Riktlinjer för de uppgifter som ska lämnas vid ansökan om auktorisation av betalningsinstitut och institut för elektroniska pengar samt registrering av leverantörer av kontoinformationstjänster enligt artikel 5.5 i direktiv (EU) 2015/2366 (EBA/GL/2017/09)

1. Efterlevnads- och rapporteringsskyldigheter

2. Syfte, tillämpningsområde och definitioner

3. Genomförande

4. Fyra uppsättningar riktlinjer tillämpliga på betalningsinstitut, leverantörer av kontoinformationstjänster, institut för elektroniska pengar respektive behöriga myndigheter

Riktlinje 1: Allmänna principer

1.1 Dessa riktlinjer riktar sig till dem som ansöker om auktorisation som betalningsinstitut. Detta inbegriper sökande som har för avsikt att tillhandahålla någon av de tjänster som avses i punkterna 1–7 i bilaga I till andra betaltjänstdirektivet eller tjänst 8 i kombination med andra betaltjänster. Sökande som endast har för avsikt att tillhandahålla den tjänst som avses i punkt 8 i bilaga I till direktiv (EU) 2015/2366 omfattas av de specifika riktlinjerna för leverantörer av kontoinformationstjänster i avsnitt 4.2.

1.2 De uppgifter som de sökande lämnar bör vara sanningsenliga, fullständiga, korrekta och aktuella. Alla sökande bör efterleva alla bestämmelser i riktlinjerna som är tillämpliga på dem. Detaljeringsgraden bör stå i proportion till den sökandes storlek och interna organisation samt till arten, omfattningen och komplexitetsgraden hos den eller de tjänster som den sökande har för avsikt att tillhandahålla och de risker dessa medför. I enlighet med direktiv (EU) 2015/2366 ska personer i styrelsen och personer som leder betalningsinstitutet i alla händelser ha gott anseende och den kunskap och erfarenhet som krävs för att tillhandahålla betaltjänster, oberoende av institutets storlek, interna organisation och arten, omfattningen och komplexitetsgraden hos dess verksamhet samt de uppgifter och ansvarsområden som sammanhänger med deras specifika befattningar.

1.3 Den sökande bör undvika att hänvisa till specifika avsnitt i interna förfaranden/dokument när uppgifterna lämnas. Utdrag med relevanta avsnitt bör i stället överlämnas till den behöriga myndigheten.

1.4 Om den behöriga myndigheten begär klargöranden av de uppgifter som har lämnats bör den sökande tillhandahålla dessa utan dröjsmål.

1.5 Alla uppgifter som krävs enligt dessa riktlinjer för auktorisation som betalningsinstitut behövs för bedömningen av ansökan och ska hanteras av den behöriga myndigheten med tillämpning av den tystnadsplikt som föreskrivs i andra betaltjänstdirektivet, utan att det inverkar på tillämpningen av unionsrätten och nationella krav och förfaranden som rör utövandet av rätten att ta del av, rätta, radera och invända mot uppgifter.

Riktlinje 2: Identifieringsuppgifter

2.1 Uppgifterna för identifiering av den sökande bör innehålla följande information:

• a) Den sökandes bolagsnamn och eventuella firma.
• b) Uppgift om huruvida den sökande redan är registrerad eller om registreringsprocessen pågår.
• c) Den sökandes nationella organisationsnummer i tillämpliga fall.
• d) Den sökandes rättsliga ställning och (utkast till) stadgar och/eller etableringsdokument som visar den sökandes rättsliga ställning.
• e) Adressen till den sökandes huvudkontor och säte.
• f) Den sökandes e-postadress och webbplats om sådana finns.
• g) Namn på den eller de personer som ansvarar för ansökningshandlingarna och auktorisationsförfarandet, med kontaktuppgifter.
• h) Uppgift om huruvida den sökande någonsin har stått under tillsyn eller för närvarande står under tillsyn av en behörig myndighet i finanssektorn.
• i) Eventuella branschorganisationer med relevans för tillhandahållandet av betaltjänster som den sökande planerar att gå med i.
• j) Företagets registreringsbevis eller i tillämpliga fall intyg från bolagsregister som styrker att det namn som företaget vill registrera är tillgängligt.
• k) När detta är tillämpligt enligt nationell lagstiftning bevis för att eventuella avgifter har betalats eller medel deponerats för ansökan om auktorisation som betalningsinstitut.

Riktlinje 3: Verksamhetsplan

3.1. Den verksamhetsplan som den sökande lämnar in bör innehålla följande information:

• a) En beskrivning av den planerade typen av betaltjänster steg för steg, med en redogörelse för på vilket sätt den sökande anser att de aktiviteter och den verksamhet som ska utföras omfattas av någon av de betaltjänstkategorier som anges i bilaga I till andra betaltjänstdirektivet.
• b) Uppgift om huruvida den sökande vid någon tidpunkt kommer att komma i besittning av medel.
• c) En beskrivning av hur de olika betaltjänsterna ska utföras, med uppgift om alla berörda parter, vilken för varje betaltjänst innehåller
• i. ett diagram över penningflödet, såvida inte den sökande endast har för avsikt att tillhandahålla betalningsinitieringstjänster,
• ii. avvecklingsförfaranden, såvida inte den sökande endast har för avsikt att tillhandahålla betalningsinitieringstjänster,
• iii. utkast till avtal mellan alla parter som medverkar till tillhandahållandet av betaltjänster, inklusive i tillämpliga fall betalkortsföretag och
• iv. uppgift om handläggningstider.
• d) En kopia av utkastet till ramavtal, enligt definitionen i artikel 4.21 i andra betaltjänstdirektivet.
• e) Det uppskattade antalet affärslokaler varifrån den sökande avser att tillhandahålla betaltjänsterna och/eller i tillämpliga fall utföra verksamhet med anknytning till tillhandahållandet av betaltjänster.
• f) En beskrivning av eventuella sidotjänster till betaltjänsterna.
• g) Uppgift om huruvida den sökande avser att bevilja krediter, och i så fall inom vilka gränser.

medlemsstater eller tredjeländer när auktorisationen har beviljats.

• i) Uppgift om huruvida den sökande under de närmaste tre åren avser att bedriva eller redan bedriver sådan annan verksamhet som avses i artikel 18 i direktiv (EU) 2015/2366, med en beskrivning av typen av verksamhet och den förväntade omfattningen.
• j) De uppgifter som anges i EBA:s riktlinjer för kriterierna för att fastställa ett minimibelopp för den ansvarsförsäkring eller jämförbara garanti som avses i artikel 5.4 i direktiv (EU)

(betalningsinitieringstjänster och kontoinformationstjänster).

Riktlinje 4: Affärsplan

4.1. Den sökandes affärsplan bör innehålla följande:

• a) En marknadsföringsplan bestående av
• i. en analys av företagets konkurrenssituation i det aktuella segmentet på betalningsmarknaden och
• ii. en beskrivning av användarna av betaltjänster, marknadsföringsmaterial och distributionskanaler.
• b) Reviderade årsredovisningar för de föregående tre åren om dessa finns tillgängliga för befintliga företag, eller en sammanfattning av den finansiella situationen för företag som ännu inte har lämnat någon årsredovisning.
• c) En budgetprognos för de tre första räkenskapsåren som visar att den sökande har förmåga att utnyttja system, resurser och förfaranden som är lämpliga och väl anpassade för en sund verksamhet. Denna bör innehålla
• i. resultat- och balansprognoser med målscenarier och stresscenarier samt underliggande antaganden om till exempel transaktionernas volym och värde, antal kunder, prissättning, genomsnittligt belopp per transaktion och förväntad ökning av lönsamhetströskeln,
• ii. förklaringar till de viktigaste intäkts- och kostnadsposterna, de finansiella skulderna och kapitaltillgångarna och
• iii. ett diagram och en detaljerad analys av de uppskattade kassaflödena under de närmaste tre åren.
• d) Information om kapitalbasen, däribland storleken på och sammansättningen av det startkapital som avses i artikel 7 i andra betaltjänstdirektivet.
• e) Information om, och beräkning av, kapitalkraven i enlighet med någon av metoderna i artikel 9 i direktiv (EU) 2015/2366 (andra betaltjänstdirektivet) enligt vad den behöriga myndigheten har fastställt, såvida inte den sökande avser att enbart tillhandahålla betalningsinitieringstjänster, som inbegriper
• i. en prognos om kapitalbasens sammansättning per år under tre år enligt den använda metoden och
• ii. en prognos om kapitalbasen under tre år enligt de övriga metoderna.

Riktlinje 5: Organisationsstruktur

5.1. Den sökande bör tillhandahålla en beskrivning av företagets organisationsstruktur som inbegriper följande:

• a) Ett detaljerat organisationsschema som åskådliggör alla divisioner, avdelningar och liknande strukturella enheter med namn på ansvariga personer, i synnerhet ansvariga för interna kontrollfunktioner, tillsammans med beskrivningar av dessa divisioners, avdelningars och liknande strukturella enheters funktioner och ansvarsområden.
• b) En övergripande prognos för antalet anställda under de närmaste tre åren.
• c) En beskrivning av relevanta lösningar för utkontraktering som innehåller
• i. uppgifter om uppdragstagarens identitet och geografiska belägenhet,
• ii. uppgifter om vilka personer hos betalningsinstitutet som ansvarar för den utkontrakterade verksamheten och
• iii. en tydlig beskrivning av den utkontrakterade verksamheten och dess huvudsakliga egenskaper.
• d) En kopia av utkast till uppdragsavtal.
• e) I tillämpliga fall en beskrivning av användning av ombud och filialer som innehåller
• i. en beskrivning av de externa kontroller och kontroller på plats som den sökande avser att genomföra hos dessa minst en gång per år samt frekvensen för dessa,
• ii. uppgifter om de IT-system och processer och den infrastruktur som den sökandes ombud använder för att bedriva verksamhet för den sökandes räkning,
• iii. uppgifter om policyn för val av ombud, förfaranden för övervakning av ombud, utbildningen av ombud och i tillämpliga fall utkast till uppdragsavtal samt
• iv. i tillämpliga fall uppgifter om vilket nationellt och/eller internationellt betalningssystem som den sökande kommer att använda sig av.
• f) En förteckning över alla fysiska och juridiska personer som har nära förbindelser med den sökande, med uppgifter om deras identiteter och arten av dessa förbindelser.

Riktlinje 6: Bevis för startkapital

6.1 För att bevisa att den sökande har det startkapital som krävs (125 000 euro för tjänsterna 1–5 i bilaga I till andra betaltjänstdirektivet, 20 000 euro för tjänst 6 och 50 000 euro för tjänst 7) bör den sökande tillhandahålla följande dokument:

• a) En reviderad årsredovisning eller ett utdrag ur ett offentligt register som styrker den sökandes kapitaltillgångar om det gäller ett befintligt företag.
• b) Ett bankbesked i vilket banken intygar att pengarna har satts in på den sökandes bankkonto om det gäller ett företag under bildande.

Riktlinje 7: Åtgärder till skydd för användare av betaltjänstleverantörer (endast tillämpliga på betaltjänsterna 1–6)

7.1. Om den sökande skyddar betaltjänstanvändarnas medel genom att sätta in pengar på ett separat konto hos ett kreditinstitut eller genom att investera i säkra, likvida tillgångar med låg risk bör beskrivningen av skyddsåtgärderna inbegripa

• a) en beskrivning av investeringsprinciperna för att säkerställa att de valda tillgångarna är säkra och likvida och förknippade med låg risk,
• b) uppgifter om antalet personer som har tillgång till kundmedelskontot samt dessas befattningar,
• c) en beskrivning av administrations- och avstämningsprocessen för att säkerställa att betaltjänstanvändarnas medel hålls åtskilda från betalningsinstitutets övriga medel och inte kan tas i anspråk för att reglera fordringar från andra fordringsägare, i synnerhet i händelse av insolvens,
• d) en kopia av utkastet till avtal med kreditinstitutet och
• e) en uttrycklig förklaring från betalningsinstitutet om överensstämmelse med artikel 10 i andra betaltjänstdirektivet.

7.2. Om den sökande skyddar betaltjänstanvändarnas medel med hjälp av en försäkring eller jämförbar garanti från ett försäkringsbolag eller ett kreditinstitut bör beskrivningen av skyddsåtgärderna inbegripa

• a) en bekräftelse av att försäkringen eller den jämförbara garantin från ett försäkringsbolag eller ett kreditinstitut har utfärdats av ett företag som inte ingår i samma koncern som den sökande,
• b) uppgifter om den avstämningsprocess som används för att säkerställa att försäkringen eller den jämförbara garantin är tillräcklig för att den sökande vid alla tidpunkter ska fullgöra sin skyldighet att skydda medlen,
• c) uppgifter om försäkringsskyddets varaktighet och omfattning och
• d) en kopia av (utkastet till) försäkringsavtal eller (utkastet till) jämförbar garanti. Riktlinje 8: Styrsystem och interna kontrollmekanismer

8.1. Den sökande bör tillhandahålla en beskrivning av styrsystemen och de interna kontrollmekanismerna som inbegriper följande:

• a) En kartläggning av de risker som den sökande har identifierat, där de förfaranden som den sökande kommer att införa för att bedöma och förebygga olika typer av risker anges.
• b) Förfaranden för periodiska och fortlöpande kontroller med angivande av frekvens och avsatta mänskliga resurser.
• c) De redovisningsförfaranden som den sökande kommer att använda för att registrera och rapportera sin finansiella information.
• d) Uppgifter om den eller de personer som ansvarar för den interna kontrollen, däribland för periodiska och fortlöpande kontroller samt för efterlevnadskontroller, med aktuella meritförteckningar.
• e) Uppgifter om revisorer som inte är lagstadgade revisorer enligt direktiv 2006/43/EG.
• f) Sammansättningen av ledningsorganet och i tillämpliga fall andra organ eller kommittéer med övervakningsansvar.
• g) En beskrivning av hur utkontrakterade funktioner övervakas och kontrolleras för att undvika att kvaliteten hos betalningsinstitutets interna kontroller försämras.
• h) En beskrivning av hur ombud och filialer övervakas och kontrolleras inom ramen för den sökandes interna kontroller.
• i) En beskrivning av koncernens styrelseformer om den sökande är dotterbolag till ett företag som står under tillsyn i en annan EU-medlemsstat.

Riktlinje 9: Förfaranden för övervakning, hantering och uppföljning av säkerhetsincidenter och säkerhetsrelaterade kundklagomål

9.1. Den sökande bör tillhandahålla en beskrivning av de förfaranden som finns för att övervaka, hantera och följa upp säkerhetsincidenter och säkerhetsrelaterade kundklagomål, vilken innehåller information om

• a) organisatoriska åtgärder och verktyg för att förhindra bedrägerier,
• b) personer och organ som ansvarar för att bistå kunderna i händelse av bedrägerier, tekniska problem och/eller med kravhantering,
• c) rapporteringsvägar i händelse av bedrägerier,
• d) kontaktpunkten för kunderna, med namn och e-postadress,

externa organ samt för att underrätta nationella behöriga myndigheter om allvarliga incidenter enligt artikel 96 i andra betaltjänstdirektivet samt i linje med EBA:s riktlinjer om incidentrapportering enligt samma artikel och

• f) de övervakningsverktyg som används samt de uppföljningsåtgärder och förfaranden som finns för att minska säkerhetsriskerna.

Riktlinje 10: Processen för att arkivera, övervaka, spåra och begränsa åtkomsten till känsliga betalningsuppgifter

10.1. Den sökande bör tillhandahålla en beskrivning av den process som har införts för att arkivera, övervaka, spåra och begränsa åtkomsten till känsliga betalningsuppgifter, vilken innehåller

• a) en beskrivning av de dataflöden som klassificeras som känsliga betalningsuppgifter i betalningsinstitutets affärsmodell,

betalningsuppgifter,

• c) en beskrivning av övervakningsverktyget,
• d) information om policyn för åtkomsträttigheter till alla relevanta infrastrukturkomponenter och system samt databaser och infrastruktur för säkerhetskopiering,
• e) en beskrivning av hur de insamlade uppgifterna arkiveras, såvida inte den sökande avser att enbart tillhandahålla betalningsinitieringstjänster,

inklusive kryptering och/eller tokenisering,

• h) information om de personer, organ och/eller kommittéer som har tillgång till de känsliga betalningsuppgifterna,
• i) en beskrivning av hur intrång ska upptäckas och åtgärdas och
• j) en beskrivning av det program som finns för årlig intern kontroll av IT-systemens säkerhet.

Riktlinje 11: Arrangemang för verksamhetens driftskontinuitet

11.1. Den sökande bör tillhandahålla en beskrivning av arrangemangen för verksamhetens driftskontinuitet som inbegriper följande:

• a) En konsekvensanalys som omfattar affärsprocesserna och mål för återskapandet av data såsom återskapandetid, återskapandepunkt och skyddade tillgångar.
• b) Uppgifter om var säkerhetskopior sparas, tillgången till IT-infrastrukturen och viktiga program och data som måste återskapas efter haverier eller störningar.
• c) En beskrivning av hur den sökande kommer att hantera viktiga händelser och störningar av driften, såsom haverier i viktiga system, förlust av viktiga data, otillgängliga lokaler och förlust av nyckelpersoner.
• d) Den frekvens med vilken den sökande avser att testa driftskontinuiteten och planerna för återhämtning efter katastrofer, inklusive hur testresultaten ska registreras.
• e) En beskrivning av de riskreducerande åtgärder som den sökande kommer att vidta om

betalningstransaktioner genomförs och att befintliga avtal sägs upp.

Riktlinje 12: Principer och definitioner som tillämpas på insamling av statistiska uppgifter om resultat, transaktioner och bedrägerier

12.1. Den sökande bör tillhandahålla en beskrivning av de principer och definitioner som tillämpas på insamlingen av statistiska uppgifter om resultat, transaktioner och bedrägerier. Denna bör innehålla information om

• a) den typ av uppgifter som samlas in om kunder, typ av betaltjänst, kanal, instrument, jurisdiktioner och valutor,
• b) insamlingens omfattning, berörda verksamheter och enheter, inklusive filialer och ombud,
• c) insamlingssättet,
• d) syftet med insamlingen,
• e) insamlingsfrekvensen och
• f) stöddokument som till exempel en manual som beskriver hur systemet fungerar.

Riktlinje 13: Säkerhetspolicydokument

13.1. Den sökande bör tillhandahålla ett säkerhetspolicydokument som innehåller följande information:

• a) En detaljerad riskbedömning av den eller de betaltjänster som den sökande avser att tillhandahålla, vilken bör inbegripa bedrägeririsker och en beskrivning av de säkerhetskontroll- och begränsningsåtgärder som vidtagits för att på lämpligt sätt skydda betaltjänstanvändarna mot de belagda riskerna.
• b) En beskrivning av IT-systemen, vilken innehåller information om
• i. systemens arkitektur och nätverkselement,
• ii. de affärssystem som stöder de tillhandahållna tjänsterna, såsom den sökandes webbplats, plånböcker, betalningssystem, betalningsmotor, motor för hantering av risker och bedrägerier samt kundredovisning,
• iii. de stödsystem som används för den sökandes organisation och förvaltning, såsom system för redovisning och rapportering, personaladministration, hantering av kundrelationer, e-postservrar och servrar för interna dokument,
• iv. huruvida dessa system redan används av den sökande eller dess koncern, och i tillämpliga fall uppskattat implementeringsdatum.
• c) Uppgifter om tillåtna externa anslutningar, till exempelvis partner, tjänsteleverantörer, koncernföretag och anställda som arbetar på distans, samt motiven för dessa anslutningar.
• d) För var och en av de anslutningar som anges i punkt c: information om de logiska säkerhetsåtgärder och mekanismer som finns samt den kontroll som den sökande kommer att ha över åtkomsten. Kontrollernas art och frekvens: tekniska eller organisatoriska, förebyggande eller upptäckande, övervakning i realtid eller regelbundna granskningar. Information om användning av en aktiv katalog utanför koncernen, öppning/stängning av kommunikationslinjer, konfiguration av säkerhetsutrustning, skapande av nycklar eller klientcertifikat, systemövervakning, autentisering, konfidentiell kommunikation, detektering av intrång, virusskydd och loggar.
• e) Uppgifter om de logiska säkerhetsåtgärder och mekanismer som styr den interna åtkomsten till IT-systemen, med information om
• i. varje åtgärds tekniska och organisatoriska art och frekvens, till exempel om åtgärden är förebyggande eller upptäckande och huruvida den utförs i realtid och
• ii. hur avskiljandet av klientmiljön hanteras om den sökandes IT-resurser är gemensamma.
• f) Uppgifter om de fysiska säkerhetsåtgärderna och mekanismerna i den sökandes lokaler och datacentral, såsom åtkomstkontroller och miljöskydd.
• g) Uppgifter om betalningsprocesserna, som inbegriper
• i. information om det förfarande för kundautentisering som används för åtkomst till uppgifter och genomförande av transaktioner samt för alla bakomliggande betalningsinstrument,
• ii. en redogörelse för hur säker leverans till legitima användare av betaltjänsterna och integriteten hos autentiseringsfaktorer som hårdvarutokens och mobila applikationer säkerställs, såväl vid första inregistreringen som vid förnyelse av avtalet och
• iii. en beskrivning av de system och förfaranden som den sökande använder för att analysera transaktioner och identifiera misstänkta eller ovanliga transaktioner.
• h) En detaljerad riskbedömning av betaltjänsterna, bland annat avseende bedrägeririsker, med en länk till de säkerhetskontroll- och begränsningsåtgärder som beskrivs i ansökningsfilen och som visar att riskerna har åtgärdats.
• i) En förteckning över de viktigaste skriftliga förfarandena som rör den sökandes IT-system eller uppgift om när den sökande bedömer att förfaranden som ännu inte har formaliserats kommer att vara färdigställda.

Riktlinje 14: Mekanismer för intern kontroll för att fullgöra skyldigheterna när det gäller åtgärder mot penningtvätt och finansiering av terrorism

14.1. Beskrivningen av de interna kontrollmekanismer som den sökande kommer att använda för att i tillämpliga fall fullgöra dessa skyldigheter bör innehålla följande information:

• a) Den sökandes bedömning av de risker för penningtvätt och finansiering av terrorism som är förknippade med dess verksamhet, däribland risker som sammanhänger med den sökandes kundbas, de produkter och tjänster som tillhandahålls, de distributionskanaler som används och de geografiska verksamhetsområdena.
• b) Uppgifter om de åtgärder som den sökande har vidtagit eller kommer att vidta för att motverka riskerna och fullgöra tillämpliga skyldigheter när det gäller åtgärder mot penningtvätt och finansiering av terrorism, bland annat om den sökandes process för riskbedömning, de policyer och rutiner som används för att uppfylla kraven på åtgärder för kundkännedom samt de policyer och rutiner som används för att upptäcka och rapportera misstänkta transaktioner eller aktiviteter.
• c) Uppgifter om de system och kontroller som den sökande har infört eller kommer att införa för att säkerställa att dess filialer och ombud uppfyller tillämpliga krav när det gäller åtgärder mot penningtvätt och finansiering av terrorism, också när ombudet eller filialen är belägen i en annan medlemsstat.
• d) Uppgifter om de förfaranden som den sökande har infört eller kommer att införa för att säkerställa att personalen och ombuden har lämplig utbildning om frågor som rör åtgärder mot penningtvätt och finansiering av terrorism.
• e) Uppgifter om den eller de personer som ansvarar för att säkerställa att den sökande fullgör sina skyldigheter när det gäller åtgärder mot penningtvätt och finansiering av terrorism, samt bevis för att dessa har den sakkunskap om åtgärder mot penningtvätt och finansiering av terrorism som krävs för att kunna utöva detta ansvar på ett effektivt sätt.
• f) Uppgifter om de system och kontroller som den sökande har infört eller kommer att införa för att säkerställa att dess policyer och rutiner mot penningtvätt och finansiering av terrorism är uppdaterade, ändamålsenliga och relevanta.
• g) Uppgifter om de system och kontroller som den sökande har infört eller kommer att införa för att säkerställa att ombuden inte exponerar den sökande för ökad risk för penningtvätt och finansiering av terrorism.
• h) Den sökandes personalhandbok om åtgärder mot penningtvätt och finansiering av terrorism.

Riktlinje 15: Identitetsuppgifter om personer som har ett kvalificerat innehav i sökanden och bevis på deras lämplighet

15.1 För att identifiera personer som har ett kvalificerat innehav i det sökande betalningsinstitutet och bevisa deras lämplighet bör den sökande, utan att det inverkar på den bedömning utifrån relevanta kriterier införda genom direktiv 2007/44/EG som specificeras i de gemensamma riktlinjerna för bedömning av förvärv och ökningar av kvalificerade innehav i den finansiella sektorn (JC/GL/2016/01), lämna följande information:

• a) En beskrivning av den koncern som den sökande tillhör och i tillämpliga fall uppgift om moderbolaget.
• b) Ett diagram som visar den sökandes aktieägarstruktur, med
• i) uppgift om namn och ägarandel (kapital/rösträtt) för alla personer som direkt har eller kommer att ha ett innehav i sökanden samt uppgift om de personer som anses ha kvalificerade innehav och skälen till detta och
• ii) uppgift om namn och ägarandel (kapital/rösträtt) för alla personer som indirekt har eller kommer att ha ett innehav i sökanden samt uppgift om de personer som indirekt anses ha kvalificerade innehav och skälen till detta.
• c) En förteckning med namn på alla personer eller andra enheter som har eller efter en auktorisation kommer att ha kvalificerade innehav i den sökande, med följande uppgifter om dessa personer eller enheter:
• i. antalet aktier eller andra andelar som har tecknats eller kommer att tecknas samt typ av aktier eller andra andelar och
• ii. det nominella värdet av sådana aktier eller andra andelar.

15.2 Om det är en fysisk person som har – eller efter en auktorisation kommer att ha – ett kvalificerat innehav i den sökande, bör den sökande ange alla nedanstående uppgifter avseende denna persons identitet och lämplighet:

• a) Personens namn och namn vid födelsen, födelsedatum och födelseort, medborgarskap (nuvarande och tidigare), identifikationsnummer (i tillämpliga fall) eller passnummer och adress samt en kopia av en officiell identitetshandling.
• b) En detaljerad meritförteckning som innehåller information om utbildning, tidigare yrkeserfarenhet och eventuell nuvarande yrkesverksamhet eller andra funktioner.
• c) En förklaring med styrkande handlingar som innehåller följande information som rör personen:
• i. Fällande domar eller beslut i brottmål vilka inte har upphävts, med tillämpning av nationella lagkrav rörande information om avtjänade straff.
• ii. Beslut i tvistemål eller administrativa beslut i ärenden som har relevans för bedömningen eller auktorisationsprocessen där personen har befunnits skyldig samt administrativa sanktioner eller åtgärder till följd av brott mot lagar och bestämmelser (däribland förbud att fungera som företagsledare) vilka inte har upphävts och inte har överklagats eller kan överklagas.
• iii. Konkurs, insolvens eller liknande förfaranden.
• iv. Pågående brottsutredningar.
• v. Civilrättsliga eller administrativa utredningar, verkställighetsförfaranden, sanktioner eller andra verkställighetsbeslut mot personen i ärenden som kan anses ha relevans för auktorisationen att börja fungera som betalningsinstitut eller för en sund och ansvarsfull ledning av ett betalningsinstitut.
• vi. Ett officiellt intyg eller annat motsvarande dokument som visar om personen i fråga har berörts av någon av de företeelser som avses i punkterna i–v, om en sådan handling kan erhållas.
• vii. Avslag på ansökan om registrering, auktorisation, medlemskap eller licens att utöva ett yrke eller bedriva en näringsverksamhet.
• viii. Återkallande, indragning eller upphävande av registrering, auktorisation, medlemskap eller licens att utöva ett yrke eller bedriva en näringsverksamhet.
• ix. Uteslutningsbeslut från en myndighet eller ett offentligt organ i finanssektorn eller från en yrkesorganisations sida.
• x. Innehav av ansvarig ställning i ett företag vid en tidpunkt då detta har dömts i brottmål eller varit föremål för straffrättsligt förfarande, administrativ utredning, sanktioner eller andra verkställighetsbeslut till följd av brister i uppträdandet, däribland avseende bedrägeri, ohederlighet, korruption, penningtvätt, finansiering av terrorism eller annan ekonomisk brottslighet, eller underlåtenhet att införa lämpliga policyer och förfaranden för att förhindra sådana företeelser, samt uppgifter om dessa företeelser och personens eventuella inblandning i dem.
• xi. Avskedande, entledigande eller uppmaning att lämna anställning, förtroendeposition, förmyndarskap (som inte beror på att avtalstiden har löpt ut) eller liknande.
• d) En förteckning över företag som personen leder eller kontrollerar och som den sökande har fått kännedom om genom vederbörlig och noggrann utredning, andelen av den direkta eller indirekta kontrollen över dessa företag, deras status (om de är aktiva, upplösta etc) samt en beskrivning av insolvensförfaranden eller liknande förfaranden.
• e) I tillämpliga fall uppgifter om den behöriga myndighet i finanssektorn som har gjort en bedömning av personens anseende samt resultatet av bedömningen.
• f) Uppgifter om personens nuvarande ekonomiska ställning, inklusive uppgifter om intäktskällor, tillgångar och skulder, panter och garantier som har ställts ut eller beviljats.
• g) En beskrivning av eventuella kopplingar till personer i politiskt utsatt ställning enligt definitionen i artikel 3.9 i direktiv (EU) 2015/849² .

15.3 Om en person eller enhet har eller efter en auktorisation kommer att ha ett kvalificerat innehav i den sökande (däribland enheter som inte är juridiska personer och som innehar eller ska inneha ägarintresset i eget namn) bör ansökan innehålla följande uppgifter om denna persons eller enhets identitet och lämplighet:

• a) Namn.

registreringsbevis om den juridiska personen eller enheten är registrerad i ett centralt register, handelsregister, bolagsregister eller liknande register med samma syfte.

• c) Adresser till företagets säte och huvudkontor samt huvudort för verksamheten.
• d) Kontaktuppgifter.
• e) Företagsdokument eller, när personen eller enheten är registrerad i en annan medlemsstat, en sammanfattning av de viktigaste särdragen hos den juridiska formen eller enheten.
• f) Uppgifter om huruvida den juridiska personen eller enheten står eller har stått under tillsyn av en behörig myndighet i finanssektorn eller något annat offentligt organ.
• g) Ett officiellt intyg eller motsvarande dokument som innehåller de uppgifter som anges i punkterna a–e utfärdat av den behöriga myndigheten, om en sådan handling kan erhållas.
• h) De uppgifter om den juridiska personen eller enheten som avses i riktlinjerna 15.2 c–g.
• i) En förteckning med uppgifter om alla personer som i praktiken leder den juridiska personens eller enhetens verksamhet, med namn, födelsedatum och födelseort, adress, nationellt identifikationsnummer om tillgängligt samt en detaljerad meritförteckning (med uppgifter om relevant utbildning, tidigare yrkeserfarenhet och eventuell nuvarande yrkesverksamhet eller andra relevanta funktioner) tillsammans med de uppgifter som avses i riktlinjerna 15.2 c och 15.2 d avseende alla sådana personer.
• j) Den juridiska personens aktieägarstruktur, som ett minimum med uppgifter om direkta och indirekta aktieägares, medlemmars och förmånstagares (enligt definitionen i artikel 3.6 i direktiv (EU) 2015/849) namn, födelsedatum och födelseorter, adresser, nationella identifikationsnummer eller organisationsnummer om tillgängliga samt deras respektive andelar av kapitalet och rösträtten.
• k) En beskrivning av den reglerade finansgrupp som den sökande tillhör eller kan komma att tillhöra, med uppgift om moderbolaget och enheter på kredit-, försäkrings- och säkerhetsområdet inom koncernen samt namnen på de behöriga myndigheterna (för varje enhet eller koncernen).
• l) Årsredovisningar för enskilda företag och i tillämpliga fall koncern- och underkoncernnivå för de senaste tre räkenskapsåren om den juridiska personen eller enheten har bedrivit verksamhet under denna period (eller den kortare tid under vilken verksamheten har bedrivits och ekonomiska rapporter upprättats) som i tillämpliga fall är godkända av den

2006/43/EG³ , vilka inbegriper följande:

• i. Balansräkning.
• ii. Resultaträkning.
• iii. Årsbokslut med finansiella bilagor och eventuella andra handlingar som har registrerats av relevant registrator eller behörig myndighet för den juridiska personen.
• m) Om den juridiska personen inte har varit verksam tillräckligt länge för att behöva upprätta årsbokslut för de tre räkenskapsår som omedelbart föregår ansökningsdatumet ska ansökan innehålla eventuella befintliga finansiella rapporter.
• n) Om den juridiska personen eller enheten har sitt huvudkontor i ett tredjeland: allmän information om tillsynssystemet i detta tredjeland i den mån det är tillämpligt på den juridiska personen eller enheten, inklusive uppgifter om den utsträckning i vilken tredjelandets åtgärder mot penningtvätt och finansiering av terrorism överensstämmer med rekommendationerna från arbetsgruppen för finansiella åtgärder mot penningtvätt.
• o) Ansökningar från enheter som inte har rättssubjektivitet, såsom företag för kollektiva investeringar, nationella placeringsfonder och stiftelser, ska innehålla
• i. uppgifter om de personer som förvaltar tillgångarna och om mottagarna eller tecknarna och
• ii. en kopia av dokument om enhetens bildande och styrning, med investeringspolicy och eventuella tillämpliga investeringsrestriktioner.

15.4. För alla fysiska och juridiska personer eller enheter som har eller efter en auktorisation kommer att ha kvalificerade innehav i den sökande ska ansökan innehålla all den information som anges nedan:

• a) Uppgifter om denna persons eller enhets ekonomiska eller affärsmässiga motiv bakom detta innehav samt personens eller enhetens strategi för innehavet, inklusive information om den tidsperiod under vilken personen eller enheten planerar att behålla innehavet samt eventuella avsikter att öka, minska eller bibehålla innehavets storlek under överskådlig framtid.
• b) Uppgifter om personens eller enhetens avsikter med avseende på den sökande och om det inflytande som personen eller enheten avser att utöva över den sökande, bland annat i fråga om utdelningspolicyn, den strategiska utvecklingen och fördelningen av den sökandes resurser samt information om huruvida avsikten är att agera som aktiv minoritetsägare och skälet till denna avsikt.
• c) Uppgifter om personens eller enhetens vilja att stödja den sökande med ytterligare eget kapital om det behövs för att utveckla dess verksamhet eller om det uppstår ekonomiska svårigheter.
• d) Uppgifter om innehållet i eventuella planerade avtal med andra aktieägare eller delägare i den sökande.
• e) En analys av huruvida det kvalificerade innehavet på något sätt, till exempel till följd av personens nära band till den sökande, kommer att påverka den sökandes förmåga att tillställa de behöriga myndigheterna korrekt information i rätt tid.
• f) Identitetsuppgifter för alla medlemmar i det ledningsorgan eller den företagsledning som ska leda den sökandes verksamhet och som kommer att utses eller nomineras av sådana aktieägare eller andra delägare, tillsammans med den information som anges i riktlinje 16 i den mån denna inte redan har lämnats.

15.5. Ansökan bör innehålla en detaljerad beskrivning av hur varje person eller enhet som har ett kvalificerat innehav i den sökande har finansierat detta. Denna beskrivning bör inkludera uppgifter om

• a) användningen av privata finansiella resurser samt tillgången till sådana och källorna till dem (för att säkerställa att den behöriga myndigheten kan konstatera att medlen har genererats av en legitim verksamhet),
• b) tillgången till finansmarknader, inklusive uppgifter om finansiella instrument som ska emitteras,
• c) användningen av lånade medel, med uppgifter om långivarnas namn och om de beviljade krediterna, såsom löptider, villkor, säkerheter och garantier, liksom om den intäktskälla som ska användas för att återbetala dessa lån (om långivaren inte är ett kreditinstitut eller ett finansinstitut med auktorisation att bevilja krediter bör den sökande informera de behöriga myndigheterna om de lånade medlens ursprung) och om
• d) finansiella arrangemang med andra personer som äger aktier eller andelar i den sökande.

Riktlinje 16: Identitetsuppgifter om och lämplighetsbedömning av personer i styrelsen och personer som leder betalningsinstitutet

16.1. För att identifiera personer i styrelsen och personer som leder betalningsinstitutet och bevisa deras lämplighet bör den sökande lämna följande information:

• a) Personuppgifter, däribland
• i. fullständigt namn, kön, födelseort och födelsedatum, adress och nationalitet samt personligt identifikationsnummer eller kopia av id-kort eller motsvarande och
• ii. uppgifter om vilken befattning bedömningen gäller, huruvida personen har en verkställande funktion i ledningsorganet eller inte. Följande uppgifter bör också ingå:

• b) I tillämpliga fall uppgifter om den lämplighetsbedömning som den sökande har gjort, vilken bör inkludera information om resultaten av institutets bedömningar av personens lämplighet, såsom relevanta styrelseprotokoll eller rapporter från lämplighetsbedömningar eller andra handlingar.

personen arbetar eller har arbetat för och uppgift om organisationstyp samt befattningarnas art och uppdragens varaktighet, med betoning på verksamheter som har samband med den sökta befattningen.

• d) Dokument som styrker gott anseende, hederlighet och integritet, vilka bör inkludera följande information:
• i. Utdrag ur brottsregister och relevant information om brottsutredningar och rättsliga förfaranden, relevanta civilrättsliga och administrativa ärenden samt disciplinära ärenden (däribland förbud att fungera som företagsledare, konkurs, insolvens och liknande), främst i form av officiella intyg eller uppgifter från objektivt sett tillförlitliga informationskällor om att personen inte har dömts i brottmål eller varit föremål för brottsutredning eller rättsliga förfaranden, såsom undersökningar av tredje part och vittnesmål från jurister eller notarier som är etablerade i EU.
• ii. Uppgifter om huruvida straffrättsliga förfaranden pågår eller om personen eller någon organisation som han eller hon leder har figurerat som gäldenär i insolvensförfaranden eller motsvarande.
• iii. Uppgifter om

Riktlinje 17: Identitetsuppgifter för lagstadgade revisorer och revisionsföretag

De identitetsuppgifter för lagstadgade revisorer och revisionsföretag enligt definitionen i direktiv 2006/43/EG som den sökande ska tillhandahålla ska inbegripa revisorernas namn, adresser och kontaktuppgifter.

Riktlinje 18: Ansvarsförsäkring eller jämförbar garanti för leverantörer av betalningsinitieringstjänster och leverantörer av kontoinformationstjänster

En sökande som vill tillhandahålla betalningsinitieringstjänster eller kontoinformationstjänster bör lämna följande uppgifter för att påvisa innehavet av en ansvarsförsäkring eller jämförbar garanti som överensstämmer med EBA:s riktlinjer för kriterierna för att fastställa ett minimibelopp för en ansvarsförsäkring eller jämförbar garanti (EBA/GL/2017/08) och artiklarna 5.2 och 5.3 i andra betaltjänstdirektivet:

• a) Ett försäkringsavtal eller annat likvärdigt dokument som bekräftar innehavet av en ansvarsförsäkring eller jämförbar garanti med ett försäkringsskydd som överensstämmer med EBA:s riktlinjer enligt ovan och utvisar vilket skadeståndsansvar som omfattas.
• b) Dokumentation av att den sökande har beräknat minimibeloppet på ett sätt som överensstämmer med EBA:s riktlinjer enligt ovan, med alla tillämpliga komponenter i formeln specificerade.

² Europaparlamentets och rådets direktiv (EU) 2015/849 av den 20 maj 2015 om åtgärder för att förhindra att det finansiella systemet används för penningtvätt eller finansiering av terrorism (EUT L 141, 5.6.2015, s. 73).

³ Europaparlamentets och rådets direktiv 2006/43/EG av den 17 maj 2006 om lagstadgad revision av årsbokslut och sammanställd redovisning och om ändring av rådets direktiv 78/660/EEG och 83/349/EEG samt om upphävande av rådets direktiv 84/253/EEG (EUT L 157, 9.6.2006, s. 87–107).

Riktlinje 1: Allmänna principer

kontoinformationstjänster. Med detta avses sökande som avser att endast tillhandahålla kontoinformationstjänster. En sökande som har för avsikt att tillhandahålla fler tjänster bör ansöka om auktorisation och följa riktlinjerna för betalningsinstitut i avsnitt 4.1.

1.2 De uppgifter som de sökande lämnar bör vara sanningsenliga, fullständiga, korrekta och aktuella. Alla sökande bör efterleva alla bestämmelser i riktlinjerna som är tillämpliga på dem. Detaljeringsgraden ska stå i proportion till den sökandes storlek och interna organisation samt till arten, omfattningen och komplexitetsgraden hos den eller de tjänster som den sökande har för avsikt att tillhandahålla och de risker dessa medför. I enlighet med direktiv (EU) 2015/2366 ska personer i styrelsen och personer som leder betalningsinstitutet i alla händelser ha gott anseende och den kunskap och erfarenhet som krävs för att tillhandahålla betaltjänster, oberoende av institutets storlek, interna organisation och arten, omfattningen och komplexitetsgraden hos dess verksamhet samt de uppgifter och ansvarsområden som sammanhänger med deras specifika befattningar.

1.3 Den sökande bör undvika att hänvisa till specifika avsnitt i interna förfaranden/dokument när uppgifterna lämnas. Utdrag med relevanta avsnitt bör i stället överlämnas till den behöriga myndigheten.

1.4 Om den behöriga myndigheten begär klargöranden av de uppgifter som har lämnats bör den sökande tillhandahålla dessa utan dröjsmål.

1.5 Alla uppgifter som krävs enligt dessa riktlinjer för registrering som leverantör av kontoinformationstjänster behövs för bedömningen av ansökan och ska hanteras av den behöriga myndigheten med tillämpning av den tystnadsplikt som föreskrivs i andra betaltjänstdirektivet, utan att det inverkar på tillämpningen av unionsrätten och nationella krav och förfaranden som rör utövandet av rätten att ta del av, rätta, radera och invända mot uppgifter. Riktlinje 2: Identifieringsuppgifter

2.1 Om den sökande är en fysisk person bör uppgifterna för identifiering av den sökande innehålla följande information:

• a) Namn, adress, nationalitet och födelsedatum och födelseort.
• b) En kopia av identitetskort eller motsvarande.
• c) En aktuell meritförteckning.
• d) Ett högst tre månader gammalt utdrag ur polisens belastningsregister.
• e) Namn på den eller de personer som ansvarar för ansökningshandlingarna och auktorisationsförfarandet, med kontaktuppgifter.

2.2 Om den sökande är en juridisk person bör uppgifterna för identifiering av den sökande innehålla följande information:

• a) Den sökandes bolagsnamn och eventuella firma.
• b) Uppgift om huruvida den sökande redan är registrerad eller om registreringsprocessen pågår.
• c) Den sökandes nationella organisationsnummer i tillämpliga fall.
• d) Den sökandes rättsliga ställning och (utkast till) stadgar och/eller etableringsdokument som utvisar den sökandes rättsliga ställning.
• e) Adressen till den sökandes huvudkontor och säte.
• f) Den sökandes e-postadress och webbplats om sådana finns.
• g) Namn på den eller de personer som ansvarar för ansökningshandlingarna och auktorisationsförfarandet, med kontaktuppgifter.
• h) Uppgift om huruvida den sökande någonsin har stått under tillsyn eller för närvarande står under tillsyn av en behörig myndighet i finanssektorn.
• i) Företagets registreringsbevis eller i tillämpliga fall intyg från bolagsregister som visar att det namn som företaget vill registrera är tillgängligt.
• j) Bevis för att eventuella avgifter har betalats eller medel deponerats för ansökan om registrering som leverantör av kontoinformationstjänster, när detta är tillämpligt enligt nationell lagstiftning. Riktlinje 3: Verksamhetsplan

3.1. Den verksamhetsplan som den sökande lämnar in bör innehålla följande information:

• a) En beskrivning av de kontoinformationstjänster som ska tillhandahållas med en förklaring till hur den sökande har fastställt att verksamheten överensstämmer med definitionen av kontoinformationstjänster i artikel 4.16 i direktiv (EU) 2015/2366 (andra betaltjänstdirektivet).
• b) En förklaring om att den sökande inte vid någon tidpunkt kommer att komma i besittning av medel.
• c) En beskrivning av tillhandahållandet av kontoinformationstjänsten med
• i. utkast till avtal mellan alla berörda parter (i tillämpliga fall),
• ii. villkoren för tillhandahållandet av kontoinformationstjänsterna och
• iii. uppgift om handläggningstider.
• d) Det uppskattade antalet affärslokaler varifrån den sökande avser att tillhandahålla tjänsterna (i tillämpliga fall).
• e) En beskrivning av eventuella sidotjänster till kontoinformationstjänsterna.
• f) Uppgift om huruvida den sökande planerar att tillhandahålla kontoinformationstjänster i andra medlemsstater eller tredjeländer efter registreringen.
• g) Uppgift om huruvida den sökande under de närmaste tre åren avser att bedriva eller redan bedriver sådan annan verksamhet än kontoinformationstjänster som avses i artikel 18 i direktiv (EU) 2015/2366, med en beskrivning av typen av verksamhet och den förväntade omfattningen.
• h) De uppgifter som anges i EBA:s riktlinjer för kriterierna för att fastställa ett minimibelopp för den ansvarsförsäkring eller jämförbara garanti som avses i artikel 5.4 i direktiv (EU) 2015/2366 (EBA/GL/2017/08), om den sökande endast avser att tillhandahålla tjänst 8 (kontoinformationstjänster).

Riktlinje 4: Affärsplan

4.1. Den sökandes affärsplan bör innehålla följande:

• a) En marknadsföringsplan bestående av
• i. en analys av företagets konkurrenssituation och

marknadssegmentet i fråga, marknadsföringsmaterial och distributionskanaler.

• b) Reviderade årsredovisningar för de föregående tre åren om dessa finns tillgängliga, eller en sammanfattning av den finansiella situationen för sökande som ännu inte har lämnat någon årsredovisning.
• c) En budgetprognos för de tre första räkenskapsåren som visar att den sökande har förmåga att utnyttja system, resurser och förfaranden som är lämpliga och väl anpassade för en sund verksamhet. Denna bör innehålla
• i. resultat- och balansprognoser med målscenarier och stresscenarier samt underliggande antaganden om till exempel antal kunder, prissättning och förväntad ökning av lönsamhetströskeln,
• ii. förklaringar till de viktigaste intäkts- och kostnadsposterna, de finansiella skulderna och kapitaltillgångarna och
• iii. ett diagram och en detaljerad analys av de uppskattade kassaflödena under de närmaste tre åren.

Riktlinje 5: Organisationsstruktur

5.1. Om den sökande är en fysisk person bör beskrivningen av den sökandes organisationsstruktur innehålla följande information:

• a) En övergripande prognos för antalet medarbetare under de närmaste tre åren.
• b) En beskrivning av relevanta lösningar för utkontraktering som innehåller
• i. uppgifter om uppdragstagarens identitet och geografiska belägenhet,
• ii. uppgifter om vilka personer hos leverantören av kontoinformationstjänster som ansvarar för den utkontrakterade verksamheten och
• iii. en detaljerad beskrivning av den utkontrakterade verksamheten och dess huvudsakliga egenskaper.
• c) En kopia av utkast till uppdragsavtal.
• d) I tillämpliga fall en beskrivning av användning av ombud och filialer som innehåller
• i. en beskrivning av de externa kontroller och kontroller på plats som den sökande avser att genomföra hos dessa,
• ii. uppgifter om de IT-system och processer och den infrastruktur som den sökandes ombud använder för att bedriva verksamhet för den sökandes räkning och
• iii. uppgifter om policyn för val av ombud, förfaranden för övervakning av ombud, utbildningen av ombud och i tillämpliga fall utkast till uppdragsavtal.
• e) En förteckning över alla fysiska och juridiska personer som har nära förbindelser med den sökande leverantören av kontoinformationstjänster, med uppgifter om deras identiteter och arten av dessa förbindelser.

5.2. Om den sökande är en juridisk person bör beskrivningen av företagets organisationsstruktur innehålla följande information:

• a) Ett detaljerat organisationsschema som utvisar alla divisioner, avdelningar och liknande strukturella enheter med namn på ansvariga personer, i synnerhet ansvariga för interna kontrollfunktioner, tillsammans med beskrivningar av dessa divisioners, avdelningars och liknande strukturella enheters funktioner och ansvarsområden.
• b) En övergripande prognos för antalet medarbetare under de närmaste tre åren.
• c) En beskrivning av relevanta lösningar för utkontraktering som innehåller
• i. uppgifter om uppdragstagarens identitet och geografiska belägenhet,
• ii. uppgifter om vilka personer hos leverantören av kontoinformationstjänster som ansvarar för den utkontrakterade verksamheten och
• iii. en detaljerad beskrivning av den utkontrakterade verksamheten och dess huvudsakliga egenskaper.
• d) En kopia av utkast till uppdragsavtal.
• e) I tillämpliga fall en beskrivning av användning av ombud och filialer som innehåller
• i. en beskrivning av de externa kontroller och kontroller på plats som den sökande avser att genomföra hos dessa,
• ii. uppgifter om de IT-system och processer och den infrastruktur som den sökandes ombud använder för att bedriva verksamhet för den sökandes räkning och
• iii. uppgifter om policyn för val av ombud, förfaranden för övervakning av ombud, utbildningen av ombud och i tillämpliga fall utkast till uppdragsavtal.
• f) En förteckning över alla fysiska och juridiska personer som har nära förbindelser med den sökande, med uppgifter om deras identiteter och arten av dessa förbindelser.

Riktlinje 6: Styrsystem och interna kontrollmekanismer

6.1. Den sökande bör tillhandahålla en beskrivning av styrsystemen och de interna kontrollmekanismerna som inbegriper följande:

• a) En kartläggning av de risker som den sökande har identifierat, där de förfaranden som den sökande kommer att införa för att bedöma och förebygga olika typer av risker anges.
• b) Förfaranden för periodiska och fortlöpande kontroller med angivande av frekvens och avsatta mänskliga resurser.
• c) De redovisningsförfaranden som den sökande kommer att använda för att registrera och rapportera sin finansiella information.
• d) Uppgifter om den eller de personer som ansvarar för den interna kontrollen, däribland för periodiska och fortlöpande kontroller samt för efterlevnadskontroller, med aktuella meritförteckningar.
• e) Uppgifter om revisorer som inte är lagstadgade revisorer enligt direktiv 2006/43/EG.
• f) Sammansättningen av ledningsorganet och i tillämpliga fall andra organ eller kommittéer med övervakningsansvar.
• g) En beskrivning av hur utkontrakterade funktioner övervakas och kontrolleras för att undvika att kvaliteten hos den sökandes interna kontroller försämras.
• h) En beskrivning av hur ombud och filialer övervakas och kontrolleras inom ramen för den sökandes interna kontroller.
• i) En beskrivning av koncernens styrelseformer om den sökande är dotterbolag till ett företag som står under tillsyn i en annan EU-medlemsstat.

Riktlinje 7: Förfaranden för övervakning, hantering och uppföljning av säkerhetsincidenter och säkerhetsrelaterade kundklagomål

7.1. Den sökande bör tillhandahålla en beskrivning av de förfaranden som finns för att övervaka, hantera och följa upp säkerhetsincidenter och säkerhetsrelaterade kundklagomål, vilken innehåller information om

• a) organisatoriska åtgärder och verktyg för att förhindra bedrägerier,
• b) personer och organ som ansvarar för att bistå kunderna i händelse av bedrägerier, tekniska problem och/eller med kravhantering,
• c) rapporteringsvägar i händelse av bedrägerier,
• d) kontaktpunkten för kunderna, med namn och e-postadress,

externa organ samt för att underrätta nationella behöriga myndigheter om allvarliga incidenter enligt artikel 96 i andra betaltjänstdirektivet samt i linje med EBA:s riktlinjer om incidentrapportering enligt samma artikel och

• f) de övervakningsverktyg som används samt de uppföljningsåtgärder och förfaranden som finns för att minska säkerhetsriskerna.

Riktlinje 8: Processen för att arkivera, övervaka, spåra och begränsa åtkomsten till känsliga betalningsuppgifter

8.1. Den sökande bör tillhandahålla en beskrivning av den process som har införts för att arkivera, övervaka, spåra och begränsa åtkomsten till känsliga betalningsuppgifter, vilken innehåller

• a) en beskrivning av det dataflöde som klassificeras som känsliga betalningsuppgifter i den sökandes affärsmodell,

betalningsuppgifter,

• c) en beskrivning av övervakningsverktyget,
• d) information om policyn för åtkomsträttigheter till alla relevanta infrastrukturkomponenter och system samt databaser och infrastruktur för säkerhetskopiering,
• e) en beskrivning av hur insamlade data arkiveras,

inklusive kryptering och/eller tokenisering,

• h) information om de personer, organ och/eller kommittéer som har tillgång till de känsliga betalningsuppgifterna,
• i) en beskrivning av hur intrång ska upptäckas och åtgärdas och
• j) en beskrivning av det program som finns för årlig intern kontroll av IT-systemens säkerhet.

Riktlinje 9: Arrangemang för verksamhetens driftskontinuitet

9.1. Den sökande bör tillhandahålla en beskrivning av arrangemangen för verksamhetens driftskontinuitet som inbegriper följande:

• a) En konsekvensanalys som omfattar affärsprocesserna och mål för återskapandet av data såsom återskapandetid, återskapandepunkt och skyddade tillgångar.
• b) Uppgifter om var säkerhetskopior sparas, tillgången till IT-infrastrukturen och viktiga program och data som måste återskapas efter haverier eller störningar.
• c) En beskrivning av hur den sökande kommer att hantera viktiga händelser och störningar av driften, såsom haverier i viktiga system, förlust av viktiga data, otillgängliga lokaler och förlust av nyckelpersoner.
• d) Den frekvens med vilken den sökande avser att testa driftskontinuiteten och planerna för återhämtning efter katastrofer, inklusive hur testresultaten ska registreras.

Riktlinje 10: Säkerhetspolicydokument

10.1. Den sökande bör tillhandahålla ett säkerhetspolicydokument som innehåller följande information:

• a) En detaljerad riskbedömning av den eller de betaltjänster som den sökande avser att tillhandahålla, vilken bör inbegripa bedrägeririsker och en beskrivning av de säkerhetskontroll- och begränsningsåtgärder som vidtagits för att på lämpligt sätt skydda betaltjänstanvändarna mot de belagda riskerna.
• b) En beskrivning av IT-systemen, vilken innehåller information om
• i. systemens arkitektur och nätverkselement,
• ii. de affärssystem som stöder de tillhandahållna tjänsterna, såsom den sökandes webbplats, motor för hantering av risker och bedrägerier samt kundredovisning,
• iii. de stödsystem som används för leverantörens av kontoinformationstjänster organisation och förvaltning, såsom system för redovisning och rapportering, personaladministration, hantering av kundrelationer, e-postservrar och servrar för interna dokument,
• iv. huruvida dessa system redan används av leverantören av kontoinformationstjänster eller dess koncern, och i tillämpliga fall uppskattat implementeringsdatum.
• c) Uppgifter om tillåtna externa anslutningar till exempelvis partner, tjänsteleverantörer, koncernföretag och anställda som arbetar på distans, samt motiven för dessa anslutningar.
• d) För var och en av de anslutningar som anges i punkt c: information om de logiska säkerhetsåtgärder och mekanismer som finns samt den kontroll som den sökande kommer att ha över åtkomsten. Kontrollernas art och frekvens: tekniska eller organisatoriska, förebyggande eller upptäckande, övervakning i realtid eller regelbundna granskningar. Information om användning av en aktiv katalog utanför koncernen, öppning/stängning av kommunikationslinjer, konfiguration av säkerhetsutrustning, skapande av nycklar eller klientcertifikat, systemövervakning, autentisering, konfidentiell kommunikation, detektering av intrång, virusskydd och loggar.
• e) Uppgifter om de logiska säkerhetsåtgärder och mekanismer som styr den interna åtkomsten till IT-systemen, med information om
• i. varje åtgärds tekniska och organisatoriska art och frekvens, till exempel om åtgärden är förebyggande eller upptäckande och huruvida den utförs i realtid och
• ii. hur avskiljandet av klientmiljön hanteras om den sökandes IT-resurser är gemensamma.
• f) Uppgifter om de fysiska säkerhetsåtgärderna och mekanismerna i den sökandes lokaler och datacentral, såsom åtkomstkontroller och miljöskydd.
• g) Uppgifter om betalningsprocesserna, som inbegriper
• i. information om det förfarande för kundautentisering som används för åtkomst till uppgifter och genomförande av transaktioner,
• ii. en redogörelse för hur säker leverans till legitima användare av betaltjänsterna och integriteten hos autentiseringsfaktorer som hårdvarutokens och mobila applikationer säkerställs, såväl vid första inregistreringen som vid förnyelse av avtalet och
• iii. en beskrivning av de system och förfaranden som den sökande använder för att analysera transaktioner och identifiera misstänkta eller ovanliga transaktioner.
• h) En detaljerad riskbedömning av betaltjänsterna, bland annat avseende bedrägeririsker, med en länk till de säkerhetskontroll- och begränsningsåtgärder som beskrivs i ansökningsfilen och som visar att riskerna har åtgärdats.
• i) En förteckning över de viktigaste skriftliga förfarandena som rör den sökandes IT-system eller uppgift om när den sökande bedömer att förfaranden som ännu inte har formaliserats kommer att vara färdigställda.

Riktlinje 11: Identitetsuppgifter om och lämplighetsbedömning av personer i styrelsen och personer som leder leverantören av kontoinformationstjänster

11.1. För att identifiera personer i styrelsen och personer som leder leverantören av kontoinformationstjänster och bevisa deras lämplighet bör den sökande lämna följande information:

• a) Personuppgifter som inkluderar
• i. fullständigt namn, kön, födelseort och födelsedatum, adress och nationalitet samt personligt identifikationsnummer eller kopia av id-kort eller motsvarande och
• ii. uppgifter om vilken befattning bedömningen gäller, huruvida personen har en verkställande funktion i ledningsorganet eller inte, samt information om

• b) I tillämpliga fall uppgifter om den lämplighetsbedömning som den sökande har gjort, vilken bör inkludera information om resultaten av institutets bedömningar av personens lämplighet, såsom relevanta styrelseprotokoll eller rapporter från lämplighetsbedömningar eller andra handlingar.

personen arbetar eller har arbetat för och uppgift om organisationstyp samt befattningarnas art och uppdragens varaktighet, med betoning på verksamheter som har samband med den sökta befattningen.

• d) Dokument som styrker gott anseende, hederlighet och integritet, vilka bör inkludera följande information:
• i. Utdrag ur brottsregister och relevant information om brottsutredningar och rättsliga förfaranden, relevanta civilrättsliga och administrativa ärenden samt disciplinära ärenden (däribland förbud att fungera som företagsledare, konkurs, insolvens och liknande), främst i form av officiella intyg eller uppgifter från objektivt sett tillförlitliga informationskällor om att personen inte har dömts i brottmål eller varit föremål för brottsutredning eller rättsliga förfaranden, såsom undersökningar av tredje part och vittnesmål från jurister eller notarier som är etablerade i EU.
• ii. Uppgifter om huruvida straffrättsliga förfaranden pågår eller om personen eller någon organisation som han eller hon leder har figurerat som gäldenär i insolvensförfaranden eller motsvarande.
• iii. Uppgifter om

Riktlinje 12: Ansvarsförsäkring eller jämförbar garanti

12.1. Den sökande bör lämna följande uppgifter för att påvisa innehavet av en ansvarsförsäkring eller jämförbar garanti som överensstämmer med EBA:s riktlinjer för kriterierna för att

(EBA/GL/2017/08) och artiklarna 5.2 och 5.3 i andra betaltjänstdirektivet:

• a) Ett försäkringsavtal eller annat likvärdigt dokument som bekräftar innehavet av en ansvarsförsäkring eller jämförbar garanti med ett försäkringsskydd som överensstämmer med EBA:s riktlinjer enligt ovan och utvisar vilket skadeståndsansvar som omfattas.
• b) Dokumentation av att den sökande har beräknat minimibeloppet på ett sätt som överensstämmer med EBA:s riktlinjer enligt ovan, med alla tillämpliga komponenter i formeln specificerade.

Riktlinje 1: Allmänna principer

1.1 Dessa riktlinjer riktar sig till dem som ansöker om auktorisation som institut för elektroniska pengar. Med detta menas sökande som avser att tillhandahålla tjänster avseende elektroniska pengar och i tillämpliga fall någon av de betaltjänster som avses i punkterna 1– 8 i bilaga I till andra betaltjänstdirektivet. Sökande som endast avser att tillhandahålla de betaltjänster som avses i punkterna 1–7 i bilaga I till andra betaltjänstdirektivet eller tjänst 8 i bilagan i kombination med andra tjänster som avses i punkterna 1–7 utan att tillhandahålla tjänster avseende elektroniska pengar ska följa de särskilda riktlinjerna i avsnitt 4.1 för uppgifter som ska lämnas vid ansökan om auktorisation som betalningsinstitut. Sökande som endast avser att tillhandahålla den betaltjänst som avses i punkt 8 i bilaga I till andra betaltjänstdirektivet utan att tillhandahålla tjänster avseende elektroniska pengar ska följa riktlinjerna i avsnitt 4.2 för uppgifter som ska lämnas vid ansökan om registrering för att tillhandahålla endast den tjänst som avses i punkt 8 i bilaga I till andra betaltjänstdirektivet.

1.2 Uppgifterna som de sökande lämnar bör vara sanningsenliga, fullständiga, korrekta och aktuella. Alla sökande bör efterleva alla bestämmelser i riktlinjerna som är tillämpliga på dem. Detaljeringsgraden bör stå i proportion till den sökandes storlek och interna organisation samt till arten, omfattningen och komplexitetsgraden hos den eller de tjänster som den sökande har för avsikt att tillhandahålla och de risker dessa medför. I enlighet med direktiv (EU) 2015/2366 ska personer i styrelsen och personer som leder institutet för elektroniska pengar i alla händelser ha gott anseende och den kunskap och erfarenhet som krävs för att tillhandahålla betaltjänster, oberoende av institutets storlek, interna organisation och arten, omfattningen och komplexitetsgraden hos dess verksamhet samt de uppgifter och ansvarsområden som sammanhänger med deras specifika befattningar.

1.3 Den sökande bör undvika att hänvisa till specifika avsnitt i interna förfaranden/dokument när uppgifterna lämnas. Utdrag med relevanta avsnitt bör i stället överlämnas till den behöriga myndigheten.

1.4 Om den behöriga myndigheten begär klargöranden av de uppgifter som har lämnats bör den sökande tillhandahålla dessa utan dröjsmål.

1.5 Alla uppgifter som krävs enligt dessa riktlinjer för auktorisation som institut för elektroniska pengar behövs för bedömningen av ansökan och ska hanteras av den behöriga myndigheten med tillämpning av den tystnadsplikt som föreskrivs i andra betaltjänstdirektivet, utan att det inverkar på tillämpningen av unionsrätten och nationella krav och förfaranden som rör utövandet av rätten att ta del av, rätta, radera och invända mot uppgifter.

Riktlinje 2: Identifieringsuppgifter

2.1 Uppgifterna för identifiering av den sökande bör innehålla följande information:

• a) Den sökandes bolagsnamn och eventuella firma.
• b) Uppgift om huruvida den sökande redan är registrerad eller om registreringsprocessen pågår.
• c) Den sökandes nationella organisationsnummer i tillämpliga fall.
• d) Den sökandes rättsliga ställning och (utkast till) stadgar och/eller etableringsdokument som utvisar den sökandes rättsliga ställning.
• e) Adressen till den sökandes huvudkontor och säte.
• f) Den sökandes e-postadress och webbplats om sådana finns.
• g) Namn på den eller de personer som ansvarar för ansökningshandlingarna och auktorisationsförfarandet, med kontaktuppgifter.
• h) Uppgift om huruvida den sökande någonsin har stått under tillsyn eller för närvarande står under tillsyn av en behörig myndighet i finanssektorn.
• i) Eventuella branschorganisationer med relevans för tillhandahållandet av tjänster avseende elektroniska pengar och/eller betaltjänster som den sökande planerar att gå med i.
• j) Företagets registreringsbevis eller i tillämpliga fall intyg från bolagsregister som utvisar att det namn som företaget vill registrera är tillgängligt.
• k) Bevis för att eventuella avgifter har betalats eller medel deponerats för ansökan om auktorisation som institut för elektroniska pengar, när detta är tillämpligt enligt nationell lagstiftning.

Riktlinje 3: Verksamhetsplan

3.1 Den verksamhetsplan som den sökande lämnar in bör innehålla följande information:

• a) Uppgift om de tjänster avseende elektroniska pengar som den sökande har för avsikt att tillhandahålla: utgivning, inlösen, distribution.
• b) I tillämpliga fall en beskrivning av de planerade betaltjänsterna steg för steg, med en redogörelse för på vilket sätt den sökande anser att de aktiviteter och den verksamhet som ska utföras omfattas av någon av de betaltjänstkategorier som anges i bilaga I till andra betaltjänstdirektivet och uppgift om huruvida dessa betaltjänster ska tillhandahållas vid sidan av tjänster avseende elektroniska pengar eller om de har samband med utgivningen av elektroniska pengar.
• c) Uppgift om huruvida den sökande vid någon tidpunkt kommer att komma i besittning av medel.
• d) En beskrivning av hur de olika tjänsterna avseende elektroniska pengar, och i tillämpliga fall betaltjänsterna, ska utföras och vilka de berörda parterna är. För varje tjänst avseende elektroniska pengar och i tillämpliga fall varje betaltjänst som tillhandahålls bör beskrivningen innehålla
• i. ett diagram över penningflödet,
• ii. uppgift om avvecklingsförfaranden,
• iii. utkast till avtal mellan alla parter som medverkar till tillhandahållandet av betaltjänster, inklusive i tillämpliga fall betalkortsföretag och
• iv. uppgift om handläggningstider.
• e) En kopia av utkastet till avtal mellan utgivaren av elektroniska pengar och innehavaren av elektroniska pengar samt utkastet till ramavtal enligt definitionen i artikel 4.21 i andra betaltjänstdirektivet om den sökande avser att tillhandahålla betaltjänster vid sidan av tjänsterna avseende elektroniska pengar.
• f) Det uppskattade antalet affärslokaler varifrån den sökande avser att tillhandahålla tjänsterna (i tillämpliga fall).
• g) En beskrivning av eventuella sidotjänster till tjänsterna avseende elektroniska pengar och i tillämpliga fall betaltjänsterna.
• h) Uppgift om huruvida den sökande avser att bevilja krediter, och i så fall inom vilka gränser, om den sökande avser att tillhandahålla betaltjänster vid sidan av tjänsterna avseende elektroniska pengar.
• i) Uppgift om huruvida den sökande planerar att tillhandahålla tjänster avseende elektroniska pengar och i tillämpliga fall betaltjänster i andra medlemsstater eller tredjeländer när auktorisationen har beviljats.
• j) Uppgift om huruvida den sökande under de närmaste tre åren avser att bedriva eller redan bedriver sådan annan verksamhet än tjänster avseende elektroniska pengar och i tillämpliga fall betaltjänster som avses i artikel 11.5 i direktiv (EU) 2015/2366, med en beskrivning av typen av verksamhet och den förväntade omfattningen.
• k) De uppgifter som anges i EBA:s riktlinjer för kriterierna för att fastställa ett minimibelopp för den ansvarsförsäkring eller jämförbara garanti som avses i artikel 5.4 i direktiv (EU) 2015/2366 (EBA/GL2017/08), om den sökande avser att tillhandahålla tjänsterna 7 och 8 (betalningsinitieringstjänster och kontoinformationstjänster).

Riktlinje 4: Affärsplan

4.1. Den sökandes affärsplan bör innehålla följande:

• a) En marknadsföringsplan bestående av
• i. en analys av företagets konkurrenssituation på marknaden för elektroniska pengar och i tillämpliga fall marknadssegmentet för betaltjänsterna i fråga och
• ii. en beskrivning av användarna av betaltjänster och innehavarna av elektroniska pengar, marknadsföringsmaterial och distributionskanaler.
• b) Reviderade årsredovisningar för de föregående tre åren om dessa finns tillgängliga, eller en sammanfattning av den finansiella situationen för företag som ännu inte har lämnat någon årsredovisning.
• c) En budgetprognos för de tre första räkenskapsåren som visar att den sökande har förmåga att utnyttja system, resurser och förfaranden som är lämpliga och väl anpassade för en sund verksamhet. Denna bör innehålla
• i. resultat- och balansprognoser med målscenarier och stresscenarier samt underliggande antaganden om till exempel transaktionernas volym och värde, antal kunder, prissättning, genomsnittligt belopp per transaktion och förväntad ökning av lönsamhetströskeln,
• ii. förklaringar till de viktigaste intäkts- och kostnadsposterna, de finansiella skulderna och kapitaltillgångarna och
• iii. ett diagram och en detaljerad analys av de uppskattade kassaflödena under de närmaste tre åren.

institutet för elektroniska pengar endast avser att tillhandahålla tjänster avseende elektroniska pengar, eller den eller de metoder som avses i artikel 9 i direktiv (EU) 2015/2366 (andra betaltjänstdirektivet) enligt vad den behöriga myndigheten har fastställt om den sökande avser att tillhandahålla betaltjänster vid sidan av tjänsterna avseende elektroniska pengar, inklusive en prognos om kapitalbasens sammansättning per år under tre år enligt den använda metoden och i tillämpliga fall en prognos om kapitalbasen under tre år enligt de övriga metoderna.

Riktlinje 5: Organisationsstruktur

5.1. Den sökande bör tillhandahålla en beskrivning av företagets organisationsstruktur som inbegriper följande:

• a) Ett detaljerat organisationsschema som utvisar alla divisioner, avdelningar och liknande strukturella enheter med namn på ansvariga personer, i synnerhet ansvariga för interna kontrollfunktioner, tillsammans med beskrivningar av dessa divisioners, avdelningars och liknande strukturella enheters funktioner och ansvarsområden.
• b) En övergripande prognos för antalet medarbetare under de närmaste tre åren.
• c) En beskrivning av relevanta lösningar för utkontraktering som innehåller
• i. uppgifter om uppdragstagarens identitet och geografiska belägenhet,
• ii. uppgifter om vilka personer hos institutet för elektroniska pengar som ansvarar för den utkontrakterade verksamheten och
• iii. en tydlig beskrivning av den utkontrakterade verksamheten och dess huvudsakliga egenskaper.
• d) En kopia av utkast till uppdragsavtal.
• e) I tillämpliga fall en beskrivning av användning av filialer, ombud och distributörer som innehåller
• i. en beskrivning av de externa kontroller och kontroller på plats som den sökande avser att genomföra hos dessa,
• ii. uppgifter om de IT-system och processer och den infrastruktur som den sökandes ombud och distributörer använder för att bedriva verksamhet för den sökandes räkning,
• iii. uppgifter om policyn för val av ombud och distributörer, övervakningsförfaranden, utbildningen av ombud och distributörer och i tillämpliga fall utkast till uppdragsavtal samt
• f) i tillämpliga fall uppgifter om vilket nationellt och/eller internationellt betalningssystem som den sökande kommer att använda sig av.
• g) En förteckning över alla fysiska och juridiska personer som har nära förbindelser med den sökande, med uppgifter om deras identiteter och arten av dessa förbindelser.

Riktlinje 6: Bevis för startkapital

6.1. För att bevisa att den sökande har det startkapital som krävs (350 000 euro) bör den sökande tillhandahålla följande dokument:

• a) En reviderad årsredovisning eller ett utdrag ur ett offentligt register som styrker den sökandes kapitaltillgångar om det gäller ett befintligt företag.
• b) Ett bankbesked i vilket banken intygar att pengarna har satts in på den sökandes bankkonto om det gäller ett företag under bildande.

Riktlinje 7: Åtgärder till skydd för användare av elektroniska pengar och/eller användare av betaltjänstleverantörer

7.1. Om den sökande skyddar användarnas av elektroniska pengar och/eller betaltjänstanvändarnas medel genom att sätta in pengar på ett separat konto hos ett kreditinstitut eller genom att investera i säkra, likvida tillgångar med låg risk bör beskrivningen av skyddsåtgärderna inbegripa

• a) en beskrivning av investeringsprinciperna för att säkerställa att de valda tillgångarna är säkra och likvida och förknippade med låg risk,
• b) uppgifter om antalet personer som har tillgång till kundmedelskontot samt dessas befattningar,
• c) en beskrivning av administrations- och avstämningsprocessen för användare av elektroniska pengar och i tillämpliga fall användare av betaltjänster för att säkerställa att betaltjänstanvändarnas medel inte kan tas i anspråk för att reglera fordringar från andra fordringsägare, i synnerhet i händelse av insolvens,
• d) en kopia av utkastet till avtal med kreditinstitutet och
• e) en uttrycklig förklaring från institutet för elektroniska pengar om överensstämmelse med artikel 10 i andra betaltjänstdirektivet. 7.2. Om den sökande skyddar användarnas av elektroniska pengar och i tillämpliga fall betaltjänstanvändarnas medel med hjälp av en försäkring eller jämförbar garanti från ett försäkringsbolag eller ett kreditinstitut bör beskrivningen av skyddsåtgärderna, såvida den sökande inte avser att endast tillhandahålla betalningsinitieringstjänster, inbegripa
• a) en bekräftelse av att försäkringen eller den jämförbara garantin från ett försäkringsbolag eller ett kreditinstitut har utfärdats av ett företag som inte ingår i samma koncern som den sökande,
• b) uppgifter om den avstämningsprocess som används för att säkerställa att försäkringen eller den jämförbara garantin är tillräcklig för att den sökande vid alla tidpunkter ska fullgöra sin skyldighet att skydda medlen,
• c) uppgifter om försäkringsskyddets varaktighet och omfattning och
• d) en kopia av (utkastet till) försäkringsavtal eller (utkastet till) jämförbar garanti.

Riktlinje 8: Styrsystem och interna kontrollmekanismer

8.1. Den sökande bör tillhandahålla en beskrivning av styrsystemen och de interna kontrollmekanismerna som inbegriper följande:

• a) En kartläggning av de risker som den sökande har identifierat med tjänster avseende elektroniska pengar och i tillämpliga fall betaltjänster, där de förfaranden som den sökande kommer att införa för att bedöma och förebygga olika typer av risker anges.
• b) Förfaranden för periodiska och fortlöpande kontroller med angivande av frekvens och avsatta mänskliga resurser.
• c) De redovisningsförfaranden som den sökande kommer att använda för att registrera och rapportera sin finansiella information.
• d) Uppgifter om den eller de personer som ansvarar för den interna kontrollen, däribland för periodiska och fortlöpande kontroller samt för efterlevnadskontroller, med aktuella meritförteckningar.
• e) Uppgifter om revisorer som inte är lagstadgade revisorer enligt direktiv 2006/43/EG.
• f) Sammansättningen av ledningsorganet och i tillämpliga fall andra organ eller kommittéer med övervakningsansvar.
• g) En beskrivning av hur utkontrakterade funktioner övervakas och kontrolleras för att undvika att kvaliteten hos institutets för elektroniska pengar interna kontroller försämras.
• h) En beskrivning av hur ombud, filialer och distributörer övervakas och kontrolleras inom ramen för den sökandes interna kontroller.
• i) En beskrivning av koncernens styrelseformer om den sökande är dotterbolag till ett företag som står under tillsyn i en annan EU-medlemsstat.

Riktlinje 9: Förfaranden för övervakning, hantering och uppföljning av säkerhetsincidenter och säkerhetsrelaterade kundklagomål

9.1. Den sökande bör tillhandahålla en beskrivning av de förfaranden som finns för att övervaka, hantera och följa upp säkerhetsincidenter och säkerhetsrelaterade kundklagomål, vilken innehåller information om

• a) organisatoriska åtgärder och verktyg för att förhindra bedrägerier,
• b) personer och organ som ansvarar för att bistå kunderna i händelse av bedrägerier, tekniska problem och/eller med kravhantering,
• c) rapporteringsvägar i händelse av bedrägerier,
• d) kontaktpunkten för kunderna, med namn och e-postadress,

externa organ, också för sökande som avser att tillhandahålla betaltjänster vid sidan av tjänster avseende elektroniska pengar, samt förfaranden för att underrätta nationella behöriga myndigheter om allvarliga incidenter enligt artikel 96 i andra betaltjänstdirektivet samt i linje med EBA:s riktlinjer om incidentrapportering enligt samma artikel och

• f) de övervakningsverktyg som används samt de uppföljningsåtgärder och förfaranden som finns för att minska säkerhetsriskerna.

Riktlinje 10: Processen för att arkivera, övervaka, spåra och begränsa åtkomsten till känsliga betalningsuppgifter

10.1. Den sökande bör tillhandahålla en beskrivning av den process som har införts för att arkivera, övervaka, spåra och begränsa åtkomsten till känsliga betalningsuppgifter, vilken innehåller

• a) en beskrivning av de dataflöden som klassificeras som känsliga betalningsuppgifter i institutets för elektroniska pengar affärsmodell,

betalningsuppgifter,

• c) en beskrivning av övervakningsverktyget,
• d) information om policyn för åtkomsträttigheter till alla relevanta infrastrukturkomponenter och system samt databaser och infrastruktur för säkerhetskopiering,
• e) en beskrivning av hur insamlade data arkiveras,

inklusive kryptering och/eller tokenisering,

• h) information om de personer, organ och/eller kommittéer som har tillgång till de känsliga betalningsuppgifterna,
• i) en beskrivning av hur intrång ska upptäckas och åtgärdas och
• j) en beskrivning av det program som finns för årlig intern kontroll av IT-systemens säkerhet.

Riktlinje 11: Arrangemang för verksamhetens driftskontinuitet

11.1. Den sökande bör tillhandahålla en beskrivning av arrangemangen för verksamhetens driftskontinuitet som inbegriper följande:

• a) En konsekvensanalys som omfattar affärsprocesserna och mål för återskapandet av data såsom återskapandetid, återskapandepunkt och skyddade tillgångar.
• b) Uppgifter om var säkerhetskopior sparas, tillgången till IT-infrastrukturen och viktiga program och data som måste återskapas efter haverier eller störningar.
• c) En beskrivning av hur den sökande kommer att hantera viktiga händelser och störningar av driften, såsom haverier i viktiga system, förlust av viktiga data, otillgängliga lokaler och förlust av nyckelpersoner.
• d) Den frekvens med vilken den sökande avser att testa driftskontinuiteten och planerna för återhämtning efter katastrofer, inklusive hur testresultaten ska registreras.
• e) En beskrivning av de riskreducerande åtgärder som den sökande kommer att vidta om det upphör att tillhandahålla betalningstjänster, för att säkerställa att utestående betalningstransaktioner genomförs och att befintliga avtal sägs upp. Riktlinje 12: Principer och definitioner som tillämpas på insamling av statistiska uppgifter om resultat, transaktioner och bedrägerier

12.1. Den sökande bör tillhandahålla en beskrivning av de principer och definitioner som

bedrägerier. Denna bör innehålla information om

• a) den typ av uppgifter som samlas in om kunder, typ av betalningstjänst, kanal, instrument, jurisdiktioner och valutor,
• b) insamlingens omfattning: berörda verksamheter och enheter, inklusive filialer, ombud och distributörer,
• c) insamlingssättet,
• d) syftet med insamlingen,
• e) insamlingsfrekvensen och
• f) stöddokument som till exempel en manual som beskriver hur systemet fungerar.

Riktlinje 13: Säkerhetspolicydokument

13.1. Den sökande bör tillhandahålla ett säkerhetspolicydokument för sina tjänster avseende elektroniska pengar och i tillämpliga fall sina betaltjänster vilket innehåller följande information:

• a) En detaljerad riskbedömning av den eller de tjänster avseende elektroniska pengar och i tillämpliga fall betaltjänster som den sökande avser att tillhandahålla, vilken bör inbegripa bedrägeririsker och en beskrivning av de säkerhetskontroll- och begränsningsåtgärder som vidtagits för att på lämpligt sätt skydda användarna av tjänster avseende elektroniska pengar och i tillämpliga fall betaltjänstanvändarna mot de belagda riskerna.
• b) En beskrivning av IT-systemen, vilken innehåller information om
• i. systemens arkitektur och nätverkselement,
• ii. de affärssystem som stöder de tillhandahållna tjänsterna, såsom den sökandes webbplats, plånböcker, betalningssystem, betalningsmotor, motor för hantering av risker och bedrägerier samt kundredovisning,
• iii. de stödsystem som används för institutets för elektroniska pengar organisation

personaladministration, hantering av kundrelationer, e-postservrar och servrar för interna dokument,

• iv. huruvida dessa system redan används av institutet för elektroniska pengar eller dess koncern, och i tillämpliga fall uppskattat implementeringsdatum.
• c) Uppgifter om tillåtna externa anslutningar till exempelvis partner, tjänsteleverantörer, koncernföretag och anställda som arbetar på distans, samt motiven för dessa anslutningar.
• d) För var och en av de anslutningar som anges i punkt c: information om de logiska säkerhetsåtgärder och mekanismer som finns samt den kontroll som institutet för elektroniska pengar kommer att ha över åtkomsten. Kontrollernas art och frekvens: tekniska eller organisatoriska, förebyggande eller upptäckande, övervakning i realtid eller regelbundna granskningar. Information om användning av en aktiv katalog utanför koncernen, öppning/stängning av kommunikationslinjer, konfiguration av säkerhetsutrustning, skapande av nycklar eller klientcertifikat, systemövervakning, autentisering, konfidentiell kommunikation, detektering av intrång, virusskydd och loggar.
• e) Uppgifter om de logiska säkerhetsåtgärder och mekanismer som styr den interna åtkomsten till IT-systemen, med information om
• i. varje åtgärds tekniska och organisatoriska art och frekvens, till exempel om åtgärden är förebyggande eller upptäckande och huruvida den utförs i realtid och
• ii. hur avskiljandet av klientmiljön hanteras om den sökandes IT-resurser är gemensamma.
• f) Uppgifter om de fysiska säkerhetsåtgärderna och mekanismerna i den sökandes lokaler och datacentral, såsom åtkomstkontroller och miljöskydd.
• g) Uppgifter om säkerheten för de elektroniska pengarna och i tillämpliga fall betalningsprocesserna, som inbegriper
• i. information om det förfarande för kundautentisering som används för åtkomst till uppgifter och genomförande av transaktioner samt för alla bakomliggande betalningsinstrument,
• ii. en redogörelse för hur säker leverans till legitima användare av tjänsterna avseende elektroniska pengar och i tillämpliga fall betaltjänsterna och integriteten hos autentiseringsfaktorer som hårdvarutokens och mobila applikationer säkerställs, såväl vid första inregistreringen som vid förnyelse av avtalet och
• iii. en beskrivning av de system och förfaranden som institutet för elektroniska pengar använder för att analysera transaktioner och identifiera misstänkta eller ovanliga transaktioner.
• h) En detaljerad riskbedömning av tjänsterna avseende elektroniska pengar och i tillämpliga fall betaltjänsterna, bland annat avseende bedrägeririsker, med en länk till de säkerhetskontroll- och begränsningsåtgärder som beskrivs i ansökningsfilen och som visar att riskerna har åtgärdats.
• i) En förteckning över de viktigaste skriftliga förfarandena som rör den sökandes IT-system eller uppgift om när den sökande bedömer att förfaranden som ännu inte har formaliserats kommer att vara färdigställda.

Riktlinje 14: Mekanismer för intern kontroll för att fullgöra skyldigheterna när det gäller åtgärder mot penningtvätt och finansiering av terrorism

14.1 Beskrivningen av de interna kontrollmekanismer som den sökande kommer att använda för att i tillämpliga fall fullgöra dessa skyldigheter bör innehålla följande information:

• a) Den sökandes bedömning av de risker för penningtvätt och finansiering av terrorism som är förknippade med dess verksamhet, däribland risker som sammanhänger med den sökandes kundbas, de produkter och tjänster som tillhandahålls, de distributionskanaler som används och de geografiska verksamhetsområdena.
• b) Uppgifter om de åtgärder som den sökande har vidtagit eller kommer att vidta för att motverka riskerna och fullgöra tillämpliga skyldigheter när det gäller åtgärder mot penningtvätt och finansiering av terrorism, bland annat om den sökandes process för riskbedömning, de policyer och rutiner som används för att uppfylla kraven på åtgärder för kundkännedom samt de policyer och rutiner som används för att upptäcka och rapportera misstänkta transaktioner och aktiviteter.
• c) Uppgifter om de system och kontroller som den sökande har infört eller kommer att införa för att säkerställa att dess filialer, ombud och distributörer uppfyller tillämpliga krav när det gäller penningtvätt och finansiering av terrorism, också när ombudet, distributören eller filialen är belägen i en annan medlemsstat.
• d) Uppgifter om de förfaranden som den sökande har infört eller kommer att införa för att säkerställa att personalen, ombuden och distributörerna har lämplig utbildning om frågor som rör åtgärder mot penningtvätt och finansiering av terrorism.
• e) Uppgifter om den eller de personer som ansvarar för att säkerställa att den sökande fullgör sina skyldigheter när det gäller åtgärder mot penningtvätt och finansiering av terrorism, samt bevis för att dessa har den sakkunskap om åtgärder mot penningtvätt och finansiering av terrorism som krävs för att kunna utöva detta ansvar på ett effektivt sätt.
• f) Uppgifter om de system och kontroller som den sökande har infört eller kommer att införa för att säkerställa att dess policyer och rutiner mot penningtvätt och finansiering av terrorism är uppdaterade, ändamålsenliga och relevanta.
• g) Uppgifter om de system och kontroller som den sökande har infört eller kommer att införa för att säkerställa att ombuden och distributörerna inte exponerar den sökande för ökad risk för penningtvätt och finansiering av terrorism.
• h) Den sökandes personalhandbok om åtgärder mot penningtvätt och finansiering av terrorism.

Riktlinje 15: Identitetsuppgifter om personer som har ett kvalificerat innehav i sökanden och bevis på deras lämplighet

15.1 För att identifiera personer som har ett kvalificerat innehav i det sökande institutet för elektroniska pengar och bevisa deras lämplighet bör den sökande, utan att det inverkar på den bedömning utifrån relevanta kriterier införda genom direktiv 2007/44/EG som specificeras i de gemensamma riktlinjerna för bedömning av förvärv och ökningar av kvalificerade innehav i den finansiella sektorn (EBA/GL/2017/08), lämna följande information:

• a) En beskrivning av den koncern som den sökande tillhör och i tillämpliga fall uppgift om moderbolaget.
• b) Ett diagram som visar den sökandes aktieägarstruktur, med
• i. uppgift om namn och ägarandel (kapital/rösträtt) för alla personer som direkt har eller kommer att ha ett innehav i sökanden samt uppgift om de personer som anses ha kvalificerade innehav och skälen till detta och
• ii. uppgift om namn och ägarandel (kapital/rösträtt) för alla personer som indirekt har eller kommer att ha ett innehav i sökanden samt uppgift om de personer som indirekt anses ha kvalificerade innehav och skälen till detta.
• c) En förteckning med namn på alla personer eller andra enheter som har eller efter en auktorisation kommer att ha kvalificerade innehav i den sökande, med följande uppgifter om dessa personer eller enheter:
• i. antalet aktier eller andra andelar som har tecknats eller kommer att tecknas samt typ av aktier eller andra andelar och
• ii. det nominella värdet av sådana aktier eller andra andelar.

15.2 Om en person som har eller efter en auktorisation kommer att ha ett kvalificerat innehav i den sökande är en fysisk person bör den sökande ange alla nedanstående uppgifter avseende denna persons identitet och lämplighet:

• a) Personens namn och namn vid födelsen, födelsedatum och födelseort, medborgarskap (nuvarande och tidigare), identifikationsnummer (i tillämpliga fall) eller passnummer och adress samt en kopia av en officiell identitetshandling.
• b) En detaljerad meritförteckning som innehåller information om utbildning, tidigare yrkeserfarenhet och eventuell nuvarande yrkesverksamhet eller andra funktioner.
• c) En förklaring med styrkande handlingar som innehåller följande information som rör personen:
• i. Fällande domar eller beslut i brottmål vilka inte har upphävts, med tillämpning av nationella lagkrav rörande information om avtjänade straff.
• ii. Beslut i tvistemål eller administrativa beslut i ärenden som har relevans för bedömningen eller auktorisationsprocessen där personen har befunnits skyldig samt administrativa sanktioner eller åtgärder till följd av brott mot lagar och bestämmelser (däribland förbud att fungera som företagsledare) vilka inte har upphävts och inte har överklagats eller kan överklagas.
• iii. Konkurs, insolvens eller liknande förfaranden.
• iv. Pågående brottsutredningar.
• v. Civilrättsliga eller administrativa utredningar, verkställighetsförfaranden, sanktioner eller andra verkställighetsbeslut mot personen i ärenden som kan anses ha relevans för auktorisationen att börja fungera som institut för elektroniska pengar eller för en sund och ansvarsfull ledning av ett institut för elektroniska pengar.
• vi. Ett officiellt intyg eller annat motsvarande dokument som utvisar om personen i fråga har berörts av någon av de företeelser som avses i punkterna i–v, om en sådan handling kan erhållas.
• vii. Avslag på ansökan om registrering, auktorisation, medlemskap eller licens att utöva ett yrke eller bedriva en näringsverksamhet.
• viii. Återkallande, indragning eller upphävande av registrering, auktorisation, medlemskap eller licens att utöva ett yrke eller bedriva en näringsverksamhet.
• ix. Uteslutningsbeslut från en myndighet eller ett offentligt organ i finanssektorn eller från en yrkesorganisations sida.
• x. Innehav av ansvarig ställning i ett företag vid en tidpunkt då detta har dömts i brottmål eller varit föremål för straffrättsligt förfarande, administrativ utredning, sanktioner eller andra verkställighetsbeslut till följd av brister i uppträdandet, däribland avseende bedrägeri, ohederlighet, korruption, penningtvätt, finansiering av terrorism eller annan ekonomisk brottslighet, eller underlåtenhet att införa lämpliga policyer och förfaranden för att förhindra sådana företeelser, samt uppgifter om dessa företeelser och personens eventuella inblandning i dem.
• xi. Avskedande, entledigande eller uppmaning att lämna anställning, förtroendeposition, förmyndarskap (som inte beror på att avtalstiden har löpt
• ut) eller liknande.
• d) En förteckning över företag som personen leder eller kontrollerar och som den sökande har fått kännedom om genom vederbörlig och noggrann utredning, andelen av den direkta eller indirekta kontrollen över dessa företag, deras status (om de är aktiva, upplösta etc) samt en beskrivning av insolvensförfaranden eller liknande förfaranden.
• e) I tillämpliga fall uppgifter om den behöriga myndighet i finanssektorn som har gjort en bedömning av personens anseende samt resultatet av bedömningen.
• f) Uppgifter om personens nuvarande ekonomiska ställning, inklusive uppgifter om intäktskällor, tillgångar och skulder, panter och garantier som har ställts ut eller beviljats.
• g) En beskrivning av eventuella kopplingar till personer i politiskt utsatt ställning enligt definitionen i artikel 3.9 i direktiv (EU) 2015/849⁴ .

15.3 Om en person eller enhet som har eller efter en auktorisation kommer att ha ett kvalificerat innehav i den sökande (däribland enheter som inte är juridiska personer och som innehar eller ska inneha ägarintresset i eget namn) bör ansökan innehålla följande uppgifter om denna persons eller enhets identitet och lämplighet:

• a) Namn.

registreringsbevis om den juridiska personen eller enheten är registrerad i ett centralt register, handelsregister, bolagsregister eller liknande register med samma syfte.

• c) Adresser till företagets säte och huvudkontor samt huvudort för verksamheten.
• d) Kontaktuppgifter.
• e) Företagsdokument eller, när personen eller enheten är registrerad i en annan medlemsstat, en sammanfattning av de viktigaste särdragen hos den juridiska formen eller enheten.
• f) Uppgifter om huruvida den juridiska personen eller enheten står eller har stått under tillsyn av en behörig myndighet i finanssektorn eller något annat offentligt organ.
• g) Ett officiellt intyg eller motsvarande dokument som innehåller de uppgifter som anges i punkterna a–e utfärdat av den behöriga myndigheten, om en sådan handling kan erhållas.
• h) De uppgifter om den juridiska personen eller enheten som avses i riktlinjerna 15.2 c–g.
• i) En förteckning med uppgifter om alla personer som i praktiken leder den juridiska personens eller enhetens verksamhet, med namn, födelsedatum och födelseort, adress, nationellt identifikationsnummer om tillgängligt samt en detaljerad meritförteckning (med uppgifter om relevant utbildning, tidigare yrkeserfarenhet och eventuell nuvarande yrkesverksamhet eller andra relevanta funktioner) tillsammans med de uppgifter som avses i riktlinjerna 15.2 c och 15.2 d avseende alla sådana personer.
• j) Den juridiska personens aktieägarstruktur, som ett minimum med uppgifter om direkta och indirekta aktieägares, medlemmars och förmånstagares (enligt definitionen i artikel 3.6 i direktiv (EU) 2015/849) namn, födelsedatum och födelseorter, adresser, nationella identifikationsnummer eller organisationsnummer om tillgängliga samt deras respektive andelar av kapitalet och rösträtten.
• k) En beskrivning av den reglerade finansgrupp som den sökande tillhör eller kan komma att tillhöra, med uppgift om moderbolaget och enheter på kredit-, försäkrings- och säkerhetsområdet inom koncernen samt namnen på de behöriga myndigheterna (för varje enhet eller koncernen).
• l) Årsredovisningar för enskilda företag och i tillämpliga fall koncern- och underkoncernnivå för de senaste tre räkenskapsåren om den juridiska personen eller enheten har bedrivit verksamhet under denna period (eller den kortare tid under vilken verksamheten har bedrivits och ekonomiska rapporter upprättats) som i tillämpliga fall är godkända av den

2006/43/EG⁵ , vilka inbegriper:

• i. Balansräkning.
• ii. Resultaträkning.
• iii. Årsbokslut med finansiella bilagor och eventuella andra handlingar som har registrerats av relevant registrator eller behörig myndighet för den juridiska personen.
• m) Om den juridiska personen inte har varit verksam tillräckligt länge för att behöva upprätta årsbokslut för de tre räkenskapsår som omedelbart föregår ansökningsdatumet ska ansökan innehålla eventuella befintliga finansiella rapporter.
• n) Om den juridiska personen eller enheten har sitt huvudkontor i ett tredjeland: allmän information om tillsynssystemet i detta tredjeland i den mån det är tillämpligt på den juridiska personen eller enheten, inklusive uppgifter om den utsträckning i vilken tredjelandets åtgärder mot penningtvätt och finansiering av terrorism överensstämmer med rekommendationerna från arbetsgruppen för finansiella åtgärder mot penningtvätt.
• o) Ansökningar från enheter som inte har rättssubjektivitet, såsom företag för kollektiva investeringar, nationella placeringsfonder och stiftelser, ska innehålla
• i. uppgifter om de personer som förvaltar tillgångarna och om mottagarna eller tecknarna och om andelsägare som kontrollerar företaget för kollektiva investeringar eller har innehav som medför att de kan förhindra beslutsfattandet i företaget och
• ii. en kopia av dokument om enhetens bildande och styrning, med investeringspolicy och eventuella tillämpliga investeringsrestriktioner.

15.4 För alla fysiska och juridiska personer eller enheter som har eller efter en auktorisation kommer att ha kvalificerade innehav i den sökande ska ansökan innehålla all den information som anges nedan:

• a) Uppgifter om denna persons eller enhets ekonomiska eller affärsmässiga motiv bakom detta innehav samt personens eller enhetens strategi för innehavet, inklusive information om den tidsperiod under vilken personen eller enheten planerar att behålla innehavet samt eventuella avsikter att öka, minska eller bibehålla innehavets storlek under överskådlig framtid.
• b) Uppgifter om personens eller enhetens avsikter med avseende på den sökande och om det inflytande som personen eller enheten avser att utöva över den sökande, bland annat i fråga om utdelningspolicyn, den strategiska utvecklingen och fördelningen av den sökandes resurser samt information om huruvida avsikten är att agera som aktiv minoritetsägare och skälet till denna avsikt.
• c) Uppgifter om personens eller enhetens vilja att stödja den sökande med ytterligare eget kapital om det behövs för att utveckla dess verksamhet eller om det uppstår ekonomiska svårigheter.
• d) Uppgifter om innehållet i eventuella planerade avtal med andra aktieägare eller delägare i den sökande.
• e) En analys av huruvida det kvalificerade innehavet på något sätt, till exempel till följd av personens nära band till den sökande, kommer att påverka den sökandes förmåga att tillställa de behöriga myndigheterna korrekt information i rätt tid.
• f) Identitetsuppgifter för alla medlemmar i det ledningsorgan eller den företagsledning som ska leda den sökandes verksamhet och som kommer att utses eller nomineras av sådana aktieägare eller andra delägare, tillsammans med den information som anges i riktlinje 16 i den mån denna inte redan har lämnats.

15.5 Ansökan bör innehålla en detaljerad beskrivning av hur varje person eller enhet som har ett kvalificerat innehav i den sökande har finansierat detta. Denna beskrivning bör inkludera uppgifter om

• a) användningen av privata finansiella resurser samt tillgången till sådana och källorna till dem (för att säkerställa att den behöriga myndigheten kan konstatera att medlen har genererats av en legitim verksamhet),
• b) tillgången till finansmarknader, inklusive uppgifter om finansiella instrument som ska emitteras,
• c) användningen av lånade medel, med uppgifter om långivarnas namn och om de beviljade krediterna, såsom löptider, villkor, säkerheter och garantier, liksom om den intäktskälla som ska användas för att återbetala dessa lån (om långivaren inte är ett kreditinstitut eller ett finansinstitut med auktorisation att bevilja krediter bör den sökande informera de behöriga myndigheterna om de lånade medlens ursprung) och om
• d) finansiella arrangemang med andra personer som äger aktier eller andelar i den sökande. Riktlinje 16: Identitetsuppgifter om och lämplighetsbedömning av personer i styrelsen och personer som leder institutet för elektroniska pengar

16.1 För att identifiera personer i styrelsen och personer som leder institutet för elektroniska pengar och bevisa deras lämplighet bör den sökande lämna följande information:

• a) Personuppgifter, däribland
• i. fullständigt namn, kön, födelseort och födelsedatum, adress och nationalitet samt personligt identifikationsnummer eller kopia av id-kort eller motsvarande och
• ii. uppgifter om vilken befattning bedömningen gäller, huruvida personen har en verkställande funktion i ledningsorganet eller inte. Följande uppgifter bör också ingå:

• b) I tillämpliga fall uppgifter om den lämplighetsbedömning som den sökande har gjort, vilken bör inkludera information om resultaten av institutets bedömningar av personens lämplighet, såsom relevanta styrelseprotokoll eller rapporter från lämplighetsbedömningar eller andra handlingar.

meritförteckningar med information om utbildning och yrkeserfarenhet, inklusive akademiska meriter, annan relevant utbildning, namn på alla organisationer som personen arbetar eller har arbetat för och uppgift om organisationstyp samt befattningarnas art och uppdragens varaktighet, med betoning på verksamheter som har samband med den sökta befattningen.

• d) Dokument som styrker gott anseende, hederlighet och integritet, vilka bör inkludera följande information:
• i. Utdrag ur brottsregister och relevant information om brottsutredningar och rättsliga förfaranden, relevanta civilrättsliga och administrativa ärenden samt disciplinära ärenden (däribland förbud att fungera som företagsledare, konkurs, insolvens och liknande), främst i form av officiella intyg eller uppgifter från objektivt sett tillförlitliga informationskällor om att personen inte har dömts i brottmål eller varit föremål för brottsutredning eller rättsliga förfaranden, såsom undersökningar av tredje part och vittnesmål från jurister eller notarier som är etablerade i EU.
• ii. Uppgifter om huruvida straffrättsliga förfaranden pågår eller om personen eller någon organisation som han eller hon leder har figurerat som gäldenär i insolvensförfaranden eller motsvarande.
• iii. Uppgifter om

Riktlinje 17: Identitetsuppgifter för lagstadgade revisorer och revisionsföretag

De identitetsuppgifter för lagstadgade revisorer och revisionsföretag enligt definitionen i direktiv 2006/43/EG som den sökande ska tillhandahålla ska inbegripa revisorernas namn, adresser och kontaktuppgifter. Riktlinje 18: Ansvarsförsäkring eller jämförbar garanti för leverantörer av betalningsinitieringstjänster och leverantörer av kontoinformationstjänster

Den som ansöker om auktorisation som institut för elektroniska pengar och vill tillhandahålla betalningsinitieringstjänster eller kontoinformationstjänster vid sidan av tjänsterna avseende elektroniska pengar bör lämna följande uppgifter för att påvisa innehavet av en ansvarsförsäkring eller jämförbar garanti som överensstämmer med EBA:s riktlinjer för kriterierna för att fastställa ett minimibelopp för en ansvarsförsäkring eller jämförbar garanti (EBA/GL/2017/08) och artiklarna 5.2 och 5.3 i andra betaltjänstdirektivet:

• a) Ett försäkringsavtal eller annat likvärdigt dokument som bekräftar innehavet av en ansvarsförsäkring eller jämförbar garanti med ett försäkringsskydd som överensstämmer med EBA:s riktlinjer enligt ovan och utvisar vilket skadeståndsansvar som omfattas.
• b) Dokumentation av att den sökande har beräknat minimibeloppet på ett sätt som överensstämmer med EBA:s riktlinjer enligt ovan (EBA/GL/2017/08), med alla tillämpliga komponenter i formeln specificerade.

⁴ Europaparlamentets och rådets direktiv (EU) 2015/849 av den 20 maj 2015 om åtgärder för att förhindra att det finansiella systemet används för penningtvätt eller finansiering av terrorism (EUT L 141, 5.6.2015, s. 73).

⁵ Europaparlamentets och rådets direktiv 2006/43/EG av den 17 maj 2006 om lagstadgad revision av årsbokslut och sammanställd redovisning och om ändring av rådets direktiv 78/660/EEG och 83/349/EEG samt om upphävande av rådets direktiv 84/253/EEG (EUT L 157, 9.6.2006, s. 87–107).

Riktlinje 1: Bedömning av om ansökningshandlingarna är fullständiga

1.1. En ansökan bör anses vara fullständig vid tillämpningen av artikel 12 i direktiv (EU) 2015/2366 om den innehåller all information som de behöriga myndigheterna behöver för att kunna ta ställning till den i enlighet med dessa riktlinjer samt artikel 5 i direktiv (EU) 2015/2366.

1.2. Om informationen i ansökan anses vara ofullständig bör den behöriga myndigheten tillställa den sökande en förfrågan, i pappersformat eller elektroniskt format, i vilken den tydligt anger vilka uppgifter som saknas samt ge den sökande möjlighet att inkomma med dessa uppgifter.

1.3. När en ansökan bedöms vara fullständig bör den behöriga myndigheten informera den sökande om detta tillsammans med uppgift om mottagningsdatumet för den fullständiga ansökan eller den kompletterande information som gjorde ansökan fullständig.

1.4. Den behöriga myndigheten kan vid sin bedömning av ansökan begära klargöranden av informationen från den sökande.

1.5. När en ansökan innehåller uppgifter eller bygger på uppgifter som den behöriga myndigheten har, men som inte längre är sanningsenliga, korrekta eller fullständiga bör den behöriga myndigheten utan dröjsmål tillställas en uppdaterad ansökan. Denna uppdatering bör utvisa vilka uppgifter det gäller, var i den ursprungliga ansökan de finns, anledningen till att de inte längre är sanningsenliga, korrekta eller fullständiga, den uppdaterade informationen och en bekräftelse av att återstoden av uppgifterna i ansökan är sanningsenliga, korrekta och fullständiga.

Guideline 1: General principles

1.1 This set of guidelines applies to applicants for authorisation as electronic money institutions (EMIs).This refers to applicants that intend to provide e-money services and, if applicable, any payment service(s) referred to in points 1-8 of Annex I to PSD2. Applicants that intend to provide only payment services referred to in points 1-7 of Annex I to PSD2 or service 8 referred to in this Annex in combination with other service(s) referred to in points 1-7 without providing e-money services should refer to the specific set of guidelines on the information required from applicants for authorisation as payment institutions (PIs) set out in section 4.1. Applicants that intend to provide only the payment service referred to in point 8 of Annex I to PSD2 without providing e-money services should refer to the guidelines on the information required from applicants for registration for the provision of only service 8 of Annex I PSD2 set out in section 4.2.

1.2 The information provided by applicants should be true, complete, accurate and up to date. All applicants should comply with all the provisions in the set of guidelines that applies to them. The level of detail should be proportionate to the applicant’s size and internal organisation, and to the nature, scope, complexity and riskiness of the particular service(s) that the applicant intends to provide. In any event, in accordance with Directive (EU) 2015/2366, the directors and the persons responsible for the management of the electronic money institution are of good repute and possess appropriate knowledge and experience to perform payment services, regardless of the institution’s size, internal organisation and the nature, scope and complexity of its activities and the duties and responsibilities of the specific position.

1.3 When submitting the information required, the applicant should avoid making references to specific sections of internal procedures/documents. Instead, the applicant should extract the relevant sections and provide these to the competent authority.

1.4 Should the competent authorities (CAs) require clarifications on the information that has been submitted, the applicant should provide such clarification without delay. 1.5 All data requested under these guidelines for authorisation as EMIs are needed for the assessment of the application and will be treated by the competent authority in accordance with the professional secrecy obligations set out in PSD2, without prejudice to applicable Union law and national requirements and procedures on the exercise of the right to access, rectify, cancel or oppose.

Guideline 2: Identification details

2.1 The identification details to be provided by the applicant should contain the following information:

• a) the applicant’s corporate name and, if different, trade name;
• b) an indication of whether the applicant is already incorporated or in the process of incorporation;
• c) the applicant’s national identification number, if applicable;
• d) the applicant’s legal status and (draft) articles of association and/or constitutional documents evidencing the applicant’s legal status;
• e) the address of the applicant’s head office and registered office;
• f) the applicant’s electronic address and website, if available;
• g) the name(s) of the person(s) in charge of dealing with the application file and authorisation procedure, and their contact details;
• h) an indication of whether or not the applicant has ever been, or is currently being, regulated by a competent authority in the financial services sector;
• i) any trade association(s), in relation to the provision of e-money services and/or payment services, that the applicant plans to join, where applicable;
• j) the register certificate of incorporation or, if applicable, negative certificate of a mercantile register that certifies that the name applied by the company is available;
• k) evidence of the payment of any fees or of the deposit of funds to file an application for authorisation as an electronic money institution, where applicable under national law.

Guideline 3: Programme of operations

3.1 The programme of operations to be provided by the applicant should contain the following information:

• a) an indication of the e-money services the applicant intends to provide: issuance, redemption, distribution;
• b) if applicable, a step-by-step description of the type of payment services envisaged, including an explanation of how the activities and the operations that will be provided are identified by the applicant as fitting into any of the legal categories of payment services listed in Annex I to PSD2, and an indication of whether these payment services would be provided in addition to electronic money services or whether they are linked to the issuance of electronic money;
• c) a declaration of whether the applicant will at any point enter or not into possession of funds;
• d) if applicable, a description of the execution of the different e-money services and, if applicable, payment services, detailing all parties involved, for each e-money service and, if applicable, each payment service provided:
• i. a diagram of flow of funds;
• ii. settlement arrangements;

services including those with payment card schemes, if applicable;

• iv. processing times;
• e) a copy of the draft contract between the electronic money issuer and the electronic money holder and the draft framework contract, as defined in Article 4(21) of PSD2 if the applicant pretends to provide payment services in addition to e-money services;
• f) the estimated number of different premises from which the applicant intends to provide the services, if applicable;
• g) a description of any ancillary services to e-money services and, if applicable, to payment services;
• h) when the applicant intends to provide payment services in addition to e-money services, a declaration of whether or not the applicant intends to grant credit and, if so, within which limits;
• i) a declaration of whether or not the applicant plans to provide e-money services and, if applicable, payment services in other EU Member States or third countries after the granting of the licence;
• j) an indication of whether or not the applicant intends, for the next three years, to provide or already provides business activities other than e-money services and, if applicable, payment services, as referred to in Article 11(5) of Directive (EU) 2015/2366, including a description of the type and expected volume of the activities;
• k) the information specified in EBA Guidelines on the criteria on how to stipulate the minimum monetary amount of the professional indemnity insurance or other comparable guarantee under Article 5(4) of Directive (EU) 2015/2366’ (EBA/GL2017/08), where the applicant intends to provide services 7 and 8 (payment initiation services (PIS) and account information services (AIS)).

Guideline 4: Business plan

4.1. The business plan to be provided by the applicant should contain:

• a) a marketing plan consisting of:
• i. an analysis of the company’s competitive position in the e-money market and, if applicable, payment market segment concerned;
• ii. a description of the payment service users and electronic money holders, marketing materials and distribution channels;
• b) certified annual accounts for the previous three years, if available, or a summary of the financial situation for those companies that have not yet produced annual accounts;
• c) a forecast budget calculation for the first three financial years that demonstrates that the applicant is able to employ appropriate and proportionate systems, resources and procedures that allow the applicant to operate soundly; it should include:
• i. an income statement and balance-sheet forecast, including target scenarios and stress scenarios as well as their base assumptions, such as volume and value of transactions, number of clients, pricing, average amount per transaction, expected increase in profitability threshold;
• ii. explanations of the main lines of income and expenses, the financial debts and the capital assets;
• iii. a diagram and detailed breakdown of the estimated cash flows for the next three years;

with method D, as referred to in Article 5.3 of Directive (EU) 2009/110 (the second E-Money Directive (EMD2)), if the electronic money institution intends to provide e-money services only, or the method(s) referred to in Article 9 of Directive (EU) 2015/2366 (PSD2) as determined by the competent authority, if the applicant intends to provide payment services in addition to e-money services, including an annual projection of the breakdown of own funds for three years according to the method used and, If applicable, an annual projection of the own funds for three years according to the other methods used.

Guideline 5: Structural organisation

5.1. The applicant should provide a description of the structural organisation of its undertaking consisting of:

• a) a detailed organisational chart, showing each division, department or similar structural separation, including the name of the person(s) responsible, in particular those in charge of internal control functions; the chart should be accompanied by a description of the functions and responsibilities of each division, department or similar structural separation;
• b) an overall forecast of the staff numbers for the next three years;
• c) a description of the relevant operational outsourcing arrangements consisting of:
• i. the identity and geographical location of the outsourcing provider;
• ii. the identity of the persons within the electronic money institution that are responsible for each of the outsourced activities;
• iii. a clear description of the outsourced activities and their main characteristics;
• d) a copy of draft outsourcing agreements;
• e) a description of the use of branches, agents and distributors, where applicable, including:
• i. a mapping of the off-site and on-site checks that the applicant intends to perform of branches, agents and distributors;
• ii. the IT systems, processes and infrastructure that are used by the applicant’s agents and distributors to perform activities on behalf of the applicant;
• iii. in the case of agents and distributors, the selection policy, monitoring procedures, agents’ and distributor’s training and, where available, the draft terms of engagement of agents and distributors;
• f) an indication of the national and/or international payment system that the applicant will access, if applicable;
• g) a list of all natural or legal persons that have close links with the applicant, indicating their identities and the nature of those links.

Guideline 6: Evidence of initial capital

6.1. For the evidence of initial capital to be provided by the applicant (of EUR 350 000), the applicant should submit the following documents:

• a) for existing undertakings, an audited account statement or public register certifying the amount of capital of the applicant;
• b) for undertakings in the process of being incorporated, a bank statement issued by a bank certifying that the funds are deposited in the applicant’s bank account.

Guideline 7: Measures to safeguard the funds of electronic money users and/or payment service users

7.1. Where the applicant safeguards the electronic money users’ and/or payment service users’ funds through depositing funds in a separate account in a credit institution or through an investment in secure, liquid, low-risk assets, the description of the safeguarding measures should contain:

• a) a description of the investment policy to ensure the assets chosen are liquid, secure and low risk, if applicable;
• b) the number of persons that have access to the safeguarding account and their functions;
• c) a description of the administration and reconciliation process for electronic money users and, if applicable, payment service users, against the claims of other creditors of the electronic money institution, in particular in the event of insolvency;
• d) a copy of the draft contract with the credit institution;
• e) an explicit declaration by the electronic money institution of compliance with Article 10 of PSD2. 7.2. Where the applicant safeguards the funds of the electronic money users and, if applicable, the payment service users through an insurance policy or comparable guarantee from an insurance company or credit institution, and unless the applicant intends to provide PIS only, the description of the safeguarding measures should contain the following:
• a) a confirmation that the insurance policy or comparable guarantee from an insurance company or credit institution is from an entity that is not part of the same group of firms as the applicant;
• b) details of the reconciliation process in place to ensure that the insurance policy or comparable guarantee is sufficient to meet the applicant’s safeguarding obligations at all times;
• c) duration and renewal of the coverage;
• d) a copy of the (draft) insurance agreement or (draft) comparable guarantee.

Guideline 8: Governance arrangements and internal control mechanisms

8.1. The applicant should provide a description of the governance arrangement and internal control mechanisms consisting of:

• a) a mapping of the risks identified by the applicant, including the type of risks and the procedures the applicant will put in place to assess and prevent such risks, in relation to e-money services and, if applicable, payment services;
• b) the different procedures to carry out periodical and permanent controls, including the frequency and the human resources allocated;
• c) the accounting procedures by the which the applicant will record and report its financial information;
• d) the identity of the person(s) responsible for the internal control functions, including for periodic, permanent and compliance control, as well as an up-to-date curriculum vitae;
• e) the identity of any auditor that is not a statutory auditor pursuant to Directive 2006/43/EC;
• f) the composition of the management body and, if applicable, any other oversight body or committee;
• g) a description of the way outsourced functions are monitored and controlled so as to avoid an impairment in the quality of the electronic money institution’s internal controls;
• h) a description of the way any agents, branches and distributors are monitored and controlled within the framework of the applicant’s internal controls;
• i) where the applicant is the subsidiary of a regulated entity in another EU Member State, a description of the group governance.

Guideline 9: Procedure for monitoring, handling and following up on security incidents and security-related customer complaints

9.1. The applicant should provide a description of the procedure in place to monitor, handle and follow up on security incidents and security-related customer complaints to be provided by the applicant, which should contain:

• a) organisational measures and tools for the prevention of fraud;
• b) details of the individuals and bodies responsible for assisting customers in cases of fraud, technical issues and/or claim management;
• c) reporting lines in cases of fraud;
• d) the contact point for customers, including a name and email address;
• e) the procedures for the reporting of incidents, including the communication of these reports to internal or external bodies, including for applicants that intend to provide payment services in addition to e-money services, and the notification of major

the EBA guidelines on incident reporting under the referred Article.

• f) the monitoring tools used and the follow-up measures and procedures in place to mitigate security risks.

Guideline 10: Process for filing, monitoring, tracking and restricting access to sensitive payment data

10.1. The applicant should provide a description of the process in place to file, monitor, track and restrict access to sensitive payment data consisting of:

• a) a description of the flows of data classified as sensitive payment data in the context of the electronic money institution’s business model;
• b) the procedures in place to authorise access to the sensitive payment data;
• c) a description of the monitoring tool;
• d) the access right policy, detailing access to all relevant infrastructure components and systems, including databases and back-up infrastructures;
• e) a description of how the collected data are filed;
• f) the expected internal and/or external use of the collected data, including by counterparties;
• g) the IT system and technical security measures that have been implemented, including encryption and/or tokenisation;
• h) identification of the individuals, bodies and/or committees with access to the sensitive payment data;
• i) an explanation of how breaches will be detected and addressed;
• j) an annual internal control programme in relation to the safety of the IT systems.

Guideline 11: Business continuity arrangements

consisting of the following information:

• a) a business impact analysis, including the business processes and recovery objectives, such as recovery time objectives, recovery point objectives and protected assets;
• b) the identification of the back-up site and access to IT infrastructure, and the key software and data to recover from a disaster or disruption;
• c) an explanation of how the applicant will deal with significant continuity events and disruptions, such as the failure of key systems; the loss of key data; the inaccessibility of the premises; and the loss of key persons;
• d) the frequency with which the applicant intends to test the business continuity and disaster recovery plans, including how the results of the testing will be recorded;
• e) a description of the mitigation measures to be adopted by the applicant, in cases of the termination of its payment services, ensuring the execution of pending payment transactions and the termination of existing contracts. Guideline 12: The principles and definitions applicable to the collection of statistical data on performance, transactions and fraud.

12.1. The applicant should provide a description of the principles and definitions applicable to the collection of the statistical data on performance, transactions and fraud consisting of the following information:

• a) the type of data that is collected, in relation to customers, type of payment service, channel, instrument, jurisdictions and currencies;
• b) the scope of the collection, in terms of the activities and entities concerned, including branches, agents and distributors;
• c) the means of collection;
• d) the purpose of collection;
• e) the frequency of collection;
• f) supporting documents, such as a manual, that describe how the system works.

Guideline 13: Security policy document

service(s) and, where applicable, payment service(s) containing the following information:

• a) a detailed risk assessment of the e-money service(s) and, where applicable, the payment service(s) the applicant intends to provide, which should include risks of fraud and the security control and mitigation measures taken to adequately protect e-money service users and, where applicable, payment service users against the risks identified;
• b) a description of the IT systems, which should include:
• i. the architecture of the systems and their network elements;
• ii. the business IT systems supporting the business activities provided, such as the applicant’s website, wallets, the payment engine, the risk and fraud management engine, and customer accounting;
• iii. the support IT systems used for the organisation and administration of the electronic money institution, such as accounting, legal reporting systems, staff management, customer relationship management, e-mail servers, internal file servers;
• iv. information on whether those systems are already used by the electronic money institution or its group, and the estimated date of implementation, if applicable;
• c) the type of authorised connections from outside, such as with partners, service providers, entities of the group and employees working remotely, including the rationale for such connections;
• d) for each of the connections listed under point c), the logical security measures and mechanisms in place, specifying the control the electronic money institution will have over such access as well as the nature and frequency of each control, such as technical versus organisational; preventative versus detective; and real-time monitoring versus regular reviews, such as the use of an active directory separate from the group, the opening/closing of communication lines, security equipment configuration, generation

confidentiality of communication, intrusion detection, antivirus systems and logs;

• e) the logical security measures and mechanisms that govern the internal access to IT systems, which should include:
• i. the technical and organisational nature and frequency of each measure, such as whether it is preventative or detective and whether or not it is carried out in real time;
• ii. how the issue of client environment segregation is dealt with in cases where the applicant’s IT resources are shared;
• f) the physical security measures and mechanisms of the premises and the data centre of the applicant, such as access controls and environmental security;

include:

• i. the customer authentication procedure used for both consultative and transactional access, and for all underlying payment instruments;
• ii. an explanation of how safe delivery to the legitimate e-money services user and, where applicable, payment service user and the integrity of authentication factors, such as hardware tokens and mobile applications, are ensured, at the time of both initial enrolment and renewal;
• iii. a description of the systems and procedures that the electronic money institution has in place for transaction analysis and the identification of suspicious or unusual transactions;
• h) a detailed risk assessment in relation to its e-money services and, where applicable, its payment services, including fraud, with a link to the control and mitigation measures explained in the application file, demonstrating that the risks are addressed;
• i) a list of the main written procedures in relation to the applicant’s IT systems or, for procedures that have not yet been formalised, an estimated date for their finalisation.

Guideline 14: Internal control mechanisms to comply with obligations in relation to money laundering and terrorist financing (AML/CFT obligations)

14.1 The description of the internal control mechanisms that the applicant has established in order to comply, where applicable, with those obligations should contain the following information:

• a) the applicant’s assessment of the money laundering and terrorist financing risks associated with its business, including the risks associated with the applicant’s customer base, the products and services provided, the distribution channels used and the geographic areas of operation;
• b) the measures the applicant has or will put in place to mitigate the risks and comply with applicable anti-money laundering and counter terrorist financing obligations, including the applicant’s risk assessment process, the policies and procedures to comply with customer due diligence requirements, and the policies and procedures to detect and report suspicious transactions or activities;
• c) the systems and controls the applicant has or will put in place to ensure that its branches, agents and distributors comply with applicable anti-money laundering and terrorist financing requirements, including, in cases where the agent, distributor or branch is located in another Member State;
• d) arrangements the applicant has or will put in place to ensure that staff, agents and distributors are appropriately trained in anti-money laundering and counter terrorist financing matters;
• e) the identity of the person in charge of ensuring the applicant’s compliance with anti-money laundering and counter-terrorism obligations, and evidence that their anti-money laundering and counter-terrorism expertise is sufficient to enable them to fulfil this role effectively;
• f) the systems and controls the applicant has or will put in place to ensure their anti-money laundering and counter terrorist financing policies and procedures remain up to date, effective and relevant;
• g) the systems and controls the applicant has or will put in place to ensure that the agents and distributors do not expose the applicant to increased money laundering and terrorist financing risk;
• h) the anti-money laundering and counter-terrorism manual for the staff of the applicant.

Guideline 15: Identity and suitability assessment of persons with qualified holdings in the applicant

15.1 For the purposes of the identity and evidence of the suitability of persons with qualifying holdings in the applicant electronic money institution, without prejudice to the assessment in accordance with the criteria, as relevant, introduced with Directive 2007/44/EC and specified in the joint guidelines for the prudential assessment of acquisitions of qualifying holdings (JC/GL/2016/01), the applicant should submit the following information:

• a) a description of the group to which the applicant belongs and an indication of the parent undertaking, where applicable;
• b) a chart setting out the shareholder structure of the applicant, including:
• i. the name and the percentage holding (capital/voting right) of each person that has or will have a direct holding in the share capital of the applicant, identifying those that are considered as qualifying holders and the reason for such qualifications;
• ii. the name and the percentage holding (capital/voting rights) of each person that has or will have an indirect holding in the share capital of the applicant, identifying those that are considered as indirect qualifying holders and the reason for such qualification;
• c) a list of the names of all persons and other entities that have or, in the case of authorisation, will have qualifying holdings in the applicant’s capital, indicating for each such person or entity:
• i. the number and type of shares or other holdings subscribed or to be subscribed;
• ii. the nominal value of such shares or other holdings.

15.2 Where a person who has or, in the case of authorisation, will have a qualifying holding in the applicant’s capital is a natural person, the application should set out all of the following information relating to the identity and suitability of that person:

• a) the person’s name and name at birth, date and place of birth, citizenship (current and previous), identification number (where available) or passport number, address and a copy of an official identity document;
• b) a detailed curriculum vitae stating the education and training, previous professional experience and any professional activities or other functions currently performed;
• c) a statement, accompanied by supporting documents, containing the following information concerning the person:
• i. subject to national legislative requirements concerning the disclosure of spent convictions, any criminal conviction or proceedings where the person has been found against and which were not set aside;
• ii. any civil or administrative decisions in matters of relevance to the assessment

each case which were not set aside and against which no appeal is pending or may be filed;

• iii. any bankruptcy, insolvency or similar procedures;
• iv. any pending criminal investigations;
• v. any civil or administrative investigations, enforcement proceedings, sanctions

may be considered to be relevant to the authorisation to commence the activity of an electronic money institution or to the sound and prudent management of an electronic money institution;

• vi. where such documents can be obtained, an official certificate or any other equivalent document evidencing whether any of the events set out in sub-paragraphs (i)-(v) has occurred in respect of the relevant person;
• vii. any refusal of registration, authorisation, membership or licence to carry out trade, business or a profession;
• viii. any withdrawal, revocation or termination of a registration, authorisation, membership or licence to carry out trade, business or a profession;
• ix. any expulsion by an authority or public sector entity in the financial services sector or by a professional body or association;
• x. any position of responsibility with an entity subject to any criminal conviction or proceedings, administrative investigations, sanctions or other enforcement decisions for conduct failings, including in respect of fraud, dishonesty, corruption, money laundering, terrorist financing or other financial crime, or

events, held at the time when the alleged conduct occurred, together with details of such occurrences and of the person’s involvement, if any, in them;

• xi. any dismissal from employment or a position of trust, any removal from a fiduciary relationship (other than as a result of the relevant relationship coming to an end by passage of time) and any similar situation;
• d) a list of undertakings that the person directs or controls and of which the applicant is aware of after due and careful enquiry; the percentage of control either direct or indirect in these companies; their status (whether or not they are active, dissolved, etc.); and a description of insolvency or similar procedures;
• e) where an assessment of reputation of the person has already been conducted by a competent authority in the financial services sector, the identity of that authority and the outcome of the assessment;

revenues, assets and liabilities, security interests and guarantees, whether granted or received;

• g) a description of any links to politically exposed persons, as defined in Article 3(9) of Directive (EU) 2015/849⁵ .

15.3 Where a person or entity who has or, in the case of authorisation, will have a qualifying holding in the applicant’s capital (including entities that are not a legal person and which hold or should hold the participation in their own name), the application should contain the following information relating to the identity and suitability of that legal person or entity:

• a) name;
• b) where the legal person or entity is registered in a central register, commercial register, companies register or similar register that has the same purposes of those aforementioned, a copy of the good standing, if possible, or otherwise a registration certificate;
• c) the addresses of its registered office and, where different, of its head office, and principal place of business;
• d) contact details;
• e) corporate documents or, where the person or entity is registered in another Member State, a summary explanation of the main legal features of the legal form or the entity;
• f) whether or not the legal person or entity has ever been or is regulated by a competent authority in the financial services sector or other government body;
• g) where such documents can be obtained, an official certificate or any other equivalent document evidencing the information set out in paragraphs (a) to (e) issued by the relevant competent authority;
• h) the information referred to in Guideline 15(2)(c), 15(2)(d), 15(2)(e),15(2)(f) and 15(2)(g) a in relation to the legal person or entity;
• i) a list containing details of each person who effectively directs the business of the legal person or entity, including their name, date and place of birth, address, their national identification number, where available, and detailed curriculum vitae (stating relevant education and training, previous professional experience, any professional activities or other relevant functions currently performed), together with the information referred to in Guideline 15(2)(c) and 15(2)(d) in respect of each such person;
• j) the shareholding structure of the legal person, including at least their name, date and place of birth, address and, where available, personal identification number or registration number and the respective share of capital and voting rights of direct or indirect shareholders or members and beneficial owners, as defined in Article 3(6) of Directive (EU) 2015/849;
• k) a description of the regulated financial group of which applicant is a part, or may become a part, indicating the parent undertaking and the credit, insurance and security entities within the group; the name of their competent authorities (on an individual or consolidated basis); and
• l) annual financial statements, at the individual and, where applicable, the consolidated and sub-consolidated group levels, for the last three financial years, where the legal person or entity has been in operation for that period (or, if less than three years, the period for which the legal person or entity has been in operation and financial statements were prepared), approved by the statutory auditor or audit firm within the meaning of Directive 2006/43/EC⁶ , where applicable, including each of the following items:
• i. the balance sheet;
• ii. the profit-and-loss accounts or income statement;
• iii. the annual reports and financial annexes and any other documents registered with the relevant registry or competent authority of the legal person;
• m) where the legal person has not been operating for a sufficient period to be required to prepare financial statements for the three financial years immediately prior to the date of the application, the application shall set out the existing financial statements (if any);

information on the regulatory regime of that third country as applicable to the legal person or entity, including information on the extent to which the third country’s anti-money laundering and counter-terrorist financing regime is consistent with the Financial Action Task Force Recommendations;

undertaking, a sovereign wealth fund or a trust, the application shall set out the following information:

• i. the identity of the persons who manage assets and of the persons who are beneficiaries or subscribers, unit holders controlling the collective investment undertaking or having a holding enabling them to prevent the taking of decisions by the collective investment undertaking;
• ii. a copy of the document establishing and governing the entity including the investment policy and any restrictions on investment applicable to the entity.

15.4 The application shall set out all of the following information for each natural or legal person or entity who has or, in the case of authorisation, will have a qualifying holding in the capital of the applicant should contain the following:

• a) details of that person’s or entity’s financial or business reasons for owning that holding and the person’s or the entity’s strategy regarding the holding, including the period for which the person or the entity intends to hold the holding and any intention to increase, reduce or maintain the level of the holding in the foreseeable future;
• b) details of the person’s or entity’s intentions in respect of the applicant and of the influence the person or the entity intends to exercise over the applicant, including in respect of the dividend policy, the strategic development and the allocation of resources of the applicant, whether or not it intends to act as an active minority shareholder and the rationale for such intention;

additional own funds if needed for the development of its activities or in the case of financial difficulties;

• d) the content of any intended shareholder’s or member’s agreements with other shareholders or members in relation to the applicant;
• e) an analysis as to whether or not the qualifying holding will impact in any way, including as a result of the person’s close links to the applicant, on the ability of the applicant to provide timely and accurate information to the competent authorities;
• f) the identity of each member of the management body or of senior management who will direct the business of the applicant and will have been appointed by, or following a nomination from, such shareholders or members, together with, to the extent not already provided, the information set out in Guideline 16 below.

15.5 The application should set out a detailed explanation of the specific sources of funding for the participation of each person or entity having a qualifying holding in the applicant’s capital, which should include:

• a) details on the use of private financial resources, including their availability and (so as to

funds is legitimate) source;

• b) details on access to financial markets, including details of financial instruments to be issued;

authorised to grant credit, the applicant should provide to the competent authorities information on the origin of the borrowed funds;

• d) information on any financial arrangement with other persons who are shareholders or members of the applicant. Guideline 16: Identity and suitability assessment of directors and persons responsible for the management of the electronic money institution

16.1 For the purposes of the identity and suitability assessment of directors and persons responsible for the management of the electronic money institution, the applicant should provide the following information:

• a) Personal details including:

personal identification number or copy of ID card or equivalent.

• ii. details of the position for which the assessment is sought, whether or not the management body position is executive or non-executive. This should also include the following details:

• b) where applicable, information on the suitability assessment carried out by the applicant which should include details of the result of any assessment of the suitability of the individual performed by the institution, such as relevant board minutes or suitability assessment reports or other documents;
• c) evidence of knowledge, skills and experience, which should include a curriculum vitae containing details of education and professional experience, including academic qualifications, other relevant training, the name and nature of all organisations for which the individual works or has worked, and the nature and duration of the functions performed, in particular highlighting any activities within the scope of the position sought;
• d) evidence of reputation, honesty and integrity, which should include:
• i. criminal records and relevant information on criminal investigations and proceedings, relevant civil and administrative cases, and disciplinary actions, including disqualification as a company director, bankruptcy, insolvency and similar procedures, notably through an official certificate or any objectively reliable source of information concerning the absence of criminal conviction, investigations and proceedings, such as third-party investigations, testimonies made by a lawyer or a notary established in the European Union;
• ii. a statement as to whether criminal proceedings are pending or the person or any organisation managed by him or her has been involved as a debtor in insolvency proceedings or comparable proceedings;
• iii. information concerning the following :

Guideline 17: Identity of statutory auditors and audit firms

The identity of statutory auditors and audit firms as defined in Directive 2006/43/EC to be provided by the applicant, where relevant, should contain the names, addresses and contact details of auditors.

Guideline 18: Professional indemnity insurance or a comparable guarantee for payment initiation services and account information services

As evidence of a professional indemnity insurance or comparable guarantee that is compliant with EBA Guidelines on the criteria on how to stipulate the minimum monetary amount of the professional insurance or other comparable guarantee (EBA/GL/2017/08) and Article 5(2) and 5(3) of PSD2, the applicant for authorisation as electronic money institutions that, in addition to e-money services, intends to provide PIS or AIS, should provide the following information:

• a) an insurance contract or other equivalent document confirming the existence of the professional indemnity insurance or comparable guarantee, with a cover amount that is compliant with the referred EBA Guidelines, showing the coverage of the respective liabilities;
• b) documentation of how the applicant has calculated the minimum amount in a way that is compliant with the referred EBA Guidelines (EBA/GL/2017/08), including all applicable components of the formula specified therein.

⁵ Directive (EU) 2015/849 of the European Parliament and of the Council of 20 May 2015 on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing (OJ L 141, 5.6.2015, p. 73).

⁶ Directive 2006/43/EC of the European Parliament and of the Council of 17 May 2006 on statutory audits of annual accounts and consolidated accounts, amending Council Directives 78/660/EEC and 83/349/EEC and repealing Council Directive 84/253/EEC (OJ L 157, 9.6.2006, p. 87-107).

Guideline 1: Assessment of the completeness of the application

1.1. An application should be deemed to be complete for the purpose of Article 12 of Directive (EU) 2015/2366 if it contains all the information needed by the competent authorities in order to assess the application in accordance with these guidelines and with Article 5 of Directive (EU) 2015/2366.

1.2. Where the information provided in the application is assessed to be incomplete, the competent authority should send, in paper format or by electronic means, a request to the applicant, indicating in a clear way what information is missing, and should provide to the applicant the opportunity to submit the missing information.

1.3. Upon an application being assessed as complete, the competent authority should inform the applicant of that fact, together with the date of receipt of the complete application or, as the case may be, the date of receipt of the information that completed the application.

1.4. In any case, the competent authority may require the applicant to provide clarification on the information for the purposes of assessing the application.

1.5. Where an application contains information, or relies on information held by the competent authorities, which is no longer true, accurate or complete, an update to the application should be provided to the competent authorities without delay. The update should identify the information concerned, its location within the original application, the reason for the information no longer being true, accurate or complete, the updated information and confirmation that the rest of the information in the application remains true, accurate and complete.