Orientamenti sulle informazioni che devono essere fornite per ottenere l’autorizzazione degli istituti di pagamento e degli istituti di moneta elettronica, nonché per la registrazione dei prestatori di servizi di informazione sui conti ai sensi dell’articolo 5, paragrafo 5, della direttiva (UE) 2015/2366 (EBA/GL/2017/09)

1. Conformità e obblighi di comunicazione

2. Oggetto, ambito di applicazione e definizioni

3. Attuazione

4. Le quattro serie di orientamenti si applicano rispettivamente a istituti di pagamento, prestatori di servizi di informazione sui conti, istituti di moneta elettronica e autorità competenti.

Orientamento 1: Principi generali

1.1 La presente serie di orientamenti si applica ai richiedenti autorizzazione come istituto di pagamento. Sono inclusi i richiedenti che intendono prestare il(i) servizio(i) di cui si fa menzione nei punti 1-7 dell’allegato I della seconda direttiva sui servizi di pagamento o il servizio 8 in combinazione con altri servizi di pagamento. I richiedenti che si propongono di prestare unicamente il servizio, a cui il punto 8 dell’allegato I alla direttiva (UE) 2015/2366 fa riferimento, sono soggetti alla serie specifica di orientamenti destinati ai prestatori di servizi di informazione sui conti definiti nella sezione 4.2.

1.2 I richiedenti dovrebbero fornire informazioni autentiche, complete, accurate e aggiornate. Tutti i richiedenti dovrebbero conformarsi alle disposizioni della serie di orientamenti loro applicabili. Il livello di dettaglio dovrebbe essere adeguato alle dimensioni e alla organizzazione interna del richiedente, nonché alla natura, allo scopo, alla complessità e alla rischiosità dei particolari servizi che intende prestare. In ogni caso, in conformità alla direttiva (UE) 2015/2366, gli amministratori e le persone responsabili della gestione dell’istituto di pagamento godono di onorabilità e sono in possesso di conoscenze e di esperienza appropriate per la prestazione dei servizi di pagamento, indipendentemente da dimensioni, organizzazione interna e natura, scopo e complessità delle attività dell’istituzione, nonché doveri e responsabilità della posizione specifica.

1.3 Al momento di presentazione delle informazioni richieste, il richiedente dovrebbe evitare di fare riferimento a sezioni specifiche di procedure/documenti interni. Al contrario, il richiedente dovrebbe estrapolare le sezioni interessate e fornirle all’autorità competente.

1.4 Nel caso in cui le autorità competenti richiedessero chiarimenti sulle informazioni presentate, il richiedente dovrebbe fornirli tempestivamente. 1.5 Tutti i dati richiesti ai sensi dei presenti orientamenti per le autorizzazioni in qualità di istituti di pagamento sono necessari per la valutazione della domanda e saranno trattati dall’autorità competente conformemente all’obbligo del segreto professionale previsto dalla seconda direttiva sui servizi di pagamento, fatto salvo il diritto dell’Unione e le norme e le procedure nazionali sull’esercizio del diritto di accesso, rettifica, cancellazione o opposizione.

Orientamento 2: Dati identificativi

2.1 I dati identificativi che il richiedente è tenuto a fornire dovrebbero contenere le seguenti informazioni:

• a) denominazione sociale del richiedente e, se diversa, denominazione commerciale del medesimo;
• b) indicazioni se il richiedente sia già costituito o in fase di costituzione;
• c) numero d’identificazione nazionale del richiedente, se del caso;
• d) stato giuridico del richiedente e statuto (progetto di statuto) e/o atti costitutivi comprovanti il regime giuridico del medesimo;
• e) indirizzo della direzione generale del richiedente e della sede sociale del medesimo;
• f) indirizzo di posta elettronica e sito web del richiedente, se disponibile;
• g) nominativo(i) della(e) persona(e) incaricata(e) di occuparsi del fascicolo della domanda e della procedura di autorizzazione, e i recapiti di questi ultimi;
• h) indicazioni sull’eventualità che il richiedente sia stato o sia attualmente regolamentato dall’autorità competente nel settore dei servizi finanziari;
• i) associazioni di categoria operanti nell’ambito della prestazione di servizi di pagamento a cui il richiedente intende aderire, se del caso;
• j) l’atto di costituzione registrato oppure, ove applicabile, il certificato negativo di un Registro delle imprese attestante la disponibilità del nome scelto dalla società;
• k) prova dell’avvenuto pagamento di corrispettivi o del versamento di somme per la presentazione della domanda di autorizzazione come istituto di pagamento, laddove applicabile secondo la legislazione nazionale. Orientamento 3: Programma di attività

3.1. Il programma delle attività che il richiedente è tenuto a fornire, dovrebbe contenere le seguenti informazioni:

• a) descrizione dettagliata della tipologia di servizi di pagamento previsti, con l’indicazione del modo in cui il richiedente ha identificato attività e operazioni che saranno fornite come rientranti in una delle categorie giuridiche di servizi di pagamento elencate nell’allegato I della seconda direttiva sui servizi di pagamento (PSD2);
• b) una dichiarazione in merito all’eventuale entrata in possesso, in qualsiasi momento, di fondi da parte del richiedente;
• c) descrizione dell’esecuzione dei diversi servizi di pagamento, che indichi in dettaglio tutte le parti coinvolte e includa, per ciascuno dei servizi di pagamento prestati:
• i. diagramma di flusso dei fondi, salvo che il richiedente non intenda prestare solo servizi di ordine di pagamento (PIS);
• ii. meccanismi di regolamento, salvo che il richiedente intenda prestare solo servizi di ordine di pagamento;
• iii. bozze dei contratti tra tutte le parti coinvolte nella prestazione di servizi di pagamento, comprese eventualmente quelle con sistemi di pagamento mediante carta;
• iv. tempi di elaborazione.

all’articolo 4, paragrafo 21 della seconda direttiva sui servizi di pagamento (PSD2);

• e) la stima del numero delle diverse sedi presso le quali il richiedente intende prestare i servizi di pagamento e/o esercitare attività correlate alla prestazione dei servizi di pagamento, se del caso;
• f) una descrizione dei servizi accessori rispetto a quelli di pagamento, se del caso;
• g) una dichiarazione in merito alla intenzione o meno,da parte del richiedente, di concedere crediti e, in tal caso, entro quali limiti;
• h) una dichiarazione in merito alla intenzione o meno,da parte del richiedente, di prestare servizi di pagamento in altri Stati membri o in paesi terzi dopo la concessione della licenza;
• i) un’indicazione relativa alla intenzione o meno,da parte del richiedente, per i successivi tre anni, di voler prestare o di prestare già altre attività commerciali di cui all’articolo 18 della direttiva (UE) 2015/2366, inclusa una descrizione della tipologia e del volume previsto delle attività;
• j) le informazioni specificate negli Orientamenti dell’ABE sui criteri in base ai quali stipulare l’importo monetario minimo dell’assicurazione della responsabilità civile professionale o di altre garanzie analoghe ai sensi dell’articolo 5, paragrafo 4 della direttiva (UE) 2015/2366, nel caso in cui il richiedente intenda fornire i servizi 7 e 8 (servizi di ordine di pagamento e di informazione sui conti ).

Orientamento 4: Piano aziendale

4.1. Il piano di attività che il richiedente è tenuto a fornire dovrebbe comprendere:

• a) un piano di marketing contenente:
• i. un’analisi della posizione concorrenziale della società nel segmento di mercato dei pagamenti in questione;
• ii. una descrizione degli utilizzatori dei servizi di pagamento, dei materiali di commercializzazione e dei canali di distribuzione;
• b) ove disponibili per le società già esistenti, i bilanci annuali certificati dei tre anni precedenti, oppure una sintesi della situazione finanziaria per le società che non hanno ancora prodotto i conti annuali;
• c) una stima previsionale del bilancio per i primi tre esercizi finanziari, che dimostri che il richiedente è in grado di utilizzare risorse, procedure e sistemi adeguati e proporzionati che consentano una sana gestione. La stima dovrebbe comprendere:
• i. una stima di bilancio comprendente conto economico e previsione di bilancio, comprendenti scenari obiettivo e scenari di stress, nonché ipotesi di base, quali volume e valore delle operazioni, numero dei clienti, pricing, importo medio per operazione, aumento previsto nella soglia di redditività;
• ii. spiegazioni inerenti le principali linee di entrate e spese, i debiti finanziari e il capitale fisso;
• iii. un diagramma e una suddivisione dettagliata dei flussi finanziari previsti per i tre anni successivi;
• d) informazioni in merito ai fondi propri, compresi gli importi e una suddivisione dettagliata della composizione del capitale iniziale, in ottemperanza all’enunciato dell’articolo 7 della seconda direttiva sui servizi di pagamento;
• e) informazioni sui requisiti minimi di fondi propri e il calcolo di questi ultimi, in conformità al(i) metodo(i) di cui all’articolo 9 della direttiva (UE) 2015/2366 (seconda direttiva sui servizi di pagamento), come stabilito dall’autorità competente (salvo che il richiedente intenda fornire solo servizi di ordine di pagamento), tra cui:
• i. proiezione annua della ripartizione dei fondi propri per tre anni, in base al metodo impiegato;
• ii. proiezione annua della ripartizione dei fondi propri per tre anni, in base ad altri metodi;

Orientamento 5: Struttura organizzativa

5.1. Il richiedente dovrebbe fornire una descrizione della struttura organizzativa della propria impresa comprendente:

• a) un organigramma dettagliato che indichi ciascuna divisione, dipartimento o separazione strutturale analoga, e che comprenda il nominativo della(e) persona(e) responsabili, in particolare di coloro i quali sono responsabili delle funzioni di controllo interno. L’organigramma dovrebbe essere accompagnato dalla descrizione delle funzioni e delle responsabilità di ciascuna divisione, dipartimento o separazione strutturale analoga;
• b) una previsione complessiva del numero del personale per i successivi tre anni;
• c) una descrizione dei relativi accordi di esternalizzazione operativi comprendente:
• i. l’identità e la localizzazione geografica del fornitore esterno;
• ii. l’identità dei soggetti che, all’interno dell’istituto di pagamento sono responsabili di ciascuna attività esternalizzata;
• iii. una chiara descrizione delle attività esternalizzate e delle relative caratteristiche principali;
• d) una copia delle bozze degli accordi di esternalizzazione;
• e) una descrizione dell’impiego di succursali e agenti, se del caso, compresa:
• i. una mappatura dei controlli in loco e fuori sede che il richiedente intende eseguire, almeno a cadenza annuale, su succursali e agenti e relativa frequenza;
• ii. i sistemi informatici, i processi e le infrastrutture impiegate dagli agenti per svolgere le attività per conto del richiedente;
• iii. nel caso di agenti, la politica di selezione, le procedure di controllo, nonché la formazione degli agenti e, ove disponibili, la bozza delle condizioni di impiego;
• iv. un’indicazione dei sistemi di pagamento nazionali e/o internazionali a cui il richiedente accederà, se del caso;
• f) un elenco di tutte le persone fisiche o giuridiche che hanno stretti legami con il richiedente, con indicazione delle relative identità e della natura di tali legami.

Orientamento 6: Prove del capitale iniziale

6.1 Ai fini delle prove del capitale iniziale che il richiedente è tenuto a fornire (di 125 000 EUR per i servizi 1-5 dell’allegato I alla seconda direttiva sui servizi di pagamento; di 20 000 EUR per il servizio 6 e di 50 000 EUR per il servizio 7), il richiedente dovrebbe presentare i seguenti documenti:

• a) per le imprese esistenti, un estratto conto revisionato o un registro pubblico che certifichi l’importo del capitale del richiedente;
• b) per le imprese in fase di costituzione, un estratto conto bancario emesso da una banca che certifichi che i fondi sono depositati nel conto bancario del richiedente.

Orientamento 7: Misure adottate per tutelare i fondi degli utenti di servizi di pagamento (applicabili solo ai servizi di pagamento 1-6)

7.1. Nel caso in cui il richiedente tuteli i fondi degli utilizzatori di servizi di pagamento mediante

investimento in attività sicure, liquide e a basso rischio, la descrizione delle misure di tutela dovrebbe comprendere:

• a) una descrizione della politiche di investimento al fine di garantire che le attività scelte siano liquide, sicure e a basso rischio, se del caso;
• b) il numero dei soggetti che hanno accesso al conto di tutela e le rispettive funzioni;
• c) una descrizione della gestione e del processo di riconciliazione per assicurare che i fondi

richieste di pagamento di altri creditori dell’istituto di pagamento, in particolare in caso di insolvenza;

• d) una copia della bozza di contratto con l’ente creditizio;
• e) un’esplicita dichiarazione da parte dell’istituto di pagamento di conformità all’articolo 10 della seconda direttiva sui servizi di pagamento.

7.2. Qualora il richiedente tuteli i fondi degli utilizzatori di servizi di pagamento mediante una polizza assicurativa o una garanzia analoga da parte di una società assicurativa o di un ente creditizio, la descrizione delle misure di tutela dovrebbe comprendere:

• a) una conferma che la polizza assicurativa o la garanzia analoga da parte di una società assicurativa o da un ente creditizio provenga da un’entità che non è appartiene al medesimo gruppo di imprese del richiedente;
• b) dettagli del processo di riconciliazione in atto per garantire che la polizza assicurativa o la garanzia analoga siano sufficienti a soddisfare, in qualsiasi momento, gli obblighi di tutela del richiedente;
• c) durata e rinnovo della copertura;
• d) copia del contratto (o della bozza di contratto) di assicurazione o della garanzia analoga (o della relativa bozza).

Orientamento 8: Dispositivi di governance e meccanismi di controllo interno

8.1. Il richiedente dovrebbe produrre una descrizione dei dispositivi di governo societario e dei meccanismi di controllo che comprenda:

• a) una mappatura dei rischi individuati dal richiedente, comprensiva della tipologia dei rischi e delle procedure che il richiedente porrà in essere per valutarli e prevenirli;
• b) le diverse procedure da svolgere con regolarità periodica e i controlli periodici, comprendenti frequenza e assegnazione delle risorse umane;
• c) le procedure contabili che il richiedente utilizzerà per registrare e segnalare le proprie informazioni finanziarie;
• d) l’identità della(e) persona(e) responsabile(i) delle funzioni di controllo interno, nonché del controllo di conformità periodico e permanente, e un curriculum vitae aggiornato;
• e) l’identità dei revisori che non siano revisori legali dei conti ai sensi della direttiva 2006/43/CE;
• f) la composizione dell’organo di amministrazione e, se applicabile, di ogni altro organo o comitato di vigilanza;
• g) una descrizione delle modalità di monitoraggio e controllo delle funzioni esternalizzate, in modo da evitare alterazioni nella qualità dei controlli interni dell’istituto di pagamento;
• h) una descrizione delle modalità di monitoraggio e controllo di agenti e delle succursali nell’ambito del quadro dei controlli interni del richiedente;
• i) qualora il richiedente sia la filiazione di un intermediario vigilato in un altro Stato membro dell’UE, una descrizione della governance del gruppo.

Orientamento 9: Procedure per il monitoraggio, la gestione e il controllo degli incidenti di sicurezza e dei reclami dei clienti in merito alla sicurezza

9.1. Il richiedente dovrebbe presentare una descrizione della procedura utilizzata per il monitoraggio, la gestione e il controllo degli incidenti di sicurezza e dei reclami dei clienti in merito alla sicurezza. La descrizione dovrebbe comprendere:

• a) misure di carattere organizzativo e strumenti per la prevenzione delle frodi;
• b) informazioni dettagliate del(i) soggetto(i) e degli organi responsabili dell’assistenza dei clienti nei casi di frode, di problematiche tecniche e/o della gestione dei reclami;
• c) linee di riporto nei casi di frode;
• d) il contatto per i clienti, comprensivo di nome e indirizzo e-mail;
• e) le procedure per la segnalazione degli incidenti, compresa la comunicazione di tali relazioni agli organi interni o esterni, nonché la notifica di gravi incidenti alle autorità nazionali competenti ai sensi dell’articolo 96 della seconda direttiva sui servizi di pagamento, e in linea con gli orientamenti dell’ABE sulla comunicazione degli incidenti ai sensi dell’indicato articolo.
• f) gli strumenti di monitoraggio impiegati e le misure e le procedure di controllo poste in essere per attenuare i rischi in materia di sicurezza.

Orientamento 10: Processo per l’archiviazione, il monitoraggio, la tracciabilità e la limitazione dell’accesso ai dati sensibili relativi ai pagamenti

10.1. Il richiedente dovrebbe fornire una descrizione della procedura esistente per l’archiviazione, il monitoraggio, la tracciabilità e la limitazione dell’accesso ai dati sensibili relativi ai pagamenti. Tale descrizione dovrebbe comprendere:

• a) una descrizione del flusso di dati classificati come dati sensibili relativi ai pagamenti nell’ambito del modello di business dell’istituto di pagamento;
• b) le procedure vigenti per l’autorizzazione all’accesso dei dati sensibili relativi ai pagamenti;
• c) una descrizione dello strumento di monitoraggio;
• d) la politica del diritto di accesso, con descrizione dettagliata dell’accesso a tutti i relativi

back-up;

• e) una descrizione delle modalità di archiviazione dei dati acquisiti, salvo che il richiedente intenda fornire esclusivamente servizi di disposizione di ordine di pagamento;
• f) l’uso interno e/o esterno previsto dei dati acquisiti, anche da parte delle controparti, salvo i casi in cui il richiedente intenda fornire esclusivamente servizi di disposizione di ordine di pagamento;
• g) misure tecniche di sicurezza e sistemi informatici che sono stati adottati, compresa la cifratura e/o la tokenizzazione;
• h) identificazione dei soggetti, degli organi e/o comitati con accesso ai dati sensibili relativi ai pagamenti;
• i) una spiegazione delle modalità di individuazione e correzione delle violazioni;
• j) un programma annuale di controllo interno in merito alla sicurezza dei sistemi informatici.

Orientamento 11: Disposizioni in materia di continuità operativa

11.1. Il richiedente dovrebbe presentare una descrizione delle disposizioni in materia di continuità operativa comprendente:

• a) un’analisi dell’impatto sulle attività aziendali che comprenda i processi aziendali e gli obiettivi di risanamento, quali gli obiettivi legati ai tempi di risanamento, gli obiettivi in materia di punti di risanamento e le attività tutelate;
• b) identificazione del sito per il back-up, accesso alle infrastrutture informatiche e software e i dati principali da ripristinare a seguito di incidenti o interruzioni;
• c) una spiegazione della modalità con le quali il richiedente procederà rispetto alla gestione delle interruzioni e degli eventi di continuità significativi, quali il malfunzionamento dei sistemi principali; la perdita dei dati fondamentali, l’inaccessibilità ai locali e la perdita dei soggetti rilevanti;
• d) la frequenza con la quale il richiedente intende verificare i piani di continuità operativa e di piano di ripristino in caso di disastro, nonché le modalità con le quali i risultati ottenuti saranno registrati;
• e) una descrizione delle misure di riduzione del rischio adottate dal richiedente, nelle situazioni di cessazione dei propri servizi di pagamento, garantendo l’esecuzione delle operazioni di pagamento in corso e la risoluzione dei contratti esistenti.

Orientamento 12: Principi e definizioni applicabili all’acquisizione di dati statistici su prestazioni, operazioni e frodi

12.1. Il richiedente dovrebbe fornire una descrizione dei principi e delle definizioni applicabili all’acquisizione di dati statistici su prestazioni, operazioni e frodi. Tale descrizione dovrebbe comprendere le seguenti informazioni:

• a) la tipologia di dati acquisiti, in relazione ai clienti, alla tipologia di servizi di pagamento, ai canali, agli strumenti, alle giurisdizioni e valute;
• b) la finalità dell’acquisizione, in termini di attività ed entità interessate, quali succursali e agenti;
• c) modalità di acquisizione;
• d) finalità dell’acquisizione;
• e) frequenza dell’acquisizione;
• f) documenti di supporto, quali manuali, che descrivano il funzionamento del sistema.

Orientamento 13: Documento relativo alla politica di sicurezza

13.1. Il richiedente dovrebbe produrre un documento relativo alla politica di sicurezza comprendente le seguenti informazioni:

• a) una valutazione dettagliata del rischio correlato al(i) servizio(i) di pagamento che il richiedente intende fornire, che dovrebbe comprendere i rischi di frode e le misure di controllo della sicurezza e di attenuazione adottate per salvaguardare in maniera appropriata gli utilizzatori dei servizi di pagamento dai rischi individuati;
• b) una descrizione dei sistemi informatici, che dovrebbe comprendere:
• i. l’architettura dei sistemi e i relativi elementi di rete;
• ii. i sistemi informatici aziendali a sostegno delle attività prestate, quali il sito web del richiedente, i portafogli, motore per il pagamento, il motore di gestione dei rischi e delle frodi e la contabilità del cliente;
• iii. i sistemi informatici di supporto impiegati per l’organizzazione e l’amministrazione del richiedente, quali la contabilità, i sistemi di segnalazione previsti dalla legge, la gestione del personale e del rapporto con la clientela, i server di posta elettronica e i file interni al server;
• iv. informazioni inerenti l’eventuale impiego in corso dei menzionati sistemi da parte del richiedente o del proprio gruppo e, se del caso, la data stimata di attuazione;
• c) la tipologia di connessioni autorizzate dall’esterno, quali quelle con partner, prestatori di servizi, entità del gruppo e dipendenti che lavorano in remoto, nonché le motivazioni per tali connessioni;
• d) per ciascuna delle connessioni elencate nel punto c), le misure e i meccanismi di sicurezza logica esistenti, precisando tipologia, natura e frequenza dei controlli che il richiedente avrà su tali accessi. Per esempio, controlli tecnici rispetto a quelli organizzativi, preventivi rispetto a quelli rilevativi, nonché in tempo reale rispetto a revisioni periodiche, quali l’impiego di un’active directory distinta dal gruppo, l’apertura/chiusura di linee di comunicazione, la configurazione di apparecchiature per la sicurezza, la generazione di codici o certificati di autenticazione client, il monitoraggio dei sistemi, l’autenticazione, la riservatezza delle comunicazioni, rilevamento delle intrusioni, sistemi antivirus e log;
• e) le misure e i meccanismi di sicurezza logica, che disciplinano l’accesso interno ai sistemi informatici, dovrebbero comprendere:
• i. la natura tecnica e organizzativa nonché la frequenza di ciascuna misura, per esempio l’indicazione se sia di carattere preventivo o rilevativo e se eseguita o meno in tempo reale;
• ii. le modalità di gestione della problematica della segregazione dell’ambiente client, nel caso in cui le risorse informatiche del richiedente siano condivise;
• f) le misure e i meccanismi di sicurezza materiale dei locali e del centro dati del richiedente, quali controlli di accesso e di sicurezza ambientale;
• g) la sicurezza dei processi di pagamento, che dovrebbe comprendere:
• i. la procedura di autenticazione del cliente impiegata sia per scopi di accesso consultivo sia operativo e per tutti gli altri strumenti di pagamento sottesi;
• ii. una spiegazione delle modalità mediante le quali la consegna sicura al legittimo utilizzatore dei servizi di pagamento e l’integrità dei fattori di autenticazione, quali hardware token e applicazioni per dispositivi mobili, saranno assicurate sia al momento della registrazione iniziale sia all’atto del rinnovo;
• iii. una descrizione dei sistemi e delle procedure poste in essere dal richiedente per l’analisi delle operazioni e l’individuazione delle operazioni sospette e insolite;
• h) una valutazione dettagliata dei rischi correlati ai propri servizi di pagamento, compreso il rischio di frodi, che presenti un collegamento alle misure di controllo e attenuazione illustrate nel fascicolo della domanda, a dimostrazione di come i rischi vengano affrontati;
• i) un elenco delle principali procedure scritte in relazione ai sistemi informatici del richiedente o, per le procedure in attesa di formalizzazione, una data prevista per il completamento.

Orientamento 14: Meccanismi di controllo interno al fine di conformarsi agli obblighi in materia di riciclaggio dei proventi di attività criminose e finanziamento del terrorismo (obblighi di AML/CFT)

14.1. La descrizione dei meccanismi di controllo interno che il richiedente ha predisposto allo scopo di conformarsi, se del caso, ai suddetti obblighi, dovrebbe contenere le seguenti informazioni:

• a) la valutazione eseguita dal richiedente dei rischi di riciclaggio di denaro e finanziamento al terrorismo correlati con la propria attività, compreso il rischio associato al portafoglio clienti, ai prodotti e servizi offerti, ai canali di distribuzione impiegati e le aree geografiche di esercizio;
• b) le misure che il richiedente ha posto o porrà in essere per attenuare i rischi e conformarsi con gli obblighi applicabili di contrasto al riciclaggio dei proventi di attività criminose e al finanziamento del terrorismo, compresi i processi di valutazione dei rischi, le politiche e le procedure finalizzate a soddisfare gli obblighi di esercizio della due diligence della clientela, nonché le politiche e le procedure di rilevamento e segnalazione delle operazioni e delle attività sospette;
• c) i sistemi e controllo che il cliente ha adottato o adotterà per garantire che succursali e agenti si conformino agli obblighi applicabili di contrasto al riciclaggio dei proventi di attività criminose e al finanziamento del terrorismo, anche nelle situazioni in cui l’agente
• o la succursale abbiano sede in un altro Stato membro;
• d) le disposizioni che il richiedente ha attuato o attuerà per assicurare che il personale e gli agenti siano adeguatamente formati sulle questioni inerenti il contrasto al riciclaggio dei proventi di attività criminose e al finanziamento del terrorismo;
• e) l’identità del soggetto incaricato di garantire la conformità del richiedente agli obblighi applicabili di contrasto al riciclaggio dei proventi di attività criminose e al finanziamento del terrorismo, nonché la dimostrazione che la sua competenza in tale materia sia tale da consentire di svolgere efficacemente tale funzione;
• f) i sistemi e i controlli che il richiedente ha posto o porrà in essere per accertare che le proprie politiche e procedure di contrasto al riciclaggio dei proventi di attività criminose e al finanziamento del terrorismo restino aggiornate, efficaci e pertinenti;
• g) i sistemi e i controlli che il richiedente ha istituito o istituirà per certificare che gli agenti non lo esporranno a un maggiore rischio di riciclaggio di denaro e finanziamento del terrorismo;
• h) il manuale di lotta al riciclaggio e contrasto al finanziamento del terrorismo per il personale del richiedente.

Orientamento 15: Accertamento dell’identità e dell’idoneità dei soggetti che detengono partecipazioni qualificate presso il richiedente

15.1 Ai fini della verifica dell’identità e delle prove di idoneità dei soggetti che detengono partecipazioni presso l’istituto di pagamento del richiedente, senza pregiudicarne la valutazione in conformità dei criteri rilevanti ai sensi della direttiva 2007/44/CE e specificati negli orientamenti congiunti per la valutazione prudenziale delle acquisizioni di partecipazioni (JC/GL/2016/01), il richiedente dovrebbe presentare le seguenti informazioni:

• a) una descrizione del gruppo di appartenenza del richiedente e un’indicazione dell’impresa madre, se del caso;
• b) un grafico che descriva la struttura azionaria del richiedente, comprendente:
• i) il nome e la percentuale di partecipazione (capitale/diritto di voto) di ciascun soggetto che ha o che avrà una partecipazione diretta nel capitale azionario del richiedente, identificando le partecipazioni qualificate e le motivazioni per tali qualifiche;
• ii) il nome e la percentuale di partecipazione (capitale/diritto di voto) di ciascun soggetto che ha o che avrà una partecipazione indiretta nel capitale azionario del richiedente, identificando le partecipazioni qualificate indirette e le ragioni per tali qualifiche;
• c) un elenco dei nomi di tutti i soggetti e delle altre entità che sono in possesso o, in caso di autorizzazione, entreranno in possesso di partecipazioni nel capitale del richiedente, con indicazione, per ciascun soggetto o entità:

sottoscrivere;

• ii. del valore nominale di tali azioni o altre partecipazioni.

15.2 Nel caso in cui il soggetto che è in possesso o, in caso di autorizzazione, entrerà in possesso di una partecipazione qualificata nel capitale del richiedente sia una persona fisica, il richiedente dovrebbe precisare tutte le seguenti informazioni legate all’identità e idoneità di tale soggetto:

• a) il nome del soggetto e il nome alla nascita del medesimo, la data e il luogo di nascita, la cittadinanza (attuale e precedente), il numero di identificazione (ove disponibile) o il numero di passaporto, l’indirizzo e una copia di un documento d’identità ufficiale;
• b) un curriculum vitae dettagliato con indicazione dell’istruzione e della formazione pertinenti, dell’esperienza professionale precedente e di qualsiasi attività professionale
• o altre funzioni attualmente svolte;
• c) una dichiarazione, corredata da documenti giustificativi, che comprenda le seguenti informazioni in merito al soggetto in questione:
• i. obblighi della legislazione nazionale in materia di comunicazione delle pene estinte, delle condanne o dei procedimenti penali emessi nei confronti del soggetto e che non siano stati annullati;
• ii. decisioni civili o amministrative in materia di rilevanza ai fini della procedura di valutazione o di autorizzazione emesse nei confronti del soggetto, nonché sanzioni e misure amministrative comminate a seguito della violazione di leggi o regolamenti (inclusa l’interdizione come amministratore di società), in ogni caso in cui non siano stati annullate e non ci siano impugnazioni pendenti o che possano essere presentate;
• iii. fallimento, insolvenza o procedure analoghe;
• iv. indagini penali in corso;
• v. indagini amministrative o civili, procedimenti esecutivi, sanzioni o altre decisioni esecutive a carico del soggetto riguardanti questioni che possono essere considerate pertinenti all’autorizzazione a dare avvio all’attività dell’istituto di pagamento o alla sua gestione prudente e sana;
• vi. laddove sia possibile reperire tali documenti, un certificato ufficiale o qualsiasi

commi (i)-(v) si siano verificati nei confronti del soggetto interessato;

• vii. rifiuto di registrazione, autorizzazione, iscrizione o licenza a svolgere attività commerciali, imprenditoriali o professionali;
• viii. revoche, ritiri o cancellazioni di registrazioni, autorizzazioni, iscrizione o licenze a svolgere attività commerciali, imprenditoriali o professionali;
• ix. espulsioni da parte di un’autorità o un ente pubblico nel settore dei servizi finanziari o da un ordine o un’associazione professionale;
• x. posizioni di responsabilità ricoperte con un entità sottoposta a condanne o procedimenti penali, indagini amministrative, sanzioni o altre decisioni esecutive per irregolarità di condotta, compresa frode, disonestà, corruzione, riciclaggio di denaro, finanziamento del terrorismo o altri crimini finanziari, la mancata attuazione di adeguate politiche e procedure atte a impedire tali eventi nel periodo in cui la presunta condotta si è verificata, nonché dettagli legati a tali avvenimenti e, se del caso, al coinvolgimento del soggetto negli stessi;
• xi. licenziamenti da impieghi o ruoli di fiducia, rimozioni da un rapporto fiduciario (diverso dalla cessazione del relativo rapporto per scadenza naturale) e situazioni analoghe;
• d) un elenco delle imprese che il soggetto che dirige o controlla e di cui il richiedente è venuto a conoscenza a seguito di opportuna e attenta indagine; quota di controllo diretto
• o indiretto in tali società; stato dell’impresa (attiva, sciolta, ecc.), nonché descrizione delle insolvenze o di procedure analoghe;
• e) nel caso l’accertamento della reputazione della persona in questione sia già stato compiuto da un’autorità competente nel settore dei servizi finanziari, è necessario fornire la denominazione di detta autorità e il risultato dell’accertamento;
• f) la posizione finanziaria attuale del soggetto, compresi i dati dettagliati relativi alle fonti di reddito, attività e passività, diritti di garanzia e garanzie, concesse o ottenute;
• g) una descrizione dei legami con persone politicamente esposte, ai sensi dell’articolo 3, paragrafo 9 della direttiva (UE) 2015/849² .

15.3 Nel caso in cui un soggetto o un’entità che è in possesso o, in caso di autorizzazione, entrerà in possesso di una partecipazione qualificata nel capitale del richiedente (comprese le entità che non sono persone giuridiche e che detengono la partecipazione o dovrebbero detenerla a proprio nome), la domanda dovrebbe annoverare le seguenti informazioni relative alla identità e idoneità della menzionata persona giuridica o entità:

• a) nome;
• b) nel caso in cui la persona giuridica o l’entità sia registrata presso un registro centrale, commerciale, delle imprese o in un registro analogo con le medesime finalità di quelli menzionati, una copia del certificato di regolare iscrizione, ove possibile, o altrimenti un certificato di registrazione;
• c) l’indirizzo della sede legale e, se diverso, della direzione generale, nonché della sede operativa principale;
• d) dati di contatto;
• e) documenti aziendali o, nel caso di persona o entità registrata in un altro Stato membro,

dell’entità;

• f) regolamentazione o meno nei confronti della persona giuridica o l’entità da parte di un’autorità competente nel settore dei servizi finanziari o da altri enti pubblici;
• g) laddove sia possibile reperire tali documenti, un certificato ufficiale o qualsiasi altro documento equivalente comprovante le informazioni definite nei paragrafi da (a) a (e) emessi dall’autorità competente interessata;
• h) le informazioni di cui all’orientamento 15, paragrafo 2, lettere da (c) a (g) in relazione alla persona giuridica o all’entità;
• i) un elenco delle informazioni dettagliate relative a ciascun soggetto che dirige effettivamente l’attività della persona giuridica o dell’entità, con il nome, data e luogo di nascita, indirizzo, numero di identificazione nazionale, ove disponibile e un curriculum vitae dettagliato (con indicazione dell’istruzione e formazione pertinenti, l’esperienza professionale precedente e qualsiasi attività professionale o altre funzioni rilevanti attualmente svolte), insieme alle informazioni di cui all’orientamento 15, paragrafo 2, lettere c) e d), relativamente alla persona in questione;
• j) la struttura proprietaria della persona giuridica, con indicazione almeno del nome, data e luogo di nascita, indirizzo, e ove disponibile, il numero di identificazione nazionale o il numero di registrazione, nonché percentuale di capitale e di voto rispettivamente di azionisti o soci diretti o indiretti e beneficiari effettivi, ai sensi dell’articolo 3, paragrafo 6 della direttiva (UE) 2015/849;
• k) una descrizione del gruppo finanziario regolamentato di cui il richiedente è o potrebbe diventare parte, con indicazioni in merito all’impresa madre, nonché enti creditizi, assicurativi e di sicurezza interni al gruppo; il nome delle rispettive autorità competenti (su base individuale o consolidata); e
• l) i conti annuali, a livello individuale e, ove applicabili, a livelli di gruppo consolidato e subconsolidato, per gli ultimi tre esercizi finanziari, nel caso in cui la persona giuridica o l’entità siano state operative nel menzionato periodo (oppure, se inferiore ai tre anni, il periodo nel quale la persona giuridica o l’entità sono state operative e nel quale sono

contabile ai sensi della direttiva 2006/43/CE³ , ove applicabile, comprendenti le seguenti voci:

• i. lo stato patrimoniale;
• ii. i conti profitti e perdite o il conto economico;
• iii. le relazioni annuali e allegati finanziari ed eventuali altri documenti protocollati nel pertinente registro o presso l’autorità competente della persona giuridica;
• m) qualora la persona giuridica non sia stata operativa per un periodo sufficiente a

immediatamente precedenti alla data della domanda, quest’ultima deve contenere lo stato finanziario esistente (ove disponibile);

• n) qualora la persona giuridica o l’entità abbiano la propria direzione generale in un paese terzo, le informazioni in merito al regime di regolamentazione di quest’ultimo applicabile alla persona giuridica o all’entità, comprese le informazioni sulla misura in cui il regime di lotta al riciclaggio e di contrasto al finanziamento del terrorismo del paese terzo sia compatibile con raccomandazioni del Gruppo d’azione finanziaria internazionale;
• o) per le entità che non hanno personalità giuridica quali un organismo di investimento collettivo, fondi sovrani o trust, la domanda deve contenere le seguenti informazioni:
• i. l’identità delle persone che gestiscono le attività, nonché dei beneficiari o dei sottoscrittori;
• ii. una copia del documento che istituisce e disciplina l’entità, incluse la politica di investimento e le limitazioni agli investimenti applicabili all’entità. 15.4. Per ciascuna persona fisica o giuridica o entità che è in possesso o, in caso di autorizzazione, entrerà in possesso di una partecipazione qualificata nel capitale del richiedente, la domanda deve essere corredata dalle seguenti informazioni:
• a) informazioni dettagliate in merito alle motivazioni finanziarie o commerciali in virtù delle quali la persona giuridica o l’entità detengono tale partecipazione, incluso il periodo nel quale la persona o l’entità intendono detenere la partecipazione, nonché l’eventuale proposito di aumentare, ridurre o mantenere il livello della partecipazione in un prevedibile futuro;
• b) dettagli delle intenzioni della persona o dell’entità con riferimento al richiedente e l’influenza che la persona o l’entità intende esercitare su quest’ultimo, tra cui, in relazione alla politica dei dividendi, lo sviluppo strategico e l’assegnazione delle risorse del richiedente, intenda o meno agire in qualità di azionista di minoranza attivo e relative ragioni di tale proposito;
• c) informazioni sulla volontà da parte della persona o dell’entità di sostenere il richiedente con ulteriori fondi propri, ove necessario per lo sviluppo delle proprie attività o in caso di difficoltà finanziarie;
• d) il contenuto degli accordi previsti degli azionisti o dei soci con altri azionisti o soci in relazione al richiedente;
• e) un’analisi sul possibile e impatto della partecipazione qualificata, compreso quello conseguente agli stretti legami del soggetto con il richiedente, sulla capacità di quest’ultimo di fornire informazioni tempestive e accurate alle autorità competenti;
• f) l’identità di ciascun membro dell’organo di amministrazione o dell’alta dirigenza che dirigeranno l’attività del richiedente e saranno designati dai menzionati azionisti o soci,
• o a seguito della nomina da parte di questi ultimi, nonché, ove non ancora fornite, le informazioni di cui all’orientamento 16.

15.5. La domanda dovrebbe indicare una spiegazione dettagliata delle specifiche fonti di finanziamento per la partecipazione di ciascuna persona o entità che detiene una partecipazione qualificata nel capitale del richiedente. Tale spiegazione dovrebbe includere:

• a) informazioni dettagliate sull’impiego di risorse finanziare private, incluse disponibilità e (al fine di garantire che l’autorità competente ritenga che l’attività che ha generato i fondi sia legittima) origine;
• b) dettagli sull’accesso ai mercati finanziari, comprese le informazioni approfondite sugli strumenti finanziari da emettere;
• c) informazioni in merito all’uso di fondi provenienti da prestiti, compreso il nominativo dei

garanzia e garanzie, nonché le informazioni sulla fonte delle entrate di cui servirsi per rimborsare tali prestiti. Laddove il prestatore non sia un ente creditizio o un ente finanziario autorizzato a concedere crediti, il richiedente dovrebbe fornire alle autorità competenti informazioni riguardanti l’origine di tali fondi presi a prestito;

• d) informazioni su eventuali accordi finanziari con altri azionisti o soci del richiedente.

Orientamento 16: Accertamento dell’identità e idoneità degli amministratori e dei soggetti responsabili della gestione dell’istituto di pagamento

16.1. Ai fini dell’accertamento dell’identità e dell’idoneità di amministratori e soggetti responsabili della gestione dell’istituto di pagamento, il richiedente dovrebbe presentare le seguenti informazioni:

• a) dati personali, ovvero:
• i. nome completo, genere, luogo e data di nascita, indirizzo e nazionalità, numero di identificazione personale o copia della carta d’identità o documento equivalente;
• ii. dettagli concernenti la posizione per la quale l’accertamento è richiesto, nonché l’indicazione della posizione, esecutiva o meno, all’interno dell’organo di amministrazione. Dovrebbero essere altresì incluse le seguenti informazioni:

• b) se del caso, informazioni sulla valutazione dell’idoneità eseguita dal richiedente, che dovrebbe comprendere i dettagli dei risultati di qualsiasi valutazione di idoneità del soggetto eseguita da parte dell’ente, quali verbali pertinenti del consiglio o relazioni relative alla valutazione di idoneità o altri documenti;
• c) prove di conoscenza, competenza ed esperienza, le quali dovrebbero comprendere un curriculum vitae con l’indicazione dell’istruzione e dell’esperienza professionale, tra cui titoli di studio, altro tipo di formazione di rilievo, nome e natura di tutte le organizzazioni per le quali il soggetto lavora o ha lavorato, nonché la natura e la durata delle funzioni svolte, con particolare rilievo circa le attività connesse alla posizione richiesta;
• d) prove in merito a reputazione, onestà e integrità, che dovrebbero comprendere:
• i. casellari giudiziali e informazioni di rilievo su indagini e procedimenti penali, procedimenti civili e amministrativi pertinenti e azioni disciplinari, tra cui l’interdizione dalla funzione di amministratore della società, bancarotta, insolvenza e procedure analoghe, in particolare mediante un certificato ufficiale
• o qualsiasi fonte di informazione oggettivamente affidabile riguardante l’assenza di condanne penali, indagini e procedimenti, quali indagini di terzi e testimonianze rese a un avvocato o un notaio con sede nell’Unione europea;
• ii. certificato dal quale risulti se sono pendenti procedimenti penali o se il soggetto
• o le organizzazioni da questi gestite hanno avuto un coinvolgimento come debitore in procedure di insolvenza o analoghe;
• iii. informazioni in merito a:

Orientamento 17: Identità dei revisori legali dei conti e delle società di revisione contabile

Il richiedente è tenuto a fornire l’identità dei revisori legali dei conti e delle società di revisione contabile ai sensi della direttiva 2006/43/CE, ove pertinenti, che dovrebbe comprendere l’indicazione dei nomi, degli indirizzi e dei dati di contatto dei revisori.

Orientamento 18: Assicurazione per la responsabilità civile professionale o garanzia analoga per i servizi di di disposizione di ordine di pagamento e di informazione sui conti.

Come prova dell’assicurazione per la responsabilità civile professionale o delle garanzie analoghe compatibili con gli orientamenti dell’ABE in materia di criteri sulle modalità di stipula dell’importo monetario minimo dell’assicurazione della responsabilità civile professionale o delle garanzie analoghe (EBA/GL/2017/08) e con l’ articolo 5, paragrafi 2 e 3 della seconda direttiva sui servizi di pagamento, il richiedente, per la prestazione dei servizi di ordine di pagamento o di informazione sui conti, dovrebbe presentare le seguenti informazioni:

• a) un contratto assicurativo o altro documento equivalente che confermi l’esistenza di un’assicurazione della responsabilità civile professionale o di una garanzia analoga che sia compatibile con i sopra menzionati orientamenti dell’ABE, comprovante la copertura delle relative responsabilità;
• b) documentazione in merito alle modalità di calcolo da parte del richiedente dell’importo minimo conforme ai menzionati orientamenti dell’ABE, inclusi tutti i componenti della formula ivi specificata.

² Direttiva (UE) 2015/849 del Parlamento europeo e del Consiglio, del 20 maggio 2015 relativa alla prevenzione dell’uso del sistema finanziario a scopo di riciclaggio o finanziamento del terrorismo (GU L141 del 5.6.2015, pag. 73).

³ Direttiva 2006/43/CE del Parlamento europeo e del Consiglio del 17 maggio 2006, relativa alle revisioni legali dei conti annuali e dei conti consolidati, che modifica le direttive 78/660/CEE e 83/349/CEE del Consiglio e abroga la direttiva 84/253/CEE del Consiglio (GU L 157 del 9.6.2006, pagg. 87-107).

4.2 Orientamenti sulle informazioni richieste ai richiedenti per la registrazione in merito alla prestazione del solo servizio del punto 8

Orientamento 1: Principi generali

1.1 La presente serie di orientamenti si applica ai richiedenti l’autorizzazione come prestatori di servizi di informazione sui conti. Si riferisce esclusivamente ai richiedenti che intendono erogare esclusivamente servizi di informazione sui conti. Il richiedente che intende fornire servizi ulteriori rispetto a quelli di informazione sui conti, dovrebbe presentare la domanda di autorizzazione e fare riferimento agli orientamenti descritti nella sezione 4.1 relativa agli istituti di pagamento.

1.2 I richiedenti dovrebbero fornire informazioni autentiche, complete, accurate e aggiornate. Tutti i richiedenti dovrebbero conformarsi alle disposizioni della serie di orientamenti loro applicabili. Il livello di dettaglio richiesto per garantire la conformità dovrebbe essere adeguato a dimensioni e all’organizzazione interna del richiedente, nonché alla natura, allo scopo, alla complessità e rischiosità del(i) particolare(i) servizio(i) che intende fornire. In ogni caso, in conformità alla direttiva UE 2015/2366, gli amministratori e le persone responsabili della gestione dell’istituto di pagamento godono di onorabilità e sono in possesso di

indipendentemente da dimensioni, organizzazione interna e natura, scopo dell’istituto e complessità delle attività del medesimo, nonché dai doveri e responsabilità della posizione specifica.

1.3 Al momento di presentazione delle informazioni richieste, il richiedente dovrebbe evitare di fare riferimento a sezioni specifiche di procedure/documenti interni. Al contrario, il richiedente dovrebbe estrapolare le sezioni interessate e fornirle all’autorità competente.

1.4 Nel caso in cui le autorità competenti richiedessero chiarimenti sulle informazioni presentate, il richiedente dovrebbe fornirli tempestivamente. 1.5 I dati richiesti ai sensi dei presenti orientamenti per la registrazione in qualità di prestatori di servizi di informazione sui conti sono necessari per la valutazione della domanda e saranno trattati dall’autorità competente conformemente all’obbligo del segreto professionale previsto dalla seconda direttiva sui servizi di pagamento, fatto salvo il diritto dell’Unione e le norme e procedure nazionali sull’esercizio del diritto di accesso, rettifica, cancellazione o opposizione.

Orientamento 2: Dati identificativi

2.1 Nel caso in cui il richiedente sia una persona fisica, gli estremi identificativi che il richiedente è tenuto a fornire dovrebbero contenere le seguenti informazioni:

• a) nominativo, indirizzo, nazionalità, data e luogo di nascita;
• b) una copia del documento di identità o di documenti identificativi equivalenti;
• c) un curriculum vitae aggiornato;
• d) una verifica del casellario giudiziale che non risale a più di 3 mesi;
• e) nominativo(i) della(e) persona(e) incaricata(e) di occuparsi del fascicolo della domanda e della procedura di autorizzazione, e i dati di contatto di questi ultimi.

2.2 Nel caso in cui il richiedente sia una persona giuridica, gli estremi identificativi che il richiedente è tenuto a fornire dovrebbero contenere le seguenti informazioni:

• a) la denominazione sociale del richiedente e, se diversa, la denominazione commerciale del medesimo;
• b) indicazioni sull’avvenuta costituzione o sulla costituzione in corso del richiedente;
• c) numero d’identificazione nazionale del richiedente, se del caso;
• d) regime giuridico del richiedente e statuto (progetto di statuto) e/o atti costitutivi comprovanti il regime giuridico del medesimo;
• e) indirizzo della direzione generale del richiedente e della sede sociale del medesimo;
• f) indirizzo di posta elettronica e sito web del richiedente, se disponibile;
• g) nominativo(i) della(e) persona(e) incaricata(e) di occuparsi del fascicolo della domanda e della procedura di autorizzazione, e i dati di contatto di questi ultimi.
• h) indicazioni sull’eventualità che il richiedente sia stato o sia attualmente regolamentato dall’autorità competente nel settore dei servizi finanziari;
• i) l’atto di costituzione registrato oppure, ove applicabile, il certificato negativo di un registro delle imprese attestante che il nome scelto dalla società è disponibile;
• j) prove dell’avvenuto pagamento di corrispettivi o del versamento di somme per la presentazione della domanda di registrazione come prestatore di servizi di informazione sui conti, se del caso, in applicazione della legislazione nazionale.

Orientamento 3: Programma di attività

3.1. Il programma delle attività che il richiedente è tenuto a fornire, dovrebbe contenere le seguenti informazioni:

• a) una descrizione del servizio di informazione sui conti che si intende fornire, con la spiegazione delle modalità con le quali il richiedente ha stabilito che l’attività corrisponde alla definizione dei servizi di informazione sui conti di cui all’articolo 4, paragrafo 16 della direttiva (UE) 2015/2366 (seconda direttiva sui servizi di pagamento);
• b) una dichiarazione del richiedente con la quale dichiara che non entrerà in possesso di fondi;
• c) una descrizione della prestazione del servizio di informazione sui conti che comprenda:
• i. bozze di contratto tra le parti coinvolte, ove del caso;
• ii. termini e condizioni della prestazione del servizio di informazione suiconti;
• iii. tempi di elaborazione;
• d) una stima del quantitativo dei diversi siti dai quali il richiedente intende erogare i servizi, se del caso;
• e) una descrizione dei servizi accessori rispetto a quelli di pagamento, se del caso;
• f) una dichiarazione relativa all’intenzione o meno del richiedente di prestare servizi di informazione sui conti in un altro Stato membro dell’UE o in un altro paese una volta conclusasi la registrazione;
• g) indicazione relativa all’intenzione del richiedente, per i successivi tre anni, di voler prestare o di prestare già attività commerciali diverse dai servizi di informazione sui conti di cui all’articolo 18 della direttiva 2015/2366, inclusa una descrizione della tipologia e del volume previsto delle attività;
• h) informazioni specificate negli Orientamenti dell’ABE sui criteri in base ai quali stipulare l’importo monetario minimo dell’assicurazione della responsabilità civile professionale o di altre garanzie analoghe ai sensi dell’articolo 5, paragrafo 4 della direttiva (UE) 2015/2366 (EBA/GL/2017/08), laddove il richiedente intenda fornire esclusivamente il servizio 8 (servizi di informazione sui conti).

Orientamento 4: Piano di attività

4.1. Il piano di attività che il richiedente è tenuto a fornire dovrebbe comprendere:

• a) un piano di marketing contenente:
• i. un’analisi della posizione concorrenziale della società;
• ii. una descrizione degli utilizzatori dei servizi di informazione sui conti nel segmento di mercato interessato delle informazioni dei conti, il materiale di commercializzazione e i canali di distribuzione;
• b) i conti annuali certificati dei tre anni precedenti, ove disponibili, oppure una sintesi della situazione finanziaria per i richiedenti che non hanno ancora prodotto conti annuali;
• c) una stima previsionale del bilancio per i primi tre esercizi finanziari, che dimostri che il richiedente è in grado di utilizzare risorse, procedure e sistemi adeguati e proporzionati che consentano una sana gestione. La stima dovrebbe comprendere:
• i. conto economico e previsione di bilancio, comprendenti scenari obiettivo e scenari di stress, nonché ipotesi di base, quali numero dei clienti, pricing, aumento previsto nella soglia di redditività;
• ii. spiegazioni inerenti le principali linee di entrate e spese, i debiti finanziari e il capitale fisso;
• iii. un diagramma e una suddivisione dettagliata dei flussi finanziari previsti per i tre anni successivi;

Orientamento 5: Struttura organizzativa

5.1. Qualora il richiedente sia una persona fisica, la descrizione della struttura organizzativa dell’impresa del richiedente dovrebbe comprendere le seguenti informazioni:

• a) una previsione complessiva del numero del personale per i successivi tre anni;
• b) una descrizione dei relativi accordi di esternalizzazione operativi comprendente:
• i. l’identità e la localizzazione geografica del fornitore esterno;
• ii. l’identità dei soggetti che, nell’ambito della prestazione dei servizi di informazione sui conti, sono responsabili di ciascuna attività esternalizzata;

caratteristiche principali;

• c) una copia delle bozze degli accordi di esternalizzazione;
• d) descrizione dell’impiego di succursali e agenti, ove del caso, compresa:
• i. una mappatura dei controlli in loco e fuori sede che il richiedente intende eseguire su succursali e agenti;
• ii. i sistemi informatici, i processi e le infrastrutture impiegate dagli agenti del richiedente per svolgere le attività per conto del richiedente;
• iii. nel caso di agenti, la politica di selezione, le procedure di controllo, nonché la formazione degli agenti e, ove disponibili, la bozza delle condizioni di impiego;
• e) un elenco di tutte le persone fisiche o giuridiche che hanno stretti legami con i prestatori di servizi di informazione sui conti del richiedente, con indicazione delle identità e della natura di tali legami.

5.2. Qualora il richiedente sia una persona giuridica, la descrizione della struttura organizzativa dell’impresa dovrebbe comprendere le seguenti informazioni:

• a) un organigramma dettagliato che indichi ciascuna divisione, dipartimento o separazione strutturale analoga, che comprenda il nominativo della(e) persona(e) responsabile(i), in particolare di coloro i quali sono responsabili delle funzioni di controllo interno. L’organigramma dovrebbe essere accompagnato dalla descrizione delle funzioni e delle responsabilità di ciascuna divisione, dipartimento o separazione strutturale analoga;
• b) una previsione complessiva del numero del personale per i successivi tre anni;
• c) una descrizione degli accordi di esternalizzazione di rilievo, comprendente:
• i. l’identità e la localizzazione geografica del fornitore esterno;
• ii. l’identità dei soggetti che, nell’ambito della prestazione dei servizi di informazione sui conti, sono responsabili di ciascuna attività esternalizzata;

caratteristiche principali;

• d) una copia delle bozze degli accordi di esternalizzazione;
• e) descrizione dell’impiego di succursali e agenti, ove del caso, compresa:
• i. una mappatura dei controlli in loco e fuori sede che il richiedente intende eseguire su succursali e agenti;
• ii. I sistemi informatici, i processi e le infrastrutture impiegate dagli agenti per svolgere le attività per conto del richiedente;
• iii. nel caso di agenti, la politica di selezione, le procedure di controllo, nonché la formazione degli agenti e, ove disponibili, la bozza delle condizioni di impiego;
• f) un elenco di tutte le persone fisiche o giuridiche che hanno stretti legami con il richiedente, con indicazione delle relative identità e della natura di tali legami.

Orientamento 6: Dispositivi di governance e meccanismi di controllo interno

6.1. Il richiedente dovrebbe produrre una descrizione dei dispositivi di governance e dei meccanismi di controllo interno comprensiva di:

• a) una mappatura dei rischi individuati dal richiedente, comprensiva della tipologia dei rischi e delle procedure che il richiedente porrà in essere per valutarli e prevenirli;
• b) le diverse procedure che si ha intenzione di svolgere con regolarità periodica e controlli periodici, comprendenti frequenza e assegnazione delle risorse umane;
• c) le procedure contabili che il richiedente utilizzerà per registrare e segnalare le proprie informazioni finanziarie;
• d) l’identità delle persone responsabili delle funzioni di controllo interno, nonché dei controlli di conformità periodici e costanti e un curriculum vitae aggiornato;
• e) l’identità dei revisori che non siano revisori legali dei conti ai sensi della direttiva 2006/43/CE;
• f) la composizione dell’organo di amministrazione e, se del caso, di ogni altro organo o comitato di vigilanza;
• g) una descrizione delle modalità di monitoraggio e controllo delle funzioni esternalizzate, in modo da evitare alterazioni nella qualità dei controlli interni del richiedente;
• h) una descrizione delle modalità di monitoraggio e controllo di agenti e delle succursali nell’ambito del quadro dei controlli interni del richiedente;
• i) qualora il richiedente sia una filiale o un’entità regolamentata in un altro Stato membro dell’UE, una descrizione della governance del gruppo. Orientamento 7: Procedure per il monitoraggio, la gestione e il controllo degli incidenti di sicurezza e dei reclami dei clienti in materia di sicurezza

7.1. Il richiedente dovrebbe presentare una descrizione della procedura utilizzata per il monitoraggio, la gestione e il controllo degli incidenti di sicurezza e dei reclami dei clienti in materia di sicurezza. La descrizione dovrebbe comprendere:

• a) misure di carattere organizzativo e strumenti per la prevenzione delle frodi;
• b) dettagli dei soggetti e degli organi responsabili dell’assistenza dei clienti nei casi di frode, delle problematiche tecniche e/o della gestione dei reclami;
• c) linee di segnalazione nei casi di frode;
• d) il contatto per i clienti, comprensivo di nome e indirizzo e-mail;
• e) procedure per la segnalazione degli incidenti, compresa la comunicazione di tali relazioni a organi interni o esterni, nonché la notifica di gravi incidenti alle autorità nazionali competenti ai sensi dell’articolo 96 della seconda direttiva sui servizi di pagamento e in linea con gli orientamenti dell’ABE sulla comunicazione degli incidenti ai sensi dell’indicato articolo.
• f) gli strumenti di monitoraggio impiegati e le misure e le procedure di controllo poste in essere per attenuare i rischi in materia di sicurezza.

Orientamento 8: Procedura in atto per l’archiviazione, il monitoraggio, la tracciabilità e la limitazione dell’accesso ai dati sensibili relativi ai pagamenti

8.1. Il richiedente dovrebbe fornire una descrizione della procedura in atto per l’archiviazione, il monitoraggio, la tracciabilità e la limitazione dell’accesso ai dati sensibili relativi ai pagamenti. Tale descrizione dovrebbe comprendere:

• a) una descrizione del flusso di dati classificati come dati sensibili relativi ai pagamenti, nell’ambito del modello di business del prestatore dei servizi di informazione sui conti;
• b) le procedure in atto per concedere l’autorizzazione ad accedere ai dati sensibili riguardanti i pagamenti;
• c) una descrizione dello strumento di monitoraggio;
• d) la politica del diritto di accesso, con descrizione dettagliata dell’accesso a tutti i relativi

back-up;

• e) una descrizione delle modalità di archiviazione dei dati acquisiti;
• f) l’uso previsto, interno e/o esterno, dei dati acquisiti, anche in capo alle controparti;
• g) le misure tecniche di sicurezza e sistemi informatici che sono stati adottati, compresa la cifratura e/o il servizio di tokenizzazione;
• h) l’identificazione del (dei) soggetto(i), organi e/o comitato(i) con accesso ai dati sensibili inerenti ai pagamenti;
• i) una spiegazione delle modalità di individuazione e correzione delle violazioni;
• j) un programma annuale di controllo interno in merito alla sicurezza dei sistemi informatici.

Orientamento 9: Disposizioni in materia di continuità operativa

9.1. Il richiedente dovrebbe presentare una descrizione delle disposizioni in materia di continuità operativa comprendente:

• a) un’analisi dell’impatto sulle attività aziendali che comprenda i processi aziendali e gli obiettivi di risanamento, quali gli obiettivi legati ai tempi di risanamento, gli obiettivi in materia di punti di risanamento e le attività tutelate;
• b) identificazione del sito per il back-up, accesso alle infrastrutture informatiche e software e i dati importanti da ripristinare a seguito di incidenti o interruzioni;
• c) una spiegazione della modalità con le quali il richiedente procederà rispetto alla gestione delle interruzioni e degli eventi di continuità significativi, quali il malfunzionamento dei sistemi principali; la perdita dei dati fondamentali, l’inaccessibilità ai locali e la perdita dei soggetti rilevanti;
• d) la frequenza con la quale il richiedente ha intenzione di verificare i piani di continuità operativa e di ripristino in caso di incidente, nonché modalità con le quali i risultati ottenuti saranno registrati.

Orientamento 10: Documento relativo alla politica di sicurezza

10.1. Il richiedente dovrebbe produrre un documento relativo alla politica di sicurezza comprendente le seguenti informazioni:

• a) una valutazione dettagliata del rischio correlato al(i) servizio(i) di pagamento che il richiedente intende fornire, che dovrebbe comprendere i rischi di frode e le misure di controllo della sicurezza e di attenuazione adottate per salvaguardare in maniera appropriata gli utilizzatori dei servizi di pagamento dai rischi individuati;
• b) una descrizione dei sistemi informatici, la quale dovrebbe comprendere:
• i. l’architettura dei sistemi e i relativi elementi di rete;
• ii. i sistemi informatici aziendali a sostegno delle attività prestate, quali il sito web del richiedente, il motore di gestione dei rischi e delle frodi e la contabilità del cliente;
• iii. i sistemi informatici di supporto impiegati per l’organizzazione e l’amministrazione del prestatore di servizi di informazione sui conti, quali contabilità, sistemi di segnalazione previsti dalla legge, la gestione del personale e del rapporto con la clientela, server di posta elettronica e file server interni;
• iv. le informazioni inerenti l’eventuale impiego in corso dei menzionati sistemi da parte del prestatore di servizi di informazione sui conti o del proprio gruppo e, se del caso, la data stimata di attuazione;
• c) la tipologia di connessioni autorizzate dall’esterno, quali quelle con partner, prestatori di servizi, entità del gruppo e dipendenti che lavorano in remoto, nonché le motivazioni per tali connessioni;
• d) per ciascuna delle connessioni elencate nel punto c), le misure e i meccanismi di sicurezza logica esistenti, precisando tipologia, natura e frequenza dei controlli che il prestatore dei servizi di informazione sui conti avrà su tali accessi. In via esemplificativa, controlli tecnici rispetto a quelli organizzativi, preventivi rispetto a quelli rilevativi, nonché in tempo reale rispetto alle revisioni periodiche, quali l’impiego di un’active directory distinta dal gruppo, l’apertura/chiusura di linee di comunicazione, la configurazione delle apparecchiature per la sicurezza, la generazione di codici o certificati di autenticazione client, il monitoraggio dei sistemi, l’autenticazione,la riservatezza delle comunicazioni, il rilevamento delle intrusioni, i sistemi antivirus e log;
• e) le misure e i meccanismi di sicurezza logica, che disciplinano l’accesso interno ai sistemi informatici, dovrebbero comprendere:
• i. la natura tecnica e organizzativa nonché la frequenza di ciascuna misura, per esempio l’indicazione se sia di carattere preventivo o rilevativo e se eseguita o meno in tempo reale;
• ii. le modalità di gestione della problematica della segregazione dell’ambiente client, nel caso in cui le risorse informatiche del richiedente siano condivise;
• f) le misure e i meccanismi di sicurezza materiale dei locali e del centro dati del richiedente, quali controlli di accesso e di sicurezza ambientale;
• g) la sicurezza dei processi di pagamento, che dovrebbe comprendere:
• i. la procedura di autenticazione del cliente utilizzata sia per scopi di accesso consultivo sia operativo;
• ii. una spiegazione delle modalità mediante le quali la consegna sicura al legittimo utilizzatore dei servizi di pagamento e l’integrità dei fattori di autenticazione, quali hardware token e applicazioni per dispositivi mobili, saranno assicurate sia al momento della registrazione iniziale sia all’atto del rinnovo;
• iii. una descrizione dei sistemi e delle procedure poste in essere dal richiedente per l’analisi delle operazioni e l’individuazione delle operazioni sospette e insolite.
• h) una valutazione dettagliata dei rischi correlati ai propri servizi di pagamento, compreso il rischio di frodi, che presenti un collegamento alle misure di controllo e attenuazione illustrate nel fascicolo della domanda, a dimostrazione di come i rischi vengano affrontati;
• i) un elenco delle principali procedure scritte in relazione ai sistemi informatici del richiedente o, per le procedure in attesa di formalizzazione, una data prevista per il complemento.

Orientamento 11: Accertamento dell’identità e idoneità dell’amministratore e dei soggetti responsabili della gestione del prestatore dei servizi di informazione sui conti

11.1. Ai fini dell’accertamento dell’identità e dell’idoneità di amministratori e soggetti responsabili della gestione del prestatore dei servizi di pagamento, il richiedente dovrebbe fornire le seguenti informazioni:

• a) dati personali, che dovrebbero comprendere:
• i. nome completo, genere, luogo e data di nascita, indirizzo e nazionalità, numero di identificazione personale o copia della carta d’identità o documento equivalente;
• ii. dettagli concernenti la posizione per la quale l’accertamento è richiesto, nonché l’indicazione della posizione, esecutiva o meno, all’interno dell’organo di amministrazione; dovrebbero essere incluse anche le seguenti informazioni:

• b) se del caso, informazioni sulla valutazione dell’idoneità eseguita dal richiedente, che dovrebbe comprendere i dettagli dei risultati di qualsiasi valutazione di idoneità del soggetto eseguita da parte dell’ente, quali verbali pertinenti del consiglio o relazioni relative alla valutazione di idoneità o altri documenti;
• c) prove di conoscenza, competenza ed esperienza, le quali dovrebbero comprendere un curriculum vitae con l’indicazione dell’istruzione e dell’esperienza professionale, tra cui titoli di studio, altro tipo di formazione di rilievo, nome e natura di tutte le organizzazioni per le quali il soggetto lavora o ha lavorato, nonché la natura e la durata delle funzioni svolte, con particolare rilievo circa le attività che rientrano nell’ambito dello scopo della posizione richiesta;
• d) prove in merito a reputazione, onestà e integrità, che dovrebbero comprendere:
• i. casellari giudiziali e informazioni di rilievo su indagini e procedimenti penali, procedimenti civili e amministrativi pertinenti e azioni disciplinari, tra cui l’interdizione dalla funzione di amministratore della società, bancarotta, insolvenza e procedure analoghe, in particolare mediante un certificato ufficiale
• o qualsiasi fonte di informazione oggettivamente affidabile riguardante l’assenza di condanne penali, indagini e procedimenti, quali indagini di terzi e testimonianze rese a un avvocato o un notaio con sede nell’Unione europea;
• ii. certificato dal quale risulti se sono pendenti procedimenti penali o se il soggetto
• o le organizzazioni gestite da quest’ultimo hanno avuto un coinvolgimento sotto il profilo debitorio in procedure di insolvenza o analoghe;
• iii. informazioni in merito a:

Orientamento 12: Assicurazione della responsabilità civile professionale o garanzie equivalenti

12.1. Come prova dell’assicurazione della responsabilità civile professionale o delle garanzie analoghe che siano conformi agli orientamenti dell’ABE in materia di Assicurazione della responsabilità civile professionale (EBA/GL/2017/08) e all’articolo 5, paragrafi 2 e 3 della seconda direttiva sui servizi di pagamento, il richiedente dovrebbe presentare le seguenti informazioni:

• a) un contratto assicurativo o altro documento analogo che confermi l’esistenza di un’assicurazione della responsabilità civile professionale o di una garanzia analoga con un importo della garanzia compatibile con i sopra menzionati orientamenti dell’ABE, a dimostrazione della copertura delle relative responsabilità;
• b) documentazione in merito alle modalità di calcolo da parte del richiedente dell’importo minimo conforme ai menzionati orientamenti dell’ABE, inclusi tutti i componenti della formula ivi specificata.

Orientamento 1: Principi generali

1.1 La presente serie di orientamenti si applica ai richiedenti dell’autorizzazione in qualità di istituti di moneta elettronica. Tale serie si riferisce ai richiedenti che intendono fornire servizi di moneta elettronica e, se del caso, il(i) servizio(i) di cui ai punti 1-8 dell’allegato I della seconda direttiva sui servizi di pagamento. I richiedenti che intendono fornire esclusivamente i servizi di pagamento di cui ai punti 1-7 dell’allegato I della seconda direttiva sui servizi di pagamento o al servizio 8, a cui il presente allegato fa riferimento in combinazione con gli altri servizi menzionati nei punti 1-7, senza prestare servizi di moneta elettronica, dovrebbero fare riferimento alla specifica serie di orientamenti riguardo alle informazioni richieste al richiedente per la concessione dell’autorizzazione in qualità di istituto di pagamento, definito nella sezione 4.1. I richiedenti che intendono fornire esclusivamente i servizi di pagamento di cui al punto 8 dell’allegato I della seconda direttiva sui servizi di pagamento, senza erogare servizi di moneta elettronica, devono far riferimento agli orientamenti relativi alle informazioni necessarie per i richiedenti allo scopo di ottenere la registrazione in qualità di prestatore del solo servizio 8 dell’allegato I della seconda direttiva sui servizi di pagamento delineate nella sezione 4.2.

1.2 I richiedenti dovrebbero fornire informazioni autentiche, complete, accurate e aggiornate. Tutti i richiedenti dovrebbero conformarsi alle disposizioni della serie di orientamenti loro applicabili. Il livello di dettaglio dovrebbe essere adeguato alle dimensioni e alla organizzazione interna del richiedente, nonché alla natura, allo scopo, alla complessità e alla rischiosità dei particolari servizi che intende prestare. In ogni caso, in conformità alla direttiva UE 2015/2366, gli amministratori e le persone responsabili della gestione dell’istituto di moneta elettronica godono di onorabilità e sono in possesso di conoscenza ed esperienza appropriate per la prestazione dei servizi di pagamento, indipendentemente dalle dimensioni e dall’organizzazione interna e dalla natura, scopo dell’istituto e complessità delle attività del medesimo, nonché dai doveri e responsabilità della posizione specifica..

1.3 Al momento di presentazione delle informazioni richieste, il richiedente dovrebbe evitare di fare riferimento a sezioni specifiche di procedure/documenti interni. Al contrario, il richiedente dovrebbe estrapolare le sezioni rilevanti e fornirle all’autorità competente. 1.4 Nel caso in cui le autorità competenti esigessero chiarimenti sulle informazioni che sono state presentate, il richiedente dovrebbe fornirli tempestivamente.

1.5 I dati richiesti ai sensi dei presenti orientamenti per le autorizzazioni in qualità di istituti di moneta elettronica sono necessari per la valutazione della domanda e saranno trattati dall’autorità competente conformemente all’obbligo del segreto professionale previsto dalla seconda direttiva sui servizi di pagamento, fatto salvo il diritto dell’Unione e le norme e procedure nazionali sull’esercizio del diritto di accesso, rettifica, cancellazione o opposizione.

Orientamento 2: Dati identificativi

2.1 I dati identificativi che il richiedente è tenuto a fornire dovrebbero contenere le seguenti informazioni:

• a) la denominazione sociale del richiedente e, se diversa, la denominazione commerciale del medesimo;
• b) indicazioni sull’avvenuta costituzione o sulla costituzione in corso del richiedente;
• c) numero d’identificazione nazionale del richiedente, se del caso;
• d) regime giuridico del richiedente e statuto (progetto di statuto) e/o atti costitutivi comprovanti il regime giuridico del medesimo;
• e) indirizzo della direzione generale del richiedente e della sede sociale del medesimo;
• f) indirizzo di posta elettronica e sito web del richiedente, se disponibile;
• g) nominativo(i) della(e) persona(e) incaricata(e) di occuparsi del fascicolo della domanda e della procedura di autorizzazione, e i dati di contatto di questi ultimi;
• h) indicazioni sull’eventualità che il richiedente sia stato o sia attualmente regolamentato dall’autorità competente nel settore dei servizi finanziari;
• i) le associazioni di categoria nell’ambito della prestazione di servizi di moneta elettronica e/o servizi di pagamento a cui il richiedente intende aderire, se del caso;
• j) l’atto di costituzione registrato oppure, ove applicabile, il certificato negativo di un Registro delle imprese attestante che il nome scelto dalla società è disponibile;
• k) prove dell’avvenuto pagamento di corrispettivi o del versamento di somme per la presentazione della domanda di autorizzazione come istituto di moneta elettronica, se del caso, in applicazione della legislazione nazionale. Orientamento 3: Programma di attività

3.1 Il programma delle attività che il richiedente è tenuto a fornire, dovrebbe contenere le seguenti informazioni:

• a) un’indicazione dei servizi di moneta elettronica che il richiedente intende fornire: emissione, rimborso, distribuzione;
• b) se del caso, una descrizione dettagliata della tipologia di servizi di pagamento previsti, comprensiva della spiegazione del modo in cui il richiedente ha identificato attività e operazioni che saranno fornite come rientranti in una delle categorie giuridiche di servizi di pagamento elencati nell’allegato I della seconda direttiva sui servizi di pagamento, nonché l’indicazione dell’eventualità che tali servizi saranno erogati in aggiunta a quelli di moneta elettronica e se sono collegati all’emissione di moneta elettronica;
• c) una dichiarazione in merito all’eventuale entrata in possesso, in qualsiasi momento, di fondi da parte del richiedente;
• d) ove applicabile, una descrizione dell’esecuzione dei diversi servizi di moneta elettronica e, se del caso, dei servizi di pagamento, con descrizione in dettaglio di tutte le parti coinvolte, per ciascun servizio di moneta elettronica e, se applicabile, dei servizi di pagamento forniti:
• i. un diagramma di flusso dei fondi;
• ii. meccanismi di regolamento;
• iii. bozze dei contratti tra tutte le parti coinvolte nella prestazione di servizi di pagamento, comprese eventualmente quelle con sistemi di pagamento mediante carta;
• iv. tempi di elaborazione;
• e) copia della bozza di contratto tra l’emittente di moneta elettronica e il detentore di moneta elettronica, nonché la bozza del contratto quadro ai sensi dell’articolo 4, paragrafo 21 della seconda direttiva sui servizi di pagamento in aggiunta a quelli di moneta elettronica;
• f) una stima del quantitativo dei diversi siti dai quali il richiedente intende erogare i servizi, se del caso;
• g) una descrizione dei servizi accessori a quelli di moneta elettronica, rispetto a quelli di pagamento, se applicabile;
• h) qualora il richiedente abbia intenzione di fornire servizi di pagamento oltre a quelli di moneta elettronica, una dichiarazione in merito all’intenzione o meno da parte del richiedente di concedere crediti e, in tal caso, entro quali limiti;
• i) una dichiarazione in merito all’intenzione o meno, da parte del richiedente di prestare servizi di moneta elettronica e, se applicabile, servizi di pagamento in altri Stati membri dell’UE o in paesi terzi dopo la concessione della licenza;
• j) un’indicazione relativa alla intenzione o meno,da parte del richiedente, per i successivi tre anni, di voler prestare o di prestare già attività diverse dai servizi di moneta elettronica e, se del caso, dei servizi di pagamento di cui all’articolo 11 paragrafo 5 della direttiva (UE) 2015/2366, inclusa una descrizione della tipologia e del volume previsto delle attività;
• k) informazioni specificate negli Orientamenti dell’ABE sui criteri in base ai quali stipulare l’importo monetario minimo dell’assicurazione della responsabilità civile professionale o altre garanzie analoghe ai sensi dell’articolo 5, paragrafo 4 della direttiva (UE) 2015/2366 (EBA/GL2017/08), nel caso in cui il richiedente intenda fornire i servizi 7 e 8 (servizi di ordine di pagamento e di informazioni sui conti).

Orientamento 4: Piano di attività

4.1. Il piano di attività che il richiedente è tenuto a fornire dovrebbe comprendere:

• a) un piano di marketing contenente:
• i. un’analisi della posizione concorrenziale della società nel segmento di mercato della moneta elettronica e, se applicabile, di quello dei pagamenti;
• ii. una descrizione degli utilizzatori dei servizi di pagamento e dei detentori di moneta elettronica, dei materiali di commercializzazione e dei canali di distribuzione;
• b) i conti annuali certificati dei tre anni precedenti, ove disponibili, oppure una sintesi della situazione finanziaria per le società che non hanno ancora prodotto conti annuali;
• c) una stima previsionale del bilancio per i primi tre esercizi finanziari, che dimostri che il richiedente è in grado di utilizzare risorse, procedure e sistemi adeguati e proporzionati che consentano una sana gestione. La stima dovrebbe comprendere:
• i. un conto economico e stato patrimoniale previsionali, comprendenti scenari obiettivo e scenari di stress, nonché ipotesi di base, quali volume e valore delle operazioni, numero dei clienti, pricing, importo medio per operazione, aumento previsto nella soglia di redditività;
• ii. spiegazioni inerenti le principali linee di entrate e spese, i debiti finanziari e il capitale fisso;
• iii. un diagramma e una suddivisione dettagliata dei flussi finanziari previsti per i tre anni successivi;
• d) informazioni in merito ai fondi propri, compresi gli importi e una suddivisione dettagliata della composizione del capitale iniziale di cui all’articolo 57 lettere a) e b) della direttiva 2006/48/CE;
• e) informazioni in merito ai requisiti minimi di fondi propri e il calcolo di questi ultimi, in conformità al metodo D, di cui all’articolo 5.3 della direttiva (UE) 2009/110 (la seconda direttiva sulla moneta elettronica),laddove l’istituto di moneta elettronica intenda prestare esclusivamente servizi di moneta elettronica o i metodi di cui all’articolo 9 della direttiva (UE) 2015/2366 (seconda direttiva sui servizi di pagamento) come determinato dall’autorità competente, nel caso in cui il richiedente intenda prestare servizi di pagamento aggiuntivi a quelli di moneta elettronica, inclusa una proiezione annuale della

applicabile, una proiezione annuale della ripartizione dei fondi propri in base agli altri metodi utilizzati.

Orientamento 5: Struttura organizzativa

5.1. Il richiedente dovrebbe fornire una descrizione della struttura organizzativa della propria impresa comprendente:

• a) un organigramma dettagliato che indichi ciascuna divisione, dipartimento o separazione strutturale analoga, che comprenda il nominativo della(e) persona(e) responsabile(i), in particolare di coloro i quali sono responsabili delle funzioni di controllo interno. L’organigramma dovrebbe essere accompagnato dalla descrizione delle funzioni e delle responsabilità di ciascuna divisione, dipartimento o separazione strutturale analoga;
• b) una previsione complessiva del numero del personale per i successivi tre anni;
• c) una descrizione dei relativi accordi di esternalizzazione operativi comprendente:
• i. l’identità e la localizzazione geografica del fornitore esterno;
• ii. l’identità delle persone che, all’interno dell’istituto di moneta elettronica, sono responsabili di ciascuna attività esternalizzata;
• iii. una chiara descrizione delle attività esternalizzate e delle relative caratteristiche principali;
• d) una copia delle bozze degli accordi di esternalizzazione;
• e) una descrizione dell’impiego di succursali, agenti e distributori, se del caso, compresa:
• i. una mappatura dei controlli in loco e fuori sede che il richiedente intende eseguire su succursali, agenti e distributori;
• ii. i sistemi informatici, i processi e le infrastrutture impiegate dagli agenti e distributori del richiedente per svolgere le attività per conto del richiedente;
• iii. nel caso di agenti e distributori, le procedure di selezione e controllo, nonché la formazione e, se del caso, la bozza delle condizioni di impiego di questi ultimi;
• f) un’indicazione dei sistemi di pagamento nazionali e/o internazionali a cui il richiedente accederà, se del caso;
• g) un elenco di tutte le persone fisiche o giuridiche che hanno stretti legami con il richiedente, con indicazione delle relative identità e della natura di tali legami.

Orientamento 6: Prove del capitale iniziale

6.1. Per la dimostrazione del capitale iniziale che il richiedente è tenuto a fornire (pari a 350 000 EUR), costui dovrebbe presentare i seguenti documenti:

• a) per le imprese esistenti, un estratto conto revisionato o un registro pubblico che certifichi l’importo del capitale del richiedente;
• b) per le imprese in fase di costituzione, un estratto conto bancario emesso da una banca che certifichi che i fondi sono depositati nel conto bancario del richiedente.

Orientamento 7: Misure di tutela dei fondi degli utilizzatori di moneta elettronica e/o dei servizi di pagamento

7.1. Nel caso in cui il richiedente tuteli i fondi degli utilizzatori di moneta elettronica e degli utilizzatori dei servizi di pagamento mediante il deposito dei fondi in un conto separato presso un ente creditizio o mediante un investimento in attività sicure, liquide e a basso rischio, la descrizione dei provvedimenti di tutela dovrebbe comprendere:

• a) una descrizione della politiche di investimento al fine di garantire che le attività scelte siano liquide, sicure e a basso rischio, se del caso;
• b) il numero dei soggetti che hanno accesso al conto di tutela e le rispettive funzioni;
• c) una descrizione del processo di amministrazione e di riconciliazione per gli utilizzatori di moneta elettronica e dei servizi di pagamento a fronte delle pretese di altri creditori dell’istituto di moneta elettronica, in particolare in caso di insolvenza;
• d) una copia della bozza di contratto con l’ente creditizio;
• e) una dichiarazione esplicita da parte dell’istituto di moneta elettronica di conformità all’articolo 10 della seconda direttiva sui servizi di pagamento.

7.2. Qualora il richiedente tuteli i fondi degli utilizzatori dei servizi di moneta elettronica e, se del caso, degli utilizzatori del servizio di pagamento mediante una polizza assicurativa o una garanzia analoga da parte di una società assicurativa o di un ente creditizio, e salvo che il richiedente intenda erogare solo servizi di informazione sui conti, la descrizione delle misure di tutela dovrebbe comprendere:

• a) la conferma che la polizza assicurativa o la garanzia equivalente da parte di una società

medesimo gruppo di imprese del richiedente;

• b) dettagli del processo di riconciliazione in atto per garantire che la polizza assicurativa o la garanzia analoga siano sufficienti a soddisfare, in qualsiasi momento, gli obblighi di tutela del richiedente;
• c) durata e rinnovo della copertura;
• d) una copia del contratto (o della bozza di contratto) di assicurazione o della garanzia analoga (o della relativa bozza).

Orientamento 8: Dispositivi di governance e meccanismi di controllo interno

8.1. Il richiedente dovrebbe produrre una descrizione dei dispositivi di governance e dei meccanismi di controllo interno comprensiva di:

• a) una mappatura dei rischi individuati dal richiedente, nonché la tipologia dei rischi e delle procedure che il richiedente porrà in essere per valutarli e prevenirli, in relazione ai servizi di moneta elettronica e, se del caso, ai servizi di pagamento;
• b) le diverse procedure per svolgere controlli periodici e permanenti, compresa la frequenza e le risorse umane assegnate;
• c) le procedure contabili che il richiedente utilizzerà per registrare e segnalare le proprie informazioni finanziarie;
• d) l’identità della(e) persona(e) responsabile(i) delle funzioni di controllo interno, nonché del controllo di conformità periodico e permanente, e un curriculum vitae aggiornato;
• e) l’identità dei revisori che non siano revisori legali dei conti ai sensi della direttiva 2006/43/CE;
• f) la composizione dell’organo di amministrazione e, se del caso, di ogni altro organo o comitato di vigilanza;
• g) una descrizione delle modalità di monitoraggio e controllo delle funzioni esternalizzate, in modo da evitare alterazioni nella qualità dei controlli interni dell’istituto di moneta elettronica;
• h) una descrizione delle modalità di monitoraggio e controllo di agenti, succursali e distributori nell’ambito del quadro dei controlli interni del richiedente;
• i) qualora il richiedente sia una filiale o un’entità regolamentata in un altro Stato membro dell’UE, una descrizione della governance del gruppo.

Orientamento 9: Procedure per il monitoraggio, la gestione e il controllo degli incidenti di sicurezza e dei reclami dei clienti in merito alla sicurezza

9.1. Il richiedente dovrebbe presentare una descrizione della procedura utilizzata per il monitoraggio, la gestione e il controllo degli incidenti di sicurezza e dei reclami dei clienti in merito alla sicurezza. La descrizione dovrebbe comprendere:

• a) misure di carattere organizzativo e strumenti per la prevenzione delle frodi;
• b) dettagli dei soggetti e degli organi responsabili dell’assistenza dei clienti nei casi di frode, delle problematiche tecniche e/o della gestione dei reclami;
• c) linee di segnalazione nei casi di frode;
• d) il contatto per i clienti, comprensivo di nominativo e indirizzo e-mail;
• e) le procedure per la segnalazione degli incidenti, compresa la comunicazione di tali relazioni agli organi interni o esterni, anche per i richiedenti che hanno intenzione di fornire servizi di pagamento in aggiunta a quelli di moneta elettronica, e la notifica di gravi incidenti alle autorità nazionali competenti, ai sensi dell’articolo 96 della seconda direttiva sui servizi di pagamento e in linea con gli orientamenti dell’ABE sulla segnalazione degli incidenti ai sensi dell’articolo richiamato.
• f) gli strumenti di monitoraggio impiegati e le misure e le procedure di controllo poste in essere per attenuare i rischi in materia di sicurezza. Orientamento 10: Processo per l’archiviazione, il monitoraggio, la tracciabilità e la limitazione dell’accesso ai dati sensibili relativi ai pagamenti

10.1. Il richiedente dovrebbe fornire una descrizione della procedura esistente per l’archiviazione, il monitoraggio, la tracciabilità e la limitazione dell’accesso ai dati sensibili relativi ai pagamenti. Tale descrizione dovrebbe comprendere:

• a) una descrizione del flusso di dati classificati come dati sensibili relativi ai pagamenti, nell’ambito del modello di business dell’istituto di moneta elettronica;
• b) le procedure in atto per autorizzare l’accesso ai dati sensibili riguardanti i pagamenti;
• c) una descrizione dello strumento di monitoraggio;
• d) la politica del diritto di accesso, con descrizione dettagliata dell’accesso a tutti i relativi

back-up;

• e) una descrizione delle modalità di archiviazione dei dati acquisiti;
• f) l’uso previsto, interno e/o esterno, dei dati acquisiti, anche in capo alle controparti;
• g) le misure tecniche di sicurezza e sistemi informatici che sono stati adottati, compresa la cifratura e/o il servizio di tokenizzazione;
• h) identificazione dei soggetti, degli organi e/o comitati con accesso ai dati sensibili relativi ai pagamenti;
• i) una spiegazione delle modalità di individuazione e correzione delle violazioni;
• j) un programma annuale di controllo interno in merito alla sicurezza dei sistemi informatici.

Orientamento 11: Disposizioni in materia di continuità operativa

continuità operativa comprendente:

• a) un’analisi dell’impatto sulle attività aziendali che comprenda i processi aziendali e gli obiettivi di risanamento, quali gli obiettivi legati ai tempi di risanamento, gli obiettivi in materia di punti di risanamento e le attività tutelate;
• b) identificazione del sito per il back-up e l’accesso alle infrastrutture informatiche, nonché i software e i dati importanti da ripristinare a seguito di incidenti o interruzioni;
• c) una spiegazione della modalità con le quali il richiedente procederà rispetto alla gestione delle interruzioni e degli eventi di continuità significativi, quali il malfunzionamento dei sistemi principali; la perdita dei dati fondamentali, l’inaccessibilità ai locali e la perdita dei soggetti rilevanti;
• d) la frequenza con la quale il richiedente intende verificare i piani di continuità operativa e di piano di ripristino in caso di disastro, nonché le modalità con le quali i risultati ottenuti saranno registrati;
• e) una descrizione delle misure di riduzione del rischio adottate dal richiedente, nelle situazioni di cessazione dei propri servizi di pagamento, garantendo l’esecuzione delle operazioni di pagamento in corso e la risoluzione dei contratti esistenti.

Orientamento 12: Principi e definizioni valevoli per l’acquisizione di dati statistici su prestazioni, operazioni e frodi.

12.1. Il richiedente dovrebbe fornire una descrizione dei principi e delle definizioni applicabili all’acquisizione di dati statistici su prestazioni, operazioni e frodi. Tale descrizione dovrebbe comprendere le seguenti informazioni:

• a) la tipologia di dati acquisiti, in relazione ai clienti, alla tipologia di servizi di pagamento, ai canali, agli strumenti, alle giurisdizioni e valute;

agenti e distributori;

• c) modalità di acquisizione;
• d) finalità dell’acquisizione;
• e) frequenza dell’acquisizione;
• f) documenti di supporto, quali manuali, che descrivano il funzionamento del sistema.

Orientamento 13: Documento relativo alla politica di sicurezza

13.1. Il richiedente è tenuto a presentare un documento relativo alla politica di sicurezza in merito ai propri servizi di moneta elettronica e, se del caso, ai servizi di pagamento con le seguenti informazioni:

• a) una valutazione dettagliata del rischio correlato al(i) servizio(i) di moneta elettronica e, ove del caso, dei servizi di pagamento che il richiedente intende fornire, che dovrebbero

adottate per salvaguardare in maniera appropriata gli utilizzatori dei servizi di moneta elettronica e, se del caso, quelli dei servizi di pagamento dai rischi individuati;

• b) una descrizione dei sistemi informatici, la quale dovrebbe comprendere:
• i. l’architettura dei sistemi e i relativi elementi di rete;
• ii. i sistemi informatici aziendali a sostegno delle attivi sistemi informatici aziendali a sostegno delle attività prestate, quali il sito web del richiedente, i portafogli, motore per il pagamento, il motore di gestione dei rischi e delle frodi e la contabilità del cliente;
• iii. i sistemi informatici di supporto impiegati per l’organizzazione e l’amministrazione dell’istituto di moneta elettronica, quali contabilità, sistemi di segnalazione previsti dalla legge, gestione del personale e del rapporto con la clientela, server di posta elettronica e file interni al server;
• iv. informazioni circa l’eventuale utilizzo in atto dei menzionati sistemi da parte dell’istituto di moneta elettronica o del proprio gruppo e, se del caso, la data stimata di attuazione;
• c) la tipologia di connessioni autorizzate dall’esterno, quali quelle con partner, prestatori di servizi, entità del gruppo e dipendenti che lavorano in remoto, nonché le motivazioni per tali connessioni;
• d) per ciascuna delle connessioni elencate nel punto c), le misure e i meccanismi di sicurezza logica esistenti, precisando tipologia, natura e frequenza dei controlli che l’istituto di moneta elettronica avrà su tali accessi. Per esempio, controlli tecnici rispetto a quelli organizzativi, preventivi rispetto a quelli rilevativi, nonché in tempo reale rispetto alle revisioni periodiche, quali l’impiego di un’active directory distinta dal gruppo, l’apertura/chiusura di linee di comunicazione, la configurazione delle apparecchiature per la sicurezza, la generazione di codici o certificati di autenticazione client, il monitoraggio dei sistemi, l’autenticazione, la riservatezza delle comunicazioni, il rilevamento delle intrusioni, i sistemi antivirus e log;
• e) le misure e i meccanismi di sicurezza logica, che disciplinano l’accesso interno ai sistemi informatici, dovrebbero comprendere:
• i. la natura tecnica e organizzativa nonché la frequenza di ciascuna misura, per esempio l’indicazione se sia di carattere preventivo o rilevativo e se eseguita o meno in tempo reale;
• ii. le modalità di gestione della problematica della segregazione dell’ambiente client, nel caso in cui le risorse informatiche del richiedente siano condivise;
• f) le misure e i meccanismi di sicurezza materiale dei locali e del centro dati del richiedente, quali controlli di accesso e di sicurezza ambientale;
• g) la sicurezza dei processi di moneta elettronica e, ove applicabile, di quelli di pagamento, che dovrebbe comprendere:
• i. la procedura di autenticazione del cliente impiegata sia per scopi di accesso consultivo sia operativo e per tutti gli altri strumenti di pagamento sottesi;
• ii. una spiegazione delle modalità mediante le quali la consegna sicura al legittimo utilizzatore dei servizi di moneta elettronica e, ove del caso, dei servizi di pagamento e l’integrità dei fattori di autenticazione (quali hardware token e applicazioni per dispositivi mobili) saranno assicurate sia al momento della registrazione iniziale sia all’atto del rinnovo;
• iii. una descrizione dei sistemi e delle procedure poste in essere dall’istituto di moneta elettronica per l’analisi delle operazioni e l’individuazione delle operazioni sospette e insolite;
• h) una valutazione dettagliata dei rischi correlati ai propri servizi di moneta elettronica e, se de dal caso, dei servizi di pagamento, compreso il rischio di frodi, con un collegamento

dimostrazione di come i rischi vengono affrontati;

• i) un elenco delle principali procedure scritte in relazione ai sistemi informatici del richiedente o, per le procedure in attesa di formalizzazione, una data prevista per il complemento.

Orientamento 14: Meccanismi di controllo interno al fine di conformarsi agli obblighi in materia di riciclaggio dei proventi di attività criminose e finanziamento del terrorismo (obblighi di AML/CFT)

scopo di conformarsi, se del caso, ai suddetti obblighi, dovrebbe contenere le seguenti informazioni:

• a) la valutazione, eseguita dal richiedente, dei rischi riciclaggio dei proventi di attività criminose e finanziamento al terrorismo correlati con la propria attività. compresi i rischi associati al portafoglio clienti, ai prodotti e servizi offerti, ai canali di distribuzione impiegati e alle aree geografiche di esercizio;
• b) le misure che il richiedente ha posto o porrà in essere per attenuare i rischi e conformarsi con gli obblighi applicabili di contrasto al riciclaggio dei proventi di attività criminose e al finanziamento del terrorismo, compresi i processi di valutazione dei rischi, le politiche e le procedure finalizzate a soddisfare gli obblighi di esercizio della dovuta diligenza nei confronti della clientela, nonché le politiche e le procedure di rilevamento e segnalazione delle operazioni e delle attività sospette;
• c) i sistemi e i controlli che il richiedente ha adottato o adotterà per garantire che le succursali, gli agenti e i distributori del medesimo si conformino agli obblighi applicabili di contrasto al riciclaggio dei proventi di attività criminose e al finanziamento del terrorismo, anche nelle situazioni in cui l’agente, il distributore o la succursale abbiano sede in un altro Stato membro;
• d) disposizioni che il richiedente ha attuato o attuerà per assicurare che il personale, gli agenti e i distributori siano adeguatamente formati sulle questioni inerenti al contrasto al riciclaggio dei proventi di attività criminose e al finanziamento del terrorismo;
• e) l’identità del soggetto incaricato di garantire la conformità del richiedente agli obblighi applicabili di contrasto al riciclaggio dei proventi di attività criminose e al finanziamento del terrorismo, nonché la dimostrazione che la sua competenza in tale materia sia tale da consentire di svolgere efficacemente tale funzione;

proprie politiche e procedure di contrasto al riciclaggio dei proventi di attività criminose e contrasto al finanziamento del terrorismo restino aggiornate, efficaci e pertinenti;

• g) i sistemi e i controlli che il richiedente ha istituito o istituirà per certificare che agenti e distributori non lo esporranno a un maggiore rischio di riciclaggio dei proventi di attività criminose e finanziamento del terrorismo;
• h) il manuale di contrasto al riciclaggio dei proventi di attività criminose e contrasto al finanziamento del terrorismo per il personale del richiedente.

Orientamento 15: Accertamento dell’identità e dell’idoneità dei soggetti che detengono partecipazioni qualificate presso il richiedente

15.1 Ai fini della verifica dell’identità e delle prove di idoneità dei soggetti che detengono partecipazioni presso l’istituto di moneta elettronica del richiedente, senza pregiudicarne l’accertamento sulla base dei criteri rilevanti ai sensi della direttiva 2007/44/CE e specificati negli orientamenti congiunti per la valutazione prudenziale delle acquisizioni di partecipazioni qualificate (JC/GL/2016/01), il richiedente dovrebbe presentare le seguenti informazioni:

• a) una descrizione del gruppo di appartenenza del richiedente e un’indicazione dell’impresa madre, se del caso;
• b) un grafico che descriva la struttura azionaria del richiedente, comprendente:
• i. il nome e la percentuale di partecipazione (capitale/diritto di voto) di ciascun soggetto che ha o che avrà una partecipazione diretta nel capitale azionario del richiedente, identificando le partecipazioni qualificate e le motivazioni per tali qualifiche;
• ii. il nome e la percentuale di partecipazione (capitale/diritto di voto) di ciascun soggetto che ha o che avrà una partecipazione indiretta nel capitale azionario del richiedente, identificando le partecipazioni qualificate indirette e le ragioni per tali qualifiche;
• c) un elenco dei nomi di tutti i soggetti e delle altre entità che sono in possesso o, in caso di autorizzazione, entreranno in possesso di partecipazioni nel capitale del richiedente, con indicazione, per ciascun soggetto o entità:
• i. della quantità e della tipologia di azioni o altre partecipazioni sottoscritte o da sottoscrivere;
• ii. del valore nominale di tali azioni o altre partecipazioni.

15.2 Nel caso in cui il soggetto che è in possesso o, in caso di autorizzazione, entrerà in possesso di una partecipazione qualificata nel capitale del richiedente sia una persona fisica, il richiedente dovrebbe precisare tutte le seguenti informazioni legate all’identità e idoneità di tale soggetto:

• a) il nome del soggetto e il nome alla nascita del medesimo, la data e il luogo di nascita, la cittadinanza (attuale e precedente),il numero di identificazione (ove disponibile) o il numero di passaporto, l’indirizzo e una copia di un documento d’identità ufficiale;
• b) un curriculum vitae dettagliato con indicazione dell’istruzione e della formazione pertinenti, esperienza professionale precedente e qualsiasi attività professionale o altre funzioni attualmente svolte;
• c) una dichiarazione, corredata da documenti giustificativi, che comprenda le seguenti informazioni in merito al soggetto in questione:
• i. obblighi della legislazione nazionale in materia di comunicazione delle pene estinte, delle condanne o dei procedimenti penali emessi nei confronti del soggetto e che non siano stati annullati;
• ii. decisioni civili o amministrative in materia di rilevanza ai fini della procedura di valutazione o di autorizzazione emesse nei confronti del soggetto, nonché sanzioni e misure amministrative comminate a seguito della violazione di leggi
• o regolamenti (inclusa l’interdizione come amministratore della società), in ogni caso in cui non siano stati annullate e non ci siano impugnazioni pendenti
• o che possano essere presentate;
• iii. fallimento, insolvenza o procedure analoghe;
• iv. indagini penali in corso;
• v. indagini amministrative o civili, procedimenti esecutivi, sanzioni o altre decisioni esecutive a carico del soggetto riguardanti questioni che possono essere considerate pertinenti all’autorizzazione a dare avvio all’attività di un istituto di moneta elettronica o alla gestione prudente e sana del medesimo;
• vi. laddove sia possibile reperire tali documenti, un certificato ufficiale o qualsiasi altro documento equivalente che ponga in evidenza se gli eventi definiti nei commi (i)-(v) si siano verificati nei confronti dell’individuo interessato;
• vii. rifiuto di registrazione, autorizzazione, iscrizione o licenza a svolgere attività commerciali, imprenditoriali o professionali;
• viii. revoche, ritiri o cancellazioni di registrazioni, autorizzazioni, iscrizione o licenze a svolgere attività commerciali, imprenditoriali o professionali;
• ix. espulsioni da parte di un’autorità o un ente pubblico nel settore dei servizi finanziari o da un ordine o un’associazione professionale;
• x. posizioni di responsabilità ricoperte con un entità sottoposta a condanne o procedimenti penali, indagini amministrative, sanzioni o altre decisioni esecutive per irregolarità di condotta, compresa frode, disonestà, corruzione, riciclaggio di denaro, finanziamento del terrorismo o altri crimini finanziari, la mancata attuazione di adeguate politiche e procedure atte a impedire tali eventi nel periodo in cui la presunta condotta si è verificata, nonché dettagli legati a tali avvenimenti e, se del caso, al coinvolgimento dell’individuo negli stessi;
• xi. licenziamenti da impieghi o ruoli di fiducia, rimozioni da un rapporto fiduciario (diverso dalla cessazione del relativo rapporto per scadenza naturale) e situazioni analoghe;
• d) un elenco delle imprese che la persona dirige o controlla e di cui il richiedente è venuto a conoscenza a seguito di opportuna e attenta indagine; quota di controllo diretto o indiretto in tali società; stato (attiva, sciolta, ecc.), nonché descrizione delle insolvenze o di procedure analoghe;
• e) nel caso l’accertamento della reputazione della persona in questione sia già stato compiuto dall’autorità competente nel settore dei servizi finanziari, è necessario fornire la denominazione di detta autorità e il risultato dell’accertamento;
• f) la posizione finanziaria attuale del soggetto, compresi i dati dettagliati relativi alle fonti di reddito, attività e passività, diritti di garanzia e garanzie, concesse o ottenute;
• g) una descrizione dei legami con persone politicamente esposte, ai sensi dell’articolo 3, paragrafo 9 della direttiva (UE) 2015/849⁴ .

15.3 Nel caso in cui un soggetto o un’entità che è in possesso o, in caso di autorizzazione, entrerà in possesso di una partecipazione qualificata nel capitale del richiedente (comprese le entità che non sono persone giuridiche e che detengono la partecipazione o dovrebbero detenerla a proprio nome), la domanda dovrebbe annoverare le seguenti informazioni relative alla identità e idoneità della menzionata persona giuridica o entità:

• a) nome;
• b) nel caso in cui la persona giuridica o l’entità sia registrata presso un registro centrale, commerciale, delle imprese o in un registro analogo con le medesime finalità di quelli menzionati, una copia del certificato di regolare iscrizione, ove possibile, o altrimenti un certificato di registrazione;
• c) l’indirizzo della sede legale e, se diverso, della direzione generale, nonché della sede operativa principale;
• d) dati di contatto;
• e) documenti aziendali o, nel caso di persona o entità registrata in un altro Stato membro, una spiegazione riassuntiva delle principali peculiarità giuridiche della forma legale o dell’entità;
• f) regolamentazione o meno nei confronti della persona giuridica o l’entità da parte di un’autorità competente nel settore dei servizi finanziari o da altri enti pubblici;
• g) laddove sia possibile reperire tali documenti, un certificato ufficiale o qualsiasi altro documento equivalente comprovante le informazioni definite nei paragrafi da (a) a (e) emessi dall’autorità competente interessata;
• h) informazioni a cui si fa riferimento nell’orientamento 15, paragrafo 2, lettere c)-g), in relazione alla persona giuridica o all’entità;
• i) elenco delle informazioni dettagliate relative a ciascun soggetto che dirige effettivamente l’attività della persona giuridica o dell’entità, inclusi nome, data e luogo di nascita, indirizzo, numero di identificazione nazionale, ove disponibile e CV dettagliato, indicante istruzione e formazione pertinenti, esperienze lavorative precedenti e qualsiasi attività professionale o altre funzioni rilevanti attualmente svolte), unite alle informazioni a cui fa riferimento l’orientamento 15, paragrafo 2, lettere c) e d), relativamente alla persona in questione;
• j) struttura proprietaria della persona giuridica, comprensiva, per lo meno, di nome, data

registrazione, nonché percentuale di capitale e di voto rispettivamente di azionisti o soci diretti o indiretti e beneficiari effettivi, ai sensi dell’articolo 3, paragrafo 6 della direttiva (UE) 2015/849;

• k) una descrizione del gruppo finanziario regolamentato di cui il richiedente è o potrebbe diventare parte, con indicazioni in merito all’impresa madre, nonché enti creditizi, assicurativi e di sicurezza interni al gruppo; il nome delle rispettive autorità competenti (su base individuale o consolidata); e
• l) bilanci d’esercizio annuali, a livello individuale e, ove del caso, a livelli di gruppo consolidato e sub-consolidato, relativamente alle ultime tre annualità finanziarie, nelle quali la persona giuridica o l’entità è stata operativa (oppure, se inferiore ai tre anni, il periodo entro il quale la persona giuridica o l’entità è stata operativa e per il quale sono stati redatti bilanci d’esercizio), approvati dal revisore legale o dall’impresa di revisione contabile ai sensi della direttiva 2006/43/CE⁵ , ove applicabile, inclusivi delle seguenti voci:
• i. lo stato patrimoniale;
• ii. i conti profitti e perdite o il conto economico;
• iii. le relazioni annuali e allegati finanziari ed eventuali altri documenti protocollati nel pertinente registro o presso l’autorità competente della persona giuridica;
• m) qualora la persona giuridica non sia stata operativa per un periodo sufficiente a

immediatamente precedenti alla data della domanda, quest’ultima deve contenere lo stato finanziario esistente (ove disponibile);

• n) qualora la persona giuridica o l’entità abbiano la propria direzione generale in un paese terzo, le informazioni in merito al regime di regolamentazione di quest’ultimo applicabile alla persona giuridica o all’entità, comprese le informazioni sulla misura in cui il regime di lotta al riciclaggio e di contrasto al finanziamento del terrorismo del paese terzo sia compatibile con raccomandazioni del Gruppo d’azione finanziaria internazionale;
• o) per le entità che non hanno personalità giuridica quali un organismo di investimento collettivo, fondi sovrani o fiduciari, la domanda deve contenere le seguenti informazioni:
• i. identità dei soggetti che gestiscono il patrimonio e dei beneficiari o sottoscrittori, dei detentori di quote che controllano l’organismo di investimento collettivo o che detengono una partecipazione che consente loro di impedire al suddetto organismo di assumere decisioni;
• ii. una copia del documento che istituisce e disciplina l’entità, incluse la politica di investimento e le limitazioni agli investimenti applicabili all’entità.

15.4 Per ciascuna persona fisica o giuridica o entità che è in possesso o, in caso di autorizzazione, entrerà in possesso di una partecipazione qualificata nel capitale del richiedente, la domanda dovrebbe contenere le seguenti informazioni:

• a) informazioni dettagliate in merito alle motivazioni finanziarie o commerciali in virtù delle quali la persona giuridica o l’entità detengono tale partecipazione, incluso il periodo nel quale la persona o l’entità intendono detenere la partecipazione, nonché l’eventuale proposito di aumentare, ridurre o mantenere il livello della partecipazione in un prevedibile futuro;
• b) informazioni in dettaglio delle intenzioni del soggetto o dell’entità relativamente al richiedente e l’influenza che il soggetto o l’entità ha intenzione di esercitare su quest’ultimo, compresi con riguardo alla politica dei dividendi, lo sviluppo strategico e l’assegnazione delle risorse del richiedente, se intenda o meno agire in qualità di azionista di minoranza attivo e le relative ragioni;
• c) informazioni sulla volontà da parte del soggetto o dell’entità di sostenere il richiedente con ulteriori fondi propri, ove necessario per lo sviluppo delle proprie attività o in caso di difficoltà finanziarie;
• d) il contenuto degli accordi previsti degli azionisti o dei soci con altri azionisti o soci in relazione al richiedente;
• e) un’analisi sul possibile e impatto della partecipazione qualificata, compreso quello conseguente agli stretti legami del soggetto con il richiedente, sulla capacità di quest’ultimo di fornire informazioni tempestive e accurate alle autorità competenti;
• f) l’identità di ciascun membro dell’organo di amministrazione o dell’alta dirigenza che dirigeranno l’attività del richiedente e saranno designati dai menzionati azionisti o soci,
• o a seguito della nomina da parte di questi ultimi, nonché, ove non ancora fornite, le informazioni di cui all’orientamento 16.

15.5 La domanda dovrebbe indicare una spiegazione dettagliata delle specifiche fonti di finanziamento per la partecipazione di ciascuna persona o entità che detiene una partecipazione qualificata nel capitale del richiedente. Tale spiegazione dovrebbe includere:

• a) informazioni dettagliate sull’impiego di risorse finanziare private, incluse disponibilità e (al fine di garantire che l’autorità competente ritenga che l’attività che ha generato i fondi sia legittima) origine;
• b) dettagli sull’accesso ai mercati finanziari, comprese le informazioni approfondite sugli strumenti finanziari da emettere;
• c) informazioni in merito all’uso di fondi provenienti da prestiti, compreso il nominativo dei

garanzia e garanzie, nonché le informazioni sulla fonte delle entrate di cui servirsi per rimborsare tali prestiti. Laddove il prestatore non sia un ente creditizio o un ente finanziario autorizzato a concedere crediti, il richiedente dovrebbe fornire alle autorità competenti informazioni riguardanti l’origine di tali fondi presi a prestito;

• d) informazioni su eventuali accordi finanziari con altri azionisti o soci del richiedente.

Orientamento 16: Accertamento di identità e idoneità dell’amministratore e dei soggetti responsabili della gestione dell’istituto di moneta elettronica

16.1 Ai fini dell’accertamento dell’identità e dell’idoneità di amministratori e soggetti responsabili della gestione dell’istituto di moneta elettronica, il richiedente dovrebbe presentare le seguenti informazioni:

• a) Dati personali, ossia:
• i. nome completo, genere, luogo e data di nascita, indirizzo e nazionalità, numero di identificazione personale o copia della carta d’identità o documento equivalente.
• ii. dettagli concernenti la posizione per la quale l’accertamento è richiesto, nonché l’indicazione della posizione, esecutiva o meno, all’interno dell’organo di amministrazione. Dovrebbero essere altresì incluse le seguenti informazioni:

• b) se del caso, informazioni sulla valutazione dell’idoneità eseguita dal richiedente, che dovrebbe comprendere i dettagli dei risultati di qualsiasi valutazione di idoneità del soggetto eseguita da parte dell’ente, quali verbali pertinenti del consiglio o relazioni relative alla valutazione di idoneità o altri documenti;
• c) prove di conoscenza, competenza ed esperienza, le quali dovrebbero comprendere un curriculum vitae con l’indicazione dell’istruzione e dell’esperienza professionale, tra cui titoli di studio, altro tipo di formazione di rilievo, nome e natura di tutte le organizzazioni per le quali il soggetto lavora o ha lavorato, nonché la natura e la durata delle funzioni svolte, con particolare rilievo circa le attività che rientrano nell’ambito dello scopo della posizione richiesta;
• d) prove in merito a reputazione, onestà e integrità, che dovrebbero comprendere:
• i. casellari giudiziali e informazioni di rilievo su indagini e procedimenti penali, procedimenti civili e amministrativi pertinenti e azioni disciplinari, tra cui l’interdizione dalla funzione di amministratore della società, bancarotta, insolvenza e procedure analoghe, in particolare mediante un certificato ufficiale
• o qualsiasi fonte di informazione oggettivamente affidabile riguardante l’assenza di condanne penali, indagini e procedimenti, quali indagini di terzi e testimonianze rese a un avvocato o un notaio con sede nell’Unione europea;
• ii. certificato dal quale risulti se sono pendenti procedimenti penali o se il soggetto
• o le organizzazioni da questi gestite hanno avuto un coinvolgimento come debitore in procedure di insolvenza o analoghe;
• iii. informazioni in merito ai seguenti campi:

Orientamento 17: Identità dei revisori legali dei conti e delle società di revisione contabile

Il richiedente è tenuto a fornire l’identità dei revisori legali dei conti e delle società di revisione contabile ai sensi della direttiva 2006/43/CE, ove pertinenti, che dovrebbe comprendere l’indicazione dei nomi, degli indirizzi e dei dati di contatto dei revisori.

Orientamento 18: Assicurazione della responsabilità civile professionale o una garanzia analoga per i servizi di ordine di pagamento e di informazione sui conti.

Come prova dell’assicurazione della responsabilità civile professionale o di garanzie analoghe che siano conformi agli orientamenti dell’ABE in materia di criteri sulle modalità di stipula dell’importo monetario minimo dell’assicurazione della responsabilità civile professionale o di garanzie analoghe (EBA/GL/2017/08) e all’articolo 5, paragrafi 2 e 3 della seconda direttiva sui servizi di pagamento, il richiedente, per l’autorizzazione in qualità di istituto di moneta elettronica che, in aggiunta a tale tipologia di servizio, intende prestare servizi di disposizione di ordine di pagamento o di informazione sui conti, dovrebbe presentare le seguenti informazioni:

• a) contratto assicurativo o altro documento analogo che confermi l’esistenza di un’assicurazione della responsabilità civile professionale o di una garanzia analoga che sia conforme ai summenzionati orientamenti dell’ABE, i quali dimostrino la copertura delle rispettive passività;
• b) documentazione in merito alle modalità di calcolo dell’importo minimo in modo conforme ai menzionati orientamenti dell’ABE (EBA/GL/2017/08), inclusi tutti i componenti della formula ivi specificata.

⁴ Direttiva (UE) 2015/849 del Parlamento europeo e del Consiglio, del 20 maggio 2015 relativa alla prevenzione dell’uso del sistema finanziario a scopo di riciclaggio o finanziamento del terrorismo (GU L141 del 5.6.2015, pag. 73).

⁵ Direttiva 2006/43/CE del Parlamento europeo e del Consiglio, del 17 maggio 2006, relativa alle revisioni legali dei conti annuali e dei conti consolidati, che modifica le direttive 78/660/CEE e 83/349/CEE del Consiglio e abroga la direttiva 84/253/CEE del Consiglio (OJ L 157, 9.6.2006, p. 87-107).

Orientamento 1: Valutazione della completezza della domanda

1.1. Una domanda dovrebbe considerarsi completa per le finalità dell’articolo 12 della direttiva (UE) 2015/2366 se contiene tutte le informazioni necessarie all’autorità competente ai fini della valutazione della conformità della domanda ai presenti orientamenti, nonché all’articolo 5 della direttiva (UE) 2015/2366.

1.2. Qualora le informazioni fornite nella domanda siano valutate come non complete, l’autorità competente dovrebbe trasmettere in formato cartaceo o elettronico, un’istanza al richiedente che indichi in modo chiaro quali siano le informazioni mancanti, e dovrebbe consentire al richiedente di presentare le informazioni mancanti.

1.3. Una volta valutata la domanda come completa, l’autorità competente dovrebbe darne notizia al richiedente unitamente alla data del ricevimento della domanda completa o, a seconda dei casi, alla data di ricevimento delle informazioni che completano la domanda.

1.4. In ogni caso, l’autorità competente può fare istanza al richiedente di fornire delucidazioni in merito alle informazioni allo scopo di valutare la domanda.

1.5. Qualora la domanda contenga informazioni o si basi su informazioni detenute dalle autorità competenti che non siano più veritiere, accurate o complete, si dovrebbe fornire tempestivamente a queste ultime un aggiornamento della domanda. L’aggiornamento dovrebbe identificare le informazioni interessate, la collocazione delle medesime all’interno della domanda originale, la motivazione per la quale queste non siano più veritiere, accurate

• o complete, le informazioni aggiornate e la conferma che le restanti informazioni all’interno della domanda continuino a essere veritiere, accurate e complete.

Guideline 1: Assessment of the completeness of the application

1.1. An application should be deemed to be complete for the purpose of Article 12 of Directive (EU) 2015/2366 if it contains all the information needed by the competent authorities in order to assess the application in accordance with these guidelines and with Article 5 of Directive (EU) 2015/2366.

1.2. Where the information provided in the application is assessed to be incomplete, the competent authority should send, in paper format or by electronic means, a request to the applicant, indicating in a clear way what information is missing, and should provide to the applicant the opportunity to submit the missing information.

1.3. Upon an application being assessed as complete, the competent authority should inform the applicant of that fact, together with the date of receipt of the complete application or, as the case may be, the date of receipt of the information that completed the application.

1.4. In any case, the competent authority may require the applicant to provide clarification on the information for the purposes of assessing the application.

1.5. Where an application contains information, or relies on information held by the competent authorities, which is no longer true, accurate or complete, an update to the application should be provided to the competent authorities without delay. The update should identify the information concerned, its location within the original application, the reason for the information no longer being true, accurate or complete, the updated information and confirmation that the rest of the information in the application remains true, accurate and complete.