|
+Articolo 5 1. |
Articolo 5 1.L’autorizzazione a svolgere attività come istituto di pagamento è subordinata alla presentazione alle autorità competenti dello Stato membro d’origine di una domanda corredata delle informazioni seguenti:
a)
un programma di attività, nel quale sono indicati in particolare i tipi di servizi di pagamento previsti;
b)
un piano aziendale comprendente una stima provvisoria del bilancio per i primi tre esercizi finanziari, che dimostri che il richiedente è in grado di utilizzare i sistemi, le risorse e le procedure adeguati e proporzionati ai fini di una sana gestione;
c)
prove attestanti che l’istituto di pagamento detiene il capitale iniziale di cui all’articolo 7;
d)
per gli istituti di pagamento di cui all’articolo 10, paragrafo 1, una descrizione delle misure adottate per tutelare i fondi degli utenti di servizi di pagamento ai sensi dell’articolo 10;
e)
una descrizione dei dispositivi di governo societario e dei meccanismi di controllo interno, ivi comprese le procedure amministrative, di gestione del rischio e contabili, del richiedente, nonché gli accordi per l’utilizzo di servizi di TIC a noma del regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio ( 4 ), che dimostri che tali dispositivi di governo societario e meccanismi di controllo interno siano proporzionati, appropriati, validi e adeguati;
f)
una descrizione della procedura esistente per monitorare e gestire gli incidenti relativi alla sicurezza e i reclami dei clienti in materia di sicurezza e per darvi seguito, compreso un meccanismo di notifica degli incidenti che tenga conto degli obblighi di notifica dell’istituto di pagamento di cui al capo III del regolamento (UE) 2022/2554;
g)
una descrizione della procedura esistente per archiviare, monitorare, tracciare e limitare l’accesso in ordine ai dati sensibili relativi ai pagamenti;
h)
una descrizione delle disposizioni in materia di continuità operativa, tra cui l’individuazione chiara delle operazioni critiche, politica e piani di continuità operativa delle TIC e piani di risposta e di ripristino relativi alle TIC efficaci nonché una procedura per testare periodicamente e riesaminare l’adeguatezza e l’efficacia di tali piani a norma del regolamento (UE) 2022/2554;
i)
una descrizione dei principi e delle definizioni applicati per la raccolta di dati statistici relativi ai risultati, alle operazioni e alle frodi;
j)
un documento relativo alla politica di sicurezza, comprendente una valutazione dettagliata dei rischi relativi ai servizi di pagamento offerti e una descrizione delle misure di controllo e di mitigazione adottate per tutelare adeguatamente gli utenti di servizi di pagamento contro i rischi individuati in materia di sicurezza, compresi la frode e l’uso illegale di dati sensibili e personali;
k)
per gli istituti di pagamento soggetti agli obblighi in materia di lotta al riciclaggio e al finanziamento del terrorismo stabiliti dalla direttiva (UE) 2015/849 del Parlamento europeo e del Consiglio ( 5 ) e dal regolamento (UE) n. 2015/847 del Parlamento europeo e del Consiglio ( 6 ), una descrizione dei meccanismi di controllo interno predisposti dal richiedente al fine di conformarsi a tali obblighi;
l)
una descrizione dell’organizzazione strutturale del richiedente, compresa, se del caso, una descrizione dell’uso previsto degli agenti e delle succursali e dei controlli in loco e a distanza che il richiedente si impegna ad eseguire su di essi con cadenza almeno annuale nonché una descrizione degli accordi di esternalizzazione e della sua partecipazione a un sistema di pagamento nazionale o internazionale;
m)
l’identità delle persone che, direttamente o indirettamente, detengono nel capitale del richiedente partecipazioni qualificate ai sensi dell’articolo 4, paragrafo 1, punto 36), del regolamento (UE) n. 575/2013, l’entità della loro partecipazione, nonché le prove attestanti la loro adeguatezza considerando la necessità di assicurare la gestione sana e prudente di un istituto di pagamento;
n)
l’identità degli amministratori e delle persone responsabili della gestione dell’istituto di pagamento e, se del caso, delle persone responsabili della gestione delle attività di servizi di pagamento dell’istituto di pagamento, nonché le prove attestanti la loro onorabilità e il possesso di conoscenze e di esperienza adeguate per la prestazione di servizi di pagamento come definito dallo Stato membro d’origine dell’istituto di pagamento;
o)
se del caso, l’identità dei revisori legali dei conti o delle imprese di revisione contabile ai sensi della direttiva 2006/43/CE del Parlamento europeo e del Consiglio ( 7 );
p)
lo stato giuridico del richiedente e lo statuto;
q)
l’indirizzo della sede centrale del richiedente. Ai fini delle lettere d), e), f) e l) del primo comma, il richiedente fornisce una descrizione dei dispositivi di revisione contabile e organizzativi predisposti per adottare tutte le misure ragionevoli al fine di tutelare gli interessi dei suoi utenti e garantire la continuità e l’affidabilità della prestazione di servizi di pagamento. Le misure di controllo e di mitigazione in materia di sicurezza di cui al primo comma, lettera j), indicano in che modo garantiscono un elevato livello di resilienza operativa digitale conformemente al capo II del regolamento (UE) 2022/2554, in particolare, in relazione alla sicurezza tecnica e protezione dei dati, anche per il software e i sistemi TIC utilizzati dal richiedente o dalle imprese alle quali questi esternalizza la totalità o parte delle sue attività. Tali misure comprendono anche le misure di sicurezza di cui all’articolo 95, paragrafo 1, della presente direttiva. Tali misure tengono conto degli orientamenti dell’ABE relativi alle misure di sicurezza di cui all’articolo 95, paragrafo 3, della presente direttiva una volta emanati. 1. Panoramica
1.1 Riferimenti1.2 Requisiti identificati1.3 Standard correlati2. Requisiti identificati
3. Standard correlati
|