Smjernice o informacijama koje treba dostaviti za izdavanje odobrenja institucijama za platni promet i institucijama za elektronički novac i za registraciju pružatelja usluge informiranja o računu na temelju članka 5. stavka 5. Direktive (EU) 2015/2366 (EBA/GL/2017/09)

1. Obveze usklađivanja i izvješćivanja

2. Predmet, područje primjene i definicije

3. Provedba

4. Četiri grupe Smjernica primjenjivih na institucije za platni promet (IPP- ove), pružatelje usluga informiranja o računu (AISP -ove), institucije za elektronički novac (IEN- ove) i nadležna tijela (NT -ove) pojedinačno

Smjernica 1.: Opća načela

1.1 Ovaj skup smjernica primjenjuje se na podnositelje zahtjeva za izdavanje odobrenja kao institucija za platni promet (IPP- ovi). To uključuje podnositelje zahtjeva koji namjeravaju pružati bilo koju uslugu ili usluge navedene u točkama od 1. do 7. iz Priloga I. direktivi PSD2 ili uslugu 8. u kombinaciji s ostalim platnim uslugama. Podnositelji zahtjeva koji namjera vaju pružati samo uslugu navedenu u točki 8. iz Priloga I. Direktivi (EU) 2015/2366 (PSD2) podliježu posebnom skupu smjernica za pružatelje usluga informiranja o računu (AISP - ove) utvrđene u odjeljku 4.2.

1.2 Informacije koje podnositelji zahtjeva dostave treb aju biti istinite, potpune, točne i ažurne. Svi podnositelji zahtjeva trebaju poštovati sve odredbe utvrđene u smjernicama koje se na njih primjenjuju. Razina detalja trebala bi biti razmjerna veličini podnositelja zahtjeva i unutarnjoj organizaciji te prirodi, opsegu, složenosti i rizičnosti pojedine usluge ili usluga koje podnositelj zahtjeva namjerava pružati. U svakom slučaju, u skladu s Direktivom (EU) 2015/2366, direktori i osobe odgovorne za upravljanje institucijom za platni promet imaju dobar ugled i odgovarajuće znanje i iskustvo u obavljanju platnih usluga, bez obzira na veličinu institucije, unutarnju organizaciju te prirodu, opseg i složenost njezinih aktivnosti i dužnosti i odgovornosti određenog položaja.

1.3 Kod podnošenja traženih informacija, podnositelj zahtjeva trebao bi izbjegavati upućivanje na određene dijelove internih postupaka/dokumenta. Umjesto toga, podnositelj zahtjeva trebao bi izdvojiti relevantne dijelove i dostaviti ih nadležnom tijelu (NT).

1.4 Ako bi NT- ovi zahtijevali pojašnjenja u vezi s informacijama koje su podnesene, podnositelj zahtjeva treba dostaviti iste bez odgađanja.

1.5 Svi podaci traženi u skladu s ovim smjernicama za izdavanje odobrenja kao institucija za platni promet potrebni su za procjenu zahtjeva i NT će s njima post upati u skladu s obvezama poslovne tajne utvrđenima u PSD2, ne dovodeći u pitanje pravo Unije i nacionalne zahtjeve i procedure o ostvarivanju prava na pristupanje, ispravljanje, otkazivanje ili protivljenje.

Smjernica 2.: Identifikacijski podaci

2.1 Identifi kacijski podaci koje podnositelj zahtjeva treba dostaviti trebali bi sadržavati sljedeće informacije:

• a) poslovni naziv podnositelja zahtjeva i, ako se razlikuje, trgovački naziv;
• b) naznaku je li podnositelj zahtjeva već osnovan ili je u postupku osnivanja;
• c) nac ionalni identifikacijski broj podnositelja zahtjeva, ako je primjenjivo;
• d) pravni status i statut (nacrt statuta) podnositelja zahtjeva i/ili dokumenti o osnivanju kojima se dokazuje pravni status podnositelja zahtjeva;
• e) adresu mjesta uprave podnositelja zaht jeva i registriranog sjedišta;
• f) elektroničku adresu i internetsku stranicu podnositelja zahtjeva, ako su dostupne;
• g) ime/na osobe/a odgovornih za podnošenje zahtjeva i postupak izdavanja odobrenja i njihovi podaci za kontakt;
• h) naznaku je li podnositelj zahtj eva ikada bio, ili je trenutačno, reguliran od strane nadležnog tijela u sektoru financijskih usluga;
• i) sva trgovačka udruženja, u vezi s pružanjem platnih usluga, kojima se podnositelj zahtjeva namjerava pridružiti, ako je primjenjivo;
• j) izvadak iz sudskog registra ili, ako je primjenjivo, izvadak iz sudskog registra kojim se potvrđuje da je naziv koji trgovačko društvo primjenjuje dostupan;
• k) dokaz o plaćanju svih naknada ili depozita novčanih sredstava za podnošenje zahtjeva za izdavanje odobrenja kao instituc ija za platni promet, gdje je to primjenjivo u skladu s nacionalnim pravom.

Smjernica 3.: Program poslovanja

3.1. Program poslovanja koji podnositelj zahtjeva treba dostaviti trebao bi sadržavati sljedeće informacije:

• a) detaljan opis vrsta predviđenih platnih usluga, uključujući objašnjenje o tome kako podnositelj zahtjeva utvrđuje da se aktivnosti i poslovi koje će obavljati uklapaju u bilo koju od pravnih kategorija platnih usluga navedenih u Prilogu I. direktivi PSD2;
• b) izjavu o tome ulazi li podnositelj zahtjev a u bilo kojem trenutku u posjed novčanih sredstava;
• c) opis izvršenja različitih platnih usluga, uz detaljno navođenje svih uključenih strana i uključujući za svaku od pruženih platnih usluga:
• i. dijagram toka sredstava, osim ako podnositelj zahtjeva namjerava pružati samo usluge iniciranja plaćanja (PIS);
• ii. sporazume o namirama, osim ako podnositelj zahtjeva namjerava pružati samo PIS;
• iii. nacrte ugovora između svih strana uključenih u pružanje platnih usluga uključujući one s kartičnom platnom shemom, ako je primjenjivo;
• iv. vremena obrade.
• d) primjerak nacrta okvirnog ugovora, kako je navedeno u članku 4. stavku 21. PSD2;
• e) procijenjeni broj različitih prostora iz kojih podnositelj zahtjeva namjerava pružati p latne usluge i/ili obavljati aktivnosti u vezi s pružanjem platnih usluga, ako je primjenjivo;
• f) opis svih pomoćnih aktivnosti povezanih s platnim uslugama, ako je primjenjivo;
• g) izjavu o tome namjerava li podnositelj zahtjeva odobravati kredit ili ne, i ako namjerava, u okviru kojih ograničenja;
• h) izjavu o tome namjerava li podnositelj zahtjeva pružati platne usluge u drugim državama članicama ili trećim državama nakon izdavanja odobrenja;
• i) naznaku o tome namjerava li podnositelj zahtjeva iduće tri godine obavljati ili već obavlja druge poslovne aktivnosti kako su navedene u članku 18. Direktive (EU) 2015/2366, uključujući opis vrste i očekivani obujam aktivnosti;
• j) informacije navedene u Smjernicama EBA- e o kriterijima za određivanje minimalnog novčanog iznosa za osiguranje od profesionalne odgovornosti ili druge usporedive garancije na temelju članka 5. stavka 4. Direktive (EU) 2015/2366 ako podnositelj zahtjeva nam jerava pružati usluge 7. i 8. (usluge iniciranja plaćanja (PIS) i usluge informiranja o računu (AIS)).

Smjernica 4.: Poslovni plan

4.1. Poslovni plan koji podnositelj zahtjeva treba dostaviti trebao bi sadržavati:

• a) marketinški plani koji se sastoji od:
• i. analize konkurentnog položaja trgovačkog društva u dotičnom segmentu tržišta plaćanja;
• ii. opisa korisnika platnih usluga, marketinških materijala i distribucijskih kanala;
• b) ako je dostupno za postojeća trgovačka društva, ovjerene godišnje financijske izvještaje za po sljednje tri godine ili sažeti prikaz financijskog stanja za ona trgovačka društva koja još nisu izradila godišnje financijske izvještaje;
• c) izračun projekcije proračuna za prve tri financijske godine kojim se pokazuje da je podnositelj zahtjeva sposoban ko ristiti odgovarajuće i razmjerne sustave, resurse i postupke koji podnositelju zahtjeva omogućuju stabilno poslovanje; trebao bi uključivati:
• i. projekcije računa dobiti i gubitka i bilance, uključujući ciljne scenarije i stresne scenarije te njihove temeljne pretpostavke, kao što je obujam i vrijednost transakcija, broj klijenata, određivanje cijena, prosječni iznos po transakciji, očekivani porast u pragu profitabilnosti;
• ii. objašnjenja osnovnih linija prihoda i troškova, financijskih dugova i kapitalne imovine ;
• iii. dijagram i detaljnu raščlambu procijenjenih novčanih tokova za sljedeće tri godine.
• d) informacije o regulatornom kapitalu, uključujući iznos i detaljnu raščlambu sastava inicijalnog kapitala kako je utvrđeno u članku 7. PSD2;
• e) informacije o minimalnim zahtjevima za regulatornim kapitalom i njihov izračun u skladu s metodom/metodama navedenim u članku 9. Direktive (EU) 2015/2366 (PSD2) kako su odredila nadležna tijela, osim ako podnositelj zahtjeva namjerava pružati samo PIS, uključujući:
• i. godišnju projekciju raščlambe regulatornog kapitala za tri godine u skladu s primijenjenom metodom;
• ii. godišnju projekciju regulatornog kapitala za tri godine u skladu s drugim metodama.

Smjernica 5.: Organizacijska struktura

5.1. Podnositelj zahtjeva trebao bi dostaviti opis organizacijske strukture svojeg društva koja se sastoji od:

• a) detaljne organizacijske sheme, koja prikazuje svaku organizacijsku jedinicu, odjel ili slično strukturno razdvajanje, uključujući ime/na odgovorne/ih osoba, posebno osoba odgovornih za funkcije unutarnje kontrole; uz shemu bi trebali biti priloženi opisi funkcija i odgovornosti svake organizacijske jedinice, odjela ili sličnog strukturnog razdvajanja;
• b) ukupnog predviđanja broja zaposlenika za sljedeće tri godine;
• c) opisa relevantnih ugovora o eksterna lizaciji koji se sastoje od:
• i. identiteta i geografske lokacije pružatelja usluge eksternalizacije;
• ii. identiteta osoba unutar institucije za platni promet koje su odgovorne za svaku od eksternaliziranih aktivnosti;
• iii. jasnog opisa eksternaliziranih aktivnosti i njihove glavne karakteristike;
• d) primjerka nacrta ugovora o eksternalizaciji;
• e) opisa uporabe podružnica ili zastupnika, gdje je to primjenjivo, uključujući:
• i. određivanje neizravnih i izravnih provjera koje podnositelj zahtjeva namjerava obaviti, najmanje godišnje, nad podružnicama i zastupnicima te njihova učestalost;
• ii. IT sustav, procese i infrastrukturu kojom se koriste zastupnici podnositelja zahtjeva za obavljanje aktivnosti u ime podnositelja zahtjeva;
• iii. u slučaju zastupnika, politiku odabira, postupke nadzora i obuke zastupnika i, gdje je dostupno, nacrt uvjeta za obavljanje posla;
• iv. naznake nacionalnog i/ili međunarodnog platnog sustava kojem će podnositelj zahtjeva pristupati, ako je primjenjivo;
• f) popisa svih fizičkih ili pravnih osoba koje su usko povezane s p odnositeljem zahtjeva, uz naznaku njihovih identiteta i prirode tih veza.

Smjernica 6.: Dokaz o inicijalnom kapitalu

6.1 Kao dokaz o inicijalnom kapitalu koji podnositelj zahtjeva treba dostaviti (125 000 EUR za usluge od 1. do 5. iz Priloga I. direktivi PSD2; 20 000 EUR za uslugu 6.; i 50 000 EUR za uslugu 7.), podnositelj zahtjeva trebao bi predati sljedeće dokumente:

• a) za postojeća društva, revidirano financijsko izvješće ili izvadak iz javnog registra kojim se potvrđuje iznos kapitala podnositelja zahtjeva;
• b) z a društva u postupku osnivanja, bankovni izvadak izdan od strane banke kojim se potvrđuje da su novčana sredstva uplaćena na bankovni račun podnositelja zahtjeva.

Smjernica 7.: Mjere za zaštitu novčanih sredstava korisnika platnih usluga (primjenjivo samo na platne usluge od 1. do 6.)

7.1. Ako podnositelj zahtjeva štiti novčana sredstva korisnika platnih usluga polaganjem novčanih sredstava na posebnom računu kod kreditne institucije ili ulaganjem u sigurne, likvidne i niskorizične oblike imovine, opis mjera za zaštitu trebao bi sadržavati:

• a) opis politike ulaganja kako bi se osiguralo da je odabrana imovina likvidna, sigurna i niskorizična, ako je primjenjivo;
• b) broj osoba koje imaju pristup računu za zaštitu novčanih sredstava i njihove funkcije;
• c) opis postupka upr avljanja i usklađivanja kako bi se osiguralo da su novčana sredstva korisnika platnih usluga izuzeta u interesu korisnika platnih usluga od potraživanja drugih vjerovnika institucije za platni promet, posebno u slučaju insolventnosti;
• d) presliku nacrta ugovora s kreditnom institucijom;
• e) izričitu izjavu institucije za platni promet o usklađenosti s člankom 10. PSD2.

7.2. Ako podnositelj zahtjeva štiti novčana sredstva korisnika platnih usluga policom osiguranja ili usporedivom garancijom koje su izdali osiguravajuće društvo ili kreditna institucija, opis mjera za zaštitu trebao bi sadržavati sljedeće:

• a) potvrdu da je polica osiguranja ili usporediva garancija koje su izdali osiguravajuće društvo ili kreditna institucija od subjekta koji nije dio iste grupe društava kao podnositelj zahtjeva;
• b) detalje postupka usklađivanja uspostavljenog kako bi se osiguralo da su polica osiguranja ili usporediva garancija dostatni za ispunjavanje obveza podnositelja zahtjeva u pogledu zaštite novčanih sredstava u svakom trenutku;
• c) trajanje i obnavljanje pokrića;
• d) presliku (nacrt) ugovora o osiguranju ili (nacrt) usporedive garancije.

Smjernica 8.: Sustav upravljanja i mehanizmi unutarnje kontrole

8.1. Podnositelj zahtjeva trebao bi dostaviti opis sustava upravljanja i mehanizama unutarnje kontrole koji se sastoje od:

• a) raspoređivanja rizika utvrđenih od strane podnositelja zahtjeva, uključujući vrstu rizika i postupke koje će podnositelj zahtjeva uspostaviti radi procjene i sprječavanja takvih rizika;
• b) različitih postupaka za provođenje povremenih i trajnih kontrola uključujući njihovu učestalost i raspoređene ljudske resurse;
• c) računovodstvenih postupaka kojima će podnositelj zahtjeva evidentirati svoje financijske podatke i izvješćivati o njima;
• d) identiteta osobe/a odgovorne/ih za funkcije unutarnje kontrole, uključujući povremene i trajne kontrole i kontrole usklađenosti, kao i ažuriran životopis;
• e) identiteta svakog revizora koji nije ovlašteni revizor u skladu s Direktivom 2006/43/EZ;
• f) sastava upravljačkog tijela i, ako je primjenjivo, bilo kojeg drugog nadzornog tijela ili odbora;
• g) opisa načina na koji se nadziru i kontroliraju eksternalizirane funkcije kako bi se izbjeglo narušavanje kvalitete unutarnjih kontrola institucije za platni promet;
• h) opisa načina na koji se nadziru i kontroliraju zastupnici i podružnice u okviru unutarnjih kontrola podnositelja zahtjeva;
• i) ako je podnositelj zahtjeva društvo kćer reguliranog subjekta u drugoj državi članici EU - a, opisa upravljanja u grupi.

Smjernica 9.: Postupak praćenja, rješavanja i postupanja nakon sigurnosnih incidenata ili prigovora klijenata povezanih sa sigurnosti

9.1. Podnositelj zahtjeva trebao bi dostaviti opis uspostavljenog postupka za praćenje, rješavanje i postupanje nakon sigurnosnih incidenata i prigovora klijenata povezanih sa sigurnos ti koju treba pružiti podnositelj zahtjeva, koji bi trebao sadržavati:

• a) organizacijske mjere i alate za sprječavanje prijevara;
• b) podatke o osobi/ama i tijelima odgovornim za pomaganje klijentima u slučaju prijevare, tehničkim pitanjima i/ili upravljanju zahtjevima;
• c) linije izvještavanja u slučaju prijevara;
• d) kontaktnu točku za klijente, uključujući ime i adresu e - pošte;
• e) postupke za izvješćivanje o incidentima, uključujući dostavu tih izvješća unutarnjim i vanjskim tijelima, uključujući izvješćivanje nacionalnih nadležnih tijela o značajnim incidentima na temelju članka 96. PSD2, a u skladu sa smjernicama EBA - e o izvješćivanju
• o incidentima na temelju navedenog članka.
• f) upotrijebljene alate za praćenje i uspostavljene prateće mjere i postupke za ublažavanje sigurnosnih rizika.

Smjernica 10.: Proces za pohranu, nadzor, praćenje i ograničavanje pristupa osjetljivim podacima o plaćanju

10.1. Podnositelj zahtjeva trebao bi dostaviti opis uspostavljenog procesa za pohranu, nadzor, praćenje i ograničavanje pristupa osjetljivim podacima o plaćanju koji se sastoji od:

• a) opisa tokova podataka klasificiranih kao osjetljivi podaci o plaćanju u kontekstu poslovnog modela institucije za platni promet;
• b) uspostavljenih postupaka za odobravanje pristupa osjetljivim podacima o plaćanju;
• c) opisa alata za praćenje;
• d) politike prava pristupa, s detaljima o pristupu svim relevantnim dijelovima infrastrukture i sustavima, uključujući baze podataka i infrastrukture podrške;
• e) opis načina pohrane prikupljenih podataka, osim ako podnositelj zahtjeva namjerava pružati samo PIS;
• f) očekivane unutarnje i/ili vanjske upotrebe prikupljenih podataka, uključujući od strane drugih ugovornih strana, osim ako podnositelj zahtjeva namjerava pružati samo PIS;

tokenizaciju;

• h) identifikacije osoba, tijela i/ili odbora s pravom pristupa osjetljivim podacima o plaćanju;
• i) objašnjenja o tome kako će se otkrivati i rješavati neovlašteni upadi;
• j) godišnjeg programa unutarnje kontrole u vezi sa sigurnosti IT sustava.

Smjernica 11.: Održavanje kontinuiteta poslovanja

11.1. Podnositelj zahtjeva trebao bi dostaviti opis postupaka održavanja kontinuiteta poslovanja koji se sastoji od sljedećih podataka:

• a) analize utjecaja na poslovanje, uključujući poslovne procese i ciljeve oporavka, kao što su ciljana vremena oporavka, ciljane točke oporavka podataka i zaštićena imovina;
• b) identifikacije pričuvne lokacije, pristupa IT infrastrukturi i ključnom softveru te podacima za oporavak od kriznih situacija ili porem ećaja;
• c) objašnjenje o tome kako će se podnositelj zahtjeva suočavati sa značajnim događajima i poremećajima koji narušavaju kontinuitet poslovanja, kao što je pad ključnih sustava, gubitak ključnih podataka, nedostupnost prostora i gubitak ključnih osoba;
• d) u čestalosti kojom podnositelj zahtjeva namjerava testirati kontinuitet poslovanja i planove za oporavak od kriznih situacija, uključujući način na koji će rezultati testiranja biti evidentirani;
• e) opisa mjera za ublažavanje koje podnositelj zahtjeva treba donijeti, u slučajevima prestanka njegovih platnih usluga, kojima se osigurava izvršenje platnih transakcija u tijeku, te prestanak postojećih ugovora.

Smjernica 12.: Načela i definicije koje se primjenjuju na prikupljanje statističkih podataka o izvedbi, transakcijama i prijevarama

12.1. Podnositelj zahtjeva trebao bi dostaviti opis načela i definicija koji se primjenjuju na prikupljanje statističkih podataka o izvedbi, transakcijama i prijevarama koji se sastoji od sljedećih podataka:

• a) vrste podataka koji se pri kupljaju, u vezi s klijentima, vrstom platne usluge, kanala, instrumenata, nadležnostima i valutama;
• b) opsega prikupljanja, u odnosu na aktivnosti i dotične subjekte, uključujući podružnice i zastupnike;
• c) načina prikupljanja;
• d) svrhe prikupljanja;
• e) učestalosti prikupljanja;
• f) popratnih dokumenata, kao što je priručnik, u kojem se opisuje kako sustav funkcionira.

Smjernica 13.: Dokument o sigurnosnoj politici

13.1. Podnositelj zahtjeva trebao bi dostaviti dokument o sigurnosnoj politici koji sadrži sljedeće podatke:

• a) detal jnu procjenu rizika u pogledu platne/ih usluge/a koje podnositelj zahtjeva namjerava pružati, koja bi trebala uključivati rizike od prijevare te sigurnosne kontrolne mjere i mjere za ublažavanje poduzete za adekvatnu zaštitu korisnika platnih usluga od utv rđenih rizika;
• b) opis IT sustava, koji bi trebao uključivati:
• i. arhitekturu sustava i njihovih mrežnih elemenata;
• ii. poslovne IT sustave koji podržavaju poslovne aktivnosti koje se pružaju, kao što su internetska stranica podnositelja zahtjeva, novčanici, mehanizam za obradu plaćanja mehanizam upravljanja rizikom i prijevarama te način praćenja korisnika;
• iii. sustave IT podrške koji se koriste za organizaciju i administraciju podnositelja zahtjeva, kao što su računovodstvo, sustavi pravnog izvještavanja, upravl janje zaposlenicima, upravljanje odnosima s klijentima, poslužitelji e - pošte i interni poslužitelji datoteka;
• iv. informaciju o tome koristi li već podnositelj zahtjeva ili njegova grupa ove sustave i procijenjeni datum provedbe, ako je primjenjivo;
• c) vrstu odob renih veza izvana, kao što su partneri, pružatelji usluga, subjekti grupe i zaposlenici koji rade s udaljenosti, uključujući razlog za takve veze;
• d) za svaku od veza navedenih pod točkom c), uspostavljene logičke sigurnosne mjere i mehanizme, uz navođenje kontrole koju će podnositelj zahtjeva imati nad takvim pristupom, kao i prirodu i učestalost svake kontrole, kao što je tehnička naspram organizacijske; preventivna naspram detektivne; te praćenje u stvarnom vremenu naspram redovitih provjera, kao što je upotreba aktivnog direktorija odvojeno od grupe, otvaranje/zatvaranje linija komunikacije, konfiguracija sigurnosne opreme, generiranje

povjerljivost komunikacije, otkrivan je neovlaštenog pristupa, antivirusni sustavi i zapisi;

• e) logičke sigurnosne mjere i mehanizme koji uređuju unutarnji pristup IT sustavima, koji trebaju uključivati:
• i. tehničku i organizacijsku prirodu i učestalost svake mjere, između ostalog je li preventivna ili detektivna te izvršava li se u stvarnom vremenu ili ne;
• ii. kako se postupa po pitanju podjele okruženja klijenta u slučajevima gdje su IT resursi podnositelja zahtjeva zajednički;
• f) fizičke sigurnosne mjere i mehanizme za zaštitu prostora i podatkovnog cen tra podnositelja zahtjeva, kao što su kontrole pristupa i sigurnost okoline;
• g) sigurnost procesa plaćanja, koja bi trebala uključivati:
• i. postupak autentifikacije klijenta koji se koristi za savjetodavni i transakcijski pristup te za sve osnovne platne instrum ente;
• ii. objašnjenje o tome kako je osigurana sigurna dostava zakonitom korisniku platne usluge i cjelovitost autentifikacijskih faktora, kao što su hardverski tokeni i mobilne aplikacije, u trenutku početne dodjele i obnavljanja;
• iii. opis sustava i postupaka koje je uspostavio podnositelj zahtjeva za analizu transakcija i identifikaciju sumnjivih ili neuobičajenih transakcija;
• h) detaljnu procjenu rizika s obzirom na vlastite platne usluge, uključujući prijevare, s poveznicom na mjere kontrole i ublažavanja objašnjene prilikom podnošenja zahtjeva, iz čega je vidljivo da je problem rizika obuhvaćen;
• i) popis glavnih pisanih postupaka koji se odnose na IT sustave podnositelja zahtjeva ili, za postupke koji još nisu formalizirani, procijenjeni datum za njihovu finalizaciju.

Smjernica 14.: Mehanizmi unutarnjih kontrola za usklađivanje s obvezama u vezi s pranjem novca i financiranjem terorizma (AML/CFT obveze)

14.1. Opis mehanizama unutarnje kontrole koje je podnositelj zahtjeva uspostavio kako bi ispunjavao, ako je primjenjivo, ove obveze trebao bi sadržavati sljedeće informacije:

• a) procjenu podnositelja zahtjeva o rizicima od pranja novca i financiranja terorizma povezanim s njegovim poslovanjem, uključujući rizike povezane s bazom klijenata podnositelja zahtjeva, proizvodima i uslugama, kanalima dostave i geografskim područjima djelovanja;
• b) mjere koje je podnositelj zahtjeva uspostavio ili koje će uspostaviti za smanjivanje rizika i ispunjavanja primjenjivih obveza u pogledu sprječavanja pranja novca i borbe protiv financiranja t erorizma, uključujući proces procjene rizika podnositelja zahtjeva, politike i postupke za ispunjavanje zahtjeva za dubinsku analizu klijenta te politike i postupke za otkrivanje i prijavljivanje sumnjivih transakcija ili aktivnosti;
• c) sustave i kontrole koj e je podnositelj zahtjeva utvrdio ili će utvrditi kako bi osigurao da njegove podružnice i zastupnici ispunjavaju primjenjive zahtjeve za sprječavanje pranja novca i borbu protiv financiranja terorizma, uključujući slučajeve kada se zastupnik ili podružnica nalazi u drugoj državi članici;
• d) rješenja koja je podnositelj zahtjeva utvrdio ili će utvrditi kako bi osigurao da su djelatnici i zastupnici primjereno osposobljeni po pitanjima sprječavanja pranja novca i borbe protiv financiranja terorizma;
• e) identitet osobe odgovorne za osiguravanje usklađenosti podnositelja zahtjeva s obvezama koje se odnose na sprječavanje pranja novca i borbu protiv financiranja terorizma i dokaz da je njihova stručnost u sprječavanju pranja novca i borbi protiv terorizma dovoljna da im omogući učinkovito ispunjavanje ove zadaće;
• f) sustave i kontrole koje je podnositelj zahtjeva uspostavio ili će uspostaviti kako bi osigurao da su njegove politike i postupci za sprječavanje pranja novca i borbu protiv financiranja terorizma ažurni, učinkoviti i relevantni;
• g) sustave i kontrole koje je podnositelj zahtjeva uspostavio ili će uspostaviti kako bi osigurao da zastupnici ne izlože podnositelja zahtjeva povećanom riziku od pranja novca i financiranja terorizma;
• h) priručnik za djelatnike podnositelja zahtjeva o sprječavanju pranja novca i borbi protiv terorizma;

Smjernica 15.: Identitet i primjerenost imatelja kvalificiranog udjela kod podnositelja zahtjeva

15.1 Za potrebe identiteta i dokaza primjerenosti imatelja kvalificiranog udjela u podnositelju zah tjeva za instituciju za platni promet, ne dovodeći u pitanje procjenu u skladu s kriterijima, kako je relevantno, uvedeno Direktivom 2007/44/EZ i navedeno u Zajedničkim smjernicama za bonitetnu procjenu stjecanja i povećanja kvalificiranih udjela u (JC/GL/2016/01), podnositelj zahtjeva trebao bi dostaviti sljedeće informacije:

• a) opis grupe kojoj podnositelj zahtjeva pripada i podatke o matičnom društvu, ako je primjenjivo;
• b) grafički prikaz u kojem se utvrđuje struktura dioničara podnositelja zahtjeva, uključujući:
• i) naziv i postotak udjela (kapitala / prava glasa) svake osobe koja ima ili će imati izravan udio u dioničkom kapitalu podnositelja zahtjeva, čime se utvrđuju oni koji se smatraju imateljima kvalificiranih udjela, kao razlozi za takve kvalifikacije;
• ii) naziv i postotak udjela (kapitala / prava glasa) svake osobe koja ima ili će imati neizravan udio u dioničkom kapitalu podnositelja zahtjeva, čime se utvrđuju oni koji se smatraju neizravnim imateljima kvalificiranih udjela, kao i razlozi za takve kvalifikaci je;
• c) popis imena svih osoba i drugih subjekata koji imaju ili će imati, u slučaju izdavanja odobrenja, kvalificirane udjele u kapitalu podnositelja zahtjeva, navodeći za svaku osobu ili subjekt:
• i. broj i vrstu upisanih dionica ili drugih udjela ili onih koji će se upisati;
• ii. nominalnu vrijednost takvih dionica ili drugih udjela.

15.2 Ako je osoba koja ima ili će imati, u slučaju izdavanja odobrenja, kvalificirani udio u kapitalu podnositelja zahtjeva, fizička osoba, u zahtjevu bi se trebale navesti sve sljedeće infor macije koje se odnose na identitet i primjerenost te osobe:

• a) prezime i ime osobe, datum i mjesto rođenja, državljanstvo (trenutačno i prethodno), identifikacijski broj (ako je dostupan) ili broj putovnice, adresu i presliku službenog identifikacijskog dokumenta;
• b) detaljan životopis u kojemu se navode obrazovanje i usavršavanje, prethodno radno iskustvo i sve stručne aktivnosti ili druge funkcije koje se trenutačno obavljaju;
• c) izjavu, uz priložene popratne dokumente, koja sadrži sljedeće informacije o osob i:
• i. sve presude za kazneno djelo ili postupke u kojima je osoba proglašena krivom, a koji nisu ukinuti; podložno zahtjevima nacionalnog zakonodavstva koji se odnose na davanje podataka o brisanim kaznama;
• ii. sve odluke u građanskim ili upravnim postupcima u pitanjima važnim za postupak procjene ili izdavanja odobrenja, ako je donesena odluka protiv osobe, kao i sve upravne sankcije ili mjere izrečene kao posljedica kršenja zakona ili propisa (uključujući zabranu obavljanja funkcije direktora društva), u svakom slučaju one koje nisu ukinute i protiv kojih žalba nije u tijeku ili ju nije moguće podnijeti;
• iii. sve stečajne postupke, postupke u slučaju insolventnosti ili slične postupke;
• iv. sve kaznene istrage u tijeku;
• v. sve građanske ili upravne istrage, postupke prisilnog izvršenja, sankcije ili druge odluke o prisilnom izvršenju protiv osobe u vezi s pitanjima koja se mogu smatrati relevantnima za izdavanje odobrenja za započinjanje djelatnosti institucije za platni promet ili za pouzdano i bonitetno upravljanje institucijom za platni promet;
• vi. službenu potvrdu ili neki drugi istovrijedni dokument kojim se dokazuje jesu li se neki od događaja utvrđeni u podstavcima od (i) do (v) dogodili u odnosu na relevantnu osobu, ako je takav dokument moguće ishoditi;
• vii. svako odbijanje registracije, odobrenja, članstva ili dozvole za obavljanje trgovačke, poslovne ili stručne djelatnosti;
• viii. svako oduzimanje, opozivanje ili otkazivanje registracije, odobrenja, članstva ili dozvole za obavljanje trgovačke, poslovne ili stručne djelatnosti;
• ix. svako isključenje od strane tijela ili subjekta javnog sektora u sektoru financijskih usluga ili od strane stručnog tijela ili udruženja;
• x. svaka osoba na odgovornom položaju kod subjekta koji je podlijegao bilo kakvoj osuđujućoj presudi ili postupku za kazneno djelo, upravnim istragama, sankcijama ili drugim odlukama o prisilnom izvršenju za neprimjereno ponašanje, između ostalog u pogledu prijevara, nečasnog postupanja, korupcije, pranja novca, financiranja terorizma ili drugog financijskog kaznenog djela, ili za neprovođenje odgovarajućih politika ili postupaka za sprječavanje takvih događaja, na kojem položaju je osoba bila u vrijeme spornog događaja, zajedno s pojedinostima o takvim slučajevima i o mogućem sudjelovanju dotične osobe u njima, ukoliko ih j e bilo;
• xi. svako otpuštanje s radnog mjesta ili položaja od povjerenja, svako udaljavanje iz fiducijarnog odnosa (osim završetka relevantnog odnosa uslijed proteka vremena) i sve slične situacije;
• d) popis društava kojima osoba upravlja ili ih kontrolira, s čime je podnositelj zahtjeva upoznat nakon pravovremenog i pažljivog ispitivanja; postotak izravne ili neizravne kontrole u tim društvima; njihov status (jesu li aktivna ili ne, ili su prestala s radom, itd.); i opis postupka u slučaju insolventnosti ili sličnih postupaka;
• e) ako je procjena ugleda osobe već provedena od strane nadležnog tijela u sektoru financijskih usluga, identitet tog nadležnog tijela i rezultat procjene;
• f) trenutačni financijski položaj osobe, uključujući pojedinosti koje se odnose na izvore p rihoda, imovinu i obveze, založna prava i jamstva, dana ili primljena,
• g) opis svih poveznica s politički izloženim osobama, kako je definirano u članku 3. stavku 9. Direktive (EU) 2015/849² .

15.3 Ako osoba ili subjekt koji ima ili će imati, u slučaju izdavanja od obrenja, kvalificirani udio u kapitalu podnositelja zahtjeva (uključujući subjekte koji nisu pravne osobe i koji imaju ili bi trebali imati sudjelujući udio na vlastito ime), zahtjev bi trebao sadržavati sljedeće informacije koje se odnose na identitet i primjerenost pravne osobe ili subjekta:

• a) naziv;
• b) ako je pravna osoba ili subjekt registriran u središnjem registru, poslovnom registru, registru društava ili sličnom registru koji ima istu svrhu kao gore navedeni, potvrdu o stabilnom poslovanju, ako je moguće, odnosno potvrdu o registraciji;
• c) adrese registriranog sjedišta i, ako su različite, adresu mjesta uprave i glavnog mjesta poslovanja;
• d) podatke za kontakt;
• e) poslovne dokumente ili, ako je osoba ili subjekt registriran u drugoj državi članici, sažetak koji objašnjava glavna pravna obilježja pravnog oblika ili subjekta;
• f) je li pravna osoba ili subjekt ikad bila ili je regulirana od strane nadležnog tijela u sektoru financijskih usluga ili drugog državnog tijela;
• g) službenu potvrdu ili drugi istovrijedni dokument kojim se dokazuju informacije utvrđene u stavcima od (a) do (e) izdanu od strane odgovarajućeg nadležnog tijela, ako se takav dokument može ishoditi;
• h) informacije navedene u Smjernicama 15.2. (c),15.2. (d) 15.2. (e), 15.2. (f), i 15.2. (g) u pogledu pravne osobe ili subjekta;
• i) popis koji sadržava detalje o svakoj osobi koja stvarno upravlja poslovanjem pravne osobe ili subjekta, uključujući njihovo ime, datum i mjesto rođenja, adresu, njihov nacionalni identifikacijski broj, ako je dostupan, te detaljni životopis (uz navođenje

aktivnosti ili drugih relevantnih funkcija koje se trenutačno obavljaju), zajedno s informacijama navedenim u Smjernicama 15.2. (c) i 15.2. (d) u pogledu svake od navedenih osoba;

• j) dioničarsku strukturu pravne osobe, uključujući barem njihovo ime, datum i mjesto rođenja, adresu i, ako je dostupno, osobni identifikacijski broj ili registracijski broj te pojedinačni udio kapitala i glasačka prava izravnih ili neizravnih dioničara ili članova i stvarnih vlasnika, kako je definirano u članku 3. stavku 6. Direktive (EU) 2015/849;
• k) opis regulirane financijske grupe kojoj podnositelj zahtjeva pripada, ili kojoj bi mogao pripasti, navodeći matično društvo i kreditne osiguravajuće i sigurnosne subjekte unutar grupe; naziv njihovih nadležnih tijela (na pojedinačnoj ili konsolidiranoj osnovi); i
• l) godišnja financijska izvješća, na pojedinačnoj i, ako je primjenjivo, konsolidiranoj i potkonsolidiranoj razini grupe, za posljednje tri financijske godine, ako je pravna osoba ili subjekt poslovao u tom razdoblju (ili, ako posluje kraće od tri godine, za razdoblje u kojem je pravna osoba ili subjekt poslovao i za koje su sastavljeni financijski izvještaji), odobrena od strane o vlaštenog revizora ili revizorskog društva u smislu Direktive 2006/43/EZ³ , ako je primjenjivo, uključujući svaku od sljedećih stavki:
• i. bilancu,
• ii. račun dobiti i gubitka ili izvješće o prihodu;
• iii. godišnja izvješća i financijske priloge i sve druge dokumente pred ane u mjerodavne evidencije ili nadležnom tijelu pravne osobe;
• m) ako pravna osoba nije poslovala tijekom razdoblja koje je dovoljno za obvezu pripreme financijskih izvještaja za tri financijske godine neposredno prije datuma podnošenja zahtjeva, u zahtjevu s e navode postojeći financijski izvještaji (ako postoje);

regulatornom režimu dotične treće država ako je primjenjivo za pravnu osobu ili subjekta, uključujući podatke o tome do koje je mjere režim treće države za sprječavanje pranja novca i borbu protiv financiranja terorizma u skladu s preporukama Radne skupine za financijsko djelovanje;

• o) za subjekte koji nemaju pravnu osobnost poput društva za zajedničko ulaganje, državnog inves ticijskog fonda ili trusta, u zahtjevu se navode sljedeće informacije:
• i. identitet osoba koje upravljaju imovinom i osoba koje su korisnici ili upisnici udjela;
• ii. presliku dokumenta kojim se osniva i upravlja subjektom uključujući investicijsku politiku i sv a ograničenja ulaganja koja se primjenjuju na subjekt.

15.4. U zahtjevu se navode sve sljedeće informacije za svaku fizičku ili pravnu osobu ili subjekta

podnositelja zahtjeva:

• a) detalji o financijskim ili poslovnim razlozima dotične osobe ili subjekta za posjedovanje navedenog udjela te strategija osobe ili subjekta u vezi s udjelom, uključujući razdoblje u kojem osoba ili subjekt namjerava držati udio te namjere za povećanje, smanjenje ili održavanje razine udjela u doglednoj budućnosti;
• b) detalji o namjerama osobe ili subjekta u vezi s podnositeljem zahtjeva i o utjecaju koji osoba ili subjekt namjerava ostvariti nad podnositeljem zahtjeva, između ostalog u pogledu politike dividende, strateškog razvoja i raspodjele resursa podnositelja zahtjeva, namjerava li ili ne namjerava djelovati kao aktivni manjinski dioničar te razlozi za takvu namjeru;
• c) informacije o spremnosti osobe ili subjekta za pružanje potpore podnositel ju zahtjeva dodatnim regulatornim kapitalom ako je to potrebno za razvoj njegovih aktivnosti ili u slučaju financijskih poteškoća;
• d) sadržaj svih planiranih sporazuma dioničara ili članova s drugim dioničarima ili članovima s obzirom na podnositelja zahtjeva ;
• e) analizu toga hoće li kvalificirani udio na bilo koji način, uključujući kao rezultat uske povezanosti s podnositeljem zahtjeva, utjecati na sposobnost podnositelja zahtjeva da pruža pravovremene i točne informacije nadležnim tijelima;
• f) identitet svakog člana upravljačkog tijela ili više uprave koji će upravljati poslovanjem podnositelja zahtjeva i koji će biti imenovan, ili predložen, od strane dotičnih dioničara ili članova, zajedno s informacijama navedenim u Smjernici 16, u mjeri u kojoj već nisu dosta vljene.

15.5. U zahtjevu je potrebno navesti detaljno objašnjenje posebnih izvora financiranja za sudjelovanje svake osobe ili subjekta koji posjeduju kvalificirani udio u kapitalu podnositelja zahtjeva, koje bi trebalo uključivati:

• a) detalje o upotrebi privatnih financijskih resursa, uključujući njihovu dostupnost i (kako bi se osiguralo da se nadležno tijelo uvjerilo da je aktivnost koja je generirala novčana sredstva zakonita) izvor;
• b) pojedinosti o pristupu financijskim tržištima, uključujući pojedinosti o financ ijskim instrumentima koji će se izdati,
• c) informacije o upotrebi posuđenih novčanih sredstava, uključujući ime vjerovnika i pojedinosti o odobrenim sredstvima, kao što su dospijeća, uvjeti, založna prava i jamstava, kao i informacije o izvoru prihoda koji će se koristiti za otplatu navedenih posudbi; ako vjerovnik nije kreditna institucija ili financijska institucija ovlaštena za odobravanje kredita, podnositelj zahtjeva trebao bi dostaviti nadležnim tijelima informacije o podrijetlu posuđenih novčanih sredstava;
• d) informacije o svim financijskim ugovorima s drugim osobama koje su dioničari ili članovi podnositelja zahtjeva. Smjernica 16.: Identitet i primjerenost direktora i osoba odgovornih za upravljanje institucijom za platni promet

16.1. U svrhu procjene identite ta i primjerenosti direktora i osoba odgovornih za upravljanje institucijom za platni promet, podnositelj zahtjeva trebao bi dostaviti sljedeće informacije:

• a) osobne podatke, uključujući:
• i. njihovo puno ime, spol, mjesto i datum rođenja, adresu i nacionalnost te osobni identifikacijski broj ili presliku osobne iskaznice ili drugog identifikacijskog dokumenta;
• ii. podatke o položaju za koji se traži procjena, bilo da je položaj u upravljačkom tijelu izvršan ili neizvršan. Trebali bi biti obuhvaćeni sljedeći podaci:

• b) ako je primjenjivo, informacije o procjeni primjerenosti koju je proveo podnositelj zahtjeva, a koje bi trebale uključivati pojedinosti o rezultatu svake procjene primjerenosti osobe koju je provela institucija, kao što su relevantni zapisnici sa sastanka uprave ili izvješća o procjeni primjerenosti ili drugi dokumenti;
• c) dokaz o zna nju, vještinama i iskustvu, koji bi trebali uključivati životopis koji sadrži podatke o obrazovanju i radnom iskustvu, uključujući akademsko obrazovanje, drugo relevantno usavršavanje, naziv i vrstu svih organizacija za koje osoba radi ili je radila te vrs tu i trajanje njezinih funkcija, s posebnim osvrtom na sve aktivnosti iz područja traženog položaja;
• d) dokaz o ugledu, poštenju i čestitosti, koji bi trebao uključivati:
• i. izvadak iz kaznene evidencije i relevantne podatke o kaznenim istragama i postupcima, r elevantnim građanskim i upravnim predmetima te o disciplinskim postupcima, uključujući zabranu obavljanja funkcije direktora društva, stečajne postupke, postupke u slučaju insolventnosti i slične postupke, ponajprije u obliku službene potvrde ili nekog objektivno pouzdanog izvora informacija koji se odnosi na nepostojanje kaznene osuđujuće presude, istraga i postupaka, kao što su istrage trećih strana i iskazi odvjetnika ili bilježnika s poslovnim nastanom u Europskoj uniji;
• ii. izjavu o tome jesu li kazneni po stupci u tijeku ili je osoba ili organizacija kojom upravlja sudjelovala kao dužnik u postupcima u slučaju insolventnosti ili usporedivim postupcima;
• iii. informacije koje se odnose na sljedeće:

Smjernica 17.: Identitet ovlaštenih revizora i revizorskih društava

Identitet ovlaštenih revizora i revizorskih društava kako su definirani u Direktivi 2006/43/EZ koje podnositelj zahtjeva treba dostaviti, ako je relevantno, trebao bi sadržavati imena, adrese i podatke za kontakt za revizora.

Smjernica 18.: Osiguranje od profesionalne odgovornosti ili usporediva garancija za usluge iniciranja plaćanja i usluge informiranja o računu

Kao doka z osiguranja od profesionalne odgovornosti ili usporedive garancije koji je u skladu sa

profesionalne odgovornosti ili druge usporedive garancije (EBA/GL/2017/08) i člankom 5. stavcima 2. i 3. PSD2, podnositelj zahtjeva za pružanje PIS -a i AIS- a trebao bi dostaviti sljedeće informacije:

• a) ugovor o osiguranju ili drugi istovrijedni dokument kojim se potvrđuje postojanje osiguranja od profesionalne odgovornosti ili usporedive garancije, s iznosom pokrića koji je u skladu s navedenim Smjernicama EBA- e, u kojem se prikazuje pokriće za relevant ne obveze;
• b) dokumentaciju o tome kako je podnositelj zahtjeva izračunao minimalni iznos na način koji je u skladu sa navedenim Smjernicama EBA- e, uključujući sve u njima navedene primjenjive komponente formule.

² Direktiva (EU) 2015/849 Europskog parlamenta i Vijeća od 20. svibnja 2015. o sprečavanju korištenja financijskog sustava u svrhu pranja novca ili financiranja terorizma (SL 141, 5.6.2015., str. 73.).

³ Direktiva 2006/43/EZ Europskog parlamenta i Vijeća od 17. svibnja 2006. o zakonskim revizijama godišnjih financijskih izvještaja i konsolidiranih financijskih izvještaja, kojom se mijenjaju direktive Vijeća 78/660/EEZ i 83/349/EEZ i stavlja izvan snage Direktiva Vijeća 84/253/EEZ (SL L 157, 9.6.2006., str. 87. – 107.).

Smjernica 1.: Opća načela

1.1 Ova grupa smjernica primjenjuje se na podnositelje zahtjeva za registraciju kao pružatelji usluga informiranja o računima (AISP - ovi). Ovo se odnosi na podnositelje zahtjeva koji namjeravaju pružati samo usluge informiranja o računima (AIS). Ako podnositelj zahtjeva namjerava pružati dodatne usluge pored AIS -a, trebao bi podnijeti zahtjev za odobrenje i uputiti se na smjernice utvrđene u odjeljku 4.1. za institucije za platni promet (IPP - ove).

1.2 Informacije koje podnositelji zahtjeva dostave trebaju biti istinite, potpune, točne i ažurne. Svi podnositelji zahtjeva trebaju poštovati sve odredbe utvrđene u smjernicama koje se na njih primjenjuju. Razina detalja koji se trebaju poštovati trebala bi biti razmjerna veličini podnositelja zahtjeva i unutarnjoj organizaciji te prirodi, opsegu, složenosti i rizičnosti pojedinih usluga koje podnositelj zahtjeva namjerava pružati. U svakom slučaju, u skladu s Direktivom (EU) 2015/2366, direktori i osobe odgovorne za upravljanje institucijom za platni promet imaju dobar ugled i odgovarajuće znanje i iskustvo u obavljanju platnih usluga, bez obzira n a veličinu institucije, unutarnju organizaciju te prirodu, opseg i složenost njezinih aktivnosti i dužnosti te odgovornosti određenog položaja.

1.3 Kod podnošenja traženih informacija, podnositelj zahtjeva trebao bi izbjegavati upućivanje na određene dijelove internih postupaka/dokumenta. Umjesto toga, podnositelj zahtjeva trebao bi izdvojiti relevantne dijelove i dostaviti ih nadležnom tijelu (NT).

1.4 Ako bi NT- ovi zahtijevali pojašnjenja u vezi s informacijama koje su podnesene, podnositelj zahtjeva treba dostav iti iste bez odgađanja.

1.5 Svi podaci koji se zahtijevaju u skladu s ovim smjernicama za registraciju u svojstvu pružatelja usluga informiranja o računu (AISP) potrebni su za procjenu zahtjeva i nadležno tijelo će s njima postupati u skladu s obvezama poslov ne tajne utvrđenima u PSD2, ne dovodeći u pitanje pravo Unije i nacionalne zahtjeve o ostvarivanju prava na pristupanje, ispravljanje, otkazivanje ili protivljenje. Smjernica 2.: Identifikacijski podaci

2.1 Ako je podnositelj zahtjeva fizička osoba, identifika cijski podaci koje podnositelj zahtjeva treba dostaviti trebali bi sadržavati sljedeće informacije:

• a) ime, adresu, nacionalnost, datum i mjesto rođenja;
• b) presliku identifikacijske iskaznice ili istovrijednog identifikacijskog dokumenta;
• c) ažurirani životopis;
• d) p rovjeru iz kaznene evidencije ne stariju od 3 mjeseca;
• e) ime/na osobe/a odgovornih za podnošenje zahtjeva i postupak registracije te podatke za kontakt;

2.2 Ako je podnositelj zahtjeva pravna osoba, identifikacijski podaci koje podnositelj zahtjeva treba dostav iti trebali bi sadržavati sljedeće informacije:

• a) poslovni naziv podnositelja zahtjeva i, ako se razlikuje, trgovački naziv;
• b) naznaku je li podnositelj zahtjeva već osnovan ili je u postupku osnivanja;
• c) nacionalni identifikacijski broj podnositelja zahtjeva, ako je primjenjivo;
• d) pravni status i statut (nacrt statuta) podnositelja zahtjeva i/ili dokumente o osnivanju kojima se dokazuje pravni status podnositelja zahtjeva;
• e) adresu mjesta uprave podnositelja zahtjeva i registriranog sjedišta;
• f) elektroničku adresu i internetska stranicu podnositelja zahtjeva, ako su dostupne;
• g) ime osobe/a odgovorne/ih za podnošenje zahtjeva i postupak registracije i njihovi podaci za kontakt;
• h) naznaku je li podnositelj zahtjeva ikada bio, ili je trenutačno, reguliran od strane nadležnog tijela u sektoru financijskih usluga;
• i) izvadak iz sudskog registra ili, ako je primjenjivo, izvadak iz sudskog registra kojim se potvrđuje da je naziv koji trgovačko društvo primjenjuje dostupan;
• j) dokaz o plaćanju svih naknada ili depozita novčanih sredstava za podnošenje prijave za registraciju kao pružatelj usluga informiranja o računu, gdje je to primjenjivo u skladu s nacionalnim pravom. Smjernica 3.: Program poslovanja

3.1. Program poslovanja koji podnositelj zahtjeva treba dostaviti trebao bi sadržavati sljedeće informacije:

• a) opis usluge informiranja o računu koju namjerava pružati, uključujući objašnjenje o tome kako je podnositelj zahtjeva utvrdio da aktivnost odgovara definiciji usluga informiranja
• o računu kako je definirana u članku 4. stavku 16. Direktive (EU) 2015/2366 (PSD2);
• b) izjavu podnositelja zahtjeva da ni u jednom trenutku neće ulaziti u posjed novčanih sredstava;
• c) opis usluge informiranja o računu uključujući:
• i. nacrte ugovora između svih uključenih strana, ako je primjenjivo;
• ii. uvjete pružanja usluga informiranja o računu;
• iii. vremena obrade;
• d) procijenjeni broj različitih prostora iz kojih podnositelj zahtjeva namjerava pružati usluge, ako je primjenjivo;
• e) opis svih pomoćnih usluga povezanih s uslugom informiranja o računu, ako je primjenjivo;
• f) izjavu o t ome namjerava li podnositelj zahtjeva pružati usluge informiranja o računu u drugoj državi članici EU - a ili trećoj državi nakon registracije;
• g) naznaku o tome namjerava li podnositelj zahtjeva iduće tri godine pružati ili već pruža druge poslovne djelatnosti osim usluge informiranja o računu kako su navedene u članku 18. Direktive (EU) 2015/2366, uključujući opis vrste i očekivani obujam aktivnosti;
• h) informacije navedene u Smjernicama EBA- e o kriterijima za određivanje minimalnog novčanog iznosa za osiguranje od profesionalne odgovornosti ili druge usporedive garancije na temelju članka 5. stavka 4. Direktive (EU) 2015/2366 (EBA/GL/2017/08) ako podnositelj zahtjeva namjerava pružati samo uslugu 8 (AIS).

Smjernica 4.: Poslovni plan

4.1. Poslovni plan koji podnositel j zahtjeva treba dostaviti trebao bi sadržavati:

• a) marketinški plani koji se sastoji od:
• i. analize konkurentnog položaja društva;
• ii. opisa korisnika usluga informiranja o računu u dotičnom tržišnom segmentu informiranja o računu, marketinške materijale i distribucijske kanale;
• b) ovjerene godišnje financijske izvještaje za posljednje tri godine, ako su dostupni, ili sažetak financijskog stanja za one podnositelje zahtjeva koji još nisu izradili godišnje financijske izvještaje;
• c) izračun projekcije proračuna za prve tri financijske godine kojim se pokazuje da je podnositelj zahtjeva sposoban upotrebljavati adekvatne i razmjerne sustave, resurse i postupke za stabilno poslovanje; trebao bi uključivati:
• i. projekcije računa dobiti i gubitka i bilance, uključujući ciljne scen arije i stresne scenarije te njihove temeljne pretpostavke, kao što je broj klijenata, određivanje cijena i očekivani porast u pragu profitabilnosti;
• ii. objašnjenja osnovnih linija prihoda i troškova, financijskih dugova i kapitalne imovine;
• iii. dijagram i detaljnu raščlambu procijenjenih novčanih tokova za iduće tri godine;

Smjernica 5.: Organizacijska struktura

5.1. Ako je podnositelj zahtjeva fizička osoba, opis organizacijske strukture društva podnositelja zahtjeva trebao bi sadržavati sljedeće informacije:

• a) ukupn o predviđanje broja zaposlenika za iduće tri godine;
• b) opis relevantnih ugovora o eksternalizaciji koji se sastoje od:
• i. identiteta i zemljopisnog položaja pružatelja usluge eksternalizacije;
• ii. identiteta osoba unutar AISP- a koje su odgovorne za svaku od eksternaliziranih aktivnosti;
• iii. detaljnog opisa eksternaliziranih aktivnosti i njihove glavne karakteristike;
• c) presliku nacrta ugovora o eksternalizaciji;
• d) opis uporabe podružnica ili zastupnika, gdje je to primjenjivo, uključujući:
• i. raspoređivanje neizravnih i izravnih provjera koje podnositelj zahtjeva namjerava obaviti nad podružnicama i zastupnicima;
• ii. IT sustav, procese i infrastrukturu kojom se koriste zastupnici podnositelja zahtjeva za obavljanje aktivnosti u ime podnositelja zahtjeva;
• iii. u slučaju zastupnika, politiku odabira, postupke nadzora i obuke zastupnika i, gdje je dostupno, nacrt uvjeta za obavljanje posla;
• e) popis svih fizičkih ili pravnih osoba koje su usko povezane s AISP -om podnositeljem zahtjeva uz naznaku njihovih identiteta i prirode t ih veza.

5.2. Ako je podnositelj zahtjeva pravna osoba, opis organizacijske strukture društva podnositelja zahtjeva trebao bi sadržavati sljedeće informacije:

• a) detaljnu organizacijsku shemu, koja prikazuje svaku organizacijsku jedinicu, odjel ili slično struktu rno razdvajanje, uključujući ime/na odgovorne/ih osobe/a, a posebno osoba odgovornih za funkcije unutarnje kontrole; uz shemu bi trebali biti priloženi opisi funkcija i odgovornosti svake organizacijske jedinice, odjela ili sličnog strukturnog razdvajanja;
• b) ukupno predviđanje broja zaposlenika za iduće tri godine;
• c) opis relevantnih ugovora o eksternalizaciji koji se sastoje od:
• i. identiteta i geografske lokacije pružatelja usluge eksternalizacije;
• ii. identiteta osoba unutar AISP- a koje su odgovorne za svaku od eksternaliziranih aktivnosti;
• iii. detaljnog opisa eksternaliziranih aktivnosti i njihove glavne karakteristike;
• d) presliku nacrta ugovora o eksternalizaciji;
• e) opisa korištenja podružnica ili zastupnika, gdje je to primjenjivo, uključujući:
• i. određivanje neizravnih i izravnih provjera koje podnositelj zahtjeva namjerava obaviti nad podružnicama i zastupnicima;

zahtjeva za obavljanje aktivnosti u ime podnositelja zahtjeva;

• iii. u slučaju zastupn ika, politiku odabira, postupke nadzora i obuke zastupnika i, gdje je dostupno, nacrt uvjeta za obavljanje posla;
• f) popis svih fizičkih ili pravnih osoba koje su usko povezane s podnositeljem zahtjeva uz naznaku njihovih identiteta i prirode tih veza.

Smjern ica 6.: Sustav upravljanja i mehanizmi unutarnje kontrole

6.1. Podnositelj zahtjeva trebao bi dostaviti opis sustava upravljanja i mehanizama unutarnje kontrole koji se sastoje od:

• a) raspoređivanja rizika utvrđenih od strane podnositelja zahtjeva, uključujući vr stu rizika i postupke koje će podnositelj zahtjeva uspostaviti radi procjene i sprječavanja takvih rizika;
• b) različitih postupaka namijenjenih za provođenje povremenih i trajnih kontrola, uključujući njihovu učestalost i raspoređene ljudske resurse;
• c) računovodstvenih postupaka kojima će podnositelj zahtjeva evidentirati i izvješćivati o svojim financijskim podatcima;
• d) identiteta osobe/a odgovorne/ih za funkcije unutarnje kontrole, uključujući povremene i trajne kontrole i kontrole usklađenosti, kao i ažurirani životopis;
• e) identiteta svih revizora koji nisu ovlašteni revizori u skladu s Direktivom 2006/43/EZ;
• f) sastava upravljačkog tijela i, ako je primjenjivo, bilo kojeg drugog nadzornog tijela ili odbora;
• g) opisa načina na koji se nadziru i kontroliraju eksternalizirane funkcije kako bi se izbjeglo narušavanje kvalitete unutarnjih kontrola podnositelja zahtjeva;
• h) opisa načina na koji se nadziru i kontroliraju zastupnici i podružnice u okviru unutarnjih kontrola podnositelja zahtjeva;
• i) ako je podnositelj zahtjeva društvo kćer reguliranog subjekta u drugoj državi članici EU - a, opisa upravljanja u grupi.

Smjernica 7.: Praćenje, rješavanje i postupanje nakon sigurnosnih incidenata ili prigovora klijenata povezanih sa sigurnosti

7.1. Podnositelj zahtjeva trebao bi dostaviti opis uspostavljenog postupka za praćenje, rješavanje i postupanje nakon sigurnosnih incidenata i prigovora klijenata povezanih sa sigurnosti koju treba pružiti podnositelj zahtjeva, koji bi trebao sadržavati:

• a) organizacijske mjere i alate za sprječavanje prijevara;
• b) podatke o osobama i tijelima odgovornim za pomaganje klijentima u slučaju prijevare, tehničkim pitanjima i/ili upravljanju zahtjevima;
• c) linije izvještavanja u slučaju prijevara;
• d) kontaktnu točku za klijente, uključujući ime i adresu e - pošte;
• e) postupk e za izvješćivanje o incidentima, uključujući dostavu tih izvješća unutarnjim i vanjskim tijelima, uključujući izvješćivanje nacionalnih tijela o značajnim incidentima na temelju članka 96. PSD2, a u skladu sa smjernicama EBA - e o izvješćivanju o incidentim a na temelju navedenog članka.
• f) korištene alate za praćenje i uspostavljene prateće mjere i postupke za ublažavanje sigurnosnih rizika.

Smjernica 8.: Proces za pohranu, nadzor, praćenje i ograničavanje pristupa osjetljivim podacima o plaćanju

8.1. Podnositelj z ahtjeva trebao bi dostaviti opis uspostavljenog procesa za pohranu, nadzor, praćenje i ograničavanje pristupa osjetljivim podacima o plaćanju koji se sastoji od:

• a) opisa tokova podataka klasificiranih kao osjetljivi podaci o plaćanju u kontekstu poslovnog mo dela AISP- a;
• b) uspostavljenih postupaka za odobravanje pristupa osjetljivim podacima o plaćanju;
• c) opisa alata za praćenje;
• d) politike prava pristupa, s detaljima pristupa svim relevantnim dijelovima i sustavima, uključujući baze podataka i infrastrukture podrške;
• e) opisa načina pohrane prikupljenih podataka;
• f) očekivanog unutarnjeg i/ili vanjskog korištenja prikupljenih podataka, uključujući od strane drugih ugovornih strana;

tokenizaciju;

• h) identifikacije osobe, tijela i/ili odbora s pravom pristupa osjetljivim podacima o plaćanju;
• i) objašnjenja o tome kako će se otkrivati i rješavati neovlašteni upadi;
• j) godišnjeg programa unutarnje kontrole vezano uz sigurnost IT sustava.

Sm jernica 9.: Održavanje kontinuiteta poslovanja

9.1. Podnositelj zahtjeva trebao bi dostaviti opis postupka održavanja kontinuiteta poslovanja koji se sastoji od sljedećih podataka:

• a) analize utjecaja na poslovanje, uključujući poslovne procese i ciljeve oporavka, kao što su ciljana vremena oporavka, ciljane točke oporavka podataka i zaštićena imovina;
• b) identifikacije pričuvne lokacije, pristupa IT infrastrukturi i ključnom softveru te podacima za oporavak od kriznih situacija ili poremećaja;
• c) objašnjenja o tome kako će podnositelj zahtjeva suočavati sa značajnim događajima i poremećajima koji narušavaju kontinuitet poslovanja, kao što je pad ključnih sustava; gubitak ključnih podataka; nepristupačnost prostora; gubitak ključnih osoba;
• d) učestalosti kojom podnositelj za htjeva namjerava testirati kontinuitet poslovanja i planove za oporavak od kriznih situacija, uključujući način na koji će biti evidentirani rezultati testiranja.

Smjernica 10.: Dokument o sigurnosnoj politici

10.1. Podnositelj zahtjeva trebao bi dostaviti dokum ent o sigurnosnoj politici koji sadrži sljedeće podatke:

• a) detaljnu procjenu rizika u pogledu platne/ih usluga koje podnositelj zahtjeva namjerava pružati, koja bi trebala uključivati rizike od prijevare i sigurnosne kontrolne mjere i mjere za ublažavanje poduzete za adekvatnu zaštitu korisnika platnih usluga od utvrđenih rizika;
• b) opis IT sustava, koji bi trebao uključivati:
• i. arhitekturu sustava i njihovih mrežnih elemenata;
• ii. poslovne IT sustave koji podržavaju poslovne aktivnosti koje se pružaju, kao što su internetska stranica podnositelja zahtjeva, mehanizam upravljanja rizikom i prijevarama te način praćenja korisnika;
• iii. sustave IT podrške koji se koriste za organizaciju i administraciju AISP - a, kao što su računovodstvo, sustavi pravnog izvještavanja, upravljan je zaposlenicima, upravljanje odnosima s klijentima, poslužitelji e - pošte i interni poslužitelji datoteke;
• iv. informaciju o tome koristi li već AISP ili njegova grupa ove sustave i procijenjeni datum provedbe, ako je primjenjivo;
• c) vrstu odobrenih veza izvana, kao što su one s partnerima, pružateljima usluga, subjektima grupe i zaposlenicima koji rade s udaljenosti, uključujući razlog za takve veze;
• d) za svaku od veza navedenih pod točkom c), logičke sigurnosne mjere i uspostavljene mehanizme, uz određivanje kontrole koju će institucija za platni promet imati nad takvim pristupom kao i prirodu i učestalost svake kontrole, kao što je tehnička naspram organizacijske; preventivna naspram detektivne; nadzor u stvarnom vremenu naspram redovitih provjera, kao što je upotreba aktivnog direktorija odvojeno od grupe, otvaranje/zatvaranje linija komunikacije, konfiguracija sigurnosne opreme, generiranje šifri ili certifikata za autentifikaciju klijenta, nadzor sustava, autentifikacija, povjerljivost komunikacije, otkrivanje n eovlaštenog pristupa, antivirusni sustavi i zapisi;
• e) logičke sigurnosne mjere i mehanizme koji uređuju unutarnji pristup IT sustavima, koji trebaju uključivati:
• i. tehničku i organizacijsku prirodu i učestalost svake mjere, između ostalog je li preventivna ili detektivna te izvršava li se u stvarnom vremenu ili ne;
• ii. kako se postupa po pitanju podjele okruženja klijenta u slučajevima gdje su IT resursi podnositelja zahtjeva zajednički;
• f) fizičke sigurnosne mjere i mehanizme za zaštitu prostora i podatkovnog centra podnositelja zahtjeva, kao što su kontrole pristupa i sigurnost okoline;
• g) sigurnost procesa plaćanja, koja bi trebala uključivati:
• i. postupak autentifikacije klijenta koji se koristi za savjetodavni i transakcijski pristup;
• ii. objašnjenje o tome kako je osigurana sigurna dostava zakonitom korisniku platne usluge i cjelovitost autentifikacijskih faktora, kao što su hardverski tokeni i mobilne aplikacije, u trenutku početne dodjele i obnavljanja;
• iii. opis sustava i postupaka koje je uspostavio podnositelj zahtjeva za analizu transakcija i identifikaciju sumnjivih ili neobičnih transakcija;
• h) detaljnu procjenu rizika s obzirom na vlastite platne usluge, uključujući prijevare, s poveznicom na mjere kontr ole i ublažavanja objašnjene prilikom podnošenja zahtjeva, iz čega je vidljivo da je problem rizika obuhvaćen;
• i) popis glavnih pisanih postupaka u vezi s IT sustavima podnositelja zahtjeva, ili za postupke koji još nisu formalizirani, procijenjeni datum za njihovu finalizaciju.

Smjernica 11.: Identitet i primjerenost direktora i osoba odgovornih za upravljanje pružateljem usluga informiranja o računu

11.1. U svrhu procjene identiteta i primjerenosti direktora i o soba odgovornih za upravljanje pružateljem usluga informiranja o računu, podnositelj zahtjeva trebao bi dostaviti sljedeće informacije:

• a) osobne podatke, koji bi trebali uključivati:
• i. puno ime, spol, mjesto i datum rođenja, adresu i nacionalnost te osobni ide ntifikacijski broj ili presliku osobne iskaznice ili drugog identifikacijskog dokumenta;
• ii. podatke o položaju za koji se traži procjena, je li položaj u upravljačkom tijelu izvršan ili neizvršan; trebali bi biti obuhvaćeni sljedeći podaci:

• b) ako je primjenjivo, informacije o procjeni primjerenosti koju je proveo podnositelj za htjeva, a koje bi trebale uključivati pojedinosti o rezultatu svake procjene primjerenosti osobe koju je provela institucija, kao što su relevantni zapisnici sa sastanka uprave ili izvješća o procjeni primjerenosti ili drugi dokumenti;
• c) dokaz o znanju, vje štinama i iskustvu, koji bi trebali uključivati životopis koji sadrži podatke o obrazovanju i radnom iskustvu, uključujući akademsko obrazovanje, drugo relevantno usavršavanje, naziv i vrstu svih organizacija za koje osoba radi ili je radila te vrstu i tra janje njezinih funkcija, s posebnim osvrtom na sve aktivnosti iz područja traženog položaja;
• d) dokaz o ugledu, poštenju i čestitosti, koji bi trebao uključivati:
• i. izvadak iz kaznene evidencije i relevantne podatke o kaznenim istragama i postupcima, relevantni m građanskim i upravnim predmetima te o disciplinskim postupcima, uključujući zabranu obavljanja funkcije direktora društva, stečajne postupke, postupke u slučaju insolventnosti i slične postupke, ponajprije u obliku službene potvrde ili nekog objektivno pouzdanog izvora informacija koji se odnosi na nepostojanje kaznene osuđujuće presude, istraga i postupaka, kao što su istrage trećih strana i iskazi odvjetnika ili bilježnika s poslovnim nastanom u Europskoj uniji;
• ii. izjavu o tome jesu li kazneni postupci u tijeku ili je osoba ili organizacija kojom upravlja sudjelovala kao dužnik u postupcima u slučaju insolventnosti ili usporedivim postupcima;
• iii. informacije koje se odnose na sljedeće:

Smjernica 12.: Osiguranje od profesionalne odgovornosti ili usporediva garancija

12.1. Kao dokaz osiguranja od profesionalne odgovornosti ili usporedive garancije koji je u skladu sa Smjernicama EBA-e o o siguranju od profesionalne odgovornosti i (EBA/GL/2017/08) i člankom 5. stavcima 2. i 3. PSD2, podnositelj zahtjeva trebao bi dostaviti sljedeće informacije:

• a) ugovor o osiguranju ili drugi istovrijedni dokument kojim se potvrđuje postojanje osiguranja od profesionalne odgovornosti ili usporedive garancije, s iznosom pokrića koji je u skladu s navedenim Smjernicama EBA- e, u kojem se prikazuje pokriće za relevantne obveze;
• b) dokumentaciju o tome kako je podnositelj zahtjeva izračunao minimalni iznos na način koji je u skladu sa navedenim Smjernicama EBA- e, uključujući sve u njima navedene primjenjive komponente formule.

Smjernica 1.: Opća načela

1.1 Ova grupa smjernica primjenjuje se na podnositelje zahtjeva za izdavanje odobrenja kao institucija za elektronički novac (IEN - ovi). To se odnosi na podnositelje zahtjeva koji namjeravaju pružati usluge elektroničkog novca i, ako je primjenjivo, bilo koje platne usluge navedene u točkama od 1. do 8. iz Priloga I. direktivi PSD2. Podnositelji zahtjeva koji namjeravaju pružati samo platne usluge navedene u točkama od 1. do 7. iz Priloga I. direktivi PSD2 ili uslugu 8. navedenu u dotičnom Prilogu u kombinaciji s drugom uslugom ili uslugama navedenim u točkama od 1. do 7. bez pružanja usluga elektroničkog novca trebali bi se uputiti na poseban skup smjernica o informacijama koje se zahtijevaju od podnositelja zahtjeva za izdavanje odobrenja kao institucija za platni promet (IPP- ovi) koje su utvrđene u odjeljku 4.1. Podnositelji zahtjeva koji namjeravaju pružati samo platnu uslugu navedenu u točki 8. iz Priloga I. direktivi PSD2 bez pružanja usluga elektroničkog novca trebali bi se uputiti n a smjernice o informacijama koje se zahtijevaju od podnositelja zahtjeva za registraciju za pružanje samo usluge 8. iz Priloga I. direktivi PSD2 koje su utvrđene u odjeljku 4.2.

1.2 Informacije koje podnositelji zahtjeva dostave trebaju biti istinite, potpune, točne i ažurne. Svi podnositelji zahtjeva trebaju poštovati sve odredbe utvrđene u smjernicama koje se na njih primjenjuju. Razina detalja trebala bi biti razmjerna veličini podnositelja zahtjeva i unutarnjoj organizaciji te prirodi, opsegu, složenosti i rizičnosti pojedine usluge ili usluga koje podnositelj zahtjeva namjerava pružati. U svakom slučaju, u skladu s Direktivom (EU) 2015/2366, direktori i osobe odgovorne za upravljanje institucijom za elektronički novac imaju dobar ugled i odgovarajuće znanje i iskustvo u obavljanju platnih usluga, bez obzira na veličinu institucije, unutarnju organizaciju te prirodu, opseg i složenost njezinih aktivnosti i dužnosti i odgovornosti određenog položaja.

1.3 Kod podnošenja traženih informacija, podnositelj zahtjeva trebao bi izbjegavati upućivanje na određene dijelove internih postupaka/dokumenta. Umjesto toga, podnositelj zahtjeva trebao bi izdvojiti relevantne dijelove i dostaviti ih nadležnom tijelu.

1.4 Ako bi nadležna tijela (NT - ovi) zahtijevala pojašnjenja u vezi s i nformacijama koje su podnesene, podnositelj zahtjeva treba dostaviti iste bez odgađanja. 1.5 Svi podaci traženi u skladu s ovim smjernicama za izdavanje odobrenja kao institucija za elektronički novac potrebni su za procjenu zahtjeva i nadležno tijelo će s nj ima postupati u skladu s obvezama poslovne tajne utvrđenima u PSD2, ne dovodeći u pitanje pravo Unije i nacionalne zahtjeve i procedure o ostvarivanju prava na pristupanje, ispravljanje, otkazivanje ili protivljenje.

Smjernica 2.: Identifikacijski podaci

2.1 I dentifikacijski podaci koje podnositelj zahtjeva treba dostaviti trebali bi sadržavati sljedeće informacije:

• a) poslovni naziv podnositelja zahtjeva i, ako se razlikuje, trgovački naziv;
• b) naznaku je li podnositelj zahtjeva već osnovan ili je u postupku osnivanja;
• c) nacionalni identifikacijski broj podnositelja zahtjeva, ako je primjenjivo;
• d) pravni status i statut (nacrt statuta) podnositelja zahtjeva i/ili dokumenti o osnivanju kojima se dokazuje pravni status podnositelja zahtjeva;
• e) adresu mjesta uprave podnositel ja zahtjeva i registriranog sjedišta;
• f) elektroničku adresu i internetsku stranicu podnositelja zahtjeva, ako su dostupne;
• g) ime/na osobe/osoba odgovornih za podnošenje zahtjeva i postupak izdavanja odobrenja i njihovi podaci za kontakt;
• h) naznaku je li podnos itelj zahtjeva ikada bio, ili je trenutačno, reguliran od strane nadležnog tijela za područje financijskih usluga;
• i) svako trgovačko udruženje/udruženja, u vezi s pružanjem usluga izdavanja elektroničkog novca i/ili platnih usluga, kojima se podnositelj zahtjeva namjerava pridružiti, ako je primjenjivo;
• j) izvadak iz sudskog registra ili, ako je primjenjivo, izvadak iz sudskog registra kojim se potvrđuje da je naziv koji trgovačko društvo primjenjuje dostupan;
• k) dokaz o plaćanju svih naknada ili depozita novčanih sredstava za podnošenje zahtjeva za izdavanje odobrenja kao institucija za elektronički novac, ako je to primjenjivo u skladu s nacionalnim pravom.

Smjernica 3.: Program poslovanja

3.1 Program poslovanja koji podnositelj zahtjeva treba dostaviti trebao bi sadržavati sljedeće informacije:

• a) naznaku usluga elektroničkog novca koje podnositelj zahtjeva namjerava pružati: izdavanje, iskup, distribuciju;
• b) ako je primjenjivo, detaljan opis vrsta predviđenih platnih usluga, uključujući objašnjenje
• o tome kako podnositel j zahtjeva utvrđuje da se aktivnosti i poslovi koje će obavljati uklapaju u bilo koju od pravnih kategorija platnih usluga navedenih u Prilogu I. direktivi PSD2 te naznaku o tome bi li se te platne usluge pružale uz usluge elektroničkog novca i jesu li pov ezane s izdavanjem elektroničkog novca;
• c) izjavu o tome ulazi li podnositelj zahtjeva u bilo kojem trenutku u posjed novčanih sredstava;
• d) ako je primjenjivo, opis izvršenja različitih usluga elektroničkog novca i, ako je

elektroničkog novca i, ako je primjenjivo, svaku pruženu platnu uslugu:

• i. dijagram toka sredstava;
• ii. sporazume o namirama;
• iii. nacrte ugovora između strana uključenih u pružanje platnih usluga uključujući one s kart ičnom platnom shemom, ako je primjenjivo;
• iv. vremena obrade;
• e) primjerak nacrta ugovora između izdavatelja elektroničkog novca i imatelja elektroničkog novca i nacrta okvirnog ugovora, kako je navedeno u članku 4. stavku 21. PSD2, ako podnositelj zahtjeva namje rava pružati platne usluge uz usluge elektroničkog novca;
• f) procijenjeni broj različitih prostora iz kojih podnositelj zahtjeva namjerava pružati usluge, ako je primjenjivo;
• g) opis svih pomoćnih usluga povezanih s uslugama elektroničkog novca i, ako je primjen jivo, platnim uslugama;
• h) ako podnositelj zahtjeva namjerava pružati platne usluge uz usluge elektroničkog novca, izjavu o tome namjerava li podnositelj zahtjeva odobravati kredit i ne, a ako namjerava, unutar kojih ograničenja;
• i) izjavu o tome namjerava li po dnositelj zahtjeva pružati usluge elektroničkog novca, i ako je primjenjivo, platne usluge u drugim država članicama EU - a ili trećim državama nakon izdavanja odobrenja;
• j) naznaku o tome namjerava li podnositelj zahtjeva tijekom iduće tri godine pružati ili već obavlja druge poslovne aktivnosti osim usluga elektroničkog novca i, ako je primjenjivo, platnih usluga, kako su navedene u članku 11. stavku 5. Direktive (EU) 2015/2366, uključujući opis vrste i očekivani obujam aktivnosti;
• k) informacije navedene u Smjernicama EBA- e o kriterijima za određivanje minimalnog novčanog iznosa za osiguranje od profesionalne odgovornosti ili druge usporedive garancije na temelju članka 5. stavka 4. Direktive (EU) 2015/2366 (EBA/GL2017/08), ako podnositelj zahtjeva namjerava pru žati usluge 7. i 8. (usluge iniciranja plaćanja (PIS) i usluge informiranja o računu (AIS)).

Smjernica 4.: Poslovni plan

4.1. Poslovni plan koji podnositelj zahtjeva treba dostaviti trebao bi sadržavati:

• a) marketinški plani koji se sastoji od:
• i. analize konkurentnog položaja trgovačkog društva na tržištu elektroničkog novca i, ako je primjenjivo, u dotičnom segmentu tržišta plaćanja;
• ii. opisa korisnika platnih usluga i imatelja elektroničkog novca, marketinških materijala i distribucijskih kanala;
• b) ovjerene godišnje financijske izvještaje za posljednje tri godine, ako su dostupna, ili sažeti prikaz financijskog stanja za ona društva koja još nisu izradila godišnje financijske izvještaje;
• c) izračun projekcije proračuna za prve tri financijske godine kojim se pok azuje da je podnositelj zahtjeva sposoban koristiti adekvatne i razmjerne sustave, resurse i postupke za stabilno poslovanje; trebao bi uključivati:
• i. projekcije računa dobiti i gubitak i bilance, uključujući ciljne scenarije i stresne scenarije te njihove t emeljne pretpostavke, kao što je obujam i vrijednost transakcija, broj klijenata, određivanje cijena, prosječni iznos po transakciji, očekivani porast u pragu profitabilnosti;
• ii. objašnjenja osnovnih linija prihoda i troškova, financijskih dugova i kapitalne imovine;
• iii. dijagram i detaljnu raščlambu procijenjenih novčanih tokova za sljedeće tri godine;
• d) informacije o regulatornom kapitalu, uključujući iznos i detaljnu raščlambu sastava inicijalnog kapitala kako je utvrđeno u članku 57. točkama (a) i (b) Direktive 2006/48/EC;
• e) informacije o minimalnim zahtjevima za regulatornim kapitalom i njihov izračun u skladu s metodom D, kako je navedena u članku 5.3. Direktive (EU) 2009/110 (druga Direktiva o elektroničkom novcu (EMD2)), ako institucija za elektronički novac namjerava pružati samo usluge elektroničkog novca ili u skladu s metodama navedenim u članku 9. Direktive (EU) 2015/2366 (PSD2) kako je odredilo nadležno tijelo, ako podnositelj zahtjeva namjerava pružati platne usluge uz usluge elektroničkog novca, uključujući godišnju projekciju raščlambe regulatornog kapitala za tri godine u skladu s korištenom metodom i, ako je primjenjivo, godišnju projekciju regulatornog kapitala za tri godine u skladu s drugim korištenim metodama.

Smjernica 5.: Organizacijska struktura

5.1. Podnositelj zahtjeva trebao bi dostaviti opis organizacijske strukture svojeg društva koja se sastoji od:

• a) detaljne organizacijske sheme, koja prikazuje svaku organizacijsku jedinicu, odjel ili slično strukturno razdvajanje, uključujući ime/na odgovorne /ih osobe/a, a posebno osoba odgovornih za funkcije unutarnje kontrole; uz shemu bi trebali biti priloženi opisi funkcija i odgovornosti svake organizacijske jedinice, odjela ili sličnog strukturnog razdvajanja;
• b) ukupnog predviđanja broja zaposlenika za iduće tri godine;
• c) opisa relevantnih ugovora o eksternalizaciji koji se sastoje od:
• i. identiteta i geografske lokacije pružatelja usluge eksternalizacije;
• ii. identiteta osoba unutar institucije za elektronički novac koje su odgovorne za svaku od eksternaliziranih aktivnosti;
• iii. jasnog opisa eksternaliziranih aktivnosti i njihove glavne karakteristike;
• d) primjerka nacrta ugovora o eksternalizaciji;
• e) opisa upotrebe podružnica, zastupnika i distributera, gdje je to primjenjivo, uključujući:
• i. raspoređivanje neizravnih i izrav nih provjera koje podnositelj zahtjeva namjerava obaviti nad podružnicama, zastupnicima i distributerima;
• ii. IT sustave, procese i infrastrukturu kojom se koriste zastupnici podnositelja zahtjeva i distributeri za obavljanje aktivnosti u ime podnositelja zaht jeva;
• iii. u slučaju zastupnika i distributera, politiku odabira, postupke nadzora i obuke zastupnika i distributera, gdje je dostupno, nacrte uvjeta za angažiranje zastupnika i distributera;
• f) naznake nacionalnog i/ili međunarodnog platnog sustava kojem će podnositelj zahtjeva pristupati; ako je primjenjivo;
• g) popisa svih fizičkih ili pravnih osoba koje su usko povezane s podnositeljem zahtjeva uz naznaku njihovih identiteta i prirode tih veza.

Smjernica 6.: Dokaz o inicijalnom kapitalu

6.1. Kao dokaz o inicijalnom kapitalu koji podnositelj zahtjeva treba pružiti (u iznosu od 350 000 EUR), podnositelj zahtjeva trebao bi dostaviti sljedeće dokumente:

• a) za postojeća društva, revidirano financijsko izvješće ili izvadak iz javnog registra kojim se potvrđuje iznos kapitala podnositelja zahtjeva;
• b) za društva u postupku osnivanja, bankovni izvadak izdan od strane banke kojim se potvrđuje da su novčana sredstva uplaćena na bankovni račun podnositelja zahtjeva.

Smjernica 7.: Mjere za zaštitu novčanih sredstava korisnika elektroničkog novca i/ili korisnika platnih usluga

7.1. Ako podnositelj zahtjeva štiti novčana sredstva korisnika elektroničkog novca i/ili korisnika platnih usluga polaganjem novčanih sredstava na poseban račun kod kreditne institucije ili kroz ulaganje u sigurne, likvidne i niskorizične oblike imovine, opis mjera za zaštitu trebao bi sadržavati:

• a) opis ulagačke politike kako bi se osiguralo da je odabrana imovina likvidna, sigurna i niskorizična, ako je primjenjivo;
• b) broj osoba koje imaju pravo pristupa posebnom računu za zaštitu novčanih sredstava i njihove funkcije;
• c) opis postupka upravljanja i usklađivanja za korisnike elektroničkog novca i, ako je

elektronički novac, posebno u slučaju insolventnosti;

• d) presliku nacrta ugovora s kreditnom institucijom;
• e) izričitu izjavu institucije za elektronički novac u skladu s člankom 10. PSD2.

7.2. Ako podnositelj zahtjeva štiti novčana sredstva korisnika elektroničkog novca i, ako je primjenjivo, kor isnika platnih usluga policom osiguranja ili usporedivom garancijom koje su izdali društvo za osiguranje ili kreditna institucija, i osim u slučaju da podnositelj zahtjeva namjerava pružati samo PIS, opis mjera za zaštitu trebao bi sadržavati sljedeće:

• a) pot vrdu da je polica osiguranja ili usporediva garancija koje su izdali društvo za osiguranje ili kreditna institucija od subjekta koji nije dio iste grupe društava kao podnositelj zahtjeva;
• b) detalje postupka usklađivanja uspostavljenog kako bi se osiguralo da su polica osiguranja ili usporediva garancija dostatni za ispunjavanje obveza pružanja zaštite podnositelja zahtjeva u svakom trenutku;
• c) trajanje i obnavljanje pokrića;
• d) preslika (nacrt) ugovora o osiguranju ili (nacrt) usporedive garancije.

Smjernica 8.: Sustav upravljanja i mehanizmi unutarnje kontrole

8.1. Podnositelj zahtjeva trebao bi dostaviti opis sustava upravljanja i mehanizama unutarnje kontrole koji se sastoje od:

• a) raspoređivanja rizika utvrđenih od strane podnositelja zahtjeva, uključujući vrstu rizika i postupke koje će podnositelj zahtjeva uspostaviti radi procjene i sprječavanja takvih rizika u odnosu na usluge elektroničkog novca, i ako je primjenjivo, platne usluge;
• b) različitih postupaka za provođenje povremenih i trajnih kontrola uključujući njihovu učestalost i raspoređene ljudske resurse;
• c) računovodstvenih postupaka kojima će podnositelj zahtjeva evidentirati i izvješćivati o svojim financijskim podacima;
• d) identiteta osobe/a odgovorne/ih za funkcije unutarnje kontrole, uključujući p ovremene i trajne kontrole i kontrole usklađenosti, kao i ažurirani životopis;
• e) identiteta svakog revizora koji nije ovlašteni revizor u skladu s Direktivom 2006/43/EZ;
• f) sastava upravljačkog tijela i, ako je primjenjivo, bilo kojeg drugog nadzornog tijela ili odbora;
• g) opisa načina na koji se nadziru i kontroliraju eksternalizirane funkcije kako bi se izbjeglo narušavanje kvalitete unutarnjih kontrola institucije za elektronički novac;
• h) opisa načina na koji se nadziru i kontroliraju zastupnici, podružnice i distributeri u okviru unutarnjih kontrola podnositelja zahtjeva;
• i) ako je podnositelj zahtjeva društvo kćer reguliranog subjekta u drugoj državi članici EU - a, opis upravljanja u grupi. Smjernica 9.: Postupak praćenja, rješavanja i postupanja nakon sigurnosnih incidenata ili pritužbi klijenata povezanih sa sigurnosti

9.1. Podnositelj zahtjeva trebao bi dostaviti opis uspostavljenog postupka za praćenje, rješavanje i postupanje nakon sigurnosnih incidenata i pritužbi klijenata povezanih sa sigurnosti koju treba pružiti podnositelj zahtjeva, koji bi trebao sadržavati:

• a) organizacijske mjere i alate za sprječavanje prijevara;
• b) podatke o osobama i tijelima odgovornim za pomaganje klijentima u slučaju prijevare, tehničkim pitanjima i/ili upravljanju zahtjevima;
• c) linije izvje štavanja u slučaju prijevara;
• d) kontaktnu točku za klijente, uključujući ime i adresu e - pošte;
• e) postupke za izvješćivanje o incidentima, kao i dostavu tih izvješća unutarnjim i vanjskim tijelima, uključujući za podnositelje zahtjeva koji namjeravaju pružati platne usluge uz usluge elektroničkog novca, te izvješćivanje nacionalnih nadležnih tijela o značajnim incidentima na temelju članka 96. PSD2, a u skladu sa smjernicama EBA - e o izvješćivanju
• o incidentima na temelju navedenog članka;
• f) korištene alate za praćenje i uspostavljene prateće mjere i postupke za ublažavanje sigurnosnih rizika.

Smjernica 10.: Proces za pohranu, nadzor, praćenje i ograničavanje pristupa osjetljivim podacima o plaćanju

10.1. Podnositelj zahtjeva trebao bi dostaviti opis uspostavljenog procesa za pohranu, nadzor, praćenje i ograničavanje pristupa osjetljivim podacima o plaćanju koji se sastoji od:

• a) opisa tokova podataka klasificiranih kao osjetljivi podaci o plaćanju u kontekstu poslovnog modela institucije za elektronički novac;
• b) usposta vljenih postupaka za odobravanje pristupa osjetljivim podacima o plaćanju;
• c) opisa alata za praćenje;
• d) politike prava pristupa, s detaljima pristupa svim relevantnim dijelovima infrastrukture i sustavima, uključujući baze podataka i infrastrukture podrške;
• e) opisa načina pohrane prikupljenih podataka;
• f) očekivanog unutarnjeg i/ili vanjskog korištenja prikupljenih podataka, uključujući od strane drugih ugovornih strana;

toke nizaciju;

• h) identifikacije osoba, tijela i/ili odbora s pravom pristupa osjetljivim podacima o plaćanju;
• i) objašnjenja o tome kako će se otkrivati i rješavati neovlašteni upadi;
• j) godišnjeg programa unutarnje kontrole vezano uz sigurnost IT sustava.

Smjernica 11 .: Održavanje kontinuiteta poslovanja

11.1. Podnositelj zahtjeva trebao bi dostaviti opis održavanja kontinuiteta poslovanja koji se sastoji od sljedećih podataka:

• a) analize utjecaja na poslovanje, uključujući poslovne procese i ciljeve oporavka, kao što su ciljan a vremena oporavka, ciljane točke oporavka podataka i zaštićena imovina;
• b) identifikacije pričuvne lokacije i pristupa IT infrastrukturi te ključnom softveru i podacima za oporavak od kriznih situacija ili poremećaja;
• c) objašnjenje o tome kako će se podnositelj zahtjeva suočavati sa ozbiljnim slučajevima i poremećajima kontinuiteta, kao što je pad ključnih sustava, gubitak ključnih podataka, nedostupnost prostora i gubitak ključnih osoba;

planove za oporavak od kriznih situacija, uključujući način na koji će biti evidentirani rezultati testiranja;

• e) opisa mjera za ublažavanje koje podnositelj zahtjeva treba donijeti, u slučajevima prestanka njegovih platnih usluga, kojima se osigurava izvršenje platnih transakcija u tijeku, te prestanak postojećih ugovora.

Smjernica 12.: Načela i definicije koje se primjenjuju za prikupljanje statističkih podataka o izvedbi, transakcijama i prijevarama

12.1. Podnositelj zahtjeva trebao bi dostaviti opis načela i definicija koji se primjenjuju na prikupljanje statističkih podataka o izvedbi, transakcijama i prijevarama koji se sastoji od sljedećih podataka:

• a) vrste podataka koji se prikupljaju, u vezi s klijentima, vrstom platne usluge, kanala, instrumenata, nadležnostima i valutama;
• b) opsega prikupljanja, u odnosu na aktivnosti i dotične subjekte, uključujući podružnice, zastupnike i distributere;
• c) načina prikupljanja;
• d) svrhe prikupljanja;
• e) učestalosti prikupljanja;
• f) popratnih dokumenata, kao što je priručnik koji opisuje kako sustav funkcionira.

Smjernica 13.: Dokument o sigurnosnoj politici

13.1. Podnositelj zahtjeva trebao bi dostaviti dokument o sigurnosnoj politici u pogledu svoje/ih usluge/a elektroničkog novca i, ako je primjenjivo, platne/ih usluge/a, koji sadrži sljedeće podatke:

• a) detaljnu procjenu rizika u pogledu usluge/a elektroničkog novca i, ako je primjenjivo, platnih usluga koje podnositelj zahtjeva namjerava pružati, koji bi trebao uključivati rizike od prijevare te sigurnosne kontrolne mjere i mjere za ublažavanje poduzete za adekvatnu zaštitu korisnika usluga elektroničkog novca i, ako je primjenjivo, korisnika platnih usluga od utvrđenih rizika;
• b) opis IT sustava, koji bi trebao uključivati:
• i. arhitekturu sustava i njihovih mrežnih elemenata;
• ii. poslovne IT sus tave koji podržavaju poslovne aktivnosti koje se pružaju, kao što su internetska stranica podnositelja zahtjeva, novčanici, mehanizam za obradu plaćanja, mehanizam upravljanja rizikom i prijevarama te način praćenja korisnika;
• iii. sustave IT podrške koji se koriste za organizaciju i administraciju institucije za elektronički novac, kao što su računovodstvo, sustavi pravnog izvještavanja, upravljanje zaposlenicima, upravljanje odnosima s klijentima, poslužitelji e - pošte i interni poslužitelji datoteka;
• iv. informaci ju o tome koristi li već institucija za elektronički novac ili njegova grupa ove sustave i procijenjeni datum provedbe, ako je primjenjivo;
• c) vrstu odobrenih veza izvana, kao što su partneri, pružatelji usluga, subjekti grupe i zaposlenici koji rade s udaljenosti, uključujući razlog za takve veze;
• d) za svaku od veza navedenih pod točkom c), logičke sigurnosne mjere i uspostavljene mehanizme, određujući kontrolu koju će institucija za elektronički novac imati nad takvim pristupom kao i prirodu i učestalost svake kontrole, kao što je tehnička naspram organizacijske; preventivna naspram detektivne; nadzor u stvarnom vremenu naspram redovitih provjera, kao što je upotreba aktivnog direktorija odvojeno od grupe, otvaranje/zatvaranje linija komunikacije, konfiguracija sigurnosne opreme, generiranje šifri ili certifikata za autentifikaciju klijenta, nadzor sustava, autentifikacija, povjerljivost komunikacije, otkrivanje neovlaštenog pristupa, antivirusni sustavi i zapisi;
• e) logičke sigurnosne mjere i mehanizme koji uređuju unutarnji pristup IT sustavima, koji trebaju uključivati:
• i. tehničku i organizacijsku prirodu i učestalost svake mjere, je li preventivna ili detektivna te izvršava li se u stvarnom vremenu ili ne;
• ii. kako se postupa po pitanju podjele okruženja klijenta u slučajevima gdje su IT resursi podnositelja zahtjeva zajednički;
• f) fizičke sigurnosne mjere i mehanizme prostora i podatkovnog centra podnositelja zahtjeva, kao što su kontrole pristupa i sigurnost okoline;
• g) sigurnost elektroničkog novca i, ako je primjenjivo, procesa plaćanja, koja bi trebala uključivati:
• i. postupak autentifikacije klijenta koji se koristi za savjetodavni i transakcijski pristup te za sve osnovne platne instrumente;
• ii. objašnjenje o tome kako je osigurana sigurna dostava zakonitom koris niku usluge elektroničkog novca i, ako je primjenjivo, korisniku platne usluge i cjelovitost autentifikacijskih faktora, kao što su hardverski tokeni i mobilne aplikacije, u trenutku početne dodjele i obnavljanja;
• iii. opis sustava i postupaka koje je uspostavi la institucija za elektronički novac za analizu transakcija i identifikaciju sumnjivih ili neobičnih transakcija;
• h) detaljnu procjenu rizika vezano uz vlastite usluge elektroničkog novca i, ako je primjenjivo, vlastite platne usluge, uključujući prijevare, s poveznicom na mjere kontrole i ublažavanja objašnjene prilikom podnošenja zahtjeva, iz čega je vidljivo da je problem rizika obuhvaćen;
• i) popis glavnih pisanih postupaka vezano uz IT sustave podnositelja zahtjeva, za postupke koji još nisu formalizirani, procijenjeni datum za njihovu finalizaciju.

Smjernica 14.: Mehanizmi unutarnjih kontrola za usklađivanje s obvezama u vezi s pranjem novca i financiranjem terorizma (AML/CFT obveze)

14.1 Opis mehanizama unutarnje kontrole koje je podnositelj zahtjeva uspostavio kako bi ispunjavao, ako je primjenjivo, ove obveze trebao bi sadržavati sljedeće informacije:

• a) procjenu podnositelja zahtjeva o rizicima od pranja novca i financiranja terorizma povezanih s njegovim poslovanjem, uključujući rizike povezane s bazom klijenat a podnositelja zahtjeva, proizvoda i usluga, korištene kanale dostave i geografska područja djelovanja;
• b) mjere koje je podnositelj zahtjeva uspostavio ili će uspostaviti za smanjivanje rizika i ispunjavanja primjenjivih obveza za sprječavanje pranja novca i borbu protiv financiranja terorizma, uključujući proces procjene rizika podnositelja zahtjeva, politike i postupke za ispunjavanje zahtjeva u vezi s dubinskom analizom klijenta te politike i postupke za otkrivanje i prijavljivanje sumnjivih transakcija il i aktivnosti;
• c) sustave i kontrole koje je podnositelj zahtjeva utvrdio ili će utvrditi kako bi osigurao da njegove podružnice, zastupnici i distributeri ispunjavaju primjenjive zahtjeve za sprječavanje pranja novca i borbu protiv financiranja terorizma, uključujući slučajeve kada se zastupnik, distributer ili podružnica nalazi u drugoj državi članici;
• d) rješenja koja je podnositelj zahtjeva utvrdio ili će utvrditi kako bi osigurao da su djelatnici, zastupnici i distributeri primjereno osposobljeni po pitanjima sprječavanja pranja novca i borbe protiv financiranja terorizma;
• e) identitet osobe odgovorne za osiguravanje usklađenosti podnositelja zahtjeva za sprječavanje pranja novca i borbu protiv financiranja terorizma i dokaz da je njihova stručnost u sprječavanju pranja novca i borbu protiv terorizma dovoljna da im omogući učinkovito ispunjavanje ove uloge;
• f) sustave i kontrole koje je podnositelj zahtjeva uspostavio ili će uspostaviti kako bi osigurao da su njegove politike i postupci za sprječavanje pranja novca i borbu protiv financiranja terorizma ažurni, učinkoviti i relevantni;
• g) sustave i kontrole koje je podnositelj zahtjeva uspostavio ili će uspostaviti kako bi osigurao da zastupnici i distributeri ne izlažu podnositelja zahtjeva povećanom riziku od pranja nov ca i financiranja terorizma;
• h) priručnik za djelatnike podnositelja zahtjeva o sprječavanju pranja novca i borbi protiv terorizma;

Smjernica 15.: Identitet i primjerenost imatelja kvalificiranog udjela u podnositelju zahtjeva

15.1 Za potrebe identiteta i dokaza p rimjerenosti imatelja kvalificiranog udjela u podnositelju zahtjeva za instituciju za elektronički novac, ne dovodeći u pitanje procjenu u skladu s kriterijima, kako je relevantno, uvedenim Direktivom 2007/44/EZ i navedenim u Zajedničkim smjernicama za bon itetnu procjenu stjecanja i povećanja kvalificiranih udjela u (EBA/GL/2017/08), podnositelj zahtjeva trebao bi dostaviti sljedeće informacije:

• a) opis grupe kojoj podnositelj zahtjeva pripada i podatke o matičnom društvu, ako je primjenjivo;
• b) grafički prikaz u kojem se utvrđuje struktura dioničara podnositelja zahtjeva, uključujući:
• i. naziv i postotak udjela (kapitala / prava glasa) svake osobe koja ima ili će imati izravan udio u dioničkom kapitalu podnositelja zahtjeva, čime se utvrđuju oni koji se smatraju imateljima kvalificiranih udjela, kao razlozi za takve kvalifikacije;
• ii. naziv i postotak udjela (kapitala / prava glasa) svake osobe koja ima ili će imati neizravan udio u dioničkom kapitalu podnositelja zahtjeva, čime se utvrđuju oni koji se smatraju neizravnim imateljima kvalificiranih udjela, kao i razlozi za takve kvalifikacije;
• c) popis imena svih osoba i drugih subjekata koji imaju ili, u slučaju izdavanja odobrenja, će imati kvalificirane udjele u kapitalu podnositelja zahtjeva, navodeći za svaku os obu ili subjekt:
• i. broj i vrstu dionica ili drugih udjela koji su pretplaćeni ili će biti pretplaćeni;
• ii. nominalnu vrijednost takvih dionica ili drugih udjela.

15.2 Ako je osoba koja ima ili će imati, u slučaju izdavanja odobrenja, kvalificirani udio u kapitalu pod nositelja zahtjeva, fizička osoba, u zahtjevu bi se trebale navesti sve sljedeće informacije koje se odnose na identitet i primjerenost te osobe:

• a) prezime i ime osobe, datum i mjesto rođenja, državljanstvo (trenutačno i prethodno), identifikacijski broj (ak o je dostupan) ili broj putovnice, adresu i presliku službenog identifikacijskog dokumenta;
• b) detaljan životopis u kojemu se navode obrazovanje i usavršavanje, prethodno radno iskustvo i sve stručne aktivnosti ili druge funkcije koje se trenutačno obavljaju;
• c) izjavu, uz priložene popratne dokumente, koja sadrži sljedeće informacije o osobi:
• i. sve presude za kazneno djelo ili postupke u kojima je osoba proglašena krivom, a koji nisu ukinuti; podložno zahtjevima nacionalnog zakonodavstva koji se odnose na davanje podataka o brisanim kaznama;
• ii. sve odluke u građanskim ili upravnim postupcima u pitanjima važnim za postupak procjene ili izdavanja odobrenja, ako je donesena odluka protiv osobe, kao i sve upravne sankcije ili mjere izrečene kao posljedica kršenja zakona i li propisa (uključujući zabranu obavljanja funkcije direktora društva), u svakom slučaju one koje nisu ukinute i protiv kojih žalba nije u tijeku ili ju nije moguće podnijeti;
• iii. sve stečajne postupke, postupke u slučaju insolventnosti ili slične postupke;
• iv. sv e kaznene istrage u tijeku;
• v. sve građanske ili upravne istrage, postupke prisilnog izvršenja, sankcije ili druge odluke o prisilnom izvršenju protiv osobe u vezi s pitanjima koja se mogu smatrati relevantnima za izdavanje odobrenja za započinjanje djelatnos ti institucije za elektronički novac ili za pouzdano i bonitetno upravljanje institucijom za elektronički novac;
• vi. službena potvrda ili neki drugi istovrijedni dokument kojim se dokazuje jesu li se neki od događaja utvrđenih u podstavcima od (i) do (v) dogod ili u odnosu na relevantnu osobu, ako je takav dokument moguće ishoditi;
• vii. svako odbijanje registracije, odobrenja, članstva ili dozvole za obavljanje trgovačke, poslovne ili stručne djelatnosti;
• viii. svako oduzimanje, opozivanje ili otkazivanje registracije, odobrenja, članstva ili dozvole za obavljanje trgovačke, poslovne ili stručne djelatnosti;
• ix. svako isključenje od strane tijela ili subjekta javnog sektora u sektoru financijskih usluga ili od strane stručnog tijela ili udruženja;
• x. svaka osoba na odgovornom položaju kod subjekta koja je podlijegala bilo kakvoj osuđujućoj presudi ili postupku za kazneno djelo, upravnim istragama, sankcijama ili drugim odlukama o prisilnom izvršenju za neprimjereno pon ašanje, između ostalog u pogledu prijevara, nečasnog postupanja, korupcije, pranja novca, financiranja terorizma ili drugog financijskog kaznenog djela, ili za neprovođenje odgovarajućih politika ili postupaka za sprječavanje takvih događaja, na kojem položaju je osoba bila u vrijeme spornog događaja, zajedno s pojedinostima o takvim slučajevima i o mogućem sudjelovanju dotične osobe u njima, ukoliko ih je bilo;
• xi. svako otpuštanje s radnog mjesta ili položaja od povjerenja, svako udaljavanje iz fiducijarnog odnosa (osim završetka relevantnog odnosa uslijed proteka vremena) i sve slične situacije;
• d) popis društava kojima osoba upravlja ili ih kontrolira, s čime je podnositelj zahtjeva upoznat nakon pravovremenog i pomnog ispitivanja; postotak izravne ili neizrav ne kontrole u tim društvima; njihov status (jesu li aktivna ili ne, ili su prestala s radom, itd.); i opis postupka u slučaju insolventnosti ili sličnih postupaka;
• e) ako je procjena ugleda osobe već provedena od strane nadležnog tijela u sektoru financijski h usluga, identitet tog nadležnog tijela i rezultat procjene;
• f) trenutačni financijski položaj osobe, uključujući pojedinosti koje se odnose na izvore prihoda, imovinu i obveze, založna prava i jamstva, dana ili primljena,
• g) opis svih poveznica s politički izloženim osobama, kako je definirano u članku 3. stavku 9. Direktive (EU) 2015/849⁴ .

15.3 Ako osoba ili subjekt koji ima ili će imati, u slučaju izdavanja odobrenja, kvalificirani udio u kapitalu podnositelja zahtjeva (uključujući subjekte koji nisu pravne osobe i koji imaju ili bi trebali imati sudjelujući udio na vlastito ime), zahtjev bi trebao sadržavati sljedeće informacije koje se odnose na identitet i primjerenost pravne osobe ili subjekta:

• a) naziv;
• b) ako je pravna osoba ili subjekt registriran u središnjem registru, poslovnom registru, registru društava ili sličnom registru koji ima istu svrhu kao gore navedeni, potvrdu o stabilnom poslovanju, ako je moguće, odnosno potvrdu o registraciji;
• c) adrese registriranog sjedišta i, ako je različito, mjesto uprave i glavno mjesto poslovanja;
• d) podatke za kontakt;
• e) poslovne dokumente ili, ako je osoba ili subjekt registriran u drugoj državi članici, sažetak koji objašnjava glavna pravna obilježja pravnog oblika ili subjekta;
• f) je li pravna osoba ili subjekt ikad bila ili je regulirana od strane nadležnog tijela u sektoru financijskih usluga ili drugog državnog tijela;
• g) službenu potvrdu ili drugi istovrijedni dokument kojim se dokazuju informacije utvrđene u stavcima od (a) do (e) izdanu od strane odgovarajućeg nadležnog tijela, ak o se takav dokument može ishoditi;
• h) informacije navedene u Smjernicama 15.2. (c),15.2. (d) 15.2. (e), 15.2 (f), i 15.2. (g) u pogledu pravne osobe ili subjekta;
• i) popis koji sadrži detalje o svakoj osobi koja stvarno upravlja poslovanjem pravne osobe ili sub jekta, uključujući njihovo ime, datum i mjesto rođenja, adresu, njihov nacionalni identifikacijski broj, ako je dostupan, te detaljni životopis (u kojem se navodi relevantno obrazovanje i usavršavanje, prethodno radno iskustvo, sve stručne aktivnosti ili druge relevantne funkcije koje se trenutačno obavljaju), zajedno s informacijama navedenim u Smjernicama 15.2. (c) i 15.2. (d) u pogledu svake od navedenih osoba;
• j) dioničarsku strukturu pravne osobe, uključujući barem njihovo ime, datum i mjesto rođenja, adresu i, ako je dostupno, osobni identifikacijski broj ili registracijski broj te pojedinačni udio kapitala i glasačka prava izravnih ili neizravnih dioničara ili članova i stvarnih vlasnika, kako je definirano u članku 3. stavku 6. Direktive (EU) 2015/849;
• k) opis regulirane financijske grupe kojoj podnositelj zahtjeva pripada ili bi mogao pripasti, navodeći matično društvo i kreditne, osiguravajuće i sigurnosne subjekte unutar grupe; naziv njihovih nadležnih tijela (na pojedinačnoj ili konsolidiranoj osnovi); te
• l) godišnja financijska izvješća, na pojedinačnoj i, ako je primjenjivo, konsolidiranoj i potkonsolidiranoj razini grupe, za posljednje tri financijske godine, ako je pravna osoba ili subjekt poslovao u tom razdoblju (ili, ako je poslovao kraće od tri godine, za razdoblje u kojem je pravna osoba ili subjekt poslovao i za koji su sastavljeni financijski izvještaji), koja je odobrio ovlašteni revizor ili revizorsko društvo u smislu Direktive 2006/43/EZ⁵ , ako je primjenjivo, uključujući svaku od sljedećih stavki:
• i. bilancu,
• ii. račun dobiti i gubitka ili izvješće o prihodu;
• iii. godišnja izvješća i financijske priloge i sve druge dokumente predane u mjerodavne evidencije ili nadležnim tijelima pravne osobe;
• m) ako pravna osoba nije poslovala tijekom razdoblja koje je dovoljno za obvezu pripreme financijskih izvješća za tri financijske godine neposredno prije datuma zahtjeva, zahtjevom se utvrđuju postojeća financijska izvješća (ako postoje);
• n) ako pravna osoba ili subjekt ima mjesto uprave u trećoj državi, opće podatke o regulatornom režimu dotične treće države ako je primjenjivo na pravnu osobu ili subjekt, uključujući podatke o tome do koje mjere je režim treće države za sprječavanje pranja novca i borbu protiv financiranja terorizma dosljedan preporukama Radne skupine za financijsko djelovanje:
• o) za subjekte koji nemaju pravnu osobnost poput društva za zajedničko ulaganje, državnog investicijskog fonda ili trusta, u zahtjevu se navode sljedeće informacije:
• i. identitet osoba koje upravljaju imovinom i osoba koje su korisnici ili upisnici udjela, imatelji udjela koji kontroliraju društvo za zajednička ulaganja ili imaju udio koji im omogućuje sprječavanje donošenja odluka od strane društva za zajednička ulaganja;
• ii. primjerak dokumenta kojim se osniva i upravlja subjektom uključujući investicijsku politiku i sva ograničenja ulaganja koja se primjenjuju na subjekt.

15.4 U zahtjevu se navode sve sljedeće informacije za svaku fizičku ili pravnu osobu ili subjekt koji je imao ili, u slučaju izdavanja odobrenja, će imati kvalificirane udj ele u kapitalu podnositelja zahtjeva:

• a) detalji o financijskim ili poslovnim razlozima dotične osobe ili subjekta za posjedovanje navedenog udjela te strategija osobe ili subjekta u vezi s udjelom, uključujući razdoblje u kojem osoba ili subjekt namjerava dr žati udio te namjere za povećanje, smanjenje ili održavanje razine udjela u doglednoj budućnosti;
• b) detalji o namjerama osobe ili subjekta u pogledu podnositelja zahtjeva i o utjecaju koji osoba ili subjekt namjerava ostvariti nad podnositeljem zahtjeva, ukl jučujući u pogledu politike dividende, strateškog razvoja i raspodjele resursa podnositelja zahtjeva, namjerava li ili ne namjerava djelovati kao aktivni manjinski dioničar te razlozi za takvu namjeru;
• c) informacije o spremnosti osobe ili subjekta za pružanj e potpore podnositelju zahtjeva dodatnim regulatornim kapitalom ako je to potrebno za razvoj njegovih aktivnosti ili u slučaju financijskih teškoća;
• d) sadržaj svih planiranih sporazuma dioničara ili članova s drugim dioničarima ili članovima s obzirom na pod nositelja zahtjeva;
• e) analizu toga hoće li kvalificirani udio na bilo koji način, između ostalog kao posljedica uske

zahtjeva da pruža pravovremene i točne informacije nadležnim tijelima;

• f) identitet svakog člana upravljačkog tijela ili više uprave koji će upravljati poslovanjem podnositelja zahtjeva i koji će biti imenovan, ili predložen, od strane dotičnih dioničara ili članova, zajedno s informacijama navedenim u Smjernici 16., ako već nisu dostavljene. 15.5 U zahtjevu je potrebno navesti detaljno objašnjenje posebnih izvora financiranja za sudjelovanje svake osobe ili subjekta koji posjeduju kvalificirani udio u kapitalu podnositelja zahtjeva, koje bi trebalo uključivati:
• a) detalje o upotrebi privatnih financijskih resursa, uključujući njihovu dostupnost i (kako bi se osiguralo da se nadležno tijelo uvjerilo da je aktivnost koja je generirala novčana sredstva zakonita) izvor;
• b) pojedinosti o pristupu financijskim tržištima, uključujući p ojedinosti o financijskim instrumentima koji će se izdati,
• c) informacije o upotrebi posuđenih novčanih sredstava, uključujući ime vjerovnika i pojedinosti o odobrenim sredstvima, kao što su dospijeća, uvjeti, založna prava i jamstava, kao i informacije o izv oru prihoda koji će se koristiti za otplatu navedenih posudbi; ako vjerovnik nije kreditna institucija ili financijska institucija ovlaštena za odobravanje kredita, podnositelj zahtjeva trebao bi dostaviti nadležnim tijelima informacije o podrijetlu posuđenih novčanih sredstava;
• d) informacije o svim financijskim ugovorima s drugim osobama koje su dioničari ili članovi podnositelja zahtjeva.

Smjernica 16.: Identitet i primjerenost direktora i osoba odgovornih za upravljanje institucijom za elektronički novac

16.1 U svrhu procjene identiteta i primjerenosti direktora i osoba odgovornih za upravljanje

informacije:

• a) osobne podatke, uključujući:
• i. njihovo puno ime, spol, mjesto i datum ro đenja, adresu i nacionalnost te osobni identifikacijski broj ili presliku identifikacijske iskaznice ili istovrijednog dokumenta;
• ii. podatke o položaju za koji se traži procjena, bilo da je položaj u upravljačkom tijelu izvršan ili neizvršan. Trebali bi biti obuhvaćeni sljedeći podaci:

• b) ako je primjenjivo, informacije o procjeni prikladnosti koju je proveo podnositelj zahtjeva, a koje bi trebale uključivati pojedinosti o rezultatu svake procjene primjerenosti osobe koju je provela institucija, kao što su relevantni zapisnici sa sastanka uprave ili izvješća o procjeni prikladnosti ili drugi dokumenti;
• c) dokaz o znanju, vještinama i iskustvu, koji bi trebali uključivati životopis koji sadrži podatke o obrazovanju i radnom iskustvu, uključujući akademsko obrazovanje, drugo relevantno usavršavanje, naziv i vrstu svih organizacija za koje osoba radi ili je radila te vrstu i trajanje njezinih funkcija, s posebnim osvrtom na sve aktivnosti iz područja traženog položaja;
• d) dokaz o ugledu, poštenju i čestitosti, koji bi trebao uključivati:
• i. izvadak iz kaznene evidencije i relevantne podatke o kaznenim istragama i postupcima, relevantnim građanskim i upravnim predmetima te o disciplinskim postupcima, uključujući zabranu obavljanja funkcije direktora društva, stečajne postupke, postupke u slučaju insolventnosti i slične postupke, ponajprije u obl iku službene potvrde ili nekog objektivno pouzdanog izvora informacija koji se odnosi na nepostojanje kaznene osuđujuće presude, istraga i postupaka, kao što su istrage trećih strana i iskazi odvjetnika ili bilježnika s poslovnim nastanom u Europskoj uniji ;
• ii. izjavu o tome jesu li kazneni postupci u tijeku ili je osoba ili organizacija kojom upravlja sudjelovala kao dužnik u postupcima u slučaju insolventnosti ili usporedivim postupcima;
• iii. informacije koje se odnose na sljedeće:

Smjernica 17.: Identitet ovlaštenih revizora i revizorskih društava

Identitet ovlaštenih revizora i revizorskih društava kako su definirani u Direktivi 2006/43/EZ koje po dnositelj zahtjeva treba dostaviti, ako je relevantno, trebao bi sadržavati imena, adrese i podatke za kontakt revizora.

Smjernica 18.: Osiguranje od profesionalne odgovornosti ili usporediva garancija za usluge iniciranja plaćanja i usluge informiranja o računu

Kao dokaz osiguranja od profesionalne odgovornosti ili usporedive garancije koja je u skladu sa

profesionalne odgovornosti ili druge usporedive garancije (EBA/GL/2017/08) i člankom 5. stavcima 2. i 3. PSD2, podnositelj zahtjeva za izdavanje odobrenja kao institucija za elektronički novac koji, uz pružanje usluga elektroničkog novca, namjerava pružati PIS i AIS, trebao bi dostaviti sljedeće informacije:

• a) ugovor o osiguranju ili drugi istovrijedni dokument kojim se potvrđuje postojanje osiguranja od profesionalne odgovornosti ili usporedive garancije, s iznosom pokrića koji je u skladu s navedenim Smjernicama EBA- e, u kojem se prikazuje pokriće za predmetne obveze;
• b) dokumentaciju o tome kako je podnositelj zahtjeva izračunao minimalni iznos na način koji je u skladu sa navedenim Smjernicama EBA- e (EBA/GL/2017/08), uključujući sve u njima navedene primjenjive komponente formule.

⁴ Direktiva (EU) 2015/849 Europskog parlamenta i Vijeća od 20. svibnja 2015. o sprečavanju korištenja financijskog sustava u svrhu pranja novca ili financiranja terorizma (SL L 141, 5.6.2015., str. 73.).

⁵ Direktiva 2006/43/EZ Europskog parlamenta i Vijeća od 17. svibnja 2006. o zakonskim revizijama godišnjih financijskih izvještaja i konsolidiranih financijskih izvještaja, kojom se mijenjaju Direktive Vijeća 78/660/EEZ i 83/349/EEZ i stavlja izvan snage Direktiva Vijeća 84/253/EEZ (SL L 157, 9.6.2006., str. 87. – 107.).

Smjernica 1.: Procjena potpunosti zahtjeva

1.1. Zahtjev bi se trebao smatrati potpunim u smislu članka 12. Direktive (EU) 2015/2366 ako sadrži sve podatke potrebne nadležnim tijelima kako bi procijenila zahtjev u skladu s ovim smjernicama i člankom 5. Direktive (EU) 2015/2366.

1.2. Ako se podaci dostavljeni u zahtjevu procijene kao nepotpuni, nadležno tijelo trebalo bi poslati zahtjev podnositelju zahtjeva, u papirnatom obliku ili elektroničkim putem, jasno navodeći koji podaci nedostaju te pružiti podnositelju zahtjeva mogućnost da dostavi podatke koji nedo staju.

1.3. Nakon procjene zahtjeva kao potpunog, nadležno tijelo trebalo bi obavijestiti podnositelja zahtjeva o ovoj činjenici, navodeći datum primitka potpunog zahtjeva ili, ako je to slučaj, datum primitka podataka koji su upotpunili zahtjev.

1.4. U svakom slučaju, nadležno tijelo može zahtijevati od podnositelja zahtjeva da dostavi pojašnjenje podataka u svrhu procjene zahtjeva.

1.5. Ako zahtjev sadrži podatke, ili se temelji na podacima koje posjeduju nadležna tijela, koji više nisu istiniti, točni ili potpuni, potrebno je bez odgađanja dostaviti nadopunu zahtjeva nadležnim tijelima. U nadopuni je potrebno navesti relevantne podatke, njihovo mjesto u izvornom zahtjevu, razlog zbog kojeg podaci više nisu istiniti, točni ili potpuni, ažurirane podatke i potvrdu da ostali podaci u zahtjevu ostaju istiniti, točni i potpuni.

Guideline 1: General principles

1.1 This set of guidelines applies to applicants for authorisation as electronic money institutions (EMIs).This refers to applicants that intend to provide e-money services and, if applicable, any payment service(s) referred to in points 1-8 of Annex I to PSD2. Applicants that intend to provide only payment services referred to in points 1-7 of Annex I to PSD2 or service 8 referred to in this Annex in combination with other service(s) referred to in points 1-7 without providing e-money services should refer to the specific set of guidelines on the information required from applicants for authorisation as payment institutions (PIs) set out in section 4.1. Applicants that intend to provide only the payment service referred to in point 8 of Annex I to PSD2 without providing e-money services should refer to the guidelines on the information required from applicants for registration for the provision of only service 8 of Annex I PSD2 set out in section 4.2.

1.2 The information provided by applicants should be true, complete, accurate and up to date. All applicants should comply with all the provisions in the set of guidelines that applies to them. The level of detail should be proportionate to the applicant’s size and internal organisation, and to the nature, scope, complexity and riskiness of the particular service(s) that the applicant intends to provide. In any event, in accordance with Directive (EU) 2015/2366, the directors and the persons responsible for the management of the electronic money institution are of good repute and possess appropriate knowledge and experience to perform payment services, regardless of the institution’s size, internal organisation and the nature, scope and complexity of its activities and the duties and responsibilities of the specific position.

1.3 When submitting the information required, the applicant should avoid making references to specific sections of internal procedures/documents. Instead, the applicant should extract the relevant sections and provide these to the competent authority.

1.4 Should the competent authorities (CAs) require clarifications on the information that has been submitted, the applicant should provide such clarification without delay. 1.5 All data requested under these guidelines for authorisation as EMIs are needed for the assessment of the application and will be treated by the competent authority in accordance with the professional secrecy obligations set out in PSD2, without prejudice to applicable Union law and national requirements and procedures on the exercise of the right to access, rectify, cancel or oppose.

Guideline 2: Identification details

2.1 The identification details to be provided by the applicant should contain the following information:

• a) the applicant’s corporate name and, if different, trade name;
• b) an indication of whether the applicant is already incorporated or in the process of incorporation;
• c) the applicant’s national identification number, if applicable;
• d) the applicant’s legal status and (draft) articles of association and/or constitutional documents evidencing the applicant’s legal status;
• e) the address of the applicant’s head office and registered office;
• f) the applicant’s electronic address and website, if available;
• g) the name(s) of the person(s) in charge of dealing with the application file and authorisation procedure, and their contact details;
• h) an indication of whether or not the applicant has ever been, or is currently being, regulated by a competent authority in the financial services sector;
• i) any trade association(s), in relation to the provision of e-money services and/or payment services, that the applicant plans to join, where applicable;
• j) the register certificate of incorporation or, if applicable, negative certificate of a mercantile register that certifies that the name applied by the company is available;
• k) evidence of the payment of any fees or of the deposit of funds to file an application for authorisation as an electronic money institution, where applicable under national law.

Guideline 3: Programme of operations

3.1 The programme of operations to be provided by the applicant should contain the following information:

• a) an indication of the e-money services the applicant intends to provide: issuance, redemption, distribution;
• b) if applicable, a step-by-step description of the type of payment services envisaged, including an explanation of how the activities and the operations that will be provided are identified by the applicant as fitting into any of the legal categories of payment services listed in Annex I to PSD2, and an indication of whether these payment services would be provided in addition to electronic money services or whether they are linked to the issuance of electronic money;
• c) a declaration of whether the applicant will at any point enter or not into possession of funds;
• d) if applicable, a description of the execution of the different e-money services and, if applicable, payment services, detailing all parties involved, for each e-money service and, if applicable, each payment service provided:
• i. a diagram of flow of funds;
• ii. settlement arrangements;

services including those with payment card schemes, if applicable;

• iv. processing times;
• e) a copy of the draft contract between the electronic money issuer and the electronic money holder and the draft framework contract, as defined in Article 4(21) of PSD2 if the applicant pretends to provide payment services in addition to e-money services;
• f) the estimated number of different premises from which the applicant intends to provide the services, if applicable;
• g) a description of any ancillary services to e-money services and, if applicable, to payment services;
• h) when the applicant intends to provide payment services in addition to e-money services, a declaration of whether or not the applicant intends to grant credit and, if so, within which limits;
• i) a declaration of whether or not the applicant plans to provide e-money services and, if applicable, payment services in other EU Member States or third countries after the granting of the licence;
• j) an indication of whether or not the applicant intends, for the next three years, to provide or already provides business activities other than e-money services and, if applicable, payment services, as referred to in Article 11(5) of Directive (EU) 2015/2366, including a description of the type and expected volume of the activities;
• k) the information specified in EBA Guidelines on the criteria on how to stipulate the minimum monetary amount of the professional indemnity insurance or other comparable guarantee under Article 5(4) of Directive (EU) 2015/2366’ (EBA/GL2017/08), where the applicant intends to provide services 7 and 8 (payment initiation services (PIS) and account information services (AIS)).

Guideline 4: Business plan

4.1. The business plan to be provided by the applicant should contain:

• a) a marketing plan consisting of:
• i. an analysis of the company’s competitive position in the e-money market and, if applicable, payment market segment concerned;
• ii. a description of the payment service users and electronic money holders, marketing materials and distribution channels;
• b) certified annual accounts for the previous three years, if available, or a summary of the financial situation for those companies that have not yet produced annual accounts;
• c) a forecast budget calculation for the first three financial years that demonstrates that the applicant is able to employ appropriate and proportionate systems, resources and procedures that allow the applicant to operate soundly; it should include:
• i. an income statement and balance-sheet forecast, including target scenarios and stress scenarios as well as their base assumptions, such as volume and value of transactions, number of clients, pricing, average amount per transaction, expected increase in profitability threshold;
• ii. explanations of the main lines of income and expenses, the financial debts and the capital assets;
• iii. a diagram and detailed breakdown of the estimated cash flows for the next three years;

with method D, as referred to in Article 5.3 of Directive (EU) 2009/110 (the second E-Money Directive (EMD2)), if the electronic money institution intends to provide e-money services only, or the method(s) referred to in Article 9 of Directive (EU) 2015/2366 (PSD2) as determined by the competent authority, if the applicant intends to provide payment services in addition to e-money services, including an annual projection of the breakdown of own funds for three years according to the method used and, If applicable, an annual projection of the own funds for three years according to the other methods used.

Guideline 5: Structural organisation

5.1. The applicant should provide a description of the structural organisation of its undertaking consisting of:

• a) a detailed organisational chart, showing each division, department or similar structural separation, including the name of the person(s) responsible, in particular those in charge of internal control functions; the chart should be accompanied by a description of the functions and responsibilities of each division, department or similar structural separation;
• b) an overall forecast of the staff numbers for the next three years;
• c) a description of the relevant operational outsourcing arrangements consisting of:
• i. the identity and geographical location of the outsourcing provider;
• ii. the identity of the persons within the electronic money institution that are responsible for each of the outsourced activities;
• iii. a clear description of the outsourced activities and their main characteristics;
• d) a copy of draft outsourcing agreements;
• e) a description of the use of branches, agents and distributors, where applicable, including:
• i. a mapping of the off-site and on-site checks that the applicant intends to perform of branches, agents and distributors;
• ii. the IT systems, processes and infrastructure that are used by the applicant’s agents and distributors to perform activities on behalf of the applicant;
• iii. in the case of agents and distributors, the selection policy, monitoring procedures, agents’ and distributor’s training and, where available, the draft terms of engagement of agents and distributors;
• f) an indication of the national and/or international payment system that the applicant will access, if applicable;
• g) a list of all natural or legal persons that have close links with the applicant, indicating their identities and the nature of those links.

Guideline 6: Evidence of initial capital

6.1. For the evidence of initial capital to be provided by the applicant (of EUR 350 000), the applicant should submit the following documents:

• a) for existing undertakings, an audited account statement or public register certifying the amount of capital of the applicant;
• b) for undertakings in the process of being incorporated, a bank statement issued by a bank certifying that the funds are deposited in the applicant’s bank account.

Guideline 7: Measures to safeguard the funds of electronic money users and/or payment service users

7.1. Where the applicant safeguards the electronic money users’ and/or payment service users’ funds through depositing funds in a separate account in a credit institution or through an investment in secure, liquid, low-risk assets, the description of the safeguarding measures should contain:

• a) a description of the investment policy to ensure the assets chosen are liquid, secure and low risk, if applicable;
• b) the number of persons that have access to the safeguarding account and their functions;
• c) a description of the administration and reconciliation process for electronic money users and, if applicable, payment service users, against the claims of other creditors of the electronic money institution, in particular in the event of insolvency;
• d) a copy of the draft contract with the credit institution;
• e) an explicit declaration by the electronic money institution of compliance with Article 10 of PSD2. 7.2. Where the applicant safeguards the funds of the electronic money users and, if applicable, the payment service users through an insurance policy or comparable guarantee from an insurance company or credit institution, and unless the applicant intends to provide PIS only, the description of the safeguarding measures should contain the following:
• a) a confirmation that the insurance policy or comparable guarantee from an insurance company or credit institution is from an entity that is not part of the same group of firms as the applicant;
• b) details of the reconciliation process in place to ensure that the insurance policy or comparable guarantee is sufficient to meet the applicant’s safeguarding obligations at all times;
• c) duration and renewal of the coverage;
• d) a copy of the (draft) insurance agreement or (draft) comparable guarantee.

Guideline 8: Governance arrangements and internal control mechanisms

8.1. The applicant should provide a description of the governance arrangement and internal control mechanisms consisting of:

• a) a mapping of the risks identified by the applicant, including the type of risks and the procedures the applicant will put in place to assess and prevent such risks, in relation to e-money services and, if applicable, payment services;
• b) the different procedures to carry out periodical and permanent controls, including the frequency and the human resources allocated;
• c) the accounting procedures by the which the applicant will record and report its financial information;
• d) the identity of the person(s) responsible for the internal control functions, including for periodic, permanent and compliance control, as well as an up-to-date curriculum vitae;
• e) the identity of any auditor that is not a statutory auditor pursuant to Directive 2006/43/EC;
• f) the composition of the management body and, if applicable, any other oversight body or committee;
• g) a description of the way outsourced functions are monitored and controlled so as to avoid an impairment in the quality of the electronic money institution’s internal controls;
• h) a description of the way any agents, branches and distributors are monitored and controlled within the framework of the applicant’s internal controls;
• i) where the applicant is the subsidiary of a regulated entity in another EU Member State, a description of the group governance.

Guideline 9: Procedure for monitoring, handling and following up on security incidents and security-related customer complaints

9.1. The applicant should provide a description of the procedure in place to monitor, handle and follow up on security incidents and security-related customer complaints to be provided by the applicant, which should contain:

• a) organisational measures and tools for the prevention of fraud;
• b) details of the individuals and bodies responsible for assisting customers in cases of fraud, technical issues and/or claim management;
• c) reporting lines in cases of fraud;
• d) the contact point for customers, including a name and email address;
• e) the procedures for the reporting of incidents, including the communication of these reports to internal or external bodies, including for applicants that intend to provide payment services in addition to e-money services, and the notification of major

the EBA guidelines on incident reporting under the referred Article.

• f) the monitoring tools used and the follow-up measures and procedures in place to mitigate security risks.

Guideline 10: Process for filing, monitoring, tracking and restricting access to sensitive payment data

10.1. The applicant should provide a description of the process in place to file, monitor, track and restrict access to sensitive payment data consisting of:

• a) a description of the flows of data classified as sensitive payment data in the context of the electronic money institution’s business model;
• b) the procedures in place to authorise access to the sensitive payment data;
• c) a description of the monitoring tool;
• d) the access right policy, detailing access to all relevant infrastructure components and systems, including databases and back-up infrastructures;
• e) a description of how the collected data are filed;
• f) the expected internal and/or external use of the collected data, including by counterparties;
• g) the IT system and technical security measures that have been implemented, including encryption and/or tokenisation;
• h) identification of the individuals, bodies and/or committees with access to the sensitive payment data;
• i) an explanation of how breaches will be detected and addressed;
• j) an annual internal control programme in relation to the safety of the IT systems.

Guideline 11: Business continuity arrangements

consisting of the following information:

• a) a business impact analysis, including the business processes and recovery objectives, such as recovery time objectives, recovery point objectives and protected assets;
• b) the identification of the back-up site and access to IT infrastructure, and the key software and data to recover from a disaster or disruption;
• c) an explanation of how the applicant will deal with significant continuity events and disruptions, such as the failure of key systems; the loss of key data; the inaccessibility of the premises; and the loss of key persons;
• d) the frequency with which the applicant intends to test the business continuity and disaster recovery plans, including how the results of the testing will be recorded;
• e) a description of the mitigation measures to be adopted by the applicant, in cases of the termination of its payment services, ensuring the execution of pending payment transactions and the termination of existing contracts. Guideline 12: The principles and definitions applicable to the collection of statistical data on performance, transactions and fraud.

12.1. The applicant should provide a description of the principles and definitions applicable to the collection of the statistical data on performance, transactions and fraud consisting of the following information:

• a) the type of data that is collected, in relation to customers, type of payment service, channel, instrument, jurisdictions and currencies;
• b) the scope of the collection, in terms of the activities and entities concerned, including branches, agents and distributors;
• c) the means of collection;
• d) the purpose of collection;
• e) the frequency of collection;
• f) supporting documents, such as a manual, that describe how the system works.

Guideline 13: Security policy document

service(s) and, where applicable, payment service(s) containing the following information:

• a) a detailed risk assessment of the e-money service(s) and, where applicable, the payment service(s) the applicant intends to provide, which should include risks of fraud and the security control and mitigation measures taken to adequately protect e-money service users and, where applicable, payment service users against the risks identified;
• b) a description of the IT systems, which should include:
• i. the architecture of the systems and their network elements;
• ii. the business IT systems supporting the business activities provided, such as the applicant’s website, wallets, the payment engine, the risk and fraud management engine, and customer accounting;
• iii. the support IT systems used for the organisation and administration of the electronic money institution, such as accounting, legal reporting systems, staff management, customer relationship management, e-mail servers, internal file servers;
• iv. information on whether those systems are already used by the electronic money institution or its group, and the estimated date of implementation, if applicable;
• c) the type of authorised connections from outside, such as with partners, service providers, entities of the group and employees working remotely, including the rationale for such connections;
• d) for each of the connections listed under point c), the logical security measures and mechanisms in place, specifying the control the electronic money institution will have over such access as well as the nature and frequency of each control, such as technical versus organisational; preventative versus detective; and real-time monitoring versus regular reviews, such as the use of an active directory separate from the group, the opening/closing of communication lines, security equipment configuration, generation

confidentiality of communication, intrusion detection, antivirus systems and logs;

• e) the logical security measures and mechanisms that govern the internal access to IT systems, which should include:
• i. the technical and organisational nature and frequency of each measure, such as whether it is preventative or detective and whether or not it is carried out in real time;
• ii. how the issue of client environment segregation is dealt with in cases where the applicant’s IT resources are shared;
• f) the physical security measures and mechanisms of the premises and the data centre of the applicant, such as access controls and environmental security;

include:

• i. the customer authentication procedure used for both consultative and transactional access, and for all underlying payment instruments;
• ii. an explanation of how safe delivery to the legitimate e-money services user and, where applicable, payment service user and the integrity of authentication factors, such as hardware tokens and mobile applications, are ensured, at the time of both initial enrolment and renewal;
• iii. a description of the systems and procedures that the electronic money institution has in place for transaction analysis and the identification of suspicious or unusual transactions;
• h) a detailed risk assessment in relation to its e-money services and, where applicable, its payment services, including fraud, with a link to the control and mitigation measures explained in the application file, demonstrating that the risks are addressed;
• i) a list of the main written procedures in relation to the applicant’s IT systems or, for procedures that have not yet been formalised, an estimated date for their finalisation.

Guideline 14: Internal control mechanisms to comply with obligations in relation to money laundering and terrorist financing (AML/CFT obligations)

14.1 The description of the internal control mechanisms that the applicant has established in order to comply, where applicable, with those obligations should contain the following information:

• a) the applicant’s assessment of the money laundering and terrorist financing risks associated with its business, including the risks associated with the applicant’s customer base, the products and services provided, the distribution channels used and the geographic areas of operation;
• b) the measures the applicant has or will put in place to mitigate the risks and comply with applicable anti-money laundering and counter terrorist financing obligations, including the applicant’s risk assessment process, the policies and procedures to comply with customer due diligence requirements, and the policies and procedures to detect and report suspicious transactions or activities;
• c) the systems and controls the applicant has or will put in place to ensure that its branches, agents and distributors comply with applicable anti-money laundering and terrorist financing requirements, including, in cases where the agent, distributor or branch is located in another Member State;
• d) arrangements the applicant has or will put in place to ensure that staff, agents and distributors are appropriately trained in anti-money laundering and counter terrorist financing matters;
• e) the identity of the person in charge of ensuring the applicant’s compliance with anti-money laundering and counter-terrorism obligations, and evidence that their anti-money laundering and counter-terrorism expertise is sufficient to enable them to fulfil this role effectively;
• f) the systems and controls the applicant has or will put in place to ensure their anti-money laundering and counter terrorist financing policies and procedures remain up to date, effective and relevant;
• g) the systems and controls the applicant has or will put in place to ensure that the agents and distributors do not expose the applicant to increased money laundering and terrorist financing risk;
• h) the anti-money laundering and counter-terrorism manual for the staff of the applicant.

Guideline 15: Identity and suitability assessment of persons with qualified holdings in the applicant

15.1 For the purposes of the identity and evidence of the suitability of persons with qualifying holdings in the applicant electronic money institution, without prejudice to the assessment in accordance with the criteria, as relevant, introduced with Directive 2007/44/EC and specified in the joint guidelines for the prudential assessment of acquisitions of qualifying holdings (JC/GL/2016/01), the applicant should submit the following information:

• a) a description of the group to which the applicant belongs and an indication of the parent undertaking, where applicable;
• b) a chart setting out the shareholder structure of the applicant, including:
• i. the name and the percentage holding (capital/voting right) of each person that has or will have a direct holding in the share capital of the applicant, identifying those that are considered as qualifying holders and the reason for such qualifications;
• ii. the name and the percentage holding (capital/voting rights) of each person that has or will have an indirect holding in the share capital of the applicant, identifying those that are considered as indirect qualifying holders and the reason for such qualification;
• c) a list of the names of all persons and other entities that have or, in the case of authorisation, will have qualifying holdings in the applicant’s capital, indicating for each such person or entity:
• i. the number and type of shares or other holdings subscribed or to be subscribed;
• ii. the nominal value of such shares or other holdings.

15.2 Where a person who has or, in the case of authorisation, will have a qualifying holding in the applicant’s capital is a natural person, the application should set out all of the following information relating to the identity and suitability of that person:

• a) the person’s name and name at birth, date and place of birth, citizenship (current and previous), identification number (where available) or passport number, address and a copy of an official identity document;
• b) a detailed curriculum vitae stating the education and training, previous professional experience and any professional activities or other functions currently performed;
• c) a statement, accompanied by supporting documents, containing the following information concerning the person:
• i. subject to national legislative requirements concerning the disclosure of spent convictions, any criminal conviction or proceedings where the person has been found against and which were not set aside;
• ii. any civil or administrative decisions in matters of relevance to the assessment

each case which were not set aside and against which no appeal is pending or may be filed;

• iii. any bankruptcy, insolvency or similar procedures;
• iv. any pending criminal investigations;
• v. any civil or administrative investigations, enforcement proceedings, sanctions

may be considered to be relevant to the authorisation to commence the activity of an electronic money institution or to the sound and prudent management of an electronic money institution;

• vi. where such documents can be obtained, an official certificate or any other equivalent document evidencing whether any of the events set out in sub-paragraphs (i)-(v) has occurred in respect of the relevant person;
• vii. any refusal of registration, authorisation, membership or licence to carry out trade, business or a profession;
• viii. any withdrawal, revocation or termination of a registration, authorisation, membership or licence to carry out trade, business or a profession;
• ix. any expulsion by an authority or public sector entity in the financial services sector or by a professional body or association;
• x. any position of responsibility with an entity subject to any criminal conviction or proceedings, administrative investigations, sanctions or other enforcement decisions for conduct failings, including in respect of fraud, dishonesty, corruption, money laundering, terrorist financing or other financial crime, or

events, held at the time when the alleged conduct occurred, together with details of such occurrences and of the person’s involvement, if any, in them;

• xi. any dismissal from employment or a position of trust, any removal from a fiduciary relationship (other than as a result of the relevant relationship coming to an end by passage of time) and any similar situation;
• d) a list of undertakings that the person directs or controls and of which the applicant is aware of after due and careful enquiry; the percentage of control either direct or indirect in these companies; their status (whether or not they are active, dissolved, etc.); and a description of insolvency or similar procedures;
• e) where an assessment of reputation of the person has already been conducted by a competent authority in the financial services sector, the identity of that authority and the outcome of the assessment;

revenues, assets and liabilities, security interests and guarantees, whether granted or received;

• g) a description of any links to politically exposed persons, as defined in Article 3(9) of Directive (EU) 2015/849⁵ .

15.3 Where a person or entity who has or, in the case of authorisation, will have a qualifying holding in the applicant’s capital (including entities that are not a legal person and which hold or should hold the participation in their own name), the application should contain the following information relating to the identity and suitability of that legal person or entity:

• a) name;
• b) where the legal person or entity is registered in a central register, commercial register, companies register or similar register that has the same purposes of those aforementioned, a copy of the good standing, if possible, or otherwise a registration certificate;
• c) the addresses of its registered office and, where different, of its head office, and principal place of business;
• d) contact details;
• e) corporate documents or, where the person or entity is registered in another Member State, a summary explanation of the main legal features of the legal form or the entity;
• f) whether or not the legal person or entity has ever been or is regulated by a competent authority in the financial services sector or other government body;
• g) where such documents can be obtained, an official certificate or any other equivalent document evidencing the information set out in paragraphs (a) to (e) issued by the relevant competent authority;
• h) the information referred to in Guideline 15(2)(c), 15(2)(d), 15(2)(e),15(2)(f) and 15(2)(g) a in relation to the legal person or entity;
• i) a list containing details of each person who effectively directs the business of the legal person or entity, including their name, date and place of birth, address, their national identification number, where available, and detailed curriculum vitae (stating relevant education and training, previous professional experience, any professional activities or other relevant functions currently performed), together with the information referred to in Guideline 15(2)(c) and 15(2)(d) in respect of each such person;
• j) the shareholding structure of the legal person, including at least their name, date and place of birth, address and, where available, personal identification number or registration number and the respective share of capital and voting rights of direct or indirect shareholders or members and beneficial owners, as defined in Article 3(6) of Directive (EU) 2015/849;
• k) a description of the regulated financial group of which applicant is a part, or may become a part, indicating the parent undertaking and the credit, insurance and security entities within the group; the name of their competent authorities (on an individual or consolidated basis); and
• l) annual financial statements, at the individual and, where applicable, the consolidated and sub-consolidated group levels, for the last three financial years, where the legal person or entity has been in operation for that period (or, if less than three years, the period for which the legal person or entity has been in operation and financial statements were prepared), approved by the statutory auditor or audit firm within the meaning of Directive 2006/43/EC⁶ , where applicable, including each of the following items:
• i. the balance sheet;
• ii. the profit-and-loss accounts or income statement;
• iii. the annual reports and financial annexes and any other documents registered with the relevant registry or competent authority of the legal person;
• m) where the legal person has not been operating for a sufficient period to be required to prepare financial statements for the three financial years immediately prior to the date of the application, the application shall set out the existing financial statements (if any);

information on the regulatory regime of that third country as applicable to the legal person or entity, including information on the extent to which the third country’s anti-money laundering and counter-terrorist financing regime is consistent with the Financial Action Task Force Recommendations;

undertaking, a sovereign wealth fund or a trust, the application shall set out the following information:

• i. the identity of the persons who manage assets and of the persons who are beneficiaries or subscribers, unit holders controlling the collective investment undertaking or having a holding enabling them to prevent the taking of decisions by the collective investment undertaking;
• ii. a copy of the document establishing and governing the entity including the investment policy and any restrictions on investment applicable to the entity.

15.4 The application shall set out all of the following information for each natural or legal person or entity who has or, in the case of authorisation, will have a qualifying holding in the capital of the applicant should contain the following:

• a) details of that person’s or entity’s financial or business reasons for owning that holding and the person’s or the entity’s strategy regarding the holding, including the period for which the person or the entity intends to hold the holding and any intention to increase, reduce or maintain the level of the holding in the foreseeable future;
• b) details of the person’s or entity’s intentions in respect of the applicant and of the influence the person or the entity intends to exercise over the applicant, including in respect of the dividend policy, the strategic development and the allocation of resources of the applicant, whether or not it intends to act as an active minority shareholder and the rationale for such intention;

additional own funds if needed for the development of its activities or in the case of financial difficulties;

• d) the content of any intended shareholder’s or member’s agreements with other shareholders or members in relation to the applicant;
• e) an analysis as to whether or not the qualifying holding will impact in any way, including as a result of the person’s close links to the applicant, on the ability of the applicant to provide timely and accurate information to the competent authorities;
• f) the identity of each member of the management body or of senior management who will direct the business of the applicant and will have been appointed by, or following a nomination from, such shareholders or members, together with, to the extent not already provided, the information set out in Guideline 16 below.

15.5 The application should set out a detailed explanation of the specific sources of funding for the participation of each person or entity having a qualifying holding in the applicant’s capital, which should include:

• a) details on the use of private financial resources, including their availability and (so as to

funds is legitimate) source;

• b) details on access to financial markets, including details of financial instruments to be issued;

authorised to grant credit, the applicant should provide to the competent authorities information on the origin of the borrowed funds;

• d) information on any financial arrangement with other persons who are shareholders or members of the applicant. Guideline 16: Identity and suitability assessment of directors and persons responsible for the management of the electronic money institution

16.1 For the purposes of the identity and suitability assessment of directors and persons responsible for the management of the electronic money institution, the applicant should provide the following information:

• a) Personal details including:

personal identification number or copy of ID card or equivalent.

• ii. details of the position for which the assessment is sought, whether or not the management body position is executive or non-executive. This should also include the following details:

• b) where applicable, information on the suitability assessment carried out by the applicant which should include details of the result of any assessment of the suitability of the individual performed by the institution, such as relevant board minutes or suitability assessment reports or other documents;
• c) evidence of knowledge, skills and experience, which should include a curriculum vitae containing details of education and professional experience, including academic qualifications, other relevant training, the name and nature of all organisations for which the individual works or has worked, and the nature and duration of the functions performed, in particular highlighting any activities within the scope of the position sought;
• d) evidence of reputation, honesty and integrity, which should include:
• i. criminal records and relevant information on criminal investigations and proceedings, relevant civil and administrative cases, and disciplinary actions, including disqualification as a company director, bankruptcy, insolvency and similar procedures, notably through an official certificate or any objectively reliable source of information concerning the absence of criminal conviction, investigations and proceedings, such as third-party investigations, testimonies made by a lawyer or a notary established in the European Union;
• ii. a statement as to whether criminal proceedings are pending or the person or any organisation managed by him or her has been involved as a debtor in insolvency proceedings or comparable proceedings;
• iii. information concerning the following :

Guideline 17: Identity of statutory auditors and audit firms

The identity of statutory auditors and audit firms as defined in Directive 2006/43/EC to be provided by the applicant, where relevant, should contain the names, addresses and contact details of auditors.

Guideline 18: Professional indemnity insurance or a comparable guarantee for payment initiation services and account information services

As evidence of a professional indemnity insurance or comparable guarantee that is compliant with EBA Guidelines on the criteria on how to stipulate the minimum monetary amount of the professional insurance or other comparable guarantee (EBA/GL/2017/08) and Article 5(2) and 5(3) of PSD2, the applicant for authorisation as electronic money institutions that, in addition to e-money services, intends to provide PIS or AIS, should provide the following information:

• a) an insurance contract or other equivalent document confirming the existence of the professional indemnity insurance or comparable guarantee, with a cover amount that is compliant with the referred EBA Guidelines, showing the coverage of the respective liabilities;
• b) documentation of how the applicant has calculated the minimum amount in a way that is compliant with the referred EBA Guidelines (EBA/GL/2017/08), including all applicable components of the formula specified therein.

⁵ Directive (EU) 2015/849 of the European Parliament and of the Council of 20 May 2015 on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing (OJ L 141, 5.6.2015, p. 73).

⁶ Directive 2006/43/EC of the European Parliament and of the Council of 17 May 2006 on statutory audits of annual accounts and consolidated accounts, amending Council Directives 78/660/EEC and 83/349/EEC and repealing Council Directive 84/253/EEC (OJ L 157, 9.6.2006, p. 87-107).

Guideline 1: Assessment of the completeness of the application

1.1. An application should be deemed to be complete for the purpose of Article 12 of Directive (EU) 2015/2366 if it contains all the information needed by the competent authorities in order to assess the application in accordance with these guidelines and with Article 5 of Directive (EU) 2015/2366.

1.2. Where the information provided in the application is assessed to be incomplete, the competent authority should send, in paper format or by electronic means, a request to the applicant, indicating in a clear way what information is missing, and should provide to the applicant the opportunity to submit the missing information.

1.3. Upon an application being assessed as complete, the competent authority should inform the applicant of that fact, together with the date of receipt of the complete application or, as the case may be, the date of receipt of the information that completed the application.

1.4. In any case, the competent authority may require the applicant to provide clarification on the information for the purposes of assessing the application.

1.5. Where an application contains information, or relies on information held by the competent authorities, which is no longer true, accurate or complete, an update to the application should be provided to the competent authorities without delay. The update should identify the information concerned, its location within the original application, the reason for the information no longer being true, accurate or complete, the updated information and confirmation that the rest of the information in the application remains true, accurate and complete.