荷兰企业需要遵守的法律合规类型

法律合规意味着您的企业遵守所有对其具有约束力的规则：荷兰法律、直接适用的欧盟法规、许可证和执照条件、集体劳动协议以及您自行制定的内部政策。对于荷兰公司而言，这些规则涵盖的领域有限，每个领域都有其监管机构，但您只有在了解哪些领域适用于您以及由谁来执行这些规则后，才能有效地进行管理。

主要领域包括就业、数据保护和网络安全、税务和财务报告、反洗钱和制裁、竞争和消费者权益保护法、环境和产品安全、公司内部管理以及行业许可证。下文将解释每个领域的要求、监管机构、违规成本以及如何构建一个行之有效的方案。

法律合规和监管合规有什么区别？

法律合规是指遵守适用于所有人的普遍法律的义务。监管合规是指指定监管机构在特定行业或特定风险范围内监督和执行的一系列义务。

法律合规涵盖荷兰民法典（Burgerlijk Wetboek，简称BW）、税法、劳动法、刑法以及关于环境和个人数据的通用规则。它设定了最低标准，无论是否有人检查，都适用。

例如，监管合规适用于《金融监管法》（Wet op het financieel toezicht，简称Wft）下的支付机构、医疗卫生监察局监管的医院、持有环境和规划许可证（omgevingsvergunning）运营设施的公司，以及《博彩法》（Wet op de kansspelen）下的博彩运营商。典型的监管合规包括许可证或注册、持续的报告义务、检查权以及行政处罚，例如罚款令（last onder dwangsom）或行政罚款（bestuurlijke boete）。

为什么这种区别在实践中很重要

两者执行途径和速度不同。违反一般法律的行为通常是通过纠纷、诉讼或刑事调查发现，并由法院裁决。违反监管规则的行为则是通过检查或强制性报告发现，并由行政部门处理，往往在法院介入之前很久就能得到解决。

列出你的义务时，请注明每项义务适用的途径。这将决定你必须通知谁、必须以多快的速度回复，以及你是否需要与之后仍需共事的上级沟通。

谨慎对待其他司法管辖区的框架。美国的《萨班斯-奥克斯利法案》和为美国市场制定的行业准则在荷兰不具有法律效力，尽管它们经常出现在合规软件中。约束荷兰公司的是荷兰和欧盟法律，以及您已同意的合同条款，例如支付方案的规则手册或客户的审计要求。

你的义务来自哪里：外部还是内部？

外部合规是指由外部因素强加于你的规则；内部合规是指你自行制定的规则。两者都至关重要，因为内部规则一旦被采纳，就会成为法院或主管衡量你行为的标准。

外部规则包括法律、欧盟法规、许可证条件、具有普遍约束力的集体劳动协议以及您加入的任何计划的规则。您无法通过协商消除这些规则，违约的后果由他人决定。

内部规章制度包括行为准则、支出审批流程、礼品招待政策、供应商守则以及高于法定最低标准的质量标准。这些规章制度最初是自愿遵守的，但并非强制执行。一旦传达，内部规章制度就可能成为雇佣关系的一部分，并成为衡量员工因违反公司规章制度而被解雇的标准。一项政策若不执行，其危害可能比没有政策更甚，因为它表明你明明发现了风险却无所作为。

荷兰和欧盟法律日益要求企业能够证明其已做好合规准备。例如，GDPR中的问责原则、金融监管中维护健全的行政组织和内部控制的义务，以及劳动条件法中的风险清单和评估。因此，文件记录是证据，而非官僚主义。这也解释了为什么合规需要董事会层面的负责人，并明确其职责。

就业合规有哪些要求？

劳动法是强制性法律：企业不得通过合同规避劳动法，损害雇员利益。大多数企业首先通过解雇规定、工时、最低工资以及健康与安全保障等方式来确保合规。

解雇法载于《荷兰民法典》第七卷。这是一个封闭的系统：雇主需要符合《荷兰民法典》第7:669条规定的法定理由之一，并遵循正确的程序。因经济原因解雇或病假满两年后解雇，由荷兰雇员保险局 (UWV) 处理。因个人原因解雇，例如工作表现不佳、工作关系破裂或存在过错行为，由地方法院 (kantonrechter) 处理。双方同意终止雇佣关系，需签署和解协议 (vaststellingsovereenkomst)，雇员可根据《荷兰民法典》第7:670b条在14天内撤销该协议。

围绕这一核心，还有三项其他制度。《工作时间法》（Arbeidstijdenwet）限制了工作和休息时间。《最低工资和最低假期津贴法》（Wet minimumloon en minimumvakantiebijslag）自2024年1月1日起规定了法定最低时薪，每年调整两次。《工作条件法》（Arbeidsomstandighedenwet）要求提交一份书面的风险清单和评估报告（risico-inventarisatie en -evaluatie，RI&E），并附有行动计划。这份文件通常是荷兰劳动局（Nederlandse Arbeidsinspectie）首先要求提供的资料。

如果您雇用来自欧洲经济区以外国家的公民，则适用《外国公民雇佣法》（Wet arbeid vreemdelingen）。您需要为其办理工作许可或工作和居留双重许可，并且必须核查并复印雇员的身份证明文件。劳动部门将对违反规定的行为处以行政罚款。

计划中应包含的两项发展

拥有50名或以上员工的雇主必须建立符合《举报人保护法》（Wet bescherming klokkenluiders）要求的内部举报程序。荷兰举报人管理局（Huis voor Klokkenluiders）是员工可以求助的外部渠道之一。

向第三方提供劳动力的企业必须为《劳动力中介准入法》（Wet toelating terbeschikkingstelling van arbeidskrachten，简称Wtta）做好准备。该法案将于2027年1月1日生效，荷兰劳工管理局将从2028年1月1日起强制执行准入要求。新的荷兰劳动力市场管理局（Nederlandse Autoriteit Uitleenmarkt）负责评估准入申请。用工方也受到影响，因为使用未经准入的供应商本身就是被禁止的。

数据保护和网络安全需要什么？

如果您处理个人数据，则《通用数据保护条例》(GDPR) 适用，您必须能够证明您的处理行为合法。如果您在受《网络安全法》(Cyber​​beveiligingswet) 管辖的行业运营，您还负有注意义务和报告安全事件的义务。

《通用数据保护条例》（荷兰语：Algemene verordening gegevensbescherming，简称 AVG）由《荷兰通用数据保护条例实施法》（Uitvoeringswet AVG）补充。监管机构是荷兰数据保护局（Autoriteit Persoonsgegevens，简称 AP）。处理个人数据前，您无需向 AP 注册。但 GDPR 要求您承担相应的责任。

实际上，这意味着每次数据处理操作都需要有合法依据，需要记录数据处理活动，需要提供清晰的隐私信息，需要制定可行的访问、更正和删除请求程序，并且需要与每个数据处理者签订数据处理协议。此外，还需要对向欧洲经济区以外地区传输数据进行书面评估，采取适当的安全措施，并在数据处理可能造成高风险的情况下进行数据保护影响评估。

根据《通用数据保护条例》(GDPR)第33条，您必须在知悉个人数据泄露后的72小时内向监管机构(AP)报告，除非该泄露不太可能对个人造成风险。根据GDPR第34条，如果风险较高，您还必须通知受影响的人员。未按规定报告可能被处以最高1000万欧元或全球年营业额2%的罚款。GDPR规定的最高罚款，例如在没有合法依据的情况下进行数据处理，最高可达200​​0万欧元或全球年营业额4%，以较高者为准。

网络安全法下的网络安全

《网络安全法》是欧盟NIS2指令的实施细则，自2026年8月15日起生效。该法涵盖指定行业的关键实体和重要实体。这些实体必须在国家网络安全中心（NCSC）注册，并履行风险管理、供应链安全、事件处理和业务连续性方面的注意义务。管理层对此负有责任。

重大事件必须分两个阶段报告：24 小时内发出预警，72 小时内提交更详细的通知。监管工作由各行业监管机构分工负责，其中荷兰数字基础设施管理局（Rijksinspectie Digitale Infrastructuur，RDI）负责监管数字基础设施和数字服务提供商。首先，请确认您是否属于监管范围。决定因素是公司规模和所属行业，而非您自身对事件重要性的判断。

人工智能

根据欧盟《人工智能法案》，禁止行为、通用人工智能模型的义务以及与人互动或生成合成内容的系统的透明度义务已生效。高风险监管机制已被数字综合方案推迟：附件三所列系统的生效日期推迟至2027年12月2日，附件一所涵盖产品中的人工智能生效日期推迟至2028年8月2日。拟议的《人工智能责任指令》已被撤回，因此，人工智能造成的损害的责任将根据荷兰关于侵权、产品责任和合同的普通规则进行评估。

适用哪些税务、申报和反洗钱义务？

所有企业都有纳税义务，而且作为股份有限公司（BV）或股份有限公司（NV），还有义务提交年度财务报表。反洗钱义务仅适用于指定机构，但这个范围比大多数人想象的要广。

根据您的法律形式，您需要缴纳企业所得税或个人所得税，以及增值税，并为您的员工代扣代缴工资税。税务和海关总署（Belastingdienst）负责管理所有这些税项。您的义务既包括程序性义务，也包括实质性义务：正确及时地申报纳税、提供完整的记录以及确保管理工作能够接受审计。您必须保存七年的业务记录，以及十年的不动产相关数据。

Law & More 我们不提供税务筹划方面的建议。关于您的实质性税务状况，您需要咨询税务顾问。合理的职责划分是：税务顾问确定您的税务状况，而律师则负责处理后续可能出现的争议或调查。

年度帐目

股份有限公司（BV 或 NV）必须在财政年度结束后十二个月内编制、通过并向荷兰商会（Kamer van Koophandel，KvK）提交年度财务报表。逾期提交并非仅仅是形式上的要求，而是一种经济违法行为。在日后公司破产的情况下，这意味着根据《荷兰商业法》第2:248条，董事将被认定为未能履行其职责。法律会推定这是导致公司破产的重要原因，因此董事可能需要对破产造成的损失承担个人责任。上市公司还需履行额外的报告和披露义务，这些义务由荷兰金融市场管理局（Autoriteit Financiële Markten，AFM）负责监管。

反洗钱

《反洗钱和反恐怖主义融资法》（Wet ter voorkoming van witwassen en financieren van terrorisme，简称Wwft）适用于特定机构。这些机构包括银行、保险公司和支付机构，但也包括会计师、税务顾问、公证员、提供特定服务的律师、房地产经纪人、信托机构、加密货币服务提供商以及接受大额现金支付的交易商。

他们的职责包括基于风险的客户尽职调查、识别和核实最终受益所有人（持股超过25%）、持续监控以及向荷兰金融情报机构（FIU-Nederland）报告异常交易。荷兰的监管体系要求报告所有异常交易，而不仅仅是可疑交易，其门槛有意降低。监管工作由荷兰中央银行（DNB）、荷兰金融市场管理局（AFM）、税务机关监管办公室（Bureau Toezicht Wwft）以及各专业机构共同承担。

根据荷兰刑法典（Wetboek van Strafrecht, Sr）第420条之二至420条之四的规定，洗钱本身属于刑事犯罪；而《荷兰反洗钱法》（Wwft）仅规定了预防性义务。我们的荷兰反洗钱指南解释了这两者之间的联系。如果您的企业涉及数字资产，也请阅读我们关于加密货币合规风险的说明。

制裁

制裁合规常与反洗钱混淆，但它对所有企业都具有约束力，而不仅仅是被指定机构，而且不存在基于风险的豁免。如果您进行跨境贸易，请参阅我们关于荷兰制裁合规的指南。该指南涵盖了筛查、所有权和控制权测试以及1977年《制裁法》（Sanctiewet 1977）规定的报告义务。

竞争法、消费者法和合同法有哪些要求？

您不得与竞争对手在价格或市场方面达成一致，也不得滥用市场支配地位。如果您向消费者销售产品，则还必须遵守《荷兰民法典》第六卷和第七卷中的消费者权益保护规则。

《竞争法》（Mededingingswet）与欧盟竞争法类似，禁止限制竞争和滥用市场支配地位的协议和协同行为。消费者和市场管理局（Autoriteit Consument en Markt，简称ACM）负责执行这两项法律，其权力包括对商业场所和数字数据进行突击检查。

普通公司很少会触犯传统的卡特尔规则。真正的风险在于行业协会内部的信息交流、分销商之间的价格或地域协议、雇主之间的互不挖角协议，以及以建议价格形式呈现的转售价格维持机制。罚款金额取决于营业额，公司董事若指示或领导违法行为，也可能被处以个人罚款。

魁北克消费者保护局 (ACM) 也负责执行消费者权益保护法。关于远程销售、合同前信息披露、14 天撤回权、不公平商业行为和不合理苛刻的一般条款的规定适用于所有向消费者销售商品和服务的企业。这些规定既有私下执行的依据（因为消费者可以撤销不公平条款），也有公开执行的依据（因为魁北克消费者保护局可以处以罚款）。魁北克消费者保护局还监管能源、电信、邮政和运输市场。自《能源法》(Energiewet) 于 2026 年 1 月 1 日生效以来，魁北克消费者保护局适用该法，取代了 1998 年的《电力法》和《天然气法》。

合同合规

合同履行是引发大多数纠纷的隐患。根据《德国商业法》第6:234条，您必须在合同订立之前或之时提供您的通用条款和条件；否则，另一方可以撤销相关条款。法定期间的计算不受监督。买方必须在发现缺陷后的合理时间内提出投诉，而诉讼时效的中断仅限于您以书面形式明确保留履行权利的通知。

因此，记录合同和法定截止日期的日历是一种合规工具，而非法律细节。关于这方面常见的问题，请参阅我们关于常见公司法律问题的概述。

哪些环境和产品法规适用于您？

影响自然环境的活动均受《环境与规划法》（Omgevingswet）管辖，可依据一般规则或许可证进行管理。投放欧盟市场的产品必须符合欧盟产品法规。

《环境法》（Omgevingswet）自2024年1月1日起生效。该法将原有的规划、建筑和环境法规合并为一个体系。市政当局、省政府和水务部门是主管机构，区域环境服务机构（omgevingsdiensten）负责大部分的检查和执法工作。如果您的企业涉及废物处理、向水体排放、向空气中排放、储存危险物质或运行高能耗设备，请假定您的企业属于该法管辖范围，并主动查阅相关规定，而不是被动等待检查。

产品合规性主要由欧盟主导。产品若要进入欧盟市场，必须符合适用的协调法规，在需要时带有CE标志，提供技术文件支持，并且必须由在欧盟境内设立的负责任经济运营商运营。荷兰食品和消费品安全局（Nederlandse Voedsel- en Warenautoriteit，NVWA）负责监管食品卫生、标签和可追溯性，以及消费品安全、玩具和某些其他产品。人类环境和运输监察局（Inspectie Leefomgeving en Transport，ILT）负责监管运输、废物运输、住房和基础设施。

可持续发展报告和尽职调查

欧盟通过综合一揽子计划（Omnibus I package，指令 (EU) 2026/470）缩小了可持续发展规则的适用范围。尽职调查指令（CSDDD）现仅适用于超大型企业，自2029年7月26日起生效；成员国必须在2028年7月26日前完成转化。欧盟统一的民事责任制度已被取消，罚款上限为全球净营业额的3%。可持续发展报告（CSRD）的适用范围也已缩小至规模最大的企业。荷兰的实施仍在进行中，因此在参考旧信息之前，请务必核实最新情况。

适用哪些公司保洁职责和许可证？

所有荷兰法人实体都必须在商会保持注册有效，并登记其最终受益所有人。如果进入荷兰市场需要许可证，那么遵守许可证条件是您最重要的义务之一。

商业登记簿（Handelsregister）必须显示您当前的董事、授权签字人和注册地址。过期的登记簿可能导致前任董事被错误地列为仍然有效的董事。最终受益所有人必须在商会维护的最终受益所有人登记簿（UBO register）中登记。欧盟法院于2022年11月22日作出判决后，公众已无法访问该登记簿，但登记义务不变。主管当局以及在特定情况下，Wwft机构仍然可以访问该登记簿。

公司治理在此基础上又增加了一层。根据《德国商法典》（BW）第2:239条（适用于BV公司），董事必须以公司及其业务的利益为重。存在利益冲突的董事不得参与决策。大型公司制度（structuurregime）和《职工委员会法》（Wet op de ondernemingsraden）也规定了各自的咨询和批准要求。自2025年1月1日起，修订后的规则适用于股东纠纷以及向德国企业委员会（Ondernemingskamer）提起调查程序（enquêteprocedure）。 Amsterdam 上诉法院。

行业许可证至关重要。金融服务需要根据荷兰中央银行 (DNB) 或荷兰金融市场管理局 (AFM) 的《荷兰金融服务法》(Wft) 获得许可。博彩业需要获得荷兰博彩管理局 (Kansspelautoriteit) 的许可。医疗保健机构需向荷兰健康与青少年保健监察局 (Inspectie Gezondheidszorg en Jeugd, IGJ) 负责，而收费和市场行为则需向荷兰医疗保健管理局 (Nederlandse Zorgautoriteit, NZa) 负责。儿童保育、私人保安、出租车运输、废物处理和枪支等行业均有各自的监管规定。违反许可证条款不仅会危及您的财务安全，还会危及许可证本身。

谁负责执行什么？

一旦明确每项义务背后的授权机构，合规管理就变得容易了。授权机构决定了您将面临的处罚、您需要提交的报告以及沟通的语气。以下是大多数企业的工作流程：

• 荷兰数据保护局（AP）：GDPR、数据泄露通知和数据主体的投诉。
• 荷兰劳动局：工作条件、工作时间、最低工资、雇用外国公民和劳动剥削。
• 消费者和市场管理局（ACM）：负责竞争、消费者保护以及受监管的能源、电信、邮政和运输市场。
• 荷兰中央银行和荷兰金融市场管理局：负责监管根据《金融监管法》设立的金融机构，以及《金融监管法》下属机构的监管。
• 税务和海关管理，包括税务监管局：税务申报和缴纳、记录保存以及对贸易商和中介机构的反洗钱监管。
• 荷兰金融情报机构 (FIU-Nederland)：接收有关异常交易的报告，并决定哪些交易被认定为可疑交易，并移交给调查机构。
• NVWA：食品安全、产品安全、标签和动物福利。
• ILT：运输、废物运输、水和住房。
• 市政当局、省政府和环境服务部门：根据《Omgevingswet》进行许可和执法。
• RDI 和行业网络安全监管机构：网络安全法下的注意义务和事件报告。
• 海关（Douane）和中央进出口办公室（CDIU）：边境海关、出口管制、两用许可证和制裁。
• 行业监管机构：Kansspelautoriteit、IGJ 和 NZa，以及自 2027 年起针对劳务中介的 Nederlandse Autoriteit Uitleenmarkt。

所有这些行为背后都隐藏着刑事责任。《经济犯罪法》（Wet op de economische delicten，WED）将许多监管法规的违规行为转化为经济犯罪。这些案件由财政情报调查局（FIOD）或相关监察机构进行调查，并由公共检察署的专门机构（Functioneel Parket）提起诉讼。这就是行政问题如何演变为刑事问题的原因，也是为什么你对主管首次信息请求的答复是一项法律决定，而非操作性决定。

不遵守规定的代价是什么？

罚款是显而易见的成本，但通常并非最大的损失。吊销执照、董事个人责任和商业损失往往更为沉重。

最高罚款额度很高：根据 GDPR，最高可达 20 万欧元或全球营业额的 4%；竞争法中的罚款基于营业额；WED 中的罚款类别随着违法行为的严重程度而增加。

第二个代价是失去经营许可。监管机构可以暂停或吊销许可证，下达罚款令（罚款将持续有效直至企业遵守规定），关闭营业场所或禁止产品上市。对于受监管的企业而言，这可能关乎生死存亡。提出异议或上诉并不能中止此类决定；要中止该决定，您需要向临时救济法官（voorzieningenrechter）申请临时措施。

第三项成本是个人层面的。根据《德国商法典》第2:9条，董事若未能妥善履行职责，可能对公司承担责任；若实施非法行为，可能对第三方承担责任；若未提交账目或管理不善，则可能对破产财产承担责任。根据第51条，公司所犯的罪行，也可追究指示或实际领导违禁行为的人员的责任。届时，您的合规档案将成为有关个人和公司的证据。

第四个成本是商业成本。银行会审查合作关系，保险公司会提高保费或撤销保险，投标书会要求你做出你现在无法再做出的声明，客户会行使审计和终止权，而你企业的买家会要求降价或赔偿。合规问题也可能在多年后的尽职调查中暴露出来。正如我们关于如何保持企业合规领先地位的说明中所述，及时更新合规远比在监管下弥补损失要划算得多。

如何构建一个能够被证明有效的合规计划？

首先，列出你的义务，评估风险，在流程中建立控制措施，并保留这些措施有效的证据。主管会关注你做了什么，而不是你的政策条文。

义务登记册是一份涵盖所有约束您业务事项的清单，并按上述领域进行分类。对于每项义务，它都会记录其来源、主管、内部负责人以及证明您已遵守的证据。大多数组织在进行这项工作时发现，问题不在于对规则存在分歧，而在于没有人真正负责执行这些规则。

评估风险

根据违约的可能性及其后果的严重性对每项义务进行评分。严重性不仅体现在经济方面：许可证面临风险比巨额罚款更为重要。将控制重点放在得分最高的事项上，并记录你的理由。主管更容易接受经过深思熟虑的优先级排序，而不是一份无人完成的清单。

在流程中建立控制机制

当控制措施无需任何人记忆即可运行时，其效果最佳。例如，订单接收流程中的制裁筛查步骤、营销工具中法律依据的必填字段、超过一定金额的付款需经过四眼审核批准，以及许可证续期日期的自动提醒。为每项控制措施指定负责人，赋予其相应的权限和预算，并向负责整体的董事会成员汇报。

培训合适的人才

培训应由相关决策者负责：销售和采购部门负责竞争和制裁措施，市场营销和IT部门负责数据保护，人力资源部门负责招聘，财务部门负责税务和支付。培训内容应简洁明了、重点突出，并定期重复，同时记录出勤情况。此外，还应建立符合举报人保护法且真正值得信赖的举报渠道，并对举报进行妥善调查。

监测并保存证据

制定内部检查计划，每年至少对部分交易进行一次完整的流程追踪，记录事件和险情，并跟进直至问题彻底解决。定期向董事会汇报，而不仅仅是在出现问题后才汇报。对政策进行版本控制，记录每项政策的最后审核时间，并将相关证据至少保存至法定保存期限。

如果问题最终被认定为违规，应尽早咨询律师，了解自愿披露是否能改善您的处境。在某些情况下，自愿披露确实有效，但前提是您必须在监管机构通过其他途径发现之前主动披露。合规律师和您的商业律师可以帮助您快速做出决定。

综上所述

• 法律合规涵盖所有约束您企业的规则；监管合规是指定主管人员执行的部分。
• 主要领域包括就业、数据保护和网络安全、税务和申报、反洗钱和制裁、竞争和消费者法、环境和产品以及公司内部管理。
• 每个地区都有自己的主管，WED 可以将违反监管规定的行为转化为刑事案件。
• 不遵守规定可能会导致您失去执照，并导致董事承担个人责任，而不仅仅是罚款。
• 一个项目只有在有负责人、流程中内置控制措施以及证明其有效性的证据时才能发挥作用。

常见问题

Law & More 为荷兰企业提供有关雇佣、数据保护、竞争、反洗钱、许可证和董事责任方面的咨询，并在监管机构或公共检察署（Openbaar Ministerie，OM）介入时提供协助。 荷兰数据保护局 和 消费者与市场管理局 他们会发布针对企业的指导意见。不确定您的情况如何？请告诉我们您的具体情况。我们会在一个工作日内告知您有哪些选择。