Κατευθυντήριες γραμμές σχετικά με τις πληροφορίες που πρέπει να παρέχονται για την απόκτηση άδειας λειτουργίας των ιδρυμάτων πληρωμών και των ιδρυμάτων ηλεκτρονικού χρήματος και για την καταχώριση των παρόχων υπηρεσιών πληροφοριών λογαριασμού δυνάμει του άρθρου 5 παράγραφος 5 της οδηγίας (ΕΕ) 2015/2366 (EBA/GL/2017/09)

1. Συμμόρφωση και υποχρεώσεις υποβολής στοιχείων και αναφορών

2. Αντικείμενο, πεδίο εφαρμογής και ορισμοί

3. Εφαρμογή

4. Τέσσερα σύνολα κατευθυντήριων γραμμών, τα οποία εφαρμόζονται, αντιστοίχως, στα ιδρύματα πληρωμών, στους παρόχους υπηρεσιών πληροφοριών λογαριασμού, στα ιδρύματα ηλεκτρονικού χρήματος και στις αρμόδιες αρχές

Κατευθυντήρια γραμμή 1: Γενικές αρχές

1.1 Το παρόν σύνολο κατευθυντήριων γραμμών ισχύει για τους αιτούντες άδεια λειτουργίας ιδρύματος πληρωμών. Σε αυτούς περιλαμβάνονται οι αιτούντες που προτίθενται να παρέχουν οποιαδήποτε από τις υπηρεσίες που αναφέρονται στα σημεία 1 - 7 του παραρτήματος Ι της οδηγίας PSD2 ή την υπηρεσία 8 σε συνδυασμό με άλλες υπηρεσίες πληρωμών. Οι αιτούντες οι οποίοι προτίθενται να παρέχουν αποκλειστικά την υπηρεσία που αναφέρεται στο σημείο 8 του παραρτήματος Ι της οδηγίας (ΕΕ) 2015/2366 (οδηγία PSD2) υπόκεινται στο σύνολο κατευθυντήριων γραμμών που αφορά ειδικά τους παρόχους υπηρεσιών πληροφοριών λογαριασμού και παρατίθεται στην ενότητα 4.2.

1.2 Οι πληροφορίες που παρέχονται από τους αιτούντες θα πρέπει να είναι αληθείς, πλήρεις, ακριβείς και επικαιροποιημένες. Όλοι οι αιτούντες θα πρέπει να συμμορφώνονται με όλες τις διατάξεις που περιλαμβάνονται στο σύνολο κατευθυντήριων γραμμών που τους αφορά. Το επίπεδο λεπτομέρειας θα πρέπει να είναι ανάλογο με το μέγεθος και την εσωτερική οργάνωση του αιτούντος, καθώς και με τη φύση, την κλίμακα, την πολυπλοκότητα και τον βαθμό επικινδυνότητας της ή των συγκεκριμένων υπηρεσιών που προτίθεται να παρέχει ο αιτών. Σε κάθε περίπτωση, σύμφωνα με την οδηγία (ΕΕ) 2015/2366, τα διευθυντικά στελέχη και οι υπεύθυνοι για τη διαχείριση του ιδρύματος πληρωμών είναι έντιμοι και διαθέτουν κατάλληλες γνώσεις και πείρα για την παροχή υπηρεσιών πληρωμών, ανεξάρτητα από το μέγεθος και την εσωτερική οργάνωση του ιδρύματος και από τη φύση, την κλίμακα και την

αρμοδιότητες της συγκεκριμένης θέσης.

1.3 Κατά την υποβολή των απαιτούμενων πληροφοριών, ο αιτών θα πρέπει να αποφεύγει να προβαίνει σε παραπομπές σε συγκεκριμένες ενότητες εσωτερικών διαδικασιών/εγγράφων. Αντ’ αυτού, ο αιτών θα πρέπει να διαβιβάζει στην αρμόδια αρχή τα αποσπάσματα που περιλαμβάνουν τις σχετικές ενότητες.

1.4 Σε περίπτωση που οι αρμόδιες αρχές ζητήσουν διευκρινίσεις σχετικά με τις υποβληθείσες πληροφορίες, ο αιτών θα πρέπει να παράσχει τις εν λόγω διευκρινίσεις χωρίς καθυστέρηση.

1.5 Όλα τα δεδομένα που ζητούνται βάσει των παρουσών κατευθυντήριων γραμμών για τις άδειες λειτουργίας ιδρυμάτων πληρωμών είναι απαραίτητα για την αξιολόγηση της αίτησης και θα αντιμετωπίζονται από την αρμόδια αρχή σύμφωνα με τις υποχρεώσεις επαγγελματικού απορρήτου που προβλέπονται στην οδηγία PSD2, με την επιφύλαξη της εφαρμοστέας ενωσιακής νομοθεσίας και των εθνικών απαιτήσεων και διαδικασιών σχετικά με την άσκηση του δικαιώματος πρόσβασης, διόρθωσης, ακύρωσης ή αντίταξης.

Κατευθυντήρια γραμμή 2: Στοιχεία ταυτοποίησης

2.1 Στα στοιχεία ταυτοποίησης που πρέπει να παρέχονται από τον αιτούντα θα πρέπει να περιλαμβάνονται οι ακόλουθες πληροφορίες:

• α. η εταιρική επωνυμία του αιτούντος και, εάν είναι διαφορετική, η εμπορική επωνυμία·
• β. διευκρίνιση σχετικά με το αν ο αιτών είναι εταιρεία που έχει ήδη συσταθεί ή βρίσκεται σε διαδικασία σύστασης·
• γ. ο εθνικός αριθμός μητρώου του αιτούντος, κατά περίπτωση·
• δ. η νομική μορφή και το εταιρικό (ή το σχέδιο εταιρικού) του αιτούντος και/ή καταστατικά έγγραφα που αποδεικνύουν τη νομική μορφή του αιτούντος·
• ε. η διεύθυνση των κεντρικών γραφείων και της καταστατικής έδρας του αιτούντος·

στ. η ηλεκτρονική διεύθυνση και ο ιστότοπος του αιτούντος, εάν υπάρχουν·

• ζ. το ή τα ονόματα των προσώπων που είναι υπεύθυνα για τον φάκελο της αίτησης και τη διαδικασία αδειοδότησης, καθώς και τα στοιχεία επικοινωνίας τους·
• η. διευκρίνιση σχετικά με το αν ο αιτών έχει υπαχθεί κατά το παρελθόν, ή υπόκειται επί του παρόντος, σε ρύθμιση από αρμόδια αρχή του τομέα χρηματοοικονομικών υπηρεσιών·
• θ. τυχόν εμπορικές ενώσεις σε σχέση με την παροχή υπηρεσιών πληρωμών στις οποίες ο αιτών προτίθεται να προσχωρήσει, κατά περίπτωση·
• ι. το πιστοποιητικό καταχώρισης στο οικείο μητρώο επιχειρήσεων ή, κατά περίπτωση, αρνητική βεβαίωση έναρξης από εμπορικό μητρώο με την οποία πιστοποιείται ότι η επωνυμία που χρησιμοποιεί η εταιρεία είναι διαθέσιμη·

ια. αποδεικτικό καταβολής τυχόν τελών ή κατάθεσης χρηματικών ποσών για την υποβολή αίτησης άδειας λειτουργίας ιδρύματος πληρωμών, όπου απαιτείται βάσει του εθνικού δικαίου.

Κατευθυντήρια γραμμή 3: Πρόγραμμα δραστηριοτήτων

3.1. Στο πρόγραμμα δραστηριοτήτων που πρέπει να παρέχεται από τον αιτούντα θα πρέπει να περιλαμβάνονται οι ακόλουθες πληροφορίες:

• α. αναλυτική περιγραφή του είδους των προβλεπόμενων υπηρεσιών πληρωμών, συμπεριλαμβανομένης της επεξήγησης του τρόπου με τον οποίο οι δραστηριότητες που θα ασκούνται προσδιορίζονται από τον αιτούντα ως δραστηριότητες που εμπίπτουν σε οποιαδήποτε από τις νόμιμες κατηγορίες υπηρεσιών πληρωμών που απαριθμούνται στο παράρτημα Ι της οδηγίας PSD2·
• β. δήλωση του αιτούντος σχετικά με το αν θα περιέρχονται σε οποιαδήποτε στιγμή στην κατοχή του χρηματικά ποσά·
• γ. περιγραφή της εκτέλεσης των διαφόρων υπηρεσιών πληρωμών, με λεπτομερή αναφορά όλων των συμμετεχόντων μερών, συμπεριλαμβανομένων επιπλέον για κάθε παρεχόμενη υπηρεσία πληρωμών των εξής στοιχείων:
• i. διάγραμμα της ροής των χρηματικών ποσών, εκτός εάν ο αιτών προτίθεται να παρέχει αποκλειστικά υπηρεσίες εκκίνησης πληρωμής·
• ii. ρυθμίσεις διακανονισμού, εκτός εάν ο αιτών προτίθεται να παρέχει αποκλειστικά υπηρεσίες εκκίνησης πληρωμής·
• iii. σχέδια συμβάσεων μεταξύ όλων των μερών που συμμετέχουν στην παροχή υπηρεσιών πληρωμών, συμπεριλαμβανομένων των συμβάσεων με συστήματα πληρωμών με κάρτα, κατά περίπτωση·
• iv. χρόνοι διεκπεραίωσης·
• δ. αντίγραφο του σχεδίου σύμβασης - πλαισίου, όπως ορίζεται στο άρθρο 4 σημείο 21 της οδηγίας PSD2·
• ε. ο εκτιμώμενος αριθμός διαφορετικών εγκαταστάσεων από τις οποίες ο αιτών προτίθεται να παρέχει τις υπηρεσίες πληρωμών και/ή να ασκεί δραστηριότητες που σχετίζονται με την παροχή υπηρεσιών πληρωμών, κατά περίπτωση· στ. περιγραφή τυχόν επικουρικών υπηρεσιών προς τις υπηρεσίες πληρωμών, κατά περίπτωση·
• ζ. δήλωση του αιτούντος σχετικά με αν προτίθεται να χορηγεί πιστώσεις και, εάν ναι, εντός ποιων ορίων·
• η. δήλωση του αιτούντος σχετικά με το αν σχεδιάζει να παρέχει υπηρεσίες πληρωμών σε άλλα κράτη μέλη ή τρίτες χώρες μετά τη χορήγηση της άδειας·
• θ. αναφορά του αν ο αιτών προτίθεται ή όχι, εντός των επόμενων τριών ετών, να ασκήσει ή αν ήδη ασκεί άλλου είδους επιχειρηματικές δραστηριότητες που αναφέρονται στο άρθρο 18 της οδηγίας (ΕΕ) 2015/2366, συμπεριλαμβανομένης της περιγραφής του είδους και του προβλεπόμενου όγκου των δραστηριοτήτων·
• ι. οι πληροφορίες που προσδιορίζονται στις κατευθυντήριες γραμμές της ΕΑΤ με θέμα τα κριτήρια καθορισμού του ελάχιστου χρηματικού ποσού της ασφάλισης επαγγελματικής ευθύνης ή άλλης συγκρίσιμης εγγύησης δυνάμει του άρθρου 5 παράγραφος 4 της οδηγίας (ΕΕ) 2015/2366, σε περίπτωση που ο αιτών προτίθεται να παρέχει τις υπηρεσίες 7 και 8 (υπηρεσίες εκκίνησης πληρωμής και υπηρεσίες πληροφοριών λογαριασμού).

Κατευθυντήρια γραμμή 4: Επιχειρηματικό σχέδιο

4.1. Στο επιχειρηματικό σχέδιο που πρέπει να παρέχεται από τον αιτούντα θα πρέπει να περιλαμβάνονται τα εξής:

• α. σχέδιο ανάπτυξης και προώθησης των υπηρεσιών (marketing) το οποίο περιέχει:
• i. ανάλυση της ανταγωνιστικής θέσης της εταιρείας στο σχετικό τμήμα της αγοράς πληρωμών·
• ii. περιγραφή των χρηστών των υπηρεσιών πληρωμών, του υλικού ανάπτυξης και προώθησης ( marketing) και των καναλιών διανομής·
• β. για υφιστάμενες εταιρείες, όπου διατίθενται, πιστοποιημένοι ετήσιοι λογαριασμοί για τα προηγούμενα τρία έτη ή σύνοψη της χρηματοοικονομικής κατάστασης των εταιρειών που δεν έχουν υποβάλει ακόμη ετήσιους λογαριασμούς·
• γ. πρόβλεψη προϋπολογισμού για τα τρία πρώτα οικονομικά έτη, η οποία καταδεικνύει την ικανότητα του αιτούντος να χρησιμοποιεί τα κατάλληλα και ανάλογα συστήματα, πόρους και διαδικασίες που εξασφαλίζουν την εύρυθμη λειτουργία του· θα πρέπει να περιλαμβάνει:
• i. πρόβλεψη κατάστασης λογαριασμού αποτελεσμάτων και ισολογισμού, περιλαμβανομένων σεναρίων επίτευξης του στόχου και σεναρίων ακραίων καταστάσεων, καθώς και των βασικών παραδοχών τους, όπως όγκος και αξία συναλλαγών, αριθμός πελατών, τιμολόγηση, μέσο ποσό ανά συναλλαγή, προβλεπόμενη αύξηση κατώτατου ορίου αποδοτικότητας·
• ii. επεξήγηση των βασικών γραμμών εσόδων και εξόδων, των χρηματοοικονομικών οφειλών και του πάγιου ενεργητικού·
• iii. διάγραμμα και λεπτομερή ανάλυση των εκτιμώμενων ταμειακών ροών για τα επόμενα τρία έτη·
• δ. πληροφορίες σχετικά με τα ίδια κεφάλαια, συμπεριλαμβανομένου του ποσού και λεπτομερούς ανάλυσης της σύνθεσης του αρχικού κεφαλαίου, όπως ορίζεται στο άρθρο 7 της οδηγίας PSD2·
• ε. πληροφορίες σχετικά με τις ελάχιστες απαιτήσεις ιδίων κεφαλαίων και υπολογισμός αυτών σύμφωνα με τη μέθοδο ή τις μεθόδους που αναφέρονται στο άρθρο 9 της οδηγίας (ΕΕ) 2015/2366 (οδηγία PSD2), όπως καθορίζονται από την αρμόδια αρχή, εκτός εάν ο αιτών προτίθεται να παρέχει αποκλειστικά υπηρεσίες εκκίνησης πληρωμής, συμπεριλαμβανομένων των εξής:
• i. ετήσια πρόβλεψη της ανάλυσης των ιδίων κεφαλαίων για τρία έτη σύμφωνα με τη χρησιμοποιούμενη μέθοδο·
• ii. ετήσια πρόβλεψη των ιδίων κεφαλαίων για τρία έτη σύμφωνα με τις υπόλοιπες μεθόδους.

Κατευθυντήρια γραμμή 5: Οργανωτική δομή

5.1. Ο αιτών θα πρέπει να παρέχει περιγραφή της οργανωτικής δομής της επιχείρησής του, η οποία θα αποτελείται από τα ακόλουθα στοιχεία:

παρόμοια μονάδα διαρθρωτικού διαχωρισμού, συμπεριλαμβανομένων του ονόματος του αρμόδιου ή των αρμόδιων προσώπων, ιδίως εκείνων που είναι υπεύθυνα για τα καθήκοντα εσωτερικού ελέγχου· το οργανόγραμμα θα πρέπει να συνοδεύεται από

• β. συνολική πρόβλεψη του αριθμού των μελών του προσωπικού για τα επόμενα τρία έτη·

δραστηριοτήτων, η οποία θα περιλαμβάνει:

• i. την ταυτότητα και τη γεωγραφική θέση του παρόχου υπηρεσιών εξωτερικής ανάθεσης·
• ii. την ταυτότητα των προσώπων εντός του ιδρύματος πληρωμών που είναι αρμόδια για καθεμία από τις δραστηριότητες εξωτερικής ανάθεσης·
• iii. σαφή περιγραφή των δραστηριοτήτων εξωτερικής ανάθεσης και των βασικών χαρακτηριστικών τους·
• δ. αντίγραφο των σχεδίων συμβάσεων εξωτερικής ανάθεσης·
• ε. περιγραφή της χρήσης υποκαταστημάτων και αντιπροσώπων, κατά περίπτωση, η οποία θα περιλαμβάνει:
• i. χαρτογράφηση των επιτόπιων και μη επιτόπιων ελέγχων που προτίθεται να διενεργεί ο αιτών, τουλάχιστον ετησίως, στα υποκαταστήματα και στους αντιπροσώπους του, καθώς και αναφορά της συχνότητάς τους·
• ii. τα συστήματα πληροφορικής, τις διαδικασίες και τις υποδομές που χρησιμοποιούνται από τους αντιπροσώπους του αιτούντος για την άσκηση δραστηριοτήτων εξ ονόματος του αιτούντος·
• iii. όσον αφορά τους αντιπροσώπους, την πολιτική επιλογής τους, τις διαδικασίες παρακολούθησης και την κατάρτιση των αντιπροσώπων και, κατά περίπτωση, τα σχέδια των όρων πρόσληψής τους·
• iv. αναφορά του εθνικού και/ή διεθνούς συστήματος πληρωμών στο οποίο θα έχει πρόσβαση ο αιτών, κατά περίπτωση·

στ. κατάλογο όλων των φυσικών ή νομικών προσώπων που έχουν στενούς δεσμούς με τον αιτούντα, με αναφορά των στοιχείων ταυτότητας των προσώπων και της φύσης των δεσμών αυτών.

Κατευθυντήρια γραμμή 6: Στοιχεία τεκμηρίωσης της ύπαρξης αρχικού κεφαλαίου

6.1 Για την τεκμηρίωση της ύπαρξης του αρχικού κεφαλαίου που πρέπει να παρέχεται από τον αιτούντα (125 000 EUR για τις υπηρεσίες 1 - 5 του παραρτήματος I της οδηγίας PSD2, 20 000 EUR για την υπηρεσία 6 και 50 000 EUR για την υπηρεσία 7), ο αιτών θα πρέπει να υποβάλει τα ακόλουθα έγγραφα:

• α. για υφιστάμενες επιχειρήσεις, ελεγμένο αντίγραφο κίνησης λογαριασμού ή εγγραφή σε δημόσιο μητρώο που πιστοποιεί το ποσό του κεφαλαίου του αιτούντος·
• β. για επιχειρήσεις που βρίσκονται στη διαδικασία σύστασης, τραπεζική δήλωση που εκδίδεται από τράπεζα και πιστοποιεί ότι τα χρηματικά ποσά είναι κατατεθειμένα στον τραπεζικό λογαριασμό του αιτούντος.

Κατευθυντήρια γραμμή 7: Μέτρα για τη διασφάλιση των χρηματικών ποσών των χρηστών υπηρεσιών πληρωμών (εφαρμόζονται αποκλειστικά στις υπηρεσίες πληρωμών 1- 6)

7.1. Σε περίπτωση που ο αιτών διασφαλίζει τα χρηματικά ποσά των χρηστών υπηρεσιών πληρωμών μέσω κατάθεσης των ποσών σε χωριστό λογαριασμό σε πιστωτικό ίδρυμα ή μέσω επένδυσης σε ασφαλή και ρευστά στοιχεία ενεργητικού χαμηλού κινδύνου, η περιγραφή των μέτρων διασφάλισης θα πρέπει να περιλαμβάνει:

• α. περιγραφή της επενδυτικής πολιτικής που διασφαλίζει ότι τα στοιχεία ενεργητικού που επιλέγονται είναι ασφαλή, ρευστά και χαμηλού κινδύνου, κατά περίπτωση·
• β. τον αριθμό των προσώπων που έχουν πρόσβαση στον λογαριασμό διασφάλισης και τα καθήκοντα των προσώπων αυτών·
• γ. περιγραφή της διαδικασίας διαχείρισης και της συμφωνίας ώστε να διασφαλίζεται ότι τα χρηματικά ποσά των χρηστών υπηρεσιών πληρωμών προστατεύονται προς το συμφέρον των εν λόγω χρηστών υπηρεσιών πληρωμών έναντι αξιώσεων άλλων πιστωτών του ιδρύματος πληρωμών, ιδίως σε περίπτωση αφερεγγυότητας·
• δ. αντίγραφο του σχεδίου σύμβασης με το πιστωτικό ίδρυμα·
• ε. ρητή δήλωση του ιδρύματος πληρωμών σχετικά με τη συμμόρφωση προς το άρθρο 10 της οδηγίας PSD2.

7.2. Σε περίπτωση που ο αιτών διασφαλίζει τα χρηματικά ποσά των χρηστών υπηρεσιών πληρωμών μέσω ασφαλιστηρίου ή συγκρίσιμης εγγύησης από ασφαλιστική εταιρεία ή πιστωτικό ίδρυμα, η περιγραφή των μέτρων διασφάλισης θα πρέπει να περιλαμβάνει τα ακόλουθα:

• α. βεβαίωση ότι το ασφαλιστήριο ή η συγκρίσιμη εγγύηση από ασφαλιστική εταιρεία ή πιστωτικό ίδρυμα προέρχεται από οντότητα που δεν ανήκει στον ίδιο όμιλο εταιρειών με τον αιτούντα·
• β. λεπτομέρειες της εφαρμοζόμενης διαδικασίας συμφωνίας με την οποία διασφαλίζεται ότι το ασφαλιστήριο ή η συγκρίσιμη εγγύηση επαρκεί για την κάλυψη των υποχρεώσεων διασφάλισης του αιτούντος ανά πάσα στιγμή·
• γ. διάρκεια και ανανέωση ισχύος της ασφαλιστικής κάλυψης·
• δ. αντίγραφο του (σχεδίου) ασφαλιστηρίου συμβολαίου ή (του σχεδίου) της συγκρίσιμης εγγύησης.

Κατευθυντήρια γραμμή 8: Πλαίσιο διακυβέρνησης και μηχανισμοί εσωτερικού ελέγχου

8.1. Ο αιτών θα πρέπει να παρέχει περιγραφή του πλαισίου διακυβέρνησης και των μηχανισμών εσωτερικού ελέγχου, η οποία θα περιλαμβάνει:

• α. χαρτογράφηση των κινδύνων που εντοπίζονται από τον αιτούντα, συμπεριλαμβανομένων του είδους των κινδύνων και των διαδικασιών που θα εφαρμόζει ο αιτών για την αξιολόγηση και την πρόληψη των εν λόγω κινδύνων·
• β. τις διάφορες διαδικασίες για τη διεξαγωγή των περιοδικών και μόνιμων ελέγχων, συμπεριλαμβανομένης της συχνότητας και των ανθρώπινων πόρων που διατίθενται για τη διεξαγωγή τους·
• γ. τις λογιστικές διαδικασίες μέσω των οποίων ο αιτών θα καταχωρίζει και θα υποβάλλει τις χρηματοοικονομικές πληροφορίες του·
• δ. την ταυτότητα του ή των προσώπων που είναι αρμόδια για τα καθήκοντα εσωτερικού ελέγχου, συμπεριλαμβανομένων του περιοδικού, του μόνιμου ελέγχου και του ελέγχου συμμόρφωσης, καθώς και ενημερωμένο βιογραφικό σημείωμα·
• ε. την ταυτότητα τυχόν ελεγκτή που δεν είναι νόμιμος ελεγκτής δυνάμει της οδηγίας 2006/43/ΕΚ·

στ. τη σύνθεση του διοικητικού του οργάνου και, κατά περίπτωση, τυχόν άλλου οργάνου ή επιτροπής εποπτείας·

δραστηριοτήτων εξωτερικής ανάθεσης ώστε να αποφεύγεται το ενδεχόμενο υποβάθμισης της ποιότητας των εσωτερικών ελέγχων του ιδρύματος πληρωμών·

• η. περιγραφή του τρόπου παρακολούθησης και ελέγχου τυχόν αντιπροσώπων και υποκαταστημάτων στο πλαίσιο των εσωτερικών ελέγχων του αιτούντος·
• θ. σε περίπτωση που ο αιτών είναι η θυγατρική επιχείρηση ρυθμιζόμενης οντότητας σε άλλο κράτος μέλος της ΕΕ, περιγραφή της διακυβέρνησης του ομίλου. Κατευθυντήρια γραμμή 9: Διαδικασία ελέγχου, διαχείρισης και παρακολούθησης περιστατικών ασφαλείας και παραπόνων των πελατών για ζητήματα σχετικά με την ασφάλεια

9.1. Ο αιτών θα πρέπει να παρέχει περιγραφή της εφαρμοζόμενης διαδικασίας για τον έλεγχο, τη διαχείριση και την παρακολούθηση των περιστατικών ασφαλείας και των παραπόνων των πελατών για ζητήματα σχετικά με την ασφάλεια, η οποία θα πρέπει να περιλαμβάνει τα ακόλουθα:

• α. οργανωτικά μέτρα και εργαλεία για την πρόληψη της απάτης·
• β. στοιχεία του ή των ατόμων και των οργάνων που είναι αρμόδια για την παροχή βοήθειας στους πελάτες σε περιπτώσεις απάτης, τεχνικών προβλημάτων και/ή διαχείρισης αξιώσεων·
• γ. γραμμές αναφοράς σε περίπτωση απάτης·
• δ. το σημείο επαφής για τους πελάτες, συμπεριλαμβανομένων του ονόματος και της διεύθυνσης ηλεκτρονικού ταχυδρομείου·
• ε. τις διαδικασίες για την αναφορά περιστατικών, συμπεριλαμβανομένης της κοινοποίησης των αναφορών αυτών σε εσωτερικά ή εξωτερικά όργανα, μεταξύ άλλων τη γνωστοποίηση μειζόνων συμβάντων στις εθνικές αρμόδιες αρχές δυνάμει του άρθρου 96 της οδηγίας PSD2, και σύμφωνα με τις κατευθυντήριες γραμμές της ΕΑΤ σχετικά με την υποβολή αναφορών συμβάντων κατ' εφαρμογή του εν λόγω άρθρου·

στ. τα εργαλεία ελέγχου που χρησιμοποιούνται και τα μέτρα και τις διαδικασίες παρακολούθησης που εφαρμόζονται για τη μείωση των κινδύνων ασφάλειας.

Κατευθυντήρια γραμμή 10: Διαδικασία αρχειοθέτησης, παρακολούθησης, εντοπισμού και περιορισμού της πρόσβασης σε ευαίσθητα δεδομένα πληρωμών

10.1. Ο αιτών θα πρέπει να παρέχει περιγραφή της εφαρμοζόμενης διαδικασίας αρχειοθέτησης, παρακολούθησης, εντοπισμού και περιορισμού της πρόσβασης σε ευαίσθητα δεδομένα πληρωμών, η οποία θα πρέπει να περιλαμβάνει:

• α. περιγραφή των ροών δεδομένων που χαρακτηρίζονται ως ευαίσθητα δεδομένα πληρωμών στο πλαίσιο του επιχειρηματικού μοντέλου του ιδρύματος πληρωμών·
• β. τις εφαρμοζόμενες διαδικασίες για τη χορήγηση πρόσβασης σε ευαίσθητα δεδομένα πληρωμών·
• γ. περιγραφή του εργαλείου παρακολούθησης·
• δ. την πολιτική όσον αφορά το δικαίωμα πρόσβασης, με αναλυτική περιγραφή της

συμπεριλαμβανομένων των βάσεων δεδομένων και των εφεδρικών υποδομών·

• ε. εκτός εάν ο αιτών προτίθεται να παρέχει αποκλειστικά υπηρεσίες εκκίνησης πληρωμής, περιγραφή του τρόπου αρχειοθέτησης των δεδομένων που συλλέγονται·

στ. εκτός εάν ο αιτών προτίθεται να παρέχει αποκλειστικά υπηρεσίες εκκίνησης πληρωμής, την προβλεπόμενη εσωτερική και/ή εξωτερική χρήση των δεδομένων που συλλέγονται, μεταξύ άλλων και από τους αντισυμβαλλομένους·

• ζ. το σύστημα πληροφορικής και τα τεχνικά μέτρα ασφάλειας που έχουν τεθεί σε

tokenisation·

• η. προσδιορισμό των ατόμων, των οργάνων και/ή των επιτροπών που έχουν πρόσβαση σε ευαίσθητα δεδομένα πληρωμών·
• θ. επεξήγηση του τρόπου εντοπισμού και αντιμετώπισης παραβιάσεων·
• ι. ετήσιο πρόγραμμα εσωτερικού ελέγχου όσον αφορά την ασφάλεια των συστημάτων πληροφορικής.

Κατευθυντήρια γραμμή 11: Ρυθμίσεις επιχειρησιακής συνέχειας

11.1. Ο αιτών θα πρέπει να παρέχει περιγραφή των ρυθμίσεων επιχειρησιακής συνέχειας η οποία θα περιλαμβάνει τις ακόλουθες πληροφορίες:

• α. ανάλυση επιχειρηματικών επιπτώσεων, συμπεριλαμβανομένων των επιχειρηματικών διαδικασιών και των στόχων αποκατάστασης, όπως οι στόχοι ως προς τον χρόνο αποκατάστασης, οι στόχοι ως προς το σημείο αποκατάστασης και τα προστατευόμενα στοιχεία ενεργητικού·
• β. τον προσδιορισμό της εφεδρικής τοποθεσίας ( back - up site), της πρόσβασης σε υποδομές πληροφορικής, καθώς και του βασικού λογισμικού και των βασικών δεδομένων που πρέπει να ανακτηθούν σε περίπτωση καταστροφής ή διαταραχής·
• γ. επεξήγηση του τρόπου με τον οποίο ο αιτών θα αντιμετωπίζει σημαντικά συμβάντα και διαταραχές της επιχειρησιακής συνέχειας, όπως βλάβη βασικών συστημάτων, απώλεια βασικών δεδομένων, αδυναμία πρόσβασης στις εγκαταστάσεις, απώλεια βασικών προσώπων·
• δ. τη συχνότητα με την οποία ο αιτών προτίθεται να προβαίνει σε δοκιμές των σχεδίων επιχειρησιακής συνέχειας και αποκατάστασης λειτουργίας έπειτα από καταστροφή, συμπεριλαμβανομένου του τρόπου καταγραφής των αποτελεσμάτων των δοκιμών·
• ε. περιγραφή των μέτρων μείωσης των κινδύνων που πρέπει να θεσπίσει ο αιτών, σε περίπτωση παύσης της παροχής των οικείων υπηρεσιών πληρωμών, με σκοπό τη διασφάλιση της εκτέλεσης των πράξεων πληρωμών που εκκρεμούν και την καταγγελία των ισχυουσών συμβάσεων.

Κατευθυντήρια γραμμή 12: Οι αρχές και οι ορισμοί που εφαρμόζονται για τη συλλογή στατιστικών στοιχείων επίδοσης, συναλλαγών και απάτης

12.1. Ο αιτών θα πρέπει να παρέχει περιγραφή των αρχών και των ορισμών που εφαρμόζονται για τη συλλογή στατιστικών στοιχείων επίδοσης, συναλλαγών και απάτης, η οποία θα περιλαμβάνει τις ακόλουθες πληροφορίες:

• α. το είδος των δεδομένων που συλλέγονται, σε σχέση με τους πελάτες, το είδος της υπηρεσίας πληρωμών, το κανάλι, το μέσο, τις περιοχές δικαιοδοσίας και τα νομίσματα·
• β. το πεδίο εφαρμογής της συλλογής, από την άποψη των σχετικών δραστηριοτήτων και οντοτήτων, συμπεριλαμβανομένων των υποκαταστημάτων και των αντιπροσώπων·
• γ. τον τρόπο συλλογής·
• δ. τον σκοπό της συλλογής·
• ε. τη συχνότητα της συλλογής·

στ. υποστηρικτικά έγγραφα, όπως εγχειρίδιο, στα οποία περιγράφεται ο τρόπος λειτουργίας του συστήματος.

Κατευθυντήρια γραμμή 13: Έγγραφο που περιγράφει την πολιτική ασφάλειας

13.1. Ο αιτών θα πρέπει να παρέχει έγγραφο που περιγράφει την πολιτική ασφάλειας, το οποίο θα περιλαμβάνει τις ακόλουθες πληροφορίες:

• α. λεπτομερή αξιολόγηση των κινδύνων της ή των υπηρεσιών πληρωμών που προτίθεται να παρέχει ο αιτών, η οποία θα πρέπει να περιλαμβάνει τους κινδύνους απάτης και τον έλεγχο της ασφάλειας, καθώς και τα μέτρα μείωσης των κινδύνων που θα λαμβάνονται για την επαρκή προστασία των χρηστών των υπηρεσιών πληρωμών έναντι των κινδύνων που εντοπίζονται·
• β. περιγραφή των συστημάτων πληροφορικής, η οποία θα πρέπει να περιλαμβάνει:
• i. την αρχιτεκτονική των συστημάτων και τα στοιχεία δικτύου τους·
• ii. τα επιχειρηματικά συστήματα πληροφορικής που υποστηρίζουν τις παρεχόμενες επιχειρηματικές δραστηριότητες, όπως ο ιστότοπος του αιτούντος, πορτοφόλια, η μηχανή πληρωμής, η μηχανή διαχείρισης του κινδύνου και της απάτης, καθώς και η λογιστική πελατών·
• iii. τα υποστηρικτικά συστήματα πληροφορικής που χρησιμοποιούνται για την οργάνωση και τη διαχείριση του αιτούντος, όπως τα συστήματα λογιστικής, τα συστήματα της εκ του νόμου προβλεπόμενης υποβολής εκθέσεων, η διαχείριση προσωπικού, η διαχείριση των σχέσεων με τους πελάτες, οι διακομιστές ηλεκτρονικού ταχυδρομείου και οι εσωτερικοί διακομιστές αρχείων·
• iv. πληροφορίες σχετικά με το αν τα συστήματα αυτά χρησιμοποιούνται ήδη από τον αιτούντα ή από τον όμιλο στον οποίο ανήκει, και την εκτιμώμενη ημερομηνία εφαρμογής, κατά περίπτωση·
• γ. το είδος των εξουσιοδοτημένων εξωτερικών συνδέσεων, όπως με εταίρους, παρόχους

συμπεριλαμβανομένης της αιτιολόγησης των συνδέσεων αυτών·

• δ. για καθεμία από τις συνδέσεις που αναφέρονται στο στοιχείο γ), τα μέτρα και τους μηχανισμούς λογικής ασφάλειας που εφαρμόζονται, με προσδιορισμό του ελέγχου που

προληπτικός έλεγχος έναντι ελέγχου εντοπισμού, και παρακολούθηση σε πραγματικό χρόνο έναντι τακτικών ελέγχων, όπως η χρήση ενεργού καταλόγου (active directory) χωριστά από τον όμιλο, το άνοιγμα/κλείσιμο των γραμμών επικοινωνίας, η διάρθρωση του εξοπλισμού ασφάλειας, παραγωγή κλειδιών ή πιστοποιητικών ελέγχου ταυτότητας πελάτη, παρακολούθηση συστήματος, έλεγχος ταυτότητας, απόρρητο της επικοινωνίας, εντοπισμός εισβολών, συστήματα προστασίας από ιούς και αρχεία καταγραφής ιών·

• ε. τα μέτρα και τους μηχανισμούς λογικής ασφάλειας που διέπουν την εσωτερική πρόσβαση σε συστήματα πληροφορικής, που θα πρέπει να περιλαμβάνουν:
• i. τον τεχνικό και οργανωτικό χαρακτήρα και τη συχνότητα κάθε μέτρου, όπως αν πρόκειται για προληπτικό μέτρο ή μέτρο εντοπισμού ή κατά πόσον εφαρμόζεται ή όχι σε πραγματικό χρόνο·
• ii. τον τρόπο αντιμετώπισης του ζητήματος του διαχωρισμού του περιβάλλοντος πελάτη σε περίπτωση κοινής χρήσης των πόρων πληροφορικής του αιτούντος· στ. τα μέτρα και τους μηχανισμούς φυσικής ασφάλειας των εγκαταστάσεων και του κέντρου δεδομένων του αιτούντος, όπως έλεγχοι πρόσβασης και ασφάλεια περιβάλλοντος
• ζ. την ασφάλεια των διαδικασιών πληρωμής, η οποία θα πρέπει να περιλαμβάνει:
• i. τη διαδικασία ελέγχου ταυτότητας των πελατών που χρησιμοποιείται στο πλαίσιο της παροχής πρόσβασης, τόσο για σκοπούς ενημέρωσης όσο και για την εκτέλεση συναλλαγών, καθώς και όλων των υποκείμενων μέσων πληρωμής·
• ii. επεξήγηση του τρόπου με τον οποίο διασφαλίζονται η ασφαλής παράδοση στον νόμιμο χρήστη της υπηρεσίας πληρωμής και η ακεραιότητα των παραγόντων ελέγχου ταυτότητας, όπως hardware tokens και εφαρμογές κινητών συσκευών,

ανανέωσης·

• iii. περιγραφή των συστημάτων και των διαδικασιών που εφαρμόζει ο αιτών για την ανάλυση των συναλλαγών και τον εντοπισμό ύποπτων ή ασυνήθιστων συναλλαγών·

συμπεριλαμβανομένης της απάτης, με σύνδεσμο προς τα μέτρα ελέγχου και μείωσης των κινδύνων που αναλύονται στον φάκελο της αίτησης, από όπου να αποδεικνύεται ότι οι κίνδυνοι αντιμετωπίζονται·

• θ. κατάλογο των βασικών γραπτών διαδικασιών που αφορούν τα συστήματα πληροφορικής του αιτούντος ή, για διαδικασίες που δεν έχουν ακόμη οριστικοποιηθεί, την εκτιμώμενη ημερομηνία ολοκλήρωσης.

Κατευθυντήρια γραμμή 14: Μηχανισμοί εσωτερικού ελέγχου για τη διασφάλιση της συμμόρφωσης με τις υποχρεώσεις που αφορούν τη νομιμοποίηση εσόδων από παράνομες δραστηριότητες και τη χρηματοδότηση της τρομοκρατίας (υποχρεώσεις ΚΞΧ/ΧΤ)

14.1. Η περιγραφή των μηχανισμών εσωτερικού ελέγχου που έχει δημιουργήσει ο αιτών προκειμένου να συμμορφώνεται, κατά περίπτωση, με τις εν λόγω υποχρεώσεις θα πρέπει να περιλαμβάνει τις ακόλουθες πληροφορίες:

• α. την αξιολόγηση του αιτούντος όσον αφορά τους κινδύνους νομιμοποίησης εσόδων από παράνομες δραστηριότητες και χρηματοδότησης της τρομοκρατίας που συνδέονται με την επιχειρηματική του δραστηριότητα, συμπεριλαμβανομένων των κινδύνων που συνδέονται με την πελατειακή βάση του αιτούντος, τα προϊόντα και τις υπηρεσίες που παρέχονται, τους διαύλους διανομής που χρησιμοποιούνται και τις γεωγραφικές περιοχές δραστηριοποίησης·
• β. τα μέτρα που έχει θεσπίσει ή πρόκειται να θεσπίσει ο αιτών για τη μείωση των κινδύνων και τη συμμόρφωση με τις εφαρμοστέες υποχρεώσεις καταπολέμησης της νομιμοποίησης εσόδων από παράνομες δραστηριότητες και της χρηματοδότησης της τρομοκρατίας, τις πολιτικές και τις διαδικασίες συμμόρφωσης με τις απαιτήσεις δέουσας επιμέλειας ως προς τον πελάτη, καθώς και τις πολιτικές και τις διαδικασίες για τον εντοπισμό και την αναφορά ύποπτων συναλλαγών ή δραστηριοτήτων·
• γ. τα συστήματα και τους ελέγχους που έχει θεσπίσει ή πρόκειται να θεσπίσει ο αιτών για να διασφαλίζει ότι τα υποκαταστήματα και οι αντιπρόσωποί του συμμορφώνονται με τις εφαρμοστέες απαιτήσεις καταπολέμησης της νομιμοποίησης εσόδων από παράνομες δραστηριότητες και της χρηματοδότησης της τρομοκρατίας, συμπεριλαμβανομένων των περιπτώσεων στις οποίες ο αντιπρόσωπος ή το υποκατάστημα βρίσκονται σε άλλο κράτος μέλος·
• δ. ρυθμίσεις που εφαρμόζει ή θα εφαρμόσει ο αιτών για να διασφαλίζει ότι το προσωπικό και οι αντιπρόσωποί του έχουν λάβει κατάλληλη κατάρτιση σε ζητήματα καταπολέμησης της νομιμοποίησης εσόδων από παράνομες δραστηριότητες και της χρηματοδότησης της τρομοκρατίας·
• ε. την ταυτότητα του προσώπου που είναι αρμόδιο για τη διασφάλιση της συμμόρφωσης του αιτούντος με τις υποχρεώσεις καταπολέμησης της νομιμοποίησης εσόδων από παράνομες δραστηριότητες και της χρηματοδότησης της τρομοκρατίας, και αποδείξεις ότι η εμπειρία και οι γνώσεις του στον τομέα της καταπολέμησης της νομιμοποίησης εσόδων από παράνομες δραστηριότητες και της χρηματοδότησης της τρομοκρατίας επαρκούν ώστε να είναι σε θέση να εκτελεί τα εν λόγω καθήκοντα με αποτελεσματικό τρόπο·

στ. τα συστήματα και τους ελέγχους που έχει θεσπίσει ή πρόκειται να θεσπίσει ο αιτών για να διασφαλίζει ότι οι πολιτικές και οι διαδικασίες που εφαρμόζει για την καταπολέμηση της νομιμοποίησης εσόδων από παράνομες δραστηριότητες και της χρηματοδότησης της τρομοκρατίας παραμένουν ενημερωμένες, αποτελεσματικές και συναφείς·

• ζ. τα συστήματα και τους ελέγχους που έχει θεσπίσει ή πρόκειται να θεσπίσει ο αιτών για να διασφαλίζει ότι οι αντιπρόσωποι δεν εκθέτουν τον αιτούντα σε αυξημένους

χρηματοδότησης της τρομοκρατίας·

• η. το εγχειρίδιο σχετικά με την καταπολέμηση της νομιμοποίησης εσόδων από παράνομες δραστηριότητες και της χρηματοδότησης της τρομοκρατίας για το προσωπικό του αιτούντος. Κατευθυντήρια γραμμή 15: Ταυτότητα και αξιολόγηση της καταλληλότητας των προσώπων που κατέχουν ειδικές συμμετοχές στον αιτούντα

15.1 Για τους σκοπούς της ταυτοποίησης και της απόδειξης της καταλληλότητας των προσώπων με ειδικές συμμετοχές στο ίδρυμα πληρωμών που υποβάλλει αίτηση, και με την επιφύλαξη της αξιολόγησης βάσει των κριτηρίων, κατά περίπτωση, που θεσπίζονται στην οδηγία 2007/44/ΕΚ και προσδιορίζονται στις κοινές κατευθυντήριες γραμμές για την προληπτική αξιολόγηση της απόκτησης ειδικών συμμετοχών (JC/GL/2016/01), ο αιτών θα πρέπει να υποβάλει τις ακόλουθες πληροφορίες:

• α. περιγραφή του ομίλου στον οποίο ανήκει ο αιτών και αναφορά της μητρικής επιχείρησης, κατά περίπτωση·

συμπεριλαμβανομένων των ακόλουθων στοιχείων:

• i) το όνομα και το ποσοστό συμμετοχής (κεφάλαιο/δικαιώματα ψήφου) κάθε προσώπου που έχει ή θα έχει άμεση συμμετοχή στο μετοχικό κεφάλαιο του αιτούντος, με προσδιορισμό των προσώπων που θεωρείται ότι έχουν ειδική συμμετοχή και των λόγων για αυτή την ειδική συμμετοχή·
• ii) το όνομα και το ποσοστό συμμετοχής (κεφάλαιο/δικαιώματα ψήφου) κάθε προσώπου που έχει ή θα έχει έμμεση συμμετοχή στο μετοχικό κεφάλαιο του αιτούντος, με προσδιορισμό των προσώπων που θεωρείται ότι έχουν έμμεση ειδική συμμετοχή και των λόγων για αυτή την ειδική συμμετοχή·
• γ. κατάλογο των ονομάτων όλων των προσώπων και άλλων οντοτήτων που έχουν ή, σε περίπτωση αδειοδότησης, θα έχουν ειδικές συμμετοχές στο κεφάλαιο του αιτούντος, με αναφορά για κάθε τέτοιο πρόσωπο ή οντότητα:
• i. του αριθμού και του είδους των μετοχών ή άλλων συμμετοχών που έχουν εκδοθεί ή πρόκειται να εκδοθούν·
• ii. της ονομαστικής αξίας των εν λόγω μετοχών ή άλλων συμμετοχών.

15.2 Εάν ένα πρόσωπο το οποίο έχει ή, σε περίπτωση αδειοδότησης, θα έχει ειδική συμμετοχή στο κεφάλαιο του αιτούντος είναι φυσικό πρόσωπο, στην αίτηση θα πρέπει να αναφέρονται όλες οι πληροφορίες σχετικά με την ταυτότητα και την καταλληλότητα του εν λόγω προσώπου που παρατίθενται κατωτέρω:

• α. το όνομα και το επώνυμο του προσώπου κατά τη γέννηση, η ημερομηνία και ο τόπος γέννησης, η ιθαγένεια (τρέχουσα και προηγούμενες), ο αριθμός ταυτότητας (όπου διατίθεται) ή ο αριθμός διαβατηρίου, η διεύθυνση και αντίγραφο επίσημου εγγράφου ταυτότητας·
• β. αναλυτικό βιογραφικό σημείωμα στο οποίο αναφέρονται η εκπαίδευση και κατάρτιση, η προηγούμενη επαγγελματική πείρα, καθώς και τυχόν επαγγελματικές δραστηριότητες ή άλλα καθήκοντα που ασκούνται επί του παρόντος·
• γ. δήλωση, συνοδευόμενη από αποδεικτικά έγγραφα, η οποία περιλαμβάνει τις ακόλουθες πληροφορίες σχετικά με το πρόσωπο:
• i. με την επιφύλαξη εθνικών νομοθετικών απαιτήσεων σχετικά με τη δημοσιοποίηση καταδικών που έχουν διαγραφεί από το ποινικό μητρώο, τυχόν ποινική καταδίκη ή διαδικασία κατά την οποία το πρόσωπο κρίθηκε ένοχο και η οποία δεν ακυρώθηκε·
• ii. τυχόν αστική ή διοικητική απόφαση που αφορά ζητήματα σχετικά με τη διαδικασία αξιολόγησης ή αδειοδότησης, στο πλαίσιο της οποίας το πρόσωπο έχει κριθεί ένοχο, και τυχόν διοικητικές κυρώσεις ή μέτρα που έχουν επιβληθεί συνεπεία παραβίασης νόμων ή κανονισμών (συμπεριλαμβανομένης της παύσης από τη θέση του διευθυντή εταιρείας), σε κάθε περίπτωση στην οποία η απόφαση δεν ακυρώθηκε και δεν έχει ασκηθεί ή δεν δύναται να ασκηθεί προσφυγή κατά της απόφασης αυτής·
• iii. τυχόν διαδικασία πτώχευσης, αφερεγγυότητας ή παρόμοια διαδικασία·
• iv. τυχόν εκκρεμείς ποινικές έρευνες·
• v. τυχόν αστικές ή διοικητικές έρευνες, διαδικασίες εκτέλεσης, κυρώσεις ή άλλες αποφάσεις εκτέλεσης που έχουν εκδοθεί εις βάρος του προσώπου και αφορούν ζητήματα τα οποία μπορεί να θεωρηθούν συναφή για τη χορήγηση άδειας άσκησης της δραστηριότητας ιδρύματος πληρωμών ή για τη χρηστή και συνετή διαχείριση ιδρύματος πληρωμών·
• vi. σε περίπτωση που είναι δυνατή η απόκτηση τέτοιων εγγράφων, επίσημη βεβαίωση ή οποιοδήποτε άλλο ισοδύναμο έγγραφο που αποδεικνύει αν έχει επέλθει οποιοδήποτε από τα γεγονότα που παρατίθενται στα σημεία i) - v) σε σχέση με το οικείο πρόσωπο·
• vii. τυχόν απόρριψη αίτησης καταχώρισης, αδειοδότησης, συμμετοχής ή χορήγησης άδειας για την άσκηση εμπορικής, επιχειρηματικής ή επαγγελματικής δραστηριότητας·
• viii. τυχόν απόσυρση, ανάκληση ή διακοπή καταχώρισης, αδειοδότησης, συμμετοχής ή χορήγησης άδειας για την άσκηση εμπορικής, επιχειρηματικής ή επαγγελματικής δραστηριότητας·
• ix. τυχόν αποπομπή από αρχή ή οντότητα του δημόσιου τομέα στον κλάδο των χρηματοοικονομικών υπηρεσιών ή από επαγγελματικό φορέα ή ένωση·
• x. τυχόν θέση ευθύνης σε οντότητα που αποτελεί αντικείμενο ποινικής καταδίκης ή διαδικασίας, διοικητικής έρευνας, κυρώσεων ή άλλων αποφάσεων εκτέλεσης για επαγγελματικό παράπτωμα, μεταξύ άλλων σε σχέση με απάτη, δόλια συμπεριφορά, διαφθορά, νομιμοποίηση εσόδων από παράνομες δραστηριότητες, χρηματοδότηση της τρομοκρατίας ή άλλο οικονομικό έγκλημα, ή σε σχέση με τη μη εφαρμογή κατάλληλων πολιτικών και διαδικασιών για την πρόληψη τέτοιων γεγονότων, την οποία το πρόσωπο κατείχε κατά τον χρόνο τέλεσης του εικαζόμενου παραπτώματος, καθώς και λεπτομέρειες σχετικά με τέτοιου είδους περιστατικά και με την ενδεχομένη ανάμειξη του προσώπου σε αυτά·
• xi. τυχόν απομάκρυνση από θέση απασχόλησης ή από θέση εμπιστοσύνης, καταπιστευματικής σχέσης (πέραν της περίπτωσης τερματισμού της αντίστοιχης σχέσης λόγω παρέλευσης χρόνου) ή άλλης παρόμοιας περίπτωσης·
• δ. κατάλογος των επιχειρήσεων τις οποίες το πρόσωπο διευθύνει ή ελέγχει και για τις οποίες ο αιτών λαμβάνει γνώση κατόπιν δέουσας και προσεκτικής έρευνας· το ποσοστό άμεσου ή έμμεσου ελέγχου στις εταιρείες αυτές· το καθεστώς τους (αν είναι ή όχι ενεργές, αν έχουν εκκαθαριστεί κ.λπ.)· και περιγραφή της διαδικασίας αφερεγγυότητας ή παρόμοιας διαδικασίας·
• ε. σε περίπτωση που έχει ήδη διενεργηθεί αξιολόγηση της φήμης του προσώπου από αρμόδια αρχή του τομέα των χρηματοοικονομικών υπηρεσιών, η ταυτότητα της εν λόγω αρχής και το αποτέλεσμα της αξιολόγησης·

στ. η τρέχουσα χρηματοοικονομική θέση του προσώπου, περιλαμβανομένων αναλυτικών στοιχείων σχετικά με τις πηγές εσόδων, τα περιουσιακά στοιχεία και τις υποχρεώσεις, τις ασφάλειες και τις εγγυήσεις, είτε έχουν χορηγηθεί είτε ληφθεί·

• ζ. περιγραφή τυχόν δεσμών με πολιτικώς εκτεθειμένα πρόσωπα, όπως ορίζονται στο άρθρο 3 σημείο 9 της οδηγίας (ΕΕ) 2015/849² .

15.3 Εάν ένα πρόσωπο ή μια οντότητα έχει ή, στην περίπτωση αδειοδότησης, θα έχει ειδική συμμετοχή στο κεφάλαιο του αιτούντος (συμπεριλαμβανομένων οντοτήτων που δεν είναι νομικά πρόσωπα και οι οποίες διατηρούν ή θα πρέπει να διατηρούν τη συμμετοχή στο όνομά τους), στην αίτηση θα πρέπει να περιλαμβάνονται οι πληροφορίες σχετικά με την ταυτότητα και την καταλληλότητα του εν λόγω νομικού προσώπου ή της εν λόγω οντότητας που παρατίθενται κατωτέρω:

• α. όνομα·
• β. αν το νομικό πρόσωπο ή η οντότητα έχει καταχωριστεί σε κεντρικό μητρώο, εμπορικό μητρώο, μητρώο επιχειρήσεων ή παρόμοιο μητρώο που έχει τους ίδιους σκοπούς με τα προαναφερόμενα, αντίγραφο ενημερότητας, εάν υπάρχει, ή άλλως, πιστοποιητικό καταχώρισης·
• γ. οι διευθύνσεις της καταστατική έδρας και, εάν είναι διαφορετική των κεντρικών γραφείων, και της κύριας εγκατάστασης·
• δ. στοιχεία επικοινωνίας·
• ε. εταιρικά έγγραφα ή, σε περίπτωση που το πρόσωπο ή η οντότητα έχει καταχωριστεί σε άλλο κράτος μέλος, σύνοψη στην οποία αναλύονται τα βασικά νομικά χαρακτηριστικά της νομικής μορφής της οντότητας·

στ. αν το νομικό πρόσωπο ή η οντότητα υπόκειτο κατά το παρελθόν, ή υπόκειται επί του παρόντος, σε ρύθμιση από αρμόδια αρχή του τομέα των χρηματοοικονομικών υπηρεσιών ή από άλλο κρατικό φορέα·

• ζ. σε περίπτωση που είναι δυνατή η απόκτηση τέτοιων εγγράφων, επίσημη βεβαίωση ή οποιοδήποτε άλλο ισοδύναμο έγγραφο που αποδεικνύει τις οριζόμενες στα στοιχεία α) έως ε) πληροφορίες και που έχει εκδοθεί από την αντίστοιχη αρμόδια αρχή·
• η. οι πληροφορίες που αναφέρονται στην κατευθυντήρια γραμμή 15 σημείο 2 στοιχεία γ), δ), ε), στ) και ζ) σε σχέση με το νομικό πρόσωπο ή την οντότητα·
• θ. κατάλογος που περιλαμβάνει τα στοιχεία κάθε προσώπου που διευθύνει πράγματι την επιχείρηση του νομικού προσώπου ή της οντότητας, συμπεριλαμβανομένου του ονοματεπωνύμου τους, της ημερομηνίας και του τόπου γέννησης, της διεύθυνσης, του εθνικού αριθμού μητρώου τους, ανάλογα με την περίπτωση, και αναλυτικού βιογραφικού σημειώματος (στο οποίο αναφέρονται η σχετική εκπαίδευση και

δραστηριότητες ή άλλα καθήκοντα που ασκούνται επί του παρόντος), καθώς και τις πληροφορίες που αναφέρονται στην κατευθυντήρια γραμμή 15 σημείο 2 στοιχεία γ) και

• δ) σε σχέση με καθένα από τα εν λόγω πρόσωπα·
• ι. η μετοχική σύνθεση του νομικού προσώπου, συμπεριλαμβανομένων τουλάχιστον του ονοματεπωνύμου τους, της ημερομηνίας και του τόπου γέννησης, της διεύθυνσης και, εφόσον διατίθεται, του προσωπικού αριθμού ταυτότητας ή του αριθμού μητρώου τους, καθώς και το αντίστοιχο ποσοστό επί του κεφαλαίου και των δικαιωμάτων ψήφου των άμεσων ή έμμεσων μετόχων ή μελών και πραγματικών δικαιούχων, όπως ορίζονται στο άρθρο 3 σημείο 6 της οδηγίας (ΕΕ) 2015/849·

ια. περιγραφή του ρυθμιζόμενου χρηματοοικονομικού ομίλου στον οποίο ανήκει ή ενδέχεται να συμμετάσχει ο αιτών, με αναφορά της μητρικής επιχείρησης και των πιστωτικών, ασφαλιστικών και εγγυητικών οντοτήτων εντός του ομίλου· το όνομα των αρμόδιων αρχών τους (σε μεμονωμένη ή ενοποιημένη βάση)· και

ιβ. ετήσιες οικονομικές καταστάσεις , σε μεμονωμένο επίπεδο και, κατά περίπτωση, σε ενοποιημένο και υπο - ενοποιημένο επίπεδο ομίλου, για τα τελευταία τρία οικονομικά έτη, σε περίπτωση που το νομικό πρόσωπο ή η οντότητα ήταν σε λειτουργία κατά το εν λόγω χρονικό διάστημα (ή, αν η περίοδος λειτουργίας είναι μικρότερη από τρία έτη, για το χρονικό διάστημα κατά το οποίο το νομικό πρόσωπο ή η οντότητα ήταν σε λειτουργία και για το οποίο έχουν καταρτιστεί οικονομικές καταστάσεις), εγκεκριμένες από τον νόμιμο ελεγκτή ή το ελεγκτικό γραφείο κατά την έννοια της οδηγίας 2006/43/ΕΚ³ , ανάλογα με την περίπτωση, συμπεριλαμβανομένου καθενός από τα ακόλουθα στοιχεία:

• i. του ισολογισμού·
• ii. των αποτελεσμάτων χρήσης ή της κατάστασης λογαριασμού αποτελεσμάτων·
• iii. των ετήσιων εκθέσεων και των χρηματοοικονομικών παραρτημάτων, καθώς και τυχόν άλλων εγγράφων που καταχωρίζονται στο αντίστοιχο μητρώο ή στην αρμόδια αρχή του νομικού προσώπου·

ιγ. εάν το νομικό πρόσωπο δεν δραστηριοποιείται επί αρκετά μεγάλο χρονικό διάστημα ώστε να υποχρεούται να καταρτίσει δηλώσεις οικονομικής κατάστασης για τα τρία οικονομικά έτη που προηγούνται της ημερομηνίας υποβολής της αίτησης, η αίτηση περιλαμβάνει τις υφιστάμενες δηλώσεις οικονομικής κατάστασης (εάν υπάρχουν)·

ιδ. εάν τα κεντρικά γραφεία του νομικού προσώπου ή της οντότητας βρίσκονται σε τρίτη χώρα, γενικές πληροφορίες σχετικά με το ρυθμιστικό καθεστώς της εν λόγω τρίτης χώρας που εφαρμόζεται στο νομικό πρόσωπο ή στην οντότητα, συμπεριλαμβανομένων των πληροφοριών σχετικά με τον βαθμό στον οποίο το καθεστώς της τρίτης χώρας όσον

χρηματοδότηση της τρομοκρατίας είναι συνεπές με τις συστάσεις της ομάδας χρηματοπιστωτικής δράσης (Financial Action Task Force)·

ιε. για τις οντότητες που δεν έχουν νομική προσωπικότητα, όπως οι οργανισμοί συλλογικών επενδύσεων, τα κρατικά επενδυτικά ταμεία ή οι εταιρείες καταπιστευματικής διαχείρισης, η αίτηση θα περιλαμβάνει τις ακόλουθες πληροφορίες:

• i. την ταυτότητα των προσώπων που διαχειρίζονται στοιχεία ενεργητικού και των προσώπων που είναι δικαιούχοι ή συνδρομητές·
• ii. αντίγραφο του εγγράφου με το οποίο συστάθηκε και από το οποίο διέπεται η οντότητα, συμπεριλαμβανομένης της επενδυτικής πολιτικής και τυχόν επενδυτικών περιορισμών που ισχύουν για την οντότητα.

15.4. Η αίτηση περιλαμβάνει όλες τις πληροφορίες που παρατίθενται κατωτέρω για κάθε φυσικό ή νομικό πρόσωπο ή οντότητα που έχει ή, σε περίπτωση αδειοδότησης, θα έχει ειδική συμμετοχή στο κεφάλαιο του αιτούντος:

• α. αναλυτικά στοιχεία των χρηματοοικονομικών ή επιχειρηματικών λόγων για τους

οντότητα προτίθεται να διατηρήσει τη συμμετοχή, καθώς και της πρόθεσης ενδεχομένως αύξησης, μείωσης ή διατήρησης του επιπέδου της συμμετοχής στο άμεσο μέλλον·

• β. αναλυτικά στοιχεία των προθέσεων του προσώπου ή της οντότητας όσον αφορά τον αιτούντα και της επιρροής που το πρόσωπο ή η οντότητα προτίθεται να ασκεί στον αιτούντα, μεταξύ άλλων όσον αφορά τη μερισματική πολιτική, τη στρατηγική ανάπτυξη και την κατανομή των πόρων του αιτούντος, αν προτίθεται ή όχι να λειτουργεί ως ενεργός μειοψηφών μέτοχος, καθώς και το σκεπτικό της εν λόγω πρόθεσης·
• γ. πληροφορίες σχετικά με την προθυμία του προσώπου ή της οντότητας να στηρίξει τον αιτούντα με πρόσθετα ίδια κεφάλαια, εάν αυτό κριθεί αναγκαίο για την ανάπτυξη των δραστηριοτήτων του ή σε περίπτωση οικονομικών δυσχερειών·
• δ. το περιεχόμενο τυχόν σχεδιαζόμενων συμφωνιών μετόχων ή μελών με άλλους μετόχους ή μέλη όσον αφορά τον αιτούντα·
• ε. ανάλυση του αν η ειδική συμμετοχή θα επηρεάσει με οποιονδήποτε τρόπο, μεταξύ άλλων ως αποτέλεσμα των στενών δεσμών του προσώπου με τον αιτούντα, την ικανότητα του αιτούντος να παρέχει εγκαίρως ακριβείς πληροφορίες στις αρμόδιες αρχές· στ. την ταυτότητα κάθε μέλους του διοικητικού οργάνου ή της ανώτερης διοίκησης που θα διευθύνει την επιχείρηση του αιτούντος και θα οριστεί από, ή κατόπιν πρότασης από, τους εν λόγω μετόχους ή μέλη, καθώς και τις πληροφορίες που αναφέρονται στην κατευθυντήρια γραμμή 16, εάν δεν έχουν ήδη παρασχεθεί.

15.5. Στην αίτηση θα πρέπει να περιλαμβάνεται αναλυτική επεξήγηση των ειδικών πηγών χρηματοδότησης για τη συμμετοχή κάθε προσώπου ή οντότητας που έχει ειδική συμμετοχή στο κεφάλαιο του αιτούντος, η οποία θα πρέπει να περιλαμβάνει τα εξής:

• α. αναλυτικά στοιχεία σχετικά με τη χρήση ιδιωτικών χρηματοδοτικών πόρων, καθώς και τη διαθεσιμότητα αυτών και (προκειμένου να διασφαλιστεί ότι η αρμόδια αρχή έχει τη βεβαιότητα ότι η δραστηριότητα που παρήγαγε τα κεφάλαια είναι νόμιμη) την πηγή·
• β. αναλυτικά στοιχεία σχετικά με την πρόσβαση σε χρηματοπιστωτικές αγορές, συμπεριλαμβανομένων των λεπτομερειών σχετικά με τα χρηματοπιστωτικά μέσα που πρόκειται να εκδοθούν·
• γ. πληροφορίες σχετικά με τη χρήση δανειακών κεφαλαίων, συμπεριλαμβανομένων των ονομάτων των δανειστών και αναλυτικών στοιχείων όσον αφορά τα χορηγούμενα μέσα διευκόλυνσης, όπως η ληκτότητα, οι όροι, οι ασφάλειες και οι εγγυήσεις, καθώς και πληροφορίες σχετικά με την πηγή εσόδων που θα χρησιμοποιηθεί για την αποπληρωμή των εν λόγω δανειακών κεφαλαίων· εάν ο δανειστής δεν είναι πιστωτικό ή χρηματοοικονομικό ίδρυμα που έχει λάβει άδεια για τη χορήγηση πιστώσεων, ο αιτών θα πρέπει επίσης να παράσχει στις αρμόδιες αρχές πληροφορίες σχετικά με την προέλευση των δανειακών κεφαλαίων·
• δ. πληροφορίες σχετικά με τη σύναψη ενδεχομένως χρηματοδοτικής ρύθμισης με άλλα πρόσωπα που είναι μέτοχοι ή μέλη του αιτούντος.

Κατευθυντήρια γραμμή 16: Ταυτότητα και αξιολόγηση της καταλληλότητας των διευθυντικών στελεχών και των υπευθύνων για τη διαχείριση του ιδρύματος πληρωμών

16.1. Για τους σκοπούς της ταυτοποίησης και της αξιολόγησης της καταλληλότητας των διευθυντικών στελεχών και των υπευθύνων για τη διαχείριση του ιδρύματος πληρωμών, ο αιτών θα πρέπει να παρέχει τις ακόλουθες πληροφορίες:

• α. προσωπικά στοιχεία, στα οποία περιλαμβάνονται:
• i. το πλήρες ονοματεπώνυμο, το γένος, ο τόπος και η ημερομηνία γέννησης, η διεύθυνση και η ιθαγένεια, καθώς και ο προσωπικός αριθμός ταυτότητας ή αντίγραφο του δελτίου ταυτότητας ή ισοδύναμου εγγράφου·
• ii. αναλυτικά στοιχεία της θέσης για την οποία ζητείται η αξιολόγηση, αν η θέση στο διοικητικό όργανο αφορά εκτελεστικά ή μη εκτελεστικά καθήκοντα. Σε αυτά θα πρέπει να περιλαμβάνονται επίσης τα ακόλουθα στοιχεία:

• β. κατά περίπτωση, πληροφορίες σχετικά με την αξιολόγηση καταλληλότητας που έχει διενεργηθεί από τον αιτούντα, στις οποίες θα πρέπει να περιλαμβάνονται λεπτομέρειες σχετικά με το αποτέλεσμα τυχόν αξιολόγησης της καταλληλότητας του ατόμου που διενεργήθηκε από το ίδρυμα, όπως σχετικά πρακτικά επιτροπής ή εκθέσεις αξιολόγησης της καταλληλότητας ή άλλα έγγραφα·
• γ. αποδεικτικά των γνώσεων, των δεξιοτήτων και της πείρας, στα οποία θα πρέπει να περιλαμβάνεται βιογραφικό σημείωμα που θα περιέχει αναλυτικά στοιχεία σχετικά με την εκπαίδευση και την επαγγελματική πείρα, μεταξύ άλλων τους ακαδημαϊκούς τίτλους σπουδών, άλλη συναφή κατάρτιση, το όνομα και τη φύση όλων των οργανισμών για τους οποίους το άτομο εργάζεται ή έχει εργαστεί, καθώς και τη φύση και τη διάρκεια των καθηκόντων που ασκούσε, με ιδιαίτερη έμφαση σε τυχόν δραστηριότητες που εμπίπτουν στο πεδίο εφαρμογής της επιδιωκόμενης θέσης·
• δ. αποδεικτικά στοιχεία της φήμης, της εντιμότητας και της ακεραιότητας, στα οποία θα πρέπει να περιλαμβάνονται:
• i. ποινικά μητρώα και σχετικές πληροφορίες όσον αφορά ποινικές έρευνες και διαδικασίες, συναφείς αστικές και διοικητικές υποθέσεις, καθώς και πειθαρχικές κυρώσεις, συμπεριλαμβανομένων της παύσης από τη θέση διευθυντή εταιρείας ή διαδικασιών πτώχευσης, αφερεγγυότητας ή παρόμοιων διαδικασιών, κυρίως μέσω επίσημης βεβαίωσης ή άλλης αντικειμενικά αξιόπιστης πηγής πληροφοριών σχετικά με την απουσία ποινικής καταδίκης, έρευνας και διαδικασίας, όπως έρευνες τρίτων και μαρτυρίες δικηγόρων ή συμβολαιογράφων που είναι εγκατεστημένοι στην Ευρωπαϊκή Ένωση·
• ii. δήλωση σχετικά με το αν εκκρεμούν ποινικές διαδικασίες ή αν το πρόσωπο ή οποιοσδήποτε οργανισμός του οποίου τη διαχείριση ασκεί το εν λόγω πρόσωπο έχει εμπλακεί ως οφειλέτης σε διαδικασία αφερεγγυότητας ή παρόμοια διαδικασία·
• iii. πληροφορίες σχετικά με τα ακόλουθα:

Κατευθυντήρια γραμμή 17: Ταυτότητα των νόμιμων ελεγκτών και των ελεγκτικών γραφείων

Η ταυτότητα των νόμιμων ελεγκτών και των ελεγκτικών γραφείων όπως ορίζονται στην οδηγία 2006/43/ΕΚ που πρέπει να παρέχεται από τον αιτούντα, κατά περίπτωση, θα πρέπει να περιλαμβάνει τα ονόματα, τις διευθύνσεις και τα στοιχεία επικοινωνίας των ελεγκτών.

Κατευθυντήρια γραμμή 18: Ασφάλιση επαγγελματικής ευθύνης ή συγκρίσιμη εγγύηση για υπηρεσίες εκκίνησης πληρωμής και υπηρεσίες πληροφοριών λογαριασμού

Ως αποδεικτικό της ασφάλισης επαγγελματικής ευθύνης ή συγκρίσιμης εγγύησης η οποία συμμορφώνεται με τις κατευθυντήριες γραμμές της ΕΑΤ με θέμα τα κριτήρια καθορισμού του ελάχιστου χρηματικού ποσού της ασφάλισης επαγγελματικής ευθύνης ή άλλης συγκρίσιμης εγγύησης (EBA/GL/2017/08) και με το άρθρο 5 παράγραφοι 2 και 3 της οδηγίας PSD2, ο αιτών για την παροχή υπηρεσιών εκκίνησης πληρωμής και υπηρεσιών πληροφοριών λογαριασμού θα πρέπει να παρέχει τις ακόλουθες πληροφορίες:

• α. ασφαλιστήριο συμβόλαιο ή άλλο ισοδύναμο έγγραφο το οποίο επιβεβαιώνει την ύπαρξη ασφάλισης επαγγελματικής ευθύνης ή συγκρίσιμης εγγύησης, με ποσό κάλυψης που συνάδει με τις προαναφερόμενες κατευθυντήριες γραμμές της ΕΑΤ, και το οποίο παρουσιάζει την κάλυψη των σχετικών ευθυνών·
• β. τεκμηρίωση του τρόπου με τον οποίο ο αιτών υπολόγισε το ελάχιστο ποσό κατά τρόπο που συμμορφώνεται με τις προαναφερόμενες κατευθυντήριες γραμμές της ΕΑΤ, συμπεριλαμβανομένων όλων των επιμέρους στοιχείων του μαθηματικού τύπου που αναφέρεται σε αυτές.

² Οδηγία (ΕΕ) 2015/849 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 20ής Μαΐου 2015, σχετικά με την πρόληψη της χρησιμοποίησης του χρηματοπιστωτικού συστήματος για τη νομιμοποίηση εσόδων από παράνομες δραστηριότητες ή για τη χρηματοδότηση της τρομοκρατίας (ΕΕ L 141 της 5.6.2015, σ. 73)

³ Οδηγία 2006/43/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 17ης Μαΐου 2006, για τους υποχρεωτικούς ελέγχους των ετήσιων και των ενοποιημένων λογαριασμών, για την τροποποίηση των οδηγιών 78/660/ΕΟΚ και 83/349/ΕΟΚ του Συμβουλίου και για την κατάργηση της οδηγίας 84/253/ΕΟΚ του Συμβουλίου (ΕΕ L 157 της 9.6.2006, σ. 87 - 107).

Κατευθυντήρια γραμμή 1: Γενικές αρχές

1.1 Το παρόν σύνολο κατευθυντήριων γραμμών αφορά αιτούντες καταχώριση υπό την ιδιότητα παρόχων υπηρεσιών πληροφοριών λογαριασμού. Πρόκειται για αιτούντες που προτίθενται να παρέχουν αποκλειστικά υπηρεσίες πληροφοριών λογαριασμού. Εάν ο αιτών προτίθεται να παρέχει πρόσθετες υπηρεσίες πέραν των υπηρεσιών πληροφοριών λογαριασμού θα πρέπει να υποβάλει αίτηση για τη χορήγησης άδειας και να ανατρέξει στις κατευθυντήριες γραμμές που παρατίθενται στην ενότητα 4.1 για τα ιδρύματα πληρωμών.

1.2 Οι πληροφορίες που παρέχονται από τους αιτούντες θα πρέπει να είναι αληθείς, πλήρεις, ακριβείς και επικαιροποιημένες. Όλοι οι αιτούντες θα πρέπει να συμμορφώνονται με όλες τις διατάξεις που περιλαμβάνονται στο σύνολο κατευθυντήριων γραμμών που τους αφορά. Το επίπεδο λεπτομέρειας που απαιτείται για τη διασφάλιση της συμμόρφωσης θα πρέπει να είναι ανάλογο με το μέγεθος και την εσωτερική οργάνωση του αιτούντος, καθώς και με τη φύση, την κλίμακα, την πολυπλοκότητα και τον βαθμό επικινδυνότητας της ή των

σύμφωνα με την οδηγία (ΕΕ) 2015/2366, τα διευθυντικά στελέχη και οι υπεύθυνοι για τη διαχείριση του ιδρύματος πληρωμών είναι έντιμοι και διαθέτουν κατάλληλες γνώσεις και πείρα για την παροχή υπηρεσιών πληρωμών, ανεξάρτητα από το μέγεθος και την εσωτερική οργάνωση του ιδρύματος και από τη φύση, την κλίμακα και την πολυπλοκότητα των δραστηριοτήτων του, καθώς και από τα καθήκοντα και τις αρμοδιότητες της συγκεκριμένης θέσης.

1.3 Κατά την υποβολή των απαιτούμενων πληροφοριών, ο αιτών θα πρέπει να αποφεύγει να προβαίνει σε παραπομπές σε συγκεκριμένες ενότητες εσωτερικών διαδικασιών/εγγράφων. Αντ’ αυτού, ο αιτών θα πρέπει να διαβιβάζει στην αρμόδια αρχή τα αποσπάσματα που περιλαμβάνουν τις σχετικές ενότητες.

1.4 Σε περίπτωση που οι αρμόδιες αρχές ζητήσουν διευκρινίσεις σχετικά με τις υποβληθείσες πληροφορίες, ο αιτών θα πρέπει να παράσχει τις εν λόγω διευκρινίσεις χωρίς καθυστέρηση.

1.5 Όλα τα δεδομένα που ζητούνται βάσει των παρουσών κατευθυντήριων γραμμών για την καταχώριση παρόχων υπηρεσιών πληροφοριών λογαριασμού είναι απαραίτητα για την αξιολόγηση της αίτησης και θα υποβάλλονται σε επεξεργασία από την αρμόδια αρχή σύμφωνα με τις υποχρεώσεις επαγγελματικού απορρήτου που προβλέπονται στην οδηγία PSD2 για τις υπηρεσίες πληρωμών, με την επιφύλαξη της εφαρμοστέας ενωσιακής νομοθεσίας και των εθνικών απαιτήσεων και διαδικασιών σχετικά με την άσκηση του δικαιώματος πρόσβασης, διόρθωσης, ακύρωσης ή αντίταξης.

Κατευθυντήρια γραμμή 2: Στοιχεία ταυτοποίησης

2.1 Εάν ο αιτών είναι φυσικό πρόσωπο, στα στοιχεία ταυτοποίησης που πρέπει να παρέχονται από τον αιτούντα θα πρέπει να περιλαμβάνονται οι ακόλουθες πληροφορίες:

• α. ονοματεπώνυμο, διεύθυνση, ιθαγένεια και ημερομηνία και τόπος γέννησης·
• β. αντίγραφο του δελτίου ταυτότητας ή ισοδύναμου εγγράφου ταυτοποίησης·
• γ. ενημερωμένο βιογραφικό σημείωμα·
• δ. ποινικό μητρώο που έχει εκδοθεί εντός του τελευταίου τριμήνου·
• ε. το ή τα ονόματα των προσώπων που είναι υπεύθυνα για τον φάκελο της αίτησης και τη διαδικασία αδειοδότησης, καθώς και τα στοιχεία επικοινωνίας τους.

2.2 Εάν ο αιτών είναι νομικό πρόσωπο, στα στοιχεία ταυτοποίησης που πρέπει να παρέχονται από τον αιτούντα θα πρέπει να περιλαμβάνονται οι ακόλουθες πληροφορίες:

• α. η εταιρική επωνυμία του αιτούντος και, εάν είναι διαφορετική, η εμπορική επωνυμία·
• β. διευκρίνιση σχετικά με το αν ο αιτών είναι εταιρεία που έχει ήδη συσταθεί ή βρίσκεται σε διαδικασία σύστασης·
• γ. ο εθνικός αριθμός μητρώου του αιτούντος, κατά περίπτωση·
• δ. η νομική μορφή και το εταιρικό (ή το σχέδιο εταιρικού) του αιτούντος και/ή καταστατικά έγγραφα που αποδεικνύουν τη νομική μορφή του αιτούντος·
• ε. η διεύθυνση των κεντρικών γραφείων και της καταστατικής έδρας του αιτούντος· στ. η ηλεκτρονική διεύθυνση και ο ιστότοπος του αιτούντος, εάν υπάρχουν·
• ζ. το ή τα ονόματα των προσώπων που είναι υπεύθυνα για τον φάκελο της αίτησης και τη διαδικασία αδειοδότησης, καθώς και τα στοιχεία επικοινωνίας τους·
• η. διευκρίνιση σχετικά με το αν ο αιτών έχει υπαχθεί κατά το παρελθόν, ή υπόκειται επί του παρόντος, σε ρύθμιση από αρμόδια αρχή του τομέα χρηματοοικονομικών υπηρεσιών·
• θ. το πιστοποιητικό καταχώρισης στο οικείο μητρώο επιχειρήσεων ή, κατά περίπτωση, αρνητική βεβαίωση έναρξης από εμπορικό μητρώο με την οποία πιστοποιείται ότι η επωνυμία που χρησιμοποιεί η εταιρεία είναι διαθέσιμη·
• ι. αποδεικτικό καταβολής τυχόν τελών ή κατάθεσης χρηματικών ποσών για την υποβολή αίτησης καταχώρισης υπό την ιδιότητα παρόχου υπηρεσιών πληροφοριών λογαριασμού, όπου απαιτείται βάσει του εθνικού δικαίου.

Κατευθυντήρια γραμμή 3: Πρόγραμμα δραστηριοτήτων

3.1. Στο πρόγραμμα δραστηριοτήτων που πρέπει να παρέχεται από τον αιτούντα θα πρέπει να περιλαμβάνονται οι ακόλουθες πληροφορίες:

• α. περιγραφή της υπηρεσίας πληροφοριών λογαριασμού που πρόκειται να παρέχεται, συμπεριλαμβανομένης επεξήγησης του τρόπου με τον οποίο ο αιτών καθόρισε ότι η δραστηριότητα αντιστοιχεί στον ορισμό των υπηρεσιών πληροφοριών λογαριασμού όπως παρατίθεται στο άρθρο 4 σημείο 16 της οδηγίας (ΕΕ) 2015/2366 (οδηγία PSD2)·
• β. δήλωση του αιτούντος ότι σε καμία στιγμή δεν θα περιέλθουν στην κατοχή του χρηματικά ποσά·
• γ. περιγραφή της παροχής της υπηρεσίας πληροφοριών λογαριασμού η οποία θα περιλαμβάνει:
• i. τα σχέδια συμβάσεων μεταξύ όλων των συμμετεχόντων μερών, κατά περίπτωση·
• ii. τους όρους και τις προϋποθέσεις της παροχής των υπηρεσιών πληροφοριών λογαριασμού·
• iii. τους χρόνους διεκπεραίωσης·
• δ. ο εκτιμώμενος αριθμός διαφορετικών εγκαταστάσεων από τις οποίες ο αιτών προτίθεται να παρέχει τις υπηρεσίες, κατά περίπτωση·

λογαριασμού, κατά περίπτωση·

στ. δήλωση του αιτούντος σχετικά με το αν προτίθεται να παρέχει υπηρεσίες πληροφοριών λογαριασμού σε άλλο κράτος μέλος ή σε άλλη χώρα, αφού καταχωριστεί·

• ζ. αναφορά του αν ο αιτών προτίθεται, εντός των επόμενων τριών ετών, να ασκήσει ή αν ήδη ασκεί επιχειρηματικές δραστηριότητες άλλες από τις υπηρεσίες πληροφοριών λογαριασμού που αναφέρονται στο άρθρο 18 της οδηγίας (ΕΕ) 2015/2366, συμπεριλαμβανομένης της περιγραφής του είδους και του προβλεπόμενου όγκου των δραστηριοτήτων·
• η. οι πληροφορίες που προσδιορίζονται στις κατευθυντήριες γραμμές της ΕΑΤ με θέμα τα κριτήρια καθορισμού του ελάχιστου χρηματικού ποσού της ασφάλισης επαγγελματικής ευθύνης ή άλλης συγκρίσιμης εγγύησης δυνάμει του άρθρου 5 παράγραφος 4 της οδηγίας (ΕΕ) 2015/2366 (EBA/GL/2017/08), σε περίπτωση που ο αιτών προτίθεται να παρέχει αποκλειστικά την υπηρεσία 8 (υπηρεσία πληροφοριών λογαριασμού).

Κατευθυντήρια γραμμή 4: Επιχειρηματικό σχέδιο

4.1. Στο επιχειρηματικό σχέδιο που πρέπει να παρέχεται από τον αιτούντα θα πρέπει να περιλαμβάνονται τα εξής:

• α. σχέδιο ανάπτυξης και προώθησης των υπηρεσιών (marketing) το οποίο περιέχει:
• i. ανάλυση της ανταγωνιστικής θέσης της εταιρείας·
• ii. περιγραφή των χρηστών των υπηρεσιών πληροφοριών λογαριασμού στο σχετικό τμήμα της αγοράς υπηρεσιών πληροφοριών λογαριασμού, του υλικού ανάπτυξης και προώθησης των υπηρεσιών (marketing) και των καναλιών διανομής·
• β. πιστοποιημένοι ετήσιοι λογαριασμοί για τα προηγούμενα τρία έτη, κατά περίπτωση, ή σύνοψη της χρηματοοικονομικής κατάστασης των αιτούντων που δεν έχουν υποβάλει ακόμη ετήσιους λογαριασμούς·
• γ. πρόβλεψη προϋπολογισμού για τα τρία πρώτα οικονομικά έτη, η οποία καταδεικνύει την ικανότητα του αιτούντος να χρησιμοποιεί τα κατάλληλα και ανάλογα συστήματα, πόρους και διαδικασίες που εξασφαλίζουν την εύρυθμη λειτουργία του· θα πρέπει να περιλαμβάνει:
• i. πρόβλεψη κατάστασης λογαριασμού αποτελεσμάτων και ισολογισμού, περιλαμβανομένων σεναρίων επίτευξης του στόχου και σεναρίων ακραίων καταστάσεων καθώς και των βασικών παραδοχών τους, όπως αριθμός πελατών, τιμολόγηση και προβλεπόμενη αύξηση του κατώτατου ορίου αποδοτικότητας ( profitability threshold)·
• ii. επεξήγηση των βασικών γραμμών εσόδων και εξόδων, των χρηματοοικονομικών οφειλών και του πάγιου ενεργητικού·
• iii. διάγραμμα και λεπτομερή ανάλυση των εκτιμώμενων ταμειακών ροών για τα επόμενα τρία έτη.

Κατευθυντήρια γραμμή 5: Οργανωτική δομή

5.1. Εάν ο αιτών είναι φυσικό πρόσωπο, η περιγραφή της οργανωτικής δομής του αιτούντος θα πρέπει να περιλαμβάνει τις ακόλουθες πληροφορίες:

• α. συνολική πρόβλεψη του αριθμού των μελών του προσωπικού για τα επόμενα τρία έτη·

δραστηριοτήτων, η οποία θα περιλαμβάνει:

• i. την ταυτότητα και τη γεωγραφική θέση του παρόχου υπηρεσιών εξωτερικής ανάθεσης·
• ii. τα στοιχεία ταυτότητας των προσώπων εντός του παρόχου υπηρεσιών πληροφοριών λογαριασμού που είναι αρμόδια για καθεμία από τις δραστηριότητες εξωτερικής ανάθεσης·
• iii. λεπτομερή περιγραφή των δραστηριοτήτων εξωτερικής ανάθεσης και των βασικών χαρακτηριστικών τους·
• γ. αντίγραφο των σχεδίων συμβάσεων εξωτερικής ανάθεσης·
• δ. κατά περίπτωση, περιγραφή της χρήσης υποκαταστημάτων και αντιπροσώπων, η οποία θα περιλαμβάνει:
• i. χαρτογράφηση των επιτόπιων και μη επιτόπιων ελέγχων που προτίθεται να διενεργεί ο αιτών στα υποκαταστήματα και στους αντιπροσώπους·
• ii. τα συστήματα πληροφορικής, τις διαδικασίες και τις υποδομές που χρησιμοποιούνται από τους αντιπροσώπους του αιτούντος για την άσκηση δραστηριοτήτων εξ ονόματος του αιτούντος·
• iii. όσον αφορά τους αντιπροσώπους, την πολιτική επιλογής τους, τις διαδικασίες παρακολούθησης και την κατάρτιση των αντιπροσώπων και, κατά περίπτωση, τα σχέδια των όρων πρόσληψής τους·
• ε. κατάλογο όλων των φυσικών ή νομικών προσώπων που έχουν στενούς δεσμούς με τον αιτούντα πάροχο υπηρεσιών πληροφοριών λογαριασμού, με τα στοιχεία ταυτότητας των προσώπων και της φύσης των δεσμών αυτών.

5.2. Εάν ο αιτών είναι νομικό πρόσωπο, η περιγραφή της οργανωτικής δομής της επιχείρησής του θα πρέπει να περιλαμβάνει τις ακόλουθες πληροφορίες:

παρόμοια μονάδα διαρθρωτικού διαχωρισμού, συμπεριλαμβανομένων του ονόματος του αρμόδιου ή των αρμόδιων προσώπων, ιδίως εκείνων που είναι υπεύθυνα για τα καθήκοντα εσωτερικού ελέγχου· το οργανόγραμμα θα πρέπει να συνοδεύεται από περιγραφή των καθηκόντων και των αρμοδιοτήτων κάθε διεύθυνσης, τμήματος ή παρόμοιας μονάδας διαρθρωτικού διαχωρισμού·

• β. συνολική πρόβλεψη του αριθμού των μελών του προσωπικού για τα επόμενα τρία έτη·
• γ. περιγραφή των σχετικών ρυθμίσεων εξωτερικής ανάθεσης η οποία θα περιλαμβάνει:
• i. την ταυτότητα και τη γεωγραφική θέση του παρόχου υπηρεσιών εξωτερικής ανάθεσης·
• ii. τα στοιχεία ταυτότητας των προσώπων εντός του παρόχου υπηρεσιών πληροφοριών λογαριασμού που είναι αρμόδια για καθεμία από τις δραστηριότητες εξωτερικής ανάθεσης·
• iii. λεπτομερή περιγραφή των δραστηριοτήτων εξωτερικής ανάθεσης και των βασικών χαρακτηριστικών τους·
• δ. αντίγραφο των σχεδίων συμβάσεων εξωτερικής ανάθεσης·
• ε. κατά περίπτωση, περιγραφή της χρήσης υποκαταστημάτων και αντιπροσώπων, η οποία θα περιλαμβάνει:
• i. χαρτογράφηση των επιτόπιων και μη επιτόπιων ελέγχων που προτίθεται να διενεργεί ο αιτών στα υποκαταστήματα και στους αντιπροσώπους·
• ii. τα συστήματα πληροφορικής, τις διαδικασίες και τις υποδομές που χρησιμοποιούνται από τους αντιπροσώπους του αιτούντος για την άσκηση δραστηριοτήτων εξ ονόματος του αιτούντος·
• iii. όσον αφορά τους αντιπροσώπους, την πολιτική επιλογής τους, τις διαδικασίες παρακολούθησης και την κατάρτιση των αντιπροσώπων και, κατά περίπτωση, τα σχέδια των όρων πρόσληψής τους· στ. κατάλογο όλων των φυσικών ή νομικών προσώπων που έχουν στενούς δεσμούς με τον αιτούντα, με αναφορά των στοιχείων ταυτότητας των προσώπων και της φύσης των δεσμών αυτών.

Κατευθυντήρια γραμμή 6: Πλαίσιο διακυβέρνησης και μηχανισμοί εσωτερικού ελέγχου

6.1. Ο αιτών θα πρέπει να παρέχει περιγραφή του πλαισίου διακυβέρνησης και των μηχανισμών εσωτερικού ελέγχου, η οποία θα περιλαμβάνει:

• α. χαρτογράφηση των κινδύνων που εντοπίζονται από τον αιτούντα, συμπεριλαμβανομένων του είδους των κινδύνων και των διαδικασιών που θα εφαρμόζει ο αιτών για την αξιολόγηση και την πρόληψη των εν λόγω κινδύνων·
• β. τις διάφορες διαδικασίες που προορίζονται για τη διεξαγωγή των περιοδικών και μόνιμων ελέγχων, συμπεριλαμβανομένης της συχνότητας και των ανθρώπινων πόρων που διατίθενται για τη διεξαγωγή τους·
• γ. τις λογιστικές διαδικασίες μέσω των οποίων ο αιτών θα καταχωρίζει και θα υποβάλλει τις χρηματοοικονομικές πληροφορίες του·
• δ. την ταυτότητα του ή των προσώπων που είναι αρμόδια για τα καθήκοντα του

ελέγχων και των ελέγχων συμμόρφωσης, καθώς και ενημερωμένο βιογραφικό σημείωμα·

• ε. την ταυτότητα τυχόν ελεγκτή που δεν είναι νόμιμος ελεγκτής δυνάμει της οδηγίας 2006/43/ΕΚ·

στ. τη σύνθεση του διοικητικού του οργάνου και, κατά περίπτωση, τυχόν άλλου οργάνου ή επιτροπής εποπτείας·

δραστηριοτήτων εξωτερικής ανάθεσης ώστε να αποφεύγεται το ενδεχόμενο υποβάθμισης της ποιότητας των εσωτερικών ελέγχων του αιτούντος·

• η. περιγραφή του τρόπου παρακολούθησης και ελέγχου τυχόν αντιπροσώπων και υποκαταστημάτων στο πλαίσιο των εσωτερικών ελέγχων του αιτούντος·
• θ. σε περίπτωση που ο αιτών είναι η θυγατρική επιχείρηση ρυθμιζόμενης οντότητας σε άλλο κράτος μέλος της ΕΕ, περιγραφή της διακυβέρνησης του ομίλου. Κατευθυντήρια γραμμή 7: Διαδικασία ελέγχου, διαχείρισης και παρακολούθησης περιστατικών ασφαλείας και παραπόνων των πελατών για ζητήματα σχετικά με την ασφάλεια

7.1. Ο αιτών θα πρέπει να παρέχει περιγραφή της εφαρμοζόμενης διαδικασίας για τον έλεγχο, τη διαχείριση και την παρακολούθηση των περιστατικών ασφαλείας και των παραπόνων των πελατών για ζητήματα σχετικά με την ασφάλεια, η οποία θα πρέπει να περιλαμβάνει τα ακόλουθα:

• α. οργανωτικά μέτρα και εργαλεία για την πρόληψη της απάτης·
• β. στοιχεία των ατόμων και των οργάνων που είναι αρμόδια για την παροχή βοήθειας στους πελάτες σε περιπτώσεις απάτης, τεχνικών προβλημάτων και/ή διαχείρισης αξιώσεων·
• γ. γραμμές αναφοράς σε περίπτωση απάτης·
• δ. το σημείο επαφής για τους πελάτες, συμπεριλαμβανομένων του ονόματος και της διεύθυνσης ηλεκτρονικού ταχυδρομείου·
• ε. τις διαδικασίες για την αναφορά περιστατικών, συμπεριλαμβανομένης της κοινοποίησης των αναφορών αυτών σε εσωτερικά ή εξωτερικά όργανα, μεταξύ άλλων τη γνωστοποίηση μειζόνων συμβάντων στις εθνικές αρμόδιες αρχές δυνάμει του άρθρου 96 της οδηγίας PSD2, και σύμφωνα με τις κατευθυντήριες γραμμές της ΕΑΤ σχετικά με την υποβολή αναφορών συμβάντων κατ' εφαρμογή του εν λόγω άρθρου·

στ. τα εργαλεία ελέγχου που χρησιμοποιούνται, τα μέτρα και τις διαδικασίες παρακολούθησης που εφαρμόζονται για τη μείωση των κινδύνων ασφάλειας.

Κατευθυντήρια γραμμή 8: Υφιστάμενη διαδικασία αρχειοθέτησης, παρακολούθησης, εντοπισμού και περιορισμού της πρόσβασης σε ευαίσθητα δεδομένα πληρωμών

8.1. Ο αιτών θα πρέπει να παρέχει περιγραφή της εφαρμοζόμενης διαδικασίας αρχειοθέτησης, παρακολούθησης, εντοπισμού και περιορισμού της πρόσβασης σε ευαίσθητα δεδομένα πληρωμών, η οποία θα πρέπει να περιλαμβάνει:

• α. περιγραφή των ροών δεδομένων που χαρακτηρίζονται ως ευαίσθητα δεδομένα πληρωμών στο πλαίσιο του επιχειρηματικού μοντέλου του παρόχου υπηρεσιών πληροφοριών λογαριασμού·
• β. τις εφαρμοζόμενες διαδικασίες για τη χορήγηση πρόσβασης σε ευαίσθητα δεδομένα πληρωμών·
• γ. περιγραφή του εργαλείου παρακολούθησης·
• δ. την πολιτική όσον αφορά το δικαίωμα πρόσβασης, με αναλυτική περιγραφή της

συμπεριλαμβανομένων των βάσεων δεδομένων και των εφεδρικών υποδομών·

• ε. περιγραφή του τρόπου αρχειοθέτησης των δεδομένων που συλλέγονται·

στ. την προβλεπόμενη εσωτερική και/ή εξωτερική χρήση των δεδομένων που συλλέγονται, μεταξύ άλλων και από τους αντισυμβαλλομένους·

• ζ. το σύστημα πληροφορικής και τα τεχνικά μέτρα ασφάλειας που έχουν τεθεί σε εφαρμογή συμπεριλαμβανομένης της κρυπτογράφησης και/ή της τεχνολογίας tokenisation·
• η. προσδιορισμό των ατόμων, των οργάνων και/ή των επιτροπών που έχουν πρόσβαση σε ευαίσθητα δεδομένα πληρωμών·
• θ. επεξήγηση του τρόπου εντοπισμού και αντιμετώπισης παραβιάσεων·
• ι. ετήσιο πρόγραμμα εσωτερικού ελέγχου όσον αφορά την ασφάλεια των συστημάτων πληροφορικής.

Κατευθυντήρια γραμμή 9: Σχέδιο επιχειρησιακής συνέχειας

9.1. Ο αιτών θα πρέπει να παρέχει περιγραφή του σχεδίου επιχειρησιακής συνέχειας το οποίο θα περιλαμβάνει τις ακόλουθες πληροφορίες:

• α. ανάλυση επιχειρηματικών επιπτώσεων, συμπεριλαμβανομένων των επιχειρηματικών διαδικασιών και των στόχων αποκατάστασης, όπως οι στόχοι ως προς τον χρόνο αποκατάστασης, οι στόχοι ως προς το σημείο αποκατάστασης και τα προστατευόμενα στοιχεία ενεργητικού·
• β. τον προσδιορισμό της εφεδρικής τοποθεσίας, της πρόσβασης σε υποδομές πληροφορικής, καθώς και του βασικού λογισμικού και των βασικών δεδομένων που πρέπει να ανακτηθούν σε περίπτωση καταστροφής ή διαταραχής·
• γ. επεξήγηση του τρόπου με τον οποίο ο αιτών θα αντιμετωπίζει σημαντικά συμβάντα και διαταραχές της επιχειρησιακής συνέχειας, όπως βλάβη βασικών συστημάτων, απώλεια βασικών δεδομένων, αδυναμία πρόσβασης στις εγκαταστάσεις, απώλεια βασικών προσώπων·
• δ. τη συχνότητα με την οποία ο αιτών προτίθεται να προβαίνει σε δοκιμές των σχεδίων επιχειρησιακής συνέχειας και αποκατάστασης λειτουργίας έπειτα από καταστροφή, συμπεριλαμβανομένου του τρόπου καταγραφής των αποτελεσμάτων των δοκιμών. Κατευθυντήρια γραμμή 10: Έγγραφο που περιγράφει την πολιτική ασφάλειας

10.1. Ο αιτών θα πρέπει να παρέχει έγγραφο που περιγράφει την πολιτική ασφάλειας, το οποίο θα περιλαμβάνει τις ακόλουθες πληροφορίες:

• α. λεπτομερή αξιολόγηση των κινδύνων της ή των υπηρεσιών πληρωμών που προτίθεται να παρέχει ο αιτών, η οποία θα πρέπει να περιλαμβάνει τους κινδύνους απάτης και τον έλεγχο της ασφάλειας, καθώς και τα μέτρα μείωσης των κινδύνων που θα λαμβάνονται για την επαρκή προστασία των χρηστών των υπηρεσιών πληρωμών έναντι των κινδύνων που εντοπίζονται·
• β. περιγραφή των συστημάτων πληροφορικής, η οποία θα πρέπει να περιλαμβάνει:
• i. την αρχιτεκτονική των συστημάτων και τα στοιχεία δικτύου τους·
• ii. τα επιχειρηματικά συστήματα πληροφορικής που υποστηρίζουν τις παρεχόμενες επιχειρηματικές δραστηριότητες, όπως ο ιστότοπος του αιτούντος, η μηχανή διαχείρισης του κινδύνου και της απάτης, και η λογιστική πελατών·
• iii. τα υποστηρικτικά συστήματα πληροφορικής που χρησιμοποιούνται για την οργάνωση και τη διαχείριση του παρόχου υπηρεσιών πληροφοριών λογαριασμού, όπως τα συστήματα λογιστικής, τα συστήματα εκ του νόμου προβλεπόμενης υποβολής εκθέσεων, η διαχείριση προσωπικού, η διαχείριση των σχέσεων με τους πελάτες, οι διακομιστές ηλεκτρονικού ταχυδρομείου και οι εσωτερικοί διακομιστές αρχείων·
• iv. πληροφορίες σχετικά με το αν τα συστήματα αυτά χρησιμοποιούνται ήδη από τον πάροχο υπηρεσιών πληροφοριών λογαριασμού ή τον όμιλο στον οποίο ανήκει, και την εκτιμώμενη ημερομηνία εφαρμογής, κατά περίπτωση·
• γ. το είδος των εξουσιοδοτημένων εξωτερικών συνδέσεων, όπως με εταίρους, παρόχους

συμπεριλαμβανομένης της αιτιολόγησης των συνδέσεων αυτών·

• δ. για καθεμία από τις συνδέσεις που αναφέρονται στο στοιχείο γ), τα μέτρα και τους μηχανισμούς λογικής ασφάλειας που εφαρμόζονται, με προσδιορισμό του ελέγχου που θα ασκεί το ίδρυμα πληρωμών όσον αφορά την πρόσβαση αυτή, καθώς και της φύσης και της συχνότητας κάθε ελέγχου, π.χ. τεχνικός έλεγχος έναντι οργανωτικού ελέγχου, προληπτικός έλεγχος έναντι ελέγχου εντοπισμού, και παρακολούθηση σε πραγματικό χρόνο έναντι τακτικών ελέγχων, όπως η χρήση ενεργού καταλόγου (active directory) χωριστά από τον όμιλο, το άνοιγμα/κλείσιμο των γραμμών επικοινωνίας, η διάρθρωση του εξοπλισμού ασφάλειας, η παραγωγή κλειδιών ή πιστοποιητικών ελέγχου ταυτότητας πελάτη, η παρακολούθηση συστήματος, ο έλεγχος ταυτότητας, το απόρρητο της επικοινωνίας, ο εντοπισμός εισβολών, τα συστήματα προστασίας από ιούς και τα αρχεία καταγραφής ιών·
• ε. τα μέτρα και τους μηχανισμούς λογικής ασφάλειας που διέπουν την εσωτερική πρόσβαση σε συστήματα πληροφορικής, που θα πρέπει να περιλαμβάνουν:
• i. τον τεχνικό και οργανωτικό χαρακτήρα και τη συχνότητα κάθε μέτρου, όπως αν πρόκειται για προληπτικό μέτρο ή μέτρο εντοπισμού ή κατά πόσον εφαρμόζεται ή όχι σε πραγματικό χρόνο·
• ii. τον τρόπο αντιμετώπισης του ζητήματος του διαχωρισμού του περιβάλλοντος πελάτη σε περίπτωση κοινής χρήσης των πόρων πληροφορικής του αιτούντος·

στ. τα μέτρα και τους μηχανισμούς φυσικής ασφάλειας των εγκαταστάσεων και του κέντρου δεδομένων του αιτούντος, όπως έλεγχοι πρόσβασης και ασφάλεια περιβάλλοντος·

• ζ. την ασφάλεια των διαδικασιών πληρωμής, η οποία θα πρέπει να περιλαμβάνει:
• i. τη διαδικασία ελέγχου της ταυτότητας των πελατών που χρησιμοποιείται στο πλαίσιο της παροχής πρόσβασης, τόσο για σκοπούς ενημέρωσης όσο και για την εκτέλεση συναλλαγών·
• ii. επεξήγηση του τρόπου με τον οποίο διασφαλίζονται η ασφαλής παράδοση στον νόμιμο χρήστη της υπηρεσίας πληρωμής και η ακεραιότητα των παραγόντων ελέγχου ταυτότητας, όπως hardware tokens εφαρμογές κινητών συσκευών, τόσο κατά τον χρόνο της αρχικής εγγραφής όσο και κατά τον χρόνο της ανανέωσης·
• iii. περιγραφή των συστημάτων και των διαδικασιών που εφαρμόζει ο αιτών για την ανάλυση των συναλλαγών και τον εντοπισμό ύποπτων ή ασυνήθιστων συναλλαγών·

συμπεριλαμβανομένης της απάτης, με συσχέτιση προς τα μέτρα ελέγχου και μείωσης των κινδύνων που αναλύονται στον φάκελο της αίτησης, από όπου να αποδεικνύεται ότι οι κίνδυνοι αντιμετωπίζονται·

• θ. κατάλογο των βασικών γραπτών διαδικασιών που αφορούν τα συστήματα πληροφορικής του αιτούντος ή, για διαδικασίες που δεν έχουν ακόμη οριστικοποιηθεί, την εκτιμώμενη ημερομηνία ολοκλήρωσης. Κατευθυντήρια γραμμή 11: Ταυτότητα και αξιολόγηση της καταλληλότητας των διευθυντικών στελεχών και των υπευθύνων για τη διαχείριση του παρόχου υπηρεσιών πληροφοριών λογαριασμού

11.1. Για τους σκοπούς της ταυτοποίησης και της αξιολόγησης της καταλληλότητας των διευθυντικών στελεχών και των υπευθύνων για τη διαχείριση του παρόχου υπηρεσιών πληροφοριών λογαριασμού, ο αιτών θα πρέπει να παρέχει τις ακόλουθες πληροφορίες:

• α. προσωπικά στοιχεία, στα οποία θα πρέπει να περιλαμβάνονται:
• i. το πλήρες ονοματεπώνυμο, το γένος, ο τόπος και η ημερομηνία γέννησης, η διεύθυνση και η ιθαγένεια, καθώς και ο προσωπικός αριθμός ταυτότητας ή αντίγραφο του δελτίου ταυτότητας ή ισοδύναμου εγγράφου·
• ii. αναλυτικά στοιχεία της θέσης για την οποία ζητείται η αξιολόγηση και αν η θέση στο διοικητικό όργανο αφορά εκτελεστικά ή μη εκτελεστικά καθήκοντα. Σε αυτά θα πρέπει να περιλαμβάνονται επίσης τα ακόλουθα στοιχεία:

• β. κατά περίπτωση, πληροφορίες σχετικά με την αξιολόγηση καταλληλότητας που έχει διενεργηθεί από τον αιτούντα, στις οποίες θα πρέπει να περιλαμβάνονται λεπτομέρειες σχετικά με το αποτέλεσμα τυχόν αξιολόγησης της καταλληλότητας του ατόμου που διενεργήθηκε από το ίδρυμα, όπως σχετικά πρακτικά επιτροπής ή εκθέσεις αξιολόγησης της καταλληλότητας ή άλλα έγγραφα·
• γ. αποδεικτικά των γνώσεων, των δεξιοτήτων και της πείρας, στα οποία θα πρέπει να περιλαμβάνεται βιογραφικό σημείωμα που θα περιέχει αναλυτικά στοιχεία σχετικά με την εκπαίδευση και την επαγγελματική πείρα, μεταξύ άλλων τους ακαδημαϊκούς τίτλους σπουδών, άλλη συναφή κατάρτιση, το όνομα και τη φύση όλων των οργανισμών για τους οποίους το άτομο εργάζεται ή έχει εργαστεί, καθώς και τη φύση και τη διάρκεια των καθηκόντων που ασκούσε, με ιδιαίτερη έμφαση σε τυχόν δραστηριότητες που εμπίπτουν στο πεδίο εφαρμογής της επιδιωκόμενης θέσης·
• δ. αποδεικτικά στοιχεία της φήμης, της εντιμότητας και της ακεραιότητας, στα οποία θα πρέπει να περιλαμβάνονται:
• i. ποινικά μητρώα και σχετικές πληροφορίες όσον αφορά ποινικές έρευνες και διαδικασίες, συναφείς αστικές και διοικητικές υποθέσεις, καθώς και πειθαρχικές κυρώσεις, συμπεριλαμβανομένων της παύσης από τη θέση διευθυντή εταιρείας ή διαδικασιών πτώχευσης, αφερεγγυότητας ή παρόμοιων διαδικασιών, κυρίως μέσω επίσημης βεβαίωσης ή άλλης αντικειμενικά αξιόπιστης πηγής πληροφοριών σχετικά με την απουσία ποινικής καταδίκης, έρευνας και διαδικασίας, όπως έρευνες τρίτων και μαρτυρίες δικηγόρων ή συμβολαιογράφων που είναι εγκατεστημένοι στην Ευρωπαϊκή Ένωση·
• ii. δήλωση σχετικά με το αν εκκρεμούν ή όχι ποινικές διαδικασίες ή αν το πρόσωπο ή οποιοσδήποτε οργανισμός του οποίου τη διαχείριση ασκεί το εν λόγω πρόσωπο έχει εμπλακεί ως οφειλέτης σε διαδικασία αφερεγγυότητας ή παρόμοια διαδικασία·
• iii. πληροφορίες σχετικά με τα ακόλουθα:

Κατευθυντήρια γραμμή 12: Ασφάλιση επαγγελματικής ευθύνης ή συγκρίσιμη εγγύηση

12.1. Ως αποδεικτικό της ασφάλισης επαγγελματικής ευθύνης ή συγκρίσιμης εγγύησης η οποία συμμορφώνεται με τις κατευθυντήριες γραμμές της ΕΑΤ σχετικά με την ασφάλιση επαγγελματικής ευθύνης (EBA/GL/2017/08) και με το άρθρο 5 παράγραφοι 2 και 3 της οδηγίας PSD2, ο αιτών θα πρέπει να παρέχει τις ακόλουθες πληροφορίες:

• α. ασφαλιστήριο συμβόλαιο ή άλλο ισοδύναμο έγγραφο το οποίο επιβεβαιώνει την ύπαρξη ασφάλισης επαγγελματικής ευθύνης ή συγκρίσιμης εγγύησης, με ποσό κάλυψης που συνάδει με τις προαναφερόμενες κατευθυντήριες γραμμές της ΕΑΤ, και το οποίο παρουσιάζει την κάλυψη των σχετικών ευθυνών·
• β. τεκμηρίωση του τρόπου με τον οποίο ο αιτών υπολόγισε το ελάχιστο ποσό κατά τρόπο που συμμορφώνεται με τις προαναφερόμενες κατευθυντήριες γραμμές της ΕΑΤ, συμπεριλαμβανομένων όλων των επιμέρους στοιχείων του μαθηματικού τύπου που αναφέρεται σε αυτές.

Κατευθυντήρια γραμμή 1: Γενικές αρχές

1.1 Το παρόν σύνολο κατευθυντήριων γραμμών αφορά αιτούντες άδεια λειτουργίας ιδρύματος ηλεκτρονικού χρήματος. Πρόκειται για αιτούντες που προτίθενται να παρέχουν υπηρεσίες ηλεκτρονικού χρήματος και, κατά περίπτωση, οποιαδήποτε ή οποιεσδήποτε από τις υπηρεσίες πληρωμών που αναφέρονται στα σημεία 1 - 8 του παραρτήματος I της οδηγίας PSD2. Οι αιτούντες που προτίθενται να παρέχουν αποκλειστικά τις υπηρεσίες πληρωμών που αναφέρονται στα σημεία 1 - 7 του παραρτήματος I της οδηγίας PSD2 ή την υπηρεσία 8 που αναφέρεται στο εν λόγω παράρτημα σε συνδυασμό με άλλη ή άλλες υπηρεσίες που αναφέρονται στα σημεία 1 - 7 χωρίς να παρέχουν υπηρεσίες ηλεκτρονικού χρήματος θα πρέπει να ανατρέξουν στο συγκεκριμένο σύνολο κατευθυντήριων γραμμών σχετικά με τις πληροφορίες που πρέπει να παρέχονται από τους αιτούντες άδεια λειτουργίας ιδρύματος πληρωμών το οποίο παρατίθεται στην ενότητα 4.1. Οι αιτούντες που προτίθενται να παρέχουν αποκλειστικά την υπηρεσία πληρωμών που αναφέρεται στο σημείο 8 του παραρτήματος I της οδηγίας PSD2 χωρίς να παρέχουν υπηρεσίες ηλεκτρονικού χρήματος θα πρέπει να ανατρέξουν στις κατευθυντήριες γραμμές σχετικά με τις πληροφορίες που πρέπει

υπηρεσίας 8 του παραρτήματος Ι της οδηγίας PSD2 που παρατίθενται στην ενότητα 4.2.

1.2 Οι πληροφορίες που παρέχονται από τους αιτούντες θα πρέπει να είναι αληθείς, πλήρεις, ακριβείς και επικαιροποιημένες. Όλοι οι αιτούντες θα πρέπει να συμμορφώνονται με όλες τις διατάξεις που περιλαμβάνονται στο σύνολο κατευθυντήριων γραμμών που τους αφορά. Το επίπεδο λεπτομέρειας θα πρέπει να είναι ανάλογο με το μέγεθος και την εσωτερική οργάνωση του αιτούντος, καθώς και με τη φύση, την κλίμακα, την πολυπλοκότητα και τον βαθμό επικινδυνότητας της ή των συγκεκριμένων υπηρεσιών που προτίθεται να παρέχει ο αιτών. Σε κάθε περίπτωση, σύμφωνα με την οδηγία (ΕΕ) 2015/2366, τα διευθυντικά στελέχη και οι υπεύθυνοι για τη διαχείριση του ιδρύματος ηλεκτρονικού χρήματος είναι έντιμοι και διαθέτουν κατάλληλες γνώσεις και πείρα για την παροχή υπηρεσιών πληρωμών, ανεξάρτητα από το μέγεθος και την εσωτερική οργάνωση του ιδρύματος και από τη φύση, την κλίμακα και την πολυπλοκότητα των δραστηριοτήτων του, καθώς και από τα καθήκοντα και τις αρμοδιότητες της συγκεκριμένης θέσης. 1.3 Κατά την υποβολή των απαιτούμενων πληροφοριών, ο αιτών θα πρέπει να αποφεύγει να προβαίνει σε παραπομπές σε συγκεκριμένες ενότητες εσωτερικών διαδικασιών/εγγράφων. Αντ’ αυτού, ο αιτών θα πρέπει να διαβιβάζει στην αρμόδια αρχή τα αποσπάσματα που περιλαμβάνουν τις σχετικές ενότητες.

1.4 Σε περίπτωση που οι αρμόδιες αρχές ζητήσουν διευκρινίσεις σχετικά με τις υποβληθείσες πληροφορίες, ο αιτών θα πρέπει να παράσχει τις εν λόγω διευκρινίσεις χωρίς καθυστέρηση.

1.5 Όλα τα δεδομένα που ζητούνται βάσει των παρουσών κατευθυντήριων γραμμών για τις άδειες λειτουργίας ιδρυμάτων ηλεκτρονικού χρήματος είναι απαραίτητα για την αξιολόγηση της αίτησης και θα αντιμετωπίζονται από την αρμόδια αρχή σύμφωνα με τις υποχρεώσεις επαγγελματικού απορρήτου που προβλέπονται στην οδηγία PSD2, με την επιφύλαξη της εφαρμοστέας ενωσιακής νομοθεσίας και των εθνικών απαιτήσεων και διαδικασιών σχετικά με την άσκηση του δικαιώματος πρόσβασης, διόρθωσης, ακύρωσης ή αντίταξης.

Κατευθυντήρια γραμμή 2: Στοιχεία ταυτοποίησης

2.1 Στα στοιχεία ταυτοποίησης που πρέπει να παρέχονται από τον αιτούντα θα πρέπει να περιλαμβάνονται οι ακόλουθες πληροφορίες:

• α. η εταιρική επωνυμία του αιτούντος και, εάν είναι διαφορετική, η εμπορική επωνυμία·
• β. διευκρίνιση σχετικά με το αν ο αιτών είναι εταιρεία που έχει ήδη συσταθεί ή βρίσκεται σε διαδικασία σύστασης·
• γ. ο εθνικός αριθμός μητρώου του αιτούντος, κατά περίπτωση·
• δ. η νομική μορφή και το εταιρικό (ή το σχέδιο εταιρικού) του αιτούντος και/ή καταστατικά έγγραφα που αποδεικνύουν τη νομική μορφή του αιτούντος·
• ε. η διεύθυνση των κεντρικών γραφείων και της καταστατικής έδρας του αιτούντος·

στ. η ηλεκτρονική διεύθυνση και ο ιστότοπος του αιτούντος, εάν υπάρχουν·

• ζ. το ή τα ονόματα των προσώπων που είναι υπεύθυνα για τον φάκελο της αίτησης και τη διαδικασία αδειοδότησης, καθώς και τα στοιχεία επικοινωνίας τους·
• η. διευκρίνιση σχετικά με το αν ο αιτών έχει υπαχθεί κατά το παρελθόν, ή υπόκειται επί του παρόντος, σε ρύθμιση από αρμόδια αρχή του τομέα χρηματοοικονομικών υπηρεσιών·
• θ. τυχόν εμπορικές ενώσεις σε σχέση με την παροχή υπηρεσιών ηλεκτρονικού χρήματος και/ή υπηρεσιών πληρωμών στις οποίες ο αιτών προτίθεται να προσχωρήσει, κατά περίπτωση·
• ι. το πιστοποιητικό καταχώρισης στο οικείο μητρώο επιχειρήσεων ή, κατά περίπτωση, αρνητική βεβαίωση έναρξης από εμπορικό μητρώο με την οποία πιστοποιείται ότι η επωνυμία που χρησιμοποιεί η εταιρεία είναι διαθέσιμη·

ια. αποδεικτικό καταβολής τυχόν τελών ή κατάθεσης χρηματικών ποσών για την υποβολή αίτησης άδειας λειτουργίας ιδρύματος ηλεκτρονικού χρήματος, όπου απαιτείται βάσει του εθνικού δικαίου.

Κατευθυντήρια γραμμή 3: Πρόγραμμα δραστηριοτήτων

3.1 Στο πρόγραμμα δραστηριοτήτων που πρέπει να παρέχεται από τον αιτούντα θα πρέπει να περιλαμβάνονται οι ακόλουθες πληροφορίες:

• α. αναφορά των υπηρεσιών ηλεκτρονικού χρήματος που προτίθεται να παρέχει ο αιτών: έκδοση, εξαργύρωση, διανομή·
• β. κατά περίπτωση, αναλυτική περιγραφή του είδους των προβλεπόμενων υπηρεσιών

δραστηριότητες που θα ασκούνται προσδιορίζονται από τον αιτούντα ως δραστηριότητες που εμπίπτουν σε οποιαδήποτε από τις νόμιμες κατηγορίες υπηρεσιών πληρωμών που απαριθμούνται στο παράρτημα I της οδηγίας PSD2 και διευκρίνιση σχετικά με το αν οι εν λόγω υπηρεσίες πληρωμών θα παρέχονται επιπλέον των υπηρεσιών ηλεκτρονικού χρήματος ή αν θα συνδέονται με την έκδοση ηλεκτρονικού χρήματος·

• γ. δήλωση του αιτούντος σχετικά με το αν θα περιέρχονται σε οποιαδήποτε στιγμή στην κατοχή του χρηματικά ποσά·
• δ. κατά περίπτωση, περιγραφή της εκτέλεσης των διαφόρων υπηρεσιών ηλεκτρονικού χρήματος και, κατά περίπτωση, των υπηρεσιών πληρωμών, με λεπτομερή αναφορά όλων των συμμετεχόντων μερών και με παράθεση, για κάθε παρεχόμενη υπηρεσία ηλεκτρονικού χρήματος και, κατά περίπτωση, για κάθε παρεχόμενη υπηρεσία πληρωμών των εξής στοιχείων:
• i. διάγραμμα της ροής των χρηματικών ποσών·
• ii. ρυθμίσεις διακανονισμού·
• iii. σχέδια συμβάσεων μεταξύ όλων των μερών που συμμετέχουν στην παροχή υπηρεσιών πληρωμών, συμπεριλαμβανομένων των συμβάσεων με συστήματα πληρωμών με κάρτα, κατά περίπτωση·
• iv. χρόνοι διεκπεραίωσης·
• ε. αντίγραφο του σχεδίου σύμβασης μεταξύ του εκδότη ηλεκτρονικού χρήματος και του κατόχου ηλεκτρονικού χρήματος και του σχεδίου σύμβασης - πλαισίου όπως ορίζεται στο άρθρο 4 σημείο 21 της οδηγίας PSD2, εάν ο αιτών προτίθεται να παρέχει υπηρεσίες πληρωμών επιπλέον των υπηρεσιών ηλεκτρονικού χρήματος·

στ. ο εκτιμώμενος αριθμός διαφορετικών εγκαταστάσεων από τις οποίες ο αιτών προτίθεται να παρέχει τις υπηρεσίες, κατά περίπτωση·

• ζ. περιγραφή τυχόν επικουρικών υπηρεσιών προς τις υπηρεσίες ηλεκτρονικού χρήματος και, κατά περίπτωση, προς τις υπηρεσίες πληρωμών·
• η. σε περίπτωση που ο αιτών προτίθεται να παρέχει υπηρεσίες πληρωμών επιπλέον των υπηρεσιών ηλεκτρονικού χρήματος, δήλωση του αιτούντος σχετικά με το αν προτίθεται να χορηγεί πιστώσεις και, εάν ναι, εντός ποιων ορίων·
• θ. δήλωση του αιτούντος σχετικά με το αν σχεδιάζει να παρέχει υπηρεσίες ηλεκτρονικού χρήματος και, κατά περίπτωση, υπηρεσίες πληρωμών σε άλλα κράτη μέλη ή τρίτες χώρες μετά τη χορήγηση της άδειας·
• ι. αναφορά του αν ο αιτών προτίθεται, εντός των επόμενων τριών ετών, να ασκήσει ή αν ήδη ασκεί επιχειρηματικές δραστηριότητες άλλες από τις υπηρεσίες ηλεκτρονικού χρήματος και, κατά περίπτωση, τις υπηρεσίες πληρωμών που αναφέρονται στο άρθρο 11 παράγραφος 5 της οδηγίας (ΕΕ) 2015/2366, συμπεριλαμβανομένης της περιγραφής του είδους και του προβλεπόμενου όγκου των δραστηριοτήτων·

ια. οι πληροφορίες που προσδιορίζονται στις κατευθυντήριες γραμμές της ΕΑΤ με θέμα τα κριτήρια καθορισμού του ελάχιστου χρηματικού ποσού της ασφάλισης επαγγελματικής ευθύνης ή άλλης συγκρίσιμης εγγύησης δυνάμει του άρθρου 5 παράγραφος 4 της οδηγίας (ΕΕ) 2015/2366 (EBA/GL2017/08), σε περίπτωση που ο αιτών προτίθεται να παρέχει τις υπηρεσίες 7 και 8 (υπηρεσίες εκκίνησης πληρωμής και υπηρεσίες πληροφοριών λογαριασμού).

Κατευθυντήρια γραμμή 4: Επιχειρηματικό σχέδιο

4.1. Στο επιχειρηματικό σχέδιο που πρέπει να παρέχεται από τον αιτούντα θα πρέπει να περιλαμβάνονται:

• α. σχέδιο ανάπτυξης και προώθησης των υπηρεσιών (marketingκ) το οποίο περιέχει:
• i. ανάλυση της ανταγωνιστικής θέσης της εταιρείας στην αγορά ηλεκτρονικού χρήματος και, κατά περίπτωση, στο σχετικό τμήμα της αγοράς πληρωμών·
• ii. περιγραφή των χρηστών των υπηρεσιών πληρωμών και των κατόχων ηλεκτρονικού χρήματος, του υλικού ανάπτυξης και προώθησης των υπηρεσιών (marketing) και των καναλιών διανομής·
• β. πιστοποιημένοι ετήσιοι λογαριασμοί για τα προηγούμενα τρία έτη, κατά περίπτωση, ή σύνοψη της χρηματοοικονομικής κατάστασης των εταιρειών που δεν έχουν υποβάλει ακόμη ετήσιους λογαριασμούς·
• γ. πρόβλεψη προϋπολογισμού για τα τρία πρώτα οικονομικά έτη, η οποία καταδεικνύει την ικανότητα του αιτούντος να χρησιμοποιεί τα κατάλληλα και ανάλογα συστήματα, πόρους και διαδικασίες που εξασφαλίζουν την εύρυθμη λειτουργία του· θα πρέπει να περιλαμβάνει:
• i. πρόβλεψη κατάστασης λογαριασμού αποτελεσμάτων και ισολογισμού, περιλαμβανομένων σεναρίων επίτευξης του στόχου και σεναρίων ακραίων καταστάσεων, καθώς και των βασικών παραδοχών τους, όπως όγκος και αξία συναλλαγών, αριθμός πελατών, τιμολόγηση, μέσο ποσό ανά συναλλαγή, προβλεπόμενη αύξηση κατώτατου ορίου αποδοτικότητας·
• ii. επεξήγηση των βασικών γραμμών εσόδων και εξόδων, των χρηματοοικονομικών οφειλών και του πάγιου ενεργητικού·
• iii. διάγραμμα και λεπτομερή ανάλυση των εκτιμώμενων ταμειακών ροών για τα επόμενα τρία έτη·
• δ. πληροφορίες σχετικά με τα ίδια κεφάλαια, συμπεριλαμβανομένου του ποσού και λεπτομερούς ανάλυσης της σύνθεσης του αρχικού κεφαλαίου, όπως ορίζεται στο άρθρο 57 στοιχεία α) και β) της οδηγίας 2006/48/ΕΚ·
• ε. πληροφορίες σχετικά με τις ελάχιστες απαιτήσεις ιδίων κεφαλαίων και υπολογισμός αυτών σύμφωνα με τη μέθοδο Δ, όπως αναφέρεται στο άρθρο 5 παράγραφος 3 της οδηγίας (ΕΕ) 2009/110 (οδηγία για το ηλεκτρονικό χρήμα (EMD2)), εάν το ίδρυμα ηλεκτρονικού χρήματος προτίθεται να παρέχει αποκλειστικά υπηρεσίες ηλεκτρονικού χρήματος, ή την ή τις μεθόδους που αναφέρονται στο άρθρο 9 της οδηγίας (ΕΕ) 2015/2366 (οδηγία PSD2), όπως καθορίζονται από την αρμόδια αρχή, εάν ο αιτών προτίθεται να παρέχει υπηρεσίες πληρωμών επιπλέον των υπηρεσιών ηλεκτρονικού χρήματος, συμπεριλαμβανομένης της ετήσιας πρόβλεψης της ανάλυσης ιδίων

περίπτωση, της ετήσιας πρόβλεψης των ιδίων κεφαλαίων για τρία έτη σύμφωνα με τις άλλες χρησιμοποιούμενες μεθόδους. Κατευθυντήρια γραμμή 5: Οργανωτική δομή

5.1. Ο αιτών θα πρέπει να παρέχει περιγραφή της οργανωτικής δομής της επιχείρησής του, η οποία θα αποτελείται από:

παρόμοια μονάδα διαρθρωτικού διαχωρισμού, συμπεριλαμβανομένων του ονόματος του αρμόδιου ή των αρμόδιων προσώπων, ιδίως εκείνων που είναι υπεύθυνα για τα καθήκοντα εσωτερικού ελέγχου· το οργανόγραμμα θα πρέπει να συνοδεύεται από περιγραφή των καθηκόντων και των αρμοδιοτήτων κάθε διεύθυνσης, τμήματος ή παρόμοιας μονάδας διαρθρωτικού διαχωρισμού·

• β. συνολική πρόβλεψη του αριθμού των μελών του προσωπικού για τα επόμενα τρία έτη·

δραστηριοτήτων, η οποία θα περιλαμβάνει:

• i. την ταυτότητα και τη γεωγραφική θέση του παρόχου υπηρεσιών εξωτερικής ανάθεσης·
• ii. την ταυτότητα των προσώπων εντός του ιδρύματος ηλεκτρονικού χρήματος που είναι αρμόδια για καθεμία από τις δραστηριότητες εξωτερικής ανάθεσης·
• iii. σαφή περιγραφή των δραστηριοτήτων εξωτερικής ανάθεσης και των βασικών χαρακτηριστικών τους·
• δ. αντίγραφο των σχεδίων συμβάσεων εξωτερικής ανάθεσης·
• ε. περιγραφή της χρήσης υποκαταστημάτων και αντιπροσώπων και διανομέων, κατά περίπτωση, η οποία θα περιλαμβάνει:
• i. χαρτογράφηση των επιτόπιων και μη επιτόπιων ελέγχων που προτίθεται να διενεργεί ο αιτών στα υποκαταστήματα, στους αντιπροσώπους και στους διανομείς·
• ii. τα συστήματα πληροφορικής, τις διαδικασίες και τις υποδομές που χρησιμοποιούνται από τους αντιπροσώπους και τους διανομείς του αιτούντος για την άσκηση δραστηριοτήτων εξ ονόματος του αιτούντος·
• iii. όσον αφορά τους αντιπροσώπους και τους διανομείς, την πολιτική επιλογής τους, τις διαδικασίες παρακολούθησης και την κατάρτιση των αντιπροσώπων και διανομέων και, κατά περίπτωση, τα σχέδια των όρων πρόσληψής τους· στ. αναφορά του εθνικού και/ή διεθνούς συστήματος πληρωμών στο οποίο θα έχει πρόσβαση ο αιτών, κατά περίπτωση·
• ζ. κατάλογο όλων των φυσικών ή νομικών προσώπων που έχουν στενούς δεσμούς με τον αιτούντα, με αναφορά των στοιχείων ταυτότητας των προσώπων και της φύσης των δεσμών αυτών.

Κατευθυντήρια γραμμή 6: Στοιχεία τεκμηρίωσης της ύπαρξης αρχικού κεφαλαίου

6.1. Για την τεκμηρίωση της ύπαρξης αρχικού κεφαλαίου που πρέπει να παρέχεται από τον αιτούντα (ύψους 350 000 EUR), ο αιτών θα πρέπει να υποβάλει τα ακόλουθα έγγραφα:

• α. για υφιστάμενες επιχειρήσεις, ελεγμένο αντίγραφο κίνησης λογαριασμού ή εγγραφή σε δημόσιο μητρώο που πιστοποιεί το ποσό του κεφαλαίου του αιτούντος·
• β. για επιχειρήσεις που βρίσκονται στη διαδικασία σύστασης, τραπεζική δήλωση που εκδίδεται από τράπεζα και πιστοποιεί ότι τα χρηματικά ποσά είναι κατατεθειμένα στον τραπεζικό λογαριασμό του αιτούντος.

Κατευθυντήρια γραμμή 7: Μέτρα για τη διασφάλιση των χρηματικών ποσών των χρηστών ηλεκτρονικού χρήματος και /ή υπηρεσιών πληρωμών

7.1. Σε περίπτωση που ο αιτών διασφαλίζει τα χρηματικά ποσά των χρηστών ηλεκτρονικού χρήματος και /ή υπηρεσιών πληρωμών μέσω κατάθεσης των ποσών σε χωριστό λογαριασμό σε πιστωτικό ίδρυμα ή μέσω επένδυσης σε ασφαλή και ρευστά στοιχεία ενεργητικού χαμηλού κινδύνου, η περιγραφή των μέτρων διασφάλισης θα πρέπει να περιλαμβάνει:

• α. περιγραφή της επενδυτικής πολιτικής που διασφαλίζει ότι τα στοιχεία ενεργητικού που επιλέγονται είναι ασφαλή, ρευστά και χαμηλού κινδύνου, κατά περίπτωση·
• β. τον αριθμό των προσώπων που έχουν πρόσβαση στον λογαριασμό διασφάλισης και τα καθήκοντα των προσώπων αυτών·
• γ. περιγραφή της διαδικασίας διαχείρισης και της συμφωνίας ( reconciliation) για τους χρήστες ηλεκτρονικού χρήματος και, κατά περίπτωση, τους χρήστες υπηρεσιών πληρωμών έναντι αξιώσεων άλλων πιστωτών του ιδρύματος πληρωμών, ιδίως σε περίπτωση αφερεγγυότητας·
• δ. αντίγραφο του σχεδίου σύμβασης με το πιστωτικό ίδρυμα·
• ε. ρητή δήλωση του ιδρύματος ηλεκτρονικού χρήματος σχετικά με τη συμμόρφωση προς το άρθρο 10 της οδηγίας PSD2 .

7.2. Σε περίπτωση που ο αιτών διασφαλίζει τα χρηματικά ποσά των χρηστών ηλεκτρονικού χρήματος και, κατά περίπτωση, των χρηστών υπηρεσιών πληρωμών μέσω ασφαλιστηρίου ή συγκρίσιμης εγγύησης από ασφαλιστική εταιρεία ή πιστωτικό ίδρυμα, και εάν ο αιτών δεν προτίθεται να παρέχει αποκλειστικά υπηρεσίες εκκίνησης πληρωμής, η περιγραφή των μέτρων διασφάλισης θα πρέπει να περιλαμβάνει τα ακόλουθα:

• α. βεβαίωση ότι το ασφαλιστήριο ή η συγκρίσιμη εγγύηση από ασφαλιστική εταιρεία ή πιστωτικό ίδρυμα προέρχεται από οντότητα που δεν ανήκει στον ίδιο όμιλο εταιρειών με τον αιτούντα·
• β. λεπτομέρειες της εφαρμοζόμενης διαδικασίας συμφωνίας (reconciliation) με την οποία διασφαλίζεται ότι το ασφαλιστήριο ή η συγκρίσιμη εγγύηση επαρκεί για την κάλυψη των υποχρεώσεων διασφάλισης του αιτούντος ανά πάσα στιγμή·
• γ. διάρκεια και ανανέωση ισχύος της ασφαλιστικής κάλυψης·
• δ. αντίγραφο του (σχεδίου) ασφαλιστηρίου συμβολαίου ή (του σχεδίου) της συγκρίσιμης εγγύησης.

Κατευθυντήρια γραμμή 8: Πλαίσιο διακυβέρνησης και μηχανισμοί εσωτερικού ελέγχου

8.1. Ο αιτών θα πρέπει να παρέχει περιγραφή του πλαισίου διακυβέρνησης και των μηχανισμών εσωτερικού ελέγχου, η οποία θα περιλαμβάνει:

• α. χαρτογράφηση των κινδύνων που εντοπίζονται από τον αιτούντα, συμπεριλαμβανομένων του είδους των κινδύνων και των διαδικασιών που θα εφαρμόσει ο αιτών για την αξιολόγηση και την πρόληψη των εν λόγω κινδύνων, σε σχέση με τις υπηρεσίες ηλεκτρονικού χρήματος και, κατά περίπτωση, τις υπηρεσίες πληρωμών·
• β. τις διάφορες διαδικασίες για τη διεξαγωγή των περιοδικών και μόνιμων ελέγχων, συμπεριλαμβανομένης της συχνότητας και των ανθρώπινων πόρων που διατίθενται για τη διεξαγωγή τους·
• γ. τις λογιστικές διαδικασίες μέσω των οποίων ο αιτών θα καταχωρίζει και θα υποβάλλει τις χρηματοοικονομικές πληροφορίες του·
• δ. την ταυτότητα του ή των προσώπων που είναι αρμόδια για τα καθήκοντα εσωτερικού ελέγχου, συμπεριλαμβανομένου του περιοδικού ελέγχου, του μόνιμου ελέγχου και του ελέγχου συμμόρφωσης, καθώς και ενημερωμένο βιογραφικό σημείωμα·
• ε. την ταυτότητα τυχόν ελεγκτή που δεν είναι νόμιμος ελεγκτής δυνάμει της οδηγίας 2006/43/ΕΚ· στ. τη σύνθεση του διοικητικού του οργάνου και, κατά περίπτωση, τυχόν άλλου οργάνου ή επιτροπής εποπτείας·

δραστηριοτήτων εξωτερικής ανάθεσης ώστε να αποφεύγεται το ενδεχόμενο υποβάθμισης της ποιότητας των εσωτερικών ελέγχων του ιδρύματος ηλεκτρονικού χρήματος·

υποκαταστημάτων και διανομέων στο πλαίσιο του συστήματος εσωτερικού ελέγχου του αιτούντος·

• θ. σε περίπτωση που ο αιτών είναι η θυγατρική επιχείρηση ρυθμιζόμενης οντότητας σε άλλο κράτος μέλος της ΕΕ, περιγραφή της διακυβέρνησης του ομίλου.

Κατευθυντήρια γραμμή 9: Διαδικασία ελέγχου, διαχείρισης και παρακολούθησης περιστατικών ασφαλείας και παραπόνων των πελατών για ζητήματα σχετικά με την ασφάλεια

9.1. Ο αιτών θα πρέπει να παρέχει περιγραφή της εφαρμοζόμενης διαδικασίας για τον έλεγχο, τη διαχείριση και την παρακολούθηση των περιστατικών ασφαλείας και των παραπόνων των πελατών για ζητήματα σχετικά με την ασφάλεια, η οποία θα πρέπει να περιλαμβάνει τα ακόλουθα:

• α. οργανωτικά μέτρα και εργαλεία για την πρόληψη της απάτης·
• β. στοιχεία των ατόμων και των οργάνων που είναι αρμόδια για την παροχή βοήθειας στους πελάτες σε περιπτώσεις απάτης, τεχνικών προβλημάτων και/ή διαχείρισης αξιώσεων·
• γ. γραμμές αναφοράς σε περίπτωση απάτης·
• δ. το σημείο επαφής για τους πελάτες, συμπεριλαμβανομένων του ονόματος και της διεύθυνσης ηλεκτρονικού ταχυδρομείου·
• ε. τις διαδικασίες για την αναφορά περιστατικών, συμπεριλαμβανομένης της κοινοποίησης των αναφορών αυτών σε εσωτερικά ή εξωτερικά όργανα, μεταξύ άλλων, για τους αιτούντες που προτίθενται να παρέχουν υπηρεσίες πληρωμών επιπλέον των υπηρεσιών ηλεκτρονικού χρήματος, τη γνωστοποίηση μειζόνων συμβάντων στις εθνικές αρμόδιες αρχές δυνάμει του άρθρου 96 της οδηγίας PSD2, και σύμφωνα με τις κατευθυντήριες γραμμές της ΕΑΤ σχετικά με την υποβολή αναφορών συμβάντων κατ' εφαρμογή του εν λόγω άρθρου· στ. τα εργαλεία ελέγχου που χρησιμοποιούνται και τα μέτρα και τις διαδικασίες παρακολούθησης που εφαρμόζονται για τη μείωση των κινδύνων ασφάλειας.

Κατευθυντήρια γραμμή 10: Διαδικασία αρχειοθέτησης, παρακολούθησης, εντοπισμού και περιορισμού της πρόσβασης σε ευαίσθητα δεδομένα πληρωμών

10.1. Ο αιτών θα πρέπει να παρέχει περιγραφή της εφαρμοζόμενης διαδικασίας αρχειοθέτησης, παρακολούθησης, εντοπισμού και περιορισμού της πρόσβασης σε ευαίσθητα δεδομένα πληρωμών, η οποία θα πρέπει να περιλαμβάνει:

• α. περιγραφή των ροών δεδομένων που χαρακτηρίζονται ως ευαίσθητα δεδομένα πληρωμών στο πλαίσιο του επιχειρηματικού μοντέλου του ιδρύματος ηλεκτρονικού χρήματος·
• β. τις εφαρμοζόμενες διαδικασίες για τη χορήγηση πρόσβασης σε ευαίσθητα δεδομένα πληρωμών·
• γ. περιγραφή του εργαλείου παρακολούθησης·
• δ. την πολιτική όσον αφορά το δικαίωμα πρόσβασης, με αναλυτική περιγραφή της

συμπεριλαμβανομένων των βάσεων δεδομένων και των εφεδρικών υποδομών·

• ε. περιγραφή του τρόπου αρχειοθέτησης των δεδομένων που συλλέγονται·

στ. την προβλεπόμενη εσωτερική και/ή εξωτερική χρήση των δεδομένων που συλλέγονται, μεταξύ άλλων και από τους αντισυμβαλλομένους·

• ζ. το σύστημα πληροφορικής και τα τεχνικά μέτρα ασφάλειας που έχουν τεθεί σε εφαρμογή συμπεριλαμβανομένης της κρυπτογράφησης και/ή της τεχνολογίας tokenisation·
• η. προσδιορισμό των ατόμων, των οργάνων και/ή των επιτροπών που έχουν πρόσβαση σε ευαίσθητα δεδομένα πληρωμών·
• θ. επεξήγηση του τρόπου εντοπισμού και αντιμετώπισης παραβιάσεων·
• ι. ετήσιο πρόγραμμα εσωτερικού ελέγχου όσον αφορά την ασφάλεια των συστημάτων πληροφορικής.

Κατευθυντήρια γραμμή 11: Ρυθμίσεις επιχειρησιακής συνέχειας

11.1. Ο αιτών θα πρέπει να παρέχει περιγραφή των ρυθμίσεων επιχειρησιακής συνέχειας η οποία θα περιλαμβάνει τις ακόλουθες πληροφορίες:

• α. ανάλυση επιχειρηματικών επιπτώσεων, συμπεριλαμβανομένων των επιχειρηματικών διαδικασιών και των στόχων αποκατάστασης, όπως οι στόχοι ως προς τον χρόνο αποκατάστασης, οι στόχοι ως προς το σημείο αποκατάστασης και τα προστατευόμενα στοιχεία ενεργητικού·
• β. τον προσδιορισμό της εφεδρικής τοποθεσίας, της πρόσβασης σε υποδομές πληροφορικής, καθώς και του βασικού λογισμικού και των βασικών δεδομένων που πρέπει να ανακτηθούν σε περίπτωση καταστροφής ή διαταραχής·
• γ. επεξήγηση του τρόπου με τον οποίο ο αιτών θα αντιμετωπίζει σημαντικά συμβάντα και διαταραχές της επιχειρησιακής συνέχειας, όπως βλάβη βασικών συστημάτων, απώλεια βασικών δεδομένων, αδυναμία πρόσβασης στις εγκαταστάσεις, απώλεια βασικών προσώπων·
• δ. τη συχνότητα με την οποία ο αιτών προτίθεται να προβαίνει σε δοκιμές των σχεδίων επιχειρησιακής συνέχειας και αποκατάστασης λειτουργίας έπειτα από καταστροφή, συμπεριλαμβανομένου του τρόπου καταγραφής των αποτελεσμάτων των δοκιμών·

διασφάλιση της εκτέλεσης των πράξεων πληρωμών που εκκρεμούν και την καταγγελία των ισχυουσών συμβάσεων.

Κατευθυντήρια γραμμή 12: Οι αρχές και οι ορισμοί που εφαρμόζονται για τη συλλογή στατιστικών στοιχείων επίδοσης, συναλλαγών και απάτης

12.1. Ο αιτών θα πρέπει να παρέχει περιγραφή των αρχών και των ορισμών που εφαρμόζονται για τη συλλογή στατιστικών στοιχείων επίδοσης, συναλλαγών και απάτης, η οποία θα περιλαμβάνει τις ακόλουθες πληροφορίες:

• α. το είδος των δεδομένων που συλλέγονται, σε σχέση με τους πελάτες, το είδος της υπηρεσίας πληρωμών, τον δίαυλο, το μέσο, τις περιοχές δικαιοδοσίας και τα νομίσματα·
• β. το πεδίο εφαρμογής της συλλογής, από την άποψη των σχετικών δραστηριοτήτων και οντοτήτων, συμπεριλαμβανομένων των υποκαταστημάτων, των αντιπροσώπων και των διανομέων·
• γ. τον τρόπο συλλογής·
• δ. τον σκοπό της συλλογής·
• ε. τη συχνότητα της συλλογής· στ. υποστηρικτικά έγγραφα, όπως εγχειρίδιο, στα οποία περιγράφεται ο τρόπος λειτουργίας του συστήματος.

Κατευθυντήρια γραμμή 13: Έγγραφο που περιγράφει την πολιτική ασφάλειας

13.1. Ο αιτών θα πρέπει να παρέχει έγγραφο που περιγράφει την πολιτική ασφάλειας στο πλαίσιο της ή των υπηρεσιών ηλεκτρονικού χρήματος που παρέχει και, κατά περίπτωση, στο πλαίσιο της ή των υπηρεσιών πληρωμών, το οποίο θα περιλαμβάνει τις ακόλουθες πληροφορίες:

• α. λεπτομερή αξιολόγηση των κινδύνων της ή των υπηρεσιών ηλεκτρονικού χρήματος και, κατά περίπτωση, της ή των υπηρεσιών πληρωμών που προτίθεται να παρέχει ο αιτών, η οποία θα πρέπει να περιλαμβάνει τους κινδύνους απάτης και τον έλεγχο της ασφάλειας, καθώς και τα μέτρα μείωσης των κινδύνων που θα λαμβάνονται για την επαρκή προστασία των χρηστών των υπηρεσιών ηλεκτρονικού χρήματος και, κατά περίπτωση, των χρηστών υπηρεσιών πληρωμών έναντι των κινδύνων που εντοπίζονται·
• β. περιγραφή των συστημάτων πληροφορικής, η οποία θα πρέπει να περιλαμβάνει:
• i. την αρχιτεκτονική των συστημάτων και τα στοιχεία δικτύου τους·
• ii. τα επιχειρηματικά συστήματα πληροφορικής που υποστηρίζουν τις παρεχόμενες επιχειρηματικές δραστηριότητες, όπως ο ιστότοπος του αιτούντος, πορτοφόλια, η μηχανή πληρωμής, η μηχανή διαχείρισης του κινδύνου και της απάτης, καθώς και η λογιστική πελατών·
• iii. τα υποστηρικτικά συστήματα πληροφορικής που χρησιμοποιούνται για την οργάνωση και τη διαχείριση του ιδρύματος ηλεκτρονικού χρήματος, όπως τα συστήματα λογιστικής, τα συστήματα της εκ του νόμου προβλεπόμενης υποβολής εκθέσεων, η διαχείριση προσωπικού, η διαχείριση των σχέσεων με

διακομιστές αρχείων·

• iv. πληροφορίες σχετικά με το αν τα συστήματα αυτά χρησιμοποιούνται ήδη από το ίδρυμα ηλεκτρονικού χρήματος ή τον όμιλο στον οποίο ανήκει, και την εκτιμώμενη ημερομηνία εφαρμογής, κατά περίπτωση·
• γ. το είδος των εξουσιοδοτημένων εξωτερικών συνδέσεων, όπως με εταίρους, παρόχους

συμπεριλαμβανομένης της αιτιολόγησης των συνδέσεων αυτών·

• δ. για καθεμία από τις συνδέσεις που αναφέρονται στο στοιχείο γ), τα μέτρα και τους μηχανισμούς λογικής ασφάλειας που εφαρμόζονται, με προσδιορισμό του ελέγχου που θα ασκεί το ίδρυμα ηλεκτρονικού χρήματος όσον αφορά την πρόσβαση αυτή, καθώς και της φύσης και της συχνότητας κάθε ελέγχου, π.χ. τεχνικός έλεγχος έναντι οργανωτικού ελέγχου, προληπτικός έλεγχος έναντι ελέγχου εντοπισμού, και παρακολούθηση σε πραγματικό χρόνο έναντι τακτικών ελέγχων, όπως η χρήση ενεργού καταλόγου (active directory) χωριστά από τον όμιλο, το άνοιγμα/κλείσιμο των γραμμών επικοινωνίας, η διάρθρωση του εξοπλισμού ασφάλειας, παραγωγή κλειδιών ή πιστοποιητικών ελέγχου ταυτότητας πελάτη, παρακολούθηση συστήματος, έλεγχος ταυτότητας, απόρρητο της επικοινωνίας, εντοπισμός εισβολών, συστήματα προστασίας από ιούς και αρχεία καταγραφής ιών·
• ε. τα μέτρα και τους μηχανισμούς λογικής ασφάλειας που διέπουν την εσωτερική πρόσβαση σε συστήματα πληροφορικής, που θα πρέπει να περιλαμβάνουν:
• i. τον τεχνικό και οργανωτικό χαρακτήρα και τη συχνότητα κάθε μέτρου, όπως αν πρόκειται για προληπτικό μέτρο ή μέτρο εντοπισμού ή κατά πόσον εφαρμόζεται ή όχι σε πραγματικό χρόνο·
• ii. τον τρόπο αντιμετώπισης του ζητήματος του διαχωρισμού του περιβάλλοντος πελάτη σε περίπτωση κοινής χρήσης των πόρων πληροφορικής του αιτούντος·

στ. τα μέτρα και τους μηχανισμούς φυσικής ασφάλειας των εγκαταστάσεων και του κέντρου δεδομένων του αιτούντος, όπως έλεγχοι πρόσβασης και ασφάλεια περιβάλλοντος·

• ζ. την ασφάλεια του ηλεκτρονικού χρήματος και, κατά περίπτωση, των διαδικασιών πληρωμής, που θα πρέπει να περιλαμβάνει:
• i. τη διαδικασία ελέγχου ταυτότητας των πελατών που χρησιμοποιείται στο πλαίσιο της παροχής πρόσβασης, τόσο για σκοπούς ενημέρωσης όσο και για την εκτέλεση συναλλαγών, καθώς και όλων των υποκείμενων μέσων πληρωμής·
• ii. επεξήγηση του τρόπου με τον οποίο διασφαλίζονται η ασφαλής παράδοση στον νόμιμο χρήστη των υπηρεσιών ηλεκτρονικού χρήματος και, κατά περίπτωση, στον χρήστη υπηρεσίας πληρωμών και η ακεραιότητα των παραγόντων ελέγχου ταυτότητας, όπως hardware tokens και εφαρμογές κινητών συσκευών, τόσο κατά τον χρόνο της αρχικής εγγραφής όσο και κατά τον χρόνο της ανανέωσης·
• iii. περιγραφή των συστημάτων και των διαδικασιών που εφαρμόζει το ίδρυμα ηλεκτρονικού χρήματος για την ανάλυση των συναλλαγών και τον εντοπισμό ύποπτων ή ασυνήθιστων συναλλαγών·
• η. λεπτομερή αξιολόγηση των κινδύνων των οικείων υπηρεσιών ηλεκτρονικού χρήματος και, κατά περίπτωση, των οικείων υπηρεσιών πληρωμών, συμπεριλαμβανομένης της απάτης, με σύνδεσμο προς τα μέτρα ελέγχου και μείωσης των κινδύνων που αναλύονται στον φάκελο της αίτησης, από όπου να αποδεικνύεται ότι οι κίνδυνοι αντιμετωπίζονται·
• θ. κατάλογο των βασικών γραπτών διαδικασιών που αφορούν τα συστήματα πληροφορικής του αιτούντος ή, για διαδικασίες που δεν έχουν ακόμη οριστικοποιηθεί, την εκτιμώμενη ημερομηνία ολοκλήρωσης.

Κατευθυντήρια γραμμή 14: Μηχανισμοί εσωτερικού ελέγχου για τη διασφάλιση της συμμόρφωσης με τις υποχρεώσεις που αφορούν τη νομιμοποίηση εσόδων από παράνομες δραστηριότητες και τη χρηματοδότηση της τρομοκρατίας (υποχρεώσεις ΚΞΧ/ΧΤ)

14.1 Η περιγραφή των μηχανισμών εσωτερικού ελέγχου που έχει δημιουργήσει ο αιτών προκειμένου να συμμορφώνεται, κατά περίπτωση, με τις εν λόγω υποχρεώσεις θα πρέπει να περιλαμβάνει τις ακόλουθες πληροφορίες:

• α. την αξιολόγηση του αιτούντος όσον αφορά τους κινδύνους νομιμοποίησης εσόδων από παράνομες δραστηριότητες και χρηματοδότησης της τρομοκρατίας που συνδέονται με την επιχειρηματική του δραστηριότητα, συμπεριλαμβανομένων των κινδύνων που συνδέονται με την πελατειακή βάση του αιτούντος, τα προϊόντα και τις υπηρεσίες που παρέχονται, τους διαύλους διανομής που χρησιμοποιούνται και τις γεωγραφικές περιοχές δραστηριοποίησης·
• β. τα μέτρα που έχει θεσπίσει ή πρόκειται να θεσπίσει ο αιτών για τη μείωση των κινδύνων και τη συμμόρφωση με τις εφαρμοστέες υποχρεώσεις καταπολέμησης της νομιμοποίησης εσόδων από παράνομες δραστηριότητες και της χρηματοδότησης της τρομοκρατίας, τις πολιτικές και τις διαδικασίες συμμόρφωσης με τις απαιτήσεις δέουσας επιμέλειας ως προς τον πελάτη, καθώς και τις πολιτικές και τις διαδικασίες για τον εντοπισμό και την αναφορά ύποπτων συναλλαγών ή δραστηριοτήτων·
• γ. τα συστήματα και τους ελέγχους που έχει θεσπίσει ή πρόκειται να θεσπίσει ο αιτών για να διασφαλίζει ότι τα υποκαταστήματα, οι αντιπρόσωποι και οι διανομείς του συμμορφώνονται με τις εφαρμοστέες απαιτήσεις καταπολέμησης της νομιμοποίησης εσόδων από παράνομες δραστηριότητες και της χρηματοδότησης της τρομοκρατίας, συμπεριλαμβανομένων των περιπτώσεων στις οποίες ο αντιπρόσωπος, ο διανομέας ή το υποκατάστημα βρίσκονται σε άλλο κράτος μέλος·
• δ. ρυθμίσεις που εφαρμόζει ή θα εφαρμόσει ο αιτών για να διασφαλίζει ότι το προσωπικό και οι αντιπρόσωποι και διανομείς του έχουν λάβει κατάλληλη κατάρτιση σε ζητήματα καταπολέμησης της νομιμοποίησης εσόδων από παράνομες δραστηριότητες και της χρηματοδότησης της τρομοκρατίας·
• ε. την ταυτότητα του προσώπου που είναι αρμόδιο για τη διασφάλιση της συμμόρφωσης του αιτούντος με τις υποχρεώσεις καταπολέμησης της νομιμοποίησης εσόδων από παράνομες δραστηριότητες και της χρηματοδότησης της τρομοκρατίας, και αποδείξεις ότι η εμπειρία και οι γνώσεις του στον τομέα της καταπολέμησης της νομιμοποίησης εσόδων από παράνομες δραστηριότητες και της χρηματοδότησης της τρομοκρατίας επαρκούν ώστε να είναι σε θέση να εκτελεί τα εν λόγω καθήκοντα με αποτελεσματικό τρόπο·

στ. τα συστήματα και τους ελέγχους που έχει θεσπίσει ή πρόκειται να θεσπίσει ο αιτών για να διασφαλίζει ότι πολιτικές και οι διαδικασίες που εφαρμόζει για την καταπολέμηση της νομιμοποίησης εσόδων από παράνομες δραστηριότητες και της χρηματοδότησης της τρομοκρατίας παραμένουν ενημερωμένες, αποτελεσματικές και συναφείς·

• ζ. τα συστήματα και τους ελέγχους που έχει θεσπίσει ή πρόκειται να θεσπίσει ο αιτών για να διασφαλίζει ότι οι αντιπρόσωποι και οι διανομείς δεν εκθέτουν τον αιτούντα σε αυξημένους κινδύνους νομιμοποίησης εσόδων από παράνομες δραστηριότητες και χρηματοδότησης της τρομοκρατίας·
• η. το εγχειρίδιο σχετικά με την καταπολέμηση της νομιμοποίησης εσόδων από παράνομες δραστηριότητες και της χρηματοδότησης της τρομοκρατίας για το προσωπικό του αιτούντος.

Κατευθυντήρια γραμμή 15: Ταυτότητα και αξιολόγηση της καταλληλότητας των προσώπων που κατέχουν ειδικές συμμετοχές στον αιτούντα

15.1 Για τους σκοπούς της ταυτοποίησης και της απόδειξης της καταλληλότητας των προσώπων με ειδικές συμμετοχές στο ίδρυμα ηλεκτρονικού χρήματος που υποβάλλει αίτηση, και με την επιφύλαξη της αξιολόγησης βάσει των κριτηρίων, κατά περίπτωση, που θεσπίζονται στην οδηγία 2007/44/ΕΚ και προσδιορίζονται στις κοινές κατευθυντήριες γραμμές για την προληπτική αξιολόγηση της απόκτησης ειδικών συμμετοχών (EBA/GL/2017/08), ο αιτών θα πρέπει να υποβάλει τις ακόλουθες πληροφορίες:

επιχείρησης, κατά περίπτωση·

• β. διάγραμμα στο οποίο παρουσιάζεται η μετοχική σύνθεση του αιτούντος, συμπεριλαμβανομένων των ακόλουθων στοιχείων:
• i. το όνομα και το ποσοστό συμμετοχής (κεφάλαιο/δικαιώματα ψήφου) κάθε προσώπου που έχει ή θα έχει άμεση συμμετοχή στο μετοχικό κεφάλαιο του αιτούντος, με προσδιορισμό των προσώπων που θεωρείται ότι έχουν ειδική συμμετοχή και των λόγων για αυτή την ειδική συμμετοχή·
• ii. το όνομα και το ποσοστό συμμετοχής (κεφάλαιο/δικαιώματα ψήφου) κάθε προσώπου που έχει ή θα έχει έμμεση συμμετοχή στο μετοχικό κεφάλαιο του αιτούντος, με προσδιορισμό των προσώπων που θεωρείται ότι έχουν έμμεση ειδική συμμετοχή και των λόγων για αυτή την ειδική συμμετοχή·
• γ. κατάλογο των ονομάτων όλων των προσώπων και άλλων οντοτήτων που έχουν ή, σε περίπτωση αδειοδότησης, θα έχουν ειδικές συμμετοχές στο κεφάλαιο του αιτούντος, με αναφορά για κάθε τέτοιο πρόσωπο ή οντότητα:
• i. του αριθμού και του είδους των μετοχών ή άλλων συμμετοχών που έχουν εκδοθεί ή πρόκειται να εκδοθούν·
• ii. της ονομαστικής αξίας των εν λόγω μετοχών ή άλλων συμμετοχών.

15.2 Εάν ένα πρόσωπο το οποίο έχει ή, σε περίπτωση αδειοδότησης, θα έχει ειδική συμμετοχή στο κεφάλαιο του αιτούντος είναι φυσικό πρόσωπο, στην αίτηση θα πρέπει να αναφέρονται όλες οι πληροφορίες σχετικά με την ταυτότητα και την καταλληλότητα του εν λόγω προσώπου που παρατίθενται κατωτέρω:

• α. το όνομα και το επώνυμο του προσώπου κατά τη γέννηση, η ημερομηνία και ο τόπος γέννησης, η ιθαγένεια (τρέχουσα και προηγούμενες), ο αριθμός ταυτότητας (όπου διατίθεται) ή ο αριθμός διαβατηρίου, η διεύθυνση και αντίγραφο επίσημου εγγράφου ταυτότητας·
• β. αναλυτικό βιογραφικό σημείωμα στο οποίο αναφέρονται η εκπαίδευση και κατάρτιση, η προηγούμενη επαγγελματική πείρα, καθώς και τυχόν επαγγελματικές δραστηριότητες ή άλλα καθήκοντα που ασκούνται επί του παρόντος·
• γ. δήλωση, συνοδευόμενη από αποδεικτικά έγγραφα, η οποία περιλαμβάνει τις ακόλουθες πληροφορίες σχετικά με το πρόσωπο:
• i. με την επιφύλαξη εθνικών νομοθετικών απαιτήσεων σχετικά με τη δημοσιοποίηση καταδικών που έχουν διαγραφεί από το ποινικό μητρώο, τυχόν ποινική καταδίκη ή διαδικασία κατά την οποία το πρόσωπο κρίθηκε ένοχο και η οποία δεν ακυρώθηκε·
• ii. τυχόν αστική ή διοικητική απόφαση που αφορά ζητήματα σχετικά με τη διαδικασία αξιολόγησης ή αδειοδότησης, στο πλαίσιο της οποίας το πρόσωπο έχει κριθεί ένοχο, και τυχόν διοικητικές κυρώσεις ή μέτρα που έχουν επιβληθεί συνεπεία παραβίασης νόμων ή κανονισμών (συμπεριλαμβανομένης της παύσης από τη θέση του διευθυντή εταιρείας), σε κάθε περίπτωση στην οποία η απόφαση δεν ακυρώθηκε και δεν έχει ασκηθεί ή δεν δύναται να ασκηθεί προσφυγή κατά της απόφασης αυτής·
• iii. τυχόν διαδικασία πτώχευσης, αφερεγγυότητας ή παρόμοια διαδικασία·
• iv. τυχόν εκκρεμείς ποινικές έρευνες·
• v. τυχόν αστικές ή διοικητικές έρευνες, διαδικασίες εκτέλεσης, κυρώσεις ή άλλες αποφάσεις επιβολής που έχουν εκδοθεί εις βάρος του προσώπου και αφορούν ζητήματα τα οποία μπορεί να θεωρηθούν συναφή για τη λήψη άδειας άσκησης της δραστηριότητας ιδρύματος ηλεκτρονικού χρήματος ή για τη χρηστή και συνετή διαχείριση ιδρύματος ηλεκτρονικού χρήματος·
• vi. σε περίπτωση που είναι δυνατή η απόκτηση τέτοιων εγγράφων, επίσημη βεβαίωση ή οποιοδήποτε άλλο ισοδύναμο έγγραφο που αποδεικνύει αν έχει επέλθει οποιοδήποτε από τα γεγονότα που παρατίθενται στα σημεία i) - v) σε σχέση με το οικείο πρόσωπο·
• vii. τυχόν απόρριψη αίτησης καταχώρισης, αδειοδότησης, συμμετοχής ή χορήγησης άδειας για την άσκηση εμπορικής, επιχειρηματικής ή επαγγελματικής δραστηριότητας·
• viii. τυχόν απόσυρση, ανάκληση ή διακοπή καταχώρισης, αδειοδότησης, συμμετοχής ή χορήγησης άδειας για την άσκηση εμπορικής, επιχειρηματικής ή επαγγελματικής δραστηριότητας·
• ix. τυχόν αποπομπή από αρχή ή οντότητα του δημόσιου τομέα στον κλάδο των χρηματοοικονομικών υπηρεσιών ή από επαγγελματικό φορέα ή ένωση·
• x. τυχόν θέση ευθύνης σε οντότητα που αποτελεί αντικείμενο ποινικής καταδίκης ή διαδικασίας, διοικητικής έρευνας, κυρώσεων ή άλλων αποφάσεων εκτέλεσης για επαγγελματικό παράπτωμα, μεταξύ άλλων σε σχέση με απάτη, δόλια συμπεριφορά, διαφθορά, νομιμοποίηση εσόδων από παράνομες δραστηριότητες, χρηματοδότηση της τρομοκρατίας ή άλλο οικονομικό έγκλημα, ή σε σχέση με τη μη εφαρμογή κατάλληλων πολιτικών και διαδικασιών για την πρόληψη τέτοιων γεγονότων, την οποία το πρόσωπο κατείχε κατά τον χρόνο τέλεσης του εικαζόμενου παραπτώματος, καθώς και λεπτομέρειες σχετικά με τέτοιου είδους περιστατικά και με την ενδεχομένη ανάμειξη του προσώπου σε αυτά·
• xi. τυχόν απομάκρυνση από θέση απασχόλησης ή από θέση εμπιστοσύνης, καταπιστευματικής σχέσης (πέραν της περίπτωσης τερματισμού της αντίστοιχης σχέσης λόγω παρέλευσης χρόνου) ή άλλης παρόμοιας περίπτωσης·
• δ. κατάλογος των επιχειρήσεων τις οποίες το πρόσωπο διευθύνει ή ελέγχει και για τις οποίες ο αιτών λαμβάνει γνώση κατόπιν δέουσας και προσεκτικής έρευνας· το ποσοστό άμεσου ή έμμεσου ελέγχου στις εταιρείες αυτές· το καθεστώς τους (αν είναι ή όχι ενεργές, αν έχουν εκκαθαριστεί κ.λπ.)· και περιγραφή της διαδικασίας αφερεγγυότητας ή παρόμοιας διαδικασίας·
• ε. σε περίπτωση που έχει ήδη διενεργηθεί αξιολόγηση της φήμης του προσώπου από αρμόδια αρχή του τομέα των χρηματοοικονομικών υπηρεσιών, η ταυτότητα της εν λόγω αρχής και το αποτέλεσμα της αξιολόγησης·

στ. η τρέχουσα χρηματοοικονομική θέση του προσώπου, περιλαμβανομένων αναλυτικών στοιχείων σχετικά με τις πηγές εσόδων, τα περιουσιακά στοιχεία και τις υποχρεώσεις, τις ασφάλειες και τις εγγυήσεις, είτε έχουν χορηγηθεί είτε ληφθεί·

• ζ. περιγραφή τυχόν δεσμών με πολιτικώς εκτεθειμένα πρόσωπα, όπως ορίζονται στο άρθρο 3 σημείο 9 της οδηγίας (ΕΕ) 2015/849⁴ .

15.3 Εάν ένα πρόσωπο ή μια οντότητα έχει ή, σε περίπτωση αδειοδότησης, θα έχει ειδική συμμετοχή στο κεφάλαιο του αιτούντος (συμπεριλαμβανομένων οντοτήτων που δεν είναι νομικά πρόσωπα και οι οποίες διατηρούν ή θα πρέπει να διατηρούν τη συμμετοχή στο όνομά τους), στην αίτηση θα πρέπει να περιλαμβάνονται οι πληροφορίες σχετικά με την ταυτότητα και την καταλληλότητα του εν λόγω νομικού προσώπου ή της εν λόγω οντότητας που παρατίθενται κατωτέρω:

• α. όνομα·
• β. αν το νομικό πρόσωπο ή η οντότητα έχει καταχωριστεί σε κεντρικό μητρώο, εμπορικό μητρώο, μητρώο επιχειρήσεων ή παρόμοιο μητρώο που έχει τους ίδιους σκοπούς με τα προαναφερόμενα, αντίγραφο ενημερότητας, εάν υπάρχει, ή άλλως, πιστοποιητικό καταχώρισης·
• γ. οι διευθύνσεις της καταστατική έδρας και, εάν είναι διαφορετική, των κεντρικών γραφείων, και της κύριας εγκατάστασης·
• δ. στοιχεία επικοινωνίας·
• ε. εταιρικά έγγραφα ή, σε περίπτωση που το πρόσωπο ή η οντότητα έχει καταχωριστεί σε άλλο κράτος μέλος, σύνοψη στην οποία αναλύονται τα βασικά νομικά χαρακτηριστικά της νομικής μορφής της οντότητας· στ. αν το νομικό πρόσωπο ή η οντότητα υπόκειτο κατά το παρελθόν, ή υπόκειται επί του παρόντος, σε ρύθμιση από αρμόδια αρχή του τομέα των χρηματοοικονομικών υπηρεσιών ή από άλλο κρατικό φορέα·
• ζ. σε περίπτωση που είναι δυνατή η απόκτηση τέτοιων εγγράφων, επίσημη βεβαίωση ή οποιοδήποτε άλλο ισοδύναμο έγγραφο που αποδεικνύει τις οριζόμενες στα στοιχεία α) έως ε) πληροφορίες και που έχει εκδοθεί από την αντίστοιχη αρμόδια αρχή·
• η. οι πληροφορίες που αναφέρονται στην κατευθυντήρια γραμμή 15 σημείο 2 στοιχεία γ), δ), ε), στ) και ζ) σε σχέση με το νομικό πρόσωπο ή την οντότητα·
• θ. κατάλογος που περιλαμβάνει τα στοιχεία κάθε προσώπου που διευθύνει πράγματι την

ονοματεπωνύμου τους, της ημερομηνίας και του τόπου γέννησης, της διεύθυνσης, του εθνικού αριθμού μητρώου τους, ανάλογα με την περίπτωση, και λεπτομερούς βιογραφικού σημειώματος (στο οποίο αναφέρονται η σχετική εκπαίδευση και

δραστηριότητες ή άλλα καθήκοντα που ασκούνται επί του παρόντος), καθώς και τις πληροφορίες που αναφέρονται στην κατευθυντήρια γραμμή 15 σημείο 2 στοιχεία γ) και

• δ) σε σχέση με καθένα από τα εν λόγω πρόσωπα·
• ι. η μετοχική σύνθεση του νομικού προσώπου, συμπεριλαμβανομένων τουλάχιστον του ονοματεπωνύμου τους, της ημερομηνίας και του τόπου γέννησης, της διεύθυνσης και, εφόσον διατίθεται, του προσωπικού αριθμού ταυτότητας ή του αριθμού μητρώου τους, καθώς και το αντίστοιχο ποσοστό επί του κεφαλαίου και των δικαιωμάτων ψήφου των άμεσων ή έμμεσων μετόχων ή μελών και πραγματικών δικαιούχων, όπως ορίζονται στο άρθρο 3 σημείο 6 της οδηγίας (ΕΕ) 2015/849·

ια. περιγραφή του ρυθμιζόμενου χρηματοοικονομικού ομίλου στον οποίο ανήκει ή ενδέχεται να συμμετάσχει ο αιτών, με αναφορά της μητρικής επιχείρησης και των πιστωτικών, ασφαλιστικών και εγγυητικών οντοτήτων εντός του ομίλου· το όνομα των αρμόδιων αρχών τους (σε μεμονωμένη ή ενοποιημένη βάση)· και

ιβ. ετήσιες οικονομικές καταστάσεις, σε μεμονωμένο επίπεδο και, κατά περίπτωση, σε ενοποιημένο και υπο - ενοποιημένο επίπεδο ομίλου, για τα τελευταία τρία οικονομικά έτη, σε περίπτωση που το νομικό πρόσωπο ή η οντότητα ήταν σε λειτουργία κατά το εν λόγω χρονικό διάστημα (ή, αν η περίοδος λειτουργίας είναι μικρότερη από τρία έτη, για το χρονικό διάστημα κατά το οποίο το νομικό πρόσωπο ή η οντότητα ήταν σε λειτουργία και για το οποίο έχουν καταρτιστεί οικονομικές καταστάσεις), εγκεκριμένες από τον νόμιμο ελεγκτή ή το ελεγκτικό γραφείο κατά την έννοια της οδηγίας 2006/43/ΕΚ⁵ , κατά περίπτωση, συμπεριλαμβανομένου καθενός από τα ακόλουθα στοιχεία:

• i. του ισολογισμού·
• ii. των αποτελεσμάτων χρήσης ή της κατάστασης λογαριασμού αποτελεσμάτων·
• iii. των ετήσιων εκθέσεων και των χρηματοοικονομικών παραρτημάτων, καθώς και τυχόν άλλων εγγράφων που καταχωρίζονται στο αντίστοιχο μητρώο ή στην αρμόδια αρχή του νομικού προσώπου·

ιγ. εάν το νομικό πρόσωπο δεν δραστηριοποιείται επί αρκετά μεγάλο χρονικό διάστημα ώστε να υποχρεούται να καταρτίσει δηλώσεις οικονομικής κατάστασης για τα τρία οικονομικά έτη που προηγούνται της ημερομηνίας υποβολής της αίτησης, η αίτηση περιλαμβάνει τις υφιστάμενες δηλώσεις οικονομικής κατάστασης (εάν υπάρχουν)·

ιδ. εάν τα κεντρικά γραφεία του νομικού προσώπου ή της οντότητας βρίσκονται σε τρίτη χώρα, γενικές πληροφορίες σχετικά με το ρυθμιστικό καθεστώς της εν λόγω τρίτης χώρας που εφαρμόζεται στο νομικό πρόσωπο ή στην οντότητα, συμπεριλαμβανομένων των πληροφοριών σχετικά με τον βαθμό στον οποίο το καθεστώς της τρίτης χώρας όσον

χρηματοδότηση της τρομοκρατίας είναι συνεπές με τις συστάσεις της ομάδας χρηματοπιστωτικής δράσης (Financial Action Task Force)·

ιε. για τις οντότητες που δεν έχουν νομική προσωπικότητα, όπως οι οργανισμοί συλλογικών επενδύσεων, τα κρατικά επενδυτικά ταμεία ή οι εταιρείες καταπιστευματικής διαχείρισης, η αίτηση θα περιλαμβάνει τις ακόλουθες πληροφορίες:

• i. την ταυτότητα των προσώπων που διαχειρίζονται στοιχεία ενεργητικού και των προσώπων που είναι δικαιούχοι ή συνδρομητές, κάτοχοι μονάδας που ελέγχουν τον οργανισμό συλλογικών επενδύσεων ή που διαθέτουν συμμετοχή η οποία τους επιτρέπει να αποτρέπουν τη λήψη αποφάσεων από τον οργανισμό συλλογικών επενδύσεων·
• ii. αντίγραφο του εγγράφου με το οποίο συστάθηκε και από το οποίο διέπεται η οντότητα, συμπεριλαμβανομένης της επενδυτικής πολιτικής και τυχόν επενδυτικών περιορισμών που ισχύουν για την οντότητα. 15.4 Η αίτηση περιλαμβάνει όλες τις πληροφορίες που παρατίθενται κατωτέρω για κάθε φυσικό ή νομικό πρόσωπο ή οντότητα που έχει ή, σε περίπτωση αδειοδότησης, θα έχει ειδική συμμετοχή στο κεφάλαιο του αιτούντος:
• α. αναλυτικά στοιχεία των χρηματοοικονομικών ή επιχειρηματικών λόγων για τους

οντότητα προτίθεται να διατηρήσει τη συμμετοχή, καθώς και της πρόθεσης ενδεχομένως αύξησης, μείωσης ή διατήρησης του επιπέδου της συμμετοχής στο άμεσο μέλλον·

• β. αναλυτικά στοιχεία των προθέσεων του προσώπου ή της οντότητας όσον αφορά τον αιτούντα και της επιρροής που το πρόσωπο ή η οντότητα προτίθεται να ασκεί στον αιτούντα, μεταξύ άλλων όσον αφορά τη μερισματική πολιτική, τη στρατηγική ανάπτυξη και την κατανομή των πόρων του αιτούντος, αν προτίθεται ή όχι να λειτουργεί ως ενεργός μειοψηφών μέτοχος, καθώς και το σκεπτικό της εν λόγω πρόθεσης·
• γ. πληροφορίες σχετικά με την προθυμία του προσώπου ή της οντότητας να στηρίξει τον αιτούντα με πρόσθετα ίδια κεφάλαια, εάν αυτό κριθεί αναγκαίο για την ανάπτυξη των δραστηριοτήτων του ή σε περίπτωση οικονομικών δυσχερειών·
• δ. το περιεχόμενο τυχόν σχεδιαζόμενων συμφωνιών μετόχων ή μελών με άλλους μετόχους ή μέλη όσον αφορά τον αιτούντα·
• ε. ανάλυση του αν η ειδική συμμετοχή θα επηρεάσει με οποιονδήποτε τρόπο, μεταξύ άλλων ως αποτέλεσμα των στενών δεσμών του προσώπου με τον αιτούντα, την ικανότητα του αιτούντος να παρέχει εγκαίρως ακριβείς πληροφορίες στις αρμόδιες αρχές·

στ. την ταυτότητα κάθε μέλους του διοικητικού οργάνου ή της ανώτερης διοίκησης που θα διευθύνει την επιχείρηση του αιτούντος και θα οριστεί από, ή κατόπιν πρότασης από, τους εν λόγω μετόχους ή μέλη, καθώς και τις πληροφορίες που αναφέρονται στην κατευθυντήρια γραμμή 16 κατωτέρω, εάν δεν έχουν ήδη παρασχεθεί.

15.5 Στην αίτηση θα πρέπει να περιλαμβάνεται αναλυτική επεξήγηση των ειδικών πηγών χρηματοδότησης για τη συμμετοχή κάθε προσώπου ή οντότητας που έχει ειδική συμμετοχή στο κεφάλαιο του αιτούντος, η οποία θα πρέπει να περιλαμβάνει τα εξής:

• α. αναλυτικά στοιχεία σχετικά με τη χρήση ιδιωτικών χρηματοδοτικών πόρων, καθώς και τη διαθεσιμότητα αυτών και (προκειμένου να διασφαλιστεί ότι η αρμόδια αρχή έχει τη βεβαιότητα ότι η δραστηριότητα που παρήγαγε τα κεφάλαια είναι νόμιμη) την πηγή·
• β. αναλυτικά στοιχεία σχετικά με την πρόσβαση σε χρηματοπιστωτικές αγορές, συμπεριλαμβανομένων των λεπτομερειών σχετικά με τα χρηματοπιστωτικά μέσα που πρόκειται να εκδοθούν·
• γ. πληροφορίες σχετικά με τη χρήση δανειακών κεφαλαίων, συμπεριλαμβανομένων των ονομάτων των δανειστών και αναλυτικών στοιχείων όσον αφορά τα χορηγούμενα μέσα διευκόλυνσης, όπως η ληκτότητα, οι όροι, οι ασφάλειες και οι εγγυήσεις, καθώς και πληροφορίες σχετικά με την πηγή εσόδων που θα χρησιμοποιηθεί για την αποπληρωμή των εν λόγω δανειακών κεφαλαίων· εάν ο δανειστής δεν είναι πιστωτικό ή χρηματοοικονομικό ίδρυμα που έχει λάβει άδεια για τη χορήγηση πιστώσεων, ο αιτών θα πρέπει επίσης να παράσχει στις αρμόδιες αρχές πληροφορίες σχετικά με την προέλευση των δανειακών κεφαλαίων·
• δ. πληροφορίες σχετικά με σύναψη ενδεχομένως χρηματοδοτικής ρύθμισης με άλλα πρόσωπα που είναι μέτοχοι ή μέλη του αιτούντος.

Κατευθυντήρια γραμμή 16: Ταυτότητα και αξιολόγηση της καταλληλότητας των διευθυντικών στελεχών και των υπευθύνων για τη διαχείριση του ιδρύματος ηλεκτρονικού χρήματος

16.1 Για τους σκοπούς της ταυτοποίησης και της αξιολόγησης της καταλληλότητας των διευθυντικών στελεχών και των υπευθύνων για τη διαχείριση του ιδρύματος ηλεκτρονικού χρήματος, ο αιτών θα πρέπει να παρέχει τις ακόλουθες πληροφορίες:

• α. προσωπικά στοιχεία, στα οποία περιλαμβάνονται:
• i. το πλήρες ονοματεπώνυμο, το γένος, ο τόπος και η ημερομηνία γέννησης, η διεύθυνση και η ιθαγένεια, καθώς και ο προσωπικός αριθμός ταυτότητας ή αντίγραφο του δελτίου ταυτότητας ή ισοδύναμου εγγράφου·
• ii. αναλυτικά στοιχεία της θέσης για την οποία ζητείται η αξιολόγηση, αν η θέση στο διοικητικό όργανο αφορά εκτελεστικά ή μη εκτελεστικά καθήκοντα. Σε αυτά θα πρέπει να περιλαμβάνονται επίσης τα ακόλουθα στοιχεία:

• β. κατά περίπτωση, πληροφορίες σχετικά με την αξιολόγηση καταλληλότητας που έχει διενεργηθεί από τον αιτούντα, στις οποίες θα πρέπει να περιλαμβάνονται λεπτομέρειες σχετικά με το αποτέλεσμα τυχόν αξιολόγησης της καταλληλότητας του ατόμου που διενεργήθηκε από το ίδρυμα, όπως σχετικά πρακτικά επιτροπής ή εκθέσεις αξιολόγησης της καταλληλότητας ή άλλα έγγραφα·
• γ. αποδεικτικά των γνώσεων, των δεξιοτήτων και της πείρας, στα οποία θα πρέπει να περιλαμβάνεται βιογραφικό σημείωμα που θα περιέχει αναλυτικά στοιχεία σχετικά με την εκπαίδευση και την επαγγελματική πείρα, μεταξύ άλλων τους ακαδημαϊκούς τίτλους σπουδών, άλλη συναφή κατάρτιση, το όνομα και τη φύση όλων των οργανισμών για τους οποίους το άτομο εργάζεται ή έχει εργαστεί, καθώς και τη φύση και τη διάρκεια των καθηκόντων που ασκούσε, με ιδιαίτερη έμφαση σε τυχόν δραστηριότητες που εμπίπτουν στο πεδίο εφαρμογής της επιδιωκόμενης θέσης·
• δ. αποδεικτικά στοιχεία της φήμης, της εντιμότητας και της ακεραιότητας, στα οποία θα πρέπει να περιλαμβάνονται:
• i. ποινικά μητρώα και σχετικές πληροφορίες όσον αφορά ποινικές έρευνες και διαδικασίες, συναφείς αστικές και διοικητικές υποθέσεις, καθώς και πειθαρχικές κυρώσεις, συμπεριλαμβανομένων της παύσης από τη θέση διευθυντή εταιρείας ή διαδικασιών πτώχευσης, αφερεγγυότητας ή παρόμοιων διαδικασιών, κυρίως μέσω επίσημης βεβαίωσης ή άλλης αντικειμενικά αξιόπιστης πηγής πληροφοριών σχετικά με την απουσία ποινικής καταδίκης, έρευνας και διαδικασίας, όπως έρευνες τρίτων και μαρτυρίες δικηγόρων ή συμβολαιογράφων που είναι εγκατεστημένοι στην Ευρωπαϊκή Ένωση·
• ii. δήλωση σχετικά με το αν εκκρεμούν ποινικές διαδικασίες ή αν το πρόσωπο ή οποιοσδήποτε οργανισμός του οποίου τη διαχείριση ασκεί το εν λόγω πρόσωπο έχει εμπλακεί ως οφειλέτης σε διαδικασία αφερεγγυότητας ή παρόμοια διαδικασία·
• iii. πληροφορίες σχετικά με τα ακόλουθα:

Κατευθυντήρια γραμμή 17: Ταυτότητα των νόμιμων ελεγκτών και των ελεγκτικών γραφείων

Η ταυτότητα των νόμιμων ελεγκτών και των ελεγκτικών γραφείων όπως ορίζονται στην οδηγία 2006/43/ΕΚ που πρέπει να παρέχεται από τον αιτούντα, κατά περίπτωση, θα πρέπει να περιλαμβάνει τα ονόματα, τις διευθύνσεις και τα στοιχεία επικοινωνίας των ελεγκτών.

Κατευθυντήρια γραμμή 18: Ασφάλιση επαγγελματικής ευθύνης ή συγκρίσιμη εγγύηση για υπηρεσίες εκκίνησης πληρωμής και υπηρεσίες πληροφοριών λογαριασμού

Ως αποδεικτικό της ασφάλισης επαγγελματικής ευθύνης ή συγκρίσιμης εγγύησης η οποία συμμορφώνεται με τις κατευθυντήριες γραμμές της ΕΑΤ με θέμα τα κριτήρια καθορισμού του ελάχιστου χρηματικού ποσού της ασφάλισης επαγγελματικής ευθύνης ή άλλης συγκρίσιμης εγγύησης (EBA/GL/2017/08) και με το άρθρο 5 παράγραφοι 2 και 3 της οδηγίας PSD2, ο αιτών άδεια λειτουργίας ιδρύματος ηλεκτρονικού χρήματος ο οποίος, επιπλέον των υπηρεσιών ηλεκτρονικού χρήματος, προτίθεται να παρέχει υπηρεσίες εκκίνησης πληρωμής ή υπηρεσίες πληροφοριών λογαριασμού, θα πρέπει να παρέχει τις ακόλουθες πληροφορίες:

• α. ασφαλιστήριο συμβόλαιο ή άλλο ισοδύναμο έγγραφο το οποίο επιβεβαιώνει την ύπαρξη ασφάλισης επαγγελματικής ευθύνης ή συγκρίσιμης εγγύησης, με ποσό κάλυψης που συνάδει με τις προαναφερόμενες κατευθυντήριες γραμμές της ΕΑΤ, και το οποίο παρουσιάζει την κάλυψη των σχετικών ευθυνών·
• β. τεκμηρίωση του τρόπου με τον οποίο ο αιτών υπολόγισε το ελάχιστο ποσό κατά τρόπο που συμμορφώνεται με τις προαναφερόμενες κατευθυντήριες γραμμές της ΕΑΤ (EBA/GL/2017/08), συμπεριλαμβανομένων όλων των επιμέρους στοιχείων του μαθηματικού τύπου που αναφέρεται σε αυτές.

⁴ Οδηγία (ΕΕ) 2015/849 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 20ής Μαΐου 2015, σχετικά με την πρόληψη της χρησιμοποίησης του χρηματοπιστωτικού συστήματος για τη νομιμοποίηση εσόδων από παράνομες δραστηριότητες ή για τη χρηματοδότηση της τρομοκρατίας (ΕΕ L 141 της 5.6.2015, σ. 73)

⁵ Οδηγία 2006/43/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 17ης Μαΐου 2006, για τους υποχρεωτικούς ελέγχους των ετήσιων και των ενοποιημένων λογαριασμών, για την τροποποίηση των οδηγιών 78/660/ΕΟΚ και 83/349/ΕΟΚ του Συμβουλίου και για την κατάργηση της οδηγίας 84/253/ΕΟΚ του Συμβουλίου (ΕΕ L 157 της 9.6.2006, σ. 87 - 107).

Κατευθυντήρια γραμμή 1: Αξιολόγηση της πληρότητας της αίτησης

1.1. Μια αίτηση θα πρέπει να θεωρείται πλήρης για τους σκοπούς του άρθρου 12 της οδηγίας (ΕΕ) 2015/2366 εάν περιλαμβάνει όλες τις πληροφορίες που χρειάζονται οι αρμόδιες αρχές για να αξιολογήσουν την αίτηση σύμφωνα με τις παρούσες κατευθυντήριες γραμμές και με το άρθρο 5 της οδηγίας (ΕΕ) 2015/2366.

1.2. Σε περίπτωση που οι πληροφορίες που παρέχονται στην αίτηση αξιολογηθούν ως ελλιπείς, η αρμόδια αρχή θα πρέπει να αποστείλει στον αιτούντα αίτημα, σε έντυπη μορφή ή με ηλεκτρονικά μέσα, στο οποίο θα επισημαίνονται με σαφήνεια οι ελλείψεις όσον αφορά τις πληροφορίες, ενώ θα πρέπει επίσης να παράσχει στον αιτούντα τη δυνατότητα να υποβάλει τις πληροφορίες που ελλείπουν.

1.3. Αφού η αίτηση κριθεί πλήρης, η αρμόδια αρχή θα πρέπει να ενημερώσει σχετικά τον αιτούντα, αναφέροντας επίσης την ημερομηνία παραλαβής της πλήρους αίτησης ή, κατά περίπτωση, την ημερομηνία παραλαβής των πληροφοριών που διασφάλισαν την πληρότητα της αίτησης.

1.4. Σε κάθε περίπτωση, η αρμόδια αρχή δύναται να ζητήσει από τον αιτούντα να παράσχει διευκρινίσεις σχετικά με τις πληροφορίες για τους σκοπούς της αξιολόγησης της αίτησης.

1.5. Εάν η αίτηση περιέχει πληροφορίες ή βασίζεται σε πληροφορίες που τηρούν οι αρμόδιες αρχές και οι οποίες δεν είναι πλέον αληθείς, ακριβείς ή πλήρεις, θα πρέπει να παρέχεται στις αρμόδιες αρχές επικαιροποίηση της αίτησης χωρίς καθυστέρηση. Στην επικαιροποίηση θα πρέπει να προσδιορίζονται οι σχετικές πληροφορίες, η θέση τους στην αρχική αίτηση, ο λόγος για τον οποίο οι πληροφορίες δεν είναι πλέον αληθείς, ακριβείς ή πλήρεις, οι επικαιροποιημένες πληροφορίες, καθώς και βεβαίωση ότι οι υπόλοιπες πληροφορίες στην αίτηση εξακολουθούν να είναι αληθείς, ακριβείς και πλήρεις.

Guideline 1: General principles

1.1 This set of guidelines applies to applicants for authorisation as electronic money institutions (EMIs).This refers to applicants that intend to provide e-money services and, if applicable, any payment service(s) referred to in points 1-8 of Annex I to PSD2. Applicants that intend to provide only payment services referred to in points 1-7 of Annex I to PSD2 or service 8 referred to in this Annex in combination with other service(s) referred to in points 1-7 without providing e-money services should refer to the specific set of guidelines on the information required from applicants for authorisation as payment institutions (PIs) set out in section 4.1. Applicants that intend to provide only the payment service referred to in point 8 of Annex I to PSD2 without providing e-money services should refer to the guidelines on the information required from applicants for registration for the provision of only service 8 of Annex I PSD2 set out in section 4.2.

1.2 The information provided by applicants should be true, complete, accurate and up to date. All applicants should comply with all the provisions in the set of guidelines that applies to them. The level of detail should be proportionate to the applicant’s size and internal organisation, and to the nature, scope, complexity and riskiness of the particular service(s) that the applicant intends to provide. In any event, in accordance with Directive (EU) 2015/2366, the directors and the persons responsible for the management of the electronic money institution are of good repute and possess appropriate knowledge and experience to perform payment services, regardless of the institution’s size, internal organisation and the nature, scope and complexity of its activities and the duties and responsibilities of the specific position.

1.3 When submitting the information required, the applicant should avoid making references to specific sections of internal procedures/documents. Instead, the applicant should extract the relevant sections and provide these to the competent authority.

1.4 Should the competent authorities (CAs) require clarifications on the information that has been submitted, the applicant should provide such clarification without delay. 1.5 All data requested under these guidelines for authorisation as EMIs are needed for the assessment of the application and will be treated by the competent authority in accordance with the professional secrecy obligations set out in PSD2, without prejudice to applicable Union law and national requirements and procedures on the exercise of the right to access, rectify, cancel or oppose.

Guideline 2: Identification details

2.1 The identification details to be provided by the applicant should contain the following information:

• a) the applicant’s corporate name and, if different, trade name;
• b) an indication of whether the applicant is already incorporated or in the process of incorporation;
• c) the applicant’s national identification number, if applicable;
• d) the applicant’s legal status and (draft) articles of association and/or constitutional documents evidencing the applicant’s legal status;
• e) the address of the applicant’s head office and registered office;
• f) the applicant’s electronic address and website, if available;
• g) the name(s) of the person(s) in charge of dealing with the application file and authorisation procedure, and their contact details;
• h) an indication of whether or not the applicant has ever been, or is currently being, regulated by a competent authority in the financial services sector;
• i) any trade association(s), in relation to the provision of e-money services and/or payment services, that the applicant plans to join, where applicable;
• j) the register certificate of incorporation or, if applicable, negative certificate of a mercantile register that certifies that the name applied by the company is available;
• k) evidence of the payment of any fees or of the deposit of funds to file an application for authorisation as an electronic money institution, where applicable under national law.

Guideline 3: Programme of operations

3.1 The programme of operations to be provided by the applicant should contain the following information:

• a) an indication of the e-money services the applicant intends to provide: issuance, redemption, distribution;
• b) if applicable, a step-by-step description of the type of payment services envisaged, including an explanation of how the activities and the operations that will be provided are identified by the applicant as fitting into any of the legal categories of payment services listed in Annex I to PSD2, and an indication of whether these payment services would be provided in addition to electronic money services or whether they are linked to the issuance of electronic money;
• c) a declaration of whether the applicant will at any point enter or not into possession of funds;
• d) if applicable, a description of the execution of the different e-money services and, if applicable, payment services, detailing all parties involved, for each e-money service and, if applicable, each payment service provided:
• i. a diagram of flow of funds;
• ii. settlement arrangements;

services including those with payment card schemes, if applicable;

• iv. processing times;
• e) a copy of the draft contract between the electronic money issuer and the electronic money holder and the draft framework contract, as defined in Article 4(21) of PSD2 if the applicant pretends to provide payment services in addition to e-money services;
• f) the estimated number of different premises from which the applicant intends to provide the services, if applicable;
• g) a description of any ancillary services to e-money services and, if applicable, to payment services;
• h) when the applicant intends to provide payment services in addition to e-money services, a declaration of whether or not the applicant intends to grant credit and, if so, within which limits;
• i) a declaration of whether or not the applicant plans to provide e-money services and, if applicable, payment services in other EU Member States or third countries after the granting of the licence;
• j) an indication of whether or not the applicant intends, for the next three years, to provide or already provides business activities other than e-money services and, if applicable, payment services, as referred to in Article 11(5) of Directive (EU) 2015/2366, including a description of the type and expected volume of the activities;
• k) the information specified in EBA Guidelines on the criteria on how to stipulate the minimum monetary amount of the professional indemnity insurance or other comparable guarantee under Article 5(4) of Directive (EU) 2015/2366’ (EBA/GL2017/08), where the applicant intends to provide services 7 and 8 (payment initiation services (PIS) and account information services (AIS)).

Guideline 4: Business plan

4.1. The business plan to be provided by the applicant should contain:

• a) a marketing plan consisting of:
• i. an analysis of the company’s competitive position in the e-money market and, if applicable, payment market segment concerned;
• ii. a description of the payment service users and electronic money holders, marketing materials and distribution channels;
• b) certified annual accounts for the previous three years, if available, or a summary of the financial situation for those companies that have not yet produced annual accounts;
• c) a forecast budget calculation for the first three financial years that demonstrates that the applicant is able to employ appropriate and proportionate systems, resources and procedures that allow the applicant to operate soundly; it should include:
• i. an income statement and balance-sheet forecast, including target scenarios and stress scenarios as well as their base assumptions, such as volume and value of transactions, number of clients, pricing, average amount per transaction, expected increase in profitability threshold;
• ii. explanations of the main lines of income and expenses, the financial debts and the capital assets;
• iii. a diagram and detailed breakdown of the estimated cash flows for the next three years;

with method D, as referred to in Article 5.3 of Directive (EU) 2009/110 (the second E-Money Directive (EMD2)), if the electronic money institution intends to provide e-money services only, or the method(s) referred to in Article 9 of Directive (EU) 2015/2366 (PSD2) as determined by the competent authority, if the applicant intends to provide payment services in addition to e-money services, including an annual projection of the breakdown of own funds for three years according to the method used and, If applicable, an annual projection of the own funds for three years according to the other methods used.

Guideline 5: Structural organisation

5.1. The applicant should provide a description of the structural organisation of its undertaking consisting of:

• a) a detailed organisational chart, showing each division, department or similar structural separation, including the name of the person(s) responsible, in particular those in charge of internal control functions; the chart should be accompanied by a description of the functions and responsibilities of each division, department or similar structural separation;
• b) an overall forecast of the staff numbers for the next three years;
• c) a description of the relevant operational outsourcing arrangements consisting of:
• i. the identity and geographical location of the outsourcing provider;
• ii. the identity of the persons within the electronic money institution that are responsible for each of the outsourced activities;
• iii. a clear description of the outsourced activities and their main characteristics;
• d) a copy of draft outsourcing agreements;
• e) a description of the use of branches, agents and distributors, where applicable, including:
• i. a mapping of the off-site and on-site checks that the applicant intends to perform of branches, agents and distributors;
• ii. the IT systems, processes and infrastructure that are used by the applicant’s agents and distributors to perform activities on behalf of the applicant;
• iii. in the case of agents and distributors, the selection policy, monitoring procedures, agents’ and distributor’s training and, where available, the draft terms of engagement of agents and distributors;
• f) an indication of the national and/or international payment system that the applicant will access, if applicable;
• g) a list of all natural or legal persons that have close links with the applicant, indicating their identities and the nature of those links.

Guideline 6: Evidence of initial capital

6.1. For the evidence of initial capital to be provided by the applicant (of EUR 350 000), the applicant should submit the following documents:

• a) for existing undertakings, an audited account statement or public register certifying the amount of capital of the applicant;
• b) for undertakings in the process of being incorporated, a bank statement issued by a bank certifying that the funds are deposited in the applicant’s bank account.

Guideline 7: Measures to safeguard the funds of electronic money users and/or payment service users

7.1. Where the applicant safeguards the electronic money users’ and/or payment service users’ funds through depositing funds in a separate account in a credit institution or through an investment in secure, liquid, low-risk assets, the description of the safeguarding measures should contain:

• a) a description of the investment policy to ensure the assets chosen are liquid, secure and low risk, if applicable;
• b) the number of persons that have access to the safeguarding account and their functions;
• c) a description of the administration and reconciliation process for electronic money users and, if applicable, payment service users, against the claims of other creditors of the electronic money institution, in particular in the event of insolvency;
• d) a copy of the draft contract with the credit institution;
• e) an explicit declaration by the electronic money institution of compliance with Article 10 of PSD2. 7.2. Where the applicant safeguards the funds of the electronic money users and, if applicable, the payment service users through an insurance policy or comparable guarantee from an insurance company or credit institution, and unless the applicant intends to provide PIS only, the description of the safeguarding measures should contain the following:
• a) a confirmation that the insurance policy or comparable guarantee from an insurance company or credit institution is from an entity that is not part of the same group of firms as the applicant;
• b) details of the reconciliation process in place to ensure that the insurance policy or comparable guarantee is sufficient to meet the applicant’s safeguarding obligations at all times;
• c) duration and renewal of the coverage;
• d) a copy of the (draft) insurance agreement or (draft) comparable guarantee.

Guideline 8: Governance arrangements and internal control mechanisms

8.1. The applicant should provide a description of the governance arrangement and internal control mechanisms consisting of:

• a) a mapping of the risks identified by the applicant, including the type of risks and the procedures the applicant will put in place to assess and prevent such risks, in relation to e-money services and, if applicable, payment services;
• b) the different procedures to carry out periodical and permanent controls, including the frequency and the human resources allocated;
• c) the accounting procedures by the which the applicant will record and report its financial information;
• d) the identity of the person(s) responsible for the internal control functions, including for periodic, permanent and compliance control, as well as an up-to-date curriculum vitae;
• e) the identity of any auditor that is not a statutory auditor pursuant to Directive 2006/43/EC;
• f) the composition of the management body and, if applicable, any other oversight body or committee;
• g) a description of the way outsourced functions are monitored and controlled so as to avoid an impairment in the quality of the electronic money institution’s internal controls;
• h) a description of the way any agents, branches and distributors are monitored and controlled within the framework of the applicant’s internal controls;
• i) where the applicant is the subsidiary of a regulated entity in another EU Member State, a description of the group governance.

Guideline 9: Procedure for monitoring, handling and following up on security incidents and security-related customer complaints

9.1. The applicant should provide a description of the procedure in place to monitor, handle and follow up on security incidents and security-related customer complaints to be provided by the applicant, which should contain:

• a) organisational measures and tools for the prevention of fraud;
• b) details of the individuals and bodies responsible for assisting customers in cases of fraud, technical issues and/or claim management;
• c) reporting lines in cases of fraud;
• d) the contact point for customers, including a name and email address;
• e) the procedures for the reporting of incidents, including the communication of these reports to internal or external bodies, including for applicants that intend to provide payment services in addition to e-money services, and the notification of major

the EBA guidelines on incident reporting under the referred Article.

• f) the monitoring tools used and the follow-up measures and procedures in place to mitigate security risks.

Guideline 10: Process for filing, monitoring, tracking and restricting access to sensitive payment data

10.1. The applicant should provide a description of the process in place to file, monitor, track and restrict access to sensitive payment data consisting of:

• a) a description of the flows of data classified as sensitive payment data in the context of the electronic money institution’s business model;
• b) the procedures in place to authorise access to the sensitive payment data;
• c) a description of the monitoring tool;
• d) the access right policy, detailing access to all relevant infrastructure components and systems, including databases and back-up infrastructures;
• e) a description of how the collected data are filed;
• f) the expected internal and/or external use of the collected data, including by counterparties;
• g) the IT system and technical security measures that have been implemented, including encryption and/or tokenisation;
• h) identification of the individuals, bodies and/or committees with access to the sensitive payment data;
• i) an explanation of how breaches will be detected and addressed;
• j) an annual internal control programme in relation to the safety of the IT systems.

Guideline 11: Business continuity arrangements

consisting of the following information:

• a) a business impact analysis, including the business processes and recovery objectives, such as recovery time objectives, recovery point objectives and protected assets;
• b) the identification of the back-up site and access to IT infrastructure, and the key software and data to recover from a disaster or disruption;
• c) an explanation of how the applicant will deal with significant continuity events and disruptions, such as the failure of key systems; the loss of key data; the inaccessibility of the premises; and the loss of key persons;
• d) the frequency with which the applicant intends to test the business continuity and disaster recovery plans, including how the results of the testing will be recorded;
• e) a description of the mitigation measures to be adopted by the applicant, in cases of the termination of its payment services, ensuring the execution of pending payment transactions and the termination of existing contracts. Guideline 12: The principles and definitions applicable to the collection of statistical data on performance, transactions and fraud.

12.1. The applicant should provide a description of the principles and definitions applicable to the collection of the statistical data on performance, transactions and fraud consisting of the following information:

• a) the type of data that is collected, in relation to customers, type of payment service, channel, instrument, jurisdictions and currencies;
• b) the scope of the collection, in terms of the activities and entities concerned, including branches, agents and distributors;
• c) the means of collection;
• d) the purpose of collection;
• e) the frequency of collection;
• f) supporting documents, such as a manual, that describe how the system works.

Guideline 13: Security policy document

service(s) and, where applicable, payment service(s) containing the following information:

• a) a detailed risk assessment of the e-money service(s) and, where applicable, the payment service(s) the applicant intends to provide, which should include risks of fraud and the security control and mitigation measures taken to adequately protect e-money service users and, where applicable, payment service users against the risks identified;
• b) a description of the IT systems, which should include:
• i. the architecture of the systems and their network elements;
• ii. the business IT systems supporting the business activities provided, such as the applicant’s website, wallets, the payment engine, the risk and fraud management engine, and customer accounting;
• iii. the support IT systems used for the organisation and administration of the electronic money institution, such as accounting, legal reporting systems, staff management, customer relationship management, e-mail servers, internal file servers;
• iv. information on whether those systems are already used by the electronic money institution or its group, and the estimated date of implementation, if applicable;
• c) the type of authorised connections from outside, such as with partners, service providers, entities of the group and employees working remotely, including the rationale for such connections;
• d) for each of the connections listed under point c), the logical security measures and mechanisms in place, specifying the control the electronic money institution will have over such access as well as the nature and frequency of each control, such as technical versus organisational; preventative versus detective; and real-time monitoring versus regular reviews, such as the use of an active directory separate from the group, the opening/closing of communication lines, security equipment configuration, generation

confidentiality of communication, intrusion detection, antivirus systems and logs;

• e) the logical security measures and mechanisms that govern the internal access to IT systems, which should include:
• i. the technical and organisational nature and frequency of each measure, such as whether it is preventative or detective and whether or not it is carried out in real time;
• ii. how the issue of client environment segregation is dealt with in cases where the applicant’s IT resources are shared;
• f) the physical security measures and mechanisms of the premises and the data centre of the applicant, such as access controls and environmental security;

include:

• i. the customer authentication procedure used for both consultative and transactional access, and for all underlying payment instruments;
• ii. an explanation of how safe delivery to the legitimate e-money services user and, where applicable, payment service user and the integrity of authentication factors, such as hardware tokens and mobile applications, are ensured, at the time of both initial enrolment and renewal;
• iii. a description of the systems and procedures that the electronic money institution has in place for transaction analysis and the identification of suspicious or unusual transactions;
• h) a detailed risk assessment in relation to its e-money services and, where applicable, its payment services, including fraud, with a link to the control and mitigation measures explained in the application file, demonstrating that the risks are addressed;
• i) a list of the main written procedures in relation to the applicant’s IT systems or, for procedures that have not yet been formalised, an estimated date for their finalisation.

Guideline 14: Internal control mechanisms to comply with obligations in relation to money laundering and terrorist financing (AML/CFT obligations)

14.1 The description of the internal control mechanisms that the applicant has established in order to comply, where applicable, with those obligations should contain the following information:

• a) the applicant’s assessment of the money laundering and terrorist financing risks associated with its business, including the risks associated with the applicant’s customer base, the products and services provided, the distribution channels used and the geographic areas of operation;
• b) the measures the applicant has or will put in place to mitigate the risks and comply with applicable anti-money laundering and counter terrorist financing obligations, including the applicant’s risk assessment process, the policies and procedures to comply with customer due diligence requirements, and the policies and procedures to detect and report suspicious transactions or activities;
• c) the systems and controls the applicant has or will put in place to ensure that its branches, agents and distributors comply with applicable anti-money laundering and terrorist financing requirements, including, in cases where the agent, distributor or branch is located in another Member State;
• d) arrangements the applicant has or will put in place to ensure that staff, agents and distributors are appropriately trained in anti-money laundering and counter terrorist financing matters;
• e) the identity of the person in charge of ensuring the applicant’s compliance with anti-money laundering and counter-terrorism obligations, and evidence that their anti-money laundering and counter-terrorism expertise is sufficient to enable them to fulfil this role effectively;
• f) the systems and controls the applicant has or will put in place to ensure their anti-money laundering and counter terrorist financing policies and procedures remain up to date, effective and relevant;
• g) the systems and controls the applicant has or will put in place to ensure that the agents and distributors do not expose the applicant to increased money laundering and terrorist financing risk;
• h) the anti-money laundering and counter-terrorism manual for the staff of the applicant.

Guideline 15: Identity and suitability assessment of persons with qualified holdings in the applicant

15.1 For the purposes of the identity and evidence of the suitability of persons with qualifying holdings in the applicant electronic money institution, without prejudice to the assessment in accordance with the criteria, as relevant, introduced with Directive 2007/44/EC and specified in the joint guidelines for the prudential assessment of acquisitions of qualifying holdings (JC/GL/2016/01), the applicant should submit the following information:

• a) a description of the group to which the applicant belongs and an indication of the parent undertaking, where applicable;
• b) a chart setting out the shareholder structure of the applicant, including:
• i. the name and the percentage holding (capital/voting right) of each person that has or will have a direct holding in the share capital of the applicant, identifying those that are considered as qualifying holders and the reason for such qualifications;
• ii. the name and the percentage holding (capital/voting rights) of each person that has or will have an indirect holding in the share capital of the applicant, identifying those that are considered as indirect qualifying holders and the reason for such qualification;
• c) a list of the names of all persons and other entities that have or, in the case of authorisation, will have qualifying holdings in the applicant’s capital, indicating for each such person or entity:
• i. the number and type of shares or other holdings subscribed or to be subscribed;
• ii. the nominal value of such shares or other holdings.

15.2 Where a person who has or, in the case of authorisation, will have a qualifying holding in the applicant’s capital is a natural person, the application should set out all of the following information relating to the identity and suitability of that person:

• a) the person’s name and name at birth, date and place of birth, citizenship (current and previous), identification number (where available) or passport number, address and a copy of an official identity document;
• b) a detailed curriculum vitae stating the education and training, previous professional experience and any professional activities or other functions currently performed;
• c) a statement, accompanied by supporting documents, containing the following information concerning the person:
• i. subject to national legislative requirements concerning the disclosure of spent convictions, any criminal conviction or proceedings where the person has been found against and which were not set aside;
• ii. any civil or administrative decisions in matters of relevance to the assessment

each case which were not set aside and against which no appeal is pending or may be filed;

• iii. any bankruptcy, insolvency or similar procedures;
• iv. any pending criminal investigations;
• v. any civil or administrative investigations, enforcement proceedings, sanctions

may be considered to be relevant to the authorisation to commence the activity of an electronic money institution or to the sound and prudent management of an electronic money institution;

• vi. where such documents can be obtained, an official certificate or any other equivalent document evidencing whether any of the events set out in sub-paragraphs (i)-(v) has occurred in respect of the relevant person;
• vii. any refusal of registration, authorisation, membership or licence to carry out trade, business or a profession;
• viii. any withdrawal, revocation or termination of a registration, authorisation, membership or licence to carry out trade, business or a profession;
• ix. any expulsion by an authority or public sector entity in the financial services sector or by a professional body or association;
• x. any position of responsibility with an entity subject to any criminal conviction or proceedings, administrative investigations, sanctions or other enforcement decisions for conduct failings, including in respect of fraud, dishonesty, corruption, money laundering, terrorist financing or other financial crime, or

events, held at the time when the alleged conduct occurred, together with details of such occurrences and of the person’s involvement, if any, in them;

• xi. any dismissal from employment or a position of trust, any removal from a fiduciary relationship (other than as a result of the relevant relationship coming to an end by passage of time) and any similar situation;
• d) a list of undertakings that the person directs or controls and of which the applicant is aware of after due and careful enquiry; the percentage of control either direct or indirect in these companies; their status (whether or not they are active, dissolved, etc.); and a description of insolvency or similar procedures;
• e) where an assessment of reputation of the person has already been conducted by a competent authority in the financial services sector, the identity of that authority and the outcome of the assessment;

revenues, assets and liabilities, security interests and guarantees, whether granted or received;

• g) a description of any links to politically exposed persons, as defined in Article 3(9) of Directive (EU) 2015/849⁵ .

15.3 Where a person or entity who has or, in the case of authorisation, will have a qualifying holding in the applicant’s capital (including entities that are not a legal person and which hold or should hold the participation in their own name), the application should contain the following information relating to the identity and suitability of that legal person or entity:

• a) name;
• b) where the legal person or entity is registered in a central register, commercial register, companies register or similar register that has the same purposes of those aforementioned, a copy of the good standing, if possible, or otherwise a registration certificate;
• c) the addresses of its registered office and, where different, of its head office, and principal place of business;
• d) contact details;
• e) corporate documents or, where the person or entity is registered in another Member State, a summary explanation of the main legal features of the legal form or the entity;
• f) whether or not the legal person or entity has ever been or is regulated by a competent authority in the financial services sector or other government body;
• g) where such documents can be obtained, an official certificate or any other equivalent document evidencing the information set out in paragraphs (a) to (e) issued by the relevant competent authority;
• h) the information referred to in Guideline 15(2)(c), 15(2)(d), 15(2)(e),15(2)(f) and 15(2)(g) a in relation to the legal person or entity;
• i) a list containing details of each person who effectively directs the business of the legal person or entity, including their name, date and place of birth, address, their national identification number, where available, and detailed curriculum vitae (stating relevant education and training, previous professional experience, any professional activities or other relevant functions currently performed), together with the information referred to in Guideline 15(2)(c) and 15(2)(d) in respect of each such person;
• j) the shareholding structure of the legal person, including at least their name, date and place of birth, address and, where available, personal identification number or registration number and the respective share of capital and voting rights of direct or indirect shareholders or members and beneficial owners, as defined in Article 3(6) of Directive (EU) 2015/849;
• k) a description of the regulated financial group of which applicant is a part, or may become a part, indicating the parent undertaking and the credit, insurance and security entities within the group; the name of their competent authorities (on an individual or consolidated basis); and
• l) annual financial statements, at the individual and, where applicable, the consolidated and sub-consolidated group levels, for the last three financial years, where the legal person or entity has been in operation for that period (or, if less than three years, the period for which the legal person or entity has been in operation and financial statements were prepared), approved by the statutory auditor or audit firm within the meaning of Directive 2006/43/EC⁶ , where applicable, including each of the following items:
• i. the balance sheet;
• ii. the profit-and-loss accounts or income statement;
• iii. the annual reports and financial annexes and any other documents registered with the relevant registry or competent authority of the legal person;
• m) where the legal person has not been operating for a sufficient period to be required to prepare financial statements for the three financial years immediately prior to the date of the application, the application shall set out the existing financial statements (if any);

information on the regulatory regime of that third country as applicable to the legal person or entity, including information on the extent to which the third country’s anti-money laundering and counter-terrorist financing regime is consistent with the Financial Action Task Force Recommendations;

undertaking, a sovereign wealth fund or a trust, the application shall set out the following information:

• i. the identity of the persons who manage assets and of the persons who are beneficiaries or subscribers, unit holders controlling the collective investment undertaking or having a holding enabling them to prevent the taking of decisions by the collective investment undertaking;
• ii. a copy of the document establishing and governing the entity including the investment policy and any restrictions on investment applicable to the entity.

15.4 The application shall set out all of the following information for each natural or legal person or entity who has or, in the case of authorisation, will have a qualifying holding in the capital of the applicant should contain the following:

• a) details of that person’s or entity’s financial or business reasons for owning that holding and the person’s or the entity’s strategy regarding the holding, including the period for which the person or the entity intends to hold the holding and any intention to increase, reduce or maintain the level of the holding in the foreseeable future;
• b) details of the person’s or entity’s intentions in respect of the applicant and of the influence the person or the entity intends to exercise over the applicant, including in respect of the dividend policy, the strategic development and the allocation of resources of the applicant, whether or not it intends to act as an active minority shareholder and the rationale for such intention;

additional own funds if needed for the development of its activities or in the case of financial difficulties;

• d) the content of any intended shareholder’s or member’s agreements with other shareholders or members in relation to the applicant;
• e) an analysis as to whether or not the qualifying holding will impact in any way, including as a result of the person’s close links to the applicant, on the ability of the applicant to provide timely and accurate information to the competent authorities;
• f) the identity of each member of the management body or of senior management who will direct the business of the applicant and will have been appointed by, or following a nomination from, such shareholders or members, together with, to the extent not already provided, the information set out in Guideline 16 below.

15.5 The application should set out a detailed explanation of the specific sources of funding for the participation of each person or entity having a qualifying holding in the applicant’s capital, which should include:

• a) details on the use of private financial resources, including their availability and (so as to

funds is legitimate) source;

• b) details on access to financial markets, including details of financial instruments to be issued;

authorised to grant credit, the applicant should provide to the competent authorities information on the origin of the borrowed funds;

• d) information on any financial arrangement with other persons who are shareholders or members of the applicant. Guideline 16: Identity and suitability assessment of directors and persons responsible for the management of the electronic money institution

16.1 For the purposes of the identity and suitability assessment of directors and persons responsible for the management of the electronic money institution, the applicant should provide the following information:

• a) Personal details including:

personal identification number or copy of ID card or equivalent.

• ii. details of the position for which the assessment is sought, whether or not the management body position is executive or non-executive. This should also include the following details:

• b) where applicable, information on the suitability assessment carried out by the applicant which should include details of the result of any assessment of the suitability of the individual performed by the institution, such as relevant board minutes or suitability assessment reports or other documents;
• c) evidence of knowledge, skills and experience, which should include a curriculum vitae containing details of education and professional experience, including academic qualifications, other relevant training, the name and nature of all organisations for which the individual works or has worked, and the nature and duration of the functions performed, in particular highlighting any activities within the scope of the position sought;
• d) evidence of reputation, honesty and integrity, which should include:
• i. criminal records and relevant information on criminal investigations and proceedings, relevant civil and administrative cases, and disciplinary actions, including disqualification as a company director, bankruptcy, insolvency and similar procedures, notably through an official certificate or any objectively reliable source of information concerning the absence of criminal conviction, investigations and proceedings, such as third-party investigations, testimonies made by a lawyer or a notary established in the European Union;
• ii. a statement as to whether criminal proceedings are pending or the person or any organisation managed by him or her has been involved as a debtor in insolvency proceedings or comparable proceedings;
• iii. information concerning the following :

Guideline 17: Identity of statutory auditors and audit firms

The identity of statutory auditors and audit firms as defined in Directive 2006/43/EC to be provided by the applicant, where relevant, should contain the names, addresses and contact details of auditors.

Guideline 18: Professional indemnity insurance or a comparable guarantee for payment initiation services and account information services

As evidence of a professional indemnity insurance or comparable guarantee that is compliant with EBA Guidelines on the criteria on how to stipulate the minimum monetary amount of the professional insurance or other comparable guarantee (EBA/GL/2017/08) and Article 5(2) and 5(3) of PSD2, the applicant for authorisation as electronic money institutions that, in addition to e-money services, intends to provide PIS or AIS, should provide the following information:

• a) an insurance contract or other equivalent document confirming the existence of the professional indemnity insurance or comparable guarantee, with a cover amount that is compliant with the referred EBA Guidelines, showing the coverage of the respective liabilities;
• b) documentation of how the applicant has calculated the minimum amount in a way that is compliant with the referred EBA Guidelines (EBA/GL/2017/08), including all applicable components of the formula specified therein.

⁵ Directive (EU) 2015/849 of the European Parliament and of the Council of 20 May 2015 on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing (OJ L 141, 5.6.2015, p. 73).

⁶ Directive 2006/43/EC of the European Parliament and of the Council of 17 May 2006 on statutory audits of annual accounts and consolidated accounts, amending Council Directives 78/660/EEC and 83/349/EEC and repealing Council Directive 84/253/EEC (OJ L 157, 9.6.2006, p. 87-107).

Guideline 1: Assessment of the completeness of the application

1.1. An application should be deemed to be complete for the purpose of Article 12 of Directive (EU) 2015/2366 if it contains all the information needed by the competent authorities in order to assess the application in accordance with these guidelines and with Article 5 of Directive (EU) 2015/2366.

1.2. Where the information provided in the application is assessed to be incomplete, the competent authority should send, in paper format or by electronic means, a request to the applicant, indicating in a clear way what information is missing, and should provide to the applicant the opportunity to submit the missing information.

1.3. Upon an application being assessed as complete, the competent authority should inform the applicant of that fact, together with the date of receipt of the complete application or, as the case may be, the date of receipt of the information that completed the application.

1.4. In any case, the competent authority may require the applicant to provide clarification on the information for the purposes of assessing the application.

1.5. Where an application contains information, or relies on information held by the competent authorities, which is no longer true, accurate or complete, an update to the application should be provided to the competent authorities without delay. The update should identify the information concerned, its location within the original application, the reason for the information no longer being true, accurate or complete, the updated information and confirmation that the rest of the information in the application remains true, accurate and complete.