы должны быть оформлены и оценены как реальные соглашения. Если третье лицо находится вне Кувейта, договор должен предвидеть доказательства, которые понадобятся кувейтской организации, включая данные скрининга, уведомления о нарушениях и аудиторский доступ, чтобы локальная обязанность никогда не зависела от доброй воли иностранного контрагента.
Строим кувейтский календарь комплаенса
Устойчивый комплаенс - это календарь, а не кампания. Мы строим для клиентов карту двенадцати месяцев, соединяющую обязательства каждого режима: циклы собраний и советов по Закону о компаниях, включая трёхлетний срок совета по статье 181; периодические подачи CMA, отчётность комитетов и репетиции раскрытия по исполнительным положениям; пересмотр AML-программы, обучение и обновление списков по Закону № 106 от 2013 года в новой редакции; и, для лицензированных CITRA поставщиков услуг, учения по инцидентам и аудиты согласий по Решению № 26 от 2024 года. Каждая позиция получает названного владельца, срок и повторяемый тест.
Неудачи повторяются во всех отраслях: политики без соответствия системным правам, списки инсайдеров и скрининга, устаревшие на месяцы, часы нарушений, открытые во время инцидента, и протоколы советов, слишком тонкие для анализа давности по статье 205 годы спустя. Ничто из этого не требует нового закона; всё требует доказательной дисциплины. Комплаенс-функция, способная воспроизвести свои последние десять решений, уже впереди кривой принуждения.
Что мы проверяем при кувейтской комплаенс-проверке
Когда наш офис в Кувейте проводит комплаенс-проверку, мы начинаем с регуляторной карты: какие нормы Закона о компаниях, исполнительных положений CMA, Закона № 106 от 2013 года и Регламента CITRA связывают какую организацию и деятельность. Затем мы проверяем управление на соответствие статьям 181-209 Закона о компаниях, досье раскрытия - модулю десять, подключение, скрининг и сообщения AML - Закону № 106 от 2013 года в редакции 2025 года, а готовность к инцидентам с данными - Решению № 26 от 2024 года. Результат - план исправления с владельцами, сроками и повторными тестами, плюс архитектура доказательств: реестры исключений, пути эскалации и стандарты протоколов, удерживающая компанию защищённой между проверками.
См. также: наше руководство по регистрации компаний в Кувейте и наше руководство по строительному праву Кувейта, а также наша корпоративная и коммерческая практика.
Часто задаваемые вопросы
Какие компании должны соблюдать исполнительные положения CMA?
Компании с лицензией на операции с ценными бумагами по модулю пять, листинговые по модулю двенадцать и иные надзираемые CMA лица по Закону № 7 от 2010 года; конкретные обязательства модулей следуют за лицензией и листингом.
Каковы основные правила совета директоров кувейтского акционерного общества?
По Закону о компаниях статья 181 требует совет не менее чем из пяти членов на возобновляемые трёхлетние сроки, статья 182 требует тайного голосования, статья 209 допускает введение кумулятивного голосования уставом компании, а статья 187 позволяет надзорным органам требовать независимых членов в пределах половины совета.
Как долго директора остаются под угрозой исков?
Статья 205 Закона о компаниях прекращает иск через пять лет после решения собрания об освобождении совета или установлении ошибки, если только деяние не уголовное преступление, и тогда иск следует за уголовным делом.
Кто должен соблюдать Закон № 106 от 2013 года?
Финансовые институты и обозначенные нефинансовые предприятия и профессии по статье 1, включая юристов, бухгалтеров, агентов по недвижимости и торговцев драгоценными металлами при покрытых операциях; обязанности включают должную проверку, мониторинг, сообщения о подозрениях в подразделение финансовой разведки и хранение записей.
Что изменила AML-поправка 2025 года?
Декрет-закон, одобренный в июне 2025 года, заменил статью 25 для исполнения резолюций Совета Безопасности по главе VII, включая включение в списки, замораживание и запреты, и добавил статью 33 бис со штрафами от 10 000 до 500 000 кувейтских динаров за нарушение.
Какие правила защиты данных действуют в Кувейте?
Лицензированные CITRA поставщики услуг регулируются Регламентом о защите конфиденциальности данных по Решению № 26 от 2024 года на основе Закона № 37 от 2014 года, охватывающим обработку в Кувейте или за рубежом; прежний регламент, изданный Решением № 42 от 2021 года, заменён.
Как быстро нужно сообщать о нарушениях данных?
По Регламенту статья 4 требует уведомления CITRA в семьдесят два часа об ошибочных раскрытиях, затрагивающих многих пользователей, а статья 6 - в двадцать четыре часа о нарушениях данных, с распространением на аффилированных и связанных третьих лиц.
Проводит ли ваша фирма комплаенс-проверки в Кувейте?
Да. Наш офис в Кувейте определяет применимые к вам режимы, проверяет доказательства и эскалацию по приведённым нормам и выдаёт план исправления. Свяжитесь с нами через страницу контактов, чтобы договориться о проверке.