4.2 Smjernice o informacijama koje se zahtijevaju od podnositelja zahtjeva za registraciju za pružanje samo usluge 8. iz Priloga I. Direktivi (EU) 2015/2366 (usluge informiranja o računu)

Smjernica 1.: Opća načela

1.1 Ova grupa smjernica primjenjuje se na podnositelje zahtjeva za registraciju kao pružatelji usluga informiranja o računima (AISP - ovi). Ovo se odnosi na podnositelje zahtjeva koji namjeravaju pružati samo usluge informiranja o računima (AIS). Ako podnositelj zahtjeva namjerava pružati dodatne usluge pored AIS -a, trebao bi podnijeti zahtjev za odobrenje i uputiti se na smjernice utvrđene u odjeljku 4.1. za institucije za platni promet (IPP - ove).

1.2 Informacije koje podnositelji zahtjeva dostave trebaju biti istinite, potpune, točne i ažurne. Svi podnositelji zahtjeva trebaju poštovati sve odredbe utvrđene u smjernicama koje se na njih primjenjuju. Razina detalja koji se trebaju poštovati trebala bi biti razmjerna veličini podnositelja zahtjeva i unutarnjoj organizaciji te prirodi, opsegu, složenosti i rizičnosti pojedinih usluga koje podnositelj zahtjeva namjerava pružati. U svakom slučaju, u skladu s Direktivom (EU) 2015/2366, direktori i osobe odgovorne za upravljanje institucijom za platni promet imaju dobar ugled i odgovarajuće znanje i iskustvo u obavljanju platnih usluga, bez obzira n a veličinu institucije, unutarnju organizaciju te prirodu, opseg i složenost njezinih aktivnosti i dužnosti te odgovornosti određenog položaja.

1.3 Kod podnošenja traženih informacija, podnositelj zahtjeva trebao bi izbjegavati upućivanje na određene dijelove internih postupaka/dokumenta. Umjesto toga, podnositelj zahtjeva trebao bi izdvojiti relevantne dijelove i dostaviti ih nadležnom tijelu (NT).

1.4 Ako bi NT- ovi zahtijevali pojašnjenja u vezi s informacijama koje su podnesene, podnositelj zahtjeva treba dostav iti iste bez odgađanja.

1.5 Svi podaci koji se zahtijevaju u skladu s ovim smjernicama za registraciju u svojstvu pružatelja usluga informiranja o računu (AISP) potrebni su za procjenu zahtjeva i nadležno tijelo će s njima postupati u skladu s obvezama poslov ne tajne utvrđenima u PSD2, ne dovodeći u pitanje pravo Unije i nacionalne zahtjeve o ostvarivanju prava na pristupanje, ispravljanje, otkazivanje ili protivljenje. Smjernica 2.: Identifikacijski podaci

2.1 Ako je podnositelj zahtjeva fizička osoba, identifika cijski podaci koje podnositelj zahtjeva treba dostaviti trebali bi sadržavati sljedeće informacije:

• a) ime, adresu, nacionalnost, datum i mjesto rođenja;
• b) presliku identifikacijske iskaznice ili istovrijednog identifikacijskog dokumenta;
• c) ažurirani životopis;
• d) p rovjeru iz kaznene evidencije ne stariju od 3 mjeseca;
• e) ime/na osobe/a odgovornih za podnošenje zahtjeva i postupak registracije te podatke za kontakt;

2.2 Ako je podnositelj zahtjeva pravna osoba, identifikacijski podaci koje podnositelj zahtjeva treba dostav iti trebali bi sadržavati sljedeće informacije:

• a) poslovni naziv podnositelja zahtjeva i, ako se razlikuje, trgovački naziv;
• b) naznaku je li podnositelj zahtjeva već osnovan ili je u postupku osnivanja;
• c) nacionalni identifikacijski broj podnositelja zahtjeva, ako je primjenjivo;
• d) pravni status i statut (nacrt statuta) podnositelja zahtjeva i/ili dokumente o osnivanju kojima se dokazuje pravni status podnositelja zahtjeva;
• e) adresu mjesta uprave podnositelja zahtjeva i registriranog sjedišta;
• f) elektroničku adresu i internetska stranicu podnositelja zahtjeva, ako su dostupne;
• g) ime osobe/a odgovorne/ih za podnošenje zahtjeva i postupak registracije i njihovi podaci za kontakt;
• h) naznaku je li podnositelj zahtjeva ikada bio, ili je trenutačno, reguliran od strane nadležnog tijela u sektoru financijskih usluga;
• i) izvadak iz sudskog registra ili, ako je primjenjivo, izvadak iz sudskog registra kojim se potvrđuje da je naziv koji trgovačko društvo primjenjuje dostupan;
• j) dokaz o plaćanju svih naknada ili depozita novčanih sredstava za podnošenje prijave za registraciju kao pružatelj usluga informiranja o računu, gdje je to primjenjivo u skladu s nacionalnim pravom. Smjernica 3.: Program poslovanja

3.1. Program poslovanja koji podnositelj zahtjeva treba dostaviti trebao bi sadržavati sljedeće informacije:

• a) opis usluge informiranja o računu koju namjerava pružati, uključujući objašnjenje o tome kako je podnositelj zahtjeva utvrdio da aktivnost odgovara definiciji usluga informiranja
• o računu kako je definirana u članku 4. stavku 16. Direktive (EU) 2015/2366 (PSD2);
• b) izjavu podnositelja zahtjeva da ni u jednom trenutku neće ulaziti u posjed novčanih sredstava;
• c) opis usluge informiranja o računu uključujući:
• i. nacrte ugovora između svih uključenih strana, ako je primjenjivo;
• ii. uvjete pružanja usluga informiranja o računu;
• iii. vremena obrade;
• d) procijenjeni broj različitih prostora iz kojih podnositelj zahtjeva namjerava pružati usluge, ako je primjenjivo;
• e) opis svih pomoćnih usluga povezanih s uslugom informiranja o računu, ako je primjenjivo;
• f) izjavu o t ome namjerava li podnositelj zahtjeva pružati usluge informiranja o računu u drugoj državi članici EU - a ili trećoj državi nakon registracije;
• g) naznaku o tome namjerava li podnositelj zahtjeva iduće tri godine pružati ili već pruža druge poslovne djelatnosti osim usluge informiranja o računu kako su navedene u članku 18. Direktive (EU) 2015/2366, uključujući opis vrste i očekivani obujam aktivnosti;
• h) informacije navedene u Smjernicama EBA- e o kriterijima za određivanje minimalnog novčanog iznosa za osiguranje od profesionalne odgovornosti ili druge usporedive garancije na temelju članka 5. stavka 4. Direktive (EU) 2015/2366 (EBA/GL/2017/08) ako podnositelj zahtjeva namjerava pružati samo uslugu 8 (AIS).

Smjernica 4.: Poslovni plan

4.1. Poslovni plan koji podnositel j zahtjeva treba dostaviti trebao bi sadržavati:

• a) marketinški plani koji se sastoji od:
• i. analize konkurentnog položaja društva;
• ii. opisa korisnika usluga informiranja o računu u dotičnom tržišnom segmentu informiranja o računu, marketinške materijale i distribucijske kanale;
• b) ovjerene godišnje financijske izvještaje za posljednje tri godine, ako su dostupni, ili sažetak financijskog stanja za one podnositelje zahtjeva koji još nisu izradili godišnje financijske izvještaje;
• c) izračun projekcije proračuna za prve tri financijske godine kojim se pokazuje da je podnositelj zahtjeva sposoban upotrebljavati adekvatne i razmjerne sustave, resurse i postupke za stabilno poslovanje; trebao bi uključivati:
• i. projekcije računa dobiti i gubitka i bilance, uključujući ciljne scen arije i stresne scenarije te njihove temeljne pretpostavke, kao što je broj klijenata, određivanje cijena i očekivani porast u pragu profitabilnosti;
• ii. objašnjenja osnovnih linija prihoda i troškova, financijskih dugova i kapitalne imovine;
• iii. dijagram i detaljnu raščlambu procijenjenih novčanih tokova za iduće tri godine;

Smjernica 5.: Organizacijska struktura

5.1. Ako je podnositelj zahtjeva fizička osoba, opis organizacijske strukture društva podnositelja zahtjeva trebao bi sadržavati sljedeće informacije:

• a) ukupn o predviđanje broja zaposlenika za iduće tri godine;
• b) opis relevantnih ugovora o eksternalizaciji koji se sastoje od:
• i. identiteta i zemljopisnog položaja pružatelja usluge eksternalizacije;
• ii. identiteta osoba unutar AISP- a koje su odgovorne za svaku od eksternaliziranih aktivnosti;
• iii. detaljnog opisa eksternaliziranih aktivnosti i njihove glavne karakteristike;
• c) presliku nacrta ugovora o eksternalizaciji;
• d) opis uporabe podružnica ili zastupnika, gdje je to primjenjivo, uključujući:
• i. raspoređivanje neizravnih i izravnih provjera koje podnositelj zahtjeva namjerava obaviti nad podružnicama i zastupnicima;
• ii. IT sustav, procese i infrastrukturu kojom se koriste zastupnici podnositelja zahtjeva za obavljanje aktivnosti u ime podnositelja zahtjeva;
• iii. u slučaju zastupnika, politiku odabira, postupke nadzora i obuke zastupnika i, gdje je dostupno, nacrt uvjeta za obavljanje posla;
• e) popis svih fizičkih ili pravnih osoba koje su usko povezane s AISP -om podnositeljem zahtjeva uz naznaku njihovih identiteta i prirode t ih veza.

5.2. Ako je podnositelj zahtjeva pravna osoba, opis organizacijske strukture društva podnositelja zahtjeva trebao bi sadržavati sljedeće informacije:

• a) detaljnu organizacijsku shemu, koja prikazuje svaku organizacijsku jedinicu, odjel ili slično struktu rno razdvajanje, uključujući ime/na odgovorne/ih osobe/a, a posebno osoba odgovornih za funkcije unutarnje kontrole; uz shemu bi trebali biti priloženi opisi funkcija i odgovornosti svake organizacijske jedinice, odjela ili sličnog strukturnog razdvajanja;
• b) ukupno predviđanje broja zaposlenika za iduće tri godine;
• c) opis relevantnih ugovora o eksternalizaciji koji se sastoje od:
• i. identiteta i geografske lokacije pružatelja usluge eksternalizacije;
• ii. identiteta osoba unutar AISP- a koje su odgovorne za svaku od eksternaliziranih aktivnosti;
• iii. detaljnog opisa eksternaliziranih aktivnosti i njihove glavne karakteristike;
• d) presliku nacrta ugovora o eksternalizaciji;
• e) opisa korištenja podružnica ili zastupnika, gdje je to primjenjivo, uključujući:
• i. određivanje neizravnih i izravnih provjera koje podnositelj zahtjeva namjerava obaviti nad podružnicama i zastupnicima;

zahtjeva za obavljanje aktivnosti u ime podnositelja zahtjeva;

• iii. u slučaju zastupn ika, politiku odabira, postupke nadzora i obuke zastupnika i, gdje je dostupno, nacrt uvjeta za obavljanje posla;
• f) popis svih fizičkih ili pravnih osoba koje su usko povezane s podnositeljem zahtjeva uz naznaku njihovih identiteta i prirode tih veza.

Smjern ica 6.: Sustav upravljanja i mehanizmi unutarnje kontrole

6.1. Podnositelj zahtjeva trebao bi dostaviti opis sustava upravljanja i mehanizama unutarnje kontrole koji se sastoje od:

• a) raspoređivanja rizika utvrđenih od strane podnositelja zahtjeva, uključujući vr stu rizika i postupke koje će podnositelj zahtjeva uspostaviti radi procjene i sprječavanja takvih rizika;
• b) različitih postupaka namijenjenih za provođenje povremenih i trajnih kontrola, uključujući njihovu učestalost i raspoređene ljudske resurse;
• c) računovodstvenih postupaka kojima će podnositelj zahtjeva evidentirati i izvješćivati o svojim financijskim podatcima;
• d) identiteta osobe/a odgovorne/ih za funkcije unutarnje kontrole, uključujući povremene i trajne kontrole i kontrole usklađenosti, kao i ažurirani životopis;
• e) identiteta svih revizora koji nisu ovlašteni revizori u skladu s Direktivom 2006/43/EZ;
• f) sastava upravljačkog tijela i, ako je primjenjivo, bilo kojeg drugog nadzornog tijela ili odbora;
• g) opisa načina na koji se nadziru i kontroliraju eksternalizirane funkcije kako bi se izbjeglo narušavanje kvalitete unutarnjih kontrola podnositelja zahtjeva;
• h) opisa načina na koji se nadziru i kontroliraju zastupnici i podružnice u okviru unutarnjih kontrola podnositelja zahtjeva;
• i) ako je podnositelj zahtjeva društvo kćer reguliranog subjekta u drugoj državi članici EU - a, opisa upravljanja u grupi.

Smjernica 7.: Praćenje, rješavanje i postupanje nakon sigurnosnih incidenata ili prigovora klijenata povezanih sa sigurnosti

7.1. Podnositelj zahtjeva trebao bi dostaviti opis uspostavljenog postupka za praćenje, rješavanje i postupanje nakon sigurnosnih incidenata i prigovora klijenata povezanih sa sigurnosti koju treba pružiti podnositelj zahtjeva, koji bi trebao sadržavati:

• a) organizacijske mjere i alate za sprječavanje prijevara;
• b) podatke o osobama i tijelima odgovornim za pomaganje klijentima u slučaju prijevare, tehničkim pitanjima i/ili upravljanju zahtjevima;
• c) linije izvještavanja u slučaju prijevara;
• d) kontaktnu točku za klijente, uključujući ime i adresu e - pošte;
• e) postupk e za izvješćivanje o incidentima, uključujući dostavu tih izvješća unutarnjim i vanjskim tijelima, uključujući izvješćivanje nacionalnih tijela o značajnim incidentima na temelju članka 96. PSD2, a u skladu sa smjernicama EBA - e o izvješćivanju o incidentim a na temelju navedenog članka.
• f) korištene alate za praćenje i uspostavljene prateće mjere i postupke za ublažavanje sigurnosnih rizika.

Smjernica 8.: Proces za pohranu, nadzor, praćenje i ograničavanje pristupa osjetljivim podacima o plaćanju

8.1. Podnositelj z ahtjeva trebao bi dostaviti opis uspostavljenog procesa za pohranu, nadzor, praćenje i ograničavanje pristupa osjetljivim podacima o plaćanju koji se sastoji od:

• a) opisa tokova podataka klasificiranih kao osjetljivi podaci o plaćanju u kontekstu poslovnog mo dela AISP- a;
• b) uspostavljenih postupaka za odobravanje pristupa osjetljivim podacima o plaćanju;
• c) opisa alata za praćenje;
• d) politike prava pristupa, s detaljima pristupa svim relevantnim dijelovima i sustavima, uključujući baze podataka i infrastrukture podrške;
• e) opisa načina pohrane prikupljenih podataka;
• f) očekivanog unutarnjeg i/ili vanjskog korištenja prikupljenih podataka, uključujući od strane drugih ugovornih strana;

tokenizaciju;

• h) identifikacije osobe, tijela i/ili odbora s pravom pristupa osjetljivim podacima o plaćanju;
• i) objašnjenja o tome kako će se otkrivati i rješavati neovlašteni upadi;
• j) godišnjeg programa unutarnje kontrole vezano uz sigurnost IT sustava.

Sm jernica 9.: Održavanje kontinuiteta poslovanja

9.1. Podnositelj zahtjeva trebao bi dostaviti opis postupka održavanja kontinuiteta poslovanja koji se sastoji od sljedećih podataka:

• a) analize utjecaja na poslovanje, uključujući poslovne procese i ciljeve oporavka, kao što su ciljana vremena oporavka, ciljane točke oporavka podataka i zaštićena imovina;
• b) identifikacije pričuvne lokacije, pristupa IT infrastrukturi i ključnom softveru te podacima za oporavak od kriznih situacija ili poremećaja;
• c) objašnjenja o tome kako će podnositelj zahtjeva suočavati sa značajnim događajima i poremećajima koji narušavaju kontinuitet poslovanja, kao što je pad ključnih sustava; gubitak ključnih podataka; nepristupačnost prostora; gubitak ključnih osoba;
• d) učestalosti kojom podnositelj za htjeva namjerava testirati kontinuitet poslovanja i planove za oporavak od kriznih situacija, uključujući način na koji će biti evidentirani rezultati testiranja.

Smjernica 10.: Dokument o sigurnosnoj politici

10.1. Podnositelj zahtjeva trebao bi dostaviti dokum ent o sigurnosnoj politici koji sadrži sljedeće podatke:

• a) detaljnu procjenu rizika u pogledu platne/ih usluga koje podnositelj zahtjeva namjerava pružati, koja bi trebala uključivati rizike od prijevare i sigurnosne kontrolne mjere i mjere za ublažavanje poduzete za adekvatnu zaštitu korisnika platnih usluga od utvrđenih rizika;
• b) opis IT sustava, koji bi trebao uključivati:
• i. arhitekturu sustava i njihovih mrežnih elemenata;
• ii. poslovne IT sustave koji podržavaju poslovne aktivnosti koje se pružaju, kao što su internetska stranica podnositelja zahtjeva, mehanizam upravljanja rizikom i prijevarama te način praćenja korisnika;
• iii. sustave IT podrške koji se koriste za organizaciju i administraciju AISP - a, kao što su računovodstvo, sustavi pravnog izvještavanja, upravljan je zaposlenicima, upravljanje odnosima s klijentima, poslužitelji e - pošte i interni poslužitelji datoteke;
• iv. informaciju o tome koristi li već AISP ili njegova grupa ove sustave i procijenjeni datum provedbe, ako je primjenjivo;
• c) vrstu odobrenih veza izvana, kao što su one s partnerima, pružateljima usluga, subjektima grupe i zaposlenicima koji rade s udaljenosti, uključujući razlog za takve veze;
• d) za svaku od veza navedenih pod točkom c), logičke sigurnosne mjere i uspostavljene mehanizme, uz određivanje kontrole koju će institucija za platni promet imati nad takvim pristupom kao i prirodu i učestalost svake kontrole, kao što je tehnička naspram organizacijske; preventivna naspram detektivne; nadzor u stvarnom vremenu naspram redovitih provjera, kao što je upotreba aktivnog direktorija odvojeno od grupe, otvaranje/zatvaranje linija komunikacije, konfiguracija sigurnosne opreme, generiranje šifri ili certifikata za autentifikaciju klijenta, nadzor sustava, autentifikacija, povjerljivost komunikacije, otkrivanje n eovlaštenog pristupa, antivirusni sustavi i zapisi;
• e) logičke sigurnosne mjere i mehanizme koji uređuju unutarnji pristup IT sustavima, koji trebaju uključivati:
• i. tehničku i organizacijsku prirodu i učestalost svake mjere, između ostalog je li preventivna ili detektivna te izvršava li se u stvarnom vremenu ili ne;
• ii. kako se postupa po pitanju podjele okruženja klijenta u slučajevima gdje su IT resursi podnositelja zahtjeva zajednički;
• f) fizičke sigurnosne mjere i mehanizme za zaštitu prostora i podatkovnog centra podnositelja zahtjeva, kao što su kontrole pristupa i sigurnost okoline;
• g) sigurnost procesa plaćanja, koja bi trebala uključivati:
• i. postupak autentifikacije klijenta koji se koristi za savjetodavni i transakcijski pristup;
• ii. objašnjenje o tome kako je osigurana sigurna dostava zakonitom korisniku platne usluge i cjelovitost autentifikacijskih faktora, kao što su hardverski tokeni i mobilne aplikacije, u trenutku početne dodjele i obnavljanja;
• iii. opis sustava i postupaka koje je uspostavio podnositelj zahtjeva za analizu transakcija i identifikaciju sumnjivih ili neobičnih transakcija;
• h) detaljnu procjenu rizika s obzirom na vlastite platne usluge, uključujući prijevare, s poveznicom na mjere kontr ole i ublažavanja objašnjene prilikom podnošenja zahtjeva, iz čega je vidljivo da je problem rizika obuhvaćen;
• i) popis glavnih pisanih postupaka u vezi s IT sustavima podnositelja zahtjeva, ili za postupke koji još nisu formalizirani, procijenjeni datum za njihovu finalizaciju.

Smjernica 11.: Identitet i primjerenost direktora i osoba odgovornih za upravljanje pružateljem usluga informiranja o računu

11.1. U svrhu procjene identiteta i primjerenosti direktora i o soba odgovornih za upravljanje pružateljem usluga informiranja o računu, podnositelj zahtjeva trebao bi dostaviti sljedeće informacije:

• a) osobne podatke, koji bi trebali uključivati:
• i. puno ime, spol, mjesto i datum rođenja, adresu i nacionalnost te osobni ide ntifikacijski broj ili presliku osobne iskaznice ili drugog identifikacijskog dokumenta;
• ii. podatke o položaju za koji se traži procjena, je li položaj u upravljačkom tijelu izvršan ili neizvršan; trebali bi biti obuhvaćeni sljedeći podaci:

• b) ako je primjenjivo, informacije o procjeni primjerenosti koju je proveo podnositelj za htjeva, a koje bi trebale uključivati pojedinosti o rezultatu svake procjene primjerenosti osobe koju je provela institucija, kao što su relevantni zapisnici sa sastanka uprave ili izvješća o procjeni primjerenosti ili drugi dokumenti;
• c) dokaz o znanju, vje štinama i iskustvu, koji bi trebali uključivati životopis koji sadrži podatke o obrazovanju i radnom iskustvu, uključujući akademsko obrazovanje, drugo relevantno usavršavanje, naziv i vrstu svih organizacija za koje osoba radi ili je radila te vrstu i tra janje njezinih funkcija, s posebnim osvrtom na sve aktivnosti iz područja traženog položaja;
• d) dokaz o ugledu, poštenju i čestitosti, koji bi trebao uključivati:
• i. izvadak iz kaznene evidencije i relevantne podatke o kaznenim istragama i postupcima, relevantni m građanskim i upravnim predmetima te o disciplinskim postupcima, uključujući zabranu obavljanja funkcije direktora društva, stečajne postupke, postupke u slučaju insolventnosti i slične postupke, ponajprije u obliku službene potvrde ili nekog objektivno pouzdanog izvora informacija koji se odnosi na nepostojanje kaznene osuđujuće presude, istraga i postupaka, kao što su istrage trećih strana i iskazi odvjetnika ili bilježnika s poslovnim nastanom u Europskoj uniji;
• ii. izjavu o tome jesu li kazneni postupci u tijeku ili je osoba ili organizacija kojom upravlja sudjelovala kao dužnik u postupcima u slučaju insolventnosti ili usporedivim postupcima;
• iii. informacije koje se odnose na sljedeće:

Smjernica 12.: Osiguranje od profesionalne odgovornosti ili usporediva garancija

12.1. Kao dokaz osiguranja od profesionalne odgovornosti ili usporedive garancije koji je u skladu sa Smjernicama EBA-e o o siguranju od profesionalne odgovornosti i (EBA/GL/2017/08) i člankom 5. stavcima 2. i 3. PSD2, podnositelj zahtjeva trebao bi dostaviti sljedeće informacije:

• a) ugovor o osiguranju ili drugi istovrijedni dokument kojim se potvrđuje postojanje osiguranja od profesionalne odgovornosti ili usporedive garancije, s iznosom pokrića koji je u skladu s navedenim Smjernicama EBA- e, u kojem se prikazuje pokriće za relevantne obveze;
• b) dokumentaciju o tome kako je podnositelj zahtjeva izračunao minimalni iznos na način koji je u skladu sa navedenim Smjernicama EBA- e, uključujući sve u njima navedene primjenjive komponente formule.

1. Pregled

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani standardi

2. Utvrđeni zahtjevi

3. Povezani standardi

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.