4.2 Orientations sur les informations requises de la part des demandeurs d’un enregistrement pour la prestation uniquement du service visé au point 8 de l’annexe I de la directive (UE) 2015/2366 (services d’information sur les comptes)

Orientation 1: Principes généraux

1.1 Le présent ensemble d’orientations s’applique aux demandeurs d’enregistrement en tant que prestataires de services d’information sur les comptes (PSIC). Cela concerne les demandeurs ayant l’intention de fournir uniquement des services d’information sur les comptes (SIC). Si le demandeur a l’intention de fournir des services supplémentaires aux SIC, il devrait déposer une demande d’agrément et se référer aux orientations énoncées dans la section 4.1 pour les établissements de paiement (EP).

1.2 Les informations fournies par les demandeurs devraient être vraies, complètes, exactes et actualisées. Tous les demandeurs devraient se conformer à la totalité des dispositions figurant dans l’ensemble des orientations qui leur est applicable. Le niveau de détail dont la conformité est exigé devrait être proportionné à la taille et à l’organisation interne du demandeur ainsi qu’à la nature, à la portée, à la complexité et au risque du (des) service(s) particulier(s) que le demandeur a l’intention de fournir. En tout état de cause, conformément à la directive (UE) 2015/2366, les dirigeants et les personnes responsables de la gestion de l’établissement de paiement jouissent de l’honorabilité et possèdent les compétences et l’expérience requises aux fins de la prestation des services de paiement, indépendamment de la taille et de l’organisation interne de l’établissement ainsi que de la nature, de la portée et de la complexité de ses activités et des tâches et responsabilités du poste spécifique.

1.3 Lorsqu’il soumet les informations requises, le demandeur devrait éviter les références à des sections spécifiques de procédures/documents internes. Le demandeur devrait, au contraire, extraire les sections pertinentes et les fournir à l’autorité compétente (AC).

1.4 Si les AC requièrent des clarifications sur les informations soumises, le demandeur devrait les fournir sans tarder. 1.5 Toutes les données demandées au titre des présentes orientations pour l’enregistrement en tant que prestataire de services d’information sur les comptes (PSIC) sont nécessaires afin d’évaluer la demande et elles seront traitées par l’autorité compétente conformément aux obligations en matière de secret professionnel énoncées dans la DSP2, sans préjudice du droit de l’Union applicable et des exigences et procédures nationales concernant l’exercice du droit d’accès, de correction, d’annulation ou d’opposition.

Orientation 2: Éléments d’identification

2.1 Si le demandeur est une personne physique, les éléments d’identification à fournir par le demandeur devraient inclure les informations suivantes:

• a) nom, adresse, nationalité et date et lieu de naissance;
• b) une copie de la carte d’identité ou d’une pièce d’identité équivalente;
• c) un curriculum vitæ actualisé;
• d) un extrait du casier judiciaire datant de trois mois tout au plus;
• e) le nom des personne(s) chargées de traiter le dossier de la demande et de la procédure d’agrément et leurs coordonnées.

2.2 Si le demandeur est une personne morale, les éléments d’identification à fournir par le demandeur devraient inclure les informations suivantes:

• a) la dénomination sociale du demandeur et, si elle est différente, sa dénomination commerciale;
• b) une mention précisant si la personne morale est déjà constituée ou en cours de constitution;
• c) le numéro d'identification national du demandeur, le cas échéant;
• d) le statut juridique et les statuts (éventuellement sous forme de projet) et/ou les documents constitutifs du demandeur démontrant son statut juridique;
• e) l’adresse de l’administration centrale et du siège statutaire du demandeur;
• f) l’adresse électronique et le site Internet du demandeur, le cas échéant;
• g) le nom des personne(s) chargée(s) de traiter le dossier de la demande et de la procédure d’agrément ainsi que leurs coordonnées;
• h) une mention précisant si le demandeur a été, ou est actuellement, assujetti auprès d’une autorité compétente du secteur des services financiers;
• i) le certificat de constitution du registre ou, le cas échéant, une attestation négative de la part d’un registre commercial certifiant que la dénomination utilisée par la société est disponible;
• j) preuve du paiement des éventuels droits ou du dépôt de fonds en vue de déposer une demande d’enregistrement en tant que prestataire de services d’information sur les comptes, conformément, le cas échéant, au droit national.

Orientation 3: Programme d'activité

3.1. Le programme d’activité à fournir par le demandeur devrait inclure les informations suivantes:

• a) une description du service d’information sur les comptes que le demandeur a l’intention de fournir, y compris une explication de la manière dont le demandeur a déterminé que l’activité relève de la définition de service d’information sur les comptes au sens de l’article 4, point 16, de la directive (UE) 2015/2366 (DPS2);
• b) une déclaration selon laquelle le demandeur n’entrera à aucun moment en possession de fonds;
• c) une description de la fourniture du service d’information sur les comptes comprenant:
• i. des projets de contrats entre tous les participants, le cas échéant;
• ii. les modalités et les conditions de la fourniture des services d’information sur les comptes;
• iii. les temps de traitement;
• d) une estimation du nombre des différents locaux à partir desquels le demandeur à l’intention de fournir les services, le cas échéant;
• e) une description des éventuels services auxiliaires au service d’information sur les comptes;
• f) une déclaration permettant de savoir si le demandeur a l’intention de fournir des services d’information sur les comptes dans un autre État membre de l’UE ou dans un autre pays une fois enregistré;
• g) une mention précisant si le demandeur a l’intention d’exercer, dans les trois années à venir, ou exerce déjà des activités autres que des services d’information sur les comptes au sens de l’article 18 de la directive 2015/2366, y compris une description du type et du volume attendus des activités;
• h) les informations visées dans les orientations de l’ABE sur les critères permettant de déterminer le montant minimal de l’assurance de responsabilité civile professionnelle ou d’une autre garantie comparable au titre de l’article 5, paragraphe 4, de la directive (UE) 2015/2366 (ABE/GL/2017/08), lorsque le demandeur a l’intention de fournir uniquement le service visé au point 8 (SIC).

Orientation 4: Plan d’affaires

4.1. Le plan d’affaires à fournir par le demandeur devrait contenir:

• a) un plan de commercialisation consistant en:
• i. une analyse de la position concurrentielle de la société;
• ii. une description des utilisateurs du service d’information sur les comptes dans le segment correspondant du marché des informations sur les comptes, des supports de marketing et des canaux de distribution;
• b) les comptes annuels certifiés des trois dernières années, si disponibles, ou une synthèse de la situation financière pour les demandeurs n’ayant pas encore établi de comptes annuels;
• c) un calcul budgétaire prévisionnel afférent aux trois premiers exercices qui démontre que le demandeur est en mesure de mettre en œuvre les systèmes, ressources et procédures appropriés et proportionnés nécessaires à son bon fonctionnement; ce calcul budgétaire prévisionnel devrait inclure:
• i. un compte de résultat et un bilan prévisionnel, incluant des scénarios cibles et des scénarios de crise ainsi que les hypothèses de base, telles que le nombre de clients, la tarification et la hausse attendue du seuil de rentabilité;
• ii. des explications sur les principaux postes de charges et produits, les dettes financières et les immobilisations;
• iii. un schéma et une ventilation détaillée de l’estimation des flux de trésorerie pour les trois années à venir.

Orientation 5: Organisation structurelle

5.1. Si le demandeur est une personne physique, la description de l’organisation structurelle de l’entreprise du demandeur devrait inclure les informations suivantes:

• a) une prévision globale des effectifs pour les trois années à venir;
• b) une description des accords pertinents d’externalisation opérationnelle consistant en:
• i. l’identité et la localisation du prestataire de services externe;
• ii. l’identité des personnes au sein du PSIC responsables de chaque activité externalisée;
• iii. une description détaillée des activités externalisées et de ses principales caractéristiques;
• c) une copie des projets d’accords d’externalisation;
• d) le cas échéant, une description de l’utilisation de succursales et d’agents, y compris:
• i. un plan des contrôles sur pièces et sur place que le demandeur a l’intention d’effectuer sur les succursales et les agents;
• ii. les systèmes informatiques, les processus et l’infrastructure utilisés par les agents du demandeur en vue d’exercer des activités pour le compte du demandeur;
• iii. s’agissant d’agents, la politique de sélection, les procédures de suivi et la formation des agents et, le cas échéant, le projet du contrat d’engagement;
• e) une liste de toutes les personnes physiques ou morales ayant des liens étroits avec le demandeur PSIC, en précisant leur identité et la nature de ces liens.

5.2. Si le demandeur est une personne morale, la description de l’organisation structurelle de son entreprise devrait inclure les informations suivantes:

• a) un organigramme détaillé, indiquant chaque unité, service ou séparation structurelle similaire, y compris le nom des personnes responsables, notamment celles chargées des fonctions de contrôle interne; l’organigramme devrait être accompagné d’une description des fonctions et des responsabilités de chaque unité, service ou séparation structurelle similaire;
• b) une prévision globale des effectifs pour les trois années à venir;
• c) une description des accords pertinents d’externalisation consistant en:
• i. l’identité et la localisation du prestataire de services externe;
• ii. l’identité des personnes au sein du PSIC responsables de chaque activité externalisée;
• iii. une description détaillée des activités externalisées et de ses principales caractéristiques;
• d) une copie des projets d’accords d’externalisation;
• e) le cas échéant, une description de l’utilisation de succursales et d’agents, y compris:
• i. un plan des contrôles sur pièces et sur place que le demandeur a l’intention d’effectuer sur les succursales et les agents;
• ii. les systèmes informatiques, les processus et les infrastructures utilisés par les agents du demandeur en vue d’exercer des activités pour le compte du demandeur;
• iii. s’agissant d’agents, la politique de sélection, les procédures de suivi et la formation des agents et, le cas échéant, le projet du contrat d’engagement;
• f) une liste de toutes les personnes physiques ou morales ayant des liens étroits avec le demandeur, en précisant leur identité et la nature de ces liens.

Orientation 6: Dispositif de gouvernance et mécanismes de contrôle interne

mécanismes de contrôle interne consistant en:

• a) une cartographie des risques décelés par le demandeur, incluant le type de risques et les procédures que le demandeur mettra en place pour évaluer et éviter de tels risques;
• b) les différentes procédures visant à effectuer des contrôles périodiques et permanents y compris la fréquence et les ressources humaines allouées;
• c) les procédures comptables au moyen desquelles le demandeur enregistrera et publiera ses informations financières;
• d) l’identité de la (des) personne(s) responsable(s) des fonctions de contrôle interne, y compris des contrôles périodiques et permanents et de conformité, ainsi qu’un curriculum vitae actualisé;
• e) l’identité de tout contrôleur des comptes n’étant pas un contrôleur légal des comptes en vertu de la directive 2006/43/CE;
• f) la composition de l’organe de direction et, le cas échéant, de tout autre organe ou comité de surveillance;
• g) une description de la manière dont les fonctions externalisées sont suivies et contrôlées afin d’éviter une altération de la qualité des contrôles internes du demandeur;
• h) une description de la manière dont les éventuels agents et succursales sont suivis et contrôlés dans le cadre des contrôles internes du demandeur;
• i) si le demandeur est la filiale d’une entité réglementée dans un autre État membre de l’UE, une description de la gouvernance du groupe.

Orientation 7: Procédure pour assurer la surveillance, le traitement et le suivi des incidents de sécurité et des réclamations de clients liées à la sécurité

7.1. Le demandeur devrait fournir une description de la procédure en place pour assurer la surveillance, le traitement et le suivi des incidents de sécurité et des réclamations de clients liées à la sécurité, laquelle devrait contenir:

• a) des mesures organisationnelles et des outils de prévention de la fraude;
• b) des détails sur les personnes et les organes chargés de l’assistance aux clients en cas de fraude, de problème technique et/ou de réclamation;
• c) les lignes de remontée des cas de fraude au sein de l’organisation du demandeur;
• d) le point de contact pour les clients, incluant un nom et une adresse électronique;
• e) les procédures relatives à la notification des incidents, y compris la communication de ces notifications à des organes internes ou externes, prévoyant notamment la

l’article 96 de la DSP2, et conformément aux orientations de l’ABE sur la notification des incidents au titre de l’article susvisé;

• f) les outils de surveillance utilisés et les mesures et les procédures de suivi en place afin d’atténuer les risques de sécurité.

Orientation 8: Processus en place pour enregistrer, surveiller, tracer et restreindre l’accès aux données de paiement sensibles et garder la trace de ces accès

8.1. Le demandeur devrait fournir une description du processus en place pour enregistrer, surveiller et restreindre l’accès aux données de paiement sensibles et garder la trace de ces accès comportant :

• a) une description du flux de données classées comme données sensibles de paiement dans le cadre du fonctionnement opérationnel du PSIC;
• b) les procédures en place pour autoriser l’accès aux données de paiement sensibles;
• c) une description de l’outil de surveillance;

d’infrastructure pertinents, y compris les bases de données et les infrastructures de secours;

• e) une description des modalités d’archivage des données collectées;
• f) l’utilisation interne et/ou externe envisagée des données collectées, y compris par les cocontractants;
• g) le système informatique et les mesures de sécurité techniques mises en place y compris le chiffrement et/ou la tokenisation;
• h) l’identification des personnes, organes et/ou comités ayant accès aux données de paiement sensibles;
• i) une explication de la manière dont seront décelées et traitées les violations de sécurité;
• j) un programme annuel de contrôle interne en rapport avec la sécurité des systèmes informatiques.

Orientation 9: Dispositions en matière de continuité des activités

9.1. Le demandeur devrait fournir une description des dispositions en matière de continuité des activités comportant les informations suivantes:

• a) une analyse d’impact sur les activités, incluant les processus opérationnels et les objectifs de reprise, tels que les délais maximaux admissibles d’indisponibilité, les pertes de données maximales admissibles et les actifs protégés;
• b) l’identification du site de secours, des accès à l’infrastructure informatique et des principaux logiciels et données à récupérer en cas de sinistre ou de défaillance;
• c) une explication de la manière dont le demandeur traitera les événements et défaillances de continuité significatifs, tels que la défaillance de systèmes clés; la perte de données clés; l’inaccessibilité des locaux; et la perte de personnes clés;
• d) la fréquence avec laquelle de demandeur a l’intention de soumettre à des tests ses plans de continuité des activités et de récupération en cas de sinistre, en précisant la manière dont les résultats des tests seront pris en compte. Orientation 10: Document relatif à la politique de sécurité

10.1. Le demandeur devrait fournir un document relatif à la politique de sécurité contenant les informations suivantes:

• a) une évaluation détaillée des risques du (des) service(s) de paiement que le demandeur a l’intention de fournir, laquelle devrait inclure les risques de fraude et les mesures de

utilisateurs de services de paiement contre les risques identifiés;

• b) une description des systèmes informatiques, laquelle devrait inclure:
• i. l‘architecture des systèmes et des réseaux;
• ii. les systèmes informatiques supportant des activités opérationnelles exercées, tels que le site Internet du demandeur, le module de gestion des risques et de la fraude et la comptabilité client;
• iii. les systèmes informatiques de support pour l’organisation et l’administration du PSIC, tels que la comptabilité, les systèmes de déclaration légales, la gestion du personnel, la gestion des relations avec la clientèle, les serveurs de courrier électronique et les serveurs de fichiers internes;
• iv. des informations précisant si le PSIC ou son groupe utilisent déjà ces systèmes et l’estimation de leur date de mise en œuvre, le cas échéant;
• c) le type de connexions autorisées de l’extérieur, par exemple par des associés, des prestataires de services, des entités du groupe et des employés travaillant à distance, en expliquant la raison de ces connexions;
• d) pour chacune des connexions énumérées au point c), les mesures et mécanismes de sécurité logiques en place, spécifiant le contrôle que l’établissement de paiement exercera sur un tel accès ainsi que la nature et la fréquence de chaque contrôle, tel que technique/organisationnel; préventif/détectif; suivi en temps réel/examens réguliers, tels que l’utilisation d’un répertoire distinct de celui du groupe, l’ouverture/fermeture de lignes de communication, la configuration de l’équipement de sécurité, la création de clés ou de certificats d’authentification client, le suivi des systèmes, l’authentification, la confidentialité des communications, la détection des intrusions, les systèmes antivirus et l’enregistrement des connexions;
• e) les mesures et mécanismes de sécurité logiques régissant l’accès interne aux systèmes informatiques, lesquels devraient inclure:
• i. la nature technique et organisationnelle et la fréquence de chaque mesure, par exemple s’il s’agit d’une mesure préventive ou détective et si elle est mise en œuvre en temps réel;
• ii. la manière dont est traitée la question du cantonnement de l’environnement client dans les cas où les ressources informatiques du demandeur sont partagées;
• f) les mesures et mécanismes de sécurité physique des locaux et du centre de données du demandeur, tels que les contrôles de l’accès et la sécurité liée à l’environnement;
• g) la sécurité des processus de paiement, qui devrait inclure:
• i. la procédure d’authentification du client utilisée pour l’accès tant à la consultation qu’aux opérations;
• ii. une explication de la manière dont le demandeur garantit à l’utilisateur légitime du service de paiement la mise à disposition et l’intégrité des facteurs d’authentification, tels que les jetons matériels et les applications mobiles, au moment tant de l’enrôlement initial que du renouvellement;
• iii. une description des systèmes et des procédures mis en place par le demandeur

inhabituelles;

• h) une évaluation détaillée des risques en rapport avec les services de paiement proposés, y compris du risque de fraude, en lien avec les mesures de contrôle et d’atténuation présentées dans le dossier de la demande, démontrant qu’il est remédié aux risques;
• i) une liste des principales procédures formalisées en rapport avec les systèmes informatiques du demandeur ou, pour les procédures qui n’ont pas encore été formalisées, l’estimation de la date de leur finalisation.

Orientation 11: Identité et évaluation de la qualité des dirigeants et des personnes responsables de la gestion du prestataire de services d’information sur les comptes

11.1. Aux fins de l’identification et de l’évaluation de la qualité des dirigeants et des personnes responsables de la gestion du prestataire de services d’information sur les comptes, le demandeur devrait fournir les informations suivantes:

• a) informations personnelles, y compris:
• i. nom et prénom, sexe, lieu et date de naissance, adresse et nationalité, ainsi que numéro d’identification personnel ou copie de carte d’identité ou autre document équivalent;
• ii. des détails sur le poste concerné par l’évaluation, que le poste de l’organe de direction soit un poste exécutif ou non-exécutif; cela devrait inclure également les détails suivants:

• b) les cas échéant, des informations sur l’évaluation de qualité effectuée par le demandeur, qui devrait inclure des détails sur le résultat de toute évaluation de la qualité de la personne effectuée par l’établissement, tels que le procès-verbal des réunions du conseil d’administration ou les rapports d’évaluation de la qualité ou autres documents;
• c) preuve des connaissances, compétences et expérience, qui devrait inclure un curriculum vitæ contenant des détails sur le parcours scolaire et l’expérience professionnelle, y compris les diplômes universitaires, toute autre formation pertinente, le nom et la nature des organismes pour lesquels la personne travaille ou a travaillé et la nature et la durée des fonctions exercées, notamment en mettant l’accent sur les activités relatives au poste concerné;
• d) preuve de réputation, d’honnêteté et d’intégrité, qui devrait inclure:
• i. casiers judiciaires et informations pertinentes concernant enquêtes ou procédures pénales, affaires civiles et administratives pertinentes et mesures disciplinaires, y compris l’interdiction du droit d’exercer un poste d’administrateur de société ou des procédures de faillite, d’insolvabilité ou similaires, notamment au moyen d’une attestation officielle ou toute source d’information objectivement fiable concernant l’absence de condamnation, d’enquêtes et de procédures pénales, telles que des enquêtes effectuées par des tiers ou des preuves fournies par un avocat ou un notaire établi dans l’Union européenne;
• ii. une déclaration concernant l’existence ou non de procédures pénales pendantes ou la participation, en qualité de débiteur, de la personne ou de tout organisme dirigé par celle-ci dans une procédure d’insolvabilité ou une procédure similaire;
• iii. des informations sur les questions suivantes:

Orientation 12: Assurance de responsabilité civile professionnelle ou garantie comparable

12.1. Pour prouver une assurance de responsabilité civile professionnelle ou une garantie comparable conforme aux orientations de l’ABE sur l’assurance de responsabilité civile

demandeur devrait fournir les informations suivantes:

• a) un contrat d’assurance ou autre document équivalent confirmant l’existence d’une assurance de responsabilité civile professionnelle ou d’une garantie comparable, avec un

couverture des responsabilités pertinentes;

• b) documentation concernant la manière dont le demandeur a calculé le montant minimal de sorte à ce qu’il soit conforme aux orientations susvisées de l’ABE, y compris toutes les composantes applicables de la formule spécifiée dans celles-ci.

1. Vue d’ensemble

1.1 Références

1.2 Exigences identifiées

1.3 Normes associées

2. Exigences identifiées

3. Normes associées

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/