4.1 Orientamenti sulle informazioni necessarie da parte dei richiedenti l’autorizzazione in qualità di istituti di pagamento per la prestazione di servizi di cui ai punti 1-8 dell’allegato I della direttiva (UE) 2015/2366

Orientamento 1: Principi generali

1.1 La presente serie di orientamenti si applica ai richiedenti autorizzazione come istituto di pagamento. Sono inclusi i richiedenti che intendono prestare il(i) servizio(i) di cui si fa menzione nei punti 1-7 dell’allegato I della seconda direttiva sui servizi di pagamento o il servizio 8 in combinazione con altri servizi di pagamento. I richiedenti che si propongono di prestare unicamente il servizio, a cui il punto 8 dell’allegato I alla direttiva (UE) 2015/2366 fa riferimento, sono soggetti alla serie specifica di orientamenti destinati ai prestatori di servizi di informazione sui conti definiti nella sezione 4.2.

1.2 I richiedenti dovrebbero fornire informazioni autentiche, complete, accurate e aggiornate. Tutti i richiedenti dovrebbero conformarsi alle disposizioni della serie di orientamenti loro applicabili. Il livello di dettaglio dovrebbe essere adeguato alle dimensioni e alla organizzazione interna del richiedente, nonché alla natura, allo scopo, alla complessità e alla rischiosità dei particolari servizi che intende prestare. In ogni caso, in conformità alla direttiva (UE) 2015/2366, gli amministratori e le persone responsabili della gestione dell’istituto di pagamento godono di onorabilità e sono in possesso di conoscenze e di esperienza appropriate per la prestazione dei servizi di pagamento, indipendentemente da dimensioni, organizzazione interna e natura, scopo e complessità delle attività dell’istituzione, nonché doveri e responsabilità della posizione specifica.

1.3 Al momento di presentazione delle informazioni richieste, il richiedente dovrebbe evitare di fare riferimento a sezioni specifiche di procedure/documenti interni. Al contrario, il richiedente dovrebbe estrapolare le sezioni interessate e fornirle all’autorità competente.

1.4 Nel caso in cui le autorità competenti richiedessero chiarimenti sulle informazioni presentate, il richiedente dovrebbe fornirli tempestivamente. 1.5 Tutti i dati richiesti ai sensi dei presenti orientamenti per le autorizzazioni in qualità di istituti di pagamento sono necessari per la valutazione della domanda e saranno trattati dall’autorità competente conformemente all’obbligo del segreto professionale previsto dalla seconda direttiva sui servizi di pagamento, fatto salvo il diritto dell’Unione e le norme e le procedure nazionali sull’esercizio del diritto di accesso, rettifica, cancellazione o opposizione.

Orientamento 2: Dati identificativi

2.1 I dati identificativi che il richiedente è tenuto a fornire dovrebbero contenere le seguenti informazioni:

• a) denominazione sociale del richiedente e, se diversa, denominazione commerciale del medesimo;
• b) indicazioni se il richiedente sia già costituito o in fase di costituzione;
• c) numero d’identificazione nazionale del richiedente, se del caso;
• d) stato giuridico del richiedente e statuto (progetto di statuto) e/o atti costitutivi comprovanti il regime giuridico del medesimo;
• e) indirizzo della direzione generale del richiedente e della sede sociale del medesimo;
• f) indirizzo di posta elettronica e sito web del richiedente, se disponibile;
• g) nominativo(i) della(e) persona(e) incaricata(e) di occuparsi del fascicolo della domanda e della procedura di autorizzazione, e i recapiti di questi ultimi;
• h) indicazioni sull’eventualità che il richiedente sia stato o sia attualmente regolamentato dall’autorità competente nel settore dei servizi finanziari;
• i) associazioni di categoria operanti nell’ambito della prestazione di servizi di pagamento a cui il richiedente intende aderire, se del caso;
• j) l’atto di costituzione registrato oppure, ove applicabile, il certificato negativo di un Registro delle imprese attestante la disponibilità del nome scelto dalla società;
• k) prova dell’avvenuto pagamento di corrispettivi o del versamento di somme per la presentazione della domanda di autorizzazione come istituto di pagamento, laddove applicabile secondo la legislazione nazionale. Orientamento 3: Programma di attività

3.1. Il programma delle attività che il richiedente è tenuto a fornire, dovrebbe contenere le seguenti informazioni:

• a) descrizione dettagliata della tipologia di servizi di pagamento previsti, con l’indicazione del modo in cui il richiedente ha identificato attività e operazioni che saranno fornite come rientranti in una delle categorie giuridiche di servizi di pagamento elencate nell’allegato I della seconda direttiva sui servizi di pagamento (PSD2);
• b) una dichiarazione in merito all’eventuale entrata in possesso, in qualsiasi momento, di fondi da parte del richiedente;
• c) descrizione dell’esecuzione dei diversi servizi di pagamento, che indichi in dettaglio tutte le parti coinvolte e includa, per ciascuno dei servizi di pagamento prestati:
• i. diagramma di flusso dei fondi, salvo che il richiedente non intenda prestare solo servizi di ordine di pagamento (PIS);
• ii. meccanismi di regolamento, salvo che il richiedente intenda prestare solo servizi di ordine di pagamento;
• iii. bozze dei contratti tra tutte le parti coinvolte nella prestazione di servizi di pagamento, comprese eventualmente quelle con sistemi di pagamento mediante carta;
• iv. tempi di elaborazione.

all’articolo 4, paragrafo 21 della seconda direttiva sui servizi di pagamento (PSD2);

• e) la stima del numero delle diverse sedi presso le quali il richiedente intende prestare i servizi di pagamento e/o esercitare attività correlate alla prestazione dei servizi di pagamento, se del caso;
• f) una descrizione dei servizi accessori rispetto a quelli di pagamento, se del caso;
• g) una dichiarazione in merito alla intenzione o meno,da parte del richiedente, di concedere crediti e, in tal caso, entro quali limiti;
• h) una dichiarazione in merito alla intenzione o meno,da parte del richiedente, di prestare servizi di pagamento in altri Stati membri o in paesi terzi dopo la concessione della licenza;
• i) un’indicazione relativa alla intenzione o meno,da parte del richiedente, per i successivi tre anni, di voler prestare o di prestare già altre attività commerciali di cui all’articolo 18 della direttiva (UE) 2015/2366, inclusa una descrizione della tipologia e del volume previsto delle attività;
• j) le informazioni specificate negli Orientamenti dell’ABE sui criteri in base ai quali stipulare l’importo monetario minimo dell’assicurazione della responsabilità civile professionale o di altre garanzie analoghe ai sensi dell’articolo 5, paragrafo 4 della direttiva (UE) 2015/2366, nel caso in cui il richiedente intenda fornire i servizi 7 e 8 (servizi di ordine di pagamento e di informazione sui conti ).

Orientamento 4: Piano aziendale

4.1. Il piano di attività che il richiedente è tenuto a fornire dovrebbe comprendere:

• a) un piano di marketing contenente:
• i. un’analisi della posizione concorrenziale della società nel segmento di mercato dei pagamenti in questione;
• ii. una descrizione degli utilizzatori dei servizi di pagamento, dei materiali di commercializzazione e dei canali di distribuzione;
• b) ove disponibili per le società già esistenti, i bilanci annuali certificati dei tre anni precedenti, oppure una sintesi della situazione finanziaria per le società che non hanno ancora prodotto i conti annuali;
• c) una stima previsionale del bilancio per i primi tre esercizi finanziari, che dimostri che il richiedente è in grado di utilizzare risorse, procedure e sistemi adeguati e proporzionati che consentano una sana gestione. La stima dovrebbe comprendere:
• i. una stima di bilancio comprendente conto economico e previsione di bilancio, comprendenti scenari obiettivo e scenari di stress, nonché ipotesi di base, quali volume e valore delle operazioni, numero dei clienti, pricing, importo medio per operazione, aumento previsto nella soglia di redditività;
• ii. spiegazioni inerenti le principali linee di entrate e spese, i debiti finanziari e il capitale fisso;
• iii. un diagramma e una suddivisione dettagliata dei flussi finanziari previsti per i tre anni successivi;
• d) informazioni in merito ai fondi propri, compresi gli importi e una suddivisione dettagliata della composizione del capitale iniziale, in ottemperanza all’enunciato dell’articolo 7 della seconda direttiva sui servizi di pagamento;
• e) informazioni sui requisiti minimi di fondi propri e il calcolo di questi ultimi, in conformità al(i) metodo(i) di cui all’articolo 9 della direttiva (UE) 2015/2366 (seconda direttiva sui servizi di pagamento), come stabilito dall’autorità competente (salvo che il richiedente intenda fornire solo servizi di ordine di pagamento), tra cui:
• i. proiezione annua della ripartizione dei fondi propri per tre anni, in base al metodo impiegato;
• ii. proiezione annua della ripartizione dei fondi propri per tre anni, in base ad altri metodi;

Orientamento 5: Struttura organizzativa

5.1. Il richiedente dovrebbe fornire una descrizione della struttura organizzativa della propria impresa comprendente:

• a) un organigramma dettagliato che indichi ciascuna divisione, dipartimento o separazione strutturale analoga, e che comprenda il nominativo della(e) persona(e) responsabili, in particolare di coloro i quali sono responsabili delle funzioni di controllo interno. L’organigramma dovrebbe essere accompagnato dalla descrizione delle funzioni e delle responsabilità di ciascuna divisione, dipartimento o separazione strutturale analoga;
• b) una previsione complessiva del numero del personale per i successivi tre anni;
• c) una descrizione dei relativi accordi di esternalizzazione operativi comprendente:
• i. l’identità e la localizzazione geografica del fornitore esterno;
• ii. l’identità dei soggetti che, all’interno dell’istituto di pagamento sono responsabili di ciascuna attività esternalizzata;
• iii. una chiara descrizione delle attività esternalizzate e delle relative caratteristiche principali;
• d) una copia delle bozze degli accordi di esternalizzazione;
• e) una descrizione dell’impiego di succursali e agenti, se del caso, compresa:
• i. una mappatura dei controlli in loco e fuori sede che il richiedente intende eseguire, almeno a cadenza annuale, su succursali e agenti e relativa frequenza;
• ii. i sistemi informatici, i processi e le infrastrutture impiegate dagli agenti per svolgere le attività per conto del richiedente;
• iii. nel caso di agenti, la politica di selezione, le procedure di controllo, nonché la formazione degli agenti e, ove disponibili, la bozza delle condizioni di impiego;
• iv. un’indicazione dei sistemi di pagamento nazionali e/o internazionali a cui il richiedente accederà, se del caso;
• f) un elenco di tutte le persone fisiche o giuridiche che hanno stretti legami con il richiedente, con indicazione delle relative identità e della natura di tali legami.

Orientamento 6: Prove del capitale iniziale

6.1 Ai fini delle prove del capitale iniziale che il richiedente è tenuto a fornire (di 125 000 EUR per i servizi 1-5 dell’allegato I alla seconda direttiva sui servizi di pagamento; di 20 000 EUR per il servizio 6 e di 50 000 EUR per il servizio 7), il richiedente dovrebbe presentare i seguenti documenti:

• a) per le imprese esistenti, un estratto conto revisionato o un registro pubblico che certifichi l’importo del capitale del richiedente;
• b) per le imprese in fase di costituzione, un estratto conto bancario emesso da una banca che certifichi che i fondi sono depositati nel conto bancario del richiedente.

Orientamento 7: Misure adottate per tutelare i fondi degli utenti di servizi di pagamento (applicabili solo ai servizi di pagamento 1-6)

7.1. Nel caso in cui il richiedente tuteli i fondi degli utilizzatori di servizi di pagamento mediante

investimento in attività sicure, liquide e a basso rischio, la descrizione delle misure di tutela dovrebbe comprendere:

• a) una descrizione della politiche di investimento al fine di garantire che le attività scelte siano liquide, sicure e a basso rischio, se del caso;
• b) il numero dei soggetti che hanno accesso al conto di tutela e le rispettive funzioni;
• c) una descrizione della gestione e del processo di riconciliazione per assicurare che i fondi

richieste di pagamento di altri creditori dell’istituto di pagamento, in particolare in caso di insolvenza;

• d) una copia della bozza di contratto con l’ente creditizio;
• e) un’esplicita dichiarazione da parte dell’istituto di pagamento di conformità all’articolo 10 della seconda direttiva sui servizi di pagamento.

7.2. Qualora il richiedente tuteli i fondi degli utilizzatori di servizi di pagamento mediante una polizza assicurativa o una garanzia analoga da parte di una società assicurativa o di un ente creditizio, la descrizione delle misure di tutela dovrebbe comprendere:

• a) una conferma che la polizza assicurativa o la garanzia analoga da parte di una società assicurativa o da un ente creditizio provenga da un’entità che non è appartiene al medesimo gruppo di imprese del richiedente;
• b) dettagli del processo di riconciliazione in atto per garantire che la polizza assicurativa o la garanzia analoga siano sufficienti a soddisfare, in qualsiasi momento, gli obblighi di tutela del richiedente;
• c) durata e rinnovo della copertura;
• d) copia del contratto (o della bozza di contratto) di assicurazione o della garanzia analoga (o della relativa bozza).

Orientamento 8: Dispositivi di governance e meccanismi di controllo interno

8.1. Il richiedente dovrebbe produrre una descrizione dei dispositivi di governo societario e dei meccanismi di controllo che comprenda:

• a) una mappatura dei rischi individuati dal richiedente, comprensiva della tipologia dei rischi e delle procedure che il richiedente porrà in essere per valutarli e prevenirli;
• b) le diverse procedure da svolgere con regolarità periodica e i controlli periodici, comprendenti frequenza e assegnazione delle risorse umane;
• c) le procedure contabili che il richiedente utilizzerà per registrare e segnalare le proprie informazioni finanziarie;
• d) l’identità della(e) persona(e) responsabile(i) delle funzioni di controllo interno, nonché del controllo di conformità periodico e permanente, e un curriculum vitae aggiornato;
• e) l’identità dei revisori che non siano revisori legali dei conti ai sensi della direttiva 2006/43/CE;
• f) la composizione dell’organo di amministrazione e, se applicabile, di ogni altro organo o comitato di vigilanza;
• g) una descrizione delle modalità di monitoraggio e controllo delle funzioni esternalizzate, in modo da evitare alterazioni nella qualità dei controlli interni dell’istituto di pagamento;
• h) una descrizione delle modalità di monitoraggio e controllo di agenti e delle succursali nell’ambito del quadro dei controlli interni del richiedente;
• i) qualora il richiedente sia la filiazione di un intermediario vigilato in un altro Stato membro dell’UE, una descrizione della governance del gruppo.

Orientamento 9: Procedure per il monitoraggio, la gestione e il controllo degli incidenti di sicurezza e dei reclami dei clienti in merito alla sicurezza

9.1. Il richiedente dovrebbe presentare una descrizione della procedura utilizzata per il monitoraggio, la gestione e il controllo degli incidenti di sicurezza e dei reclami dei clienti in merito alla sicurezza. La descrizione dovrebbe comprendere:

• a) misure di carattere organizzativo e strumenti per la prevenzione delle frodi;
• b) informazioni dettagliate del(i) soggetto(i) e degli organi responsabili dell’assistenza dei clienti nei casi di frode, di problematiche tecniche e/o della gestione dei reclami;
• c) linee di riporto nei casi di frode;
• d) il contatto per i clienti, comprensivo di nome e indirizzo e-mail;
• e) le procedure per la segnalazione degli incidenti, compresa la comunicazione di tali relazioni agli organi interni o esterni, nonché la notifica di gravi incidenti alle autorità nazionali competenti ai sensi dell’articolo 96 della seconda direttiva sui servizi di pagamento, e in linea con gli orientamenti dell’ABE sulla comunicazione degli incidenti ai sensi dell’indicato articolo.
• f) gli strumenti di monitoraggio impiegati e le misure e le procedure di controllo poste in essere per attenuare i rischi in materia di sicurezza.

Orientamento 10: Processo per l’archiviazione, il monitoraggio, la tracciabilità e la limitazione dell’accesso ai dati sensibili relativi ai pagamenti

10.1. Il richiedente dovrebbe fornire una descrizione della procedura esistente per l’archiviazione, il monitoraggio, la tracciabilità e la limitazione dell’accesso ai dati sensibili relativi ai pagamenti. Tale descrizione dovrebbe comprendere:

• a) una descrizione del flusso di dati classificati come dati sensibili relativi ai pagamenti nell’ambito del modello di business dell’istituto di pagamento;
• b) le procedure vigenti per l’autorizzazione all’accesso dei dati sensibili relativi ai pagamenti;
• c) una descrizione dello strumento di monitoraggio;
• d) la politica del diritto di accesso, con descrizione dettagliata dell’accesso a tutti i relativi

back-up;

• e) una descrizione delle modalità di archiviazione dei dati acquisiti, salvo che il richiedente intenda fornire esclusivamente servizi di disposizione di ordine di pagamento;
• f) l’uso interno e/o esterno previsto dei dati acquisiti, anche da parte delle controparti, salvo i casi in cui il richiedente intenda fornire esclusivamente servizi di disposizione di ordine di pagamento;
• g) misure tecniche di sicurezza e sistemi informatici che sono stati adottati, compresa la cifratura e/o la tokenizzazione;
• h) identificazione dei soggetti, degli organi e/o comitati con accesso ai dati sensibili relativi ai pagamenti;
• i) una spiegazione delle modalità di individuazione e correzione delle violazioni;
• j) un programma annuale di controllo interno in merito alla sicurezza dei sistemi informatici.

Orientamento 11: Disposizioni in materia di continuità operativa

11.1. Il richiedente dovrebbe presentare una descrizione delle disposizioni in materia di continuità operativa comprendente:

• a) un’analisi dell’impatto sulle attività aziendali che comprenda i processi aziendali e gli obiettivi di risanamento, quali gli obiettivi legati ai tempi di risanamento, gli obiettivi in materia di punti di risanamento e le attività tutelate;
• b) identificazione del sito per il back-up, accesso alle infrastrutture informatiche e software e i dati principali da ripristinare a seguito di incidenti o interruzioni;
• c) una spiegazione della modalità con le quali il richiedente procederà rispetto alla gestione delle interruzioni e degli eventi di continuità significativi, quali il malfunzionamento dei sistemi principali; la perdita dei dati fondamentali, l’inaccessibilità ai locali e la perdita dei soggetti rilevanti;
• d) la frequenza con la quale il richiedente intende verificare i piani di continuità operativa e di piano di ripristino in caso di disastro, nonché le modalità con le quali i risultati ottenuti saranno registrati;
• e) una descrizione delle misure di riduzione del rischio adottate dal richiedente, nelle situazioni di cessazione dei propri servizi di pagamento, garantendo l’esecuzione delle operazioni di pagamento in corso e la risoluzione dei contratti esistenti.

Orientamento 12: Principi e definizioni applicabili all’acquisizione di dati statistici su prestazioni, operazioni e frodi

12.1. Il richiedente dovrebbe fornire una descrizione dei principi e delle definizioni applicabili all’acquisizione di dati statistici su prestazioni, operazioni e frodi. Tale descrizione dovrebbe comprendere le seguenti informazioni:

• a) la tipologia di dati acquisiti, in relazione ai clienti, alla tipologia di servizi di pagamento, ai canali, agli strumenti, alle giurisdizioni e valute;
• b) la finalità dell’acquisizione, in termini di attività ed entità interessate, quali succursali e agenti;
• c) modalità di acquisizione;
• d) finalità dell’acquisizione;
• e) frequenza dell’acquisizione;
• f) documenti di supporto, quali manuali, che descrivano il funzionamento del sistema.

Orientamento 13: Documento relativo alla politica di sicurezza

13.1. Il richiedente dovrebbe produrre un documento relativo alla politica di sicurezza comprendente le seguenti informazioni:

• a) una valutazione dettagliata del rischio correlato al(i) servizio(i) di pagamento che il richiedente intende fornire, che dovrebbe comprendere i rischi di frode e le misure di controllo della sicurezza e di attenuazione adottate per salvaguardare in maniera appropriata gli utilizzatori dei servizi di pagamento dai rischi individuati;
• b) una descrizione dei sistemi informatici, che dovrebbe comprendere:
• i. l’architettura dei sistemi e i relativi elementi di rete;
• ii. i sistemi informatici aziendali a sostegno delle attività prestate, quali il sito web del richiedente, i portafogli, motore per il pagamento, il motore di gestione dei rischi e delle frodi e la contabilità del cliente;
• iii. i sistemi informatici di supporto impiegati per l’organizzazione e l’amministrazione del richiedente, quali la contabilità, i sistemi di segnalazione previsti dalla legge, la gestione del personale e del rapporto con la clientela, i server di posta elettronica e i file interni al server;
• iv. informazioni inerenti l’eventuale impiego in corso dei menzionati sistemi da parte del richiedente o del proprio gruppo e, se del caso, la data stimata di attuazione;
• c) la tipologia di connessioni autorizzate dall’esterno, quali quelle con partner, prestatori di servizi, entità del gruppo e dipendenti che lavorano in remoto, nonché le motivazioni per tali connessioni;
• d) per ciascuna delle connessioni elencate nel punto c), le misure e i meccanismi di sicurezza logica esistenti, precisando tipologia, natura e frequenza dei controlli che il richiedente avrà su tali accessi. Per esempio, controlli tecnici rispetto a quelli organizzativi, preventivi rispetto a quelli rilevativi, nonché in tempo reale rispetto a revisioni periodiche, quali l’impiego di un’active directory distinta dal gruppo, l’apertura/chiusura di linee di comunicazione, la configurazione di apparecchiature per la sicurezza, la generazione di codici o certificati di autenticazione client, il monitoraggio dei sistemi, l’autenticazione, la riservatezza delle comunicazioni, rilevamento delle intrusioni, sistemi antivirus e log;
• e) le misure e i meccanismi di sicurezza logica, che disciplinano l’accesso interno ai sistemi informatici, dovrebbero comprendere:
• i. la natura tecnica e organizzativa nonché la frequenza di ciascuna misura, per esempio l’indicazione se sia di carattere preventivo o rilevativo e se eseguita o meno in tempo reale;
• ii. le modalità di gestione della problematica della segregazione dell’ambiente client, nel caso in cui le risorse informatiche del richiedente siano condivise;
• f) le misure e i meccanismi di sicurezza materiale dei locali e del centro dati del richiedente, quali controlli di accesso e di sicurezza ambientale;
• g) la sicurezza dei processi di pagamento, che dovrebbe comprendere:
• i. la procedura di autenticazione del cliente impiegata sia per scopi di accesso consultivo sia operativo e per tutti gli altri strumenti di pagamento sottesi;
• ii. una spiegazione delle modalità mediante le quali la consegna sicura al legittimo utilizzatore dei servizi di pagamento e l’integrità dei fattori di autenticazione, quali hardware token e applicazioni per dispositivi mobili, saranno assicurate sia al momento della registrazione iniziale sia all’atto del rinnovo;
• iii. una descrizione dei sistemi e delle procedure poste in essere dal richiedente per l’analisi delle operazioni e l’individuazione delle operazioni sospette e insolite;
• h) una valutazione dettagliata dei rischi correlati ai propri servizi di pagamento, compreso il rischio di frodi, che presenti un collegamento alle misure di controllo e attenuazione illustrate nel fascicolo della domanda, a dimostrazione di come i rischi vengano affrontati;
• i) un elenco delle principali procedure scritte in relazione ai sistemi informatici del richiedente o, per le procedure in attesa di formalizzazione, una data prevista per il completamento.

Orientamento 14: Meccanismi di controllo interno al fine di conformarsi agli obblighi in materia di riciclaggio dei proventi di attività criminose e finanziamento del terrorismo (obblighi di AML/CFT)

14.1. La descrizione dei meccanismi di controllo interno che il richiedente ha predisposto allo scopo di conformarsi, se del caso, ai suddetti obblighi, dovrebbe contenere le seguenti informazioni:

• a) la valutazione eseguita dal richiedente dei rischi di riciclaggio di denaro e finanziamento al terrorismo correlati con la propria attività, compreso il rischio associato al portafoglio clienti, ai prodotti e servizi offerti, ai canali di distribuzione impiegati e le aree geografiche di esercizio;
• b) le misure che il richiedente ha posto o porrà in essere per attenuare i rischi e conformarsi con gli obblighi applicabili di contrasto al riciclaggio dei proventi di attività criminose e al finanziamento del terrorismo, compresi i processi di valutazione dei rischi, le politiche e le procedure finalizzate a soddisfare gli obblighi di esercizio della due diligence della clientela, nonché le politiche e le procedure di rilevamento e segnalazione delle operazioni e delle attività sospette;
• c) i sistemi e controllo che il cliente ha adottato o adotterà per garantire che succursali e agenti si conformino agli obblighi applicabili di contrasto al riciclaggio dei proventi di attività criminose e al finanziamento del terrorismo, anche nelle situazioni in cui l’agente
• o la succursale abbiano sede in un altro Stato membro;
• d) le disposizioni che il richiedente ha attuato o attuerà per assicurare che il personale e gli agenti siano adeguatamente formati sulle questioni inerenti il contrasto al riciclaggio dei proventi di attività criminose e al finanziamento del terrorismo;
• e) l’identità del soggetto incaricato di garantire la conformità del richiedente agli obblighi applicabili di contrasto al riciclaggio dei proventi di attività criminose e al finanziamento del terrorismo, nonché la dimostrazione che la sua competenza in tale materia sia tale da consentire di svolgere efficacemente tale funzione;
• f) i sistemi e i controlli che il richiedente ha posto o porrà in essere per accertare che le proprie politiche e procedure di contrasto al riciclaggio dei proventi di attività criminose e al finanziamento del terrorismo restino aggiornate, efficaci e pertinenti;
• g) i sistemi e i controlli che il richiedente ha istituito o istituirà per certificare che gli agenti non lo esporranno a un maggiore rischio di riciclaggio di denaro e finanziamento del terrorismo;
• h) il manuale di lotta al riciclaggio e contrasto al finanziamento del terrorismo per il personale del richiedente.

Orientamento 15: Accertamento dell’identità e dell’idoneità dei soggetti che detengono partecipazioni qualificate presso il richiedente

15.1 Ai fini della verifica dell’identità e delle prove di idoneità dei soggetti che detengono partecipazioni presso l’istituto di pagamento del richiedente, senza pregiudicarne la valutazione in conformità dei criteri rilevanti ai sensi della direttiva 2007/44/CE e specificati negli orientamenti congiunti per la valutazione prudenziale delle acquisizioni di partecipazioni (JC/GL/2016/01), il richiedente dovrebbe presentare le seguenti informazioni:

• a) una descrizione del gruppo di appartenenza del richiedente e un’indicazione dell’impresa madre, se del caso;
• b) un grafico che descriva la struttura azionaria del richiedente, comprendente:
• i) il nome e la percentuale di partecipazione (capitale/diritto di voto) di ciascun soggetto che ha o che avrà una partecipazione diretta nel capitale azionario del richiedente, identificando le partecipazioni qualificate e le motivazioni per tali qualifiche;
• ii) il nome e la percentuale di partecipazione (capitale/diritto di voto) di ciascun soggetto che ha o che avrà una partecipazione indiretta nel capitale azionario del richiedente, identificando le partecipazioni qualificate indirette e le ragioni per tali qualifiche;
• c) un elenco dei nomi di tutti i soggetti e delle altre entità che sono in possesso o, in caso di autorizzazione, entreranno in possesso di partecipazioni nel capitale del richiedente, con indicazione, per ciascun soggetto o entità:

sottoscrivere;

• ii. del valore nominale di tali azioni o altre partecipazioni.

15.2 Nel caso in cui il soggetto che è in possesso o, in caso di autorizzazione, entrerà in possesso di una partecipazione qualificata nel capitale del richiedente sia una persona fisica, il richiedente dovrebbe precisare tutte le seguenti informazioni legate all’identità e idoneità di tale soggetto:

• a) il nome del soggetto e il nome alla nascita del medesimo, la data e il luogo di nascita, la cittadinanza (attuale e precedente), il numero di identificazione (ove disponibile) o il numero di passaporto, l’indirizzo e una copia di un documento d’identità ufficiale;
• b) un curriculum vitae dettagliato con indicazione dell’istruzione e della formazione pertinenti, dell’esperienza professionale precedente e di qualsiasi attività professionale
• o altre funzioni attualmente svolte;
• c) una dichiarazione, corredata da documenti giustificativi, che comprenda le seguenti informazioni in merito al soggetto in questione:
• i. obblighi della legislazione nazionale in materia di comunicazione delle pene estinte, delle condanne o dei procedimenti penali emessi nei confronti del soggetto e che non siano stati annullati;
• ii. decisioni civili o amministrative in materia di rilevanza ai fini della procedura di valutazione o di autorizzazione emesse nei confronti del soggetto, nonché sanzioni e misure amministrative comminate a seguito della violazione di leggi o regolamenti (inclusa l’interdizione come amministratore di società), in ogni caso in cui non siano stati annullate e non ci siano impugnazioni pendenti o che possano essere presentate;
• iii. fallimento, insolvenza o procedure analoghe;
• iv. indagini penali in corso;
• v. indagini amministrative o civili, procedimenti esecutivi, sanzioni o altre decisioni esecutive a carico del soggetto riguardanti questioni che possono essere considerate pertinenti all’autorizzazione a dare avvio all’attività dell’istituto di pagamento o alla sua gestione prudente e sana;
• vi. laddove sia possibile reperire tali documenti, un certificato ufficiale o qualsiasi

commi (i)-(v) si siano verificati nei confronti del soggetto interessato;

• vii. rifiuto di registrazione, autorizzazione, iscrizione o licenza a svolgere attività commerciali, imprenditoriali o professionali;
• viii. revoche, ritiri o cancellazioni di registrazioni, autorizzazioni, iscrizione o licenze a svolgere attività commerciali, imprenditoriali o professionali;
• ix. espulsioni da parte di un’autorità o un ente pubblico nel settore dei servizi finanziari o da un ordine o un’associazione professionale;
• x. posizioni di responsabilità ricoperte con un entità sottoposta a condanne o procedimenti penali, indagini amministrative, sanzioni o altre decisioni esecutive per irregolarità di condotta, compresa frode, disonestà, corruzione, riciclaggio di denaro, finanziamento del terrorismo o altri crimini finanziari, la mancata attuazione di adeguate politiche e procedure atte a impedire tali eventi nel periodo in cui la presunta condotta si è verificata, nonché dettagli legati a tali avvenimenti e, se del caso, al coinvolgimento del soggetto negli stessi;
• xi. licenziamenti da impieghi o ruoli di fiducia, rimozioni da un rapporto fiduciario (diverso dalla cessazione del relativo rapporto per scadenza naturale) e situazioni analoghe;
• d) un elenco delle imprese che il soggetto che dirige o controlla e di cui il richiedente è venuto a conoscenza a seguito di opportuna e attenta indagine; quota di controllo diretto
• o indiretto in tali società; stato dell’impresa (attiva, sciolta, ecc.), nonché descrizione delle insolvenze o di procedure analoghe;
• e) nel caso l’accertamento della reputazione della persona in questione sia già stato compiuto da un’autorità competente nel settore dei servizi finanziari, è necessario fornire la denominazione di detta autorità e il risultato dell’accertamento;
• f) la posizione finanziaria attuale del soggetto, compresi i dati dettagliati relativi alle fonti di reddito, attività e passività, diritti di garanzia e garanzie, concesse o ottenute;
• g) una descrizione dei legami con persone politicamente esposte, ai sensi dell’articolo 3, paragrafo 9 della direttiva (UE) 2015/849² .

15.3 Nel caso in cui un soggetto o un’entità che è in possesso o, in caso di autorizzazione, entrerà in possesso di una partecipazione qualificata nel capitale del richiedente (comprese le entità che non sono persone giuridiche e che detengono la partecipazione o dovrebbero detenerla a proprio nome), la domanda dovrebbe annoverare le seguenti informazioni relative alla identità e idoneità della menzionata persona giuridica o entità:

• a) nome;
• b) nel caso in cui la persona giuridica o l’entità sia registrata presso un registro centrale, commerciale, delle imprese o in un registro analogo con le medesime finalità di quelli menzionati, una copia del certificato di regolare iscrizione, ove possibile, o altrimenti un certificato di registrazione;
• c) l’indirizzo della sede legale e, se diverso, della direzione generale, nonché della sede operativa principale;
• d) dati di contatto;
• e) documenti aziendali o, nel caso di persona o entità registrata in un altro Stato membro,

dell’entità;

• f) regolamentazione o meno nei confronti della persona giuridica o l’entità da parte di un’autorità competente nel settore dei servizi finanziari o da altri enti pubblici;
• g) laddove sia possibile reperire tali documenti, un certificato ufficiale o qualsiasi altro documento equivalente comprovante le informazioni definite nei paragrafi da (a) a (e) emessi dall’autorità competente interessata;
• h) le informazioni di cui all’orientamento 15, paragrafo 2, lettere da (c) a (g) in relazione alla persona giuridica o all’entità;
• i) un elenco delle informazioni dettagliate relative a ciascun soggetto che dirige effettivamente l’attività della persona giuridica o dell’entità, con il nome, data e luogo di nascita, indirizzo, numero di identificazione nazionale, ove disponibile e un curriculum vitae dettagliato (con indicazione dell’istruzione e formazione pertinenti, l’esperienza professionale precedente e qualsiasi attività professionale o altre funzioni rilevanti attualmente svolte), insieme alle informazioni di cui all’orientamento 15, paragrafo 2, lettere c) e d), relativamente alla persona in questione;
• j) la struttura proprietaria della persona giuridica, con indicazione almeno del nome, data e luogo di nascita, indirizzo, e ove disponibile, il numero di identificazione nazionale o il numero di registrazione, nonché percentuale di capitale e di voto rispettivamente di azionisti o soci diretti o indiretti e beneficiari effettivi, ai sensi dell’articolo 3, paragrafo 6 della direttiva (UE) 2015/849;
• k) una descrizione del gruppo finanziario regolamentato di cui il richiedente è o potrebbe diventare parte, con indicazioni in merito all’impresa madre, nonché enti creditizi, assicurativi e di sicurezza interni al gruppo; il nome delle rispettive autorità competenti (su base individuale o consolidata); e
• l) i conti annuali, a livello individuale e, ove applicabili, a livelli di gruppo consolidato e subconsolidato, per gli ultimi tre esercizi finanziari, nel caso in cui la persona giuridica o l’entità siano state operative nel menzionato periodo (oppure, se inferiore ai tre anni, il periodo nel quale la persona giuridica o l’entità sono state operative e nel quale sono

contabile ai sensi della direttiva 2006/43/CE³ , ove applicabile, comprendenti le seguenti voci:

• i. lo stato patrimoniale;
• ii. i conti profitti e perdite o il conto economico;
• iii. le relazioni annuali e allegati finanziari ed eventuali altri documenti protocollati nel pertinente registro o presso l’autorità competente della persona giuridica;
• m) qualora la persona giuridica non sia stata operativa per un periodo sufficiente a

immediatamente precedenti alla data della domanda, quest’ultima deve contenere lo stato finanziario esistente (ove disponibile);

• n) qualora la persona giuridica o l’entità abbiano la propria direzione generale in un paese terzo, le informazioni in merito al regime di regolamentazione di quest’ultimo applicabile alla persona giuridica o all’entità, comprese le informazioni sulla misura in cui il regime di lotta al riciclaggio e di contrasto al finanziamento del terrorismo del paese terzo sia compatibile con raccomandazioni del Gruppo d’azione finanziaria internazionale;
• o) per le entità che non hanno personalità giuridica quali un organismo di investimento collettivo, fondi sovrani o trust, la domanda deve contenere le seguenti informazioni:
• i. l’identità delle persone che gestiscono le attività, nonché dei beneficiari o dei sottoscrittori;
• ii. una copia del documento che istituisce e disciplina l’entità, incluse la politica di investimento e le limitazioni agli investimenti applicabili all’entità. 15.4. Per ciascuna persona fisica o giuridica o entità che è in possesso o, in caso di autorizzazione, entrerà in possesso di una partecipazione qualificata nel capitale del richiedente, la domanda deve essere corredata dalle seguenti informazioni:
• a) informazioni dettagliate in merito alle motivazioni finanziarie o commerciali in virtù delle quali la persona giuridica o l’entità detengono tale partecipazione, incluso il periodo nel quale la persona o l’entità intendono detenere la partecipazione, nonché l’eventuale proposito di aumentare, ridurre o mantenere il livello della partecipazione in un prevedibile futuro;
• b) dettagli delle intenzioni della persona o dell’entità con riferimento al richiedente e l’influenza che la persona o l’entità intende esercitare su quest’ultimo, tra cui, in relazione alla politica dei dividendi, lo sviluppo strategico e l’assegnazione delle risorse del richiedente, intenda o meno agire in qualità di azionista di minoranza attivo e relative ragioni di tale proposito;
• c) informazioni sulla volontà da parte della persona o dell’entità di sostenere il richiedente con ulteriori fondi propri, ove necessario per lo sviluppo delle proprie attività o in caso di difficoltà finanziarie;
• d) il contenuto degli accordi previsti degli azionisti o dei soci con altri azionisti o soci in relazione al richiedente;
• e) un’analisi sul possibile e impatto della partecipazione qualificata, compreso quello conseguente agli stretti legami del soggetto con il richiedente, sulla capacità di quest’ultimo di fornire informazioni tempestive e accurate alle autorità competenti;
• f) l’identità di ciascun membro dell’organo di amministrazione o dell’alta dirigenza che dirigeranno l’attività del richiedente e saranno designati dai menzionati azionisti o soci,
• o a seguito della nomina da parte di questi ultimi, nonché, ove non ancora fornite, le informazioni di cui all’orientamento 16.

15.5. La domanda dovrebbe indicare una spiegazione dettagliata delle specifiche fonti di finanziamento per la partecipazione di ciascuna persona o entità che detiene una partecipazione qualificata nel capitale del richiedente. Tale spiegazione dovrebbe includere:

• a) informazioni dettagliate sull’impiego di risorse finanziare private, incluse disponibilità e (al fine di garantire che l’autorità competente ritenga che l’attività che ha generato i fondi sia legittima) origine;
• b) dettagli sull’accesso ai mercati finanziari, comprese le informazioni approfondite sugli strumenti finanziari da emettere;
• c) informazioni in merito all’uso di fondi provenienti da prestiti, compreso il nominativo dei

garanzia e garanzie, nonché le informazioni sulla fonte delle entrate di cui servirsi per rimborsare tali prestiti. Laddove il prestatore non sia un ente creditizio o un ente finanziario autorizzato a concedere crediti, il richiedente dovrebbe fornire alle autorità competenti informazioni riguardanti l’origine di tali fondi presi a prestito;

• d) informazioni su eventuali accordi finanziari con altri azionisti o soci del richiedente.

Orientamento 16: Accertamento dell’identità e idoneità degli amministratori e dei soggetti responsabili della gestione dell’istituto di pagamento

16.1. Ai fini dell’accertamento dell’identità e dell’idoneità di amministratori e soggetti responsabili della gestione dell’istituto di pagamento, il richiedente dovrebbe presentare le seguenti informazioni:

• a) dati personali, ovvero:
• i. nome completo, genere, luogo e data di nascita, indirizzo e nazionalità, numero di identificazione personale o copia della carta d’identità o documento equivalente;
• ii. dettagli concernenti la posizione per la quale l’accertamento è richiesto, nonché l’indicazione della posizione, esecutiva o meno, all’interno dell’organo di amministrazione. Dovrebbero essere altresì incluse le seguenti informazioni:

• b) se del caso, informazioni sulla valutazione dell’idoneità eseguita dal richiedente, che dovrebbe comprendere i dettagli dei risultati di qualsiasi valutazione di idoneità del soggetto eseguita da parte dell’ente, quali verbali pertinenti del consiglio o relazioni relative alla valutazione di idoneità o altri documenti;
• c) prove di conoscenza, competenza ed esperienza, le quali dovrebbero comprendere un curriculum vitae con l’indicazione dell’istruzione e dell’esperienza professionale, tra cui titoli di studio, altro tipo di formazione di rilievo, nome e natura di tutte le organizzazioni per le quali il soggetto lavora o ha lavorato, nonché la natura e la durata delle funzioni svolte, con particolare rilievo circa le attività connesse alla posizione richiesta;
• d) prove in merito a reputazione, onestà e integrità, che dovrebbero comprendere:
• i. casellari giudiziali e informazioni di rilievo su indagini e procedimenti penali, procedimenti civili e amministrativi pertinenti e azioni disciplinari, tra cui l’interdizione dalla funzione di amministratore della società, bancarotta, insolvenza e procedure analoghe, in particolare mediante un certificato ufficiale
• o qualsiasi fonte di informazione oggettivamente affidabile riguardante l’assenza di condanne penali, indagini e procedimenti, quali indagini di terzi e testimonianze rese a un avvocato o un notaio con sede nell’Unione europea;
• ii. certificato dal quale risulti se sono pendenti procedimenti penali o se il soggetto
• o le organizzazioni da questi gestite hanno avuto un coinvolgimento come debitore in procedure di insolvenza o analoghe;
• iii. informazioni in merito a:

Orientamento 17: Identità dei revisori legali dei conti e delle società di revisione contabile

Il richiedente è tenuto a fornire l’identità dei revisori legali dei conti e delle società di revisione contabile ai sensi della direttiva 2006/43/CE, ove pertinenti, che dovrebbe comprendere l’indicazione dei nomi, degli indirizzi e dei dati di contatto dei revisori.

Orientamento 18: Assicurazione per la responsabilità civile professionale o garanzia analoga per i servizi di di disposizione di ordine di pagamento e di informazione sui conti.

Come prova dell’assicurazione per la responsabilità civile professionale o delle garanzie analoghe compatibili con gli orientamenti dell’ABE in materia di criteri sulle modalità di stipula dell’importo monetario minimo dell’assicurazione della responsabilità civile professionale o delle garanzie analoghe (EBA/GL/2017/08) e con l’ articolo 5, paragrafi 2 e 3 della seconda direttiva sui servizi di pagamento, il richiedente, per la prestazione dei servizi di ordine di pagamento o di informazione sui conti, dovrebbe presentare le seguenti informazioni:

• a) un contratto assicurativo o altro documento equivalente che confermi l’esistenza di un’assicurazione della responsabilità civile professionale o di una garanzia analoga che sia compatibile con i sopra menzionati orientamenti dell’ABE, comprovante la copertura delle relative responsabilità;
• b) documentazione in merito alle modalità di calcolo da parte del richiedente dell’importo minimo conforme ai menzionati orientamenti dell’ABE, inclusi tutti i componenti della formula ivi specificata.

² Direttiva (UE) 2015/849 del Parlamento europeo e del Consiglio, del 20 maggio 2015 relativa alla prevenzione dell’uso del sistema finanziario a scopo di riciclaggio o finanziamento del terrorismo (GU L141 del 5.6.2015, pag. 73).

³ Direttiva 2006/43/CE del Parlamento europeo e del Consiglio del 17 maggio 2006, relativa alle revisioni legali dei conti annuali e dei conti consolidati, che modifica le direttive 78/660/CEE e 83/349/CEE del Consiglio e abroga la direttiva 84/253/CEE del Consiglio (GU L 157 del 9.6.2006, pagg. 87-107).

1. Panoramica

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Standard correlati

2. Requisiti identificati

3. Standard correlati

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/