4.2 Smjernice o informacijama koje se zahtijevaju od podnositelja zahtjeva za registraciju za pružanje samo usluge 8. iz Priloga I. Direktivi (EU) 2015/2366 (usluge informiranja o računu)

Smjernica 1.: Opća načela

1.1 Ova grupa smjernica primjenjuje se na podnositelje zahtjeva za registraciju kao pružatelji usluga informiranja o računima (AISP - ovi). Ovo se odnosi na podnositelje zahtjeva koji namjeravaju pružati samo usluge informiranja o računima (AIS). Ako podnositelj zahtjeva namjerava pružati dodatne usluge pored AIS -a, trebao bi podnijeti zahtjev za odobrenje i uputiti se na smjernice utvrđene u odjeljku 4.1. za institucije za platni promet (IPP - ove).

1.2 Informacije koje podnositelji zahtjeva dostave trebaju biti istinite, potpune, točne i ažurne. Svi podnositelji zahtjeva trebaju poštovati sve odredbe utvrđene u smjernicama koje se na njih primjenjuju. Razina detalja koji se trebaju poštovati trebala bi biti razmjerna veličini podnositelja zahtjeva i unutarnjoj organizaciji te prirodi, opsegu, složenosti i rizičnosti pojedinih usluga koje podnositelj zahtjeva namjerava pružati. U svakom slučaju, u skladu s Direktivom (EU) 2015/2366, direktori i osobe odgovorne za upravljanje institucijom za platni promet imaju dobar ugled i odgovarajuće znanje i iskustvo u obavljanju platnih usluga, bez obzira n a veličinu institucije, unutarnju organizaciju te prirodu, opseg i složenost njezinih aktivnosti i dužnosti te odgovornosti određenog položaja.

1.3 Kod podnošenja traženih informacija, podnositelj zahtjeva trebao bi izbjegavati upućivanje na određene dijelove internih postupaka/dokumenta. Umjesto toga, podnositelj zahtjeva trebao bi izdvojiti relevantne dijelove i dostaviti ih nadležnom tijelu (NT).

1.4 Ako bi NT- ovi zahtijevali pojašnjenja u vezi s informacijama koje su podnesene, podnositelj zahtjeva treba dostav iti iste bez odgađanja.

1.5 Svi podaci koji se zahtijevaju u skladu s ovim smjernicama za registraciju u svojstvu pružatelja usluga informiranja o računu (AISP) potrebni su za procjenu zahtjeva i nadležno tijelo će s njima postupati u skladu s obvezama poslov ne tajne utvrđenima u PSD2, ne dovodeći u pitanje pravo Unije i nacionalne zahtjeve o ostvarivanju prava na pristupanje, ispravljanje, otkazivanje ili protivljenje. Smjernica 2.: Identifikacijski podaci

2.1 Ako je podnositelj zahtjeva fizička osoba, identifika cijski podaci koje podnositelj zahtjeva treba dostaviti trebali bi sadržavati sljedeće informacije:

• a) ime, adresu, nacionalnost, datum i mjesto rođenja;
• b) presliku identifikacijske iskaznice ili istovrijednog identifikacijskog dokumenta;
• c) ažurirani životopis;
• d) p rovjeru iz kaznene evidencije ne stariju od 3 mjeseca;
• e) ime/na osobe/a odgovornih za podnošenje zahtjeva i postupak registracije te podatke za kontakt;

2.2 Ako je podnositelj zahtjeva pravna osoba, identifikacijski podaci koje podnositelj zahtjeva treba dostav iti trebali bi sadržavati sljedeće informacije:

• a) poslovni naziv podnositelja zahtjeva i, ako se razlikuje, trgovački naziv;
• b) naznaku je li podnositelj zahtjeva već osnovan ili je u postupku osnivanja;
• c) nacionalni identifikacijski broj podnositelja zahtjeva, ako je primjenjivo;
• d) pravni status i statut (nacrt statuta) podnositelja zahtjeva i/ili dokumente o osnivanju kojima se dokazuje pravni status podnositelja zahtjeva;
• e) adresu mjesta uprave podnositelja zahtjeva i registriranog sjedišta;
• f) elektroničku adresu i internetska stranicu podnositelja zahtjeva, ako su dostupne;
• g) ime osobe/a odgovorne/ih za podnošenje zahtjeva i postupak registracije i njihovi podaci za kontakt;
• h) naznaku je li podnositelj zahtjeva ikada bio, ili je trenutačno, reguliran od strane nadležnog tijela u sektoru financijskih usluga;
• i) izvadak iz sudskog registra ili, ako je primjenjivo, izvadak iz sudskog registra kojim se potvrđuje da je naziv koji trgovačko društvo primjenjuje dostupan;
• j) dokaz o plaćanju svih naknada ili depozita novčanih sredstava za podnošenje prijave za registraciju kao pružatelj usluga informiranja o računu, gdje je to primjenjivo u skladu s nacionalnim pravom. Smjernica 3.: Program poslovanja

3.1. Program poslovanja koji podnositelj zahtjeva treba dostaviti trebao bi sadržavati sljedeće informacije:

• a) opis usluge informiranja o računu koju namjerava pružati, uključujući objašnjenje o tome kako je podnositelj zahtjeva utvrdio da aktivnost odgovara definiciji usluga informiranja
• o računu kako je definirana u članku 4. stavku 16. Direktive (EU) 2015/2366 (PSD2);
• b) izjavu podnositelja zahtjeva da ni u jednom trenutku neće ulaziti u posjed novčanih sredstava;
• c) opis usluge informiranja o računu uključujući:
• i. nacrte ugovora između svih uključenih strana, ako je primjenjivo;
• ii. uvjete pružanja usluga informiranja o računu;
• iii. vremena obrade;
• d) procijenjeni broj različitih prostora iz kojih podnositelj zahtjeva namjerava pružati usluge, ako je primjenjivo;
• e) opis svih pomoćnih usluga povezanih s uslugom informiranja o računu, ako je primjenjivo;
• f) izjavu o t ome namjerava li podnositelj zahtjeva pružati usluge informiranja o računu u drugoj državi članici EU - a ili trećoj državi nakon registracije;
• g) naznaku o tome namjerava li podnositelj zahtjeva iduće tri godine pružati ili već pruža druge poslovne djelatnosti osim usluge informiranja o računu kako su navedene u članku 18. Direktive (EU) 2015/2366, uključujući opis vrste i očekivani obujam aktivnosti;
• h) informacije navedene u Smjernicama EBA- e o kriterijima za određivanje minimalnog novčanog iznosa za osiguranje od profesionalne odgovornosti ili druge usporedive garancije na temelju članka 5. stavka 4. Direktive (EU) 2015/2366 (EBA/GL/2017/08) ako podnositelj zahtjeva namjerava pružati samo uslugu 8 (AIS).

Smjernica 4.: Poslovni plan

4.1. Poslovni plan koji podnositel j zahtjeva treba dostaviti trebao bi sadržavati:

• a) marketinški plani koji se sastoji od:
• i. analize konkurentnog položaja društva;
• ii. opisa korisnika usluga informiranja o računu u dotičnom tržišnom segmentu informiranja o računu, marketinške materijale i distribucijske kanale;
• b) ovjerene godišnje financijske izvještaje za posljednje tri godine, ako su dostupni, ili sažetak financijskog stanja za one podnositelje zahtjeva koji još nisu izradili godišnje financijske izvještaje;
• c) izračun projekcije proračuna za prve tri financijske godine kojim se pokazuje da je podnositelj zahtjeva sposoban upotrebljavati adekvatne i razmjerne sustave, resurse i postupke za stabilno poslovanje; trebao bi uključivati:
• i. projekcije računa dobiti i gubitka i bilance, uključujući ciljne scen arije i stresne scenarije te njihove temeljne pretpostavke, kao što je broj klijenata, određivanje cijena i očekivani porast u pragu profitabilnosti;
• ii. objašnjenja osnovnih linija prihoda i troškova, financijskih dugova i kapitalne imovine;
• iii. dijagram i detaljnu raščlambu procijenjenih novčanih tokova za iduće tri godine;

Smjernica 5.: Organizacijska struktura

5.1. Ako je podnositelj zahtjeva fizička osoba, opis organizacijske strukture društva podnositelja zahtjeva trebao bi sadržavati sljedeće informacije:

• a) ukupn o predviđanje broja zaposlenika za iduće tri godine;
• b) opis relevantnih ugovora o eksternalizaciji koji se sastoje od:
• i. identiteta i zemljopisnog položaja pružatelja usluge eksternalizacije;
• ii. identiteta osoba unutar AISP- a koje su odgovorne za svaku od eksternaliziranih aktivnosti;
• iii. detaljnog opisa eksternaliziranih aktivnosti i njihove glavne karakteristike;
• c) presliku nacrta ugovora o eksternalizaciji;
• d) opis uporabe podružnica ili zastupnika, gdje je to primjenjivo, uključujući:
• i. raspoređivanje neizravnih i izravnih provjera koje podnositelj zahtjeva namjerava obaviti nad podružnicama i zastupnicima;
• ii. IT sustav, procese i infrastrukturu kojom se koriste zastupnici podnositelja zahtjeva za obavljanje aktivnosti u ime podnositelja zahtjeva;
• iii. u slučaju zastupnika, politiku odabira, postupke nadzora i obuke zastupnika i, gdje je dostupno, nacrt uvjeta za obavljanje posla;
• e) popis svih fizičkih ili pravnih osoba koje su usko povezane s AISP -om podnositeljem zahtjeva uz naznaku njihovih identiteta i prirode t ih veza.

5.2. Ako je podnositelj zahtjeva pravna osoba, opis organizacijske strukture društva podnositelja zahtjeva trebao bi sadržavati sljedeće informacije:

• a) detaljnu organizacijsku shemu, koja prikazuje svaku organizacijsku jedinicu, odjel ili slično struktu rno razdvajanje, uključujući ime/na odgovorne/ih osobe/a, a posebno osoba odgovornih za funkcije unutarnje kontrole; uz shemu bi trebali biti priloženi opisi funkcija i odgovornosti svake organizacijske jedinice, odjela ili sličnog strukturnog razdvajanja;
• b) ukupno predviđanje broja zaposlenika za iduće tri godine;
• c) opis relevantnih ugovora o eksternalizaciji koji se sastoje od:
• i. identiteta i geografske lokacije pružatelja usluge eksternalizacije;
• ii. identiteta osoba unutar AISP- a koje su odgovorne za svaku od eksternaliziranih aktivnosti;
• iii. detaljnog opisa eksternaliziranih aktivnosti i njihove glavne karakteristike;
• d) presliku nacrta ugovora o eksternalizaciji;
• e) opisa korištenja podružnica ili zastupnika, gdje je to primjenjivo, uključujući:
• i. određivanje neizravnih i izravnih provjera koje podnositelj zahtjeva namjerava obaviti nad podružnicama i zastupnicima;

zahtjeva za obavljanje aktivnosti u ime podnositelja zahtjeva;

• iii. u slučaju zastupn ika, politiku odabira, postupke nadzora i obuke zastupnika i, gdje je dostupno, nacrt uvjeta za obavljanje posla;
• f) popis svih fizičkih ili pravnih osoba koje su usko povezane s podnositeljem zahtjeva uz naznaku njihovih identiteta i prirode tih veza.

Smjern ica 6.: Sustav upravljanja i mehanizmi unutarnje kontrole

6.1. Podnositelj zahtjeva trebao bi dostaviti opis sustava upravljanja i mehanizama unutarnje kontrole koji se sastoje od:

• a) raspoređivanja rizika utvrđenih od strane podnositelja zahtjeva, uključujući vr stu rizika i postupke koje će podnositelj zahtjeva uspostaviti radi procjene i sprječavanja takvih rizika;
• b) različitih postupaka namijenjenih za provođenje povremenih i trajnih kontrola, uključujući njihovu učestalost i raspoređene ljudske resurse;
• c) računovodstvenih postupaka kojima će podnositelj zahtjeva evidentirati i izvješćivati o svojim financijskim podatcima;
• d) identiteta osobe/a odgovorne/ih za funkcije unutarnje kontrole, uključujući povremene i trajne kontrole i kontrole usklađenosti, kao i ažurirani životopis;
• e) identiteta svih revizora koji nisu ovlašteni revizori u skladu s Direktivom 2006/43/EZ;
• f) sastava upravljačkog tijela i, ako je primjenjivo, bilo kojeg drugog nadzornog tijela ili odbora;
• g) opisa načina na koji se nadziru i kontroliraju eksternalizirane funkcije kako bi se izbjeglo narušavanje kvalitete unutarnjih kontrola podnositelja zahtjeva;
• h) opisa načina na koji se nadziru i kontroliraju zastupnici i podružnice u okviru unutarnjih kontrola podnositelja zahtjeva;
• i) ako je podnositelj zahtjeva društvo kćer reguliranog subjekta u drugoj državi članici EU - a, opisa upravljanja u grupi.

Smjernica 7.: Praćenje, rješavanje i postupanje nakon sigurnosnih incidenata ili prigovora klijenata povezanih sa sigurnosti

7.1. Podnositelj zahtjeva trebao bi dostaviti opis uspostavljenog postupka za praćenje, rješavanje i postupanje nakon sigurnosnih incidenata i prigovora klijenata povezanih sa sigurnosti koju treba pružiti podnositelj zahtjeva, koji bi trebao sadržavati:

• a) organizacijske mjere i alate za sprječavanje prijevara;
• b) podatke o osobama i tijelima odgovornim za pomaganje klijentima u slučaju prijevare, tehničkim pitanjima i/ili upravljanju zahtjevima;
• c) linije izvještavanja u slučaju prijevara;
• d) kontaktnu točku za klijente, uključujući ime i adresu e - pošte;
• e) postupk e za izvješćivanje o incidentima, uključujući dostavu tih izvješća unutarnjim i vanjskim tijelima, uključujući izvješćivanje nacionalnih tijela o značajnim incidentima na temelju članka 96. PSD2, a u skladu sa smjernicama EBA - e o izvješćivanju o incidentim a na temelju navedenog članka.
• f) korištene alate za praćenje i uspostavljene prateće mjere i postupke za ublažavanje sigurnosnih rizika.

Smjernica 8.: Proces za pohranu, nadzor, praćenje i ograničavanje pristupa osjetljivim podacima o plaćanju

8.1. Podnositelj z ahtjeva trebao bi dostaviti opis uspostavljenog procesa za pohranu, nadzor, praćenje i ograničavanje pristupa osjetljivim podacima o plaćanju koji se sastoji od:

• a) opisa tokova podataka klasificiranih kao osjetljivi podaci o plaćanju u kontekstu poslovnog mo dela AISP- a;
• b) uspostavljenih postupaka za odobravanje pristupa osjetljivim podacima o plaćanju;
• c) opisa alata za praćenje;
• d) politike prava pristupa, s detaljima pristupa svim relevantnim dijelovima i sustavima, uključujući baze podataka i infrastrukture podrške;
• e) opisa načina pohrane prikupljenih podataka;
• f) očekivanog unutarnjeg i/ili vanjskog korištenja prikupljenih podataka, uključujući od strane drugih ugovornih strana;

tokenizaciju;

• h) identifikacije osobe, tijela i/ili odbora s pravom pristupa osjetljivim podacima o plaćanju;
• i) objašnjenja o tome kako će se otkrivati i rješavati neovlašteni upadi;
• j) godišnjeg programa unutarnje kontrole vezano uz sigurnost IT sustava.

Sm jernica 9.: Održavanje kontinuiteta poslovanja

9.1. Podnositelj zahtjeva trebao bi dostaviti opis postupka održavanja kontinuiteta poslovanja koji se sastoji od sljedećih podataka:

• a) analize utjecaja na poslovanje, uključujući poslovne procese i ciljeve oporavka, kao što su ciljana vremena oporavka, ciljane točke oporavka podataka i zaštićena imovina;
• b) identifikacije pričuvne lokacije, pristupa IT infrastrukturi i ključnom softveru te podacima za oporavak od kriznih situacija ili poremećaja;
• c) objašnjenja o tome kako će podnositelj zahtjeva suočavati sa značajnim događajima i poremećajima koji narušavaju kontinuitet poslovanja, kao što je pad ključnih sustava; gubitak ključnih podataka; nepristupačnost prostora; gubitak ključnih osoba;
• d) učestalosti kojom podnositelj za htjeva namjerava testirati kontinuitet poslovanja i planove za oporavak od kriznih situacija, uključujući način na koji će biti evidentirani rezultati testiranja.

Smjernica 10.: Dokument o sigurnosnoj politici

10.1. Podnositelj zahtjeva trebao bi dostaviti dokum ent o sigurnosnoj politici koji sadrži sljedeće podatke:

• a) detaljnu procjenu rizika u pogledu platne/ih usluga koje podnositelj zahtjeva namjerava pružati, koja bi trebala uključivati rizike od prijevare i sigurnosne kontrolne mjere i mjere za ublažavanje poduzete za adekvatnu zaštitu korisnika platnih usluga od utvrđenih rizika;
• b) opis IT sustava, koji bi trebao uključivati:
• i. arhitekturu sustava i njihovih mrežnih elemenata;
• ii. poslovne IT sustave koji podržavaju poslovne aktivnosti koje se pružaju, kao što su internetska stranica podnositelja zahtjeva, mehanizam upravljanja rizikom i prijevarama te način praćenja korisnika;
• iii. sustave IT podrške koji se koriste za organizaciju i administraciju AISP - a, kao što su računovodstvo, sustavi pravnog izvještavanja, upravljan je zaposlenicima, upravljanje odnosima s klijentima, poslužitelji e - pošte i interni poslužitelji datoteke;
• iv. informaciju o tome koristi li već AISP ili njegova grupa ove sustave i procijenjeni datum provedbe, ako je primjenjivo;
• c) vrstu odobrenih veza izvana, kao što su one s partnerima, pružateljima usluga, subjektima grupe i zaposlenicima koji rade s udaljenosti, uključujući razlog za takve veze;
• d) za svaku od veza navedenih pod točkom c), logičke sigurnosne mjere i uspostavljene mehanizme, uz određivanje kontrole koju će institucija za platni promet imati nad takvim pristupom kao i prirodu i učestalost svake kontrole, kao što je tehnička naspram organizacijske; preventivna naspram detektivne; nadzor u stvarnom vremenu naspram redovitih provjera, kao što je upotreba aktivnog direktorija odvojeno od grupe, otvaranje/zatvaranje linija komunikacije, konfiguracija sigurnosne opreme, generiranje šifri ili certifikata za autentifikaciju klijenta, nadzor sustava, autentifikacija, povjerljivost komunikacije, otkrivanje n eovlaštenog pristupa, antivirusni sustavi i zapisi;
• e) logičke sigurnosne mjere i mehanizme koji uređuju unutarnji pristup IT sustavima, koji trebaju uključivati:
• i. tehničku i organizacijsku prirodu i učestalost svake mjere, između ostalog je li preventivna ili detektivna te izvršava li se u stvarnom vremenu ili ne;
• ii. kako se postupa po pitanju podjele okruženja klijenta u slučajevima gdje su IT resursi podnositelja zahtjeva zajednički;
• f) fizičke sigurnosne mjere i mehanizme za zaštitu prostora i podatkovnog centra podnositelja zahtjeva, kao što su kontrole pristupa i sigurnost okoline;
• g) sigurnost procesa plaćanja, koja bi trebala uključivati:
• i. postupak autentifikacije klijenta koji se koristi za savjetodavni i transakcijski pristup;
• ii. objašnjenje o tome kako je osigurana sigurna dostava zakonitom korisniku platne usluge i cjelovitost autentifikacijskih faktora, kao što su hardverski tokeni i mobilne aplikacije, u trenutku početne dodjele i obnavljanja;
• iii. opis sustava i postupaka koje je uspostavio podnositelj zahtjeva za analizu transakcija i identifikaciju sumnjivih ili neobičnih transakcija;
• h) detaljnu procjenu rizika s obzirom na vlastite platne usluge, uključujući prijevare, s poveznicom na mjere kontr ole i ublažavanja objašnjene prilikom podnošenja zahtjeva, iz čega je vidljivo da je problem rizika obuhvaćen;
• i) popis glavnih pisanih postupaka u vezi s IT sustavima podnositelja zahtjeva, ili za postupke koji još nisu formalizirani, procijenjeni datum za njihovu finalizaciju.

Smjernica 11.: Identitet i primjerenost direktora i osoba odgovornih za upravljanje pružateljem usluga informiranja o računu

11.1. U svrhu procjene identiteta i primjerenosti direktora i o soba odgovornih za upravljanje pružateljem usluga informiranja o računu, podnositelj zahtjeva trebao bi dostaviti sljedeće informacije:

• a) osobne podatke, koji bi trebali uključivati:
• i. puno ime, spol, mjesto i datum rođenja, adresu i nacionalnost te osobni ide ntifikacijski broj ili presliku osobne iskaznice ili drugog identifikacijskog dokumenta;
• ii. podatke o položaju za koji se traži procjena, je li položaj u upravljačkom tijelu izvršan ili neizvršan; trebali bi biti obuhvaćeni sljedeći podaci:

• b) ako je primjenjivo, informacije o procjeni primjerenosti koju je proveo podnositelj za htjeva, a koje bi trebale uključivati pojedinosti o rezultatu svake procjene primjerenosti osobe koju je provela institucija, kao što su relevantni zapisnici sa sastanka uprave ili izvješća o procjeni primjerenosti ili drugi dokumenti;
• c) dokaz o znanju, vje štinama i iskustvu, koji bi trebali uključivati životopis koji sadrži podatke o obrazovanju i radnom iskustvu, uključujući akademsko obrazovanje, drugo relevantno usavršavanje, naziv i vrstu svih organizacija za koje osoba radi ili je radila te vrstu i tra janje njezinih funkcija, s posebnim osvrtom na sve aktivnosti iz područja traženog položaja;
• d) dokaz o ugledu, poštenju i čestitosti, koji bi trebao uključivati:
• i. izvadak iz kaznene evidencije i relevantne podatke o kaznenim istragama i postupcima, relevantni m građanskim i upravnim predmetima te o disciplinskim postupcima, uključujući zabranu obavljanja funkcije direktora društva, stečajne postupke, postupke u slučaju insolventnosti i slične postupke, ponajprije u obliku službene potvrde ili nekog objektivno pouzdanog izvora informacija koji se odnosi na nepostojanje kaznene osuđujuće presude, istraga i postupaka, kao što su istrage trećih strana i iskazi odvjetnika ili bilježnika s poslovnim nastanom u Europskoj uniji;
• ii. izjavu o tome jesu li kazneni postupci u tijeku ili je osoba ili organizacija kojom upravlja sudjelovala kao dužnik u postupcima u slučaju insolventnosti ili usporedivim postupcima;
• iii. informacije koje se odnose na sljedeće:

Smjernica 12.: Osiguranje od profesionalne odgovornosti ili usporediva garancija

12.1. Kao dokaz osiguranja od profesionalne odgovornosti ili usporedive garancije koji je u skladu sa Smjernicama EBA-e o o siguranju od profesionalne odgovornosti i (EBA/GL/2017/08) i člankom 5. stavcima 2. i 3. PSD2, podnositelj zahtjeva trebao bi dostaviti sljedeće informacije:

• a) ugovor o osiguranju ili drugi istovrijedni dokument kojim se potvrđuje postojanje osiguranja od profesionalne odgovornosti ili usporedive garancije, s iznosom pokrića koji je u skladu s navedenim Smjernicama EBA- e, u kojem se prikazuje pokriće za relevantne obveze;
• b) dokumentaciju o tome kako je podnositelj zahtjeva izračunao minimalni iznos na način koji je u skladu sa navedenim Smjernicama EBA- e, uključujući sve u njima navedene primjenjive komponente formule.

1. Pregled

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani standardi

2. Utvrđeni zahtjevi

3. Povezani standardi

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/