Ohjeet tiedoista, jotka on toimitettava maksulaitosten ja sähköisen rahan liikkeeseenlaskijalaitosten toimilupaa ja tilitietopalvelujen tarjoajien rekisteröintiä varten direktiivin (EU) 2015/2366 5 artiklan 5 kohdan mukaisesti (EBA/GL/2017/09)

1. Noudattamista ja ilmoittamista koskevat velvoitteet

2. Sisältö, soveltamisala ja määritelmät

3. Täytäntöönpano

4. Neljä ohjekokonaisuutta maksulaitoksille, tilitietopalvelujen tarjoajille, sähköisen rahan liikkeeseenlaskijalaitoksille ja toimivaltaisille viranomaisille

Ohje 1: Yleiset periaatteet

1.1 Nämä ohjeet koskevat maksulaitostoimiluvan hakijoita. Näihin kuuluvat hakijat, jotka aikovat tarjota tarkistetun maksupalveludirektiivin (PSD2-direktiivin) liitteen 1 kohdissa 1–7 tarkoitettuja palveluja tai kohdassa 8 tarkoitettua palvelua muiden maksupalveluiden ohella. Hakijoihin, jotka aikovat tarjota ainoastaan direktiivin (EU) 2015/2366 (PSD2) liitteen 1 kohdassa 8 tarkoitettua palvelua, sovelletaan tilitietopalvelujen tarjoajille tarkoitettuja erityisiä ohjeita, jotka selitetään kohdassa 4.2.

1.2 Hakijoiden antamien tietojen tulee olla totuudenmukaisia, täydellisiä, tarkkoja ja ajantasaisia. Kaikkien hakijoiden tulee noudattaa kaikkia niitä koskevissa ohjeissa annettuja määräyksiä. Tietojen yksityiskohtaisuus pitää suhteuttaa hakijan kokoon ja sisäiseen organisaatioon, luonteeseen, toiminnan laajuuteen, monimutkaisuuteen ja sen palvelun tai niiden palveluiden riskialttiuteen, jota tai joita hakija aikoo tarjota. Direktiivin (EU) 2015/2366 mukaisesti johtajien ja maksulaitoksen johtamisesta vastuussa olevien henkilöiden on kaikissa tapauksissa oltava hyvämaineisia, ja heillä on oltava asianmukainen tietämys ja kokemus maksupalveluiden suorittamisesta, yrityksen koosta, sisäisestä

asettamista velvoitteista ja vastuista riippumatta.

1.3 Vaadittavia tietoja annettaessa hakijan tulee välttää viittauksia organisaation sisäisten menettelytapojen tai asiakirjojen erityisiin kohtiin. Sen sijaan hakijan tulee eritellä olennaiset kohdat ja toimittaa ne toimivaltaiselle viranomaiselle.

1.4 Jos toimivaltainen viranomainen vaatii annettuihin tietoihin selvennyksiä, hakijan tulee toimittaa ne viipymättä.

1.5 Kaikkia näissä ohjeissa maksulaitosten toimilupia varten vaadittavia tietoja tarvitaan hakemuksen arviointiin. Toimivaltainen viranomainen käsittelee tietoja PSD2-direktiivissä asetettujen salassapitovelvollisuuksien mukaisesti, sanotun kuitenkaan rajoittamatta sellaisen unionin oikeuden, kansallisten vaatimusten ja menettelytapojen soveltamista, jotka koskevat tietojen saantia, korjaamista, peruuttamista tai vastustamista koskevien oikeuksien käyttöä.

Ohje 2: Tunnistetiedot

2.1 Hakijan toimittamissa tunnistetiedoissa on oltava seuraavat tiedot:

• a) hakijan yrityksen nimi ja toiminimi, jos eri kuin yrityksen nimi
• b) tieto siitä, onko hakija rekisteröitynyt yritykseksi vai onko rekisteröinti vielä kesken
• c) hakijan kansallinen henkilötunnus tai yhteisötunnus, jos tällaista on
• d) hakijan oikeudellinen asema ja (luonnos) yhtiöjärjestyksestä ja/tai perustamisasiakirjat, jotka todistavat hakijan oikeudellisen aseman
• e) hakijan pääkonttorin ja rekisteröidyn toimipaikan osoite
• f) hakijan sähköpostiosoite ja verkkosivusto, jos saatavissa
• g) hakemuksesta ja toimiluvan hakemismenettelyistä vastaavien henkilöiden nimet ja heidän yhteystietonsa

toimivaltaisen viranomaisen sääntelyn kohteena

• i) maksupalvelujen tarjoajien toimialajärjestöt, joihin hakija suunnittelee mahdollisesti liittyvänsä
• j) yhtiön rekisteröintitodistus tai soveltuvin osin todistus siitä, että yhtiön hakema nimi on rekisteröitävissä kaupparekisteriin
• k) todistus maksulaitostoimiluvan hakemiseen liittyvien maksujen tai talletusten suorittamisesta, jos kansallinen lainsäädäntö sitä vaatii.

Ohje 3: Toimintasuunnitelma

3.1. Hakijan toimittaman toimintasuunnitelman tulee sisältää seuraavat tiedot:

• a) vaiheittainen kuvaus suunnitelluista maksupalveluista, sisältäen selvityksen siitä, miten hakija luokittelee yrityksen toiminnan ja toimenpiteet vastaamaan maksupalvelujen oikeudellisia luokkia, jotka on lueteltu PSD2-direktiivin liitteessä 1.
• b) ilmoitus siitä, saako hakija missään vaiheessa varoja haltuunsa.

osapuolet ja jokainen maksupalvelu, jota tarjotaan:

• i. rahavirran kaavio, paitsi jos hakija aikoo tarjota ainoastaan maksutoimeksiantopalveluita
• ii. selvitystoimintajärjestelyt, paitsi jos hakija aikoo tarjota ainoastaan maksutoimeksiantopalveluita
• iii. luonnokset kaikkien maksupalvelujen tarjontaan osallistuvien osapuolien ja soveltuvin osin maksukortin käsittävien palvelujen osapuolien kesken tehtävistä sopimuksista
• iv. prosessointiajat;
• d) kopio PSD2-direktiivin 4 artiklan 21 kohdassa määritellystä puitesopimuksen luonnoksesta
• e) arvio sellaisten tilojen lukumäärästä, joista hakija aikoo tarjota maksupalveluita ja/tai harjoittaa maksupalveluiden tarjoamiseen liittyvää toimintaa
• f) soveltuvin osin kuvaus tarjottavista oheispalveluista
• g) selvitys siitä, aikooko hakija myöntää luottoa ja jos aikoo, niin millä luottorajalla
• h) selvitys siitä, suunnitteleeko hakija maksupalveluiden tarjoamista muissa jäsenvaltioissa tai unionin ulkopuolisissa maissa toimiluvan saamisen jälkeen
• i) maininta siitä, aikooko hakija seuraavien kolmen vuoden aikana harjoittaa tai harjoittaako hakija jo tällä hetkellä direktiivin (EU) 2015/2366 18 artiklassa tarkoitettua muuta liiketoimintaa, sisältäen selvityksen liiketoiminnan lajista ja odotetusta laajuudesta
• j) tiedot, jotka on määritelty direktiivin (EU) 2015/2366 5 artiklan 4 kohdan mukaisesti annetuissa EPV:n ohjeissa koskien perusteita, joiden mukaan määrätään ammatillisen vastuuvakuutuksen tai muun vastaavan vakuuden rahallinen vähimmäismäärä, siinä tapauksessa, että hakija aikoo tarjota maksutoimeksiantopalveluja ja tilitietopalveluja (palvelut 7 ja 8).

Ohje 4: Liiketoimintasuunnitelma

4.1. Hakijan toimittaman liiketoimintasuunnitelman tulee sisältää seuraavat tiedot:

• a) markkinointisuunnitelma, joka sisältää seuraavat:
• i. analyysin yrityksen kilpailuasemasta asianomaisessa maksupalveluiden markkinalohkossa
• ii. kuvauksen maksupalveluiden käyttäjistä, markkinointiaineistosta ja jakelukanavista
• b) olemassa olevilta yrityksiltä tarkastetut tilinpäätöstiedot kolmelta edelliseltä vuodelta, jos ne ovat saatavissa, tai yhteenveto taloudellisesta tilanteesta sellaisilta yrityksiltä, jotka eivät vielä ole tehneet tilinpäätöstä,
• c) kolmea ensimmäistä tilikautta koskeva ennakoitu talousarvio, joka osoittaa, että hakijan on mahdollista käyttää tarkoituksenmukaisia ja oikeasuhteisia järjestelmiä, resursseja ja menettelyjä toimiakseen asianmukaisesti. Talousarvioon on sisällyttävä seuraavat tiedot:
• i. ennakoitu tuloslaskelma ja tase, sisältäen tavoitetilanteet ja stressitilanteet ja myös perusolettamukset, kuten liiketoiminnan määrä ja arvo, asiakasmäärät, hinnoittelu, rahansiirtojen keskimääräinen suuruus, kannattavuusrajan ennakoitu nousu
• ii. selvitys keskeisistä tulonlähteistä ja kuluista, rahoitusveloista ja käyttöomaisuudesta
• iii. kaavio ja yksityiskohtainen erittely arvioiduista kassavirroista seuraavien kolmen vuoden aikana
• d) tiedot omista varoista sisältäen PSD2-direktiivin 7 artiklassa tarkoitettu alkupääoman määrä ja yksityiskohtainen selvitys alkupääoman jakautumisesta
• e) tiedot ja laskelma omia varoja koskevista vähimmäisvaatimuksista direktiivin (EU) 2015/2366 (PSD2) 9 artiklassa tarkoitettujen menetelmien mukaan, kuten toimivaltainen viranomainen on määritellyt, paitsi jos hakija aikoo tarjota ainoastaan maksutoimeksiantopalveluita. Näihin on sisällyttävä seuraavat tiedot:
• i. omien varojen jakautumisen vuosittainen ennuste seuraavien kolmen vuoden aikana käytetyn menetelmän mukaisesti
• ii. omien varojen vuosittainen ennuste seuraavan kolmen vuoden aikana muiden menetelmien mukaisesti.

Ohje 5: Organisaatiorakenne

5.1. Hakijan tulee toimittaa kuvaus yrityksensä organisaatiorakenteesta sisältäen seuraavat tiedot:

• a) yksityiskohtainen organisaatiokaavio, josta käyvät ilmi jaostot, osastot tai muu rakenteellinen erittely organisaatiossa, sisältäen vastuuhenkilön tai henkilöiden nimet, etenkin niiden, jotka ovat vastuussa sisäiseen valvontaan liittyvistä toiminnoista; kaavion tulee sisältää kuvaus jaostojen, osastojen tai muiden rakenteellisten osien tehtävistä ja vastuualueista
• b) kokonaisennuste henkilöstön lukumäärästä seuraavien kolmen vuoden aikana
• c) kuvaus olennaisista toimintojen ulkoistamisjärjestelyistä sisältäen seuraavat tiedot:
• i. ulkoistettavan palvelun tuottajan henkilöllisyys ja maantieteellinen sijainti
• ii. niiden maksulaitoksessa työskentelevien henkilöiden nimet, jotka ovat vastuussa kustakin ulkoistetusta toiminnosta
• iii. tarkka kuvaus ulkoistetuista toiminnoista ja niiden tärkeimmistä ominaispiirteistä
• d) kopio ulkoistamista koskevien sopimusten luonnoksista
• e) soveltuvin osin kuvaus sivukonttoreista ja asiamiehistä sisältäen seuraavat tiedot:
• i. suunnitelma off-site- ja on-site-tarkastuksista, jotka hakija aikoo tehdä vähintään kerran vuodessa sivukonttoreille ja asiamiehille, ja tarkastusten tiheydestä
• ii. IT-järjestelmät, prosessit ja infrastruktuuri, joita hakijan asiamiehet käyttävät toimiessaan hakijan puolesta
• iii. asiamiesten valintaperiaatteet, valvontamenettelyt ja koulutus ja luonnos toimeksiantoa koskevista ehdoista, jos se on saatavissa
• iv. tapauksen mukaan selvitys kansallisesta ja/tai kansainvälisestä maksujärjestelmästä, johon hakijalla tulee olemaan pääsy
• f) luettelo kaikista luonnollisista henkilöistä ja oikeushenkilöistä, joihin hakijalla on läheisiä sidoksia, ilmoittaen heidän henkilöllisyytensä ja sidosten luonteen.

Ohje 6: Näyttö alkupääomasta

6.1 Näytöksi hakijan riittävästä alkupääomasta (PSD2-direktiivin liitteessä 1 kuvattujen palveluiden 1–5 tarjoamiseksi vaadittu alkupääoma on 125 000 euroa, palvelun 6 tarjoamiseksi 20 000 euroa ja palvelun 7 tarjoamiseksi 50 000 euroa) hakijan täytyy toimittaa seuraavat asiakirjat:

• a) olemassa olevien yritysten tarkistetut tiliotteet tai ote julkisesta rekisteristä, joka osoittaa hakijan alkupääoman
• b) perustamisvaiheessa olevien yritysten tiliote pankilta, joka osoittaa, että varat on talletettu hakijan pankkitilille. Ohje 7: Toimenpiteet maksupalvelujen käyttäjien varojen suojaamiseksi (koskee ainoastaan maksupalveluita 1–6)

7.1. Kun hakija suojaa maksupalvelujen käyttäjien varat tallettamalla varat erilliselle tilille luottolaitoksessa tai sijoittamalla ne turvalliseen, likvidiin ja vähäriskiseen varallisuuteen, suojaamistoimenpiteiden kuvauksen tulee sisältää seuraavat tiedot:

• a) tapauksen mukaan kuvaus investointipolitiikasta, jolla varmistetaan, että valittu varallisuus on likvidiä, turvallista ja vähäriskistä
• b) niiden henkilöiden määrä, joilla on pääsy suojaavaan tiliin ja sen toimintoihin
• c) kuvaus hallinnollisista menettelyistä ja selvitys prosesseista, joilla varmistetaan, että maksupalvelun käyttäjien varat suojataan maksupalvelun käyttäjien edun mukaisesti maksulaitoksen muiden velkojien vaateita vastaan, erityisesti maksukyvyttömyystilanteessa
• d) kopio luottolaitoksen kanssa tehdyn sopimuksen luonnoksesta
• e) maksulaitoksen nimenomainen ilmoitus PSD2-direktiivin 10 artiklan noudattamisesta.

7.2. Jos hakija suojaa maksupalvelujen käyttäjän varat vakuutussopimuksella tai vakuutusyhtiön tai luottolaitoksen vastaavalla vakuudella, suojaustoimenpiteiden kuvauksen tulee sisältää seuraavat tiedot:

• a) vahvistus siitä, että vakuutusyhtiö tai luottolaitos, joka myöntää vakuutussopimuksen tai vastaavan vakuuden, ei ole hakijan kanssa samaan konserniin kuuluva yritys
• b) yksityiskohtaiset selvitykset sen varmistamiseksi, että vakuutussopimus tai vastaava vakuus on riittävä täyttämään hakijan suojausvelvoitteet kaikissa tilanteissa
• c) vakuutusturvan kesto ja uusiminen
• d) kopio vakuutussopimuksesta (luonnoksesta) tai vastaavasta vakuudesta (luonnoksesta).

Ohje 8: Hallinnointi- ja ohjausjärjestelmät sekä sisäisen valvonnan mekanismit

8.1. Hakijan on esitettävä kuvaus hallinnointi- ja ohjausjärjestelmistä sekä sisäisen valvonnan mekanismeista sisältäen seuraavat tiedot:

• a) hakijan tunnistamien riskien kartoitus, sisältäen riskien tyypit ja toimenpiteet, jotka hakija toteuttaa riskien arvioimiseksi ja estämiseksi
• b) toimenpiteet määräaikaisten ja jatkuvien tarkastuksien tekoon sisältäen tiedot tarkastusten tiheydestä ja henkilöstöstä, joka ne suorittaa
• c) kirjanpitomenetelmät, joita hakija käyttää taloudellisten tietojen kirjaamiseen ja ilmoittamiseen
• d) sen henkilön tai niiden henkilöiden henkilöllisyys, joka tai jotka ovat vastuussa sisäisestä valvonnasta, mukaan lukien määräaikaiset, jatkuvat ja vaatimustenmukaisuuden tarkastukset ja henkilön tai henkilöiden ajantasaiset ansioluettelot
• e) kaikkien sellaisten tilintarkastajien henkilöllisyys, jotka eivät ole direktiivin 2006/43/EY mukaisia lakisääteisiä tilintarkastajia
• f) ylimmän hallintoelimen kokoonpano ja tapauksen mukaan muun valvontaelimen tai komitean kokoonpano
• g) kuvaus siitä, miten ulkoistettuja toimintoja valvotaan ja ohjataan, maksulaitoksen sisäisen valvonnan laadun heikkenemisen estämiseksi
• h) kuvaus siitä, miten sivukonttoreita ja asiamiehiä valvotaan ja ohjataan hakijan sisäisen valvonnan puitteissa
• i) jos hakija on säännellyn yhteisön tytäryhtiö toisessa EU:n jäsenvaltiossa, kuvaus konsernin hallinnoinnista.

Ohje 9: Menettely turvapoikkeamien ja turvallisuuteen liittyvien asiakasvalitusten valvontaa, käsittelyä ja seurantaa varten

9.1. Hakijan on esitettävä kuvaus menettelystä, joka on käytössä turvapoikkeamien ja turvallisuuteen liittyvien asiakasvalitusten valvontaa, käsittelyä ja seurantaa varten, sisältäen seuraavat tiedot:

• a) organisaation toimenpiteet ja välineet petosten torjuntaan
• b) tiedot henkilöistä ja elimistä, jotka vastaavat asiakkaan auttamisesta petoksen sattuessa, teknisissä ongelmissa ja/tai vaateiden käsittelystä
• c) raportoinnin menettelyt petoksen sattuessa
• d) yhteyshenkilö asiakkaille, sisältäen nimen ja sähköpostiosoitteen
• e) menettelyt turvallisuuspoikkeamien raportointiin, käsittäen raporttien välittäminen sisäisille ja ulkoisille elimille, merkittävistä poikkeamista ilmoittaminen kansallisille toimivaltaisille viranomaisille PSD2-direktiivin 96 artiklan mukaisesti sekä kyseisen artiklan mukaisesta raportoinnista annettujen EPV:n ohjeiden mukaisesti
• f) käytetyt valvontatyökalut ja seurantatoimenpiteet ja menettelyt turvallisuusriskien lieventämiseen.

Ohje 10: Menetelmät arkaluontoisten maksutietojen rekisteröintiin, valvontaan, seurantaan ja niihin pääsyn rajoittamiseen

10.1. Hakijan on esitettävä kuvaus menetelmistä, joita se käyttää arkaluontoisten maksutietojen rekisteröintiin, valvontaan, seurantaan ja tietoihin pääsyn rajoittamiseen, sisältäen seuraavat tiedot:

• a) kuvaus arkaluontoisiksi maksutiedoiksi luokiteltujen tietojen virroista maksulaitoksen liiketoimintamallissa
• b) käytössä olevat menettelyt arkaluontoisiin maksutietoihin pääsyn sallimiseen
• c) valvontavälineen kuvaus
• d) käyttöoikeuspolitiikka, jossa kuvataan yksityiskohtaiset säännöt infrastruktuurin osien ja järjestelmien käyttöön, sisältäen tietokannat ja varajärjestelmät
• e) kuvaus siitä, miten kerättävät tiedot rekisteröidään, paitsi jos hakija aikoo tarjota ainoastaan maksutoimeksiantopalveluja
• f) kuvaus kerättyjen tietojen aiotusta, myös muiden osapuolien toimesta tapahtuvasta sisäisestä ja/tai ulkoisesta käytöstä, paitsi jos hakija aikoo tarjota ainoastaan maksutoimeksiantopalveluja
• g) IT-järjestelmät ja tekniset turvallisuustoimenpiteet, jotka on toteutettu, mukaan lukien salaus ja/tai tokenisointi
• h) niiden henkilöiden, elinten ja/tai komiteoiden yksilöinti, joilla on pääsy arkaluontoisiin maksutietoihin
• i) selvitys miten rikkomukset aiotaan havaita ja käsitellä
• j) vuosittainen sisäinen valvontaohjelma IT-järjestelmien turvallisuudesta.

Ohje 11: Liiketoiminnan jatkuvuutta koskevat järjestelyt

11.1. Hakijan on esitettävä kuvaus liiketoiminnan jatkuvuutta koskevista järjestelyistä, sisältäen seuraavat tiedot:

• a) liiketoiminnan vaikutusanalyysi, sisältäen liiketoimintaprosessit ja palautustavoitteet, kuten palautumisaika- ja palautuspistetavoitteet ja suojatut varat
• b) varmuusjärjestelmän sijaintipaikan nimeäminen, pääsy IT-infrastruktuuriin ja keskeinen ohjelmisto ja tiedot, jotka on palautettava katastrofin tai häiriön jälkeen
• c) selvitys siitä, miten hakija käsittelee toiminnan jatkuvuutta uhkaavia tilanteita tai häiriöitä, kuten keskeisten järjestelmien toimintahäiriöitä, keskeisten tietojen menetystä, tiloihin pääsyn estymistä ja keskeisten henkilöiden menetystä
• d) hakijan suunnitelma siitä, miten usein hakija aikoo testata liiketoiminnan jatkuvuuden ja järjestelmäpalautuksen suunnitelmat, ja siitä, miten testauksen tulokset kirjataan ylös
• e) kuvaus lieventävistä toimenpiteistä, joita hakija aikoo toteuttaa maksupalvelujen

suorittaminen ja voimassa olevien sopimusten purkaminen.

Ohje 12: Periaatteet ja määritelmät suorituskykyyn, transaktioihin ja petokseen liittyvien tilastotietojen keruuseen

12.1. Hakijan on esitettävä kuvaus periaatteista ja määritelmistä, joita sovelletaan suorituskykyyn, transaktioihin ja petokseen liittyvien tilastotietojen keruuseen, sisältäen seuraavat tiedot:

• a) kerätyn tiedon tyyppi suhteessa asiakkaisiin, maksupalvelun tyyppiin, kanavaan, välineeseen, lainkäyttöalueisiin ja valuuttoihin
• b) tietojenkeruun laajuus: mitkä toimet ja yksiköt sekä sivukonttorit ja asiamiehet ne kattavat
• c) tietojenkeruun välineet
• d) tietojenkeruun tarkoitus
• e) tietojenkeruun tiheys
• f) tukevat asiakirjat, kuten käsikirja, joka kuvaa järjestelmän toimintaa.

Ohje 13: Turvallisuusperiaatteita koskeva asiakirja

13.1. Hakijan on esitettävä turvallisuusperiaatteita koskeva asiakirja, joka sisältää seuraavat tiedot:

• a) yksityiskohtainen riskinarviointi niistä maksupalveluista, joita hakija aikoo tarjota, käsittäen petosriskin ja turvavalvonta- ja lieventämistoimenpiteet, joilla asianmukaisesti suojellaan maksupalvelujen käyttäjiä tunnistettuja riskejä vastaan
• b) kuvaus IT- järjestelmistä, sisältäen:
• i. järjestelmäarkkitehtuurin ja verkkoelementit
• ii. liiketoimintaa tukevat IT- järjestelmät, kuten hakijan verkkosivusto, verkkokukkarot, maksuliikemoduulin, riskin ja petosten estämismoduulin ja asiakkaiden kirjanpidon
• iii. muut tukevat IT- järjestelmät, joita käytetään hakijan yrityksen organisointiin ja hallintoon, kuten kirjanpito, oikeudellisten tietojen raportointijärjestelmät, henkilöstöhallinto, asiakassuhdehallinto, sähköpostipalvelimet ja yrityksen sisäiset tiedostopalvelimet
• iv. tieto siitä, onko hakijalla tai sen konsernilla yllämainitut järjestelmät jo käytössä, ja tapauksen mukaan arvioitu käyttöönottopäivämäärä
• c) sallitut yhteydet ulkopuolelta, kuten yhteistyökumppanit, palveluntarjoajat, konserniin kuuluvat yksiköt ja työntekijät, jotka työskentelevät etänä, ja perustelut näille yhteyksille
• d) jokaiselle c) kohdassa luetellulle yhteydelle käytössä olevat loogiset turvatoimenpiteet ja -mekanismit, tarkentaen hakijan kyvyn valvoa tällaista käyttöä, mukaan lukien kunkin valvonnan luonne ja tiheys, kuten organisatorinen vs tekninen, ehkäisevä vs havaitseva ja reaaliaikainen seuranta vs säännölliset tarkastukset, kuten konsernista erillisen käyttäjähakemiston (Active Directory) käyttö, viestiyhteyksien avaaminen tai sulkeminen, turvalaitteiston kokoonpano, avaimien tai asiakkaiden todentamisvarmenteiden luonti, järjestelmän valvonta, todentaminen, viestinnän luottamuksellisuus, tunkeutumisen havaitseminen, virustorjunta ja lokit
• e) loogiset turvatoimenpiteet ja -mekanismit, joilla hallitaan sisäistä pääsyä IT- järjestelmiin, sisältäen seuraavat:
• i. toimenpiteiden tekninen ja organisatorinen luonne ja tiheys, kuten onko toimenpide ehkäisevä vai havaitseva ja suoritetaanko toimenpide reaaliajassa
• ii. kuinka asiakkaiden ympäristön eristämistä koskeva ongelma hoidetaan, kun hakijan IT- resurssit on jaettu
• f) hakijan tilojen ja tietokonekeskuksen fyysisen turvallisuuden toimenpiteet ja mekanismit, kuten pääsynvalvonta ja ympäristön turvallisuus
• g) maksuprosessien turvallisuus, sisältäen:
• i. asiakkaan tunnistusmenetelmät neuvonnalliseen ja kaupalliseen käyttöoikeuteen ja kaikkiin pohjana oleviin maksuvälineisiin
• ii. selvitys siitä, kuinka turvallinen maksujen toimitus tunnistetulle maksupalvelun käyttäjälle ja todentamistekijöiden, kuten tunnistevälineiden ja mobiilisovellusten luotettavuus varmistetaan rekisteröinnin ja uusimisen aikana
• iii. kuvaus järjestelmistä ja menettelyistä, jotka hakijalla on käytössään transaktioiden analysoimiseksi ja epäilyttävien ja epätavallisten transaktioiden tunnistamiseksi
• h) tarjottavien maksupalvelujen yksityiskohtainen riskien arviointi, sisältäen petoksen riskin ja hallinta- ja lieventämistoimenpiteet, jotka on selitetty hakemuksessa, osoittaen, että riskit on huomioitu
• i) luettelo pääasiallisista kirjallisista menettelyistä, jotka koskevat hakijan IT-järjestelmiä, tai sellaisten menettelyiden arvioitu valmistumispäivämäärä, joista ei ole vielä laadittu virallista asiakirjaa.

Ohje 14: Sisäisen valvonnan mekanismit rahanpesuun ja terrorismin rahoitukseen liittyvien velvoitteiden noudattamiseksi (AML/CFT-velvoitteet)

14.1. Kuvaus sisäisen valvonnan mekanismeista, jotka hakija on toteuttanut velvoitteiden noudattamiseksi soveltuvin osin, sisältäen seuraavat tiedot:

• a) hakijan liiketoimintaan liittyvän rahanpesun ja terrorismin rahoituksen riskien arviointi, sisältäen riskit liittyen hakijan asiakaskantaan, tarjottaviin tuotteisiin ja palveluihin, käytettyihin jakelukanaviin ja toiminnan maantieteellisiin alueisiin
• b) hakijan jo suorittamat tai suunnittelemat toimenpiteet rahanpesuun ja terrorismin rahoitukseen liittyvien riskien pienentämiseksi ja niitä koskevien velvoitteiden noudattamiseksi, sisältäen hakijan riskinarviointimenettelyt, käytännöt ja menettelyt asiakkaan tuntemisvelvollisuutta koskevien vaatimusten noudattamiseksi ja käytännöt ja menettelyt epäilyttävien varainsiirtojen tai toiminnan raportointiin
• c) hakijan jo toteuttamat tai suunnittelemat järjestelmät ja hallintamenetelmät, joilla varmistetaan, että sivukonttorit ja asiamiehet noudattavat vaadittavia rahanpesun ja terrorismin rahoituksen vastaisia velvoitteita, mukaan lukien tilanteet, joissa asiamies tai sivukonttori sijaitsee toisessa jäsenvaltiossa
• d) hakijan jo toteuttamat tai suunnittelemat järjestelyt sen takaamiseksi, että henkilöstö ja asiamiehet ovat asianmukaisesti koulutettuja rahanpesun ja terrorismin rahoituksen torjumiseen
• e) sen henkilön henkilöllisyys, joka on vastuussa hakijan rahanpesun ja terrorismin rahoituksen vastaisten velvoitteiden noudattamisesta, ja todisteet siitä, että kyseisellä henkilöllä on riittävästi rahanpesun ja terrorismin rahoituksen torjunnan asiantuntemusta, jotta tehtävä voitaisiin suorittaa tehokkaasti
• f) hakijan jo toteuttamat tai suunnittelemat järjestelmät ja hallintamenetelmät, joilla varmistetaan rahanpesun ja terrorismin rahoituksen vastaisten käytäntöjen ja menettelyjen olevan ajan tasalla, tehokkaita ja asianmukaisia
• g) hakijan jo toteuttamat tai suunnittelemat järjestelmät ja hallintamenetelmät, joilla varmistetaan, etteivät asiamiehet altista hakijaa kohonneeseen rahanpesun tai terrorismin rahoituksen riskiin
• h) hakijan henkilöstölle tarkoitetut ohjeet rahanpesun ja terrorismin rahoituksen vastaisiin menetelmiin.

Ohje 15: Hakijan määräosuuksia hallussaan pitävien henkilöiden henkilöllisyys ja sopivuuden arviointi

15.1 Hakijan maksulaitoksen määräosuuksia hallussaan pitävien henkilöiden henkilöllisyyden ja sopivuuden todistamiseksi hakijan on esitettävä seuraavat tiedot, sanotun kuitenkaan rajoittamatta niiden kriteerien mukaista arviointia, jotka on esitetty direktiivissä 2007/44/EY ja eritelty määräosuuksien hankintaan sovellettavien toiminnan vakauden arvioinnin yhteisissä ohjeissa (JC/GL/2016/01):

• a) kuvaus konsernista, johon hakija kuuluu, ja tarpeen mukaan tieto emoyrityksestä
• b) hakijan yrityksen omistusrakenteen kaavio, sisältäen seuraavat:
• i) kaikkien sellaisten henkilöiden nimi ja omistusosuusprosentti (pääoma/äänioikeus), joilla on tai on oleva suora omistus hakijan yhtiön osakepääomasta, yksilöiden sellaiset henkilöt, jotka täyttävät määräosuuden haltijoille asetetut vaatimukset, ja perustelut vaatimuksien täyttymiseen
• ii) kaikkien sellaisten henkilöiden nimi ja omistusosuusprosentti (pääoma/äänioikeus), joilla on tai on oleva välillisesti hallussaan osa hakijan yhtiön osakepääomasta, yksilöiden sellaiset henkilöt, jotka täyttävät välillisen määräosuuden haltijoille asetetut vaatimukset, ja perustelut vaatimuksien täyttymiseen
• c) luettelo kaikkien niiden henkilöiden ja yhteisöjen nimistä, joilla on tai toimiluvan myöntämisen yhteydessä on oleva hallussaan määräosuuksia hakijan yhtiöstä, ilmoittaen kunkin henkilön tai yhteisön osalta seuraavat tiedot:
• i. merkittyjen tai merkittävien osakkeiden ja määräosuuksien määrät ja tyypit
• ii. tällaisten osakkeiden tai muiden määräosuuksien nimellisarvo.

15.2 Jos henkilö, jolla on tai toimiluvan myöntämisen tapauksessa on oleva hallussaan määräosuus hakijan pääomasta, on luonnollinen henkilö, hakemuksessa on esitettävä kaikki seuraavat kyseisen henkilön henkilöllisyyttä ja sopivuutta koskevat tiedot:

• a) henkilön nimi ja syntymänimi, syntymäpaikka ja -aika, kansalaisuus (nykyinen ja entinen), henkilötunnus (jos saatavissa) tai passinumero, osoite ja kopio virallisesta henkilötodistuksesta
• b) yksityiskohtainen ansioluettelo, jossa ilmoitetaan koulutus, aiempi ammatillinen kokemus ja mahdollinen muu ammatillinen toiminta tai muut nykyiset tehtävät
• c) lausunto ja sitä tukevat asiakirjat, sisältäen seuraavat henkilöä koskevat tiedot:
• i. kansallisten lainsäädäntövaatimusten mukaisesti julkistettavat tiedot kärsityistä rangaistuksista, rikostuomioista tai rikosoikeudenkäynneistä, joissa henkilö on todettu syylliseksi ja joita ei ole kumottu
• ii. yksityisoikeuden alaan kuuluvat tai hallinnolliset päätökset liittyen arviointi- tai valtuutusprosessiin, joissa henkilö on todettu syylliseksi lakien tai määräysten rikkomiseen, ja hallinnolliset seuraamukset tai toimenpiteet seuraamuksena näiden rikkomisesta (sisältäen yritysjohtajan tehtävästä erottamisen) oikeustapauksissa, joita ei ole kumottu, joista ei ole vireillä tai joista ei voida tehdä valitusta
• iii. konkurssit, maksukyvyttömyys- tai muut vastaavat menettelyt
• iv. vireillä olevat rikostutkinnat
• v. yksityisoikeuden alaan kuuluvat tai hallinnolliset tutkinnat, täytäntöönpanomenettelyt, rangaistukset tai muut täytäntöönpanomääräykset henkilölle, joilla voi olla merkitystä maksulaitostoiminnan aloittamista koskevan toimiluvan saamisen kannalta tai maksulaitoksen järkevän ja vakaan johtamisen kannalta
• vi. virallinen todistus tai vastaava asiakirja, jolla osoitetaan, koskeeko mikään alakohdissa i–v esitetyistä tapauksista asiaankuuluvaa henkilöä, jos tällainen asiakirja on saatavissa
• vii. rekisteröinnin, toimiluvan, jäsenyyden tai luvan epääminen kaupankäynnin, liiketoiminnan tai ammatin harjoittamiselle
• viii. rekisteröinnin, toimiluvan, jäsenyyden tai luvan harjoittaa kaupankäyntiä, liiketoimintaa tai ammattia peruuttaminen, kumoaminen tai päättäminen
• ix. erottaminen viranomaisen tai rahoituspalvelusektorin julkisen tahon toimesta tai ammattialajärjestön tai ammatillisen järjestön toimesta
• x. toimet, joissa henkilö on ollut vastuullisessa asemassa yksikössä, joka on ollut rikostuomion tai rikosoikeudenkäynnin kohteena, hallinnollisten tutkimusten, rangaistusten tai muiden täytäntöönpanomääräysten kohteena tuottamuksellisesta virheestä, liittyen petokseen, epärehellisyyteen, korruptioon, rahanpesuun, terrorismin rahoitukseen tai muihin talousrikoksiin tai jättänyt toimeenpanematta riittäviä käytäntöjä tai menettelyjä kyseisten tilanteiden estämiseksi; henkilö on ollut vastuullisessa asemassa sinä aikana, jolloin edellä väitetty toiminta on tapahtunut; yksityiskohtaiset tiedot tällaisista tilanteista ja henkilön mahdollisesta osallisuudesta niihin
• xi. luottamusasemasta, työpaikasta tai luottamussuhteesta irtisanomiset (muuten kuin asianomaisen suhteen loppumisen seurauksena) ja muut vastaavat tilanteet
• d) luettelo yrityksistä, joita henkilö johtaa tai hallinnoi, ja joista hakija on tietoinen tarkan ja huolellisen tutkinnan jälkeen, henkilön suorassa tai välillisessä määräysvallassa oleva prosentuaalinen osuus yrityksistä, yritysten asema (toiminnassa, purettu jne.) ja kuvaus maksukyvyttömyysmenettelyistä tai vastaavista menettelyistä
• e) jos henkilön maineen arviointi on jo tehty rahoitusalan toimivaltaisen viranomaisen toimesta, tieto kyseisestä viranomaisesta ja arvioinnin tulos
• f) tiedot henkilön nykyisestä taloudellisesta asemasta, sisältäen yksityiskohtaiset tiedot tulolähteistä, varallisuudesta ja vastuista ja sekä annetuista että saaduista vakuusoikeuksista ja vakuuksista
• g) kuvaus kytköksistä poliittisesti vaikutusvaltaisiin henkilöihin, kuten direktiivin (EU) 2015/849 3 artiklan 9 kohdassa on kuvattu² . 15.3 Jos henkilöllä tai yhteisöllä on tai toimiluvan myöntämisen myötä on oleva hallussaan määräosuus hakijan pääomasta (mukaan lukien osapuolet, jotka eivät ole oikeushenkilöitä ja jotka pitävät tai joiden pitäisi pitää määräosuudet hallussaan omalla nimellään), hakemuksen tulee sisältää seuraavat tiedot oikeushenkilön tai yhteisön henkilöllisyydestä ja sopivuudesta:
• a) nimi
• b) jos oikeushenkilö tai yhteisö on rekisteröitynyt keskusrekisteriin, kaupparekisteriin, yhtiörekisteriin tai samankaltaiseen rekisteriin, jolla on sama tarkoitus kuin edellä mainituilla, kopio toimilupatodistuksesta, mikäli mahdollista, tai muutoin rekisteröintitodistus.
• c) yhtiön kotipaikan ja pääkonttorin osoite, jos eri kuin kotipaikka, ja päätoimipaikan osoite
• d) yhteystiedot
• e) yhtiön asiakirjat tai, jos henkilö tai yhteisö on rekisteröity toiseen jäsenvaltioon, tiivistelmä, joka selittää oikeudellisen muodon tai yhteisön keskeiset oikeudelliset piirteet
• f) tieto siitä, onko oikeushenkilö tai yhteisö ollut tai on rahoituspalvelualan toimivaltaisen viranomaisen tai muun julkisen elimen sääntelyn kohteena
• g) asiaankuuluvan toimivaltaisen viranomaisen antama virallinen todistus tai muu vastaava asiakirja, jolla osoitetaan todeksi edellä kohdissa a)–e) vaadittavat tiedot, jos tällainen asiakirja on saatavissa
• h) ohjeen 15.2 kohdissa c, d, e, f ja g esitetyt tiedot koskien oikeushenkilöä tai yhteisöä
• i) luettelo niiden henkilöiden tiedoista, jotka käytännössä johtavat oikeushenkilön tai yhteisön liiketoimintaa, sisältäen nimen, syntymäajan ja -paikan, osoitteen, kansallisen henkilötunnuksen, jos saatavissa, ja yksityiskohtaisen ansioluettelon (luetellen asiaankuuluvan koulutuksen, aikaisemman ammatillisen kokemuksen, ammatilliset toimet tai muun asiaankuuluvan nykyisen toiminnan); lisäksi ohjeen 15.2 kohdissa c ja d vaadittavat tiedot kustakin henkilöstä
• j) oikeushenkilön osakeomistusrakenne, sisältäen vähintään nimen, syntymäajan ja - paikan, osoitteen ja tarpeen mukaan henkilötunnuksen tai rekisterinumeron ja suoraan tai välillisesti osakkaina olevien tai jäsenten ja tosiasiallisten edunsaajien osuus osakepääomasta ja äänioikeudesta direktiivin (EU) 2015/849 3 artiklan 6 kohdan mukaisesti
• k) kuvaus säännellystä rahoitusalan konsernista, jossa hakija on jäsenenä tai voi tulla jäseneksi, tieto emoyhtiöstä ja luotoista, vakuutuksista ja turvallisuudesta konsernin sisällä vastaavista yksiköistä, tieto toimivaltaisesta viranomaisesta (yrityksen tasolla tai konsolidoidusti) ja
• l) vuositilinpäätökset yrityksen, tarpeen mukaan konsernin ja konsernin yksiköiden tasolla viimeisen kolmen tilikauden ajalta, jos oikeushenkilö tai yhteisö on harjoittanut liiketoimintaa tuon ajan (tai jos liiketoimintaa on harjoitettu lyhyemmän ajan, tilikaudet, joina liiketoimintaa on harjoitettu, ja tilinpäätökset tältä ajalta); tilinpäätöksen on

tilintarkastusyritys; tilinpäätöksen on sisällettävä seuraavat kohdat:

• i. tase
• ii. tuloslaskelma
• iii. toimintakertomukset ja niiden tilinpäätösliitteet ja mahdolliset muut asiaankuuluvaan rekisteriin vietävät tai oikeushenkilön toimivaltaisella viranomaisella rekisteröitävät asiakirjat
• m) jos oikeushenkilö ei ole harjoittanut liiketoimintaa riittävän kauan laatiakseen kolmen tilikauden tilinpäätökset välittömästi ennen hakemuspäivää, hakemukseen on liitettävä mahdollisesti olemassa olevat tilinpäätökset

sääntelyjärjestelmästä, jotka koskevat oikeushenkilöä tai yhteisöä, sisältäen tiedot siitä, kuinka yhtenevät maan rahanpesun ja terrorismin rahoituksen torjunnan järjestelmät ovat rahanpesunvastaisen toimintaryhmän (FATF) suosituksien kanssa

• o) yhteisöjen, joilla ei ole oikeushenkilön asemaa, kuten yhteissijoitusyritykset, valtiolliset sijoitusrahastot tai säätiöt, on liitettävä hakemukseensa seuraavat tiedot:
• i. varoja hoitavien henkilöiden ja edunsaajien tai merkitsijöiden henkilöllisyys
• ii. kopio yhteisön perustamista ja hallinnointia koskevasta asiakirjasta, jossa selvitetään yhteisön sijoituspolitiikkaa ja yhteisöön sovellettavia sijoituksia koskevia rajoituksia. 15.4. Hakemuksessa on esitettävä seuraavat tiedot kaikista luonnollisista henkilöistä tai oikeushenkilöistä tai yhteisöistä, joilla on tai on oleva toimiluvan myötä määräosuuksia hakijan pääomasta:
• a) yksityiskohtaiset tiedot henkilön tai yhteisön taloudellisista tai liiketoiminnallisista syistä omistaa määräosuuksia ja henkilön tai yhteisön omistukseen liittyvä strategia, mukaan lukien aika, jonka henkilö tai yhteisö aikoo pitää määräosuutta hallussaan ja aikomukset nostaa tai vähentää omistusosuutta tai pitää sen ennallaan lähitulevaisuudessa
• b) yksityiskohtaiset tiedot henkilön tai yhteisön aikomuksista hakijaa kohtaan ja osallistumisesta hakijayrityksen hallinnointiin tai johtoon, mukaan lukien osinkopolitiikka, strateginen kehittäminen ja hakijan resurssien kohdistaminen sekä aikooko henkilö tai yhteisö toimia aktiivisena vähemmistöosakkaana ja aikomuksen perustelut
• c) tiedot henkilön tai yhteisön halukkuudesta tukea hakijaa lisäämällä omia varojaan, jos se on tarpeen hakijan toiminnan kehittämiseksi tai rahoitusvaikeuksien hoitamiseksi
• d) suunniteltujen osakkeenomistajien tai jäsenien välisten sopimusten sisältö, jos sisältö koskee hakijaa
• e) analyysi siitä, vaikuttaako määräosuuksien omistus hakijan kykyyn esittää ajantasaista ja tarkkaa tietoa toimivaltaisille viranomaisille, mukaan lukien tilanteissa, joissa hakijalla ja osakkeenomistajalla on läheiset sidokset toisiinsa
• f) niiden johtoelimessä tai ylimmässä johdossa toimivien henkilöiden henkilöllisyydet, jotka johtavat hakijan liiketoimintaa ja jotka osakkeenomistajat tai jäsenet nimeävät, sekä ohjeessa 16 vaadittavat tiedot, jos niitä ei ole jo toimitettu.

15.5. Hakemuksessa tulee olla yksityiskohtainen selvitys kaikkien niiden henkilöiden tai yhteisöjen osuuksien rahoituksen lähteistä, joilla on määräosuuksia hakijan pääomasta, sisältäen seuraavat tiedot:

• a) yksityiskohdat yksityisten rahavarojen käytöstä, mukaan lukien niiden saatavuus (sen varmistamiseksi, että toimivaltainen viranomainen hyväksyy toimet, joilla rahavarat on tuotettu) ja lähde
• b) yksityiskohtaiset tiedot finanssimarkkinoille pääsystä, mukaan lukien tiedot liikkeeseenlaskettavista rahoitusvälineistä
• c) tiedot lainattujen varojen käytöstä, mukaan lukien lainaajien nimet ja yksityiskohtaiset tiedot myönnetyistä järjestelyistä, kuten lainan kesto, ehdot, vakuusoikeudet ja takaukset, ja myös tulonlähteistä, joita käytetään lainojen takaisinmaksuun; jos luotonantaja ei ole luottolaitos tai rahoituslaitos, joka on valtuutettu myöntämään luottoa, hakijan on esitettävä tiedot lainattavien varojen alkuperästä toimivaltaisille viranomaisille
• d) tiedot rahoitusjärjestelyistä hakijan muiden osakkeenomistajien tai jäsenten kanssa.

Ohje 16: Maksulaitoksen johtajien ja hallinnosta vastaavien henkilöiden henkilöllisyyden ja sopivuuden arviointi

16.1. Maksulaitoksen johtajille ja hallinnosta vastaaville henkilöille tehtävän henkilöllisyyden ja sopivuuden arvioinnin suorittamiseksi hakijan on esitettävä seuraavat tiedot:

• a) henkilötiedot, sisältäen seuraavat:
• i. koko nimi, sukupuoli, syntymäpaikka ja -aika, osoite, kansalaisuus ja henkilötunnus tai kopio henkilökortista tai vastaavasta asiakirjasta
• ii. yksityiskohtaiset tiedot henkilön työtehtävästä, jonka perusteella häntä arvioidaan, olipa johtoelimen työtehtävä johtoon kuuluva tai ei. Myös seuraavat yksityiskohtaiset tiedot tarvitaan:

• b) hakijan mahdollisesti suorittama sopivuusarviointi, jonka tulee sisältää laitoksen suorittamat henkilön arvioinnin tulokset ja asiaankuuluvat seikat, kuten asiaankuuluvat johtokunnan pöytäkirjat ja raportit sopivuusarvioinnista tai muut asiakirjat
• c) todistus tiedoista, taidoista ja kokemuksesta, mukaan lukien ansioluettelo, jossa luetellaan koulutus ja ammatillinen kokemus, sisältäen akateemiset tutkinnot, muun asianmukaisen koulutuksen, niiden organisaatioiden nimi ja luonne, joissa henkilö on työskennellyt tai työskentelee, ja tehtävien luonne ja aika, jonka henkilö työskenteli kyseisessä tehtävässä, painottaen haetun työtehtävään piiriin kuuluvia tehtäviä
• d) todistus maineesta, rehellisyydestä ja luotettavuudesta, mukaan lukien:
• i. rikos- ja sakkorekisteri ja asiaankuuluvat tiedot rikostutkinnasta ja rikosoikeudenkäynneistä, asiaankuuluvista siviili- ja hallinto-oikeudellisista menettelyistä ja kurinpitotoimista, mukaan lukien yhtiön johtotehtävistä erottaminen, konkurssista, maksukyvyttömyysmenettelyistä ja vastaavista menettelyistä, erityisesti virallisen todistuksen avulla tai muun luotettavan lähteen kuten Euroopan unioniin sijoittautuneen lakimiehen tai notaarin tekemien riippumattomien tutkintojen ja lausuntojen kautta saatu tieto siitä, että henkilöä ei ole tuomittu rikoksesta ja että häntä vastaan ei ole meneillään tutkintaa eikä oikeudenkäyntiä
• ii. ilmoitus siitä, onko rikosoikeudenkäyntiä vireillä tai onko henkilö tai hänen johtamansa organisaatio velallisena maksukyvyttömyysmenettelyssä tai vastaavassa menettelyssä
• iii. tiedot seuraavista asioista:

Ohje 17: Lakisääteisten tilitarkastajien ja tilintarkastusyhteisöjen tiedot

Hakijan on toimitettava soveltuvin osin direktiivissä 2006/43/EY määritettyjen lakisääteisten tilitarkastajien ja tilintarkastusyhteisöjen tiedot, mukaan lukien nimet, osoitteet ja yhteystiedot. Ohje 18: Maksutoimeksiantopalvelujen ja tilitietopalvelujen ammatillinen vastuuvakuutus tai vastaava vakuus

Osoituksena ammatillisesta vastuuvakuutuksesta tai vastaavasta vakuudesta, joka noudattaa EPV:n ohjeita perusteista, joiden mukaan määrätään ammatillisen vastuuvakuutuksen tai muun vastaavan vakuuden rahallinen vähimmäismäärä (EPV/GL/2017/08), ja joka on PSD2-direktiivin 5 artiklan 2 ja 3 kohdan mukainen, PIS- tai AIS-palveluille toimilupaa hakevan hakijan on esitettävä seuraavat tiedot:

• a) vakuutussopimus tai vastaava asiakirja, joka vahvistaa ammatillisen vastuuvakuutuksen tai vastaavan vakuuden olemassaolon, edellä mainittujen EPV:n ohjeiden mukaisella korvausmäärällä ja josta ilmenee korvattavat vastuut
• b) asiakirjat, joista ilmenee, miten hakija on laskenut rahallisen vähimmäismäärän, jotta se olisi EPV:n ohjeiden mukainen ja jotta siinä olisi otettu huomioon kaikki ohjeissa määritetyssä laskukaavassa käytettävät muuttujat.

² Euroopan parlamentin ja neuvoston direktiivi (EU) 2015/849, annettu 20 päivänä toukokuuta 2015, rahoitusjärjestelmän käytön estämisestä rahanpesuun tai terrorismin rahoitukseen (EUVL L 141, 5.6.2015, s. 73).

³ Euroopan parlamentin ja neuvoston direktiivi 2006/43/EY, annettu 17 päivänä toukokuuta 2006 , tilinpäätösten ja konsolidoitujen tilinpäätösten lakisääteisestä tilintarkastuksesta, direktiivien 78/660/ETY ja 83/349/ETY muuttamisesta sekä neuvoston direktiivin 84/253/ETY kumoamisesta (EUVL L 157, 9.6.2006, s. 87–107)

Ohje 1: Yleiset periaatteet

1.1 Nämä ohjeet koskevat hakijoita, jotka aikovat rekisteröityä tilitietopalvelujen tarjoajiksi (AISP). Tällä tarkoitetaan hakijoita, jotka aikovat tarjota ainoastaan tilitietopalveluja (AIS). Jos hakija aikoo tarjota muita palveluita tilitietopalvelujen lisäksi, hakijan tulee anoa toimilupaa ja noudattaa maksulaitoksia koskevia osiossa 4.1 annettuja ohjeita.

1.2 Hakijoiden antamien tietojen tulee olla totuudenmukaisia, täydellisiä, tarkkoja ja ajantasaisia. Kaikkien hakijoiden tulee noudattaa ohjeiden kaikkia niitä koskevia määräyksiä. Tietojen yksityiskohtaisuuden tulee olla suhteutettu hakijan yrityksen kokoon ja sisäiseen organisaatioon, luonteeseen, toiminnan laajuuteen, monimutkaisuuteen ja sen palvelun tai niiden palveluiden riskialttiuteen, joita hakija aikoo tarjota. Direktiivin (EU) 2015/2366 mukaisesti johtajien ja maksulaitoksen johdosta vastuussa olevien henkilöiden on kaikissa tapauksissa oltava hyvämaineisia, ja heillä on oltava asianmukainen tietämys ja kokemus maksupalveluiden suorittamisesta, yrityksen koosta, sisäisestä organisaatiosta, toiminnan luonteesta, laajuudesta, monimutkaisuudesta ja tehtävien asettamista velvoitteista ja vastuista riippumatta.

1.3 Vaadittavia tietoja annettaessa hakijan tulee välttää viittauksia organisaation sisäisten menettelytapojen tai asiakirjojen erityisiin kohtiin. Sen sijaan hakijan tulee eritellä olennaiset kohdat ja toimittaa ne toimivaltaiselle viranomaiselle.

1.4 Jos toimivaltainen viranomainen vaatii annettuihin tietoihin selvennyksiä, hakijan tulee toimittaa ne viipymättä.

1.5 Kaikkia näissä ohjeissa tilitietopalvelun tarjoajien rekisteröintiin vaadittavia tietoja tarvitaan hakemuksen arviointiin, ja toimivaltainen viranomainen käsittelee tietoja PSD2-direktiivissä asetettujen salassapitovelvollisuuksien mukaisesti, sanotun kuitenkaan rajoittamatta tietojen saantia, korjaamista, peruuttamista tai vastustamista koskevan unionin lainsäädännön ja kansallisten vaatimusten ja menettelyjen soveltamista. Ohje 2: Tunnistetiedot

2.1 Jos hakija on luonnollinen henkilö, hakijan esittämien tunnistetietojen tulee sisältää seuraavat tiedot:

• a) nimi, osoite, kansalaisuus ja syntymäaika ja -paikka
• b) kopio henkilöllisyystodistuksesta tai vastaavasta tunnistusasiakirjasta
• c) ajan tasalla oleva ansioluettelo
• d) alle kolme kuukautta vanha rikos- ja sakkorekisteriote
• e) hakemuksesta ja toimilupamenettelystä vastaavien henkilöiden nimet ja heidän yhteystietonsa.

2.2 Jos hakija on oikeushenkilö, tunnistetietojen tulee sisältää seuraavat tiedot:

• a) hakijan yrityksen nimi ja toiminimi, jos eri kuin yrityksen nimi
• b) tieto siitä, onko hakija rekisteröitynyt yritykseksi vai onko rekisteröinti vielä kesken
• c) hakijan kansallinen tunnistenumero, jos tällaista on
• d) hakijan oikeudellinen asema ja (luonnos) yhtiöjärjestyksestä ja/tai perustamisasiakirjat, jotka todistavat hakijan oikeudellisen aseman
• e) hakijan pääkonttorin ja kotipaikan osoite
• f) hakijan sähköpostiosoite ja verkkosivusto, jos saatavissa
• g) hakemuksesta ja toimilupamenettelystä vastaavien henkilöiden nimet ja yhteystiedot
• h) tieto siitä, onko hakija koskaan ollut tai onko hakija rahoituspalvelualan toimivaltaisen viranomaisen sääntelyn kohteena
• i) yhtiön rekisteröintitodistus tai tarpeen mukaan todistus siitä, että yhtiön hakema nimi on rekisteröitävissä kaupparekisteriin
• j) todistus tilitietopalvelujen tarjoajan rekisteröintihakemukseen liittyvien maksujen tai talletusten suorittamisesta, jos kansallinen lainsäädäntö sitä vaatii

Ohje 3: Toimintasuunnitelma

3.1. Hakijan toimittaman toimintasuunnitelman tulee sisältää seuraavat tiedot:

• a) kuvaus tilitietopalveluista, joita hakija aikoo tarjota, sisältäen selvityksen siitä, miten tarjottavat palvelut ovat hakijan mukaan yhdenmukaisia tilitietopalvelujen määritelmän sisältävän direktiivin 2015/2366 (PSD2) 4 artiklan 16 kohdan kanssa
• b) hakijan ilmoitus siitä, ettei se saa missään vaiheessa varoja haltuunsa
• c) kuvaus tarjottavista tilitietopalveluista, sisältäen seuraavat tiedot:
• i. tarpeen mukaan luonnokset kaikkien osapuolten välisistä sopimuksista
• ii. tarjottavien tilitietopalvelujen käyttöehdot
• iii. käsittelyajat
• d) tarpeen mukaan arvio tilojen lukumäärästä, joista hakija aikoo tarjota palveluita
• e) tarpeen mukaan kuvaus tarjottavista oheispalveluista, tilitietopalvelujen lisäksi
• f) ilmoitus siitä, aikooko hakija rekisteröidyttyään tarjota tilitietopalveluja muissa EU-maissa tai unionin ulkopuolisissa maissa
• g) tieto siitä, aikooko hakija seuraavan kolmen vuoden aikana harjoittaa tai harjoittaako se jo muita liiketoimintoja kuin direktiivin 2015/2366 18 artiklassa tarkoitettuja tilitietopalveluja, sisältäen kuvauksen toiminnan luonteesta ja odotetusta liiketoiminnan määrästä
• h) tiedot, jotka on määritelty direktiivin (EU) 2015/2366 5 artiklan 4 kohdan mukaisesti annetuissa EPV:n ohjeissa koskien perusteita, joiden mukaan määrätään ammatillisen vastuuvakuutuksen tai muun vastaavan vakuuden rahallinen vähimmäismäärä, siinä tapauksessa, että hakija aikoo tarjota ainoastaan palvelua 8 (AIS).

Ohje 4: Liiketoimintasuunnitelma

4.1. Hakijan toimittaman liiketoimintasuunnitelman tulee sisältää seuraavat tiedot:

• a) markkinointisuunnitelma, joka sisältää seuraavat tiedot:
• i. analyysi yrityksen kilpailuasemasta
• ii. kuvaus tilitietopalvelujen käyttäjistä asianomaisessa tilitietopalvelujen markkinalohkossa, markkinointimateriaaleista ja jakelukanavista
• b) kolmen vuoden tarkastetut tilinpäätökset, jos saatavissa, tai yhteenveto taloudellisesta tilanteesta sellaisilta hakijoilta, jotka eivät vielä ole tehneet tilinpäätöstä
• c) kolmea ensimmäistä tilikautta koskeva ennakoitu talousarvio, joka osoittaa, että hakijan on mahdollista käyttää tarkoituksenmukaisia ja oikeasuhteisia järjestelmiä, resursseja ja menettelyjä toimiakseen asianmukaisesti, sisältäen seuraavat tiedot:
• i. ennakoitu tuloslaskelma ja tase, sisältäen tavoitetilanteet ja stressitilanteet ja niiden perusolettamukset, kuten asiakasmäärät, hinnoittelu ja odotettu kannattavuuskynnyksen nousu
• ii. selvitys keskeisistä tulonlähteistä ja kuluista, rahoitusveloista ja käyttöomaisuudesta
• iii. kaavio ja yksityiskohtainen erittely arvioiduista kassavirroista seuraavien kolmen vuoden aikana.

Ohje 5: Organisaatiorakenne

5.1. Jos hakija on luonnollinen henkilö, hakijan yrityksen organisaatiorakenteen kuvauksen tulee sisältää seuraavat tiedot:

• a) kokonaisennuste henkilöstön lukumäärästä seuraavan kolmen vuoden aikana
• b) kuvaus asianmukaisista toiminnallisista ulkoistamisjärjestelyistä, sisältäen seuraavat tiedot:
• i. ulkoistettavan palvelun tuottajan henkilöllisyys ja maantieteellinen sijainti
• ii. tiedot tilitietopalvelujen tarjoajan henkilöstöstä, joka on vastuussa ulkoistetuista toiminnoista
• iii. yksityiskohtainen kuvaus ulkoistetuista toiminnoista ja niiden keskeisistä ominaisuuksista
• c) kopio ulkoistamista koskevien sopimusten luonnoksista
• d) soveltuvin osin kuvaus sivukonttoreista ja asiamiehistä, sisältäen seuraavat tiedot:
• i. suunnitelma off-site- ja on-site-tarkastuksista, jotka hakija aikoo tehdä sivukonttoreille ja asiamiehille
• ii. IT-järjestelmät, prosessit ja infrastruktuuri, joita hakijan asiamiehet käyttävät toimiessaan hakijan puolesta
• iii. asiamiesten valintapolitiikka, valvontamenettelyt ja koulutus ja tarpeen mukaan luonnos toimeksiantoa koskevista ehdoista
• e) luettelo kaikista luonnollisista henkilöistä ja oikeushenkilöistä, joihin AISP-hakijalla on läheisiä sidoksia, ilmoittaen heidän henkilöllisyytensä ja sidosten luonteen.

5.2. Jos hakija on oikeushenkilö, yrityksen organisaatiorakenteen kuvauksen tulee sisältää seuraavat tiedot:

• a) yksityiskohtainen organisaatiokaavio, josta käyvät ilmi jaostot, osastot tai muu rakenteellinen erittely organisaatiossa, sisältäen vastuuhenkilön tai henkilöiden nimet, etenkin henkilöiden, jotka ovat vastuussa sisäiseen valvontaan liittyvistä toiminnoista; kaavion tulee sisältää kuvaus jaostojen, osastojen tai muiden rakenteellisten osien tehtävistä ja velvollisuuksista
• b) kokonaisennuste henkilöstön lukumäärästä seuraavan kolmen vuoden aikana
• c) kuvaus asianmukaisista ulkoistamisjärjestelyistä, sisältäen seuraavat tiedot:
• i. ulkoistettavan palvelun tuottajan henkilöllisyys ja maantieteellinen sijainti
• ii. tiedot tilitietopalvelujen tarjoajan henkilöstöstä, joka on vastuussa ulkoistetuista toiminnoista
• iii. yksityiskohtainen kuvaus ulkoistetuista toiminnoista ja niiden keskeisistä ominaisuuksista
• d) kopio ulkoistamista koskevien sopimusten luonnoksista
• e) soveltuvin osin kuvaus sivukonttoreista ja asiamiehistä, sisältäen seuraavat tiedot:
• i. suunnitelma off-site- ja on-site-tarkastuksista, jotka hakija aikoo tehdä sivukonttoreille ja asiamiehille
• ii. IT-järjestelmät, prosessit ja infrastruktuurit, joita hakijan asiamiehet käyttävät toimiessaan hakijan puolesta
• iii. asiamiesten valintapolitiikka, valvontamenettelyt ja koulutus ja, jos saatavissa, luonnos toimeksiantoa koskevista ehdoista
• f) luettelon luonnollisista henkilöistä ja oikeushenkilöistä, joihin hakijalla on läheisiä sidoksia, ilmoittaen heidän henkilöllisyytensä ja sidosten luonteen.

Ohje 6: Hallinnointi- ja ohjausjärjestelmät sekä sisäisen valvonnan mekanismit

6.1. Hakijan on esitettävä kuvaus hallinnointi- ja ohjausjärjestelmistä sekä sisäisen valvonnan mekanismeista sisältäen seuraavat tiedot:

• a) hakijan tunnistamien riskien kartoitus, sisältäen riskien tyypit ja toimenpiteet, jotka hakija toteuttaa riskien arvioimiseksi ja estämiseksi
• b) toimenpiteet määräaikaisten ja jatkuvien tarkastuksien tekoon, sisältäen tarkastusten tiheyden ja henkilöstön, joka tarkastukset suorittaa
• c) kirjanpitomenetelmät, joita hakija käyttää taloudellisten tietojen kirjaamiseen ja ilmoittamiseen
• d) sen henkilön tai niiden henkilöiden henkilöllisyydet, jotka ovat vastuussa sisäisestä valvonnasta, mukaan lukien määräaikaiset, jatkuvat ja vaatimustenmukaisuuden tarkastukset ja henkilön tai henkilöiden ajantasaiset ansioluettelot
• e) niiden tilintarkastajien henkilöllisyys, jotka eivät ole lakisääteisiä tilintarkastajia direktiivin 2006/43/EY mukaisesti
• f) johtoelimen kokoonpano ja soveltuvin osin muun valvontaelimen tai komitean kokoonpano
• g) kuvaus siitä, miten ulkoistettuja toimintoja valvotaan ja ohjataan hakijan sisäisen valvonnan laadun heikkenemisen estämiseksi
• h) kuvaus siitä, miten sivukonttoreita ja asiamiehiä valvotaan ja ohjataan hakijan sisäisen valvonnan puitteissa
• i) jos hakija on säännellyn yhteisön tytäryhtiö toisessa EU:n jäsenvaltiossa, kuvaus konsernin hallinnosta.

Ohje 7: Menettely turvapoikkeamien ja turvallisuuteen liittyvien asiakasvalitusten valvontaa, käsittelyä ja seurantaa varten

7.1. Hakijan on esitettävä kuvaus menettelystä, joka on käytössä turvapoikkeamien ja turvallisuuteen liittyvien asiakasvalitusten valvontaa, käsittelyä ja seurantaa varten, sisältäen seuraavat tiedot:

• a) organisaation toimenpiteet ja välineet petosten torjuntaan
• b) tiedot henkilöistä ja elimistä, jotka vastaavat asiakkaan auttamisesta petoksen sattuessa, teknisissä ongelmissa ja/tai vaateiden käsittelystä
• c) raportoinnin menettelyt petoksen sattuessa
• d) yhteyshenkilö asiakkaille, sisältäen nimen ja sähköpostiosoitteen
• e) menettelyt turvallisuuspoikkeamien raportointiin, käsittäen raporttien välittäminen sisäisille ja ulkoisille elimille, merkittävistä poikkeamista ilmoittaminen kansallisille toimivaltaisille viranomaisille PSD2-direktiivin 96 artiklan mukaisesti sekä kyseisen artiklan mukaisesta raportoinnista annettujen EPV:n ohjeiden mukaisesti
• f) käytetyt valvontatyökalut ja seurantatoimenpiteet ja menettelyt turvallisuusriskien lieventämiseen.

Ohje 8: Menetelmät arkaluontoisten maksutietojen rekisteröintiin, valvontaan, seurantaan ja niihin pääsyn rajoittamiseen

8.1. Hakijan on esitettävä kuvaus prosessista, joka sillä on käytössä arkaluonteisten maksutietojen rekisteröintiä, valvontaa ja seurantaa sekä niihin pääsyn rajoittamista varten, sisältäen seuraavat tiedot:

• a) kuvaus arkaluontoisiksi maksutiedoiksi luokiteltujen tietojen virroista AISP:n liiketoimintamallissa
• b) käytössä olevat menettelyt arkaluontoisiin maksutietoihin pääsyn sallimiseen
• c) kuvaus valvontatyökalusta
• d) käyttöoikeuspolitiikka, jossa kuvataan yksityiskohtaiset säännöt infrastruktuurin osien ja järjestelmien käyttöön, sisältäen tietokannat ja varajärjestelmät
• e) kuvaus siitä, miten kerättävät tiedot arkistoidaan
• f) kuvaus kerättyjen tietojen aiotusta, myös muiden osapuolien toimesta tapahtuvasta sisäisestä ja/tai ulkoisesta käytöstä
• g) käyttöön otetut IT-järjestelmät ja toteutetut tekniset turvallisuustoimenpiteet, mukaan lukien salaus ja/tai tokenisointi
• h) niiden henkilöiden, elinten ja/tai komiteoiden yksilöinti, joilla on pääsy arkaluontoisiin maksutietoihin
• i) selvitys siitä, miten rikkomukset aiotaan tunnistaa ja käsitellä
• j) vuosittainen sisäinen valvontaohjelma IT-järjestelmien turvaamiseksi.

Ohje 9: Liiketoiminnan jatkuvuutta koskevat järjestelyt

9.1. Hakijan on esitettävä kuvaus liiketoiminnan jatkuvuutta koskevista järjestelyistä, sisältäen seuraavat tiedot:

• a) liiketoiminnan vaikutusanalyysi, sisältäen liiketoimintaprosessit ja palautustavoitteet, kuten palautumisaika- ja palautuspistetavoitteet ja suojatut varat
• b) varmuusjärjestelmän sijaintipaikan nimeäminen, pääsy IT-infrastruktuuriin ja keskeinen ohjelmisto ja tiedot, jotka on palautettava katastrofin tai häiriön jälkeen
• c) selvitys siitä, miten hakija käsittelee toiminnan jatkuvuutta uhkaavia tilanteita tai häiriöitä, kuten keskeisten järjestelmien toimintahäiriöitä, keskeisten tietojen menetystä, tiloihin pääsyn estymistä ja keskeisten henkilöiden menetystä
• d) hakijan suunnitelma siitä, miten usein hakija aikoo testata liiketoiminnan jatkuvuuden ja järjestelmäpalautuksen suunnitelmat, ja siitä, miten testauksen tulokset kirjataan ylös.

Ohje 10: Turvallisuusperiaatteita koskeva asiakirja

10.1. Hakijan on esitettävä turvallisuusperiaatteita koskeva asiakirja, joka sisältää seuraavat tiedot:

• a) yksityiskohtainen riskinarviointi niistä maksupalveluista, joita hakija aikoo tarjota, käsittäen petosriskin ja turvavalvonta- ja lieventämistoimenpiteet, joilla asianmukaisesti suojellaan maksupalvelujen käyttäjiä tunnistettuja riskejä vastaan
• b) Kuvaus IT- järjestelmistä, sisältäen seuraavat tiedot:
• i. järjestelmäarkkitehtuuri ja verkkoelementit
• ii. liiketoimintaa tukevat IT- järjestelmät, kuten hakijan verkkosivusto, riskin ja petosten estämismoduuli ja asiakkaiden kirjanpito
• iii. muut tukevat IT- järjestelmät, joita käytetään hakijan AISP-palvelujen organisointiin ja hallinnointiin, kuten kirjanpitoon, oikeudellisten tietojen raportointijärjestelmiin, henkilöstöhallintoon, asiakassuhdehallintoon, sähköpostipalvelimiin ja sisäisiin tiedostopalvelimiin
• iv. tieto siitä, ovatko järjestelmät jo AISP:n tai sen konsernin käytössä ja soveltuvin osin arvioitu toteutuspäivä
• c) sallitut yhteydet ulkopuolelta, kuten yhteistyökumppanit, palveluntarjoajat, konserniin kuuluvat yhteisöt ja työntekijät, jotka työskentelevät etänä, ja perustelut näille yhteyksille
• d) jokaiselle c) kohdassa luetellulle yhteydelle käytössä olevat loogiset turvatoimenpiteet ja -mekanismit, tarkentaen maksulaitoksen kyvyn valvoa tätä käyttöä, mukaan lukien valvonnan luonne ja tiheys, kuten organisatorinen vs tekninen, ehkäisevä vs havaitseva, reaaliaikainen vs säännöllinen seuranta, kuten konsernista erillisen käyttäjähakemiston (Active Directory) käyttö, viestiyhteyksien avaaminen tai sulkeminen, turvalaitteiston kokoonpano, avaimien tai asiakkaan todentamisvarmenteiden luonti, järjestelmän valvonta, todentaminen, viestinnän luottamuksellisuus, tunkeutumisen havaitseminen, virustorjuntajärjestelmät ja lokit
• e) loogiset turvatoimenpiteet ja -mekanismit, joilla hallitaan sisäistä pääsyä IT- järjestelmiin, sisältäen seuraavat tiedot:
• i. toimenpiteiden tekninen ja organisatorinen luonne ja tiheys, kuten onko toimenpide ehkäisevä vai havaitseva ja suoritetaanko toimenpide reaaliajassa
• ii. kuinka asiakkaiden ympäristön eristämistä koskeva ongelma hoidetaan, kun hakijan IT- resurssit on jaettu
• f) hakijan tilojen ja tietokonekeskuksen fyysisen turvallisuuden toimenpiteet ja mekanismit, kuten pääsynvalvonta ja ympäristön turvallisuus
• g) maksuprosessien turvallisuus, sisältäen seuraavat tiedot:
• i. asiakkaan tunnistuksessa käytettävä menetelmä neuvonnallisen ja kaupallisen käytön yhteydessä
• ii. selvitys siitä, kuinka turvallinen maksujen toimitus tunnistetulle maksupalvelun käyttäjälle ja todentamistekijöiden, kuten tunnistevälineiden ja mobiilisovellusten luotettavuus varmistetaan rekisteröinnin ja uusimisen aikana
• iii. kuvaus järjestelmistä ja menettelyistä, jotka hakijalla on käytössään transaktioiden analysoimiseksi ja epäilyttävien ja epätavallisten transaktioiden tunnistamiseksi
• h) tarjottavien maksupalvelujen yksityiskohtainen riskien arviointi, sisältäen petoksen riskin ja hallinta- ja lieventämistoimenpiteet, jotka on selitetty hakemuksessa, osoittaen, että riskit on huomioitu
• i) luettelo pääasiallisista kirjallisista menettelyistä, jotka koskevat hakijan IT-järjestelmiä, tai sellaisten menettelyiden arvioitu valmistumispäivämäärä, joista ei ole vielä laadittu virallista asiakirjaa.

Ohje 11: Tilitietopalveluja tarjoavien yritysten johtajien ja niiden hallinnosta vastaavien henkilöiden henkilöllisyyden ja sopivuuden arviointi

11.1. Tilitietopalveluja tarjoavien yritysten johtajien ja niiden hallinnosta vastaavien henkilöiden henkilöllisyyden ja sopivuuden arvioimiseksi hakijan on esitettävä seuraavat tiedot:

• a) henkilötiedot, sisältäen seuraavat tiedot:

henkilötunnus tai kopio henkilökortista tai vastaavasta asiakirjasta

• ii. yksityiskohtaiset tiedot henkilön työtehtävästä, jonka perusteella häntä arvioidaan, ja tieto siitä, onko johtoelimen työtehtävä johtoon kuuluva vai ei, sisältäen myös seuraavat tiedot:

• b) hakijan mahdollisesti suorittama sopivuusarviointi, jonka tulee sisältää laitoksen suorittamat henkilön arvioinnin tulokset ja asiaankuuluvat seikat, kuten asiaankuuluvat johtokunnan pöytäkirjat ja raportit sopivuusarvioinnista tai muut asiakirjat
• c) todistus tiedoista, taidoista ja kokemuksesta, mukaan lukien ansioluettelo, jossa luetellaan koulutus ja ammatillinen kokemus, sisältäen akateemiset tutkinnot, muun asianmukaisen koulutuksen, niiden organisaatioiden nimi ja luonne, joissa henkilö on työskennellyt tai työskentelee, ja tehtävien luonne ja aika, jonka henkilö työskenteli kyseisessä tehtävässä, painottaen haetun työtehtävään piiriin kuuluvia tehtäviä
• d) todistus maineesta, rehellisyydestä ja luotettavuudesta, mukaan lukien:
• i. rikos- ja sakkorekisteri ja asiaankuuluvat tiedot rikostutkinnasta ja rikosoikeudenkäynneistä, asiaankuuluvista siviili- ja hallinto-oikeudellisista menettelyistä ja kurinpitotoimista, mukaan lukien yhtiön johtotehtävistä erottaminen, konkurssista, maksukyvyttömyysmenettelyistä ja vastaavista menettelyistä, erityisesti virallisen todistuksen avulla tai muun luotettavan lähteen kuten Euroopan unioniin sijoittautuneen lakimiehen tai notaarin tekemien riippumattomien tutkintojen ja lausuntojen kautta saatu tieto siitä, että henkilöä ei ole tuomittu rikoksesta ja että häntä vastaan ei ole meneillään tutkintaa eikä oikeudenkäyntiä
• ii. lausunto siitä, onko rikosoikeudenkäyntiä vireillä tai onko henkilö tai hänen johtamansa organisaatio velallisena maksukyvyttömyysmenettelyssä tai vastaavassa menettelyssä
• iii. tiedot seuraavista asioista:

Ohje 12: Ammatillinen vastuuvakuutus tai vastaava vakuus

12.1. Osoituksena ammatillisesta vastuuvakuutuksesta tai vastaavasta vakuudesta, joka on EPV:n ammatillisesta vastuuvakuutuksesta antamien ohjeiden (EBA/GL/2017/08) ja PSD2-direktiivin 5 artiklan 2 ja 3 kohdan mukainen, hakijan on esitettävä seuraavat tiedot:

• a) vakuutussopimus tai vastaava asiakirja, joka vahvistaa ammatillisen vastuuvakuutuksen tai vastaavan vakuuden olemassaolon, edellä mainittujen EPV:n ohjeiden mukaisella korvausmäärällä ja josta ilmenee korvattavat vastuut
• b) asiakirjat, joista ilmenee, miten hakija on laskenut rahallisen vähimmäismäärän, jotta se olisi EPV:n ohjeiden mukainen ja jotta siinä olisi otettu huomioon kaikki ohjeissa määritetyssä laskukaavassa käytettävät muuttujat.

Ohje 1: Yleiset periaatteet

1.1 Nämä ohjeet koskevat sähköisen rahan liikkeeseenlaskijalaitosten (EMI) toimiluvan hakijoita. Tällä tarkoitetaan hakijoita, jotka aikovat tarjota sähköisen rahan palveluja ja mahdollisesti PSD2-direktiivin liitteessä 1 olevassa 1–8 kohdassa tarkoitettuja maksupalveluja. Hakijoiden, jotka aikovat tarjota ainoastaan PSD2-direktiivin liitteessä 1 olevassa 1–7 kohdassa tarkoitettuja maksupalveluja tai tässä liitteessä tarkoitettua palvelua 8 kohdassa 1–7 tarkoitettujen muiden palvelujen ohella ilman sähköisen rahan palveluja, tulee noudattaa osiossa 4.1 annettuja ohjeita, jotka koskevat maksulaitostoimiluvan hakijoilta vaadittavia tietoja. Hakijoiden, jotka aikovat tarjota ainoastaan PSD2-direktiivin liitteen 1 kohdassa 8 tarkoitettua palvelua ilman sähköisen rahan palveluja, on noudatettava osiossa 4.2 annettuja ohjeita, jotka koskevat ainoastaan PSD2-direktiivin liitteen 1 palvelun 8 tarjoamista varten rekisteröintiä hakevilta vaadittavia tietoja.

1.2 Hakijoiden antamien tietojen tulee olla totuudenmukaisia, täydellisiä, tarkkoja ja ajantasaisia. Kaikkien hakijoiden tulee noudattaa kaikkia niitä koskevissa ohjeissa annettuja määräyksiä. Tietojen yksityiskohtaisuus pitää suhteuttaa hakijan kokoon ja sisäiseen organisaatioon, luonteeseen, toiminnan laajuuteen, monimutkaisuuteen ja sen palvelun tai niiden palveluiden riskialttiuteen, jota tai joita hakija aikoo tarjota. Direktiivin (EU) 2015/2366 mukaisesti johtajien ja sähköisen rahan liikkeeseenlaskijalaitosten johdosta vastuussa olevien henkilöiden on kaikissa tapauksissa oltava hyvämaineisia, ja heillä on oltava asianmukainen tietämys ja kokemus maksupalvelujen suorittamisesta yrityksen koosta, sisäisestä organisaatiosta, luonteesta, toiminnan laajuudesta ja monimutkaisuudesta, tehtävien velvoitteista ja vastuista riippumatta.

1.3 Vaadittavia tietoja annettaessa hakijan tulee välttää viittauksia organisaation sisäisten menettelytapojen tai asiakirjojen erityisiin kohtiin. Sen sijaan hakijan tulee eritellä olennaiset kohdat ja toimittaa ne toimivaltaiselle viranomaiselle.

1.4 Jos toimivaltainen viranomainen vaatii annettuihin tietoihin selvennyksiä, hakijan tulee toimittaa ne viipymättä.

1.5 Kaikkia näissä ohjeissa sähköisen rahan liikkeeseenlaskijalaitosten toimilupia varten vaadittavia tietoja tarvitaan hakemuksen arviointiin. Toimivaltainen viranomainen käsittelee tietoja PSD2-direktiivissä asetettujen salassapitovelvollisuuksien mukaisesti, sanotun kuitenkaan rajoittamatta sellaisen unionin oikeuden, kansallisten vaatimusten ja menettelytapojen soveltamista, jotka koskevat tietojen saantia, korjaamista, peruuttamista tai vastustamista koskevien oikeuksien käyttöä.

Ohje 2: Tunnistetiedot

2.1 Hakijan toimittamissa tunnistetiedoissa on oltava seuraavat tiedot:

• a) hakijan yrityksen nimi ja toiminimi, jos eri kuin yrityksen nimi
• b) tieto siitä, onko hakija rekisteröitynyt yritykseksi vai onko rekisteröinti vielä kesken
• c) hakijan kansallinen tunnistenumero, jos sellainen on
• d) hakijan oikeudellinen asema ja (luonnos) yhtiöjärjestyksestä ja/tai perustamisasiakirjat, jotka todistavat hakijan oikeudellisen aseman
• e) hakijan pääkonttorin ja kotipaikan osoite
• f) hakijan sähköpostiosoite ja verkkosivusto, jos saatavissa
• g) hakemuksesta ja toimiluvan hakemismenettelyistä vastaavien henkilöiden nimet ja heidän yhteystietonsa
• h) tieto siitä, onko hakija koskaan ollut tai onko se tällä hetkellä rahoituspalvelualan toimintavaltaisen viranomaisen sääntelyn kohteena
• i) sähköisen rahan palvelujen tarjoajien ja/tai maksupalvelujen tarjoajien toimialajärjestöt, joihin hakija mahdollisesti suunnittelee liittyvänsä
• j) yhtiön rekisteröintitodistus tai tarpeen mukaan todistus siitä, että yhtiön hakema nimi on rekisteröitävissä kaupparekisteriin
• k) todistus sähköisen rahan palvelujen tarjoajan toimilupahakemukseen liittyvien maksujen tai talletusten suorittamisesta, jos kansallinen lainsäädäntö sitä vaatii.

Ohje 3: Toimintasuunnitelma

3.1 Hakijan toimittaman toimintasuunnitelman tulee sisältää seuraavat tiedot:

• a) tiedot mitä sähköisen rahan palveluja hakija aikoo tarjota: liikkeeseenlasku, lunastus, suoritukset
• b) soveltuvin osin vaiheittainen kuvaus suunnitelluista maksupalveluista, sisältäen selvityksen siitä, miten yrityksen toiminta ja toimenpiteet luokitellaan sopimaan maksupalvelujen oikeudellisiin luokkiin, jotka on lueteltu PSD2-direktiivin liitteessä 1, ja tieto siitä, tarjotaanko kyseisiä maksupalveluja lisänä sähköisen rahan palveluille tai ovatko tarjotut palvelut kytköksissä sähköisen rahan liikkeellelaskuun
• c) ilmoitus siitä, saako hakija missään vaiheessa varoja haltuunsa.

maksupalveluista, eritellen osallistuvat tahot jokaisessa sähköisen rahan palvelussa ja jokainen maksupalvelu:

• i. kaavio rahavirrasta
• ii. maksun suoritukseen liittyvät järjestelyt
• iii. luonnokset kaikkien maksupalvelujen tarjontaan osallistuvien osapuolien ja soveltuvin osin maksukortin käsittävien palvelujen osapuolien kesken tehtävistä sopimuksista
• iv. käsittelyajat
• e) kopio sähköisen rahan liikkeellelaskijan ja haltijan välillä tehtävästä sopimusluonnoksesta ja PSD2-direktiivin 4 artiklan 21 kohdassa määritellystä puitesopimuksen luonnoksesta, jos hakija aikoo tarjota maksupalveluja sähköisen rahan palvelujen lisäksi
• f) tarpeen mukaan arvio tilojen lukumäärästä, joista hakija aikoo tarjota palveluja
• g) kuvaus tarjottavista sähköisen rahan palvelujen ja soveltuvin osin maksupalvelujen oheispalveluista
• h) jos hakija aikoo tarjota maksupalveluja sähköisen rahan palvelujen lisäksi, selvitys siitä, aikooko hakija myöntää luottoa ja jos myöntää, millä luottorajalla
• i) selvitys siitä, suunnitteleeko hakija sähköisen rahan palvelujen ja mahdollisesti maksupalvelujen tarjoamista muissa jäsenvaltioissa tai unionin ulkopuolisissa maissa toimiluvan saamisen jälkeen
• j) maininta siitä, aikooko hakija harjoittaa seuraavien kolmen vuoden sisällä tai harjoittaako hakija jo muuta liiketoimintaa kuin sähköisen rahan palvelujen tarjoamista ja mahdollisesti direktiivin (EU) 2015/2366 11 artiklan 5 kohdassa tarkoitettujen maksupalvelujen tarjoamista, sekä selvitys toiminnan lajista ja odotetusta laajuudesta
• k) tiedot, jotka on määritelty direktiivin (EU) 2015/2366 5 artiklan 4 kohdan mukaisesti annetuissa EPV:n ohjeissa koskien perusteita, joiden mukaan määrätään ammatillisen vastuuvakuutuksen tai muun vastaavan vakuuden rahallinen vähimmäismäärä, siinä tapauksessa, että hakija aikoo tarjota palveluja 7 ja 8 (maksutoimeksiantopalveluja ja tilitietopalveluja).

Ohje 4: Liiketoimintasuunnitelma

4.1. Hakijan toimittaman liiketoimintasuunnitelman tulee sisältää seuraavat tiedot:

• a) markkinointisuunnitelma, joka sisältää seuraavat tiedot:
• i. analyysi yrityksen kilpailuasemasta sähköisen rahan markkinoilla ja soveltuvin osin maksupalveluiden markkinalohkossa
• ii. kuvaus maksupalveluiden käyttäjistä ja sähköisen rahan haltijoista, markkinointimateriaaleista ja jakelukanavista
• b) yritysten kolmen vuoden tarkastetut tilinpäätöstiedot, jos saatavissa, tai yhteenveto taloudellisesta tilanteesta sellaisilta yhtiöiltä, jotka eivät vielä ole tehneet tilinpäätöstä
• c) kolmea ensimmäistä tilikautta koskeva ennakoitu talousarvio, joka osoittaa, että hakijan on mahdollista käyttää tarkoituksenmukaisia ja oikeasuhteisia järjestelmiä, resursseja ja menettelyjä toimiakseen asianmukaisesti, sisältäen seuraavat tiedot:
• i. ennakoitu tuloslaskelma ja tase, sisältäen tavoitetilanteet ja stressitilanteet ja myös perusolettamukset, kuten liiketoiminnan määrä ja arvo, asiakasmäärät, hinnoittelu, rahansiirtojen keskimääräinen suuruus, odotettu kannattavuuskynnyksen nousu
• ii. selvitys keskeisistä tulonlähteistä ja kuluista, rahoitusveloista ja käyttöomaisuudesta
• iii. kaavio ja yksityiskohtainen erittely arvioiduista kassavirroista seuraavien kolmen vuoden aikana
• d) tiedot omista varoista sisältäen direktiivin 2006/48/EY 57 artiklan a ja b kohdassa

jakautumisesta

• e) tieto ja laskelmat omien varojen vähimmäismäärää koskevista vaatimuksista direktiivin (EU) 2009/110 (toinen sähköistä rahaa koskeva direktiivi, EMD2) 5 artiklan 3 kohdassa tarkoitetun menetelmän D mukaisesti, jos sähköisen rahan palveluja tarjoava laitos aikoo tarjota ainoastaan sähköisen rahan palveluja, tai toimivaltaisen viranomaisen

menetelmän mukaisesti, jos hakija aikoo tarjota maksupalveluja sähköisen rahan palvelujen lisäksi; lisäksi on toimitettava käytetyn menetelmän mukaisesti laskettu vuosittainen ennuste omien varojen jakautumisesta seuraavien kolmen vuoden aikana, sekä tarpeen mukaan käytettyjen muiden menetelmien mukaisesti laskettu vuosittainen ennuste omista varoista.

Ohje 5: Organisaatiorakenne

5.1. Hakijan tulee toimittaa kuvaus yrityksensä organisaatiorakenteesta sisältäen seuraavat tiedot:

• a) yksityiskohtainen organisaatiokaavio, josta käyvät ilmi jaostot, osastot tai muu rakenteellinen erittely organisaatiossa, sisältäen vastuuhenkilön tai henkilöiden nimet, etenkin henkilöiden, jotka ovat vastuussa sisäiseen valvontaan liittyvistä toiminnoista; kaavion tulee sisältää kuvaus jaostojen, osastojen tai muiden rakenteellisten osien tehtävistä ja velvollisuuksista
• b) kokonaisennuste henkilöstön lukumäärästä seuraavan kolmen vuoden aikana
• c) kuvaus asianmukaisista toiminnallisista ulkoistamisjärjestelyistä sisältäen seuraavat tiedot:
• i. ulkoistettavan palvelun tuottajan henkilöllisyys ja maantieteellinen sijainti
• ii. sähköisen rahan liikkeeseenlaskijalaitoksessa työskentelevien ulkoistetuista toiminnoista vastaavien henkilöiden nimet
• iii. tarkka kuvaus ulkoistetuista toiminnoista ja niiden tärkeimmistä ominaispiirteistä
• d) kopio ulkoistamista koskevien sopimusten luonnoksista
• e) soveltuvin osin kuvaus sivukonttoreista, asiamiehistä ja jakelijoista sisältäen seuraavat tiedot:
• i. suunnitelma off-site- ja on-site-tarkastuksista, jotka hakija aikoo tehdä sivukonttoreille, asiamiehille ja jakelijoille
• ii. IT-järjestelmät, prosessit ja infrastruktuuri, joita hakijan asiamiehet ja jakelijat käyttävät toimiessaan hakijan puolesta
• iii. asiamiesten ja jakelijoiden valintapolitiikka, valvontamenettelyt, asiamiesten ja jakelijoiden koulutus ja luonnos toimeksiantoa koskevista ehdoista, jos sellainen on saatavissa
• f) soveltuvin osin selvitys kansallisesta ja/tai kansainvälisestä maksujärjestelmästä, johon hakijalla tulee olemaan pääsy
• g) luettelo kaikista luonnollisista henkilöistä ja oikeushenkilöistä, joihin hakijalla on läheisiä sidoksia, ilmoittaen heidän henkilöllisyytensä ja sidosten luonteen.

Ohje 6: Näyttö alkupääomasta

6.1. Todisteeksi hakijan riittävästä alkupääomasta (350 000 euroa) hakijan täytyy toimittaa seuraavat asiakirjat:

• a) olemassa olevien yritysten tarkistetut tiliotteet tai ote julkisesta rekisteristä, joka osoittaa hakijan alkupääoman
• b) perustamisvaiheessa olevilta yrityksiltä ilmoitus pankilta vahvistaen sen, että varat on talletettu hakijan pankkitilille.

Ohje 7: Sähköisen rahan käyttäjien ja/tai maksupalvelujen käyttäjien varojen suojaamistoimenpiteet

7.1. Kun hakija suojaa sähköisen rahan käyttäjien ja/tai maksupalvelujen käyttäjien varat tallettamalla varat erilliselle tilille luottolaitoksessa tai sijoittamalla ne turvalliseen, likvidiin ja vähäriskiseen varallisuuteen, suojaamistoimenpiteiden kuvauksen tulee sisältää seuraavat tiedot:

• a) tarpeen mukaan kuvaus investointipolitiikasta, jossa varmistetaan, että valittu varallisuus on likvidiä, turvallista ja vähäriskistä
• b) niiden henkilöiden määrä, joilla on pääsy suojaavaan tiliin ja sen toimintoihin
• c) kuvaus sähköisen rahan käyttäjille ja tarpeen mukaan maksupalvelun käyttäjille tarkoitetuista hallinnollisista menettelyistä ja selvitys prosesseista, joilla varaudutaan muiden velkojien vaateita vastaan, erityisesti maksukyvyttömyystilanteessa
• d) kopio luottolaitoksen kanssa tehdyn sopimuksen luonnoksesta
• e) maksulaitoksen nimenomainen ilmoitus PSD2-direktiivin 10 artiklan noudattamisesta.

7.2. Jos hakija suojaa sähköisen rahan käyttäjien tai maksupalvelujen käyttäjien varat vakuutussopimuksella tai vakuutusyhtiön tai luottolaitoksen antamalla vastaavalla vakuudella, suojaustoimenpiteiden kuvauksen tulee sisältää seuraavat tiedot, paitsi jos hakija aikoo tarjota ainoastaan PIS-palveluja:

• a) vahvistus siitä, että vakuutusyhtiö tai luottolaitos, joka myöntää vakuutussopimuksen tai vastaavan vakuuden, ei ole hakijan kanssa samaan konserniin kuuluva yhteisö
• b) yksityiskohtaiset selvitykset sen varmistamiseksi, että vakuutussopimus tai vastaava vakuus on riittävä täyttämään hakijan suojausvelvoitteet kaikissa tilanteissa
• c) vakuutusturvan kesto ja uusiminen
• d) kopio vakuutussopimuksesta (luonnos) tai vastaavasta vakuudesta (luonnos).

Ohje 8: Hallinnointi- ja ohjausjärjestelmät sekä sisäisen valvonnan mekanismit

8.1. Hakijan on esitettävä kuvaus hallinnointi- ja ohjausjärjestelmistä sekä sisäisen valvonnan mekanismeista sisältäen seuraavat tiedot:

• a) hakijan tunnistamien riskien kartoitus, sisältäen riskien tyypit ja toimenpiteet, joita hakija toteuttaa riskien arvioimiseksi ja estämiseksi, liittyen sähköisen rahan palveluihin ja tapauskohtaisesti muihin maksupalveluihin
• b) toimenpiteet määräaikaisten ja jatkuvien tarkastuksien tekoon sisältäen tiedot tarkastusten tiheydestä ja henkilöstöstä, joka tarkastukset suorittaa
• c) kirjanpitomenetelmät, joita hakija käyttää taloudellisten tietojen kirjaamiseen ja ilmoittamiseen
• d) sen henkilön tai niiden henkilöiden henkilöllisyys, joka tai jotka ovat vastuussa sisäisestä valvonnasta, mukaan lukien määräaikaiset, jatkuvat ja vaatimustenmukaisuuden tarkastukset ja henkilön tai henkilöiden ajantasaiset ansioluettelot
• e) kaikkien sellaisten tilintarkastajien henkilöllisyys, jotka eivät ole direktiivin 2006/43/EY mukaisia lakisääteisiä tilintarkastajia
• f) ylimmän hallintoelimen kokoonpano ja tapauksen mukaan muun valvontaelimen tai komitean kokoonpano
• g) kuvaus siitä, miten ulkoistettuja toimintoja valvotaan ja ohjataan sähköisen rahan liikkeeseenlaskijalaitoksen sisäisen valvonnan laadun heikkenemisen estämiseksi
• h) kuvaus siitä, miten sivukonttoreita, asiamiehiä ja jakelijoita valvotaan ja ohjataan hakijan sisäisen valvonnan puitteissa
• i) jos hakija on säännellyn yhteisön tytäryhtiö toisessa EU:n jäsenvaltiossa, kuvaus konsernin hallinnosta.

Ohje 9: Menettely turvapoikkeamien ja turvallisuuteen liittyvien asiakasvalitusten valvontaa, käsittelyä ja seurantaa varten

9.1. Hakijan on esitettävä kuvaus menettelystä, joka on käytössä turvapoikkeamien ja turvallisuuteen liittyvien asiakasvalitusten valvontaa, käsittelyä ja seurantaa varten, sisältäen seuraavat tiedot:

• a) organisaation toimenpiteet ja välineet petosten torjuntaan
• b) tiedot henkilöistä ja elimistä, jotka vastaavat asiakkaan auttamisesta petoksen sattuessa, teknisissä ongelmissa ja/tai vaateiden käsittelystä
• c) raportoinnin menettelyt petoksen sattuessa
• d) yhteyshenkilö asiakkaille, sisältäen nimen ja sähköpostiosoitteen
• e) menettelyt turvallisuuspoikkeamien raportointiin, käsittäen raporttien välittäminen sisäisille ja ulkoisille elimille, myös niiden hakijoiden osalta, jotka aikovat tarjota maksupalveluja sähköisen rahan palvelujen lisäksi. sekä merkittävistä poikkeamista ilmoittaminen kansallisille toimivaltaisille viranomaisille PSD2-direktiivin 96 artiklan mukaisesti sekä kyseisen artiklan mukaisesta raportoinnista annettujen EPV:n ohjeiden mukaisesti.
• f) käytetyt valvontatyökalut ja seurantatoimenpiteet ja menettelyt turvallisuusriskien lieventämiseen.

Ohje 10: Menetelmät arkaluontoisten maksutietojen rekisteröintiin, valvontaan, seurantaan ja niihin pääsyn rajoittamiseen

10.1. Hakijan on esitettävä kuvaus menetelmistä, joita se käyttää arkaluontoisten maksutietojen rekisteröintiin, valvontaan, seurantaan ja tietoihin pääsyn rajoittamiseen, sisältäen seuraavat tiedot:

• a) kuvaus arkaluontoisiksi maksutiedoiksi luokiteltujen tietojen virroista sähköisen rahan liikkeeseenlaskijalaitoksen liiketoimintamallin mukaisesti
• b) käytössä olevat menettelyt arkaluontoisiin maksutietoihin pääsyn sallimiseen
• c) kuvaus valvontatyökalusta
• d) käyttöoikeuspolitiikka, jossa kuvataan yksityiskohtaiset säännöt infrastruktuurin osien ja järjestelmien käyttöön, sisältäen tietokannat ja varajärjestelmät
• e) kuvaus siitä, miten kerättävät tiedot arkistoidaan
• f) kuvaus kerättyjen tietojen aiotusta, myös muiden osapuolien toimesta tapahtuvasta sisäisestä ja/tai ulkoisesta käytöstä
• g) käyttöön otetut IT-järjestelmät ja toteutetut tekniset turvallisuustoimenpiteet, mukaan lukien salaus ja/tai tokenisointi
• h) niiden henkilöiden, elinten ja/tai komiteoiden yksilöinti, joilla on pääsy arkaluontoisiin maksutietoihin
• i) selvitys siitä, miten rikkomukset aiotaan tunnistaa ja käsitellä
• j) vuosittainen sisäinen valvontaohjelma IT-järjestelmien turvallisuudesta.

Ohje 11: Liiketoiminnan jatkuvuutta koskevat järjestelyt

11.1. Hakijan on esitettävä kuvaus liiketoiminnan jatkuvuutta koskevista järjestelyistä sisältäen seuraavat tiedot:

• a) liiketoiminnan vaikutusanalyysi, sisältäen liiketoimintaprosessit ja palautustavoitteet, kuten palautumisaika- ja palautuspistetavoitteet ja suojatut varat
• b) varmuusjärjestelmän sijaintipaikan nimeäminen, pääsy IT-infrastruktuuriin ja keskeinen ohjelmisto ja tiedot, jotka palautetaan katastrofin tai häiriön jälkeen
• c) selvitys siitä, miten hakija käsittelee toiminnan jatkuvuutta uhkaavia tilanteita tai häiriöitä, kuten keskeisten järjestelmien toimintahäiriöitä, keskeisten tietojen menetystä, tiloihin pääsyn estymistä ja keskeisten henkilöiden menetystä
• d) hakijan suunnitelma siitä, miten usein hakija aikoo testata liiketoiminnan jatkuvuuden ja järjestelmäpalautuksen suunnitelmat, ja siitä, miten testauksen tulokset kirjataan ylös
• e) kuvaus lieventävistä toimenpiteistä, joita hakija aikoo toteuttaa maksupalvelujen tarjoamisen päättymisen varalta, joilla varmistetaan maksamattomien maksujen suorittaminen ja voimassa olevien sopimusten purkaminen.

Ohje 12: Periaatteet ja määritelmät suorituskykyyn, transaktioihin ja petokseen liittyvien tilastotietojen keruuseen

12.1. Hakijan on esitettävä kuvaus periaatteista ja määritelmistä, joita sovelletaan suorituskykyyn, transaktioihin ja petokseen liittyvien tilastotietojen keruuseen, sisältäen seuraavat tiedot:

• a) kerätyn tiedon tyyppi suhteessa asiakkaisiin, maksupalvelun tyyppiin, kanavaan, välineeseen, lainkäyttöalueisiin ja valuuttoihin
• b) tietojenkeruun laajuus: mitkä toimet ja yksiköt sekä sivukonttorit, asiamiehet ja jakelijat ne kattavat
• c) tietojenkeruun välineet
• d) tietojenkeruun tarkoitus
• e) tietojenkeruun tiheys
• f) tukevat asiakirjat, kuten käsikirja, joka kuvaa kuinka järjestelmä toimii.

Ohje 13: Turvallisuusperiaatteita koskeva asiakirja

13.1. Hakijan on esitettävä turvallisuusperiaatteita koskeva asiakirja koskien sen sähköisen rahan palveluja ja tapauskohtaisesti maksupalveluja, joka sisältää seuraavat tiedot:

• a) hakijan tarjoamien sähköisen rahan palvelujen ja tapauskohtaisesti maksupalvelujen yksityiskohtainen riskien arviointi, sisältäen petoksen riskin ja turvavalvonta- ja lieventämistoimenpiteet, joilla asianmukaisesti suojellaan sähköisen rahan palvelujen käyttäjiä ja maksupalvelujen käyttäjiä tunnistettuja riskejä vastaan
• b) kuvaus IT- järjestelmistä, sisältäen seuraavat tiedot:
• i. järjestelmäarkkitehtuuri ja verkkoelementit
• ii. liiketoimintaa tukevat IT- järjestelmät, kuten hakijan verkkosivusto, verkkokukkarot, maksuliikemoduuli, riskin ja petosten estämismoduuli ja asiakkaiden kirjanpito
• iii. tukevat IT- järjestelmät, joita käytetään sähköisen rahan liikkeeseenlaskijalaitoksen organisointiin ja hallintoon, kuten kirjanpito, oikeudellisten tietojen raportointijärjestelmä, henkilöstöhallinto, asiakassuhdehallinto, sähköpostipalvelimet ja yrityksen sisäiset tiedostopalvelimet
• iv. tieto siitä, onko hakijalla tai sen konsernilla yllämainitut järjestelmät jo käytössä, ja soveltuvin osin arvioitu käyttöönottopäivämäärä
• c) sallitut yhteydet ulkopuolelta, kuten yhteistyökumppanit, palveluntarjoajat, konserniin kuuluvat yhteisöt ja työntekijät, jotka työskentelevät etänä, ja perustelut näille yhteyksille
• d) jokaiselle c) kohdassa luetellulle yhteydelle käytössä olevat loogiset turvatoimenpiteet ja -mekanismit, tarkentaen sähköisen rahan liikkeeseenlaskijalaitoksen kyvyn toteuttaa valvontaa, mukaan lukien valvonnan luonne ja tiheys, kuten organisatorinen vs tekninen, ehkäisevä vs havaitseva ja reaaliaikainen seuranta vs säännöllinen tarkastus, kuten

avaaminen tai sulkeminen, tietoturvalaitteiston kokoonpano, avaimien tai asiakkaan todentamisvarmenteiden luonti, järjestelmän valvonta, todentaminen, viestinnän luottamuksellisuus, tunkeutumisen havaitseminen, virustorjuntajärjestelmät ja lokit

• e) loogiset tietoturvatoimenpiteet ja mekanismit, joilla hallitaan sisäistä pääsyä IT-järjestelmiin, sisältäen seuraavat tiedot:
• i. toimenpiteiden tekninen ja organisatorinen luonne ja tiheys, kuten onko toimenpide ehkäisevä vai havaitseva ja suoritetaanko toimenpide reaaliajassa
• ii. kuinka asiakkaiden ympäristön eristämistä koskeva ongelma hoidetaan, kun hakijan IT- resurssit on jaettu
• f) hakijan tilojen ja tietokonekeskuksen fyysisen turvallisuuden toimenpiteet ja mekanismit, kuten pääsynvalvonta ja ympäristön turvallisuus
• g) sähköisen rahan turvallisuus ja tapauskohtaisesti muun maksupalvelun turvallisuus, sisältäen seuraavat tiedot:
• i. asiakkaan tunnistusmenetelmät neuvonnalliseen ja kaupalliseen käyttöoikeuteen ja kaikkiin pohjana oleviin maksuvälineisiin
• ii. selvitys siitä, kuinka turvallinen maksujen toimitus tunnistetulle sähköisen rahan palvelujen käyttäjälle ja maksupalvelujen käyttäjälle sekä todentamistekijöiden, kuten tunnistevälineiden ja mobiilisovellusten luotettavuus varmistetaan rekisteröinnin ja uusimisen aikana
• iii. kuvaus järjestelmistä ja menettelyistä, jotka sähköisen rahan liikkeeseenlaskijalaitoksella on käytössään transaktioiden analysoimiseksi ja epäilyttävien ja epätavallisten transaktioiden tunnistamiseksi
• h) tarjottavien sähköisen rahan ja soveltuvin osin muiden maksupalvelujen yksityiskohtainen riskien arviointi, sisältäen petoksen riskin ja hallinta- ja lieventämistoimenpiteet, jotka on selitetty hakemuksessa, osoittaen, että riskit on huomioitu
• i) luettelo pääasiallisista kirjallisista menettelyistä, jotka koskevat hakijan IT-järjestelmiä, tai sellaisten menettelyiden arvioitu valmistumispäivämäärä, joista ei ole vielä laadittu virallista asiakirjaa.

Ohje 14: Sisäisen valvonnan mekanismit rahanpesuun ja terrorismin rahoitukseen liittyvien velvoitteiden noudattamiseksi (AML/CFT-velvoitteet)

14.1 Kuvaus sisäisen valvonnan mekanismeista, jotka hakija on toteuttanut velvoitteiden noudattamiseksi soveltuvien osin, sisältäen seuraavat tiedot:

• a) hakijan liiketoimintaan liittyvän rahanpesun ja terrorismin rahoituksen riskien arviointi, sisältäen hakijan riskit liittyen asiakaskantaan, tarjottaviin tuotteisiin ja palveluihin, käytettyihin jakelukanaviin ja toiminnan maantieteellisiin alueisiin
• b) toimenpiteet, joita hakija toteuttaa tai aikoo toteuttaa lieventääkseen rahanpesuun ja terrorismin rahoitukseen liittyviä riskejä ja noudattaakseen asiaa koskevia velvoitteitaan, sisältäen hakijan riskinarviointimenettelyt, käytännöt ja menettelyt asiakkaan tuntemisvelvollisuusvaatimusten noudattamiseksi ja käytännöt ja menettelyt epäilyttävien varainsiirtojen tai toiminnan raportointiin
• c) hakijan jo toteuttamat tai suunnittelemat järjestelmät ja hallintamenetelmät, joilla varmistetaan, että sen sivukonttorit, asiamiehet ja jakelijat noudattavat sovellettavia rahanpesun ja terrorismin rahoituksen vastaisia vaatimuksia, mukaan lukien tapaukset, joissa asiamies tai sivukonttori sijaitsee toisessa jäsenvaltiossa
• d) hakijan jo toteuttamat tai suunnittelemat järjestelyt sen takaamiseksi, että henkilöstö, asiamiehet ja jakelijat ovat asianmukaisesti koulutettuja rahanpesun ja terrorismin rahoituksen torjumiseen
• e) sen henkilön henkilöllisyys, joka on vastuussa hakijan rahanpesun ja terrorismin rahoituksen vastaisten velvoitteiden noudattamisesta, ja todisteet siitä, että kyseisellä henkilöllä on riittävästi rahanpesun ja terrorismin rahoituksen torjunnan asiantuntemusta, jotta tehtävä voitaisiin suorittaa tehokkaasti
• f) hakijan jo toteuttamat tai suunnittelemat järjestelmät ja hallintamenetelmät, joilla varmistetaan rahanpesun ja terrorismin rahoituksen vastaisten käytäntöjen ja menettelyjen olevan ajan tasalla, tehokkaita ja asianmukaisia
• g) hakijan jo toteuttamat tai suunnittelemat järjestelmät ja hallintamenetelmät, joilla varmistetaan, etteivät asiamiehet ja jakelijat altista hakijaa kohonneeseen rahanpesun tai terrorismin rahoituksen riskiin
• h) hakijan henkilöstölle tarkoitetut ohjeet rahanpesun ja terrorismin rahoituksen vastaisiin menetelmiin.

Ohje 15: Hakijan määräosuuksia hallussaan pitävien henkilöiden henkilöllisyys ja sopivuuden arviointi

15.1 Hakijan sähköisen rahan liikkeeseenlaskijalaitoksen määräosuuksia hallussaan pitävien henkilöiden henkilöllisyyden ja sopivuuden todistamiseksi hakijan on esitettävä seuraavat

esitetty direktiivissä 2007/44/EY ja eritelty määräosuuksien hankintaan sovellettavien toiminnan vakauden arvioinnin yhteisissä ohjeissa (EBA/GL/2017/08):

• a) kuvaus konsernista, johon hakija kuuluu, ja tarpeen mukaan tieto emoyrityksestä
• b) hakijan yrityksen omistusrakenteen kaavio, sisältäen seuraavat tiedot:
• i. kaikkien sellaisten henkilöiden nimi ja omistusosuusprosentti (pääoma/äänioikeus), jolla on tai on oleva suora omistus hakijan yhtiön osakepääomasta, yksilöiden henkilöt, jotka täyttävät määräosuuden haltijoille asetetut vaatimukset, ja perustelut vaatimuksien täyttymiseen
• ii. kaikkien sellaisten henkilöiden nimi ja omistusosuusprosentti (pääoma/äänioikeus), joilla on tai on oleva välillisesti hallussaan osa hakijan yhtiön osakepääomasta, yksilöiden sellaiset henkilöt, jotka täyttävät välillisen määräosuuden haltijoille asetetut vaatimukset, ja perustelut vaatimuksien täyttymiseen
• c) luettelo kaikkien niiden henkilöiden ja yhteisöjen nimistä, joilla on tai toimiluvan myöntämisen yhteydessä on oleva hallussaan määräosuuksia hakijan yhtiöstä, ilmoittaen kunkin henkilön tai yhteisön osalta seuraavat tiedot:
• i. merkittyjen tai merkittävien osakkeiden ja määräosuuksien määrät ja tyypit
• ii. tällaisten osakkeiden tai muiden määräosuuksien nimellisarvo.

15.2 Jos henkilö, jolla on tai toimiluvan myöntämisen tapauksessa on oleva hallussaan määräosuus hakijan pääomasta, on luonnollinen henkilö, hakemuksessa on esitettävä kaikki seuraavat kyseisen henkilön henkilöllisyyttä ja sopivuutta koskevat tiedot:

• a) henkilön nimi ja syntymänimi, syntymäpaikka ja -aika, kansalaisuus (nykyinen ja entinen), henkilötunnus (jos saatavissa) tai passinumero, osoite ja kopio virallisesta henkilötodistuksesta
• b) yksityiskohtainen ansioluettelo, jossa ilmoitetaan koulutus, aiempi ammatillinen kokemus ja mahdollinen muu ammatillinen toiminta tai muut nykyiset tehtävät
• c) lausunto ja sitä tukevat asiakirjat, sisältäen seuraavat henkilöä koskevat tiedot:
• i. kansallisten lainsäädäntövaatimusten mukaisesti julkistettavat tiedot kärsityistä rangaistuksista, rikostuomioista tai rikosoikeudenkäynneistä, joissa henkilö on todettu syylliseksi ja joita ei ole kumottu
• ii. yksityisoikeuden alaan kuuluvat tai hallinnolliset päätökset liittyen arviointi- tai valtuutusprosessiin, joissa henkilö on todettu syylliseksi lakien tai määräysten rikkomiseen, ja hallinnolliset seuraamukset tai toimenpiteet seuraamuksena näiden rikkomisesta (sisältäen yritysjohtajan tehtävästä erottamisen) oikeustapauksissa, joita ei ole kumottu, joista ei ole vireillä tai joista ei voida tehdä valitusta
• iii. konkurssit, maksukyvyttömyys- tai muut vastaavat menettelyt
• iv. vireillä olevat rikostutkinnat
• v. yksityisoikeuden alaan kuuluvat tai hallinnolliset tutkinnat, täytäntöönpanomenettelyt, rangaistukset tai muut täytäntöönpanomääräykset henkilölle, joilla voi olla merkitystä sähköisen rahan liikkeeseenlaskijalaitoksen toimiluvan saamisen tai sähköisen rahan liikkeeseenlaskijalaitoksen järkevän ja vakaan johtamisen kannalta
• vi. virallinen todistus tai vastaava asiakirja, jolla osoitetaan, koskeeko mikään alakohdissa i–v esitetyistä tapauksista asiaankuuluvaa henkilöä, jos tällainen asiakirja on saatavissa
• vii. rekisteröinnin, toimiluvan, jäsenyyden tai luvan epääminen kaupankäynnin, liiketoiminnan tai ammatin harjoittamiselle
• viii. rekisteröinnin, toimiluvan, jäsenyyden tai luvan harjoittaa kaupankäyntiä, liiketoimintaa tai ammattia peruuttaminen, kumoaminen tai päättäminen
• ix. erottaminen viranomaisen tai rahoituspalvelusektorin julkisen tahon toimesta tai ammattialajärjestön tai ammatillisen järjestön toimesta
• x. toimet, joissa henkilö on ollut vastuullisessa asemassa yksikössä, joka on ollut rikostuomion tai rikosoikeudenkäynnin kohteena, hallinnollisten tutkimusten, rangaistusten tai muiden täytäntöönpanomääräysten kohteena tuottamuksellisesta virheestä, liittyen petokseen, epärehellisyyteen, korruptioon, rahanpesuun, terrorismin rahoitukseen tai muihin talousrikoksiin tai jättänyt toimeenpanematta riittäviä käytäntöjä tai menettelyjä kyseisten tilanteiden estämiseksi; henkilö on ollut vastuullisessa asemassa sinä aikana, jolloin edellä väitetty toiminta on tapahtunut; yksityiskohtaiset tiedot tällaisista tilanteista ja henkilön mahdollisesta osallisuudesta niihin
• xi. luottamusasemasta, työpaikasta tai luottamussuhteesta irtisanomiset (muuten kuin asianomaisen suhteen loppumisen seurauksena) ja muut vastaavat tilanteet
• d) luettelo yrityksistä, joita henkilö johtaa tai hallinnoi, ja joista hakija on tietoinen tarkan ja huolellisen tutkinnan jälkeen, henkilön suorassa tai välillisessä määräysvallassa oleva prosentuaalinen osuus yrityksistä, yritysten asema (toiminnassa, purettu jne.) ja kuvaus maksukyvyttömyysmenettelyistä tai vastaavista menettelyistä
• e) jos henkilön maineen arviointi on jo tehty rahoitusalan toimivaltaisen viranomaisen toimesta, tieto kyseisestä viranomaisesta ja arvioinnin tulos
• f) henkilön nykyinen taloudellinen asema, sisältäen yksityiskohtaiset tiedot tulolähteistä, varallisuudesta ja vastuista ja sekä annetuista että saaduista vakuusoikeuksista ja vakuuksista
• g) kuvaus kytköksistä poliittisesti vaikutusvaltaisiin henkilöihin, kuten direktiivin (EU) 2015/849 3 artiklan 9 kohdassa on kuvattu⁴ .

15.3 Jos henkilöllä tai yhteisöllä on tai toimiluvan myöntämisen myötä on oleva hallussaan määräosuus hakijan pääomasta (mukaan lukien osapuolet, jotka eivät ole oikeushenkilöitä ja jotka pitävät tai joiden pitäisi pitää määräosuudet hallussaan omalla nimellään), hakemuksen tulee sisältää seuraavat tiedot oikeushenkilön tai yhteisön henkilöllisyydestä ja sopivuudesta:

• a) nimi
• b) jos oikeushenkilö tai yhteisö on rekisteröitynyt keskusrekisteriin, kaupparekisteriin, yhtiörekisteriin tai samankaltaiseen rekisteriin, jolla on sama tarkoitus kuin edellä mainituilla, kopio toimilupatodistuksesta, mikäli mahdollista, tai muutoin rekisteröintitodistus.
• c) yhtiön kotipaikan ja pääkonttorin osoite, jos eri kuin kotipaikka, ja päätoimipaikan osoite
• d) yhteystiedot
• e) yhtiön asiakirjat tai, jos henkilö tai yhteisö on rekisteröity toiseen jäsenvaltioon, tiivistelmä, joka selittää oikeudellisen muodon tai yhteisön keskeiset oikeudelliset piirteet
• f) tieto siitä, onko oikeushenkilö tai yhteisö ollut tai on rahoituspalvelualan toimivaltaisen viranomaisen tai muun hallintoelimen sääntelyn kohteena
• g) asiaankuuluvan toimivaltaisen viranomaisen antama virallinen todistus tai muu vastaava asiakirja, jolla osoitetaan todeksi edellä kohdissa a–e vaadittavat tiedot, jos tällainen asiakirja on saatavissa
• h) ohjeen 15.2 kohdissa c, d, e, f ja g esitetyt tiedot koskien oikeushenkilöä tai yhteisöä
• i) luettelo niiden henkilöiden tiedoista, jotka käytännössä johtavat oikeushenkilön tai yhteisön liiketoimintaa, sisältäen nimen, syntymäajan ja -paikan, osoitteen, kansallisen henkilötunnuksen, jos saatavissa, ja yksityiskohtaisen ansioluettelon (luetellen asiaankuuluvan koulutuksen, aikaisemman ammatillisen kokemuksen, ammatilliset toimet tai muun asiaankuuluvan nykyisen toiminnan); lisäksi ohjeen 15.2 kohdissa c ja d vaadittavat tiedot kustakin henkilöstä
• j) oikeushenkilön osakeomistusrakenne, sisältäen vähintään nimen, syntymäajan ja paikan, osoitteen ja tarpeen mukaan henkilötunnuksen tai rekisterinumeron ja suoraan tai välillisesti osakkaina olevien tai jäsenten ja tosiasiallisten edunsaajien osuus osakepääomasta ja äänioikeudesta direktiivin (EU) 2015/849 3 artiklan 6 kohdan mukaisesti
• k) kuvaus säännellyn rahoitusalan konsernista, jossa hakija on jäsenenä tai voi tulla jäseneksi, tieto emoyhtiöstä ja luotoista, vakuutuksista ja turvallisuudesta konsernin sisällä vastaavista yksiköistä, tieto toimivaltaisesta viranomaisesta (yrityksen tasolla tai konsolidoidusti) ja
• l) vuositilinpäätökset yrityksen, tarpeen mukaan konsernin ja konsernin yksiköiden tasolla viimeisen kolmen tilikauden ajalta, jona oikeushenkilö tai yhteisö on harjoittanut toimintaa tuon ajan (tai jos liiketoimintaa on harjoitettu lyhyemmän ajan, tilikaudet, joina liiketoimintaa on harjoitettu ja joilta on laadittu tilinpäätökset); tilinpäätöksen on

tilintarkastusyritys; tilinpäätöksen on sisällettävä seuraavat kohdat:

• i. tase
• ii. tuloslaskelma
• iii. toimintakertomukset ja niiden tilinpäätösliitteet ja mahdolliset muut asiaankuuluvaan rekisteriin vietävät tai oikeushenkilön toimivaltaisella viranomaisella rekisteröitävät asiakirjat
• m) jos oikeushenkilö ei ole harjoittanut liiketoimintaa riittävän kauan laatiakseen kolmen tilikauden tilinpäätökset välittömästi ennen hakemuspäivää, hakemukseen on liitettävä mahdollisesti olemassa olevat tilinpäätökset
• n) jos hakijan pääkonttori sijaitsee unionin ulkopuolisessa maassa, tiedot maan sääntelyjärjestelmästä, jotka koskevat oikeushenkilöä tai yhteisöä, sisältäen tiedot siitä, kuinka yhtenevät maan rahanpesun ja terrorismin rahoituksen vastustamisjärjestelmät ovat rahanpesun vastaisen toimintaryhmän (FATF) suosituksien kanssa
• o) yhteisöjen, joilla ei ole oikeushenkilön asemaa, kuten yhteissijoitusyritykset, valtiolliset sijoitusrahastot tai säätiöt, on liitettävä hakemukseensa seuraavat tiedot:
• i. varoja hoitavien henkilöiden henkilöllisyys, edunsaajien tai merkitsijöiden henkilöllisyys, niiden osuudenhaltijoiden henkilöllisyys, jotka hallitsevat yhteissijoitusyritystä tai jotka hallitsevat siitä sellaista osuutta, joka antaa niille mahdollisuuden estää yhteissijoitusyrityksen päätöksenteko
• ii. kopio yhteisön perustamista ja hallinnointia koskevasta asiakirjasta, jossa selvitetään yhteisön sijoituspolitiikkaa ja yhteisöön sovellettavia sijoituksia koskevia rajoituksia.

15.4 Hakemuksessa on esitettävä seuraavat tiedot kaikista luonnollisista henkilöistä tai oikeushenkilöistä tai yhteisöistä, joilla on tai on oleva toimiluvan myötä määräosuuksia hakijan pääomasta:

• a) yksityiskohtaiset tiedot henkilön tai yhteisön taloudellisista tai liiketoiminnallisista syistä omistaa määräosuuksia ja henkilön tai yhteisön omistukseen liittyvä strategia, mukaan lukien aika, jonka henkilö tai yhteisö aikoo pitää määräosuutta hallussaan ja aikomukset nostaa tai vähentää omistusosuutta tai pitää sen ennallaan lähitulevaisuudessa
• b) yksityiskohtaiset tiedot henkilön tai yhteisön aikomuksista hakijaa kohtaan ja osallistumisesta yrityksen hallinnointiin tai johtoon, mukaan lukien osinkopolitiikka, strateginen kehittäminen ja hakijan resurssien kohdistaminen sekä aikooko henkilö tai yhteisö toimia aktiivisena vähemmistöosakkaana ja aikomuksen perustelut
• c) tiedot henkilön tai yhteisön halukkuudesta tukea hakijaa lisäämällä omia varojaan, jos se on tarpeen hakijan toiminnan kehittämiseksi tai rahoitusvaikeuksien hoitamiseksi
• d) suunniteltujen osakkeenomistajien tai jäsenien välisten sopimusten sisältö, jos sisältö koskee hakijaa
• e) analyysi siitä, vaikuttaako määräosuuksien omistus hakijan kykyyn esittää ajantasaista ja tarkkaa tietoa toimivaltaisille viranomaisille, mukaan lukien tilanteissa, joissa hakijalla ja osakkeenomistajalla on läheiset sidokset toisiinsa
• f) niiden johtoelimessä tai ylimmässä johdossa toimivien henkilöiden henkilöllisyydet, jotka johtavat hakijan liiketoimintaa ja on nimitetty osakkeenomistajien tai jäsenien toimesta, yhdessä ohjeen 16 mukaisten säännösten mukaan. 15.5 Hakemuksessa tulee olla yksityiskohtainen selvitys kaikkien niiden henkilöiden tai yhteisöjen osuuksien rahoituksen lähteistä, joilla on määräosuuksia hallussaan hakijan pääomasta, sisältäen seuraavat tiedot:
• a) yksityiskohdat yksityisten rahavarojen käytöstä, mukaan lukien niiden saatavuus (sen varmistamiseksi, että toimivaltainen viranomainen hyväksyy toimet, joilla rahavarat on tuotettu) ja lähde
• b) yksityiskohtaiset tiedot finanssimarkkinoille pääsystä, mukaan lukien tiedot liikkeeseenlaskettavista rahoitusvälineistä
• c) tiedot lainattujen varojen käytöstä, mukaan lukien lainaajien nimet ja yksityiskohtaiset tiedot myönnetyistä järjestelyistä, kuten lainan kesto, ehdot, vakuusoikeudet ja takaukset, ja myös tulonlähteistä, joita käytetään lainojen takaisinmaksuun; jos luotonantaja ei ole luottolaitos tai rahoituslaitos, joka on valtuutettu myöntämään luottoa, hakijan on esitettävä tiedot lainattavien varojen alkuperästä toimivaltaisille viranomaisille
• d) tiedot rahoitusjärjestelyistä hakijan muiden osakkeenomistajien tai jäsenten kanssa.

Ohje 16: Sähköisen rahan liikkeeseenlaskijalaitoksen johtajien ja hallinnosta vastaavien henkilöiden henkilöllisyyden ja sopivuuden arviointi

16.1 Sähköisen rahan liikkeeseenlaskijalaitoksen johtajille ja hallinnosta vastaaville henkilöille tehtävän henkilöllisyyden ja sopivuuden arvioinnin suorittamiseksi hakijan on esitettävä seuraavat tiedot:

• a) henkilötiedot, sisältäen seuraavat:
• i. koko nimi, sukupuoli, syntymäpaikka ja -aika, osoite, kansalaisuus ja henkilötunnus tai kopio henkilökortista tai vastaavasta asiakirjasta
• ii. yksityiskohtaiset tiedot henkilön työtehtävästä, jonka perusteella häntä arvioidaan, olipa johtoelimen työtehtävä johtoon kuuluva tai ei. Myös seuraavat yksityiskohtaiset tiedot tarvitaan:

• b) hakijan mahdollisesti suorittama sopivuusarviointi, jonka tulee sisältää laitoksen suorittamat henkilön arvioinnin tulokset ja asiaankuuluvat seikat, kuten asiaankuuluvat johtokunnan pöytäkirjat ja raportit sopivuusarvioinnista tai muut asiakirjat
• c) todistus tiedoista, taidoista ja kokemuksesta, mukaan lukien ansioluettelo, jossa luetellaan koulutus ja ammatillinen kokemus, sisältäen akateemiset tutkinnot, muun asianmukaisen koulutuksen, niiden organisaatioiden nimi ja luonne, joissa henkilö on työskennellyt tai työskentelee, ja tehtävien luonne ja aika, jonka henkilö työskenteli kyseisessä tehtävässä, painottaen haetun työtehtävään piiriin kuuluvia tehtäviä
• d) todistus maineesta, rehellisyydestä ja luotettavuudesta, mukaan lukien:
• i. rikos- ja sakkorekisteri ja asiaankuuluvat tiedot rikostutkinnasta ja rikosoikeudenkäynneistä, asiaankuuluvista siviili- ja hallinto-oikeudellisista menettelyistä ja kurinpitotoimista, mukaan lukien yhtiön johtotehtävistä erottaminen, konkurssista, maksukyvyttömyysmenettelyistä ja vastaavista menettelyistä, erityisesti virallisen todistuksen avulla tai muun luotettavan lähteen kuten Euroopan unioniin sijoittautuneen lakimiehen tai notaarin tekemien riippumattomien tutkintojen ja lausuntojen kautta saatu tieto siitä, että henkilöä ei ole tuomittu rikoksesta ja että häntä vastaan ei ole meneillään tutkintaa eikä oikeudenkäyntiä
• ii. ilmoitus siitä, onko rikosoikeudenkäyntiä vireillä tai onko henkilö tai hänen johtamansa organisaatio velallisena maksukyvyttömyysmenettelyssä tai vastaavassa menettelyssä
• iii. tiedot seuraavista asioista:

Ohje 17: Lakisääteisten tilitarkastajien ja tilintarkastusyhteisöjen tiedot

Hakijan on toimitettava soveltuvin osin direktiivissä 2006/43/EY määritettyjen lakisääteisten tilitarkastajien ja tilintarkastusyhteisöjen tiedot, mukaan lukien nimet, osoitteet ja yhteystiedot.

Ohje 18: Maksutoimeksiantopalvelujen ja tilitietopalvelujen ammatillinen vastuuvakuutus tai vastaava vakuus

Osoituksena ammatillisesta vastuuvakuutuksesta tai vastaavasta vakuudesta, joka noudattaa EPV:n ohjeita perusteista, joiden mukaan määrätään ammatillisen vastuuvakuutuksen tai muun vastaavan vakuuden rahallinen vähimmäismäärä (EBA/GL/2017/08), ja joka on PSD2-direktiivin 5 artiklan 2 ja 3 kohdan mukainen, sähköisen rahan palveluille toimilupaa hakevan hakijan, joka sähköisen rahan palvelujen lisäksi aikoo tarjota PIS- tai AIS-palveluja, on esitettävä seuraavat tiedot:

• a) vakuutussopimus tai vastaava asiakirja, joka vahvistaa ammatillisen vastuuvakuutuksen tai vastaavan vakuuden olemassaolon, EPV:n ohjeiden mukaisella korvausmäärällä ja josta ilmenee korvattavat vastuut
• b) asiakirjat, joista ilmenee, miten hakija on laskenut rahallisen vähimmäismäärän, jotta se olisi EPV:n ohjeiden (EBA/GL/2017/08) mukainen ja jotta siinä olisi otettu huomioon kaikki ohjeissa määritetyssä laskukaavassa käytettävät muuttujat.

⁴ Euroopan parlamentin ja neuvoston direktiivi (EU) 2015/849, annettu 20 päivänä toukokuuta 2015, rahoitusjärjestelmän käytön estämisestä rahanpesuun tai terrorismin rahoitukseen (EUVL L 141, 5.6.2015, s. 73).

⁵ Euroopan parlamentin ja neuvoston direktiivi 2006/43/EY, annettu 17 päivänä toukokuuta 2006 , tilinpäätösten ja konsolidoitujen tilinpäätösten lakisääteisestä tilintarkastuksesta, direktiivien 78/660/ETY ja 83/349/ETY muuttamisesta sekä neuvoston direktiivin 84/253/ETY kumoamisesta (EUVL L 157, 9.6.2006, s. 87–107)

Ohje 1: Hakemuksen täydellisyyden arviointi

1.1. Hakemus katsotaan olevan täytetty direktiivin (EU) 2015/2366 12 artiklan mukaisesti, jos se sisältää kaikki sellaiset tiedot, joita toimivaltainen viranomainen tarvitsee hakemuksen arvioimiseksi näiden ohjeiden ja direktiivin 2015/2366 5 artiklan mukaisesti.

1.2. Jos hakemuksesta puuttuu tarvittavia tietoja, toimivaltaisen viranomaisen on ilmoitettava asiasta hakijalle kirjallisesti tai sähköisesti ja mainittava selvästi, mitkä tiedot hakemuksesta puuttuvat, ja annettava hakijalle mahdollisuus lähettää puuttuvat tiedot.

1.3. Jos hakemus todetaan oikein täytetyksi, toimivaltaisen viranomaisen tulee ilmoittaa asiasta hakijalle. Ilmoituksessa on mainittava lopullisen hakemuksen vastaanottamispäivä tai niiden tietojen vastaanottamispäivä, joilla hakemusta täydennettiin.

1.4. Toimivaltainen viranomainen voi joka tapauksessa pyytää hakijaa selventämään tietoja hakemuksen arvioimiseksi.

1.5. Jos toimivaltaisen viranomaisen hallussa oleva hakemus sisältää vanhentunutta, epätarkkaa tai väärää tietoa tai se perustuu tällaiselle tiedolle, päivitetyt tiedot pitää lähettää viipymättä toimivaltaiselle viranomaiselle. Päivityksessä tulee mainita päivitettävä tieto, kohta, missä se on ilmoitettu alkuperäisessä hakemuksessa, syy siihen, miksi tiedot ovat vanhentuneita, epätarkkoja tai vääriä, päivitetty tieto, ja vahvistus siitä, että loput tiedoista ovat todenmukaisia, tarkkoja ja täydellisiä.

Guideline 1: General principles

1.1 This set of guidelines applies to applicants for authorisation as electronic money institutions (EMIs).This refers to applicants that intend to provide e-money services and, if applicable, any payment service(s) referred to in points 1-8 of Annex I to PSD2. Applicants that intend to provide only payment services referred to in points 1-7 of Annex I to PSD2 or service 8 referred to in this Annex in combination with other service(s) referred to in points 1-7 without providing e-money services should refer to the specific set of guidelines on the information required from applicants for authorisation as payment institutions (PIs) set out in section 4.1. Applicants that intend to provide only the payment service referred to in point 8 of Annex I to PSD2 without providing e-money services should refer to the guidelines on the information required from applicants for registration for the provision of only service 8 of Annex I PSD2 set out in section 4.2.

1.2 The information provided by applicants should be true, complete, accurate and up to date. All applicants should comply with all the provisions in the set of guidelines that applies to them. The level of detail should be proportionate to the applicant’s size and internal organisation, and to the nature, scope, complexity and riskiness of the particular service(s) that the applicant intends to provide. In any event, in accordance with Directive (EU) 2015/2366, the directors and the persons responsible for the management of the electronic money institution are of good repute and possess appropriate knowledge and experience to perform payment services, regardless of the institution’s size, internal organisation and the nature, scope and complexity of its activities and the duties and responsibilities of the specific position.

1.3 When submitting the information required, the applicant should avoid making references to specific sections of internal procedures/documents. Instead, the applicant should extract the relevant sections and provide these to the competent authority.

1.4 Should the competent authorities (CAs) require clarifications on the information that has been submitted, the applicant should provide such clarification without delay. 1.5 All data requested under these guidelines for authorisation as EMIs are needed for the assessment of the application and will be treated by the competent authority in accordance with the professional secrecy obligations set out in PSD2, without prejudice to applicable Union law and national requirements and procedures on the exercise of the right to access, rectify, cancel or oppose.

Guideline 2: Identification details

2.1 The identification details to be provided by the applicant should contain the following information:

• a) the applicant’s corporate name and, if different, trade name;
• b) an indication of whether the applicant is already incorporated or in the process of incorporation;
• c) the applicant’s national identification number, if applicable;
• d) the applicant’s legal status and (draft) articles of association and/or constitutional documents evidencing the applicant’s legal status;
• e) the address of the applicant’s head office and registered office;
• f) the applicant’s electronic address and website, if available;
• g) the name(s) of the person(s) in charge of dealing with the application file and authorisation procedure, and their contact details;
• h) an indication of whether or not the applicant has ever been, or is currently being, regulated by a competent authority in the financial services sector;
• i) any trade association(s), in relation to the provision of e-money services and/or payment services, that the applicant plans to join, where applicable;
• j) the register certificate of incorporation or, if applicable, negative certificate of a mercantile register that certifies that the name applied by the company is available;
• k) evidence of the payment of any fees or of the deposit of funds to file an application for authorisation as an electronic money institution, where applicable under national law.

Guideline 3: Programme of operations

3.1 The programme of operations to be provided by the applicant should contain the following information:

• a) an indication of the e-money services the applicant intends to provide: issuance, redemption, distribution;
• b) if applicable, a step-by-step description of the type of payment services envisaged, including an explanation of how the activities and the operations that will be provided are identified by the applicant as fitting into any of the legal categories of payment services listed in Annex I to PSD2, and an indication of whether these payment services would be provided in addition to electronic money services or whether they are linked to the issuance of electronic money;
• c) a declaration of whether the applicant will at any point enter or not into possession of funds;
• d) if applicable, a description of the execution of the different e-money services and, if applicable, payment services, detailing all parties involved, for each e-money service and, if applicable, each payment service provided:
• i. a diagram of flow of funds;
• ii. settlement arrangements;

services including those with payment card schemes, if applicable;

• iv. processing times;
• e) a copy of the draft contract between the electronic money issuer and the electronic money holder and the draft framework contract, as defined in Article 4(21) of PSD2 if the applicant pretends to provide payment services in addition to e-money services;
• f) the estimated number of different premises from which the applicant intends to provide the services, if applicable;
• g) a description of any ancillary services to e-money services and, if applicable, to payment services;
• h) when the applicant intends to provide payment services in addition to e-money services, a declaration of whether or not the applicant intends to grant credit and, if so, within which limits;
• i) a declaration of whether or not the applicant plans to provide e-money services and, if applicable, payment services in other EU Member States or third countries after the granting of the licence;
• j) an indication of whether or not the applicant intends, for the next three years, to provide or already provides business activities other than e-money services and, if applicable, payment services, as referred to in Article 11(5) of Directive (EU) 2015/2366, including a description of the type and expected volume of the activities;
• k) the information specified in EBA Guidelines on the criteria on how to stipulate the minimum monetary amount of the professional indemnity insurance or other comparable guarantee under Article 5(4) of Directive (EU) 2015/2366’ (EBA/GL2017/08), where the applicant intends to provide services 7 and 8 (payment initiation services (PIS) and account information services (AIS)).

Guideline 4: Business plan

4.1. The business plan to be provided by the applicant should contain:

• a) a marketing plan consisting of:
• i. an analysis of the company’s competitive position in the e-money market and, if applicable, payment market segment concerned;
• ii. a description of the payment service users and electronic money holders, marketing materials and distribution channels;
• b) certified annual accounts for the previous three years, if available, or a summary of the financial situation for those companies that have not yet produced annual accounts;
• c) a forecast budget calculation for the first three financial years that demonstrates that the applicant is able to employ appropriate and proportionate systems, resources and procedures that allow the applicant to operate soundly; it should include:
• i. an income statement and balance-sheet forecast, including target scenarios and stress scenarios as well as their base assumptions, such as volume and value of transactions, number of clients, pricing, average amount per transaction, expected increase in profitability threshold;
• ii. explanations of the main lines of income and expenses, the financial debts and the capital assets;
• iii. a diagram and detailed breakdown of the estimated cash flows for the next three years;

with method D, as referred to in Article 5.3 of Directive (EU) 2009/110 (the second E-Money Directive (EMD2)), if the electronic money institution intends to provide e-money services only, or the method(s) referred to in Article 9 of Directive (EU) 2015/2366 (PSD2) as determined by the competent authority, if the applicant intends to provide payment services in addition to e-money services, including an annual projection of the breakdown of own funds for three years according to the method used and, If applicable, an annual projection of the own funds for three years according to the other methods used.

Guideline 5: Structural organisation

5.1. The applicant should provide a description of the structural organisation of its undertaking consisting of:

• a) a detailed organisational chart, showing each division, department or similar structural separation, including the name of the person(s) responsible, in particular those in charge of internal control functions; the chart should be accompanied by a description of the functions and responsibilities of each division, department or similar structural separation;
• b) an overall forecast of the staff numbers for the next three years;
• c) a description of the relevant operational outsourcing arrangements consisting of:
• i. the identity and geographical location of the outsourcing provider;
• ii. the identity of the persons within the electronic money institution that are responsible for each of the outsourced activities;
• iii. a clear description of the outsourced activities and their main characteristics;
• d) a copy of draft outsourcing agreements;
• e) a description of the use of branches, agents and distributors, where applicable, including:
• i. a mapping of the off-site and on-site checks that the applicant intends to perform of branches, agents and distributors;
• ii. the IT systems, processes and infrastructure that are used by the applicant’s agents and distributors to perform activities on behalf of the applicant;
• iii. in the case of agents and distributors, the selection policy, monitoring procedures, agents’ and distributor’s training and, where available, the draft terms of engagement of agents and distributors;
• f) an indication of the national and/or international payment system that the applicant will access, if applicable;
• g) a list of all natural or legal persons that have close links with the applicant, indicating their identities and the nature of those links.

Guideline 6: Evidence of initial capital

6.1. For the evidence of initial capital to be provided by the applicant (of EUR 350 000), the applicant should submit the following documents:

• a) for existing undertakings, an audited account statement or public register certifying the amount of capital of the applicant;
• b) for undertakings in the process of being incorporated, a bank statement issued by a bank certifying that the funds are deposited in the applicant’s bank account.

Guideline 7: Measures to safeguard the funds of electronic money users and/or payment service users

7.1. Where the applicant safeguards the electronic money users’ and/or payment service users’ funds through depositing funds in a separate account in a credit institution or through an investment in secure, liquid, low-risk assets, the description of the safeguarding measures should contain:

• a) a description of the investment policy to ensure the assets chosen are liquid, secure and low risk, if applicable;
• b) the number of persons that have access to the safeguarding account and their functions;
• c) a description of the administration and reconciliation process for electronic money users and, if applicable, payment service users, against the claims of other creditors of the electronic money institution, in particular in the event of insolvency;
• d) a copy of the draft contract with the credit institution;
• e) an explicit declaration by the electronic money institution of compliance with Article 10 of PSD2. 7.2. Where the applicant safeguards the funds of the electronic money users and, if applicable, the payment service users through an insurance policy or comparable guarantee from an insurance company or credit institution, and unless the applicant intends to provide PIS only, the description of the safeguarding measures should contain the following:
• a) a confirmation that the insurance policy or comparable guarantee from an insurance company or credit institution is from an entity that is not part of the same group of firms as the applicant;
• b) details of the reconciliation process in place to ensure that the insurance policy or comparable guarantee is sufficient to meet the applicant’s safeguarding obligations at all times;
• c) duration and renewal of the coverage;
• d) a copy of the (draft) insurance agreement or (draft) comparable guarantee.

Guideline 8: Governance arrangements and internal control mechanisms

8.1. The applicant should provide a description of the governance arrangement and internal control mechanisms consisting of:

• a) a mapping of the risks identified by the applicant, including the type of risks and the procedures the applicant will put in place to assess and prevent such risks, in relation to e-money services and, if applicable, payment services;
• b) the different procedures to carry out periodical and permanent controls, including the frequency and the human resources allocated;
• c) the accounting procedures by the which the applicant will record and report its financial information;
• d) the identity of the person(s) responsible for the internal control functions, including for periodic, permanent and compliance control, as well as an up-to-date curriculum vitae;
• e) the identity of any auditor that is not a statutory auditor pursuant to Directive 2006/43/EC;
• f) the composition of the management body and, if applicable, any other oversight body or committee;
• g) a description of the way outsourced functions are monitored and controlled so as to avoid an impairment in the quality of the electronic money institution’s internal controls;
• h) a description of the way any agents, branches and distributors are monitored and controlled within the framework of the applicant’s internal controls;
• i) where the applicant is the subsidiary of a regulated entity in another EU Member State, a description of the group governance.

Guideline 9: Procedure for monitoring, handling and following up on security incidents and security-related customer complaints

9.1. The applicant should provide a description of the procedure in place to monitor, handle and follow up on security incidents and security-related customer complaints to be provided by the applicant, which should contain:

• a) organisational measures and tools for the prevention of fraud;
• b) details of the individuals and bodies responsible for assisting customers in cases of fraud, technical issues and/or claim management;
• c) reporting lines in cases of fraud;
• d) the contact point for customers, including a name and email address;
• e) the procedures for the reporting of incidents, including the communication of these reports to internal or external bodies, including for applicants that intend to provide payment services in addition to e-money services, and the notification of major

the EBA guidelines on incident reporting under the referred Article.

• f) the monitoring tools used and the follow-up measures and procedures in place to mitigate security risks.

Guideline 10: Process for filing, monitoring, tracking and restricting access to sensitive payment data

10.1. The applicant should provide a description of the process in place to file, monitor, track and restrict access to sensitive payment data consisting of:

• a) a description of the flows of data classified as sensitive payment data in the context of the electronic money institution’s business model;
• b) the procedures in place to authorise access to the sensitive payment data;
• c) a description of the monitoring tool;
• d) the access right policy, detailing access to all relevant infrastructure components and systems, including databases and back-up infrastructures;
• e) a description of how the collected data are filed;
• f) the expected internal and/or external use of the collected data, including by counterparties;
• g) the IT system and technical security measures that have been implemented, including encryption and/or tokenisation;
• h) identification of the individuals, bodies and/or committees with access to the sensitive payment data;
• i) an explanation of how breaches will be detected and addressed;
• j) an annual internal control programme in relation to the safety of the IT systems.

Guideline 11: Business continuity arrangements

consisting of the following information:

• a) a business impact analysis, including the business processes and recovery objectives, such as recovery time objectives, recovery point objectives and protected assets;
• b) the identification of the back-up site and access to IT infrastructure, and the key software and data to recover from a disaster or disruption;
• c) an explanation of how the applicant will deal with significant continuity events and disruptions, such as the failure of key systems; the loss of key data; the inaccessibility of the premises; and the loss of key persons;
• d) the frequency with which the applicant intends to test the business continuity and disaster recovery plans, including how the results of the testing will be recorded;
• e) a description of the mitigation measures to be adopted by the applicant, in cases of the termination of its payment services, ensuring the execution of pending payment transactions and the termination of existing contracts. Guideline 12: The principles and definitions applicable to the collection of statistical data on performance, transactions and fraud.

12.1. The applicant should provide a description of the principles and definitions applicable to the collection of the statistical data on performance, transactions and fraud consisting of the following information:

• a) the type of data that is collected, in relation to customers, type of payment service, channel, instrument, jurisdictions and currencies;
• b) the scope of the collection, in terms of the activities and entities concerned, including branches, agents and distributors;
• c) the means of collection;
• d) the purpose of collection;
• e) the frequency of collection;
• f) supporting documents, such as a manual, that describe how the system works.

Guideline 13: Security policy document

service(s) and, where applicable, payment service(s) containing the following information:

• a) a detailed risk assessment of the e-money service(s) and, where applicable, the payment service(s) the applicant intends to provide, which should include risks of fraud and the security control and mitigation measures taken to adequately protect e-money service users and, where applicable, payment service users against the risks identified;
• b) a description of the IT systems, which should include:
• i. the architecture of the systems and their network elements;
• ii. the business IT systems supporting the business activities provided, such as the applicant’s website, wallets, the payment engine, the risk and fraud management engine, and customer accounting;
• iii. the support IT systems used for the organisation and administration of the electronic money institution, such as accounting, legal reporting systems, staff management, customer relationship management, e-mail servers, internal file servers;
• iv. information on whether those systems are already used by the electronic money institution or its group, and the estimated date of implementation, if applicable;
• c) the type of authorised connections from outside, such as with partners, service providers, entities of the group and employees working remotely, including the rationale for such connections;
• d) for each of the connections listed under point c), the logical security measures and mechanisms in place, specifying the control the electronic money institution will have over such access as well as the nature and frequency of each control, such as technical versus organisational; preventative versus detective; and real-time monitoring versus regular reviews, such as the use of an active directory separate from the group, the opening/closing of communication lines, security equipment configuration, generation

confidentiality of communication, intrusion detection, antivirus systems and logs;

• e) the logical security measures and mechanisms that govern the internal access to IT systems, which should include:
• i. the technical and organisational nature and frequency of each measure, such as whether it is preventative or detective and whether or not it is carried out in real time;
• ii. how the issue of client environment segregation is dealt with in cases where the applicant’s IT resources are shared;
• f) the physical security measures and mechanisms of the premises and the data centre of the applicant, such as access controls and environmental security;

include:

• i. the customer authentication procedure used for both consultative and transactional access, and for all underlying payment instruments;
• ii. an explanation of how safe delivery to the legitimate e-money services user and, where applicable, payment service user and the integrity of authentication factors, such as hardware tokens and mobile applications, are ensured, at the time of both initial enrolment and renewal;
• iii. a description of the systems and procedures that the electronic money institution has in place for transaction analysis and the identification of suspicious or unusual transactions;
• h) a detailed risk assessment in relation to its e-money services and, where applicable, its payment services, including fraud, with a link to the control and mitigation measures explained in the application file, demonstrating that the risks are addressed;
• i) a list of the main written procedures in relation to the applicant’s IT systems or, for procedures that have not yet been formalised, an estimated date for their finalisation.

Guideline 14: Internal control mechanisms to comply with obligations in relation to money laundering and terrorist financing (AML/CFT obligations)

14.1 The description of the internal control mechanisms that the applicant has established in order to comply, where applicable, with those obligations should contain the following information:

• a) the applicant’s assessment of the money laundering and terrorist financing risks associated with its business, including the risks associated with the applicant’s customer base, the products and services provided, the distribution channels used and the geographic areas of operation;
• b) the measures the applicant has or will put in place to mitigate the risks and comply with applicable anti-money laundering and counter terrorist financing obligations, including the applicant’s risk assessment process, the policies and procedures to comply with customer due diligence requirements, and the policies and procedures to detect and report suspicious transactions or activities;
• c) the systems and controls the applicant has or will put in place to ensure that its branches, agents and distributors comply with applicable anti-money laundering and terrorist financing requirements, including, in cases where the agent, distributor or branch is located in another Member State;
• d) arrangements the applicant has or will put in place to ensure that staff, agents and distributors are appropriately trained in anti-money laundering and counter terrorist financing matters;
• e) the identity of the person in charge of ensuring the applicant’s compliance with anti-money laundering and counter-terrorism obligations, and evidence that their anti-money laundering and counter-terrorism expertise is sufficient to enable them to fulfil this role effectively;
• f) the systems and controls the applicant has or will put in place to ensure their anti-money laundering and counter terrorist financing policies and procedures remain up to date, effective and relevant;
• g) the systems and controls the applicant has or will put in place to ensure that the agents and distributors do not expose the applicant to increased money laundering and terrorist financing risk;
• h) the anti-money laundering and counter-terrorism manual for the staff of the applicant.

Guideline 15: Identity and suitability assessment of persons with qualified holdings in the applicant

15.1 For the purposes of the identity and evidence of the suitability of persons with qualifying holdings in the applicant electronic money institution, without prejudice to the assessment in accordance with the criteria, as relevant, introduced with Directive 2007/44/EC and specified in the joint guidelines for the prudential assessment of acquisitions of qualifying holdings (JC/GL/2016/01), the applicant should submit the following information:

• a) a description of the group to which the applicant belongs and an indication of the parent undertaking, where applicable;
• b) a chart setting out the shareholder structure of the applicant, including:
• i. the name and the percentage holding (capital/voting right) of each person that has or will have a direct holding in the share capital of the applicant, identifying those that are considered as qualifying holders and the reason for such qualifications;
• ii. the name and the percentage holding (capital/voting rights) of each person that has or will have an indirect holding in the share capital of the applicant, identifying those that are considered as indirect qualifying holders and the reason for such qualification;
• c) a list of the names of all persons and other entities that have or, in the case of authorisation, will have qualifying holdings in the applicant’s capital, indicating for each such person or entity:
• i. the number and type of shares or other holdings subscribed or to be subscribed;
• ii. the nominal value of such shares or other holdings.

15.2 Where a person who has or, in the case of authorisation, will have a qualifying holding in the applicant’s capital is a natural person, the application should set out all of the following information relating to the identity and suitability of that person:

• a) the person’s name and name at birth, date and place of birth, citizenship (current and previous), identification number (where available) or passport number, address and a copy of an official identity document;
• b) a detailed curriculum vitae stating the education and training, previous professional experience and any professional activities or other functions currently performed;
• c) a statement, accompanied by supporting documents, containing the following information concerning the person:
• i. subject to national legislative requirements concerning the disclosure of spent convictions, any criminal conviction or proceedings where the person has been found against and which were not set aside;
• ii. any civil or administrative decisions in matters of relevance to the assessment

each case which were not set aside and against which no appeal is pending or may be filed;

• iii. any bankruptcy, insolvency or similar procedures;
• iv. any pending criminal investigations;
• v. any civil or administrative investigations, enforcement proceedings, sanctions

may be considered to be relevant to the authorisation to commence the activity of an electronic money institution or to the sound and prudent management of an electronic money institution;

• vi. where such documents can be obtained, an official certificate or any other equivalent document evidencing whether any of the events set out in sub-paragraphs (i)-(v) has occurred in respect of the relevant person;
• vii. any refusal of registration, authorisation, membership or licence to carry out trade, business or a profession;
• viii. any withdrawal, revocation or termination of a registration, authorisation, membership or licence to carry out trade, business or a profession;
• ix. any expulsion by an authority or public sector entity in the financial services sector or by a professional body or association;
• x. any position of responsibility with an entity subject to any criminal conviction or proceedings, administrative investigations, sanctions or other enforcement decisions for conduct failings, including in respect of fraud, dishonesty, corruption, money laundering, terrorist financing or other financial crime, or

events, held at the time when the alleged conduct occurred, together with details of such occurrences and of the person’s involvement, if any, in them;

• xi. any dismissal from employment or a position of trust, any removal from a fiduciary relationship (other than as a result of the relevant relationship coming to an end by passage of time) and any similar situation;
• d) a list of undertakings that the person directs or controls and of which the applicant is aware of after due and careful enquiry; the percentage of control either direct or indirect in these companies; their status (whether or not they are active, dissolved, etc.); and a description of insolvency or similar procedures;
• e) where an assessment of reputation of the person has already been conducted by a competent authority in the financial services sector, the identity of that authority and the outcome of the assessment;

revenues, assets and liabilities, security interests and guarantees, whether granted or received;

• g) a description of any links to politically exposed persons, as defined in Article 3(9) of Directive (EU) 2015/849⁵ .

15.3 Where a person or entity who has or, in the case of authorisation, will have a qualifying holding in the applicant’s capital (including entities that are not a legal person and which hold or should hold the participation in their own name), the application should contain the following information relating to the identity and suitability of that legal person or entity:

• a) name;
• b) where the legal person or entity is registered in a central register, commercial register, companies register or similar register that has the same purposes of those aforementioned, a copy of the good standing, if possible, or otherwise a registration certificate;
• c) the addresses of its registered office and, where different, of its head office, and principal place of business;
• d) contact details;
• e) corporate documents or, where the person or entity is registered in another Member State, a summary explanation of the main legal features of the legal form or the entity;
• f) whether or not the legal person or entity has ever been or is regulated by a competent authority in the financial services sector or other government body;
• g) where such documents can be obtained, an official certificate or any other equivalent document evidencing the information set out in paragraphs (a) to (e) issued by the relevant competent authority;
• h) the information referred to in Guideline 15(2)(c), 15(2)(d), 15(2)(e),15(2)(f) and 15(2)(g) a in relation to the legal person or entity;
• i) a list containing details of each person who effectively directs the business of the legal person or entity, including their name, date and place of birth, address, their national identification number, where available, and detailed curriculum vitae (stating relevant education and training, previous professional experience, any professional activities or other relevant functions currently performed), together with the information referred to in Guideline 15(2)(c) and 15(2)(d) in respect of each such person;
• j) the shareholding structure of the legal person, including at least their name, date and place of birth, address and, where available, personal identification number or registration number and the respective share of capital and voting rights of direct or indirect shareholders or members and beneficial owners, as defined in Article 3(6) of Directive (EU) 2015/849;
• k) a description of the regulated financial group of which applicant is a part, or may become a part, indicating the parent undertaking and the credit, insurance and security entities within the group; the name of their competent authorities (on an individual or consolidated basis); and
• l) annual financial statements, at the individual and, where applicable, the consolidated and sub-consolidated group levels, for the last three financial years, where the legal person or entity has been in operation for that period (or, if less than three years, the period for which the legal person or entity has been in operation and financial statements were prepared), approved by the statutory auditor or audit firm within the meaning of Directive 2006/43/EC⁶ , where applicable, including each of the following items:
• i. the balance sheet;
• ii. the profit-and-loss accounts or income statement;
• iii. the annual reports and financial annexes and any other documents registered with the relevant registry or competent authority of the legal person;
• m) where the legal person has not been operating for a sufficient period to be required to prepare financial statements for the three financial years immediately prior to the date of the application, the application shall set out the existing financial statements (if any);

information on the regulatory regime of that third country as applicable to the legal person or entity, including information on the extent to which the third country’s anti-money laundering and counter-terrorist financing regime is consistent with the Financial Action Task Force Recommendations;

undertaking, a sovereign wealth fund or a trust, the application shall set out the following information:

• i. the identity of the persons who manage assets and of the persons who are beneficiaries or subscribers, unit holders controlling the collective investment undertaking or having a holding enabling them to prevent the taking of decisions by the collective investment undertaking;
• ii. a copy of the document establishing and governing the entity including the investment policy and any restrictions on investment applicable to the entity.

15.4 The application shall set out all of the following information for each natural or legal person or entity who has or, in the case of authorisation, will have a qualifying holding in the capital of the applicant should contain the following:

• a) details of that person’s or entity’s financial or business reasons for owning that holding and the person’s or the entity’s strategy regarding the holding, including the period for which the person or the entity intends to hold the holding and any intention to increase, reduce or maintain the level of the holding in the foreseeable future;
• b) details of the person’s or entity’s intentions in respect of the applicant and of the influence the person or the entity intends to exercise over the applicant, including in respect of the dividend policy, the strategic development and the allocation of resources of the applicant, whether or not it intends to act as an active minority shareholder and the rationale for such intention;

additional own funds if needed for the development of its activities or in the case of financial difficulties;

• d) the content of any intended shareholder’s or member’s agreements with other shareholders or members in relation to the applicant;
• e) an analysis as to whether or not the qualifying holding will impact in any way, including as a result of the person’s close links to the applicant, on the ability of the applicant to provide timely and accurate information to the competent authorities;
• f) the identity of each member of the management body or of senior management who will direct the business of the applicant and will have been appointed by, or following a nomination from, such shareholders or members, together with, to the extent not already provided, the information set out in Guideline 16 below.

15.5 The application should set out a detailed explanation of the specific sources of funding for the participation of each person or entity having a qualifying holding in the applicant’s capital, which should include:

• a) details on the use of private financial resources, including their availability and (so as to

funds is legitimate) source;

• b) details on access to financial markets, including details of financial instruments to be issued;

authorised to grant credit, the applicant should provide to the competent authorities information on the origin of the borrowed funds;

• d) information on any financial arrangement with other persons who are shareholders or members of the applicant. Guideline 16: Identity and suitability assessment of directors and persons responsible for the management of the electronic money institution

16.1 For the purposes of the identity and suitability assessment of directors and persons responsible for the management of the electronic money institution, the applicant should provide the following information:

• a) Personal details including:

personal identification number or copy of ID card or equivalent.

• ii. details of the position for which the assessment is sought, whether or not the management body position is executive or non-executive. This should also include the following details:

• b) where applicable, information on the suitability assessment carried out by the applicant which should include details of the result of any assessment of the suitability of the individual performed by the institution, such as relevant board minutes or suitability assessment reports or other documents;
• c) evidence of knowledge, skills and experience, which should include a curriculum vitae containing details of education and professional experience, including academic qualifications, other relevant training, the name and nature of all organisations for which the individual works or has worked, and the nature and duration of the functions performed, in particular highlighting any activities within the scope of the position sought;
• d) evidence of reputation, honesty and integrity, which should include:
• i. criminal records and relevant information on criminal investigations and proceedings, relevant civil and administrative cases, and disciplinary actions, including disqualification as a company director, bankruptcy, insolvency and similar procedures, notably through an official certificate or any objectively reliable source of information concerning the absence of criminal conviction, investigations and proceedings, such as third-party investigations, testimonies made by a lawyer or a notary established in the European Union;
• ii. a statement as to whether criminal proceedings are pending or the person or any organisation managed by him or her has been involved as a debtor in insolvency proceedings or comparable proceedings;
• iii. information concerning the following :

Guideline 17: Identity of statutory auditors and audit firms

The identity of statutory auditors and audit firms as defined in Directive 2006/43/EC to be provided by the applicant, where relevant, should contain the names, addresses and contact details of auditors.

Guideline 18: Professional indemnity insurance or a comparable guarantee for payment initiation services and account information services

As evidence of a professional indemnity insurance or comparable guarantee that is compliant with EBA Guidelines on the criteria on how to stipulate the minimum monetary amount of the professional insurance or other comparable guarantee (EBA/GL/2017/08) and Article 5(2) and 5(3) of PSD2, the applicant for authorisation as electronic money institutions that, in addition to e-money services, intends to provide PIS or AIS, should provide the following information:

• a) an insurance contract or other equivalent document confirming the existence of the professional indemnity insurance or comparable guarantee, with a cover amount that is compliant with the referred EBA Guidelines, showing the coverage of the respective liabilities;
• b) documentation of how the applicant has calculated the minimum amount in a way that is compliant with the referred EBA Guidelines (EBA/GL/2017/08), including all applicable components of the formula specified therein.

⁵ Directive (EU) 2015/849 of the European Parliament and of the Council of 20 May 2015 on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing (OJ L 141, 5.6.2015, p. 73).

⁶ Directive 2006/43/EC of the European Parliament and of the Council of 17 May 2006 on statutory audits of annual accounts and consolidated accounts, amending Council Directives 78/660/EEC and 83/349/EEC and repealing Council Directive 84/253/EEC (OJ L 157, 9.6.2006, p. 87-107).

Guideline 1: Assessment of the completeness of the application

1.1. An application should be deemed to be complete for the purpose of Article 12 of Directive (EU) 2015/2366 if it contains all the information needed by the competent authorities in order to assess the application in accordance with these guidelines and with Article 5 of Directive (EU) 2015/2366.

1.2. Where the information provided in the application is assessed to be incomplete, the competent authority should send, in paper format or by electronic means, a request to the applicant, indicating in a clear way what information is missing, and should provide to the applicant the opportunity to submit the missing information.

1.3. Upon an application being assessed as complete, the competent authority should inform the applicant of that fact, together with the date of receipt of the complete application or, as the case may be, the date of receipt of the information that completed the application.

1.4. In any case, the competent authority may require the applicant to provide clarification on the information for the purposes of assessing the application.

1.5. Where an application contains information, or relies on information held by the competent authorities, which is no longer true, accurate or complete, an update to the application should be provided to the competent authorities without delay. The update should identify the information concerned, its location within the original application, the reason for the information no longer being true, accurate or complete, the updated information and confirmation that the rest of the information in the application remains true, accurate and complete.