Orientações relativas às informações a prestar para a autorização das instituições de pagamento e das instituições de moeda eletrónica e para o registo dos prestadores de serviços de informação sobre contas ao abrigo do n. o 5 do artigo 5. o da Diretiva (UE) 2015/2366 (EBA/GL/2017/09)

1. Obrigações de cumprimento e de comunicação de informação

2. Objeto, âmbito de aplicação e definições

3. Execução

4. Quatro conjuntos de orientações aplicáveis às instituições de pagamento, aos prestadores de serviços de informação sobre contas, às instituições de moeda eletrónica e às autoridades competentes, respetivamente

4.1 Orientações relativas às informações exigidas aos requerentes de autorização como instituições de pagamento para a prestação dos serviços referidos nos pontos 1 a 8 do

Orientação 1: Princípios gerais

1.1 Este conjunto de orientações aplica-se aos requerentes de autorização como instituições de pagamento. Inclui os requerentes que pretendam prestar qualquer um dos serviços referidos no anexo I, pontos 1 a 7, da Diretiva Serviços de Pagamento 2 (DSP2), ou o serviço a que se refere o ponto 8 em combinação com outros serviços de pagamento. Os requerentes que pretendam prestar exclusivamente o serviço a que se refere o anexo I, ponto 8, da Diretiva (UE) 2015/2366 (DSP2) estão sujeitos ao conjunto específico de orientações relativas aos prestadores de serviços de informação sobre contas estabelecidos na secção 4.2.

1.2 As informações prestadas pelos requerentes devem ser verdadeiras, completas, exatas e

orientações que lhes são aplicáveis. O nível de pormenor deve ser proporcional à dimensão e à organização interna do requerente, bem como à natureza, ao âmbito de aplicação, à complexidade e aos riscos efetivos do(s) serviço(s) específico(s) que o requerente pretende prestar. Em qualquer dos casos, de acordo com a Diretiva (UE) 2015/2366, os diretores e as pessoas responsáveis pela gestão da instituição de pagamento são idóneos e possuem os

independentemente da dimensão interna da instituição, da sua organização interna e da natureza, do âmbito de aplicação e da complexidade das suas atividades e dos deveres e responsabilidades da função em causa.

1.3 Ao apresentar as informações exigidas, o requerente deve evitar referências a secções específicas de procedimentos/documentos internos. Pelo contrário, deve extrair as secções relevantes e fornecê-las à autoridade competente.

1.4 Caso as autoridades competentes solicitem esclarecimentos sobre as informações apresentadas, o requerente deve prestar esses esclarecimentos, sem demora. 1.5 Para efeitos de autorização como instituições de pagamento, todos os dados solicitados ao abrigo das presentes orientações são necessários para a avaliação do pedido e serão tratados pela autoridade competente em conformidade com as obrigações de sigilo profissional estabelecidas na DSP2, sem prejuízo do direito da União e dos requisitos e procedimentos nacionais aplicáveis ao exercício dos direitos de acesso, retificação, cancelamento ou oposição.

Orientação 2: Dados de identificação

2.1 Os dados de identificação a fornecer pelo requerente devem conter as informações seguintes:

• a) Firma ou denominação social e, caso exista, outra denominação por que seja conhecida;
• b) Indicação sobre se o requerente já está constituído ou se encontra em fase de constituição;
• c) Número de pessoa coletiva do requerente, se aplicável;
• d) Contrato de sociedade e/ou os documentos de constituição que comprovem o estatuto jurídico do requerente;
• e) Endereço da sede do requerente;
• f) Endereço eletrónico e o sítio Web do requerente, se disponível;
• g) O(s) nome(s) da(s) pessoa(s) responsável(eis) pelo pedido e procedimento de autorização, bem como as respetivas informações de contacto;
• h) Indicação sobre se o requerente já foi, ou está a ser, regulado por uma autoridade competente no setor de serviços financeiros;
• i) Quaisquer associações comerciais no âmbito da prestação de serviços de pagamento a que o requerente pretenda aderir, se aplicável;
• j) Certidão do registo comercial ou, se aplicável, certificado de admissibilidade de firma ou denominação social que certifique que a denominação utilizada pela empresa está disponível;
• k) Comprovativo do pagamento de quaisquer taxas ou do depósito de fundos associados à apresentação de um pedido de autorização como instituição de pagamento, se aplicável no âmbito do direito nacional. Orientação 3: Programa de atividades

3.1. O programa de atividades a apresentar pelo requerente deve conter as informações seguintes:

• a) Descrição detalhada do tipo de serviços de pagamento pretendido, incluindo uma explicação sobre a forma como o requerente enquadra as atividades e as operações que serão executadas numa das categorias legais de serviços de pagamento enumeradas no anexo I da DSP2;
• b) Declaração sobre se o requerente estará ou não, em qualquer momento, na posse dos fundos;
• c) Descrição da execução dos diferentes serviços de pagamento, com a identificação de todas as partes envolvidas, incluindo para cada serviço de pagamentos prestado:
• i. Diagrama do fluxo de fundos, a menos que o requerente pretenda prestar exclusivamente serviços de iniciação do pagamento;
• ii. Sistemas de liquidação, a menos que o requerente pretenda prestar exclusivamente serviços de iniciação do pagamento;
• iii. Minutas de contratos entre todas as partes envolvidas na prestação de serviços de pagamento, incluindo os que preveem sistemas de pagamento com cartões, quando aplicável;
• iv. Prazos de processamento.
• d) Cópia do projeto de contrato-quadro, tal como definido no n. o 21 do artigo 4. o da DSP2;
• e) Número previsto de instalações diferentes a partir das quais o requerente pretende prestar os serviços de pagamento e/ou executar atividades relacionadas com a prestação de serviços de pagamento, quando aplicável;
• f) Descrição dos serviços auxiliares aos serviços de pagamento, quando aplicável;
• g) Declaração sobre se o requerente pretende ou não conceder crédito e, em caso afirmativo, quais os limites;
• h) Declaração sobre se o requerente pretende ou não prestar serviços de pagamento noutros Estados-Membros ou em países terceiros após a concessão da autorização;
• i) Indicação sobre se o requerente pretende ou não exercer nos próximos três anos, ou se já exerce, outras atividades profissionais a que se refere o artigo 18. o da Diretiva (UE) 2015/2366, incluindo uma descrição do tipo e do volume esperado das atividades;
• j) Informações especificadas nas orientações da Autoridade Bancária Europeia sobre os critérios de fixação do montante monetário mínimo do seguro de responsabilidade civil profissional ou de outra garantia equivalente, nos termos do n. o 4 do artigo 5. o da Diretiva (UE) 2015/2366, nos casos em que o requerente pretenda prestar os serviços referidos no anexo I, pontos 7 e 8 (serviços de iniciação do pagamento e serviços de informação sobre contas).

Orientação 4: Plano de negócios

4.1. O plano de negócios a apresentar pelo requerente deve conter:

• a) Um plano estratégico constituído por:
• i. Uma análise da posição concorrencial da empresa no segmento do mercado de pagamentos em causa;

publicitários e dos canais de distribuição;

• b) As contas anuais certificadas relativas aos três anos anteriores, se disponíveis para as entidades existentes, ou um resumo da situação financeira para as entidades que ainda não produziram contas anuais;
• c) Contas previsionais para os três primeiros exercícios, que demonstre que o requerente está em condições de utilizar sistemas, recursos e procedimentos adequados e proporcionados que lhe permitam um bom funcionamento. A previsão deve incluir:
• i. Demonstração de resultados e a previsão do balanço, incluindo cenários-alvo e cenários de stress , bem como os respetivos pressupostos, tais como volume e valor das transações, número de clientes, preços, montante médio por transação e aumento esperado do limiar de rentabilidade;
• ii. Razões das principais rubricas de receitas e despesas, das dívidas financeiras e dos capitais;
• iii. Diagrama e a descrição pormenorizada dos fluxos de caixa estimados para os próximos três anos;

composição do capital inicial, conforme estipulado no artigo 7. o da DSP2;

• e) Cálculo dos requisitos mínimos de fundos próprios e informações sobre os mesmos, em conformidade com o(s) método(s) referido(s) no artigo 9. o da Diretiva (UE) 2015/2366 (DSP2), conforme determinado pela autoridade competente, a menos que o requerente pretenda prestar exclusivamente serviços iniciais de pagamento, incluindo:
• i. Uma projeção anual da discriminação dos fundos próprios para os três anos de acordo com o método utilizado;
• ii. Uma projeção anual da discriminação dos fundos próprios para os três anos de acordo com os outros métodos.

Orientação 5: Estrutura organizativa

5.1. O requerente deve apresentar uma descrição da estrutura organizativa da sua empresa, que deve incluir:

• a) Organograma pormenorizado, mostrando cada divisão, departamento ou separação estrutural similar, incluindo o nome da ou das pessoas responsáveis, nomeadamente das pessoas responsáveis pelas funções de controlo interno. O organograma deve ser acompanhado de descrições das funções e responsabilidades de cada divisão, departamento ou separação estrutural similar;
• b) Previsão global do número de efetivos para os próximos três anos;
• c) Descrição dos contratos de subcontratação das funções operacionais relevantes, incluindo:
• i. A identidade e a localização geográfica do prestador de serviços;
• ii. A identidade das pessoas que, na instituição de pagamento, são responsáveis por cada uma das atividades subcontratadas;

características;

• d) Cópia das minutas dos contratos de subcontratação previstos;
• e) Descrição da forma prevista para utilizar as suas sucursais e os seus agentes, se aplicável, incluindo:
• i. Discriminação dos controlos in loco e extra loco que o requerente pretende realizar, pelo menos anualmente, sobre as suas sucursais e os seus agentes, bem como a sua frequência;
• ii. Sistemas informáticos, os processos e a infraestrutura utilizados pelos agentes do requerente para exercer atividades em nome do requerente;
• iii. Em caso de contratação de agentes, a política de seleção, os procedimentos de controlo e a formação dos agentes e, se disponível, aa minuta do contrato;
• iv. Indicação dos sistemas de pagamento nacionais e/ou internacionais a que o requerente irá aceder, se aplicável;
• f) Lista das pessoas singulares ou coletivas que têm ligações estreitas com o requerente, indicando as suas identidades e a natureza dessas ligações.

Orientação 6: Demonstração da existência do capital inicial

6.1 Para demonstrar a existência do capital inicial (125 000 euros para os serviços referidos no anexo I, pontos 1 a 5, da DSP2, 20 000 euros para o serviço do ponto 6 e 50 000 euros para

• o serviço do ponto 7), o requerente deve apresentar os seguintes documentos:
• a) no caso de entidades já constituídas, um extrato de conta auditado ou um registo público que certifique o montante do capital do requerente;
• b) no caso de entidades em fase de constituição, um extrato bancário emitido por um banco que certifique que os fundos estão depositados na conta bancária do requerente.

Orientação 7: Medidas de proteção dos fundos dos utilizadores de serviços de pagamento (aplicável apenas aos serviços de pagamento referidos nos pontos 1 a 6)

7.1. Se o requerente assegurar a proteção dos fundos dos utilizadores de serviços de pagamento depositando-os numa conta separada numa instituição de crédito ou investindo-os em ativos seguros, líquidos e de baixo risco, a descrição das medidas de proteção dos fundos deve conter:

• a) Descrição da política de investimento seguida para assegurar que os ativos selecionados são líquidos, seguros e de baixo risco, se aplicável;
• b) Número de pessoas com acesso à conta de salvaguarda e as respetivas funções;
• c) Descrição do processo de administração e reconciliação com vista a assegurar que os fundos dos utilizadores de serviços de pagamento sejam segregados, no interesse dos utilizadores do serviço de pagamento em causa, dos créditos de outros credores da instituição de pagamento, em especial em caso de liquidação da instituição;
• d) Cópia da minuta do contrato celebrado com a instituição de crédito;
• e) Declaração expressa, emitida pela instituição de pagamento, da conformidade com o artigo 10. o da DSP2. 7.2. Se o requerente assegurar a proteção dos fundos do utilizador de serviços de pagamento através de cobertura por uma apólice de seguro ou garantia equivalente, prestada por uma companhia de seguros ou instituição de crédito, a descrição das medidas de proteção dos fundos deve conter o seguinte:
• a) Confirmação de que a apólice de seguro ou garantia equivalente prestada por uma companhia de seguros ou instituição de crédito é emitida por uma entidade que não pertença ao mesmo grupo de empresas do requerente;
• b) Detalhes do processo de reconciliação adotado para assegurar que a apólice de seguro ou garantia equivalente é suficiente para, em qualquer momento, dar cumprimento às obrigações de salvaguarda do requerente;
• c) Duração e data da renovação da cobertura;
• d) Cópia do (da minuta do) contrato de seguro ou (da minuta da) da garantia equivalente.

Orientação 8: Sistemas de governo e mecanismos de controlo interno

8.1. O requerente deve apresentar uma descrição do sistema de governo societário e dos mecanismos de controlo interno, constituída por:

• a) Descrição dos riscos identificados pelo requerente, incluindo o tipo de riscos e os procedimentos que o requerente implementará para avaliar e evitar esses riscos;
• b) Diferentes procedimentos para realizar controlos periódicos e permanentes, incluindo a frequência e os recursos humanos afetados;
• c) Procedimentos contabilísticos que o requerente utilizará para registar e comunicar as suas informações financeiras;
• d) Identidade da ou das pessoas responsáveis pelas funções de controlo interno, nomeadamente das funções de gestão de riscos, compliance e auditoria interna, bem como respetivo(s) curriculum(a) vitae atualizado(s);
• e) Identidade dos auditores que não sejam revisores oficiais de contas na aceção da Diretiva 2006/43/CE;
• f) Composição do órgão de gestão e, se aplicável, de qualquer outro órgão ou comité de supervisão;
• g) Descrição da forma como a prestação de serviços por terceiros é verificada e controlada a fim de evitar comprometa a qualidade dos controlos internos da instituição de pagamento;
• h) Descrição da forma como os agentes e as sucursais são monitorizados e controlados no âmbito dos controlos internos do requerente;
• i) Descrição do governo do grupo, se o requerente for uma filial de uma entidade regulamentada noutro Estado-Membro da União Europeia.

Orientação 9: Procedimento para a verificação, tratamento e acompanhamento de incidentes de segurança e de reclamações dos clientes relacionadas com incidentes

9.1. O requerente deve apresentar uma descrição do procedimento criado para verificar, tratar e acompanhar incidentes de segurança e reclamações dos clientes relacionadas com a segurança, que deve conter:

• a) Instrumentos e medidas organizativas para a prevenção de fraude;
• b) Informações sobre as pessoas e os órgãos responsáveis pela prestação de assistência aos clientes, em caso de fraude, questões técnicas e/ou gestão de reclamações;
• c) Canais de comunicação de informações, em caso de fraude;
• d) O ponto de contacto para os clientes, incluindo um nome e um endereço de correio eletrónico;
• e) Os procedimentos para a notificação de incidentes, incluindo a comunicação dessas notificações aos órgãos internos ou externos, nomeadamente a notificação de incidentes de caráter severo às autoridades competentes nacionais nos termos do artigo 96. o da DSP2 e em conformidade com as orientações da Autoridade Bancária Europeia relativas à notificação de incidentes no âmbito do referido artigo;
• f) As ferramentas de verificação e os procedimentos e as medidas de acompanhamento criados para reduzir os riscos de segurança.

Orientação 10: Procedimento para a classificação, verificação, rastreamento e restrição do acesso a dados de pagamento sensíveis

10.1. O requerente deve apresentar uma descrição do procedimento criado para classificar, verificar, rastrear e restringir o acesso a dados de pagamento sensíveis, que deve incluir:

• a) Uma descrição dos fluxos de dados classificados como dados de pagamento sensíveis no contexto do modelo de negócio da instituição de pagamento;
• b) Os procedimentos criados para autorizar o acesso a dados de pagamento sensíveis;
• c) Uma descrição da ferramenta de verificação;
• d) A política em matéria de direitos de acesso, com a discriminação do acesso a todos os sistemas e componentes relevantes da infraestrutura, incluindo bases de dados e infraestruturas de apoio;
• e) Uma descrição da forma como os dados recolhidos são classificados, a menos que o requerente apenas pretenda prestar serviços de iniciação do pagamento;
• f) A utilização interna e/ou externa prevista dos dados recolhidos, incluindo pelas contrapartes, a menos que o requerente pretenda prestar exclusivamente serviços de iniciação do pagamento;
• g) O sistema informático e as medidas de segurança técnica que foram implementadas, incluindo encriptação e/ou criação de tokens ;
• h) A identificação das pessoas e dos órgãos e/ou comités com acesso aos dados de pagamento sensíveis;
• i) Uma explicação da forma como as infrações serão detetadas e sancionadas;
• j) Um programa de controlo interno anual, no que respeita à segurança dos sistemas informáticos.

Orientação 11: Planos de continuidade das atividades

11.1. O requerente deve apresentar uma descrição dos planos de continuidade das suas atividades, que deve incluir as informações seguintes:

• a) Uma análise do impacto sobre as atividades, incluindo os processos e os objetivos de recuperação das atividades, tais como os objetivos em matéria de prazo de recuperação, ponto de recuperação e ativos protegidos;
• b) A identificação da instalação de apoio e do acesso à infraestrutura de TI, bem como o software e os dados críticos para recuperação em caso de catástrofe ou de perturbação;
• c) Uma explicação da solução do requerente para a ocorrência de situações e perturbações significativas que afetem a continuidade, tais como a falha de sistemas críticos, a perda de dados essenciais, a inacessibilidade das instalações e a perda de pessoas fundamentais;
• d) A frequência com que o requerente pretende testar os planos de continuidade das atividades e de recuperação na sequência de catástrofes, incluindo a forma como serão registados os resultados dos testes;
• e) Uma descrição das medidas de redução dos riscos adotadas pelo requerente em caso de cessação dos seus serviços de pagamento, de forma a assegurar a execução das operações de pagamento pendentes e a resolução dos contratos existentes.

Orientação 12: Os princípios aplicados e as definições adotadas para a recolha de dados estatísticos relativos ao desempenho, às operações e à fraude

12.1. O requerente deve apresentar uma descrição dos princípios aplicados e das definições adotadas para a recolha dos dados estatísticos relativos ao desempenho, às operações e à fraude, que deve incluir as informações seguintes:

• a) Tipo de dados dos clientes que são recolhidos, tipo de serviço de pagamentos, canal, instrumento, jurisdições e divisas;
• b) O âmbito de aplicação da recolha, em termos das atividades e das entidades envolvidas, incluindo sucursais e agentes;
• c) O meio de recolha;
• d) O objetivo da recolha;
• e) A frequência da recolha;
• f) Documentos de apoio, tal como um manual, que descrevam o modo de funcionamento do sistema.

Orientação 13: Documento relativo à política de segurança

13.1. O requerente deve apresentar um documento relativo à sua política de segurança que contenha as informações seguintes:

• a) Uma avaliação pormenorizada do(s) serviço(s) de pagamento que o requerente pretende prestar, a qual deve incluir os riscos de fraude e as medidas de controlo da segurança e de redução dos riscos tomadas para proteger devidamente os utilizadores dos serviços de pagamento contra os riscos identificados;
• b) Uma descrição dos sistemas informáticos, que deve incluir:
• i. A arquitetura dos sistemas e os seus elementos de rede;
• ii. Os sistemas informáticos que apoiam as atividades profissionais prestadas, tais como o sítio Web do requerente, o sistema de pagamento, o sistema de gestão de riscos e fraudes e o sistema de contas dos clientes;
• iii. Os sistemas informáticos utilizados para a organização e administração do requerente, tais como os sistemas de contabilidade, de informação jurídica, de gestão do pessoal, de gestão das relações com os clientes, servidores de correio eletrónico e servidores de ficheiros internos;
• iv. Informações sobre se esses sistemas já são utilizados pelo requerente ou pelo seu grupo e a data estimada de implementação, se aplicável;
• c) O tipo de ligações autorizadas a partir do exterior, por exemplo, com parceiros, prestadores de serviços, entidades do grupo e funcionários que trabalham remotamente, incluindo a fundamentação dessas ligações;
• d) Para cada uma das ligações enumeradas no ponto c), os mecanismos e as medidas de segurança lógica adotados, com a especificação do controlo que o requerente terá sobre tal acesso, bem como a natureza e a frequência de cada controlo, tais como técnico versus organizativo, preventivo versus de deteção, e verificação em tempo real versus análises periódicas, tais como a utilização de um domínio Active Directory separado do grupo, a abertura/o encerramento de linhas de comunicação, a configuração dos equipamentos de segurança, a criação de chaves ou de certificados de autenticação de clientes, a deteção de intrusões, sistemas antivírus e registos;
• e) Os mecanismos e as medidas de segurança lógica que regem o acesso interno aos sistemas informáticos, que devem incluir:
• i. A natureza técnica e organizativa e a frequência de cada medida, por exemplo, se é preventiva ou de deteção e se é ou não executada em tempo real;
• ii. A forma como é solucionada a questão da separação do ambiente de cliente quando os recursos informáticos do requerente são partilhados;
• f) Os mecanismos e as medidas de segurança física das instalações e do centro de dados do requerente, tais como controlos de acesso e segurança ambiental;
• g) A segurança dos processos de pagamento, que deve incluir:
• i. O procedimento de autenticação de clientes utilizado quer para o acesso de consulta quer para o acesso de execução de operações, bem como para todos os instrumentos de pagamento subjacentes;
• ii. Uma explicação do modo como são asseguradas a entrega correta ao utilizador legítimo dos serviços de pagamento e a integridade dos fatores de autenticação, como códigos de hardware e aplicações para dispositivos móveis, tanto no momento da subscrição inicial como no da renovação;
• iii. Uma descrição dos sistemas e procedimentos implementados pelo requerente com vista à análise das operações e à identificação de operações suspeitas ou invulgares;
• h) Uma avaliação pormenorizada dos riscos, no que respeita aos serviços de pagamento do requerente, incluindo o risco de fraude, com uma ligação para as medidas de controlo e de redução dos riscos explicadas no processo de pedido, demonstrando que os riscos são controlados;
• i) Uma lista dos principais procedimentos escritos relativos aos sistemas informáticos do requerente ou, no caso de procedimentos que ainda não tenham sido formalizados, uma data estimada para a sua conclusão.

Orientação 14: Mecanismos de controlo interno para dar cumprimento às obrigações em matéria de luta contra o branqueamento de capitais e o financiamento do terrorismo

14.1. A descrição dos mecanismos de controlo interno estabelecidos pelo requerente para dar cumprimento a essas obrigações, se aplicável, deve conter as informações seguintes:

• a) A avaliação do cliente, no que respeita aos riscos de branqueamento de capitais e de financiamento do terrorismo associados à sua atividade, incluindo os riscos associados à sua base de clientes, aos produtos e serviços prestados, aos canais de distribuição utilizados e às áreas geográficas de operação;
• b) As medidas que o requerente adotou ou irá adotar para reduzir os riscos e cumprir as obrigações aplicáveis em matéria de luta contra o branqueamento de capitais e o financiamento do terrorismo, incluindo o processo de avaliação dos riscos utilizado pelo

requisitos de diligência quanto à clientela e as políticas e os procedimentos adotados para detetar e notificar atividades ou operações suspeitas;

• c) Os sistemas e os controlos que o requerente adotou ou irá adotar para assegurar que as suas sucursais e os seus agentes dão cumprimento aos requisitos aplicáveis em matéria de luta contra o branqueamento de capitais e o financiamento do terrorismo, incluindo nos casos em que a sucursal ou o agente esteja localizado noutro Estado-Membro;
• d) As medidas que o requerente adotou ou irá adotar para assegurar que os funcionários e os agentes têm formação adequada em matéria de luta contra o branqueamento de capitais e o financiamento do terrorismo;
• e) A identidade da pessoa responsável por garantir que o requerente dá cumprimento às obrigações em matéria de luta contra o branqueamento de capitais e o financiamento do terrorismo e provas de que os seus conhecimentos neste domínio são suficientes para poderem desempenhar eficazmente esta função;
• f) Os sistemas e os controlos que o requerente adotou ou irá adotar para garantir que os seus procedimentos e políticas em matéria de luta contra o branqueamento de capitais e o financiamento do terrorismo permanecem atualizados, eficazes e relevantes;
• g) Os sistemas e os controlos que o requerente adotou ou irá adotar para garantir que os agentes não o expõem a um risco acrescido de branqueamento de capitais e de financiamento do terrorismo;
• h) O manual sobre a luta contra o branqueamento de capitais e o financiamento do terrorismo para o pessoal do requerente.

Orientação 15: Identidade e avaliação da idoneidade das pessoas com participações qualificadas no requerente

15.1 Para efeitos da identidade e da prova de idoneidade das pessoas com participações qualificadas na instituição de pagamento do requerente, sem prejuízo da avaliação em conformidade com os critérios, se relevantes, introduzidos pela Diretiva 2007/44/CE e especificados nas orientações conjuntas relativas à avaliação prudencial das aquisições de participações qualificadas (JC/GL/2016/01), o requerente deve apresentar as informações seguintes:

• a) Descrição do grupo a que o requerente pertence e uma indicação da empresa-mãe, se aplicável;
• b) Organograma da estrutura societária do requerente, incluindo:
• i) O nome e a percentagem da participação (no capital e/ou nos direitos de voto) de cada participante que detém ou irá deter uma participação direta no capital social do requerente, identificando todas os participantes cuja participação é considerada qualificada e a razão dessas qualificações;
• ii) O nome e a percentagem da participação (no capital e/ou nos direitos de voto) de cada participante que detém ou irá deter uma participação indireta no capital social do requerente, identificando todas os participantes cuja participação indireta é considerada qualificada e a razão dessas qualificações;
• c) Identificação de todas as pessoas e outras entidades que detêm ou, no caso de autorização, irão deter participações qualificadas no capital social do requerente, com a indicação, para cada pessoa ou entidade:
• i. Do número e tipo de participações subscritas ou a subscrever;
• ii. Do valor nominal dessas participações.

15.2 Sempre que um participante que detenha ou, no caso de autorização, venha a deter uma participação qualificada no capital do requerente seja uma pessoa singular, o pedido deve conter todas as informações seguintes relativas à identidade e idoneidade dessa pessoa:

• a) Nome completo, a data e o local de nascimento, a nacionalidade (atual e anterior), o número de identificação (se disponível) ou o número de passaporte, o endereço e uma cópia de um documento de identidade oficial;
• b) Curriculum vitae pormenorizado, indicando a educação e formação, a experiência profissional anterior e quaisquer atividades profissionais ou outras funções atualmente exercidas;

seguintes relativas à pessoa:

• i. Sem prejuízo dos requisitos da legislação nacional em matéria de divulgação de condenações executadas, qualquer condenação penal ou processos penais nos quais tenha sido deduzida acusação contra a pessoa e não tenham sido impugnados;
• ii. Quaisquer decisões cíveis ou administrativas contra a pessoa em matérias que sejam relevantes para o processo de avaliação ou de autorização, bem como quaisquer medidas ou sanções administrativas impostas em consequência de violação de disposições legislativas ou regulamentares (incluindo a inibição do exercício de funções como membro do conselho de administração), que não tenham sido impugnadas e das quais não exista qualquer recurso pendente ou não sejam passíveis de recurso;
• iii. Quaisquer processos de falência, insolvência ou similares;
• iv. Quaisquer investigações criminais pendentes;
• v. Quaisquer inquéritos cíveis ou administrativos, processos executórios, sanções ou outras decisões executórias contra a pessoa relativas a matérias suscetíveis de serem consideradas relevantes para a autorização para que uma instituição de pagamento inicie a atividade ou para a gestão sólida e prudente de uma instituição de pagamento;

documento equivalente que comprove que a pessoa em causa não foi objeto de qualquer dos procedimentos referidos nas subalíneas i) a iv);

• vii. Qualquer recusa de registo, autorização, filiação ou licença para exercer um ramo de negócio, atividade ou profissão;
• viii. Qualquer retirada, revogação ou cessação de um registo, autorização, filiação ou licença para exercer um ramo de negócio, atividade ou profissão;
• ix. Qualquer exclusão por uma autoridade ou entidade do setor público no setor dos serviços financeiros ou por uma organização ou associação profissional;
• x. Qualquer função de responsabilidade numa entidade objeto de qualquer condenação ou processo penal, inquéritos, sanções ou outras decisões de aplicação do foro administrativo por conduta indevida, nomeadamente fraude, desonestidade, corrupção, branqueamento de capitais, financiamento do terrorismo ou outro crime financeiro, ou falha na aplicação de políticas e procedimentos adequados para impedir tais acontecimentos, verificados à data da ocorrência da alegada conduta, juntamente com informações sobre esses acontecimentos e as pessoas que possam estar envolvidas;
• xi. Qualquer despedimento de um emprego ou retirada de uma relação de confiança, fiduciária (que não seja resultante da cessação da relação em causa com o decorrer do tempo) ou similar;
• d) Uma lista das empresas que a pessoa dirige ou controla e das quais o requerente tenha conhecimento após averiguação devida e cuidadosa, a percentagem de controlo direto

dissolvidas, etc.), e uma descrição dos processos de insolvência ou similares;

• e) Caso já tenha sido realizada uma avaliação da reputação da pessoa por uma autoridade competente no setor dos serviços financeiros, a identidade dessa autoridade e o resultado da avaliação;
• f) A posição financeira atual da pessoa, nomeadamente dados sobre fontes de rendimentos, ativos e passivos, penhores de títulos e garantias, concedidos ou recebidos;
• g) Uma descrição de quaisquer ligações a pessoas politicamente expostas, na aceção do
• n. o 9 do artigo 3. o da Diretiva (UE) 2015/849² .

15.3 Sempre que uma pessoa ou entidade detenha ou, no caso de uma autorização, venha a deter uma participação qualificada no capital social do requerente (incluindo entidades que não sejam uma pessoa coletiva e que detenham ou venham a deter a participação no seu próprio nome), o pedido deve conter as informações seguintes relativas à identidade e à idoneidade dessa pessoa coletiva ou entidade:

• a) Nome;
• b) Se a pessoa coletiva ou entidade estiver registada num registo central, registo comercial, registo de empresas ou registo similar que tenha os mesmos efeitos dos mencionados anteriormente, uma cópia do certificado de inscrição, se possível, ou um certificado de registo;
• c) O endereço da sua sede e do estabelecimento principal;
• d) Informações de contacto;
• e) Documentos societários ou, se a pessoa ou a entidade estiver registada noutro Estado-Membro, um resumo explicativo das principais especificidades jurídicas da forma ou da entidade jurídica;
• f) Indicação se a pessoa coletiva ou entidade já foi ou é regulamentada por uma autoridade competente no setor dos serviços financeiros ou por outro organismo governamental;
• g) Um certificado oficial ou outro documento equivalente, emitido pela autoridade competente pertinente, que comprove as informações estabelecidas nas alíneas a), b), c), d) e e), quando possa ser obtido;
• h) As informações referidas nas alíneas c), d), e), f) e g) do ponto 2 da Orientação n. o 15 no que respeita à pessoa coletiva ou entidade;
• i) Uma lista com informação detalhada das pessoas que assegurem a direção efetiva da atividade da pessoa coletiva ou entidade, incluindo o nome completo, a data e o local de nascimento, o endereço e, se disponível, o número de identificação nacional, bem como um curriculum vitae pormenorizado (indicando a educação e formação relevantes, a

atualmente), juntamente com as informações referidas nas alíneas c) e d) do ponto 2 da Orientação n. o 15 no que respeita a cada uma dessas pessoas;

• j) A estrutura acionista da pessoa coletiva, incluindo, pelo menos, o nome, a data e o local de nascimento, o endereço e, se disponível, o número de identificação pessoal ou o número de registo, bem como a percentagem de capital e os direitos de voto, direta ou indireta, dos acionistas e beneficiários efetivos, tal como definido no n. o 6 do artigo 3. o da Diretiva (UE) 2015/849;
• k) Uma descrição do grupo financeiro regulamentado do qual a instituição faz parte, ou pode vir a fazer parte, com a indicação da empresa-mãe e das instituições de crédito, seguradoras e de segurança pertencentes ao grupo, o nome das respetivas autoridades competentes (numa base individual ou consolidada), e
• l) Demonstrações financeiras anuais, a nível individual e, se aplicável, a nível consolidado ou subconsolidado no grupo, relativas aos três últimos anos, se a pessoa coletiva ou entidade jurídica tiver estado em atividade durante esse período (ou, se o período for inferior, o período em que a pessoa coletiva ou entidade jurídica esteve em atividade e para o qual foram elaboradas demonstrações financeiras), aprovadas pelo revisor oficial de contas ou pela sociedade de revisores oficiais de contas, na aceção da Diretiva 2006/43/CE³ , se aplicável, incluindo cada um dos elementos seguintes:
• i. O balanço;
• ii. As contas de ganhos e perdas ou declaração de resultados;
• iii. Os relatórios anuais e anexos financeiros e quaisquer outros documentos inscritos no registo ou autoridade competente pertinente da pessoa coletiva;
• m) Se a pessoa coletiva não tiver estado em atividade durante um período de tempo suficiente para que lhe seja exigida a elaboração de demonstrações financeiras para os três exercícios financeiros imediatamente anteriores à data do pedido, este deve indicar as demonstrações financeiras existentes (se existirem);
• n) Se a pessoa coletiva ou entidade jurídica tiver a sua sede social num país terceiro, informações gerais sobre o regime regulamentar desse país terceiro aplicável à pessoa coletiva ou entidade jurídica, incluindo informações sobre a coerência do regime desse país terceiro com as Recomendações do Grupo de Ação Financeira Internacional, no que respeita à luta contra o branqueamento de capitais e o financiamento do terrorismo;
• o) No caso de entidades que não tenham personalidade jurídica, por exemplo, um organismo de investimento coletivo, um fundo soberano ou um fundo fiduciário, o pedido deve conter as informações seguintes:
• i. A identidade das pessoas que gerem ativos e das pessoas que são beneficiárias ou subscritoras;
• ii. Uma cópia do documento que cria e governa a entidade, incluindo a política de investimento e quaisquer restrições de investimento aplicáveis à entidade. 15.4. O pedido deve conter todas as informações seguintes para cada pessoa singular ou coletiva ou entidade jurídica que tenha ou, no caso de uma autorização, que venha a ter, uma participação qualificada no capital do requerente:
• a) Dados sobre os motivos financeiros ou comerciais dessa pessoa ou entidade para deter essa participação, bem como sobre a estratégia da entidade quanto à participação,

participação e qualquer intenção de reforçar, reduzir ou manter o nível da participação num futuro previsível;

• b) Dados sobre as intenções da pessoa ou da entidade, no que respeita ao requerente, e sobre a influência que a pessoa ou a entidade pretende exercer sobre o requerente, nomeadamente no que respeita à política de dividendos, ao desenvolvimento estratégico e à afetação de recursos do requerente, se pretende ou não atuar na condição de acionista minoritário e os motivos dessa intenção;
• c) Informações sobre a disponibilidade da pessoa ou da entidade para apoiar o requerente com fundos próprios suplementares, caso se afigurem necessários para o desenvolvimento das suas atividades ou na eventualidade de dificuldades financeiras;
• d) O conteúdo de quaisquer acordos celebrados entre o acionista ou membro com outros acionistas ou membros, no que respeita ao requerente;
• e) Uma análise do impacto que a participação qualificada poderá ter, nomeadamente em resultado das estreitas ligações da pessoa com o requerente, sobre a capacidade deste para fornecer informações atempadas e precisas às autoridades competentes;
• f) A identidade de cada um dos membros do órgão de gestão ou da direção de topo que serão responsáveis pela gestão da atividade do requerente e que serão nomeados por, ou na sequência da nomeação de, tais acionistas ou membros, juntamente com as informações estabelecidas na Orientação n. o 16 que ainda não tenham sido prestadas.

15.5. O pedido deve conter uma descrição pormenorizada das fontes específicas de financiamento da participação de cada pessoa ou entidade que detenha uma participação qualificada no capital do requerente, que deve incluir:

• a) Informação detalhada sobre a utilização de recursos financeiros próprios, incluindo a sua disponibilidade e origem (de modo a assegurar que a autoridade competente considere que a atividade que originou os fundos é legítima);
• b) Informação detalhada sobre o acesso a mercados financeiros, incluindo informação sobre instrumentos financeiros a serem emitidos;

mutuantes e dados sobre as condições aplicáveis, tais como prazos, termos, penhores de títulos e garantias, bem como informações sobre a fonte de rendimento a utilizar para proceder ao reembolso desses empréstimos; se o mutuante não for uma instituição de

emprestados;

• d) Informação sobre quaisquer acordos financeiros com outros acionistas ou sócios do requerente.

Orientação 16: Identidade e avaliação da idoneidade dos diretores e das pessoas responsáveis pela gestão da instituição de pagamento

16.1. Para efeitos da identidade e avaliação da idoneidade dos diretores e das pessoas responsáveis pela gestão da instituição de pagamento, o requerente deve fornecer as informações seguintes:

• a) Informações pessoais, incluindo:
• i. O nome completo, o sexo, o local e a data de nascimento, o endereço, a nacionalidade e o número de identificação pessoal ou cópia do bilhete de identidade ou equivalente;
• ii. Descrição da função para a qual a avaliação é solicitada, independentemente de a função no órgão de gestão ser executiva ou não executiva, que deverá incluir os elementos seguintes:

• b) Se aplicável, informação sobre a avaliação da idoneidade realizada pelo requerente, incluindo detalhes do resultado de qualquer avaliação da idoneidade da pessoa realizada pela instituição, tais como atas do conselho de administração, relatórios de avaliação da idoneidade ou outros documentos;
• c) Elementos comprovativos da qualificação profissional, competência profissional e experiência, que devem incluir um curriculum vitae com informação sobre educação e a experiência profissional, incluindo as qualificações académicas, formações relevantes, o nome e a natureza de todas as organizações com que a pessoa trabalha ou trabalhou, e a natureza e a duração das funções desempenhadas, com particular destaque para as atividades exercidas no âmbito do cargo pretendido;
• d) Elementos comprovativos da idoneidade, que devem incluir:
• i. Registo criminal e informação relevante sobre investigações e ações penais, processos cíveis e administrativos relevantes e medidas disciplinares, incluindo a inibição do exercício de funções como membro do conselho de administração, processos de falência, insolvência ou similares, nomeadamente através de um certificado oficial ou de qualquer fonte de informação objetivamente fidedigna, no que respeita à inexistência de qualquer condenação, investigação e ação penal, tais como investigações de terceiros e depoimentos efetuados por um advogado ou um notário estabelecido na União Europeia;
• ii. Declaração da (in)existência de ações penais pendentes ou do envolvimento da pessoa, ou de qualquer organização por si gerida, na qualidade de devedor em processos de insolvência ou em processos de cariz similar;
• iii. Informações relativas a:

Orientação 17: Identidade dos revisores oficiais de contas e das sociedades de revisores oficiais de contas

A identidade dos revisores oficiais de contas e das sociedades de revisores oficiais de contas, na aceção da Diretiva 2006/43/CE, que o requerente deve fornecer deve conter os nomes, os endereços e as informações de contacto dos revisores.

Orientação 18: Seguro de responsabilidade civil profissional ou garantia equivalente aplicável aos serviços de iniciação do pagamento e aos serviços de informação sobre contas

Como comprovativo da existência do seguro de responsabilidade civil profissional ou garantia equivalente conforme com as orientações da Autoridade Bancária Europeia sobre os critérios de fixação do montante mínimo do seguro de responsabilidade profissional ou de outra garantia equiparável (EBA/GL/2017/08) e com as disposições do n. os 2 e 3 do artigo 5. o da DSP2, o requerente da prestação de serviços de iniciação do pagamento ou de serviços de informação sobre contas deve fornecer as informações seguintes:

• a) Um contrato de seguro ou outro documento equivalente que confirme a existência de um seguro de responsabilidade civil profissional ou garantia equivalente, com um montante de cobertura que seja conforme com as orientações da Autoridade Bancária Europeia referidas, mostrando a cobertura dos passivos relevantes;
• b) Demonstração da forma como o requerente calculou o montante mínimo em conformidade com as orientações da Autoridade Bancária Europeia referidas, incluindo todos os indicadores utilizados na fórmula.

² Diretiva (UE) 2015/849 do Parlamento Europeu e do Conselho, de 20 de maio de 2015, relativa à prevenção da utilização do sistema financeiro para efeitos de branqueamento de capitais ou de financiamento do terrorismo (JO L 141 de 5.6.2015, p. 73).

³ Diretiva 2006/43/CE do Parlamento Europeu e do Conselho, de 17 de maio de 2006, relativa à revisão legal das contas anuais e consolidadas, que altera as Diretivas 78/660/CEE e 83/349/CEE do Conselho e revoga a Diretiva 84/253/CEE do Conselho (JO L 157, de 9.6.2006, p. 87-107).

Orientação 1: Princípios gerais

1.1 Este conjunto de orientações destina-se aos requerentes do registo como prestadores de serviços de informação sobre contas. Destina-se a requerentes que pretendam prestar exclusivamente serviços de informação sobre contas. Caso o requerente pretenda prestar serviços adicionais aos serviços de informação sobre contas, deve apresentar um pedido de autorização e consultar as orientações estabelecidas na secção 4.1, relativas às instituições de pagamento.

1.2 As informações prestadas pelos requerentes devem ser verdadeiras, completas, exatas e

orientações que lhes são aplicáveis. O nível de pormenor exigido para a conformidade deve ser proporcional à dimensão e à organização interna do requerente, bem como à natureza, ao âmbito de aplicação, à complexidade e aos riscos efetivos do(s) serviço(s) específico(s) que o requerente pretende prestar. Em qualquer dos casos, de acordo com a Diretiva (UE) 2015/2366, os diretores e as pessoas responsáveis pela gestão da instituição de pagamento são idóneos e possuem os conhecimentos e a experiência adequados para executar serviços de pagamento, independentemente da dimensão interna da instituição, da sua organização interna e da natureza, do âmbito de aplicação e da complexidade das suas atividades e dos deveres e responsabilidades da função em causa.

1.3 Ao apresentar as informações exigidas, o requerente deve evitar referências a secções específicas de procedimentos/documentos internos. Pelo contrário, deve extrair as secções relevantes e fornecê-las à autoridade competente.

1.4 Caso as autoridades competentes solicitem esclarecimentos sobre as informações apresentadas, o requerente deve prestar esses esclarecimentos, sem demora.

1.5 Para efeitos de registo como prestadores de serviços de informação sobre conta, todos os dados solicitados ao abrigo das presentes orientações são necessários para a avaliação do pedido e serão tratados pela autoridade competente em conformidade com as obrigações de sigilo profissional estabelecidas na DSP2, sem prejuízo do direito da União e dos requisitos e procedimentos nacionais aplicáveis ao exercício dos direitos de acesso, retificação, cancelamento ou oposição.

Orientação 2: Dados de identificação

2.1 Se o requerente for uma pessoa singular, os dados de identificação a fornecer devem conter as informações seguintes:

• a) O nome, o endereço, a nacionalidade e a data e o local de nascimento;
• b) Uma cópia do bilhete de identidade ou de um documento de identificação equivalente;
• c) Curriculum vitae atualizado;
• d) Uma verificação do registo criminal com menos de três meses;
• e) O(s) nome(s) da(s) pessoa(s) encarregada(s) do processo de pedido e do procedimento de autorização, bem como as respetivas informações de contacto.

2.2 Se o requerente for uma pessoa coletiva, os dados de identificação a fornecer devem conter as informações seguintes:

• a) Firma ou denominação social e, caso exista, outra denominação por que seja conhecida;
• b) Indicação sobre se o requerente já está constituído ou se encontra em fase de constituição;
• c) Número de pessoa coletiva do requerente, se aplicável;
• d) Contrato de sociedade e/ou os documentos de constituição que comprovem o estatuto jurídico do requerente;
• e) Endereço da sede do requerente;
• f) Endereço eletrónico e o sítio Web do requerente, se disponível;
• g) O(s) nome(s) da(s) pessoa(s) responsável(eis) pelo pedido e procedimento de autorização, bem como as respetivas informações de contacto;
• h) Indicação sobre se o requerente já foi, ou está a ser, regulado por uma autoridade competente no setor de serviços financeiros;
• i) Quaisquer associações comerciais no âmbito da prestação de serviços de pagamento a que o requerente pretenda aderir, se aplicável;
• j) Certidão do registo comercial ou, se aplicável, certificado de admissibilidade de firma ou denominação social que certifique que a denominação utilizada pela empresa está disponível;
• k) Comprovativo do pagamento de quaisquer taxas ou do depósito de fundos associados à apresentação de um pedido de registo como prestador de serviços de informação sobre contas, se aplicável no âmbito do direito nacional.

Orientação 3: Programa de atividades

3.1. O programa de atividades a apresentar pelo requerente deve conter as informações seguintes:

• a) Descrição do serviço de informação sobre contas que irá ser prestado, incluindo uma explicação da forma como o requerente determinou que a atividade se enquadra na definição de serviços de informação sobre contas, na aceção do n.º 16 do artigo 4. o da Diretiva (UE) 2015/2366 (DSP2);
• b) Declaração do requerente de que não entrará, em nenhum momento, na posse dos fundos;
• c) Descrição da prestação do serviços de informação sobre contas, incluindo:
• i. Minutas de contratos celebrados com todas as parte envolvidas, se aplicável;
• ii. Termos e condições da prestação dos serviços de informação sobre contas;
• iii. Prazos de processamento;
• d) Número previsto de instalações diferentes a partir das quais o requerente pretende prestar os serviços, se aplicável;
• e) Descrição de quaisquer serviços complementares aos serviços de informação sobre contas, se aplicável;
• f) Declaração sobre se o requerente pretende ou não prestar serviços de informação sobre contas noutro Estado-Membro da União Europeia ou noutro país, após o registo;
• g) Indicação sobre se o requerente pretende exercer nos próximos três anos, ou se já exerce, outras atividades profissionais que não os serviços de informação sobre contas a que se refere o artigo 18. o da Diretiva (UE) 2015/2366, incluindo uma descrição do tipo e do volume esperado das atividades;
• h) Informações especificadas nas orientações da EBA sobre os critérios de fixação do montante monetário mínimo do seguro de responsabilidade civil profissional ou de outra garantia equivalente, nos termos do n. o 4 do artigo 5. o da Diretiva (UE) 2015/2366 (EBA/GL/2017/08), nos casos em que o requerente pretenda prestar exclusivamente o serviço a que se refere o ponto 8 (serviços de informação sobre contas).

Orientação 4: Plano de negócios

4.1. O plano de negócio a apresentar pelo requerente deve conter:

• a) Um plano de comercialização constituído por:
• i. Uma análise da posição concorrencial da empresa;

segmento do mercado de informação sobre contas em causa, dos materiais de comercialização e dos canais de distribuição;

• b) As contas anuais certificadas relativas aos três anos anteriores, se disponíveis, ou um resumo da situação financeira para os requerentes que ainda não produziram contas anuais;
• c) Contas previsionais para os três primeiros exercícios, que demonstre que o requerente está em condições de utilizar sistemas, recursos e procedimentos adequados e proporcionados que lhe permitam um bom funcionamento. A previsão deve incluir:
• i. Demonstração de resultados e a previsão do balanço, incluindo cenários-alvo e cenários de stress , bem como os respetivos pressupostos, tais como o número de clientes, preços e o aumento esperado do limiar de rentabilidade;
• ii. Razões das principais rubricas de receitas e despesas, das dívidas financeiras e dos capitais;
• iii. Diagrama e descrição pormenorizada dos fluxos de caixa estimados para os próximos três anos.

Orientação 5: Estrutura organizativa

5.1. Se o requerente for uma pessoa singular, a descrição da estrutura organizativa da empresa do requerente deve conter as informações seguintes:

• a) Previsão global do número de efetivos para os próximos três anos;
• b) Descrição dos contratos de subcontratação das funções operacionais relevantes, incluindo:
• i. A identidade e a localização geográfica do prestador de serviços;
• ii. A identidade das pessoas que, no prestador de serviços de informação sobre contas, são responsáveis por cada uma das atividades subcontratadas;
• iii. Descrição detalhada das atividades subcontratadas e das suas principais características;
• c) Cópia das minutas dos contratos de subcontratação;
• d) Se aplicável, descrição da forma prevista para utilizar as suas sucursais e os seus agentes, incluindo:
• i. Discriminação dos controlos in loco e extra loco que o requerente pretende realizar sobre as suas sucursais e os seus agentes;
• ii. Sistemas informáticos, os processos e a infraestrutura utilizados pelos agentes do requerente para exercer atividades em nome do requerente;
• iii. Em caso de contratação de agentes, a política de seleção, os procedimentos de controlo e a formação dos agentes e, se disponível, a minuta do contrato;
• e) Lista das pessoas singulares ou coletivas que têm ligações estreitas com o prestador de serviços de informação sobre contas requerente, indicando as suas identidades e a natureza dessas ligações.

5.2. Se o requerente for uma pessoa coletiva, a descrição da estrutura organizativa da sua empresa deve conter as informações seguintes:

• a) Organograma pormenorizado, mostrando cada divisão, departamento ou separação estrutural similar, incluindo o nome da ou das pessoas responsáveis, nomeadamente das pessoas responsáveis pelas funções de controlo interno. O organograma deve ser acompanhado de uma descrição das funções e responsabilidades de cada divisão, departamento ou separação estrutural similar;
• b) Previsão global do número de efetivos para os próximos três anos;
• c) Descrição das minutas dos contratos de subcontratação operacionais relevantes, incluindo:
• i. Identidade e a localização geográfica do prestador de serviços;
• ii. Identidade das pessoas que, no prestador de serviços de informação sobre contas, são responsáveis por cada uma das atividades subcontratadas;
• iii. Descrição detalhada das atividades subcontratadas e das suas principais características;
• d) Cópia das minutas dos contratos de subcontratação previstos;
• e) Se aplicável, uma descrição da forma prevista para utilizar as suas sucursais e os seus agentes, incluindo:
• i. Discriminação dos controlos in loco e extra loco que o requerente pretende realizar sobre as suas sucursais e os seus agentes;
• ii. Sistemas informáticos, os processos e as infraestruturas utilizados pelos agentes do requerente para exercer atividades em nome do requerente;
• iii. Em caso de contratação de agentes, a política de seleção, os procedimentos de controlo e a formação dos agentes e, se disponível, a minutado contrato;
• f) Lista das pessoas singulares ou coletivas que têm ligações estreitas com o requerente, indicando as suas identidades e a natureza dessas ligações.

Orientação 6: Sistemas de governo e mecanismos de controlo interno

6.1. O requerente deve apresentar uma descrição do sistema de governo societário e dos mecanismos de controlo interno, constituída por:

• a) Descrição dos riscos identificados pelo requerente, incluindo o tipo de riscos e os procedimentos que o requerente implementará para avaliar e evitar esses riscos;
• b) Os diferentes procedimentos previstos para realizar controlos periódicos e permanentes, incluindo a frequência e os recursos humanos afetados;
• c) Procedimentos contabilísticos que o requerente utilizará para registar e comunicar as suas informações financeiras;
• d) Identidade da ou das pessoas responsáveis pelas funções de controlo interno, nomeadamente das funções de gestão de risco, compliance e auditoria interna, bem como respetivo(s) curriculum(a) vitae atualizado(s);
• e) Identidade dos auditores que não sejam revisores oficiais de contas na aceção da Diretiva 2006/43/CE;
• f) Composição do órgão de gestão e, se aplicável, de qualquer outro órgão ou comité de supervisão;
• g) Descrição da forma como prestação de serviços por terceiros é verificada e controlada a fim de evitar comprometa qualidade dos controlos internos do requerente;
• h) Descrição da forma como os agentes e as sucursais são monitorizados e controlados no âmbito dos controlos internos do requerente;
• i) Descrição do governo do grupo se o requerente for uma filial de uma entidade regulamentada noutro Estado-Membro da União Europeia.

Orientação 7: Procedimento para a verificação, tratamento e acompanhamento de incidentes de segurança e de reclamações dos clientes relacionadas com incidentes

7.1. O requerente deve apresentar uma descrição do procedimento criado para verificar, tratar e acompanhar incidentes de segurança e reclamações dos clientes relacionadas com a segurança, que deve conter:

• a) Instrumentos e medidas organizativas para a prevenção de fraude;
• b) Informações sobre as pessoas e os órgãos responsáveis pela prestação de assistência aos clientes, em caso de fraude, questões técnicas e/ou gestão de reclamações;
• c) Canais de comunicação de informações, em caso de fraude;
• d) O ponto de contacto para os clientes, incluindo um nome e um endereço de correio eletrónico;
• e) Os procedimentos para a notificação de incidentes, incluindo a comunicação dessas

caráter severo às autoridades competentes nacionais nos termos do artigo 96. o da DSP2 e em conformidade com as orientações da Autoridade Bancária Europeia relativas à notificação de incidentes no âmbito do referido artigo.

• f) As ferramentas de verificação e os procedimentos e as medidas de acompanhamento criados para reduzir os riscos de segurança.

Orientação 8: Procedimento para a classificação, verificação, rastreamento e restrição do acesso a dados de pagamento sensíveis

8.1. O requerente deve apresentar uma descrição do procedimento criado para classificar, verificar, rastrear e restringir o acesso a dados de pagamento sensíveis, que deve incluir:

• a) Uma descrição do fluxo de dados classificados como dados de pagamento sensíveis no contexto do modelo de negócio do prestador de serviços de informação sobre contas;
• b) Os procedimentos criados para autorizar o acesso aos dados de pagamento sensíveis;
• c) Uma descrição da ferramenta de verificação;
• d) A política em matéria de direitos de acesso, com a discriminação do acesso a todos os sistemas e componentes relevantes da infraestrutura, incluindo bases de dados e infraestruturas de apoio;
• e) Uma descrição da forma como os dados recolhidos são classificados;
• f) A utilização interna e/ou externa prevista dos dados recolhidos, incluindo pelas contrapartes;
• g) O sistema informático e as medidas de segurança técnica que foram implementadas, incluindo encriptação e/ou criação de tokens ;
• h) A identificação das pessoas e dos órgãos e/ou comités com acesso aos dados de pagamento sensíveis;
• i) Uma explicação da forma como as infrações serão detetadas e sancionadas;
• j) Um programa de controlo interno anual, no que respeita à segurança dos sistemas informáticos.

Orientação 9: Planos de continuidade das atividades

9.1. O requerente deve apresentar uma descrição dos planos de continuidade das suas atividades, que deve incluir as informações seguintes:

• a) Uma análise do impacto sobre as atividades, incluindo os processos e os objetivos de recuperação das atividades, tais como os objetivos em matéria de prazo de recuperação, ponto de recuperação e ativos protegidos;
• b) A identificação da instalação de apoio e do acesso à infraestrutura de TI, bem como o software e os dados críticos para recuperação em caso de catástrofe ou de perturbação;
• c) Uma explicação da solução do requerente para a ocorrência de situações e perturbações significativas que afetem a continuidade, tais como a falha de sistemas críticos, a perda de dados essenciais, a inacessibilidade das instalações e a perda de pessoas fundamentais;
• d) A frequência com que o requerente pretende testar os planos de continuidade das atividades e de recuperação na sequência de catástrofes, incluindo a forma como serão registados os resultados dos testes.

Orientação 10: Documento relativo à política de segurança

10.1. O requerente deve apresentar um documento relativo à sua política de segurança que contenha as informações seguintes:

• a) Uma avaliação pormenorizada do(s) serviço(s) de pagamento que o requerente pretende prestar, a qual deve incluir os riscos de fraude e as medidas de controlo da segurança e de redução dos riscos tomadas para proteger devidamente os utilizadores dos serviços de pagamento contra os riscos identificados;
• b) Uma descrição dos sistemas informáticos, que deve incluir:
• i. A arquitetura dos sistemas e os seus elementos de rede;
• ii. Os sistemas informáticos que apoiam as atividades profissionais prestadas, tais como o sítio Web do requerente, o sistema de gestão de riscos e fraudes e o sistema de contas dos clientes;
• iii. Os sistemas informáticos utilizados para a organização e administração do prestador de serviços de informação sobre contas, tais como os sistemas de contabilidade, de informação jurídica, de gestão do pessoal, de gestão das relações com os clientes, servidores de correio eletrónico e servidores de ficheiros internos;
• iv. Informações sobre se esses sistemas já são utilizados pelo prestador de serviços de informação sobre contas ou pelo seu grupo e a data estimada de implementação, se aplicável;
• c) O tipo de ligações autorizadas a partir do exterior, por exemplo, com parceiros, prestadores de serviços, entidades do grupo e funcionários que trabalham remotamente, incluindo a fundamentação dessas ligações;
• d) Para cada uma das ligações enumeradas no ponto c), os mecanismos e as medidas de segurança lógica adotados, com a especificação do controlo que a instituição de pagamento terá sobre tal acesso, bem como a natureza e a frequência de cada controlo, tais como técnico versus organizativo, preventivo versus de deteção, e verificação em tempo real versus análises periódicas, tais como a utilização de um domínio Active Directory separado do grupo, a abertura/o encerramento de linhas de comunicação, a configuração dos equipamentos de segurança, a criação de chaves ou de certificados de autenticação de clientes, a deteção de intrusões, sistemas antivírus e registos;
• e) Os mecanismos e as medidas de segurança lógica que regem o acesso interno aos sistemas informáticos, que devem incluir:
• i. A natureza técnica e organizativa e a frequência de cada medida, por exemplo, se é preventiva ou de deteção e se é ou não executada em tempo real;
• ii. A forma como é solucionada a questão da separação do ambiente de cliente quando os recursos informáticos do requerente são partilhados;
• f) Os mecanismos e as medidas de segurança física das instalações e do centro de dados do requerente, tais como controlos de acesso e segurança ambiental;
• g) A segurança dos processos de pagamento, que deve incluir:
• i. O procedimento de autenticação de clientes utilizado quer para o acesso de consulta quer para o acesso de execução de operações;
• ii. Uma explicação do modo como são asseguradas a entrega correta ao utilizador legítimo dos serviços de pagamento e a integridade dos fatores de autenticação, como códigos de hardware e aplicações para dispositivos móveis, tanto no momento da subscrição inicial como no da renovação;
• iii. Uma descrição dos sistemas e procedimentos implementados pelo requerente com vista à análise das operações e à identificação de operações suspeitas ou invulgares;
• h) Uma avaliação pormenorizada dos riscos, no que respeita aos serviços de pagamento do requerente, incluindo o risco de fraude, com uma ligação para as medidas de controlo e de redução dos riscos explicadas no processo de pedido, demonstrando que os riscos são controlados;
• i) Uma lista dos principais procedimentos escritos relativos aos sistemas informáticos do requerente ou, no caso de procedimentos que ainda não tenham sido formalizados, uma data estimada para a sua conclusão.

Orientação 11: Identidade e avaliação da idoneidade dos diretores e das pessoas responsáveis pela gestão do prestador de serviços de informação sobre contas

11.1. Para efeitos da identidade e avaliação da idoneidade dos diretores e das pessoas responsáveis pela gestão do prestador de serviços de informação sobre contas, o requerente deve fornecer as informações seguintes:

• a) Dados pessoais, que devem incluir:
• i. O nome completo, o sexo, o local e a data de nascimento, o endereço, a nacionalidade e o número de identificação pessoal ou cópia do bilhete de identidade ou equivalente;
• ii. Descrição da função para a qual a avaliação é solicitada e se a função no órgão de gestão é executiva ou não executiva, que deverá incluir os elementos seguintes:

• b) Se aplicável, informação sobre a avaliação da idoneidade realizada pelo requerente, incluindo detalhes do resultado de qualquer avaliação da idoneidade da pessoa realizada pela instituição, tais como atas do conselho de administração, relatórios de avaliação da idoneidade ou outros documentos;
• c) Elementos comprovativos da qualificação profissional, competências e experiência, que devem incluir um curriculum vitae com informação sobre educação e a experiência profissional, incluindo as qualificações académicas, formações relevantes, o nome e a natureza de todas as organizações com que a pessoa trabalha ou trabalhou, e a natureza e a duração das funções desempenhadas, com particular destaque para as atividades exercidas no âmbito do cargo pretendido;
• d) Elementos comprovativos da idoneidade, que devem incluir:
• i. Registo criminal e informação relevante sobre investigações e ações penais, processos cíveis e administrativos relevantes e medidas disciplinares, incluindo a inibição do exercício de funções como membro do conselho de administração, processos de falência, insolvência ou similares, nomeadamente através de um certificado oficial ou de qualquer fonte de informação objetivamente fidedigna no que respeita à inexistência de qualquer condenação, investigação e ação penal, tais como investigações de terceiros e depoimentos efetuados por um advogado ou um notário estabelecido na União Europeia;
• ii. Declaração da (in)existência de ações penais pendentes ou do envolvimento da pessoa, ou de qualquer organização por si gerida, na qualidade de devedor em processos de insolvência ou em processos de cariz similar;
• iii. Informações relativas a:

Orientação 12: Seguro de responsabilidade civil profissional ou garantia equivalente

12.1. Como comprovativo do seguro de responsabilidade civil profissional ou garantia equivalente conforme com as Orientações da Autoridade Bancária Europeia relativas ao seguro de responsabilidade profissional (EBA/GL/2017/08) e com as disposições dos n. os 2 e 3 do artigo 5. o da DSP2, o requerente deve fornecer as informações seguintes:

• a) Um contrato de seguro ou outro documento equivalente que confirme a existência de um seguro de responsabilidade civil profissional ou garantia equivalente, com um montante de cobertura que seja conforme com as orientações da Autoridade Bancária Europeia referidas, mostrando a cobertura dos passivos relevantes;
• b) Demonstração da forma como o requerente calculou o montante mínimo em conformidade com as orientações da Autoridade Bancária Europeia referidas, incluindo todos os indicadores utilizados na fórmula.

Orientação 1: Princípios gerais

1.1 Este conjunto de orientações aplica-se aos requerentes de autorização como instituições de moeda eletrónica. Inclui os requerentes que pretendam prestar serviços de moeda eletrónica e, se aplicável, quaisquer serviços de pagamento referidos nos pontos 1 a 8 do anexo I da DSP2. Os requerentes que pretendam prestar exclusivamente os serviços de pagamento referidos nos pontos 1 a 7 do anexo I da DSP2, ou o serviço a que se refere o ponto 8 do mesmo anexo em combinação com outro(s) serviço(s) referido(s) nos pontos 1 a 7, sem a prestação de serviços de moeda eletrónica, devem consultar o conjunto de orientações específicas relativas às informações exigidas aos requerentes de autorização como instituições de pagamento estabelecidas na secção 4.1. Os requerentes que pretendam prestar exclusivamente o serviço de pagamento a que se refere o ponto 8 do anexo I, da DSP2, sem prestarem serviços de moeda eletrónica, devem consultar as orientações relativas às informações exigidas aos requerentes de registo para a prestação apenas do serviço a que se refere o ponto 8 do anexo I da DSP2, estabelecidas na secção 4.2.

1.2 As informações prestadas pelos requerentes devem ser verdadeiras, completas, exatas e

orientações que lhes são aplicáveis. O nível de pormenor deve ser proporcional à dimensão e à organização interna do requerente, bem como à natureza, ao âmbito de aplicação, à complexidade e aos riscos efetivos do(s) serviço(s) específico(s) que o requerente pretende prestar. Em qualquer dos casos, de acordo com a Diretiva (UE) 2015/2366, os diretores e as pessoas responsáveis pela gestão da instituição de moeda eletrónica são idóneos e possuem os conhecimentos e a experiência adequados para executar serviços de pagamento, independentemente da dimensão interna da instituição, da sua organização interna e da natureza, do âmbito e da complexidade das suas atividades e dos deveres e responsabilidades da função em causa.

1.3 Ao apresentar as informações exigidas, o requerente deve evitar referências a secções específicas de procedimentos/documentos internos. Pelo contrário, deve extrair as secções relevantes e fornecê-las à autoridade competente. 1.4 Caso as autoridades competentes solicitem esclarecimentos sobre as informações apresentadas, o requerente deve prestar esses esclarecimentos, sem demora.

1.5 Para efeitos de autorização como autorizações como instituições de moeda eletrónica, todos os dados solicitados ao abrigo das presentes orientações são necessários para a avaliação do pedido e serão tratados pela autoridade competente em conformidade com as obrigações de sigilo profissional estabelecidas na DSP2, sem prejuízo do direito da União e dos requisitos e procedimentos nacionais aplicáveis ao exercício dos direitos de acesso, retificação, cancelamento ou oposição.

Orientação 2: Dados de identificação

2.1 Os dados de identificação a fornecer pelo requerente devem conter as informações seguintes:

• a) Firma ou denominação social e, caso exista, outra denominação por que seja conhecida;
• b) Indicação sobre se o requerente já está constituído ou se encontra em fase de constituição;
• c) Número de pessoa coletiva do requerente, se aplicável;
• d) Contrato de sociedade e/ou os documentos de constituição que comprovem o estatuto jurídico do requerente;
• e) Endereço da sede e da sede estatutária do requerente;
• f) Endereço eletrónico e o sítio Web do requerente, se disponível;
• g) O(s) nome(s) da(s) pessoa(s) responsáveis(s) pelo pedido e procedimento de autorização, bem como as respetivas informações de contacto;
• h) Indicação sobre se o requerente já foi, ou está a ser, regulado por uma autoridade competente no setor de serviços financeiros;
• i) Quaisquer associações comerciais no âmbito da prestação de serviços de moeda eletrónica a que o requerente pretenda aderir, se aplicável;
• j) Certidão do registo comercial ou, se aplicável, certificado de admissibilidade de firma ou denominação social que certifique que a denominação utilizada pela empresa está disponível;
• k) Comprovativo do pagamento de quaisquer taxas ou do depósito de fundos associados à apresentação de um pedido de autorização como instituição de moeda eletrónica, se aplicável no âmbito do direito nacional. Orientação 3: Programa de atividades

3.1 O programa de atividades a apresentar pelo requerente deve conter as informações seguintes:

• a) Descrição dos serviços de moeda eletrónica que o requerente pretende prestar: emissão, reembolso, distribuição;
• b) Se for esse o caso, descrição detalhada do tipo de serviços de pagamento pretendido, incluindo uma explicação sobre a forma como o requerente enquadra as atividades e as operações que serão executadas numa das categorias legais de serviços de pagamento enumeradas no anexo I da DSP2, e uma indicação sobre se esses serviços de pagamento serão prestados juntamente com os serviços de moeda eletrónica ou se estarão associados à emissão de moeda eletrónica;
• c) Declaração sobre se o requerente entrará ou não, em qualquer momento, na posse dos fundos;
• d) Se aplicável, uma descrição da execução dos diferentes serviços de moeda eletrónica e dos diferentes serviços de pagamento, identificando todas as partes envolvidas para cada serviço de moeda eletrónica e para cada serviço de pagamento prestado:
• i. Diagrama do fluxo de fundos;
• ii. Sistemas de liquidação;
• iii. Minutas de contratos entre todas as partes envolvidas na prestação de serviços de pagamento, incluindo os que preveem sistemas de pagamento com cartões, quando aplicável;
• iv. Prazos de processamento;
• e) Cópia da minuta de contrato entre o emitente de moeda eletrónica e o respetivo portador e da minuta de contrato-quadro, na aceção do n.º 21 do artigo 4. o da DSP2, se
• o requerente pretender prestar serviços de pagamento juntamente com os serviços de moeda eletrónica;
• f) Número previsto de instalações diferentes a partir das quais o requerente pretende prestar os serviços, se aplicável;
• g) Descrição de quaisquer serviços auxiliares aos serviços de moeda eletrónica e, se aplicável, aos serviços de pagamento;
• h) Caso o requerente pretenda prestar serviços de pagamento juntamente com os serviços de moeda eletrónica, declaração sobre se o requerente pretende ou não conceder crédito e, em caso afirmativo, quais os limites;
• i) Declaração sobre se o requerente pretende ou não prestar serviços de moeda eletrónica e, se aplicável, serviços de pagamento noutros Estados-Membros ou em países terceiros após a concessão da autorização;
• j) Indicação sobre se o requerente pretende ou não exercer nos próximos três anos, ou se já exerce, outras atividades profissionais que não os serviços de moeda eletrónica e, se aplicável, serviços de pagamento, conforme referido no n.º 3 do artigo 11. o , da Diretiva (UE) 2015/2366, incluindo uma descrição do tipo e do volume esperado das atividades;
• k) As informações especificadas nas orientações da Autoridade Bancária Europeia sobre os critérios de fixação do montante monetário mínimo do seguro de responsabilidade civil profissional ou de outra garantia equivalente, nos termos do n. o 4 do artigo 5. o da Diretiva (UE) 2015/2366 (EBA/GL2017/08), nos casos em que o requerente pretenda prestar os serviços referidos nos pontos 7 e 8 (serviços de iniciação do pagamento) e serviços de informação sobre contas).

Orientação 4: Plano de negócios

4.1. O plano de negócios a apresentar pelo requerente deve conter:

• a) Plano estratégico constituído por:

eletrónica e, se aplicável, no segmento do mercado de pagamentos em causa;

• ii. Uma descrição dos utilizadores dos serviços de pagamento e dos portadores de moeda eletrónica, dos materiais publicitários e dos canais de distribuição;
• b) As contas anuais certificadas relativas aos três anos anteriores, se disponíveis, ou um resumo da situação financeira para as entidades que ainda não produziram contas anuais;
• c) Contas previsionais para os três primeiros exercícios, que demonstre que o requerente está em condições de utilizar sistemas, recursos e procedimentos adequados e proporcionados que lhe permitam um bom funcionamento. A previsão deve incluir:
• i. Uma demonstração de resultados e a previsão do balanço, incluindo cenários-alvo e cenários de esforço, bem como os respetivos pressupostos, tais como volume e valor das transações, número de clientes, preços, montante médio por transação, aumento esperado do limiar de rentabilidade;
• ii. Razões das principais rubricas de receitas e despesas, das dívidas financeiras e dos capitais;
• iii. Diagrama e descrição pormenorizada dos fluxos de caixa estimados para os próximos três anos;

composição do capital inicial, conforme estipulado nas alíneas a) e b) do artigo 57. o da Diretiva 2006/48/CE;

• e) Cálculo dos requisitos mínimos de fundos próprios e informações sobre os mesmos, em conformidade com o método D a que se refere o n.º 3 do artigo 5. o da Diretiva (UE) 2009/110 (a segunda Diretiva «Moeda Eletrónica» [DME2]), se a instituição de moeda eletrónica pretender prestar exclusivamente serviços de moeda eletrónica, ou o(s) método(s) referido(s) no artigo 9. o da Diretiva (UE) 2015/2366 (DSP2), conforme determinado pela autoridade competente, se o requerente pretender prestar serviços de pagamento juntamente com os serviços de moeda eletrónica, incluindo uma projeção anual da descrição pormenorizada dos fundos próprios para os três anos de acordo com
• o método utilizado e, se aplicável, uma projeção anual dos fundos próprios para os três anos de acordo com os outros métodos utilizados.

Orientação 5: Estrutura organizativa

5.1. O requerente deve apresentar uma descrição da estrutura organizativa da sua empresa, que deve incluir:

• a) Organograma pormenorizado, mostrando cada divisão, departamento ou separação estrutural similar, incluindo o nome da ou das pessoas responsáveis, nomeadamente das pessoas responsáveis pelas funções de controlo interno. O organograma deve ser acompanhado de uma descrição das funções e responsabilidades de cada divisão, departamento ou separação estrutural similar;
• b) Previsão global do número de efetivos para os próximos três anos;
• c) Descrição dos contratos de subcontratação das funções operacionais relevantes, incluindo:
• i. A identidade e a localização geográfica do prestador de serviços;
• ii. A identidade das pessoas que, na instituição de pagamento, são responsáveis por cada uma das atividades subcontratadas;
• iii. Uma descrição clara das atividades subcontratadas e das suas principais características;
• d) Cópia das minutas dos contratos de subcontratação previstos;
• e) Descrição da forma prevista para utilizar as suas sucursais, os seus agentes e os seus distribuidores, se aplicável, incluindo:
• i. Discriminação dos controlos in loco e extra loco que o requerente pretende realizar sobre as suas sucursais, os seus agentes e os seus distribuidores;
• ii. Sistemas informáticos, os processos e a infraestrutura utilizados pelos agentes e distribuidores do requerente para exercer atividades em nome do requerente;
• iii. Em caso de contratação de agentes e dos distribuidores, a política de seleção, os procedimentos de controlo e a formação dos agentes e dos distribuidores e, se disponível, a minuta do contrato com os agentes e os distribuidores;
• f) Indicação dos sistemas de pagamento nacionais e/ou internacionais a que o requerente irá aceder, se aplicável;
• g) Lista das pessoas singulares ou coletivas que têm ligações estreitas com o requerente, indicando as suas identidades e a natureza dessas ligações.

Orientação 6: Demonstração da existência do capital inicial

6.1. Para demonstrar a existência do capital inicial (350 000 euros), o requerente deve apresentar os seguintes documentos:

• a) No caso de entidades já constituídas, um extrato de conta auditado ou um registo público que certifique o montante do capital do requerente;
• b) No caso de entidades em fase de constituição, um extrato bancário emitido por um banco que certifique que os fundos estão depositados na conta bancária do requerente.

Orientação 7: Medidas de proteção dos fundos dos utilizadores de moeda eletrónica e/ou dos utilizadores de serviços de pagamento

7.1. Se o requerente assegurar a proteção dos fundos dos utilizadores de moeda eletrónica e/ou dos utilizadores de serviços de pagamento depositando-os numa conta separada numa instituição de crédito ou investindo-os em ativos seguros, líquidos e de baixo risco, a descrição das medidas de proteção dos fundos deve conter:

• a) Descrição da política de investimento seguida para assegurar que os ativos selecionados são líquidos, seguros e de baixo risco, se aplicável;
• b) Número de pessoas com acesso à conta segregada e as respetivas funções;
• c) Descrição do processo de administração e reconciliação com vista a assegurar que os fundos dos utilizadores de moeda eletrónica e, se aplicável, os fundos dos utilizadores de serviços de pagamento sejam segregados, no interesse dos utilizadores do serviço de

eletrónica, em especial em caso de liquidação da instituição;

• d) Cópia da minuta do contrato celebrado com a instituição de crédito;
• e) Declaração expressa emitida pela instituição de moeda eletrónica, da conformidade com
• o artigo 10. o da DSP2.

7.2. Se o requerente assegurar a proteção dos fundos dos utilizadores de moeda eletrónica e, se aplicável, os utilizadores de serviços de pagamento, através de cobertura por uma apólice de seguro ou garantia equivalente, prestada por uma companhia de seguros ou instituição de crédito, e exceto se o requerente pretender prestar exclusivamente serviços iniciais de pagamento, a descrição das medidas de proteção dos fundos deve conter o seguinte:

• a) Confirmação de que a apólice de seguro ou garantia equivalente prestada por uma companhia de seguros ou instituição de crédito é emitida por uma entidade que não pertença ao mesmo grupo de empresas do requerente;
• b) Detalhes do processo de reconciliação adotado para assegurar que a apólice de seguro ou garantia equivalente é suficiente para, em qualquer momento, dar cumprimento às obrigações de salvaguarda do requerente;
• c) Duração e a data da renovação da cobertura;
• d) Cópia do (da minuta do) contrato de seguro ou (da minuta) da garantia equivalente.

Orientação 8: Sistemas de governo e mecanismos de controlo interno

8.1. O requerente deve apresentar uma descrição do sistema de governo societário e dos mecanismos de controlo interno, constituída por:

• a) Descrição dos riscos identificados pelo requerente, incluindo o tipo de riscos e os procedimentos que o requerente implementará para avaliar e evitar esses riscos, no que respeita aos serviços de moeda eletrónica e, se aplicável, aos serviços de pagamento;
• b) Diferentes procedimentos para realizar controlos periódicos e permanentes, incluindo a frequência e os recursos humanos afetados;
• c) Procedimentos contabilísticos que o requerente utilizará para registar e comunicar as suas informações financeiras;
• d) Identidade da ou das pessoas responsáveis pelas funções de controlo interno, nomeadamente das funções de gestão de riscos, compliance e auditoria interna, bem como respetivo(s) curriculum(a) vitae atualizado(s);
• e) Identidade dos auditores que não sejam revisores oficiais de contas na aceção da Diretiva 2006/43/CE;
• f) Composição do órgão de gestão e, se aplicável, de qualquer outro órgão ou comité de supervisão;
• g) Descrição da forma como a prestação de serviços por terceiros é verificada e controlada a fim de evitar comprometa a qualidade dos controlos internos da instituição de moeda eletrónica;
• h) Descrição da forma como os agentes, as sucursais e os distribuidores são monitorizados e controlados no âmbito dos controlos internos do requerente;
• i) Descrição do governo do grupo, se o requerente for uma filial de uma entidade regulamentada noutro Estado-Membro da União Europeia.

Orientação 9: Procedimento para a verificação, tratamento e acompanhamento de incidentes de segurança e de reclamações dos clientes relacionadas com incidentes

9.1. O requerente deve apresentar uma descrição do procedimento criado para verificar, tratar e acompanhar incidentes de segurança e reclamações dos clientes relacionadas com a segurança, que deve conter:

• a) Instrumentos e medidas organizativas para a prevenção de fraude;
• b) Informações sobre as pessoas e os órgãos responsáveis pela prestação de assistência aos clientes, em caso de fraude, questões técnicas e/ou gestão de reclamações;
• c) Canais de comunicação de informações, em caso de fraude;
• d) O ponto de contacto para os clientes, incluindo um nome e um endereço de correio eletrónico;
• e) Os procedimentos para a notificação de incidentes, incluindo a comunicação dessas

que pretendam prestar serviços de pagamento juntamente com serviços de moeda eletrónica, e a notificação de incidentes de caráter severo às autoridades competentes nacionais nos termos do artigo 96. o da DSP2 e em conformidade com as orientações da Autoridade Bancária Europeia relativas à notificação de incidentes no âmbito do referido artigo.

• f) As ferramentas de verificação e os procedimentos e as medidas de acompanhamento criados para reduzir os riscos de segurança.

Orientação 10: Procedimento para a classificação, verificação, rastreamento e restrição do acesso a dados de pagamento sensíveis

10.1. O requerente deve apresentar uma descrição do procedimento criado para classificar, verificar, rastrear e restringir o acesso a dados de pagamento sensíveis, que deve incluir:

• a) Uma descrição dos fluxos de dados classificados como dados de pagamento sensíveis no contexto do modelo de negócio da instituição de moeda eletrónica;
• b) Os procedimentos criados para autorizar o acesso aos dados de pagamento sensíveis;
• c) Uma descrição da ferramenta de verificação;
• d) A política em matéria de direitos de acesso, com a discriminação do acesso a todos sistemas e componentes relevantes da infraestrutura, incluindo bases de dados e infraestruturas de apoio;
• e) Uma descrição da forma como os dados recolhidos são classificados;
• f) A utilização interna e/ou externa prevista dos dados recolhidos, incluindo pelas contrapartes;
• g) O sistema informático e as medidas de segurança técnica que foram implementadas, incluindo encriptação e/ou criação de tokens ;
• h) A identificação das pessoas e dos órgãos e/ou comités com acesso aos dados de pagamento sensíveis;
• i) Uma explicação da forma como as infrações serão detetadas e sancionadas;
• j) Um programa de controlo interno anual, no que respeita à segurança dos sistemas informáticos.

Orientação 11: Planos de continuidade das atividades

atividades, que deve incluir as informações seguintes:

• a) Uma análise do impacto sobre as atividades, incluindo os processos e os objetivos de recuperação das atividades, tais como os objetivos em matéria de prazo de recuperação, ponto de recuperação e ativos protegidos;
• b) A identificação da instalação de apoio e do acesso à infraestrutura de TI, bem como o software e os dados críticos para recuperação em caso de catástrofe ou de perturbação;
• c) Uma explicação da solução do requerente para a ocorrência de situações e perturbações significativas que afetem a continuidade, tais como a falha de sistemas críticos, a perda de dados essenciais, a inacessibilidade das instalações e a perda de pessoas fundamentais;
• d) A frequência com que o requerente pretende testar os planos de continuidade das atividades e de recuperação na sequência de catástrofes, incluindo a forma como serão registados os resultados dos testes;
• e) Uma descrição das medidas de redução dos riscos adotadas pelo requerente em caso de cessação dos seus serviços de pagamento, de forma a assegurar a execução das operações de pagamento pendentes e a resolução dos contratos existentes.

Orientação 12: Os princípios aplicados e as definições adotadas para a recolha de dados estatísticos relativos ao desempenho, às operações e à fraude.

12.1. O requerente deve apresentar uma descrição dos princípios aplicados e das definições adotadas para a recolha dos dados estatísticos relativos ao desempenho, às operações e à fraude, que deve incluir as informações seguintes:

• a) Tipo de dados dos clientes que são recolhidos, tipo de serviço de pagamentos, canal, instrumento, jurisdições e divisas;
• b) O âmbito de aplicação da recolha, em termos das atividades e das entidades envolvidas, incluindo sucursais, agentes e distribuidores;
• c) O meio de recolha;
• d) O objetivo da recolha;
• e) A frequência da recolha;
• f) Documentos de apoio, tal como um manual, que descrevam o modo de funcionamento do sistema. Orientação 13: Documento relativo à política de segurança

13.1. O requerente deve apresentar um documento relativo à sua política de segurança, no que respeita aos seus serviços de moeda eletrónica e, se aplicável, aos seus serviços de pagamento, com as informações seguintes:

• a) Uma avaliação pormenorizada dos serviços de moeda eletrónica e, se aplicável, dos serviços de pagamento, que o requerente pretende prestar, a qual deve incluir os riscos de fraude e as medidas de controlo da segurança e de redução dos riscos tomadas para proteger devidamente os utilizadores de serviços de moeda eletrónica e, se aplicável, de serviços de pagamento contra os riscos identificados;
• b) Uma descrição dos sistemas informáticos, que deve incluir:
• i. A arquitetura dos sistemas e os seus elementos de rede;
• ii. Os sistemas informáticos que apoiam as atividades profissionais prestadas, tais como o sítio Web do requerente, o sistema de pagamento, o sistema de gestão de riscos e fraudes e o sistema de contas dos clientes;
• iii. Os sistemas informáticos utilizados para a organização e administração da instituição de moeda eletrónica, tais como os sistemas de contabilidade, de informação jurídica, de gestão do pessoal, de gestão das relações com os clientes, servidores de correio eletrónico e servidores de ficheiros internos;
• iv. Informações sobre se esses sistemas já são utilizados pela instituição de moeda eletrónica ou pelo seu grupo e a data estimada de implementação, se aplicável;
• c) O tipo de ligações autorizadas a partir do exterior, por exemplo, com parceiros, prestadores de serviços, entidades do grupo e funcionários que trabalham remotamente, incluindo a fundamentação dessas ligações;
• d) Para cada uma das ligações enumeradas no ponto c), os mecanismos e as medidas de segurança lógica adotados, com a especificação do controlo que a instituição de moeda eletrónica terá sobre tal acesso, bem como a natureza e a frequência de cada controlo, tais como técnico versus organizativo, preventivo versus de deteção, e verificação em tempo real versus análises periódicas, tais como a utilização de um domínio Active Directory separado do grupo, a abertura/o encerramento de linhas de comunicação, a configuração dos equipamentos de segurança, a criação de chaves ou de certificados de autenticação de clientes, a deteção de intrusões, sistemas antivírus e registos;
• e) Os mecanismos e as medidas de segurança lógica que regem o acesso interno aos sistemas informáticos, que devem incluir:
• i. A natureza técnica e organizativa e a frequência de cada medida, por exemplo, se é preventiva ou de deteção e se é ou não executada em tempo real;
• ii. A forma como é solucionada a questão da separação do ambiente de cliente quando os recursos informáticos do requerente são partilhados;
• f) Os mecanismos e as medidas de segurança física das instalações e do centro de dados do requerente, tais como controlos de acesso e segurança ambiental;
• g) A segurança dos processos de moeda eletrónica e, se aplicável, dos processos de pagamento, que deve incluir:
• i. O procedimento de autenticação de clientes utilizado quer para o acesso de consulta quer para o acesso de execução de operações, bem como para todos os instrumentos de pagamento subjacentes;
• ii. Uma explicação do modo como são asseguradas a entrega correta ao utilizador legítimo dos serviços de moeda eletrónica e, se aplicável, dos serviços de pagamento, e a integridade dos fatores de autenticação, como códigos de hardware e aplicações para dispositivos móveis, tanto no momento da subscrição inicial como no da renovação;
• iii. Uma descrição dos sistemas e procedimentos implementados pela instituição de moeda eletrónica com vista à análise das operações e à identificação de operações suspeitas ou invulgares;
• h) Uma avaliação pormenorizada dos riscos no que respeita aos seus serviços de moeda eletrónica e, se aplicável, aos seus serviços de pagamento, incluindo o risco de fraude, com uma ligação para as medidas de controlo e de redução dos riscos explicadas no processo de pedido, demonstrando que os riscos são controlados;
• i) Uma lista dos principais procedimentos escritos relativos aos sistemas informáticos do requerente ou, no caso de procedimentos que ainda não tenham sido formalizados, uma data estimada para a sua conclusão.

Orientação 14: Mecanismos de controlo interno para dar cumprimento às obrigações em matéria de luta contra o branqueamento de capitais e o financiamento do terrorismo

14.1 A descrição dos mecanismos de controlo interno estabelecidos pelo requerente para dar cumprimento a essas obrigações, se aplicável, deve conter as informações seguintes:

• a) A avaliação do cliente, no que respeita aos riscos de branqueamento de capitais e de financiamento do terrorismo associados à sua atividade, incluindo os riscos associados à sua base de clientes, aos produtos e serviços prestados, aos canais de distribuição utilizados e às áreas geográficas de operação;
• b) As medidas que o requerente adotou ou irá adotar para reduzir os riscos e cumprir as obrigações aplicáveis em matéria de luta contra o branqueamento de capitais e o financiamento do terrorismo, incluindo o processo de avaliação dos riscos utilizado pelo

requisitos de diligência quanto à clientela e as políticas e os procedimentos adotados para detetar e notificar atividades ou operações suspeitas;

• c) Os sistemas e os controlos que o requerente adotou ou irá adotar para assegurar que as suas sucursais, os seus agentes e os seus distribuidores dão cumprimento aos requisitos aplicáveis em matéria de luta contra o branqueamento de capitais e o financiamento do terrorismo, incluindo nos casos em que a sucursal, o agente ou o distribuidor esteja localizado noutro Estado-Membro;
• d) As medidas que o requerente adotou ou irá adotar para assegurar que os funcionários, os agentes e os distribuidores têm formação adequada em matéria de luta contra o branqueamento de capitais e o financiamento do terrorismo;
• e) A identidade da pessoa responsável por garantir que o requerente dá cumprimento às obrigações em matéria de luta contra o branqueamento de capitais e o financiamento do terrorismo e provas de que os seus conhecimentos neste domínio são suficientes para poderem desempenhar eficazmente esta função;
• f) Os sistemas e os controlos que o requerente adotou ou irá adotar para garantir que os seus procedimentos e políticas em matéria de luta contra o branqueamento de capitais e o financiamento do terrorismo permanecem atualizados, eficazes e relevantes;
• g) Os sistemas e os controlos que o requerente adotou ou irá adotar para garantir que os agentes e os distribuidores não o expõem a um risco acrescido de branqueamento de capitais e de financiamento do terrorismo;
• h) O manual sobre a luta contra o branqueamento de capitais e o financiamento do terrorismo para os funcionários do requerente.

Orientação 15: Identidade e avaliação da idoneidade das pessoas com participações qualificadas no requerente

15.1 Para efeitos da identidade e da prova de idoneidade das pessoas com participações qualificadas na instituição de moeda eletrónica do requerente, sem prejuízo da avaliação em conformidade com os critérios, se relevantes, introduzidos pela Diretiva 2007/44/CE e especificados nas orientações conjuntas relativas à avaliação prudencial das aquisições de participações qualificadas (JC/GL/2016/01), o requerente deve apresentar as informações seguintes:

• a) Descrição do grupo a que o requerente pertence e uma indicação da empresa-mãe, se aplicável;
• b) Organograma da estrutura societária do requerente, incluindo:
• i. O nome e a percentagem da participação (no capital e/ou nos direitos de voto) de cada participante que detém ou irá deter uma participação direta no capital social do requerente, identificando todas os participantes cuja participação é considerada qualificada e a razão dessas qualificações;
• ii. O nome e a percentagem da participação (no capital e/ou nos direitos de voto) de cada participante que detém ou irá deter uma participação indireta no capital social do requerente, identificando todas os participantes cuja participação indireta é considerada qualificada e a razão dessas qualificações;
• c) Identificação de todas as pessoas e outras entidades que detêm ou, no caso de autorização, irão deter participações qualificadas no capital social do requerente, com a indicação, para cada pessoa ou entidade:
• i. Do número e tipo de participações subscritas ou a subscrever;
• ii. Do valor nominal dessas participações.

15.2 Sempre que um participante que detenha ou, no caso de autorização, venha a deter uma participação qualificada no capital do requerente seja uma pessoa singular, o pedido deve conter todas as informações seguintes relativas à identidade e idoneidade dessa pessoa:

• a) Nome completo, a data e o local de nascimento, a nacionalidade (atual e anterior), o número de identificação (se disponível) ou o número de passaporte, o endereço e uma cópia de um documento de identidade oficial;
• b) Um curriculum vitae pormenorizado, indicando a educação e formação, a experiência profissional anterior e quaisquer atividades profissionais ou outras funções atualmente exercidas;

seguintes relativas à pessoa:

• i. Sem prejuízo dos requisitos da legislação nacional em matéria de divulgação de condenações executadas, qualquer condenação penal ou processos penais nos quais tenha sido deduzida acusação contra a pessoa e não tenham sido impugnados;
• ii. Quaisquer decisões cíveis ou administrativas contra a pessoa em matérias que sejam relevantes para o processo de avaliação ou de autorização, bem como quaisquer medidas ou sanções administrativas impostas em consequência de violação de disposições legislativas ou regulamentares (incluindo a inibição do exercício de funções como membro do conselho de administração), que não tenham sido impugnadas e das quais não exista qualquer recurso pendente ou não sejam passíveis de recurso;
• iii. Quaisquer processos de falência, insolvência ou similares;
• iv. Quaisquer investigações criminais pendentes;
• v. Quaisquer inquéritos cíveis ou administrativos, processos executórios, sanções ou outras decisões executórias contra a pessoa relativas a matérias suscetíveis de serem consideradas relevantes para a autorização para que uma instituição de moeda eletrónica inicie a atividade ou para a gestão sólida e prudente de uma instituição de moeda eletrónica;
• vi. Caso seja possível obter estes documentos, um certificado oficial ou outro documento equivalente que comprove que a pessoa em causa foi ou não objeto de qualquer dos procedimentos referidos nas subalíneas i) a iv);
• vii. Qualquer recusa de registo, autorização, filiação ou licença para exercer um ramo de negócio, atividade ou profissão;
• viii. Qualquer retirada, revogação ou cessação de um registo, autorização, filiação ou licença para exercer um ramo de negócio, atividade ou profissão;
• ix. Qualquer exclusão por uma autoridade ou entidade do setor público no setor dos serviços financeiros ou por uma organização ou associação profissional;
• x. Qualquer função de responsabilidade numa entidade objeto de qualquer condenação ou processo penal, inquéritos, sanções ou outras decisões de aplicação do foro administrativo por conduta indevida, nomeadamente fraude, desonestidade, corrupção, branqueamento de capitais, financiamento do terrorismo ou outro crime financeiro, ou falha na aplicação de políticas e procedimentos adequados para impedir tais acontecimentos, verificados à data da ocorrência da alegada conduta, juntamente com informações sobre esses acontecimentos e as pessoas que possam estar envolvidas;
• xi. Qualquer despedimento de um emprego ou retirada de uma relação de confiança, fiduciária (que não seja resultante da cessação da relação em causa com o decorrer do tempo) ou similar;
• d) Uma lista das empresas que a pessoa dirige ou controla e das quais o requerente tenha conhecimento após averiguação devida e cuidadosa, a percentagem de controlo direto

dissolvidas, etc.), e uma descrição dos processos de insolvência ou similares;

• e) Caso já tenha sido realizada uma avaliação da reputação da pessoa por uma autoridade competente no setor dos serviços financeiros, a identidade dessa autoridade e o resultado da avaliação;
• f) A posição financeira atual da pessoa, nomeadamente dados sobre fontes de rendimentos, ativos e passivos, penhores de títulos e garantias, concedidos ou recebidos;
• g) Uma descrição de quaisquer ligações a pessoas politicamente expostas, na aceção do
• n. o 9 do artigo 3. o da Diretiva (UE) 2015/849⁴ .

15.3 Sempre que uma pessoa ou entidade detenha ou, no caso de uma autorização, venha a deter uma participação qualificada no capital do requerente (incluindo entidades que não sejam uma pessoa coletiva e que detenham ou venham a deter a participação no seu próprio nome), o pedido deve conter as informações seguintes relativas à identidade e à idoneidade dessa pessoa coletiva ou entidade jurídica:

• a) Nome;
• b) Se a pessoa coletiva ou entidade jurídica estiver registada num registo central, registo comercial, registo de empresas ou registo similar que tenha os mesmos efeitos dos mencionados anteriormente, uma cópia do certificado de inscrição, se possível, ou um certificado de registo;
• c) O endereço da sua sede estatutária e, se for diferente, da sua sede social, e do estabelecimento principal;
• d) Informações de contacto;
• e) Documentos societários ou, se a pessoa ou a entidade estiver registada noutro Estado-Membro, um resumo explicativo das principais especificidades jurídicas da forma ou da entidade jurídica;
• f) Indicação se a pessoa coletiva ou entidade já foi ou é regulamentada por uma autoridade competente no setor dos serviços financeiros ou por outro organismo governamental;
• g) Um certificado oficial ou outro documento oficial equivalente, emitido pela autoridade competente pertinente, que comprove as informações estabelecidas nas alíneas a), b), c), d) e e), quando possa ser obtido;
• h) As informações referidas nas alíneas c), d), e) f) e g) da Orientação n. o 15, ponto 2, no que respeita à pessoa coletiva ou entidade;
• i) Uma lista com informação detalhada das pessoas que assegurem a direção efetiva da atividade da pessoa coletiva ou entidade, incluindo o nome completo, a data e o local de nascimento, o endereço e, se disponível, o número de identificação nacional, bem como um curriculum vitae pormenorizado (indicando a educação e formação relevantes, a

atualmente), juntamente com as informações referidas nas alíneas c) e d) do ponto 2 da Orientação n. o 15, no que respeita a cada uma dessas pessoas; a estrutura acionista da pessoa coletiva, incluindo, pelo menos, o nome, a data e o local de nascimento, o

bem como a percentagem de capital e os direitos de voto, diretos ou indiretos, dos acionistas e beneficiários efetivos, tal como definido no n.º 6 do artigo 3.º da Diretiva (UE) 2015/849;

• j) Uma descrição do grupo financeiro regulamentado do qual a instituição faz parte, ou pode vir a fazer parte, com a indicação da empresa-mãe e das entidades de crédito, seguradoras e de segurança pertencentes ao grupo, o nome das respetivas autoridades competentes (numa base individual ou consolidada), e
• k) Demonstrações financeiras anuais, a nível individual e, se aplicável, a nível consolidado ou subconsolidado no grupo, relativas aos três últimos anos, se a pessoa coletiva ou entidade jurídica tiver estado em atividade durante esse período (ou, se o período for inferior, o período em que a pessoa coletiva ou entidade jurídica esteve em atividade e para o qual foram elaboradas demonstrações financeiras), aprovadas pelo revisor oficial de contas ou pela sociedade de revisores oficiais de contas, na aceção da Diretiva 2006/43/CE⁵ , se aplicável, incluindo cada um dos elementos seguintes:
• i. O balanço;
• ii. As contas de ganhos e perdas ou declaração de resultados;
• iii. Os relatórios anuais e anexos financeiros e quaisquer outros documentos inscritos no registo ou autoridade competente pertinente da pessoa coletiva;
• l) Se a pessoa coletiva não tiver estado em atividade durante um período de tempo suficiente para que lhe seja exigida a elaboração de demonstrações financeiras para os três exercícios financeiros imediatamente anteriores à data do pedido, este deve indicar as demonstrações financeiras existentes (se existirem);
• m) Se a pessoa coletiva ou entidade jurídica tiver a sua sede social num país terceiro, informações gerais sobre o regime regulamentar desse país terceiro aplicável à pessoa coletiva ou entidade jurídica, incluindo informações sobre a coerência do regime desse país terceiro com as Recomendações do Grupo de Ação Financeira Internacional, no que respeita à luta contra o branqueamento de capitais e o financiamento do terrorismo;
• n) No caso de entidades que não tenham personalidade jurídica, por exemplo, um organismo de investimento coletivo, um fundo soberano ou um fundo fiduciário, o pedido deve conter as informações seguintes:
• i. A identidade das pessoas que administrem ativos e das pessoas que são beneficiárias ou subscritoras e dos participantes que controlem o organismo de investimento coletivo ou que detenham uma participação que lhes permita evitar a tomada de decisões pelo organismo de investimento coletivo;
• ii. Uma cópia do documento que cria e governa a entidade, incluindo a política de investimento e quaisquer restrições de investimento aplicáveis à entidade.

15.4 O requerimento deve conter todas as informações seguintes para cada pessoa singular ou coletiva ou entidade jurídica que tenha ou, no caso de uma autorização, que venha a ter, uma participação qualificada no capital do requerente:

• a) Dados sobre os motivos financeiros ou comerciais dessa pessoa ou entidade para deter essa participação, bem como sobre a estratégia da entidade quanto à participação,

participação e qualquer intenção de reforçar, reduzir ou manter o nível da participação num futuro previsível;

• b) Dados sobre as intenções da pessoa ou da entidade, no que respeita ao requerente, e sobre a influência que a pessoa ou a entidade pretende exercer sobre o requerente, nomeadamente no que respeita à política de dividendos, ao desenvolvimento estratégico e à afetação de recursos do requerente, se pretende ou não atuar na condição de acionista minoritário e os motivos dessa intenção;
• c) Informações sobre a disponibilidade da pessoa ou da entidade para apoiar o requerente com fundos próprios suplementares, caso se afigurem necessários para o desenvolvimento das suas atividades ou na eventualidade de dificuldades financeiras;
• d) O conteúdo de quaisquer acordos celebrados entre o acionista ou membro com outros acionistas ou membros, no que respeita ao requerente;
• e) Uma análise do impacto que a participação qualificada poderá ter, nomeadamente em resultado das estreitas ligações da pessoa com o requerente, sobre a capacidade deste para fornecer informações atempadas e precisas às autoridades competentes;
• f) A identidade de cada um dos membros do órgão de gestão ou da direção de topo que serão responsáveis pela gestão da atividade do requerente e serão nomeados por, ou na sequência da nomeação de, tais acionistas ou membros, juntamente com as informações estabelecidas na Orientação n. o 16 abaixo que ainda não tenham sido prestadas.

15.5 O pedido deve conter uma descrição pormenorizada das fontes específicas de financiamento da participação de cada pessoa ou entidade que detenha uma participação qualificada no capital do requerente, que deve incluir:

• a) Informação detalhada sobre a utilização de recursos financeiros próprios, incluindo a sua disponibilidade e fonte (de modo a assegurar que a autoridade competente considere que a atividade que originou os fundos é legítima);
• b) Informação detalhada sobre o acesso a mercados financeiros, incluindo dados de instrumentos financeiros a serem emitidos;

mutuantes e dados sobre as condições aplicáveis, tais como prazos, termos, penhores de títulos e garantias, bem como informações sobre a fonte de rendimento a utilizar para proceder ao reembolso desses empréstimos; se o mutuante não for uma instituição de

acionistas ou sócios do requerente.

Orientação 16: Identidade e avaliação da idoneidade dos diretores e das pessoas responsáveis pela gestão da instituição de moeda eletrónica

16.1 Para efeitos da identidade e avaliação da idoneidade dos diretores e das pessoas responsáveis pela gestão da instituição de moeda eletrónica, o requerente deve fornecer as informações seguintes:

• a) Informações pessoais, incluindo:
• i. O nome completo, o sexo, o local e a data de nascimento, o endereço, a nacionalidade e o número de identificação pessoal ou cópia do bilhete de identidade ou equivalente;
• ii. Descrição da função para a qual a avaliação é solicitada, independentemente de a função no órgão de gestão ser executiva ou não executiva, que deverá incluir os elementos seguintes:

• b) Se aplicável, informação sobre a avaliação da idoneidade realizada pelo requerente, incluindo detalhes do resultado de qualquer avaliação da idoneidade da pessoa realizada pela instituição, tais como atas do conselho de administração, relatórios de avaliação da idoneidade ou outros documentos;
• c) Elementos comprovativos da qualificação profissional, competências e experiência, que devem incluir um curriculum vitae com informação sobre educação e a experiência profissional, incluindo as qualificações académicas, formações relevantes, o nome e a natureza de todas as organizações com que a pessoa trabalha ou trabalhou, e a natureza e a duração das funções desempenhadas, com particular destaque para as atividades exercidas no âmbito do cargo pretendido;
• d) Elementos comprovativos de idoneidade, que devem incluir:
• i. Registo criminal e informação relevante sobre investigações e ações penais, processos cíveis e administrativos relevantes e medidas disciplinares, incluindo a inibição do exercício de funções como membro do conselho de administração, processos de falência, insolvência ou similares, nomeadamente através de um certificado oficial ou de qualquer fonte de informação objetivamente fidedigna no que respeita à inexistência de qualquer condenação, investigação e ação penal, tais como investigações de terceiros e depoimentos efetuados por um advogado ou um notário estabelecido na União Europeia;
• ii. Uma declaração da (in)existência de ações penais pendentes ou do envolvimento da pessoa, ou de qualquer organização por si gerida, na qualidade de devedor em processos de insolvência ou em processos de cariz similar;
• iii. Informações relativas a:

Orientação 17: Identidade dos revisores oficiais de contas e das sociedades de revisores oficiais de contas

A identidade dos revisores oficiais de contas e das sociedades de revisores oficiais de contas, na aceção da Diretiva 2006/43/CE, que o requerente deve fornecer, deve conter os nomes, os endereços e as informações de contacto dos revisores.

Orientação 18: Seguro de responsabilidade civil profissional ou garantia equivalente aplicável aos serviços de iniciação de pagamento e aos serviços de informação sobre contas

Como comprovativo do seguro de responsabilidade civil profissional ou garantia equivalente conforme com as orientações da EBA sobre os critérios de fixação do montante mínimo do seguro de responsabilidade profissional ou de outra garantia equiparável (EBA/GL/2017/08) e com as disposições do n. os 2 e 3 do artigo 5. o da DSP2, o requerente de uma autorização como instituição de moeda eletrónica que, além dos serviços de moeda eletrónica, pretenda prestar serviços de iniciação de pagamento ou serviços de informação sobre contas, deve fornecer as informações seguintes:

seguro de responsabilidade civil profissional ou garantia equivalente, com um montante de cobertura que seja conforme com as orientações da Autoridade Bancária Europeia referidas, mostrando a cobertura dos passivos relevantes;

• b) Demonstração da forma como o requerente calculou o montante mínimo em conformidade com as orientações da EBA referidas (EBA/GL/2017/08), incluindo todos os componentes aplicáveis da fórmula especificada nessa documentação.

⁴ Diretiva (UE) 2015/849 do Parlamento Europeu e do Conselho, de 20 de maio de 2015, relativa à prevenção da utilização do sistema financeiro para efeitos de branqueamento de capitais ou de financiamento do terrorismo (JO L 141 de 5.6.2015, p. 73).

⁵ Diretiva 2006/43/CE do Parlamento Europeu e do Conselho, de 17 de maio de 2006, relativa à revisão legal das contas anuais e consolidadas, que altera as Diretivas 78/660/CEE e 83/349/CEE do Conselho e revoga a Diretiva 84/253/CEE do Conselho (JO L 157, de 9.6.2006, p. 87-107).

Orientação 1: Avaliação da completude do pedido

1.1. Para efeitos do artigo 12. o da Diretiva (UE) 2015/2366, um pedido deve ser considerado completo se contiver todas as informações necessárias para que a autoridade competente avalie o pedido em conformidade com as presentes orientações e as disposições do artigo 5. o da Diretiva (UE) 2015/2366.

1.2. Sempre que as informações fornecidas no pedido sejam consideradas incompletas, a autoridade competente deve enviar um pedido ao requerente, em formato de papel ou por meios eletrónicos, indicando, de forma clara, os elementos ou informações em falta, sendo dada ao requerente a possibilidade de apresentar essas informações.

1.3. Depois de um pedido ser considerado completo, a autoridade competente deve informar o requerente desse facto, juntamente com a data de receção do pedido completo ou, consoante o caso, a data de receção das informações que completaram o pedido.

1.4. Em todo o caso, a autoridade competente pode solicitar ao requerente esclarecimentos sobre as informações para efeitos da avaliação do pedido.

1.5. Se um pedido contiver ou se basear em informações na posse das autoridades competentes que já não sejam verdadeiras, exatas ou completas, deve ser apresentado um pedido atualizado às autoridades competentes, sem demora. O pedido atualizado deve identificar as informações em causa, a sua localização no pedido original, a razão pela qual as informações já não são verdadeiras, exatas ou completas, as informações atualizadas e a confirmação de que o resto das informações contidas no pedido permanecem verdadeiras, exatas e completas.

Guideline 1: Assessment of the completeness of the application

1.1. An application should be deemed to be complete for the purpose of Article 12 of Directive (EU) 2015/2366 if it contains all the information needed by the competent authorities in order to assess the application in accordance with these guidelines and with Article 5 of Directive (EU) 2015/2366.

1.2. Where the information provided in the application is assessed to be incomplete, the competent authority should send, in paper format or by electronic means, a request to the applicant, indicating in a clear way what information is missing, and should provide to the applicant the opportunity to submit the missing information.

1.3. Upon an application being assessed as complete, the competent authority should inform the applicant of that fact, together with the date of receipt of the complete application or, as the case may be, the date of receipt of the information that completed the application.

1.4. In any case, the competent authority may require the applicant to provide clarification on the information for the purposes of assessing the application.

1.5. Where an application contains information, or relies on information held by the competent authorities, which is no longer true, accurate or complete, an update to the application should be provided to the competent authorities without delay. The update should identify the information concerned, its location within the original application, the reason for the information no longer being true, accurate or complete, the updated information and confirmation that the rest of the information in the application remains true, accurate and complete.