dell’allegato I della direttiva (UE) 2015/2366 (servizi di informazione sui conti)

Orientamento 1: Principi generali

1.1 La presente serie di orientamenti si applica ai richiedenti l’autorizzazione come prestatori di servizi di informazione sui conti. Si riferisce esclusivamente ai richiedenti che intendono erogare esclusivamente servizi di informazione sui conti. Il richiedente che intende fornire servizi ulteriori rispetto a quelli di informazione sui conti, dovrebbe presentare la domanda di autorizzazione e fare riferimento agli orientamenti descritti nella sezione 4.1 relativa agli istituti di pagamento.

1.2 I richiedenti dovrebbero fornire informazioni autentiche, complete, accurate e aggiornate. Tutti i richiedenti dovrebbero conformarsi alle disposizioni della serie di orientamenti loro applicabili. Il livello di dettaglio richiesto per garantire la conformità dovrebbe essere adeguato a dimensioni e all’organizzazione interna del richiedente, nonché alla natura, allo scopo, alla complessità e rischiosità del(i) particolare(i) servizio(i) che intende fornire. In ogni caso, in conformità alla direttiva UE 2015/2366, gli amministratori e le persone responsabili della gestione dell’istituto di pagamento godono di onorabilità e sono in possesso di

indipendentemente da dimensioni, organizzazione interna e natura, scopo dell’istituto e complessità delle attività del medesimo, nonché dai doveri e responsabilità della posizione specifica.

1.3 Al momento di presentazione delle informazioni richieste, il richiedente dovrebbe evitare di fare riferimento a sezioni specifiche di procedure/documenti interni. Al contrario, il richiedente dovrebbe estrapolare le sezioni interessate e fornirle all’autorità competente.

1.4 Nel caso in cui le autorità competenti richiedessero chiarimenti sulle informazioni presentate, il richiedente dovrebbe fornirli tempestivamente. 1.5 I dati richiesti ai sensi dei presenti orientamenti per la registrazione in qualità di prestatori di servizi di informazione sui conti sono necessari per la valutazione della domanda e saranno trattati dall’autorità competente conformemente all’obbligo del segreto professionale previsto dalla seconda direttiva sui servizi di pagamento, fatto salvo il diritto dell’Unione e le norme e procedure nazionali sull’esercizio del diritto di accesso, rettifica, cancellazione o opposizione.

Orientamento 2: Dati identificativi

2.1 Nel caso in cui il richiedente sia una persona fisica, gli estremi identificativi che il richiedente è tenuto a fornire dovrebbero contenere le seguenti informazioni:

• a) nominativo, indirizzo, nazionalità, data e luogo di nascita;
• b) una copia del documento di identità o di documenti identificativi equivalenti;
• c) un curriculum vitae aggiornato;
• d) una verifica del casellario giudiziale che non risale a più di 3 mesi;
• e) nominativo(i) della(e) persona(e) incaricata(e) di occuparsi del fascicolo della domanda e della procedura di autorizzazione, e i dati di contatto di questi ultimi.

2.2 Nel caso in cui il richiedente sia una persona giuridica, gli estremi identificativi che il richiedente è tenuto a fornire dovrebbero contenere le seguenti informazioni:

• a) la denominazione sociale del richiedente e, se diversa, la denominazione commerciale del medesimo;
• b) indicazioni sull’avvenuta costituzione o sulla costituzione in corso del richiedente;
• c) numero d’identificazione nazionale del richiedente, se del caso;
• d) regime giuridico del richiedente e statuto (progetto di statuto) e/o atti costitutivi comprovanti il regime giuridico del medesimo;
• e) indirizzo della direzione generale del richiedente e della sede sociale del medesimo;
• f) indirizzo di posta elettronica e sito web del richiedente, se disponibile;
• g) nominativo(i) della(e) persona(e) incaricata(e) di occuparsi del fascicolo della domanda e della procedura di autorizzazione, e i dati di contatto di questi ultimi.
• h) indicazioni sull’eventualità che il richiedente sia stato o sia attualmente regolamentato dall’autorità competente nel settore dei servizi finanziari;
• i) l’atto di costituzione registrato oppure, ove applicabile, il certificato negativo di un registro delle imprese attestante che il nome scelto dalla società è disponibile;
• j) prove dell’avvenuto pagamento di corrispettivi o del versamento di somme per la presentazione della domanda di registrazione come prestatore di servizi di informazione sui conti, se del caso, in applicazione della legislazione nazionale.

Orientamento 3: Programma di attività

3.1. Il programma delle attività che il richiedente è tenuto a fornire, dovrebbe contenere le seguenti informazioni:

• a) una descrizione del servizio di informazione sui conti che si intende fornire, con la spiegazione delle modalità con le quali il richiedente ha stabilito che l’attività corrisponde alla definizione dei servizi di informazione sui conti di cui all’articolo 4, paragrafo 16 della direttiva (UE) 2015/2366 (seconda direttiva sui servizi di pagamento);
• b) una dichiarazione del richiedente con la quale dichiara che non entrerà in possesso di fondi;
• c) una descrizione della prestazione del servizio di informazione sui conti che comprenda:
• i. bozze di contratto tra le parti coinvolte, ove del caso;
• ii. termini e condizioni della prestazione del servizio di informazione suiconti;
• iii. tempi di elaborazione;
• d) una stima del quantitativo dei diversi siti dai quali il richiedente intende erogare i servizi, se del caso;
• e) una descrizione dei servizi accessori rispetto a quelli di pagamento, se del caso;
• f) una dichiarazione relativa all’intenzione o meno del richiedente di prestare servizi di informazione sui conti in un altro Stato membro dell’UE o in un altro paese una volta conclusasi la registrazione;
• g) indicazione relativa all’intenzione del richiedente, per i successivi tre anni, di voler prestare o di prestare già attività commerciali diverse dai servizi di informazione sui conti di cui all’articolo 18 della direttiva 2015/2366, inclusa una descrizione della tipologia e del volume previsto delle attività;
• h) informazioni specificate negli Orientamenti dell’ABE sui criteri in base ai quali stipulare l’importo monetario minimo dell’assicurazione della responsabilità civile professionale o di altre garanzie analoghe ai sensi dell’articolo 5, paragrafo 4 della direttiva (UE) 2015/2366 (EBA/GL/2017/08), laddove il richiedente intenda fornire esclusivamente il servizio 8 (servizi di informazione sui conti).

Orientamento 4: Piano di attività

4.1. Il piano di attività che il richiedente è tenuto a fornire dovrebbe comprendere:

• a) un piano di marketing contenente:
• i. un’analisi della posizione concorrenziale della società;
• ii. una descrizione degli utilizzatori dei servizi di informazione sui conti nel segmento di mercato interessato delle informazioni dei conti, il materiale di commercializzazione e i canali di distribuzione;
• b) i conti annuali certificati dei tre anni precedenti, ove disponibili, oppure una sintesi della situazione finanziaria per i richiedenti che non hanno ancora prodotto conti annuali;
• c) una stima previsionale del bilancio per i primi tre esercizi finanziari, che dimostri che il richiedente è in grado di utilizzare risorse, procedure e sistemi adeguati e proporzionati che consentano una sana gestione. La stima dovrebbe comprendere:
• i. conto economico e previsione di bilancio, comprendenti scenari obiettivo e scenari di stress, nonché ipotesi di base, quali numero dei clienti, pricing, aumento previsto nella soglia di redditività;
• ii. spiegazioni inerenti le principali linee di entrate e spese, i debiti finanziari e il capitale fisso;
• iii. un diagramma e una suddivisione dettagliata dei flussi finanziari previsti per i tre anni successivi;

Orientamento 5: Struttura organizzativa

5.1. Qualora il richiedente sia una persona fisica, la descrizione della struttura organizzativa dell’impresa del richiedente dovrebbe comprendere le seguenti informazioni:

• a) una previsione complessiva del numero del personale per i successivi tre anni;
• b) una descrizione dei relativi accordi di esternalizzazione operativi comprendente:
• i. l’identità e la localizzazione geografica del fornitore esterno;
• ii. l’identità dei soggetti che, nell’ambito della prestazione dei servizi di informazione sui conti, sono responsabili di ciascuna attività esternalizzata;

caratteristiche principali;

• c) una copia delle bozze degli accordi di esternalizzazione;
• d) descrizione dell’impiego di succursali e agenti, ove del caso, compresa:
• i. una mappatura dei controlli in loco e fuori sede che il richiedente intende eseguire su succursali e agenti;
• ii. i sistemi informatici, i processi e le infrastrutture impiegate dagli agenti del richiedente per svolgere le attività per conto del richiedente;
• iii. nel caso di agenti, la politica di selezione, le procedure di controllo, nonché la formazione degli agenti e, ove disponibili, la bozza delle condizioni di impiego;
• e) un elenco di tutte le persone fisiche o giuridiche che hanno stretti legami con i prestatori di servizi di informazione sui conti del richiedente, con indicazione delle identità e della natura di tali legami.

5.2. Qualora il richiedente sia una persona giuridica, la descrizione della struttura organizzativa dell’impresa dovrebbe comprendere le seguenti informazioni:

• a) un organigramma dettagliato che indichi ciascuna divisione, dipartimento o separazione strutturale analoga, che comprenda il nominativo della(e) persona(e) responsabile(i), in particolare di coloro i quali sono responsabili delle funzioni di controllo interno. L’organigramma dovrebbe essere accompagnato dalla descrizione delle funzioni e delle responsabilità di ciascuna divisione, dipartimento o separazione strutturale analoga;
• b) una previsione complessiva del numero del personale per i successivi tre anni;
• c) una descrizione degli accordi di esternalizzazione di rilievo, comprendente:
• i. l’identità e la localizzazione geografica del fornitore esterno;
• ii. l’identità dei soggetti che, nell’ambito della prestazione dei servizi di informazione sui conti, sono responsabili di ciascuna attività esternalizzata;

caratteristiche principali;

• d) una copia delle bozze degli accordi di esternalizzazione;
• e) descrizione dell’impiego di succursali e agenti, ove del caso, compresa:
• i. una mappatura dei controlli in loco e fuori sede che il richiedente intende eseguire su succursali e agenti;
• ii. I sistemi informatici, i processi e le infrastrutture impiegate dagli agenti per svolgere le attività per conto del richiedente;
• iii. nel caso di agenti, la politica di selezione, le procedure di controllo, nonché la formazione degli agenti e, ove disponibili, la bozza delle condizioni di impiego;
• f) un elenco di tutte le persone fisiche o giuridiche che hanno stretti legami con il richiedente, con indicazione delle relative identità e della natura di tali legami.

Orientamento 6: Dispositivi di governance e meccanismi di controllo interno

6.1. Il richiedente dovrebbe produrre una descrizione dei dispositivi di governance e dei meccanismi di controllo interno comprensiva di:

• a) una mappatura dei rischi individuati dal richiedente, comprensiva della tipologia dei rischi e delle procedure che il richiedente porrà in essere per valutarli e prevenirli;
• b) le diverse procedure che si ha intenzione di svolgere con regolarità periodica e controlli periodici, comprendenti frequenza e assegnazione delle risorse umane;
• c) le procedure contabili che il richiedente utilizzerà per registrare e segnalare le proprie informazioni finanziarie;
• d) l’identità delle persone responsabili delle funzioni di controllo interno, nonché dei controlli di conformità periodici e costanti e un curriculum vitae aggiornato;
• e) l’identità dei revisori che non siano revisori legali dei conti ai sensi della direttiva 2006/43/CE;
• f) la composizione dell’organo di amministrazione e, se del caso, di ogni altro organo o comitato di vigilanza;
• g) una descrizione delle modalità di monitoraggio e controllo delle funzioni esternalizzate, in modo da evitare alterazioni nella qualità dei controlli interni del richiedente;
• h) una descrizione delle modalità di monitoraggio e controllo di agenti e delle succursali nell’ambito del quadro dei controlli interni del richiedente;
• i) qualora il richiedente sia una filiale o un’entità regolamentata in un altro Stato membro dell’UE, una descrizione della governance del gruppo. Orientamento 7: Procedure per il monitoraggio, la gestione e il controllo degli incidenti di sicurezza e dei reclami dei clienti in materia di sicurezza

7.1. Il richiedente dovrebbe presentare una descrizione della procedura utilizzata per il monitoraggio, la gestione e il controllo degli incidenti di sicurezza e dei reclami dei clienti in materia di sicurezza. La descrizione dovrebbe comprendere:

• a) misure di carattere organizzativo e strumenti per la prevenzione delle frodi;
• b) dettagli dei soggetti e degli organi responsabili dell’assistenza dei clienti nei casi di frode, delle problematiche tecniche e/o della gestione dei reclami;
• c) linee di segnalazione nei casi di frode;
• d) il contatto per i clienti, comprensivo di nome e indirizzo e-mail;
• e) procedure per la segnalazione degli incidenti, compresa la comunicazione di tali relazioni a organi interni o esterni, nonché la notifica di gravi incidenti alle autorità nazionali competenti ai sensi dell’articolo 96 della seconda direttiva sui servizi di pagamento e in linea con gli orientamenti dell’ABE sulla comunicazione degli incidenti ai sensi dell’indicato articolo.
• f) gli strumenti di monitoraggio impiegati e le misure e le procedure di controllo poste in essere per attenuare i rischi in materia di sicurezza.

Orientamento 8: Procedura in atto per l’archiviazione, il monitoraggio, la tracciabilità e la limitazione dell’accesso ai dati sensibili relativi ai pagamenti

8.1. Il richiedente dovrebbe fornire una descrizione della procedura in atto per l’archiviazione, il monitoraggio, la tracciabilità e la limitazione dell’accesso ai dati sensibili relativi ai pagamenti. Tale descrizione dovrebbe comprendere:

• a) una descrizione del flusso di dati classificati come dati sensibili relativi ai pagamenti, nell’ambito del modello di business del prestatore dei servizi di informazione sui conti;
• b) le procedure in atto per concedere l’autorizzazione ad accedere ai dati sensibili riguardanti i pagamenti;
• c) una descrizione dello strumento di monitoraggio;
• d) la politica del diritto di accesso, con descrizione dettagliata dell’accesso a tutti i relativi

back-up;

• e) una descrizione delle modalità di archiviazione dei dati acquisiti;
• f) l’uso previsto, interno e/o esterno, dei dati acquisiti, anche in capo alle controparti;
• g) le misure tecniche di sicurezza e sistemi informatici che sono stati adottati, compresa la cifratura e/o il servizio di tokenizzazione;
• h) l’identificazione del (dei) soggetto(i), organi e/o comitato(i) con accesso ai dati sensibili inerenti ai pagamenti;
• i) una spiegazione delle modalità di individuazione e correzione delle violazioni;
• j) un programma annuale di controllo interno in merito alla sicurezza dei sistemi informatici.

Orientamento 9: Disposizioni in materia di continuità operativa

9.1. Il richiedente dovrebbe presentare una descrizione delle disposizioni in materia di continuità operativa comprendente:

• a) un’analisi dell’impatto sulle attività aziendali che comprenda i processi aziendali e gli obiettivi di risanamento, quali gli obiettivi legati ai tempi di risanamento, gli obiettivi in materia di punti di risanamento e le attività tutelate;
• b) identificazione del sito per il back-up, accesso alle infrastrutture informatiche e software e i dati importanti da ripristinare a seguito di incidenti o interruzioni;
• c) una spiegazione della modalità con le quali il richiedente procederà rispetto alla gestione delle interruzioni e degli eventi di continuità significativi, quali il malfunzionamento dei sistemi principali; la perdita dei dati fondamentali, l’inaccessibilità ai locali e la perdita dei soggetti rilevanti;
• d) la frequenza con la quale il richiedente ha intenzione di verificare i piani di continuità operativa e di ripristino in caso di incidente, nonché modalità con le quali i risultati ottenuti saranno registrati.

Orientamento 10: Documento relativo alla politica di sicurezza

10.1. Il richiedente dovrebbe produrre un documento relativo alla politica di sicurezza comprendente le seguenti informazioni:

• a) una valutazione dettagliata del rischio correlato al(i) servizio(i) di pagamento che il richiedente intende fornire, che dovrebbe comprendere i rischi di frode e le misure di controllo della sicurezza e di attenuazione adottate per salvaguardare in maniera appropriata gli utilizzatori dei servizi di pagamento dai rischi individuati;
• b) una descrizione dei sistemi informatici, la quale dovrebbe comprendere:
• i. l’architettura dei sistemi e i relativi elementi di rete;
• ii. i sistemi informatici aziendali a sostegno delle attività prestate, quali il sito web del richiedente, il motore di gestione dei rischi e delle frodi e la contabilità del cliente;
• iii. i sistemi informatici di supporto impiegati per l’organizzazione e l’amministrazione del prestatore di servizi di informazione sui conti, quali contabilità, sistemi di segnalazione previsti dalla legge, la gestione del personale e del rapporto con la clientela, server di posta elettronica e file server interni;
• iv. le informazioni inerenti l’eventuale impiego in corso dei menzionati sistemi da parte del prestatore di servizi di informazione sui conti o del proprio gruppo e, se del caso, la data stimata di attuazione;
• c) la tipologia di connessioni autorizzate dall’esterno, quali quelle con partner, prestatori di servizi, entità del gruppo e dipendenti che lavorano in remoto, nonché le motivazioni per tali connessioni;
• d) per ciascuna delle connessioni elencate nel punto c), le misure e i meccanismi di sicurezza logica esistenti, precisando tipologia, natura e frequenza dei controlli che il prestatore dei servizi di informazione sui conti avrà su tali accessi. In via esemplificativa, controlli tecnici rispetto a quelli organizzativi, preventivi rispetto a quelli rilevativi, nonché in tempo reale rispetto alle revisioni periodiche, quali l’impiego di un’active directory distinta dal gruppo, l’apertura/chiusura di linee di comunicazione, la configurazione delle apparecchiature per la sicurezza, la generazione di codici o certificati di autenticazione client, il monitoraggio dei sistemi, l’autenticazione,la riservatezza delle comunicazioni, il rilevamento delle intrusioni, i sistemi antivirus e log;
• e) le misure e i meccanismi di sicurezza logica, che disciplinano l’accesso interno ai sistemi informatici, dovrebbero comprendere:
• i. la natura tecnica e organizzativa nonché la frequenza di ciascuna misura, per esempio l’indicazione se sia di carattere preventivo o rilevativo e se eseguita o meno in tempo reale;
• ii. le modalità di gestione della problematica della segregazione dell’ambiente client, nel caso in cui le risorse informatiche del richiedente siano condivise;
• f) le misure e i meccanismi di sicurezza materiale dei locali e del centro dati del richiedente, quali controlli di accesso e di sicurezza ambientale;
• g) la sicurezza dei processi di pagamento, che dovrebbe comprendere:
• i. la procedura di autenticazione del cliente utilizzata sia per scopi di accesso consultivo sia operativo;
• ii. una spiegazione delle modalità mediante le quali la consegna sicura al legittimo utilizzatore dei servizi di pagamento e l’integrità dei fattori di autenticazione, quali hardware token e applicazioni per dispositivi mobili, saranno assicurate sia al momento della registrazione iniziale sia all’atto del rinnovo;
• iii. una descrizione dei sistemi e delle procedure poste in essere dal richiedente per l’analisi delle operazioni e l’individuazione delle operazioni sospette e insolite.
• h) una valutazione dettagliata dei rischi correlati ai propri servizi di pagamento, compreso il rischio di frodi, che presenti un collegamento alle misure di controllo e attenuazione illustrate nel fascicolo della domanda, a dimostrazione di come i rischi vengano affrontati;
• i) un elenco delle principali procedure scritte in relazione ai sistemi informatici del richiedente o, per le procedure in attesa di formalizzazione, una data prevista per il complemento.

Orientamento 11: Accertamento dell’identità e idoneità dell’amministratore e dei soggetti responsabili della gestione del prestatore dei servizi di informazione sui conti

11.1. Ai fini dell’accertamento dell’identità e dell’idoneità di amministratori e soggetti responsabili della gestione del prestatore dei servizi di pagamento, il richiedente dovrebbe fornire le seguenti informazioni:

• a) dati personali, che dovrebbero comprendere:
• i. nome completo, genere, luogo e data di nascita, indirizzo e nazionalità, numero di identificazione personale o copia della carta d’identità o documento equivalente;
• ii. dettagli concernenti la posizione per la quale l’accertamento è richiesto, nonché l’indicazione della posizione, esecutiva o meno, all’interno dell’organo di amministrazione; dovrebbero essere incluse anche le seguenti informazioni:

• b) se del caso, informazioni sulla valutazione dell’idoneità eseguita dal richiedente, che dovrebbe comprendere i dettagli dei risultati di qualsiasi valutazione di idoneità del soggetto eseguita da parte dell’ente, quali verbali pertinenti del consiglio o relazioni relative alla valutazione di idoneità o altri documenti;
• c) prove di conoscenza, competenza ed esperienza, le quali dovrebbero comprendere un curriculum vitae con l’indicazione dell’istruzione e dell’esperienza professionale, tra cui titoli di studio, altro tipo di formazione di rilievo, nome e natura di tutte le organizzazioni per le quali il soggetto lavora o ha lavorato, nonché la natura e la durata delle funzioni svolte, con particolare rilievo circa le attività che rientrano nell’ambito dello scopo della posizione richiesta;
• d) prove in merito a reputazione, onestà e integrità, che dovrebbero comprendere:
• i. casellari giudiziali e informazioni di rilievo su indagini e procedimenti penali, procedimenti civili e amministrativi pertinenti e azioni disciplinari, tra cui l’interdizione dalla funzione di amministratore della società, bancarotta, insolvenza e procedure analoghe, in particolare mediante un certificato ufficiale
• o qualsiasi fonte di informazione oggettivamente affidabile riguardante l’assenza di condanne penali, indagini e procedimenti, quali indagini di terzi e testimonianze rese a un avvocato o un notaio con sede nell’Unione europea;
• ii. certificato dal quale risulti se sono pendenti procedimenti penali o se il soggetto
• o le organizzazioni gestite da quest’ultimo hanno avuto un coinvolgimento sotto il profilo debitorio in procedure di insolvenza o analoghe;
• iii. informazioni in merito a:

Orientamento 12: Assicurazione della responsabilità civile professionale o garanzie equivalenti

12.1. Come prova dell’assicurazione della responsabilità civile professionale o delle garanzie analoghe che siano conformi agli orientamenti dell’ABE in materia di Assicurazione della responsabilità civile professionale (EBA/GL/2017/08) e all’articolo 5, paragrafi 2 e 3 della seconda direttiva sui servizi di pagamento, il richiedente dovrebbe presentare le seguenti informazioni:

• a) un contratto assicurativo o altro documento analogo che confermi l’esistenza di un’assicurazione della responsabilità civile professionale o di una garanzia analoga con un importo della garanzia compatibile con i sopra menzionati orientamenti dell’ABE, a dimostrazione della copertura delle relative responsabilità;
• b) documentazione in merito alle modalità di calcolo da parte del richiedente dell’importo minimo conforme ai menzionati orientamenti dell’ABE, inclusi tutti i componenti della formula ivi specificata.

1. Panoramica

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Standard correlati

2. Requisiti identificati

3. Standard correlati

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/