Richtsnoeren betreffende de gegevens die moeten worden verstrekt voor de vergunning van betaalinstellingen en instellingen voor elektronisch geld en voor de registratie van aanbieders van rekeninginformatiediensten uit hoofde van artikel 5, lid 5, van Richtlijn (EU) 2015/2366 (EBA/GL/2017/09)

1. Nalevings- en rapportageverplichtingen

2. Onderwerp, toepassingsgebied en definities

3. Tenuitvoerlegging

4. Vier reeksen richtsnoeren, respectievelijk toepasselijk op betaalinstellingen (BI's), aanbieders van rekeninginformatiediensten (ARID's), instellingen voor elektronisch geld (IEG’s) en bevoegde autoriteiten (BA's)

Richtsnoer 1: Algemene beginselen

1.1 Deze reeks richtsnoeren geldt voor aanvragers van een vergunning als betaalinstelling (BI). Hiertoe behoren aanvragers die voornemens zijn een of meer diensten te verlenen als bedoeld in de punten 1 tot en met 7 van bijlage I bij PSD2, of dienst 8 in combinatie met andere betalingsdiensten. Voor aanvragers die voornemens zijn uitsluitend de in punt 8 van bijlage I bij Richtlijn (EU) 2015/2366 (PSD2) genoemde dienst aan te bieden, geldt de specifieke reeks richtsnoeren voor aanbieders van rekeninginformatiediensten (ARID's) die wordt omschreven in paragraaf 4.2.

1.2 De door aanvragers verstrekte gegevens dienen waar, volledig, nauwkeurig en actueel te zijn. Alle aanvragers dienen te voldoen aan alle bepalingen in de reeks richtsnoeren die op hen van toepassing zijn. Het detailniveau behoort in verhouding te staan met de omvang en de interne organisatie van de aanvrager, en met de aard, de omvang, de complexiteit en het risiconiveau van de specifieke dienst(en) die de aanvrager voornemens is aan te bieden. In ieder geval staan de bestuurders en de personen die verantwoordelijk zijn voor het management van de betaalinstelling overeenkomstig Richtlijn (EU) 2015/2366, bekend als betrouwbaar en beschikken zij over de nodige kennis en ervaring om betalingsdiensten uit te voeren ongeacht de omvang van de instelling, haar interne organisatie en de aard, omvang en complexiteit van haar activiteiten en de taken en verantwoordelijkheden van de specifieke functie.

1.3 Bij de indiening van de vereiste gegevens vermijdt de aanvrager verwijzingen naar specifieke delen van interne procedures/documenten. In plaats daarvan neemt de aanvrager de desbetreffende delen over en verstrekt hij de tekst hiervan aan de bevoegde autoriteit (BA).

1.4 Indien een BA verduidelijking eist van de ingediende gegevens, verstrekt de aanvrager deze onmiddellijk. 1.5 Alle gegevens waarom uit hoofde van deze richtsnoeren wordt gevraagd voor vergunningen als betaalinstelling, zijn nodig voor de beoordeling van de aanvraag en worden door de BA behandeld overeenkomstig de verplichtingen inzake beroepsgeheim die zijn vastgelegd in PSD2, onverminderd toepasselijk recht van de Unie en nationale vereisten en procedures inzake de uitoefening van het recht op toegang, correctie, schrapping of bezwaar.

Richtsnoer 2: Identificatiegegevens

2.1 De door de aanvrager te verstrekken identificatiegegevens bevatten het volgende:

• a) de bedrijfsnaam en - indien deze anders luidt - de handelsnaam van de aanvrager;
• b) een aanduiding of de aanvrager al is opgericht of nog in het proces van oprichting is;
• c) indien van toepassing, het nationale identificatienummer van de aanvrager;
• d) de rechtsvorm en de (concept)statuten en/of oprichtingsdocumenten van de aanvrager, waaruit diens rechtsvorm blijkt;
• e) het adres van het hoofdkantoor en de statutaire zetel van de aanvrager;
• f) het elektronische adres en het adres van de website van de aanvrager, indien beschikbaar.
• g) de naam/namen van de perso(o)n(en) die verantwoordelijk is/zijn voor de afhandeling van het aanvraagdossier en de vergunningsprocedure, met zijn/hun contactgegevens;
• h) een aanduiding of de aanvrager ooit gereguleerd is door een bevoegde autoriteit in de sector financiële dienstverlening, of dat op dit moment is;
• i) indien toepasselijk, beroepsorganisaties voor betalingsdienstverlening waarbij de aanvrager van plan is zich aan te sluiten;
• j) de geregistreerde oprichtingsakte of, indien toepasselijk, een verklaring van een handelsregister dat de naam die de onderneming heeft gekozen, beschikbaar is;
• k) bewijs van betaling van eventuele vergoedingen of voorschotten voor het indienen van een vergunningsaanvraag als betaalinstelling, wanneer toepasselijk op grond van het nationale recht.

Richtsnoer 3: Programma van werkzaamheden

3.1. Het door de aanvrager te verstrekken programma van werkzaamheden bevat de volgende gegevens:

• a) een stapsgewijze beschrijving van het soort beoogde betalingsdiensten, met een verklaring hoe de aan te bieden activiteiten en werkzaamheden door de aanvrager worden aangemerkt als vallend onder een van de wettige categorieën betalingsdiensten als genoemd in bijlage I bij PSD2.
• b) een verklaring of de aanvrager al of niet op enig tijdstip in bezit komt van geldmiddelen;
• c) een beschrijving van de uitvoering van de verschillende betalingsdiensten, met specificatie van alle betrokken partijen en van elke aangeboden betalingsdienst:
• i. een schema van de geldmiddelenstroom, tenzij de aanvrager alleen voornemens is betalingsinitiatiediensten (BID) aan te bieden;
• ii. afwikkelingsregelingen, tenzij de aanvrager alleen voornemens is BID aan te bieden;
• iii. conceptovereenkomsten tussen alle partijen die betrokken zijn bij het aanbieden

betaalkaartsystemen;

• iv. verwerkingstijden;
• d) een kopie van de concept-raamovereenkomst als gedefinieerd in artikel 4, punt 21, van PSD2;
• e) het geraamde aantal verschillende locaties van waaruit de aanvrager voornemens is de betalingsdiensten aan te bieden en/of, indien van toepassing, werkzaamheden te verrichten die verband houden met het aanbieden van de betalingsdiensten;
• f) indien van toepassing, een beschrijving van aanvullende diensten bij de betalingsdiensten;
• g) een verklaring of de aanvrager al dan niet voornemens is kredieten te verlenen en zo ja, binnen welke grenzen;
• h) een verklaring of de aanvrager al dan niet voornemens is na verlening van de vergunning betalingsdiensten aan te bieden in andere lidstaten of derde landen;
• i) een aanduiding of de aanvrager al dan niet voornemens is in de komende drie jaar andere zakelijke activiteiten aan te bieden als bedoeld in artikel 18 van Richtlijn (EU) 2015/2366, of dat al doet, met een beschrijving van het soort en de verwachte omvang van de activiteiten;
• j) indien de aanvrager voornemens is de diensten 7 en 8 (BID en rekeninginformatie-diensten (RID)) aan te bieden, de in de EBA-richtsnoeren betreffende de criteria voor de vaststelling van het minimumgeldbedrag van de beroepsaansprakelijkheidsverzekering of andere vergelijkbare waarborg uit hoofde van artikel 5, lid 4, van Richtlijn (EU) 2015/2366 gespecificeerde gegevens.

Richtsnoer 4: Bedrijfsplan

4.1. Het door de aanvrager te verstrekken bedrijfsplan bevat:

• a) een marketingplan bestaande uit:
• i. een analyse van de concurrentiepositie van de onderneming in het betrokken segment van de betaalmarkt;
• ii. een beschrijving van de gebruikers van de betalingsdienst, marketingmaterialen en distributiekanalen;
• b) wanneer beschikbaar, voor bestaande ondernemingen, gecertificeerde jaarrekeningen over de voorgaande drie jaar of, voor ondernemingen die nog geen jaarrekeningen hebben opgesteld, een samenvatting van de financiële situatie;
• c) een budgetprognose voor de eerste drie boekjaren waarmee wordt aangetoond dat de aanvrager in staat is gebruik te maken van passende en evenredige systemen, middelen en procedures die hem in staat stellen op een gezonde basis te werken. Deze prognose omvat:
• i. een prognose van de winst-en-verliesrekening en de balans, met inbegrip van beoogde scenario's en stress-scenario's, evenals de daarvoor gehanteerde aannames, zoals aantal transacties en waarde daarvan, aantal cliënten, tariefstelling, gemiddeld bedrag per transactie, verwachte verhoging van de rentabiliteitsdrempel;
• ii. toelichtingen op de belangrijkste inkomsten- en uitgavenposten, de financiële schulden en de vaste activa;
• iii. een diagram en gedetailleerde specificatie van de geraamde kasstromen voor de komende drie jaren;
• d) informatie over eigen vermogen, waaronder het bedrag en een gedetailleerde specificatie van de samenstelling van het in artikel 7 van PSD2 genoemde aanvangskapitaal;
• e) informatie over en berekening van het vereiste minimum aan eigen vermogen overeenkomstig de in artikel 9 van Richtlijn (EU) 2015/2366 (PSD2) bedoelde methode(n) als bepaald door de bevoegde autoriteit, tenzij de aanvrager alleen voornemens is BID aan te bieden, waaronder:
• i. een jaarlijkse projectie van de specificatie van het eigen vermogen over een periode van drie jaar volgens de gebruikte methode;
• ii. een jaarlijkse projectie van het eigen vermogen over een periode van drie jaar volgens de andere methoden.

Richtsnoer 5: Organisatiestructuur

5.1. De aanvrager verstrekt een beschrijving van de organisatiestructuur van zijn onderneming. Deze omvat:

• a) een gedetailleerd organisatieschema met daarin elk bedrijfsonderdeel, elke afdeling of

verantwoordelijke persoon/personen, met name de personen die verantwoordelijk zijn voor de interne controle; het schema gaat vergezeld van beschrijvingen van de taken en verantwoordelijkheden van elk bedrijfsonderdeel, elke afdeling of soortgelijke structurele onderverdeling;

• b) een prognose van het totale aantal medewerkers gedurende de komende drie jaar;
• c) een beschrijving van relevante operationele uitbestedingsregelingen bestaande uit:
• i. de identiteit en geografische locatie van de uitbestedende aanbieder;
• ii. de identiteit van de personen binnen de betaalinstelling die verantwoordelijk zijn voor elk van de uitbestede werkzaamheden;
• iii. een duidelijke beschrijving van de uitbestede werkzaamheden en de belangrijkste kenmerken daarvan;
• d) een kopie van concept-uitbestedingsovereenkomsten;
• e) waar van toepassing, een beschrijving van het gebruik van bijkantoren en agenten, met:
• i. een categorisering van de controles van bijkantoren en agenten die de aanvrager voornemens is, ter plaatse en op afstand, ten minste jaarlijks te verrichten, en de frequentie hiervan;
• ii. de IT-systemen, processen en infrastructuur die de agenten van de aanvrager gebruiken om namens hem werkzaamheden uit te voeren;
• iii. in het geval van agenten, het selectiebeleid, de monitoringprocedures en de training van agenten, evenals, waar beschikbaar, de conceptvoorwaarden voor hun aanstelling;
• iv. indien van toepassing, informatie over het nationale en/of internationale betalingssysteem waarvan de aanvrager gebruik zal maken;
• f) een lijst van alle natuurlijke of rechtspersonen die nauwe banden hebben met de aanvrager, met vermelding van hun identiteit en de aard van die banden.

Richtsnoer 6: Bewijs van aanvangskapitaal

6.1 Als bewijs van het aanvangskapitaal (van 125 000 EUR voor diensten 1 tot en met 5 van bijlage I bij PSD2; 20 000 EUR voor dienst 6 en 50 000 EUR voor dienst 7) dat de aanvrager moet verstrekken, dient de aanvrager de volgende documenten in:

• a) voor bestaande ondernemingen een door een accountant gecontroleerd rekeningoverzicht of uittreksel uit een openbaar register waarin het kapitaal van de aanvrager wordt vermeld;
• b) voor ondernemingen die nog in oprichting zijn, een verklaring van een bank dat de geldmiddelen op de bankrekening van de aanvrager zijn gedeponeerd.

Richtsnoer 7: Maatregelen om de geldmiddelen van betalingsdienstgebruikers te beschermen (alleen toepasselijk op betalingsdiensten 1 tot en met 6)

7.1. Wanneer de aanvrager de geldmiddelen van de gebruikers van de betalingsdienst beschermt door middelen te storten op een afzonderlijke rekening bij een kredietinstelling of via een belegging in veilige, liquide activa met een lage risicograad, omvat de beschrijving van de beschermende maatregelen het volgende:

• a) waar van toepassing, een beschrijving van het beleggingsbeleid om te waarborgen dat de gekozen activa liquide en veilig zijn en een lage risicograad hebben;
• b) het aantal personen dat toegang heeft tot de afgeschermde rekening en de functies van deze personen;
• c) een beschrijving van het administratie- en afstemmingsproces waarmee wordt gewaarborgd dat geldmiddelen van gebruikers van de betalingsdienst in het belang van de betalingsdienstgebruikers zijn gevrijwaard tegen de vorderingen van andere schuldeisers van de betaalinstelling, in het bijzonder in het geval van insolventie;
• d) een kopie van de conceptovereenkomst met de kredietinstelling;
• e) een expliciete verklaring van de betaalinstelling dat is voldaan aan artikel 10 van PSD2. 7.2. Wanneer de aanvrager de geldmiddelen van de gebruiker van de betalingsdienst beschermt via een verzekeringspolis of een vergelijkbare waarborg van een verzekeringsmaatschappij of een kredietinstelling, omvat de beschrijving van de beschermingsmaatregelen het volgende:
• a) een bevestiging dat de verzekeringspolis of vergelijkbare waarborg van een verzekeringsmaatschappij of een kredietinstelling afkomstig is van een entiteit die niet tot dezelfde groep bedrijven behoort als de aanvrager;

waarborgen dat de verzekeringspolis of vergelijkbare waarborg voldoende is om te allen tijde te voldoen aan de beschermingsverplichtingen van de aanvrager;

• c) duur van de dekking en verlenging;
• d) een kopie van de (concept)verzekeringsovereenkomst of de (concept) vergelijkbare garantie.

Richtsnoer 8: Regelingen op het gebied van governance en mechanismen voor interne controle

8.1. De aanvrager verstrekt een beschrijving van de regelingen op het gebied van governance en de mechanismen voor interne controle. Deze omvat:

• a) een overzicht van de door de aanvrager vastgestelde risico's, met de soorten risico's en de procedures die de aanvrager zal invoeren om deze te beoordelen en te voorkomen;
• b) de verschillende procedures voor de uitvoering van periodieke en permanente controles, met de frequentie en het hieraan toegewezen personeel;
• c) de boekhoudprocedures volgens welke de aanvrager zijn financiële informatie zal vastleggen en rapporteren;
• d) de identiteit van de persoon of personen die verantwoordelijk is/zijn voor de interne controle, omvattende de periodieke, permanente en nalevingscontrole, evenals een actueel curriculum vitae;
• e) de identiteit van een eventuele auditor die geen wettelijke auditor uit hoofde van Richtlijn 2006/43/EG is;
• f) de samenstelling van het leidinggevend orgaan en, indien van toepassing, van enig ander toezichthoudend orgaan of comité;
• g) een beschrijving van de manier waarop uitbestede functies worden gemonitord en gecontroleerd, zodat vermindering van de kwaliteit van de interne controles van de betaalinstelling wordt voorkomen;
• h) een beschrijving van de manier waarop eventuele agenten en bijkantoren worden

aanvrager;

• i) wanneer de aanvrager een dochteronderneming is van een gereglementeerde entiteit in een andere EU-lidstaat, een beschrijving van de governance van de groep.

Richtsnoer 9: Procedure voor het monitoren en afhandelen van veiligheidsincidenten en veiligheidsgerelateerde klachten van cliënten en de follow-up daarvan

9.1. De aanvrager verstrekt een beschrijving van de procedure voor het monitoren en afhandelen van veiligheidsincidenten en veiligheidsgerelateerde klachten van cliënten en de follow-up daarvan. Deze omvat:

• a) organisatorische maatregelen en instrumenten ter voorkoming van fraude;
• b) gegevens van de perso(o)n(en) en organen die verantwoordelijk zijn voor het bijstaan van cliënten in gevallen van fraude, technische problemen en/of klachtenbeheer;
• c) rapportagelijnen bij fraudegevallen;
• d) het aanspreekpunt voor cliënten, waaronder een naam en een e-mailadres;
• e) de procedures voor het melden van incidenten, met inbegrip van het doorgeven van deze meldingen aan interne of externe organen, waaronder kennisgeving van grote incidenten aan nationale bevoegde autoriteiten overeenkomstig artikel 96 van PSD2 en in lijn met de EBA-richtsnoeren voor de melding van incidenten uit hoofde van het genoemde artikel.
• f) de gebruikte monitoringinstrumenten en de aanwezige follow-upmaatregelen en -procedures om veiligheidsrisico's te verminderen.

Richtsnoer 10: Proces voor het opslaan, monitoren, traceren en beperken van de toegang tot gevoelige betalingsgegevens

10.1. De aanvrager verstrekt een beschrijving van het aanwezige proces voor het opslaan, monitoren, traceren en beperken van de toegang tot gevoelige betalingsgegevens. Deze bestaat uit:

• a) een beschrijving van de gegevensstromen die in de context van het bedrijfsmodel van de betaalinstelling als gevoelige betalingsgegevens worden geclassificeerd;
• b) de aanwezige procedures voor het verlenen van machtiging voor toegang tot gevoelige betalingsgegevens;
• c) een beschrijving van het monitoringinstrument;
• d) het toegangsrechtenbeleid, met gedetailleerde informatie over de toegang tot alle relevante infrastructuurcomponenten en -systemen, met inbegrip van databases en back-upinfrastructuren;
• e) tenzij de aanvrager alleen voornemens is BID aan te bieden, een beschrijving van hoe de verzamelde gegevens worden opgeslagen;
• f) tenzij de aanvrager alleen voornemens is BID aan te bieden, het verwachte interne en/of externe gebruik van de verzamelde gegevens, met inbegrip van tegenpartijen;
• g) het IT-systeem en de technische veiligheidsmaatregelen die zijn geïmplementeerd, met inbegrip van encryptie en/of het gebruik van tokens;

betalingsgegevens;

• i) een uitleg over de manier waarop overtredingen worden opgespoord en aangepakt;
• j) een programma voor jaarlijkse interne controle van de veiligheid van de IT-systemen.

Richtsnoer 11: Bedrijfscontinuïteitsregelingen

11.1. De aanvrager verstrekt een beschrijving van de bedrijfscontinuïteitsregelingen, die uit de volgende gegevens bestaat:

• a) een bedrijfsimpactanalyse, met de bedrijfsprocessen en de doelstellingen voor het herstel, zoals 'recovery time objectives' en 'recovery point objectives' en beschermde activa;

continuïteitsincidenten en -verstoringen, zoals het falen van essentiële systemen, het verlies van essentiële gegevens, ontoegankelijkheid van panden en het wegvallen van essentiële personen;

• d) de frequentie waarmee de aanvrager voornemens is de plannen voor bedrijfscontinuïteit en herstel na rampen te testen, en hoe de uitkomsten van de tests worden vastgelegd;
• e) een beschrijving van de door de aanvrager te nemen risicobeperkende maatregelen in gevallen van de beëindiging van zijn betalingsdiensten, zodat de uitvoering van lopende transacties is gewaarborgd en bestaande contracten worden beëindigd.

Richtsnoer 12: De beginselen en definities voor het verzamelen van statistische gegevens over prestaties, transacties en fraude

12.1. De aanvrager verstrekt een beschrijving van de beginselen en definities voor het verzamelen van de statistische gegevens over prestaties, transacties en fraude. Deze bestaat uit de volgende gegevens:

• a) het type gegevens dat wordt verzameld, in termen van klanten, type betalingsdienst, kanaal, instrument, rechtsgebieden en valuta's;
• b) de omvang van de verzameling, in termen van de betrokken activiteiten en entiteiten, met inbegrip van bijkantoren en agenten;
• c) de wijze van verzameling;
• d) het doel van de verzameling;
• e) de frequentie van de verzameling;
• f) ondersteunende documenten, zoals een handleiding, die beschrijven hoe het systeem werkt.

Richtsnoer 13: Beveiligingsbeleidsdocument

13.1. De aanvrager verstrekt een beveiligingsbeleidsdocument met daarin de volgende gegevens:

• a) een gedetailleerde risicobeoordeling van de betalingsdienst(en) die de aanvrager voornemens is aan te bieden. Hierin zijn ook opgenomen risico's van fraude en de veiligheidscontrole en risicobeperkende maatregelen die zijn genomen om gebruikers van betalingsdiensten naar behoren te beschermen tegen de vastgestelde risico's;
• b) een beschrijving van de IT-systemen met:
• i. de architectuur van de systemen en hun netwerkelementen;
• ii. de zakelijke IT-systemen die de aangeboden bedrijfsactiviteiten ondersteunen, zoals de website, de portefeuilles, het betaalmechanisme, het risico- en fraudebeheersmechanisme, en klantenadministratie van de aanvrager;
• iii. de ondersteunende IT-systemen die worden gebruikt voor de organisatie en administratie van de aanvrager, zoals boekhouding, systemen voor wettelijke verslaglegging, personeelsbeheer, klantrelatiebeheer, e-mailservers en interne bestandsservers;
• iv. informatie over de vraag of deze systemen al worden gebruikt door de aanvrager of zijn groep, en, indien van toepassing, de geraamde invoeringsdatum;
• c) het soort geautoriseerde verbindingen van buiten, zoals met partners, dienstenaanbieders, entiteiten van de groep en werknemers die op afstand werken, evenals de redenen voor die verbindingen;
• d) voor elk van de onder c) genoemde verbindingen: de aanwezige logische veiligheidsmaatregelen en -mechanismen, waarbij wordt aangegeven welke controle de aanvrager over die toegang zal hebben, evenals de aard en de frequentie van elke controle, zoals technisch versus organisatorisch, preventief versus op opsporing gericht, en realtime monitoring versus regelmatige toetsingen, zoals het gebruik van een active directory gescheiden van de groep, het openen/sluiten van communicatielijnen, configuratie van beveiligingsuitrusting, het genereren van sleutels of cliëntauthenticatiecertificaten, systeemmonitoring, authenticatie, vertrouwelijkheid van communicatie, detectie van inbraken, antivirussystemen en logboeken;
• e) de logische beveiligingsmaatregelen en -mechanismen voor de interne toegang tot IT-systemen. Dit omvat:
• i. de technische en organisatorische aard en frequentie van elke maatregel, bijvoorbeeld of de maatregel preventief is of gericht op opsporing en of deze al of niet in realtime wordt uitgevoerd;
• ii. de omgang met de scheiding van klantomgevingen in gevallen waarin de IT-resources van de aanvrager worden gedeeld;
• f) de fysieke veiligheidsmaatregelen en -mechanismen van het pand en het datacentrum van de aanvrager, zoals toegangscontroles en milieubeveiliging;
• g) de beveiliging van de betalingsprocessen, waaronder:
• i. de cliëntauthenticatieprocedure voor zowel raadpleging als transacties en voor alle onderliggende betalingsinstrumenten;
• ii. een uitleg over hoe de veilige levering aan de legitieme gebruiker van de betalingsdienst en de integriteit van authenticatie-elementen, zoals fysieke tokens en mobiele apps, zijn gewaarborgd, zowel ten tijde van de eerste registratie als bij verlenging;
• iii. een beschrijving van de systemen en procedures waarover de aanvrager beschikt

transacties;

• h) een gedetailleerde risicobeoordeling met betrekking tot zijn betalingsdiensten, met inbegrip van fraude, met een koppeling naar de controle- en risicobeperkingsmaatregelen die in het aanvraagdossier worden uitgelegd, waaruit blijkt dat de risico's worden aangepakt;
• i) een lijst van de belangrijkste schriftelijke procedures voor de IT-systemen van de aanvrager of, voor procedures die nog niet zijn geformaliseerd, een schatting van de datum waarop ze gereed zullen zijn.

Richtsnoer 14: Mechanismen van interne controle om te voldoen aan de verplichtingen in verband met het witwassen van geld en terrorismefinanciering (AML/CFT-verplichtingen)

14.1. De beschrijving van de mechanismen van interne controle die de aanvrager tot stand heeft gebracht om, waar toepasselijk, aan die verplichtingen te voldoen, omvat de volgende gegevens:

• a) de beoordeling door de aanvrager van de aan zijn activiteit verbonden risico's van witwassen van geld en terrorismefinanciering, met inbegrip van de risico's die samenhangen met het cliëntenbestand van de aanvrager, de geleverde producten en diensten, de gebruikte distributiekanalen en de geografische werkgebieden;
• b) de maatregelen die de aanvrager heeft genomen of zal nemen om de risico's te beperken en te voldoen aan toepasselijke verplichtingen ter bestrijding van het witwassen van geld en terrorismefinanciering, met inbegrip van het risicobeoordelingsproces van de aanvrager, het beleid en de procedures om te voldoen aan due diligence-vereisten van cliënten, en de beleidsmaatregelen en -procedures om verdachte transacties of activiteiten te signaleren en te melden;
• c) de systemen en controles die de aanvrager heeft of die hij zal invoeren om te waarborgen dat zijn bijkantoren en agenten voldoen aan toepasselijke vereisten ten aanzien van de bestrijding van het witwassen van geld en terrorismefinanciering, ook in gevallen waarin de agent of het bijkantoor in een andere lidstaat is gevestigd;
• d) regelingen die de aanvrager heeft getroffen of zal treffen om te waarborgen dat personeel en agenten naar behoren zijn opgeleid in de bestrijding van het witwassen van geld en terrorismefinanciering;
• e) de identiteit van de persoon die ervoor verantwoordelijk is te waarborgen dat de aanvrager voldoet aan de verplichtingen op het gebied van de bestrijding van het witwassen van geld en terrorismebestrijding, en bewijs dat de deskundigheid van de aanvrager inzake de bestrijding van het witwassen van geld en terrorismebestrijding voldoende is om hem in staat te stellen deze rol doeltreffend te vervullen;
• f) de systemen en controles die de aanvrager heeft ingevoerd of zal invoeren om te waarborgen dat zijn beleid en procedures voor de bestrijding van het witwassen van geld en terrorismefinanciering actueel, doeltreffend en relevant blijven;
• g) de systemen en controles die de aanvrager heeft ingevoerd of zal invoeren om te waarborgen dat de agenten de aanvrager niet blootstellen aan een groter risico op het gebied van het witwassen van geld en terrorismefinanciering;
• h) de voor het personeel van de aanvrager bestemde handleiding voor de bestrijding van het witwassen van geld en terrorisme.

Richtsnoer 15: Identiteit en beoordeling van de geschiktheid van personen met gekwalificeerde deelnemingen in de aanvrager

15.1 Ten behoeve van de identiteit en het bewijs van de geschiktheid van personen met gekwalificeerde deelnemingen in de aanvragende betaalinstelling verstrekt de aanvrager, onverminderd de beoordeling overeenkomstig de criteria, voor zover relevant, die zijn geïntroduceerd met Richtlijn 2007/44/EG en zijn gespecificeerd in de Gemeenschappelijke richtsnoeren inzake de prudentiële beoordeling van verwervingen en vergrotingen van

informatie:

• a) een beschrijving van de groep waartoe de aanvrager behoort, en, waar van toepassing, een vermelding van de moederonderneming;
• b) een schema van de aandeelhoudersstructuur van de aanvrager, waaronder:
• i) de naam en het percentage van de deelneming (kapitaal/stemrecht) van elke persoon die een directe deelneming heeft of krijgt in het aandelenkapitaal van de aanvrager, waarbij wordt aangegeven wie worden beschouwd als gekwalificeerde aandeelhouders en om welke reden;
• ii) de naam en het percentage van de deelneming (kapitaal/stemrechten) van elke persoon die een indirecte deelneming heeft of krijgt in het aandelenkapitaal van de aanvrager, waarbij wordt aangegeven wie worden beschouwd als indirecte gekwalificeerde aandeelhouders en om welke reden;
• c) een lijst met de namen van alle personen en andere entiteiten die een gekwalificeerde deelneming in het kapitaal van de aanvrager hebben of, in het geval van een vergunning, krijgen, waarbij voor elk van die personen of entiteiten wordt vermeld:
• i. het aantal en soort aandelen of andere deelnemingen waarop is of wordt ingeschreven;
• ii. de nominale waarde van die aandelen of andere deelnemingen.

15.2 Wanneer een persoon die een gekwalificeerde deelneming heeft of, in het geval van een vergunning, krijgt in het kapitaal van de aanvrager, een natuurlijke persoon is, wordt in de aanvraag de volgende informatie verstrekt over de identiteit en geschiktheid van die persoon:

• a) naam en naam bij geboorte, geboorteplaats en -datum, staatsburgerschap (huidig en

kopie van een officieel identiteitsdocument;

• b) een gedetailleerd curriculum vitae met vermelding van onderwijs en opleiding, beroepservaring en de beroepsmatige activiteiten of andere functies die op dat moment worden uitgevoerd of bekleed.
• c) een met documenten ondersteunde verklaring omtrent de volgende gegevens met betrekking tot de persoon:

openbaarmaking van geschrapte veroordelingen, eventuele strafrechtelijke veroordelingen of procedures waarin de persoon in het ongelijk is gesteld en die niet zijn vernietigd;

• ii. eventuele civielrechtelijke of administratieve besluiten in zaken die relevant zijn voor het beoordelings- of autorisatieproces waarbij de persoon in het ongelijk is gesteld en eventuele administratieve sancties of maatregelen die zijn opgelegd als gevolg van een overtreding van wetten of voorschriften (waaronder onbekwaamverklaring als bestuurder van een onderneming) voor zover dit gevallen betreft die niet zijn vernietigd en waartegen geen beroep loopt of kan worden ingesteld;
• iii. eventuele faillissements-, insolventie- of soortgelijke procedures;
• iv. eventuele lopende strafrechtelijke onderzoeken;
• v. eventuele civielrechtelijke of administratieve onderzoeken, handhavingsprocedures, sancties of andere handhavingsbesluiten tegen de persoon over zaken die als relevant kunnen worden beschouwd voor de vergunning om met de activiteit van een betaalinstelling te beginnen of voor een goed en prudent beheer van een betaalinstelling;
• vi. wanneer deze kunnen worden verkregen, een officieel certificaat of ander gelijkwaardig document waaruit blijkt of een van de onder i tot en met v genoemde gebeurtenissen al of niet is voorgekomen met betrekking tot de persoon in kwestie;
• vii. eventuele weigeringen van registratie, vergunning, lidmaatschap of licentie om een vak, bedrijf of beroep uit te oefenen;
• viii. eventuele intrekkingen, herroepingen of beëindigingen van een registratie, vergunning, lidmaatschap of licentie om een vak, bedrijf of beroep uit te oefenen;
• ix. een eventuele uitsluiting door een autoriteit of overheidsentiteit in de sector financiële dienstverlening of door een beroepsorganisatie of -vereniging;
• x. een eventuele verantwoordelijke functie bij een entiteit die voorwerp is van een strafrechtelijke veroordeling of procedure, administratief onderzoek, sancties of andere handhavingsbesluiten voor ongeoorloofd gedrag, waaronder met betrekking tot fraude, oneerlijkheid, corruptie, witwassen van geld, terrorismefinanciering of andere financiële misdrijven of het nalaten van de invoering van adequaat beleid en procedures om dergelijke gebeurtenissen te voorkomen, tijdens de periode waarin het vermeende gedrag zich heeft voorgedaan, met details over deze gebeurtenissen en de eventuele betrokkenheid van de persoon in kwestie;
• xi. een eventueel ontslag uit een dienstbetrekking of vertrouwensfunctie, een eventuele verwijdering uit een vertrouwensrelatie (anders dan als gevolg van de beëindiging van de relevante relatie door het verstrijken van de tijd) en vergelijkbare situaties;
• d) een lijst van ondernemingen die de persoon leidt of waarover hij zeggenschap heeft en

percentage van de directe of indirecte zeggenschap over deze ondernemingen, hun status (of ze al of niet actief, opgeheven, enz. zijn), en een beschrijving van insolventie- of soortgelijke procedures;

• e) wanneer de reputatie van de persoon al door een bevoegde autoriteit in de sector financiële dienstverlening is beoordeeld, de identiteit van die autoriteit en de uitkomst van de beoordeling;
• f) de huidige financiële positie van de persoon, met bijzonderheden over de bronnen van inkomsten, activa en passiva, en verleende of ontvangen zekerheidsrechten en garanties;
• g) een beschrijving van eventuele banden met politiek prominente personen, als gedefinieerd in artikel 3, punt 9, van Richtlijn (EU) 2015/849² .

15.3 Wanneer een persoon of entiteit die een gekwalificeerde deelneming heeft of, in het geval van een vergunning, krijgt, in het kapitaal van de aanvrager (met inbegrip van entiteiten die geen rechtspersoon zijn en die de participatie op hun eigen naam houden of dienen te houden), bevat de aanvraag de volgende informatie over de identiteit en geschiktheid van die rechtspersoon of entiteit:

• a) naam;
• b) wanneer de rechtspersoon of entiteit geregistreerd staat in een centraal register, handelsregister, bedrijvenregister of soortgelijk register met dezelfde doelen als die welke hiervoor zijn genoemd, indien mogelijk, een kopie van het bewijs van registratie of anders een inschrijvingscertificaat;
• c) de adressen van de statutaire zetel en, indien dit verschilt, van het hoofdkantoor van de entiteit, evenals de belangrijkste bedrijfszetel;
• d) contactgegevens;
• e) bedrijfsdocumenten of, wanneer de persoon of entiteit is geregistreerd in een andere lidstaat, een samenvatting waarin de belangrijkste juridische kenmerken van de rechtsvorm of de entiteit worden uiteengezet;
• f) of de rechtspersoon of entiteit ooit gereglementeerd is door een bevoegde autoriteit in de sector financiële dienstverlening of door een ander overheidsorgaan, of dat op dit moment is;
• g) wanneer deze kunnen worden verkregen, een officieel certificaat of een ander gelijkwaardig document als bewijs van de onder a) tot en met e) genoemde gegevens, verstrekt door de relevante bevoegde autoriteit;
• h) de in richtsnoer 15, punt 2, onder c), d), e), f) en g), genoemde informatie met betrekking tot de rechtspersoon of entiteit;
• i) een lijst met gegevens van elke persoon die daadwerkelijk leiding geeft aan de activiteiten van de rechtspersoon of entiteit, met hun naam, geboorteplaats en -datum, adres, nationaal identificatienummer, wanneer beschikbaar, en een gedetailleerd curriculum vitae (met vermelding van relevant onderwijs en opleiding, voorgaande beroepservaring, eventuele op dat moment verrichte beroepsactiviteiten of andere relevante functies), samen met de in richtsnoer 15, punt 2, onder c) en d), vermelde gegevens met betrekking tot elk van die personen;
• j) de aandeelhoudersstructuur van de rechtspersoon met ten minste de naam, geboorteplaats en -datum, het adres en, indien beschikbaar, het persoonlijke identificatienummer of registratienummer en het respectieve aandeel in het kapitaal en de stemrechten van directe of indirecte aandeelhouders of leden en uiteindelijke begunstigden, als gedefinieerd in artikel 3, punt 6, van Richtlijn (EU) 2015/849;
• k) een beschrijving van de onder toezicht staande financiële groep waarvan de aanvrager onderdeel is of kan worden, met vermelding van de moederonderneming en de krediet-, verzekerings- en effectenentiteiten binnen de groep; de naam van de bevoegde autoriteiten (op individuele of geconsolideerde basis); en
• l) jaarrekeningen op individueel en, waar van toepassing, geconsolideerd en gesubconsolideerd niveau van de groep, over de laatste drie boekjaren, wanneer de rechtspersoon of entiteit gedurende die periode in bedrijf is geweest (of, indien minder dan drie jaar, over de periode gedurende welke de rechtspersoon of entiteit in bedrijf is geweest en waarover jaarrekeningen zijn opgesteld), goedgekeurd door de wettelijke auditor of het auditkantoor in de zin van Richtlijn 2006/43/EG³ , wanneer toepasselijk, met inbegrip van elk van de volgende elementen:
• i. de balans;
• ii. de winst-en-verliesrekening of resultaatrekening;
• iii. de jaarverslagen en financiële bijlagen en andere stukken die bij het register of de bevoegde autoriteit van de rechtspersoon zijn gedeponeerd;
• m) wanneer de rechtspersoon nog niet lang genoeg in bedrijf is om jaarrekeningen te hoeven opstellen over de drie boekjaren onmiddellijk voorafgaand aan de aanvraagdatum, worden in de aanvraag de bestaande jaarrekeningen (voor zover aanwezig) verstrekt;
• n) wanneer de rechtspersoon of entiteit zijn hoofdkantoor in een derde land heeft, algemene informatie over de regelgeving in dat derde land, voor zover toepasselijk op de rechtspersoon of entiteit, met inbegrip van informatie over de mate waarin het stelsel voor de bestrijding van het witwassen van geld en terrorismefinanciering in dat derde land in overeenstemming is met de aanbevelingen van de Financial ActionsTask Force;
• o) voor entiteiten die geen rechtspersoon zijn, zoals een collectieve beleggingsonderneming, een staatsfonds of een trust, wordt in de aanvraag de volgende informatie verstrekt:
• i. de identiteit van de personen die activa beheren en de personen die begunstigden of inschrijvers zijn;
• ii. een kopie van het oprichtingsdocument en de statuten van de entiteit, met inbegrip van het beleggingsbeleid en eventuele voor de entiteit geldende beperkingen op beleggingen.

15.4. De aanvraag omvat de volgende gegevens voor elke natuurlijke of rechtspersoon of entiteit die een gekwalificeerde deelneming heeft of, in het geval van een vergunning, krijgt in het kapitaal van de aanvrager:

• a) gegevens over de financiële of zakelijke redenen van de betrokken persoon of entiteit voor het bezitten van die deelneming en de strategie van de persoon of entiteit ten aanzien van de deelneming, waaronder de periode gedurende welke de persoon of entiteit voornemens is de deelneming aan te houden en een eventueel voornemen het niveau van de deelneming in de nabije toekomst te verhogen, te verlagen of gelijk te houden;
• b) gegevens over de intenties van de persoon of entiteit ten aanzien van de aanvrager en de invloed die de persoon of entiteit van plan is uit te oefenen over de aanvrager, ook met betrekking tot het dividendbeleid, de strategische ontwikkeling en de toewijzing van middelen van de aanvrager, of de persoon of entiteit wel of niet voornemens is op te treden als een actieve minderheidsaandeelhouder, en de redenen voor dat voornemen;
• c) informatie over de bereidheid van de persoon of entiteit de aanvrager te ondersteunen met extra eigen middelen als dat nodig is voor de uitbreiding van diens activiteiten of in het geval van financiële problemen;
• d) de inhoud van eventuele beoogde overeenkomsten van de aandeelhouder of het lid met andere aandeelhouders of leden met betrekking tot de aanvrager;
• e) een analyse van de vraag of de gekwalificeerde deelneming op enige wijze, ook als gevolg van nauwe banden van de persoon met de aanvrager, van invloed is op het vermogen van de aanvrager om tijdige en juiste informatie te verstrekken aan de bevoegde autoriteiten;
• f) de identiteit van elk lid van het leidinggevend orgaan of het management dat de activiteiten van de aanvrager zal leiden en is benoemd of voorgedragen door die aandeelhouders of leden, samen met, voor zover niet al eerder verstrekt, de in richtsnoer 16 genoemde gegevens.

15.5. De aanvraag bevat een gedetailleerde uitleg over de specifieke financieringsbronnen voor de deelneming van elke persoon of entiteit met een gekwalificeerde deelneming in het kapitaal van de aanvrager. Deze omvat:

• a) gegevens over het gebruik van particuliere financiële middelen en de beschikbaarheid daarvan (om te zorgen dat de bevoegde autoriteit ervan overtuigd is dat de activiteit waarmee de middelen zijn gegenereerd, legitiem is) en de bron;
• b) bijzonderheden van de toegang tot financiële markten, met bijzonderheden van de uit te geven financiële instrumenten;
• c) informatie over het gebruik van geleende middelen, waaronder de naam van de leners en bijzonderheden over de verleende faciliteiten, zoals vervaldata, voorwaarden, zekerheidsrechten en garanties, evenals informatie over de inkomstenbron die zal worden gebruikt om dergelijke leningen terug te betalen; wanneer de lener geen kredietinstelling of financiële instelling met een vergunning voor het verlenen van krediet is, verstrekt de aanvrager de bevoegde autoriteiten informatie over de herkomst van de geleende middelen;
• d) informatie over eventuele financiële regelingen met andere personen die aandeelhouder of lid van de aanvrager zijn.

Richtsnoer 16: Identiteit en geschiktheidsbeoordeling van bestuurders en personen die verantwoordelijk zijn voor het beheer van de betaalinstelling

verantwoordelijk zijn voor het beheer van de betaalinstelling, verstrekt de aanvrager de volgende informatie:

• a) persoonsgegevens:
• i. hun volledige naam, geslacht, geboorteplaats en -datum, adres en nationaliteit, en hun persoonlijke identificatienummer of een kopie van hun ID-kaart of gelijkwaardig document;
• ii. gegevens over de functie waarvoor de beoordeling wordt gevraagd, of de functie in het leidinggevend orgaan uitvoerend of niet-uitvoerend is. Hiertoe behoren onder andere de volgende gegevens:

• b) waar toepasselijk, informatie over de geschiktheidsbeoordeling die door de aanvrager is uitgevoerd; deze omvat bijzonderheden over de uitkomst van een eventuele beoordeling van de geschiktheid van de persoon die door de instelling is uitgevoerd, zoals relevante notulen van bestuursvergaderingen, verslagen van geschiktheidsbeoordelingen of andere documenten;
• c) bewijs van kennis, vaardigheden en ervaring, waaronder een curriculum vitae met bijzonderheden over onderwijs en beroepservaring, waaronder academische kwalificaties, andere relevante opleidingen, de naam en de aard van alle organisaties waarvoor de persoon werkt of heeft gewerkt, en de aard en duur van de vervulde functies, waarbij in het bijzonder aandacht wordt besteed aan eventuele activiteiten binnen de reikwijdte van de beoogde functie;
• d) bewijs van de goede reputatie, eerlijkheid en integriteit:
• i. strafregisters en relevante informatie over strafrechtelijke onderzoeken en procedures, relevante civielrechtelijke en administratieve zaken en disciplinaire acties, waaronder onbekwaamverklaring als bestuurder van een onderneming, faillissements-, insolventie- en soortgelijke procedures, in het bijzonder in de vorm van een officieel certificaat of een objectief betrouwbare informatiebron betreffende het niet bestaan van een strafrechtelijke veroordeling, onderzoek of procedure, zoals onderzoeken door derden en door een in de Europese Unie gevestigde advocaat of notaris opgestelde getuigenverklaringen;
• ii. een verklaring dat de betreffende persoon of een organisatie waarover hij de leiding heeft, al dan niet voorwerp is van een lopende strafrechtelijke procedure of als schuldenaar betrokken is geweest bij een insolventie- of vergelijkbare procedure.
• iii. Informatie over het volgende:

Richtsnoer 17: Identiteit van de wettelijke auditors en auditkantoren

De door de aanvrager te verstrekken identiteit van wettelijke auditors en auditkantoren als gedefinieerd in Richtlijn 2006/43/EG, bevatten, waar relevant, hun namen, adressen en contactgegevens. Richtsnoer 18: Beroepsaansprakelijkheidsverzekering of een vergelijkbare waarborg voor betalingsinitiatiediensten en rekeninginformatiediensten

Als bewijs van een beroepsaansprakelijkheidsverzekering of een vergelijkbare waarborg die in overeenstemming is met de EBA-richtsnoeren betreffende de criteria voor de vaststelling van het minimumgeldbedrag van de beroepsaansprakelijkheidsverzekering of andere vergelijkbare waarborg (EBA/GL/2017/08) en artikel 5, leden 2 en 3, van PSD2, verstrekt de aanvrager voor de levering van betalingsinitiatiediensten (BID) of rekeninginformatiediensten (RID) de volgende gegevens:

• a) een verzekeringscontract of ander gelijkwaardig document dat het bestaan van een beroepsaansprakelijkheidsverzekering of een vergelijkbare waarborg bevestigt, met een dekkingsbedrag dat in overeenstemming is met de genoemde EBA-richtsnoeren, waaruit de dekking van de relevante aansprakelijkheden blijkt;
• b) documentatie van de wijze waarop de aanvrager het minimumbedrag heeft berekend op een manier die in overeenstemming is met de genoemde EBA-richtsnoeren, met inbegrip van een specificatie van alle toepasselijke onderdelen van de formule.

² Richtlijn (EU) 2015/849 van het Europees Parlement en de Raad van 20 mei 2015 inzake de voorkoming van het gebruik van het financiële stelsel voor het witwassen van geld of terrorismefinanciering (PB L 141 van 5.6.2015, blz. 73).

³ Richtlijn 2006/43/EG van het Europees Parlement en de Raad van 17 mei 2006 betreffende de wettelijke controles van jaarrekeningen en geconsolideerde jaarrekeningen, tot wijziging van de Richtlijnen 78/660/EEG en 83/349/EEG van de Raad en houdende intrekking van Richtlijn 84/253/EEG van de Raad (PB L 157 van 9.6.2006, blz. 87-107).

Richtsnoer 1: Algemene beginselen

1.1 Deze reeks richtsnoeren geldt voor aanvragers van registratie als aanbieder van rekeninginformatiediensten (ARID). Dit betreft aanvragers die voornemens zijn uitsluitend rekeninginformatiediensten (RID) aan te bieden. Wanneer de aanvrager voornemens is naast de RID ook aanvullende diensten aan te bieden, dient hij een vergunning aan te vragen en de richtsnoeren van paragraaf 4.1 voor betaalinstellingen (BI's) aan te houden.

1.2 De door aanvragers verstrekte gegevens dienen waar, volledig, nauwkeurig en actueel te zijn. Alle aanvragers voldoen aan alle bepalingen in de reeks richtsnoeren die op hen van toepassing zijn. Het vereiste detailniveau om aan de eisen te voldoen, dient in verhouding te zijn met de omvang en de interne organisatie van de aanvrager, en met de aard, de omvang, de complexiteit en het risiconiveau van de specifieke dienst(en) die de aanvrager voornemens is aan te bieden. In ieder geval staan de bestuurders en de personen die verantwoordelijk zijn voor het management van de betaalinstelling overeenkomstig Richtlijn (EU) 2015/2366, bekend als betrouwbaar en beschikken zij over de nodige kennis en ervaring om betalingsdiensten uit te voeren ongeacht de omvang van de instelling, haar interne organisatie en de aard, omvang en complexiteit van haar activiteiten en de taken en verantwoordelijkheden van de specifieke functie.

1.3 Bij de indiening van de vereiste gegevens vermijdt de aanvrager verwijzingen naar specifieke delen van interne procedures/documenten. In plaats daarvan neemt de aanvrager de desbetreffende delen over en verstrekt hij de tekst hiervan aan de bevoegde autoriteit (BA).

1.4 Indien een BA verduidelijking eist van de ingediende gegevens, verstrekt de aanvrager deze onmiddellijk. 1.5 Alle gegevens waarom uit hoofde van deze richtsnoeren voor registratie als aanbieder van rekeninginformatiediensten (ARID) wordt gevraagd, zijn nodig voor de beoordeling van de aanvraag en worden door de bevoegde autoriteit behandeld overeenkomstig de verplichtingen inzake beroepsgeheim die zijn vastgelegd in PSD2, onverminderd toepasselijk recht van de Unie en nationale vereisten en procedures inzake de uitoefening van het recht op toegang, correctie, schrapping of bezwaar.

Richtsnoer 2: Identificatiegegevens

2.1 Als de aanvrager een natuurlijke persoon is, bevatten de door de aanvrager te verstrekken identificatiegegevens het volgende:

• a) naam, adres, nationaliteit en geboortedatum en -plaats;
• b) een kopie van de identiteitskaart of gelijkwaardige identificatie;
• c) een actueel curriculum vitae;
• d) een controle van het strafregister die minder dan 3 maanden geleden is uitgevoerd;
• e) de na(a)m(en) van de perso(o)n(en) die verantwoordelijk is/zijn voor de afhandeling van het aanvraagdossier en de vergunningsprocedure, met contactgegevens.

2.2 Als de aanvrager een rechtspersoon is, bevatten de identificatiegegevens die de aanvrager dient te verstrekken, de volgende informatie:

• a) de bedrijfsnaam en - indien deze anders luidt - de handelsnaam van de aanvrager;
• b) een aanduiding of de aanvrager al is opgericht of nog in het proces van oprichting is;
• c) indien van toepassing, het nationale identificatienummer van de aanvrager;
• d) de rechtsvorm en de (concept)statuten en/of oprichtingsdocumenten van de aanvrager, waaruit diens rechtsvorm blijkt;
• e) het adres van het hoofdkantoor en de statutaire zetel van de aanvrager;
• f) het elektronische adres en het adres van de website van de aanvrager, indien beschikbaar.
• g) de naam van de perso(o)n(en) die verantwoordelijk zijn voor de afhandeling van het aanvraagdossier en de vergunningsprocedure, met hun contactgegevens;
• h) een aanduiding of de aanvrager ooit gereglementeerd is door een bevoegde autoriteit in de sector financiële dienstverlening, of dat op dit moment is;
• i) de geregistreerde oprichtingsakte of, indien toepasselijk, een verklaring van een handelsregister dat de naam die de onderneming heeft gekozen, beschikbaar is;
• j) bewijs van betaling van eventuele vergoedingen of voorschotten voor het indienen van een registratieaanvraag als aanbieder van rekeninginformatiediensten, wanneer toepasselijk op grond van het nationale recht.

Richtsnoer 3: Programma van werkzaamheden

3.1. Het door de aanvrager te verstrekken programma van werkzaamheden bevat de volgende gegevens:

• a) een beschrijving van de rekeninginformatiedienst die de aanvrager voornemens is te verstrekken, met een uitleg van de wijze waarop de aanvrager heeft vastgesteld dat de activiteit past binnen de definitie van rekeninginformatiediensten van artikel 4, punt 16, van Richtlijn (EU) 2015/2366 (PSD2);
• b) een verklaring van de aanvrager dat hij op geen enkel moment in bezit zal komen van geldmiddelen;
• c) een beschrijving van het aanbieden van rekeninginformatiediensten, waaronder:
• i. conceptcontracten tussen alle betrokken partijen, indien van toepassing;
• ii. voorwaarden voor de levering van rekeninginformatiediensten;
• iii. verwerkingstijden;
• d) het geschatte aantal verschillende locaties vanwaaruit de aanvrager voornemens is de diensten aan te bieden, indien van toepassing;
• e) indien van toepassing, een beschrijving van aanvullende diensten bij de rekeninginformatiedienst;
• f) een verklaring betreffende de vraag of de aanvrager na registratie voornemens is rekeninginformatiediensten aan te bieden in een andere lidstaat van de EU of een ander land;
• g) of de aanvrager voornemens is in de komende drie jaar andere zakelijke activiteiten aan te bieden dan rekeninginformatiediensten, als bedoeld in artikel 18 van Richtlijn 2015/2366, of deze al aanbiedt, met inbegrip van een beschrijving van het soort en de verwachte omvang van die activiteiten;
• h) indien de aanvrager voornemens is uitsluitend dienst 8 (RID) aan te bieden, de in de EBA-richtsnoeren betreffende de criteria voor de vaststelling van het minimumgeldbedrag van de beroepsaansprakelijkheidsverzekering of andere vergelijkbare waarborg uit hoofde van artikel 5, lid 4, van Richtlijn (EU) 2015/2366 (EBA/GL/2017/08) gespecificeerde informatie.

Richtsnoer 4: Bedrijfsplan

4.1. Het door de aanvrager te verstrekken bedrijfsplan bevat:

• a) een marketingplan bestaande uit:
• i. een analyse van de concurrentiepositie van de onderneming;
• ii. een beschrijving van gebruikers van rekeninginformatiediensten in het betrokken marktsegment van rekeninginformatie, marketingmaterialen en distributiekanalen;
• b) wanneer beschikbaar, gecertificeerde jaarrekeningen over de voorgaande drie jaar of, voor aanvragers die nog geen jaarrekeningen hebben opgesteld, een samenvatting van de financiële situatie;
• c) een budgetprognose voor de eerste drie boekjaren waarmee wordt aangetoond dat de aanvrager in staat is gebruik te maken van passende en evenredige systemen, middelen en procedures die hem in staat stellen op een gezonde basis te werken. Deze prognose omvat:
• i. een prognose van de winst-en-verliesrekening en de balans, met inbegrip van beoogde scenario's en stress-scenario's, evenals de daarvoor gehanteerde aannames, zoals aantal cliënten, tariefstelling, en verwachte verhoging van de rentabiliteitsdrempel;
• ii. toelichtingen op de belangrijkste inkomsten- en uitgavenposten, de financiële schulden en de vaste activa;
• iii. een diagram en gedetailleerde specificatie van de geraamde kasstromen voor de drie komende jaren.

Richtsnoer 5: Organisatiestructuur

5.1. Als de aanvrager een natuurlijke persoon is, bevat de beschrijving van de organisatiestructuur van de onderneming van de aanvrager de volgende gegevens:

• a) een prognose van het totale aantal medewerkers gedurende de komende drie jaar;
• b) een beschrijving van de relevante operationele uitbestedingsregelingen bestaande uit:
• i. de identiteit en geografische locatie van de uitbestedende aanbieder;
• ii. de identiteit van de personen binnen de ARID die verantwoordelijk zijn voor elk van de uitbestede werkzaamheden;
• iii. een gedetailleerde beschrijving van de uitbestede werkzaamheden en de belangrijkste kenmerken daarvan;
• c) een kopie van concept-uitbestedingsovereenkomsten;
• d) waar van toepassing, een beschrijving van het gebruik van bijkantoren en agenten, met inbegrip van:
• i. een categorisering van de controles van bijkantoren en agenten die de aanvrager voornemens is ter plaatse en op afstand te verrichten;
• ii. de IT-systemen, processen en infrastructuur die de agenten van de aanvrager gebruiken om werkzaamheden uit te voeren namens de aanvrager;
• iii. in het geval van agenten, het selectiebeleid, de monitoringprocedures en de training van agenten, evenals, waar beschikbaar, de conceptvoorwaarden voor hun aanstelling;
• e) een lijst van alle natuurlijke of rechtspersonen die nauwe banden hebben met de aanvragende ARID, met vermelding van hun identiteit en de aard van die banden.

5.2. Als de aanvrager een rechtspersoon is, bevat de beschrijving van de organisatiestructuur van de onderneming van de aanvrager de volgende gegevens:

• a) een gedetailleerd organisatieschema met daarin elk bedrijfsonderdeel, elke afdeling of

verantwoordelijke persoon/personen, met name de personen die verantwoordelijk zijn voor interne controlefuncties; het schema gaat vergezeld van een beschrijving van de taken en verantwoordelijkheden van elk bedrijfsonderdeel, elke afdeling of soortgelijke structurele onderverdeling;

• b) een prognose van het totale aantal medewerkers gedurende de komende drie jaar;
• c) een beschrijving van de relevante uitbestedingsregelingen bestaande uit;
• i. de identiteit en geografische locatie van de uitbestedende aanbieder;
• ii. de identiteit van de personen binnen de ARID die verantwoordelijk zijn voor elk van de uitbestede werkzaamheden;
• iii. een gedetailleerde beschrijving van de uitbestede werkzaamheden en de belangrijkste kenmerken daarvan;
• d) een kopie van concept-uitbestedingsovereenkomsten;
• e) waar van toepassing, een beschrijving van het gebruik van bijkantoren en agenten, met inbegrip van:
• i. een categorisering van de controles van bijkantoren en agenten die de aanvrager voornemens is ter plaatse en op afstand te verrichten;
• ii. de IT-systemen, processen en infrastructuren die de agenten van de aanvrager gebruiken om werkzaamheden uit te voeren namens de aanvrager;
• iii. in het geval van agenten, het selectiebeleid, de monitoringprocedures en de training van agenten, evenals, waar beschikbaar, de conceptvoorwaarden voor hun aanstelling;
• f) een lijst van alle natuurlijke of rechtspersonen die nauwe banden hebben met de aanvrager, met vermelding van hun identiteit en de aard van die banden.

Richtsnoer 6: Regelingen op het gebied van governance en mechanismen voor interne controle

6.1. De aanvrager verstrekt een beschrijving van de regelingen op het gebied van governance en mechanismen voor interne controle. Deze omvat:

• a) een overzicht van de door de aanvrager vastgestelde risico's, met de soorten risico's en de procedures die de aanvrager zal invoeren om deze te beoordelen en te voorkomen;
• b) de verschillende procedures voor de uitvoering van periodieke en permanente controles, met inbegrip van de frequentie en het hieraan toegewezen personeel;
• c) de boekhoudprocedures volgens welke de aanvrager zijn financiële informatie zal vastleggen en rapporteren;
• d) de identiteit van de persoon of personen die verantwoordelijk zijn voor de internecontrolefuncties, met inbegrip van die voor de periodieke, permanente en nalevingscontroles, evenals een actueel curriculum vitae;
• e) de identiteit van een eventuele auditor die geen wettelijke auditor uit hoofde van Richtlijn 2006/43/EG is;
• f) de samenstelling van het leidinggevend orgaan en, indien van toepassing, enig ander toezichthoudend orgaan of comité;
• g) een beschrijving van de manier waarop uitbestede functies worden gemonitord en gecontroleerd, zodat vermindering van de kwaliteit van de interne controles van de aanvrager wordt voorkomen;
• h) een beschrijving van de manier waarop eventuele agenten en bijkantoren worden

aanvrager;

• i) wanneer de aanvrager een dochteronderneming is van een gereglementeerde entiteit in een andere EU-lidstaat, een beschrijving van de governance van de groep.

Richtsnoer 7: Procedure voor het monitoren en afhandelen van veiligheidsincidenten en veiligheidsgerelateerde klachten van cliënten en de follow-up daarvan

7.1. De aanvrager verstrekt een beschrijving van de procedure voor het monitoren en afhandelen van veiligheidsincidenten en veiligheidsgerelateerde klachten van cliënten en de follow-up daarvan. Deze omvat:

• a) organisatorische maatregelen en instrumenten ter voorkoming van fraude;
• b) gegevens van de personen en organen die verantwoordelijk zijn voor het bijstaan van cliënten in gevallen van fraude, technische problemen en/of klachtenbeheer;
• c) rapportagelijnen bij fraudegevallen;
• d) het aanspreekpunt voor cliënten, waaronder een naam en een e-mailadres;
• e) de procedures voor het melden van incidenten, met inbegrip van het doorgeven van deze meldingen aan interne of externe organen, waaronder kennisgeving van grote incidenten aan nationale bevoegde autoriteiten overeenkomstig artikel 96 van PSD2 en in lijn met de EBA-richtsnoeren voor de melding van incidenten uit hoofde van het genoemde artikel.
• f) de gebruikte monitoringinstrumenten en de aanwezige follow-upmaatregelen en -procedures om veiligheidsrisico's te verminderen.

Richtsnoer 8: Het aanwezige proces voor het opslaan, monitoren, traceren en beperken van de toegang tot gevoelige betalingsgegevens

8.1. De aanvrager verstrekt een beschrijving van het aanwezige proces voor het opslaan, monitoren, traceren en beperken van de toegang tot gevoelige betalingsgegevens. Deze bestaat uit:

• a) een beschrijving van de gegevensstromen die in de context van het bedrijfsmodel van de ARID als gevoelige betalingsgegevens worden geclassificeerd;
• b) de aanwezige procedures voor het verlenen van machtiging voor toegang tot gevoelige betalingsgegevens;
• c) een beschrijving van het monitoringinstrument;
• d) het toegangsrechtenbeleid, met gedetailleerde informatie over de toegang tot alle relevante infrastructuurcomponenten en -systemen, met inbegrip van databases en back-upinfrastructuren;
• e) een beschrijving van hoe de verzamelde gegevens worden opgeslagen;
• f) het verwachte interne en/of externe gebruik van de verzamelde gegevens, met inbegrip van tegenpartijen;
• g) het IT-systeem en de technische veiligheidsmaatregelen die zijn geïmplementeerd, met inbegrip van encryptie en/of het gebruik van tokens;

gevoelige betalingsgegevens;

• i) een uitleg over de manier waarop overtredingen worden opgespoord en aangepakt;
• j) een programma voor jaarlijkse interne controle van de veiligheid van de IT-systemen.

Richtsnoer 9: Bedrijfscontinuïteitsregelingen

9.1. De aanvrager verstrekt een beschrijving van de bedrijfscontinuïteitsregelingen, die uit de volgende gegevens bestaat:

• a) een bedrijfsimpactanalyse, met de bedrijfsprocessen en de doelstellingen voor het herstel, zoals 'recovery time objectives' en 'recovery point objectives' en beschermde activa;

continuïteitsincidenten en -verstoringen, zoals het falen van essentiële systemen, het verlies van essentiële gegevens, ontoegankelijkheid van panden en het wegvallen van essentiële personen;

• d) de frequentie waarmee de aanvrager voornemens is de plannen voor bedrijfscontinuïteit en herstel na rampen te testen, en hoe de uitkomsten van de tests worden vastgelegd. Richtsnoer 10: Beveiligingsbeleidsdocument

10.1. De aanvrager verstrekt een beveiligingsbeleidsdocument met daarin de volgende gegevens:

• a) een gedetailleerde risicobeoordeling van de betalingsdienst(en) die de aanvrager voornemens is aan te bieden. Hierin zijn ook opgenomen risico's van fraude en de veiligheidscontrole en risicobeperkende maatregelen die zijn genomen om gebruikers van betalingsdiensten naar behoren te beschermen tegen de vastgestelde risico's;
• b) een beschrijving van de IT-systemen met:
• i. de architectuur van de systemen en hun netwerkelementen;
• ii. de zakelijke IT-systemen die de bedrijfsactiviteiten ondersteunen, zoals de website, de risico- en fraudebeheersengine, en klantenadministratie;
• iii. de ondersteunende IT-systemen die worden gebruikt voor de organisatie en administratie van de ARID, zoals boekhouding, systemen voor wettelijke verslaglegging, personeelsbeheer, klantrelatiebeheer, e-mailservers en interne bestandsservers;
• iv. informatie over de vraag of deze systemen al worden gebruikt door de ARID of zijn groep, en, indien van toepassing, de geraamde invoeringsdatum;
• c) het soort geautoriseerde verbindingen van buiten, zoals met partners, dienstenaanbieders, entiteiten van de groep en werknemers die op afstand werken, evenals de redenen voor die verbindingen;
• d) voor elk van de onder c) genoemde verbindingen de aanwezige logische veiligheidsmaatregelen en -mechanismen, waarbij wordt aangegeven welke controle de betaalinstelling over die toegang zal hebben, evenals de aard en de frequentie van die controle, zoals technisch versus organisatorisch, preventief versus op opsporing gericht, realtime monitoring versus regelmatige toetsingen, zoals het gebruik van Active Directory gescheiden van de groep, het openen/sluiten van communicatielijnen, configuratie van beveiligingsvereisten, het genereren van sleutels of cliëntauthenticatiecertificaten, systeemmonitoring, authenticatie, vertrouwelijkheid van communicatie, detectie van inbraken, antivirussystemen en logboeken;
• e) de logische beveiligingsmaatregelen en -mechanismen voor de interne toegang tot IT-systemen. Dit omvat:
• i. de technische en organisatorische aard en frequentie van elke maatregel, bijvoorbeeld of de maatregel preventief is of gericht op opsporing en of deze al of niet in realtime wordt uitgevoerd;
• ii. de omgang met de scheiding van klantomgevingen in gevallen waarin de IT-resources van de aanvrager worden gedeeld;
• f) de fysieke veiligheidsmaatregelen en -mechanismen van het pand en het datacentrum van de aanvrager, zoals toegangscontroles en milieubeveiliging;
• g) de beveiliging van de betalingsprocessen, waaronder:
• i. de cliëntauthenticatieprocedure die is gebruikt voor toegang voor zowel raadpleging als transacties;
• ii. een uitleg over hoe de veilige levering aan de legitieme gebruiker van de betalingsdienst en de integriteit van authenticatie-elementen, zoals fysieke tokens en mobiele apps, zijn gewaarborgd, zowel ten tijde van de eerste registratie als bij verlenging;
• iii. een beschrijving van de systemen en procedures waarover de aanvrager beschikt

transacties;

• h) een gedetailleerde risicobeoordeling met betrekking tot zijn betalingsdiensten, met inbegrip van fraude, met een koppeling naar de controle- en risicobeperkingsmaatregelen die in het aanvraagdossier worden uitgelegd, waaruit blijkt dat de risico's worden aangepakt;
• i) een lijst van de belangrijkste schriftelijke procedures voor de IT-systemen van de aanvrager of, voor procedures die nog niet zijn geformaliseerd, een schatting van de datum waarop ze gereed zullen zijn.

Richtsnoer 11: Identiteit en geschiktheidsbeoordeling van bestuurders en personen die verantwoordelijk zijn voor het beheer van de aanbieder van rekeninginformatiediensten

11.1. Met betrekking tot de identiteit en de geschiktheidsbeoordeling van bestuurders en

rekeninginformatiediensten, verstrekt de aanvrager de volgende informatie:

• a) persoonsgegevens, waaronder:
• i. de volledige naam, het geslacht, de geboorteplaats en -datum, adres en nationaliteit, en het persoonlijke identificatienummer of een kopie van ID-kaart of gelijkwaardig document;
• ii. gegevens over de functie waarvoor de beoordeling wordt gevraagd, en of de functie in het leidinggevend orgaan uitvoerend of niet-uitvoerend is; dit bevat onder meer de volgende gegevens;

• b) waar toepasselijk, informatie over de geschiktheidsbeoordeling die door de aanvrager is uitgevoerd; deze omvat bijzonderheden over de uitkomst van een eventuele beoordeling van de geschiktheid van de persoon die door de instelling is uitgevoerd, zoals relevante notulen van bestuursvergaderingen, verslagen van geschiktheidsbeoordelingen of andere documenten;
• c) bewijs van kennis, vaardigheden en ervaring, waaronder een curriculum vitae met bijzonderheden over onderwijs en beroepservaring, waaronder academische kwalificaties, andere relevante opleidingen, de naam en de aard van alle organisaties waarvoor de persoon werkt of heeft gewerkt, en de aard en duur van de vervulde functies, waarbij in het bijzonder aandacht wordt besteed aan eventuele activiteiten binnen de reikwijdte van de beoogde functie;
• d) bewijs van de goede reputatie, eerlijkheid en integriteit:
• i. strafregisters en relevante informatie over strafrechtelijke onderzoeken en procedures, relevante civielrechtelijke en administratieve zaken en disciplinaire acties, waaronder onbekwaamverklaring als bestuurder van een onderneming, faillissements-, insolventie- en soortgelijke procedures, in het bijzonder in de vorm van een officieel certificaat of een objectief betrouwbare informatiebron betreffende het niet bestaan van een strafrechtelijke veroordeling, onderzoek of procedure, zoals onderzoeken door derden en door een in de Europese Unie gevestigde advocaat of notaris opgestelde getuigenverklaringen;
• ii. een verklaring dat de betreffende persoon of een organisatie waarover hij de leiding heeft, al dan niet voorwerp is van een lopende strafrechtelijke procedure of als schuldenaar betrokken is geweest bij een insolventie- of vergelijkbare procedure;
• iii. Informatie over het volgende:

Richtsnoer 12: Beroepsaansprakelijkheidsverzekering of een vergelijkbare waarborg

12.1. Als bewijs van een beroepsaansprakelijkheidsverzekering of vergelijkbare waarborg die voldoet aan de EBA-richtsnoeren betreffende beroepsaansprakelijkheidsverzekering (EBA/GL/2017/08) en artikel 5, leden 2 en 3, van PSD2, verstrekt de aanvrager de volgende gegevens:

• a) een verzekeringscontract of ander gelijkwaardig document dat het bestaan van een beroepsaansprakelijkheidsverzekering of een vergelijkbare garantie bevestigt, met een dekkingsbedrag dat in overeenstemming is met het genoemde EBA-richtsnoer, waaruit de dekking van de relevante aansprakelijkheden blijkt;
• b) documentatie van de wijze waarop de aanvrager het minimumbedrag heeft berekend op een manier die in overeenstemming is met de genoemde EBA-richtsnoeren, met inbegrip van een specificatie van alle toepasselijke onderdelen van de formule.

Richtsnoer 1: Algemene beginselen

1.1 Deze reeks richtsnoeren geldt voor aanvragers van een vergunning als elektronischgeldinstelling (EGI). Dit betreft aanvragers die voornemens zijn elektronisch-gelddiensten aan te bieden en, indien van toepassing, een of meer van de betalingsdiensten die worden genoemd in de punten 1 tot en met 8 van bijlage I van PSD2. Aanvragers die voornemens zijn uitsluitend in de punten 1 tot en met 7 van bijlage I van PSD2 genoemde betalingsdiensten aan te bieden, of de in punt 8 van deze bijlage genoemde dienst in combinatie met andere in de punten 1 tot en met 7 genoemde diensten zonder dat ze elektronisch-gelddiensten aanbieden, worden verwezen naar de specifieke reeks richtsnoeren betreffende de gegevens die moeten worden verstrekt door aanvragers van een vergunning als betaalinstelling (BI's), die zijn uiteengezet in paragraaf 4.1. Aanvragers die voornemens zijn alleen de betalingsdienst aan te bieden die wordt genoemd in punt 8 van bijlage I van PSD2 zonder elektronisch-gelddiensten aan te bieden, worden verwezen naar de richtsnoeren betreffende de gegevens die moeten worden verstrekt door aanvragers van

1.2 De door aanvragers verstrekte gegevens dienen waar, volledig, nauwkeurig en actueel te zijn.

toepassing zijn. Het detailniveau is in verhouding met de omvang en de interne organisatie van de aanvrager, en met de aard, de omvang, de complexiteit en het risiconiveau van de specifieke dienst(en) die de aanvrager voornemens is aan te bieden. In ieder geval staan de bestuurders en de personen die verantwoordelijk zijn voor het management van de instelling voor elektronisch geld overeenkomstig Richtlijn (EU) 2015/2366, bekend als betrouwbaar en beschikken zij over de nodige kennis en ervaring om betalingsdiensten uit te voeren ongeacht de omvang van de instelling, haar interne organisatie en de aard, omvang en complexiteit van haar activiteiten en de taken en verantwoordelijkheden van de specifieke functie.

1.3 Bij de indiening van de vereiste gegevens vermijdt de aanvrager verwijzingen naar specifieke delen van interne procedures/documenten. In plaats daarvan neemt de aanvrager de desbetreffende delen over en verstrekt hij de tekst hiervan aan de bevoegde autoriteit. 1.4 Indien de bevoegde autoriteiten (BA's) verduidelijking eisen van de ingediende gegevens, verstrekt de aanvrager deze onmiddellijk.

1.5 Alle gegevens waarom uit hoofde van deze richtsnoeren wordt gevraagd voor vergunning als EGI, zijn nodig voor de beoordeling van de aanvraag en worden door de bevoegde autoriteit behandeld overeenkomstig de verplichtingen inzake beroepsgeheim die zijn vastgelegd in PSD2, onverminderd toepasselijk recht van de Unie en nationale vereisten en procedures inzake de uitoefening van het recht op toegang, correctie, schrapping of bezwaar.

Richtsnoer 2: Identificatiegegevens

2.1 De door de aanvrager te verstrekken identificatiegegevens bevatten het volgende:

• a) de bedrijfsnaam en - indien deze anders luidt - de handelsnaam van de aanvrager;
• b) een aanduiding of de aanvrager al is opgericht of nog in het proces van oprichting is;
• c) indien van toepassing, het nationale identificatienummer van de aanvrager;
• d) de rechtsvorm en de (concept)statuten en/of oprichtingsdocumenten van de aanvrager, waaruit diens rechtsvorm blijkt;
• e) het adres van het hoofdkantoor en de statutaire zetel van de aanvrager;
• f) het elektronische adres en het adres van de website van de aanvrager, indien beschikbaar.
• g) de naam/namen van de perso(o)n(en) die verantwoordelijk is/zijn voor de afhandeling van het aanvraagdossier en de vergunningsprocedure, met zijn/hun contactgegevens;
• h) een aanduiding of de aanvrager ooit gereglementeerd is door een bevoegde autoriteit in de sector financiële dienstverlening, of dat op dit moment is;
• i) indien toepasselijk, beroepsorganisaties met betrekking tot de levering van elektronisch-gelddiensten en/of betalingsdiensten waarbij de aanvrager van plan is zich aan te sluiten;
• j) de geregistreerde oprichtingsakte of, indien toepasselijk, een verklaring van een handelsregister dat de naam die de onderneming heeft gekozen, beschikbaar is;
• k) bewijs van betaling van eventuele vergoedingen of voorschotten voor het indienen van een vergunningsaanvraag als instelling voor elektronisch geld, wanneer toepasselijk op grond van het nationale recht. Richtsnoer 3: Programma van werkzaamheden

3.1 Het door de aanvrager te verstrekken programma van werkzaamheden bevat de volgende gegevens:

• a) een aanduiding van de elektronisch-gelddiensten die de aanvrager voornemens is aan te bieden: uitgifte, aflossing, distributie;
• b) indien toepasselijk, een stapsgewijze beschrijving van het soort beoogde betalingsdiensten, waaronder een uitleg van hoe de aan te bieden activiteiten en werkzaamheden door de aanvrager worden aangemerkt als vallend onder een van de wettige categorieën betalingsdiensten als genoemd in bijlage I bij PSD2, en een aanduiding of deze betalingsdiensten zouden worden aangeboden in aanvulling op elektronisch-gelddiensten of dat ze zijn gekoppeld aan de uitgifte van elektronisch geld;
• c) een verklaring of de aanvrager al of niet op enig tijdstip in bezit komt van geldmiddelen;
• d) indien toepasselijk, een beschrijving van de uitvoering van de verschillende elektronisch-gelddiensten en, indien toepasselijk, van de betalingsdiensten, met specificatie van alle betrokken partijen, voor elke aangeboden elektronisch-gelddienst en, indien van toepassing, elke aangeboden betalingsdienst:
• i. een schema van de geldmiddelenstroom;
• ii. afwikkelingsregelingen;
• iii. conceptovereenkomsten tussen alle partijen die betrokken zijn bij het aanbieden

betaalkaartsystemen;

• iv. verwerkingstijden;
• e) een kopie van het conceptcontract tussen de uitgever van elektronisch geld en de houder van elektronisch geld en de concept-raamovereenkomst als gedefinieerd in artikel 4, punt 21, van PSD2 als de aanvrager voornemens is in aanvulling op elektronisch-gelddiensten ook betalingsdiensten aan te bieden;
• f) het geschatte aantal verschillende locaties van waaruit de aanvrager voornemens is de diensten aan te bieden, indien van toepassing;
• g) een beschrijving van aanvullende diensten bij de elektronisch-gelddiensten en, indien toepasselijk, bij de betalingsdiensten;
• h) wanneer de aanvrager voornemens is betalingsdiensten aan te bieden in aanvulling op elektronisch-gelddiensten, een verklaring of de aanvrager al dan niet voornemens is kredieten te verlenen en zo ja, binnen welke grenzen;
• i) een verklaring of de aanvrager wel of niet voornemens is na verlening van de vergunning elektronisch-gelddiensten en, indien toepasselijk, betalingsdiensten aan te bieden in andere EU-lidstaten of derde landen;
• j) een aanduiding of de aanvrager al dan niet voornemens is in de komende drie jaar andere zakelijke activiteiten aan te bieden dan elektronisch-gelddiensten en, indien toepasselijk, betalingsdiensten, als bedoeld in artikel 11, lid 5, van Richtlijn (EU) 2015/2366, of dat al doet, met inbegrip van een beschrijving van het soort en de verwachte omvang van die activiteiten;
• k) indien de aanvrager voornemens is de diensten 7 en 8 (betalingsinitiatiediensten (BID) en rekeninginformatiediensten (RID)) aan te bieden, de in de EBA-richtsnoeren

beroepsaansprakelijkheidsverzekering of andere vergelijkbare waarborg uit hoofde van artikel 5, lid 4, van Richtlijn (EU) 2015/2366 (EBA/GL2017/08) gespecificeerde gegevens.

Richtsnoer 4: Bedrijfsplan

4.1. Het door de aanvrager te verstrekken bedrijfsplan bevat:

• a) een marketingplan bestaande uit:
• i. een analyse van de concurrentiepositie van de onderneming op de markt voor elektronisch geld en, indien toepasselijk, in het betrokken segment van de betaalmarkt;
• ii. een beschrijving van de gebruikers van de betalingsdienst en houders van elektronisch geld, marketingmaterialen en distributiekanalen;
• b) wanneer beschikbaar, gecertificeerde jaarrekeningen over de voorgaande drie jaar of, voor ondernemingen die nog geen jaarrekeningen hebben opgesteld, een samenvatting van de financiële situatie;
• c) een budgetprognose voor de eerste drie boekjaren waarmee wordt aangetoond dat de aanvrager in staat is gebruik te maken van passende en evenredige systemen, middelen en procedures die hem in staat stellen op een gezonde basis te werken. Deze prognose omvat:
• i. een prognose van de winst-en-verliesrekening en de balans, met inbegrip van beoogde scenario's en stress-scenario's, evenals de daarvoor gehanteerde aannames, zoals aantal transacties en waarde daarvan, aantal cliënten, tariefstelling, gemiddeld bedrag per transactie, verwachte verhoging van de rentabiliteitsdrempel;
• ii. toelichtingen op de belangrijkste inkomsten- en uitgavenposten, de financiële schulden en de vaste activa;
• iii. een diagram en gedetailleerde specificatie van de geraamde kasstromen voor de komende drie jaren;
• d) informatie over eigen vermogen, waaronder het bedrag en een gedetailleerde specificatie van de samenstelling van het in artikel 57, onder a) en b), van Richtlijn 2006/48/EG genoemde aanvangskapitaal;
• e) informatie over en berekening van het vereiste minimum aan eigen vermogen overeenkomstig methode D als bedoeld in artikel 5, lid 3, van Richtlijn (EU) 2009/110 (de tweede elektronisch-geldrichtlijn (EMD2)), als de instelling voor elektronisch geld van plan is alleen elektronisch-gelddiensten aan te bieden, of de in artikel 9 van Richtlijn (EU) 2015/2366 (PSD2) bedoelde methode(n), als bepaald door de bevoegde autoriteit, als de aanvrager voornemens is in aanvulling op elektronisch-gelddiensten betalingsdiensten aan te bieden, waaronder een jaarlijkse projectie van de specificatie van het eigen vermogen over een periode van drie jaar volgens de gebruikte methode en, indien toepasselijk, een jaarlijkse projectie van het eigen vermogen over een periode van drie jaar volgens de andere gebruikte methoden.

Richtsnoer 5: Organisatiestructuur

5.1. De aanvrager verstrekt een beschrijving van de organisatiestructuur van zijn onderneming. Deze omvat:

• a) een gedetailleerd organisatieschema met daarin elk bedrijfsonderdeel, elke afdeling of

verantwoordelijke persoon/personen, met name de personen die verantwoordelijk zijn voor interne controle; het schema gaat vergezeld van een beschrijving van de taken en verantwoordelijkheden van elk bedrijfsonderdeel, elke afdeling of soortgelijke structurele onderverdeling;

• b) een prognose van het totale aantal medewerkers gedurende de komende drie jaar;
• c) een beschrijving van de relevante operationele uitbestedingsregelingen bestaande uit:
• i. de identiteit en geografische locatie van de uitbestedende aanbieder;
• ii. de identiteit van de personen binnen de instelling voor elektronisch geld die verantwoordelijk zijn voor elk van de uitbestede werkzaamheden;
• iii. een duidelijke beschrijving van de uitbestede werkzaamheden en de belangrijkste kenmerken daarvan;
• d) een kopie van concept-uitbestedingsovereenkomsten;
• e) waar toepasselijk, een beschrijving van het gebruik van bijkantoren, agenten en distributeurs, met inbegrip van:
• i. een categorisering van de controles van bijkantoren, agenten en distributeurs die de aanvrager voornemens is ter plaatse en op afstand te verrichten;
• ii. de IT-systemen, processen en infrastructuur die de agenten en distributeurs van de aanvrager gebruiken om werkzaamheden uit te voeren namens de aanvrager;
• iii. in het geval van agenten en distributeurs, het selectiebeleid, de monitoringprocedures, de training van agenten en distributeurs en, waar beschikbaar, de conceptvoorwaarden voor aanstelling van agenten en distributeurs;
• f) indien van toepassing, informatie over het nationale en/of internationale betalingssysteem waarvan de aanvrager gebruik zal maken;
• g) een lijst van alle natuurlijke of rechtspersonen die nauwe banden hebben met de aanvrager, met vermelding van hun identiteit en de aard van die banden.

Richtsnoer 6: Bewijs van aanvangskapitaal

6.1. Als bewijs van het aanvangskapitaal (van 350 000 EUR) dat de aanvrager moet verstrekken, verstrekt hij of zij de volgende documenten:

• a) voor bestaande ondernemingen een door een accountant gecontroleerd rekeningoverzicht of uittreksel uit een openbaar register waarin het kapitaal van de aanvrager wordt vermeld;
• b) voor ondernemingen die nog in oprichting zijn, een verklaring van een bank dat de geldmiddelen op de bankrekening van de aanvrager zijn gedeponeerd.

Richtsnoer 7: Maatregelen om de geldmiddelen van gebruikers van elektronisch geld en/of van betalingsdiensten te beschermen

7.1. Wanneer de aanvrager de geldmiddelen van de gebruikers van de elektronisch-gelddienst en/of de betalingsdienst beschermt door middelen te storten op een afzonderlijke rekening bij een kredietinstelling of via een belegging in veilige, liquide activa met een lage risicograad, omvat de beschrijving van de beschermende maatregelen het volgende:

• a) waar van toepassing, een beschrijving van het beleggingsbeleid om te waarborgen dat de gekozen activa liquide en veilig zijn en een lage risicograad hebben;
• b) het aantal personen dat toegang heeft tot de beschermingsrekening en hun functies;
• c) een beschrijving van het administratie- en afstemmingsproces voor gebruikers van elektronisch-gelddiensten en, indien toepasselijk, van betalingsdiensten, tegen de vorderingen van andere schuldeisers van de instelling voor elektronisch geld, met name in het geval van insolventie;
• d) een kopie van de conceptovereenkomst met de kredietinstelling;
• e) een expliciete verklaring van de betaalinstelling dat is voldaan aan artikel 10 van PSD2.

7.2. Wanneer de aanvrager de geldmiddelen van de gebruikers van elektronisch geld en, indien toepasselijk, van de betalingsdienst beschermt via een verzekeringspolis of een vergelijkbare waarborg van een verzekeringsmaatschappij of een kredietinstelling, en tenzij de aanvrager voornemens is alleen BIS aan te bieden, omvat de beschrijving van de beschermingsmaatregelen het volgende:

• a) een bevestiging dat de verzekeringspolis of vergelijkbare waarborg van een verzekeringsmaatschappij of kredietinstelling afkomstig is van een entiteit die niet tot dezelfde groep bedrijven behoort als de aanvrager;

waarborgen dat de verzekeringspolis of vergelijkbare waarborg voldoende is om te allen tijde te voldoen aan de beschermingsverplichtingen van de aanvrager;

• c) duur van de dekking en verlenging;
• d) een kopie van de (concept)verzekeringsovereenkomst of de (concept) vergelijkbare waarborg.

Richtsnoer 8: Regelingen op het gebied van governance en mechanismen voor interne controle

8.1. De aanvrager verstrekt een beschrijving van de regelingen op het gebied van governance en mechanismen voor interne controle. Deze omvat:

• a) een overzicht van de door de aanvrager vastgestelde risico's, waaronder de soorten risico's en de procedures die de aanvrager zal invoeren om deze risico's te beoordelen en te voorkomen, met betrekking tot elektronisch-gelddiensten en, indien toepasselijk, betalingsdiensten;
• b) de verschillende procedures voor de uitvoering van periodieke en permanente controles, met inbegrip van de frequentie en het hieraan toegewezen personeel;
• c) de boekhoudprocedures volgens welke de aanvrager zijn financiële informatie zal vastleggen en rapporteren;
• d) de identiteit van de persoon of personen die verantwoordelijk is/zijn voor de interne controle, omvattende de periodieke, permanente en nalevingscontrole, evenals een actueel curriculum vitae;
• e) de identiteit van een eventuele auditor die geen wettelijke auditor uit hoofde van Richtlijn 2006/43/EG is;
• f) de samenstelling van het leidinggevend orgaan en, indien van toepassing, van enig ander toezichthoudend orgaan of comité;
• g) een beschrijving van de manier waarop uitbestede functies worden gemonitord en gecontroleerd, zodat vermindering van de kwaliteit van de interne controles van de instelling voor elektronisch geld wordt voorkomen;
• h) een beschrijving van de manier waarop eventuele agenten, bijkantoren en distributeurs worden gemonitord en gecontroleerd binnen het kader van de interne controles van de aanvrager;
• i) wanneer de aanvrager een dochteronderneming is van een gereglementeerde entiteit in een andere EU-lidstaat, een beschrijving van de governance van de groep.

Richtsnoer 9: Procedure voor het monitoren en afhandelen van veiligheidsincidenten en veiligheidsgerelateerde klachten van cliënten en de follow-up daarvan

9.1. De aanvrager verstrekt een beschrijving van de procedure voor het monitoren en afhandelen van veiligheidsincidenten en veiligheidsgerelateerde klachten van cliënten en de follow-up daarvan. Deze omvat:

• a) organisatorische maatregelen en instrumenten ter voorkoming van fraude;
• b) gegevens van de personen en organen die verantwoordelijk zijn voor het bijstaan van cliënten in gevallen van fraude, technische problemen en/of klachtenbeheer;
• c) rapportagelijnen bij fraudegevallen;
• d) het aanspreekpunt voor cliënten, waaronder een naam en een e-mailadres;
• e) de procedures voor het melden van incidenten, met inbegrip van het doorgeven van deze meldingen aan interne of externe organen, ook voor aanvragers die voornemens zijn in aanvulling op elektronisch-gelddiensten betalingsdiensten aan te bieden, en de kennisgeving van grote incidenten aan nationale bevoegde autoriteiten overeenkomstig artikel 96 van PSD2 en in lijn met de EBA-richtsnoeren voor de melding van incidenten uit hoofde van het genoemde artikel.
• f) de gebruikte monitoringinstrumenten en de aanwezige follow-upmaatregelen en -procedures om veiligheidsrisico's te verminderen.

Richtsnoer 10: Proces voor het opslaan, monitoren, traceren en beperken van de toegang tot gevoelige betalingsgegevens

10.1. De aanvrager verstrekt een beschrijving van het aanwezige proces voor het opslaan, monitoren, traceren en beperken van de toegang tot gevoelige betalingsgegevens. Deze bestaat uit:

• a) een beschrijving van de gegevensstromen die in de context van het bedrijfsmodel van de instelling voor elektronisch geld als gevoelige betalingsgegevens worden geclassificeerd;
• b) de aanwezige procedures voor het verlenen van machtiging voor toegang tot gevoelige betalingsgegevens;
• c) een beschrijving van het monitoringinstrument;
• d) het toegangsrechtenbeleid, met gedetailleerde informatie over de toegang tot alle relevante infrastructuurcomponenten en -systemen, met inbegrip van databases en back-upinfrastructuren;
• e) een beschrijving van hoe de verzamelde gegevens worden opgeslagen;
• f) het verwachte interne en/of externe gebruik van de verzamelde gegevens, met inbegrip van tegenpartijen;
• g) het IT-systeem en de technische veiligheidsmaatregelen die zijn geïmplementeerd, met inbegrip van encryptie en/of het gebruik van tokens;

betalingsgegevens;

• i) een uitleg over de manier waarop overtredingen worden opgespoord en aangepakt;
• j) een programma voor jaarlijkse interne controle van de veiligheid van de IT-systemen.

Richtsnoer 11: Bedrijfscontinuïteitsregelingen

11.1. De aanvrager verstrekt een beschrijving van de bedrijfscontinuïteitsregelingen, die uit de volgende gegevens bestaat:

• a) een bedrijfsimpactanalyse, met de bedrijfsprocessen en de doelstellingen voor het herstel, zoals 'recovery time objectives' en 'recovery point objectives' en beschermde activa;
• b) de identificatie van de back-uplocatie, toegang tot IT-infrastructuur en de belangrijkste software en gegevens om te herstellen van een ramp of verstoring;

continuïteitsincidenten en -verstoringen, zoals het falen van essentiële systemen, het verlies van essentiële gegevens, ontoegankelijkheid van panden en het wegvallen van essentiële personen;

• d) de frequentie waarmee de aanvrager voornemens is de plannen voor bedrijfscontinuïteit en herstel na rampen te testen, en hoe de uitkomsten van de tests worden vastgelegd;
• e) een beschrijving van de door de aanvrager te nemen risicobeperkende maatregelen in gevallen van de beëindiging van zijn betalingsdiensten, zodat de uitvoering van lopende transacties is gewaarborgd en bestaande contracten worden beëindigd.

Richtsnoer 12: De beginselen en definities voor het verzamelen van statistische gegevens over prestaties, transacties en fraude

verzamelen van de statistische gegevens over prestaties, transacties en fraude. Deze bestaat uit de volgende gegevens:

• a) het type gegevens dat wordt verzameld, in termen van klanten, type betalingsdienst, kanaal, instrument, rechtsgebieden en valuta's;
• b) de omvang van de verzameling, in termen van de betrokken activiteiten en entiteiten, met inbegrip van bijkantoren, agenten en distributeurs;
• c) de wijze van verzameling;
• d) het doel van de verzameling;
• e) de frequentie van de verzameling;
• f) ondersteunende documenten, zoals een handleiding, die beschrijven hoe het systeem werkt.

Richtsnoer 13: Beveiligingsbeleidsdocument

13.1. De aanvrager verstrekt een beveiligingsbeleidsdocument met betrekking tot zijn elektronisch-gelddienst(en) en, waar toepasselijk, zijn betalingsdienst(en) met de volgende gegevens:

• a) een gedetailleerde risicobeoordeling van de elektronisch-gelddienst(en) en, waar toepasselijk, de betalingsdienst(en) die de aanvrager voornemens is aan te bieden. Hierin zijn ook opgenomen risico's van fraude en de veiligheidscontrole en risicobeperkende maatregelen die zijn genomen om gebruikers van elektronisch-gelddiensten en, waar toepasselijk, betalingsdiensten naar behoren te beschermen tegen de vastgestelde risico's;
• b) een beschrijving van de IT-systemen met:
• i. de architectuur van de systemen en hun netwerkelementen;
• ii. de zakelijke IT-systemen die de aangeboden bedrijfsactiviteiten ondersteunen, zoals de website, de portefeuilles, het betaalmechanisme, het risico- en fraudebeheersmechanisme, en klantenadministratie van de aanvrager;
• iii. de ondersteunende IT-systemen die worden gebruikt voor de organisatie en administratie van de instelling voor elektronisch geld, zoals boekhouding, systemen voor wettelijke verslaglegging, personeelsbeheer, klantrelatiebeheer, e-mailservers en interne bestandsservers;
• iv. informatie over de vraag of deze systemen al worden gebruikt door de instelling voor elektronisch geld of haar groep, en, indien van toepassing, de geraamde invoeringsdatum;
• c) het soort geautoriseerde verbindingen van buiten, zoals met partners, dienstenaanbieders, entiteiten van de groep en werknemers die op afstand werken, evenals de redenen voor die verbindingen;
• d) voor elk van de onder c) genoemde verbindingen: de aanwezige logische veiligheidsmaatregelen en -mechanismen, waarbij wordt aangegeven welke controle de instelling voor elektronisch geld over die toegang zal hebben, evenals de aard en de frequentie van die controle, zoals technisch versus organisatorisch, preventief versus op opsporing gericht, en realtime monitoring versus regelmatige toetsingen, zoals het gebruik van Active Directory gescheiden van de groep, het openen/sluiten van communicatielijnen, configuratie van beveiligingsvereisten, genereren van sleutels of cliëntauthenticatiecertificaten, systeemmonitoring, authenticatie, vertrouwelijkheid van communicatie, detectie van inbraken, antivirussystemen en logboeken;
• e) de logische beveiligingsmaatregelen en -mechanismen voor de interne toegang tot IT-systemen. Dit omvat:
• i. de technische en organisatorische aard en frequentie van elke maatregel, bijvoorbeeld of de maatregel preventief is of gericht op opsporing en of deze al of niet in realtime wordt uitgevoerd;
• ii. de omgang met de scheiding van klantomgevingen in gevallen waarin de IT-resources van de aanvrager worden gedeeld;
• f) de fysieke veiligheidsmaatregelen en -mechanismen van het pand en het datacentrum van de aanvrager, zoals toegangscontroles en milieubeveiliging;
• g) de veiligheid van de elektronisch-geld- en, waar toepasselijk, betalingsprocessen. Dit omvat:
• i. de cliëntauthenticatieprocedure voor zowel raadpleging als transacties en voor alle onderliggende betalingsinstrumenten;
• ii. een uitleg over hoe de veilige levering aan de legitieme gebruiker van de elektronisch-gelddiensten en, waar toepasselijk, van de betalingsdiensten en de integriteit van authenticatie-elementen, zoals hardwaretokens en mobiele apps, zijn gewaarborgd, zowel ten tijde van de eerste registratie als bij verlenging;
• iii. een beschrijving van de systemen en procedures waarover de instelling voor elektronisch geld beschikt voor transactieanalyse en de identificatie van verdachte of ongebruikelijke transacties;
• h) een gedetailleerde risicobeoordeling met betrekking tot zijn elektronisch-gelddiensten en, waar toepasselijk, zijn betalingsdiensten, met inbegrip van fraude, met een koppeling naar de controle- en risicobeperkingsmaatregelen die in het aanvraagdossier worden uitgelegd, waaruit blijkt dat de risico's worden aangepakt;
• i) een lijst van de belangrijkste schriftelijke procedures voor de IT-systemen van de aanvrager of, voor procedures die nog niet zijn geformaliseerd, een schatting van de datum waarop ze gereed zullen zijn. Richtsnoer 14: Mechanismen van interne controle om te voldoen aan de verplichtingen in verband met het witwassen van geld en terrorismefinanciering (AML/CFT-verplichtingen)

14.1 De beschrijving van de mechanismen van interne controle die de aanvrager tot stand heeft gebracht om, waar toepasselijk, aan die verplichtingen te voldoen, omvat de volgende gegevens:

• a) de beoordeling van de aanvrager van de aan zijn activiteit verbonden risico's van witwassen van geld en terrorismefinanciering, met inbegrip van de risico's die samenhangen met het cliëntenbestand van de aanvrager, de geleverde producten en diensten, de gebruikte distributiekanalen en de geografische werkgebieden;
• b) de maatregelen die de aanvrager heeft genomen of zal nemen om de risico's te beperken en te voldoen aan toepasselijke verplichtingen ter bestrijding van het witwassen van geld en terrorismefinanciering, met inbegrip van het risicobeoordelingsproces van de aanvrager, het beleid en de procedures om te voldoen aan due diligence-vereisten van cliënten, en de beleidsmaatregelen en -procedures om verdachte transacties of activiteiten te signaleren en te melden;
• c) de systemen en controles die de aanvrager heeft of die hij zal invoeren om te waarborgen dat zijn bijkantoren, agenten en distributeurs voldoen aan toepasselijke vereisten ten aanzien van de bestrijding van het witwassen van geld en terrorismefinanciering, met inbegrip van gevallen waarin de agent, distributeur of het bijkantoor in een andere lidstaat is gevestigd;
• d) regelingen die de aanvrager heeft getroffen of zal treffen om te waarborgen dat personeel, agenten en distributeurs naar behoren zijn opgeleid op het gebied van de bestrijding van het witwassen van geld en terrorismefinanciering;
• e) de identiteit van de persoon die ervoor verantwoordelijk is te waarborgen dat de aanvrager voldoet aan de verplichtingen op het gebied van de bestrijding van het witwassen van geld en terrorismebestrijding, en bewijs dat de deskundigheid van de aanvrager inzake de bestrijding van het witwassen van geld en terrorismebestrijding voldoende is om hem in staat te stellen deze rol doeltreffend te vervullen;
• f) de systemen en controles die de aanvrager heeft ingevoerd of zal invoeren om te waarborgen dat zijn beleid en procedures voor de bestrijding van het witwassen van geld en terrorismefinanciering actueel, doeltreffend en relevant blijven;
• g) de systemen en controles die de aanvrager heeft ingevoerd of zal invoeren om te waarborgen dat de agenten en distributeurs de aanvrager niet blootstellen aan een groter risico op het gebied van het witwassen van geld en terrorismefinanciering;
• h) de voor het personeel van de aanvrager bestemde handleiding voor de bestrijding van het witwassen van geld en terrorisme.

Richtsnoer 15: Identiteit en beoordeling van de geschiktheid van personen met gekwalificeerde deelnemingen in de aanvrager

15.1 Ten behoeve van de identiteit en het bewijs van de geschiktheid van personen met gekwalificeerde deelnemingen in de aanvragende instelling voor elektronisch geld verstrekt de aanvrager, onverminderd de beoordeling overeenkomstig de criteria, voor zover relevant, die zijn geïntroduceerd met Richtlijn 2007/44/EG en zijn gespecificeerd in de gemeenschappelijke richtsnoeren inzake de prudentiële beoordeling van verwervingen en vergrotingen van gekwalificeerde deelnemingen in de financiële sector (EBA/GL/2017/08), de volgende informatie:

• a) een beschrijving van de groep waartoe de aanvrager behoort, en, waar van toepassing, een vermelding van de moederonderneming;
• b) een schema van de aandeelhoudersstructuur van de aanvrager, waaronder:
• i. de naam en het percentage van de deelneming (kapitaal/stemrecht) van elke persoon die een directe deelneming heeft of krijgt in het aandelenkapitaal van de aanvrager, waarbij wordt aangegeven wie worden beschouwd als gekwalificeerde aandeelhouders en om welke reden;
• ii. de naam en het percentage van de deelneming (kapitaal/stemrechten) van elke persoon die een indirecte deelneming heeft of krijgt in het aandelenkapitaal van de aanvrager, waarbij wordt aangegeven wie worden beschouwd als indirecte gekwalificeerde aandeelhouders en om welke reden;
• c) een lijst met de namen van alle personen en andere entiteiten die een gekwalificeerde deelneming in het kapitaal van de aanvrager hebben of, in het geval van een vergunning, krijgen, waarbij voor elk van die personen of entiteiten wordt vermeld:
• i. het aantal en soort aandelen of andere deelnemingen waarop is of wordt ingeschreven;
• ii. de nominale waarde van die aandelen of andere deelnemingen.

15.2 Wanneer een persoon die een gekwalificeerde deelneming heeft of, in het geval van een vergunning, krijgt in het kapitaal van de aanvrager, een natuurlijke persoon is, wordt in de aanvraag de volgende informatie verstrekt over de identiteit en geschiktheid van die persoon:

• a) naam en naam bij geboorte, geboorteplaats en -datum, staatsburgerschap (huidig en

kopie van een officieel identiteitsdocument;

• b) een gedetailleerd curriculum vitae met vermelding van onderwijs en opleiding, beroepservaring en de beroepsmatige activiteiten of andere functies die op dat moment worden uitgevoerd of bekleed.
• c) een met documenten ondersteunde verklaring omtrent de volgende gegevens met betrekking tot de persoon:
• i. met inachtneming van nationale wettelijke vereisten betreffende de openbaarmaking van geschrapte veroordelingen, eventuele strafrechtelijke veroordelingen of procedures waarin de persoon in het ongelijk is gesteld en die niet zijn vernietigd;
• ii. eventuele civielrechtelijke of administratieve besluiten in zaken die relevant zijn voor het beoordelings- of autorisatieproces waarbij de persoon in het ongelijk is gesteld en eventuele administratieve sancties of maatregelen die zijn opgelegd als gevolg van een overtreding van wetten of voorschriften (waaronder onbekwaamverklaring als bestuurder van een onderneming) voor zover dit gevallen betreft die niet zijn vernietigd en waartegen geen beroep loopt of kan worden ingesteld;
• iii. eventuele faillissements-, insolventie- of soortgelijke procedures;
• iv. eventuele lopende strafrechtelijke onderzoeken;
• v. eventuele civielrechtelijke of administratieve onderzoeken, handhavingsprocedures, sancties of andere handhavingsbesluiten tegen de persoon over zaken die als relevant kunnen worden beschouwd voor de vergunning om met de activiteit van een instelling voor elektronisch geld te beginnen of voor een goed en prudent beheer van een instelling voor elektronisch geld;
• vi. wanneer deze kunnen worden verkregen, een officieel certificaat of een andere gelijkwaardig document waaruit blijkt of een van onder i tot en met v genoemde gebeurtenissen is voorgekomen met betrekking tot de persoon in kwestie;
• vii. eventuele weigeringen van registratie, vergunning, lidmaatschap of licentie om een vak, bedrijf of beroep uit te oefenen;
• viii. eventuele intrekkingen, herroepingen of beëindigingen van een registratie, vergunning, lidmaatschap of licentie om een vak, bedrijf of beroep uit te oefenen;
• ix. een eventuele uitsluiting door een autoriteit of overheidsentiteit in de sector financiële dienstverlening of door een beroepsorganisatie of -vereniging;
• x. een eventuele verantwoordelijke functie bij een entiteit die voorwerp is van een strafrechtelijke veroordeling of procedure, administratief onderzoek, sancties of andere handhavingsbesluiten voor ongeoorloofd gedrag, waaronder met betrekking tot fraude, oneerlijkheid, corruptie, witwassen van geld, terrorismefinanciering of andere financiële misdrijven of het nalaten van de invoering van adequaat beleid en procedures om dergelijke gebeurtenissen

voorgedaan, met details over deze gebeurtenissen en de eventuele betrokkenheid van de persoon in kwestie;

• xi. een eventueel ontslag uit een dienstbetrekking of vertrouwensfunctie, een eventuele verwijdering uit een vertrouwensrelatie (anders dan als gevolg van de beëindiging van de relevante relatie door het verstrijken van de tijd) en vergelijkbare situaties;
• d) een lijst van ondernemingen die de persoon leidt of waarover hij zeggenschap heeft en

percentage van de directe of indirecte zeggenschap over deze ondernemingen, hun status (of ze al of niet actief, opgeheven, enz. zijn), en een beschrijving van insolventie- of soortgelijke procedures;

• e) wanneer de reputatie van de persoon al door een bevoegde autoriteit in de sector financiële dienstverlening is beoordeeld, de identiteit van die autoriteit en de uitkomst van de beoordeling;
• f) de huidige financiële positie van de persoon, met bijzonderheden over de bronnen van inkomsten, activa en passiva, en verleende of ontvangen zekerheidsrechten en garanties;
• g) een beschrijving van eventuele banden met politiek prominente personen, als gedefinieerd in artikel 3, lid 9, van Richtlijn (EU) 2015/849⁴ .

15.3 Wanneer een persoon of entiteit die een gekwalificeerde deelneming heeft of, in het geval van een vergunning, krijgt, in het kapitaal van de aanvrager (met inbegrip van entiteiten die geen rechtspersoon zijn en die de participatie op hun eigen naam houden of dienen te houden), bevat de aanvraag de volgende informatie over de identiteit en geschiktheid van die rechtspersoon of entiteit:

• a) naam;
• b) wanneer de rechtspersoon of entiteit geregistreerd staat in een centraal register, handelsregister, bedrijvenregister of soortgelijk register met dezelfde doelen als die welke hiervoor zijn genoemd, indien mogelijk, een kopie van het bewijs van registratie of anders een inschrijvingscertificaat;
• c) de adressen van de statutaire zetel en, indien dit verschilt, van het hoofdkantoor van de entiteit, evenals de belangrijkste bedrijfszetel;
• d) contactgegevens;
• e) bedrijfsdocumenten of, wanneer de persoon of entiteit is geregistreerd in een andere lidstaat, een samenvatting waarin de belangrijkste juridische kenmerken van de rechtsvorm of de entiteit worden uiteengezet;
• f) of de rechtspersoon of entiteit ooit gereglementeerd is door een bevoegde autoriteit in de sector financiële dienstverlening of door een ander overheidsorgaan, of dat op dit moment is;
• g) wanneer deze kunnen worden verkregen, een officieel certificaat of een ander gelijkwaardig document als bewijs van de onder a) tot en met e) genoemde gegevens, verstrekt door de relevante bevoegde autoriteit;
• h) de in richtsnoer 15, punt 2, onder c), d), e), f) en g) genoemde informatie met betrekking tot de rechtspersoon of entiteit;
• i) een lijst met gegevens van elke persoon die daadwerkelijk leiding geeft aan de activiteiten van de rechtspersoon of entiteit, met hun naam, geboorteplaats en -datum, adres, nationaal identificatienummer, wanneer beschikbaar, en een gedetailleerd curriculum vitae (met vermelding van relevant onderwijs en opleiding, voorgaande beroepservaring, eventuele op dat moment verrichte beroepsactiviteiten of andere relevante functies), samen met de in richtsnoer 15, punt 2, onder c) en d) vermelde informatie met betrekking tot elk van die personen;
• j) de aandeelhoudersstructuur van de rechtspersoon met ten minste de naam, geboorteplaats en -datum, adres en, indien beschikbaar, het persoonlijke identificatienummer of registratienummer en het respectieve aandeel in het kapitaal en de stemrechten van directe of indirecte aandeelhouders of leden en uiteindelijke begunstigden, als gedefinieerd in artikel 3, lid 6, van Richtlijn (EU) 2015/849;
• k) een beschrijving van de onder toezicht staande financiële groep waarvan de aanvrager onderdeel is of kan worden, met vermelding van de moederonderneming en de krediet-, verzekerings- en effectenentiteiten binnen de groep; de naam van de bevoegde autoriteiten (op individuele of geconsolideerde basis); en
• l) jaarrekeningen op individueel en, waar van toepassing, geconsolideerd en gesubconsolideerd niveau van de groep, over de laatste drie boekjaren, wanneer de rechtspersoon of entiteit gedurende die periode in bedrijf is geweest (of, indien minder dan drie jaar, over de periode gedurende welke de rechtspersoon of entiteit in bedrijf is geweest en waarover jaarrekeningen zijn opgesteld), goedgekeurd door de wettelijke auditor of het auditkantoor in de zin van Richtlijn 2006/43/EG⁵ , wanneer toepasselijk, met inbegrip van elk van de volgende elementen:
• i. de balans;
• ii. de winst-en-verliesrekening of resultaatrekening;
• iii. de jaarverslagen en financiële bijlagen en andere stukken die bij het register of de bevoegde autoriteit van de rechtspersoon zijn gedeponeerd;
• m) wanneer de rechtspersoon nog niet lang genoeg in bedrijf is om jaarrekeningen te hoeven opstellen over de drie boekjaren onmiddellijk voorafgaand aan de aanvraagdatum, worden in de aanvraag de bestaande jaarrekeningen (voor zover aanwezig) verstrekt;
• n) wanneer de rechtspersoon of entiteit zijn hoofdkantoor in een derde land heeft, algemene informatie over de regelgeving in dat derde land, voor zover toepasselijk op de rechtspersoon of entiteit, met inbegrip van informatie over de mate waarin het stelsel voor de bestrijding van het witwassen van geld en terrorismefinanciering in dat derde land in overeenstemming is met de aanbevelingen van de Financial Actions Task Force;
• o) voor entiteiten die geen rechtspersoon zijn, zoals een collectieve beleggingsonderneming, een staatsfonds of een trust, wordt in de aanvraag de volgende informatie verstrekt:
• i. de identiteit van de personen die de activa beheren en de personen die begunstigden of inschrijvers zijn, houders van eenheden die de instelling voor collectieve belegging controleren of hierin een deelneming hebben die hen in staat stelt het nemen van besluiten door de instelling voor collectieve belegging te voorkomen;
• ii. een kopie van het oprichtingsdocument en de statuten van de entiteit, met inbegrip van het beleggingsbeleid en eventuele voor de entiteit geldende beperkingen op beleggingen.

15.4 De aanvraag omvat de volgende informatie voor elke natuurlijke of rechtspersoon of -entiteit die een gekwalificeerde deelneming heeft of, in het geval van een vergunning, krijgt in het kapitaal van de aanvrager:

• a) gegevens over de financiële of zakelijke redenen van de betrokken persoon of entiteit voor het bezitten van die deelneming en de strategie van de persoon of entiteit ten aanzien van de deelneming, waaronder de periode gedurende welke de persoon of entiteit voornemens is de deelneming aan te houden en een eventueel voornemen het niveau van de deelneming in de nabije toekomst te verhogen, te verlagen of gelijk te houden;
• b) gegevens over de intenties van de persoon of entiteit ten aanzien van de aanvrager en de invloed die de persoon of entiteit van plan is uit te oefenen op de aanvrager, ook met betrekking tot het dividendbeleid, de strategische ontwikkeling en de toewijzing van middelen van de aanvrager, of de persoon of entiteit wel of niet voornemens is op te treden als een actieve minderheidsaandeelhouder, en de redenen voor dat voornemen;
• c) informatie over de bereidheid van de persoon of entiteit de aanvrager te ondersteunen met extra eigen middelen als dat nodig is voor de uitbreiding van diens activiteiten of in het geval van financiële problemen;
• d) de inhoud van eventuele beoogde overeenkomsten van de aandeelhouder of het lid met andere aandeelhouders of leden met betrekking tot de aanvrager;
• e) een analyse van de vraag of de gekwalificeerde deelneming op enige wijze, ook als gevolg van nauwe banden van de persoon met de aanvrager, van invloed is op het vermogen van de aanvrager om tijdige en juiste informatie te verstrekken aan de bevoegde autoriteiten;
• f) de identiteit van elk lid van het leidinggevend orgaan of de directie dat de activiteiten van de aanvrager zal leiden en is benoemd of voorgedragen door die aandeelhouders of leden, samen met, voor zover niet al eerder verstrekt, de in richtsnoer 16 uiteengezette informatie.

15.5 De aanvraag bevat een gedetailleerde uitleg over de specifieke financieringsbronnen voor de deelneming van elke persoon of entiteit met een gekwalificeerde deelneming in het kapitaal van de aanvrager. Deze omvat:

• a) gegevens over het gebruik van particuliere financiële middelen en de beschikbaarheid daarvan (om te zorgen dat de bevoegde autoriteit ervan overtuigd is dat de activiteit waarmee de middelen zijn gegenereerd, legitiem is) en de bron;
• b) bijzonderheden van de toegang tot financiële markten, met bijzonderheden van de uit te geven financiële instrumenten;
• c) informatie over het gebruik van geleende middelen, waaronder de naam van de leners en bijzonderheden over de verleende faciliteiten, zoals vervaldata, voorwaarden, zekerheidsrechten en garanties, evenals informatie over de inkomstenbron die zal worden gebruikt om dergelijke leningen terug te betalen; wanneer de lener geen kredietinstelling of financiële instelling met een vergunning voor het verlenen van krediet is, verstrekt de aanvrager de bevoegde autoriteiten informatie over de herkomst van de geleende middelen;
• d) informatie over eventuele financiële regelingen met andere personen die aandeelhouder of lid van de aanvrager zijn.

Richtsnoer 16: Identiteit en geschiktheidsbeoordeling van bestuurders en personen die verantwoordelijk zijn voor het beheer van de instelling voor elektronisch geld

16.1 Met betrekking de identiteit en de geschiktheidsbeoordeling van bestuurders en personen die verantwoordelijk zijn voor het beheer van de instelling voor elektronisch geld, verstrekt de aanvrager de volgende informatie:

• a) persoonsgegevens, waaronder:
• i. hun volledige naam, geslacht, geboorteplaats en -datum, adres en nationaliteit, en hun persoonlijke identificatienummer of een kopie van hun ID-kaart of gelijkwaardig document;
• ii. gegevens over de functie waarvoor de beoordeling wordt gevraagd, of de functie in het leidinggevend orgaan uitvoerend of niet-uitvoerend is. Hiertoe behoren onder andere de volgende gegevens:

• b) waar toepasselijk, informatie over de geschiktheidsbeoordeling die door de aanvrager is uitgevoerd; deze omvat bijzonderheden over de uitkomst van een eventuele beoordeling van de geschiktheid van de persoon die door de instelling is uitgevoerd, zoals relevante notulen van bestuursvergaderingen, verslagen van geschiktheidsbeoordelingen of andere documenten;

bijzonderheden over onderwijs en beroepservaring, waaronder academische kwalificaties, andere relevante opleidingen, de naam en de aard van alle organisaties waarvoor de persoon werkt of heeft gewerkt, en de aard en duur van de vervulde functies, waarbij in het bijzonder aandacht wordt besteed aan eventuele activiteiten binnen de reikwijdte van de beoogde functie;

• d) bewijs van de goede reputatie, eerlijkheid en integriteit:
• i. strafregisters en relevante informatie over strafrechtelijke onderzoeken en procedures, relevante civielrechtelijke en administratieve zaken en disciplinaire acties, waaronder onbekwaamverklaring als bestuurder van een onderneming, faillissements-, insolventie- en soortgelijke procedures, in het bijzonder in de vorm van een officieel certificaat of een objectief betrouwbare informatiebron betreffende het niet bestaan van een strafrechtelijke veroordeling, onderzoek of procedure, zoals onderzoeken door derden, en door een in de Europese Unie gevestigde advocaat of notaris opgestelde getuigenverklaring;
• ii. een verklaring dat de betreffende persoon of een organisatie waarover hij de leiding heeft, al dan niet voorwerp is van een lopende strafrechtelijke procedure of als schuldenaar betrokken is geweest bij een insolventie- of vergelijkbare procedure.
• iii. Informatie over het volgende:

Richtsnoer 17: Identiteit van de wettelijke auditors en auditkantoren

De door de aanvrager te verstrekken identiteit van wettelijke auditors en auditkantoren als gedefinieerd in Richtlijn 2006/43/EG, bevatten, waar relevant, hun namen, adressen en contactgegevens.

Richtsnoer 18: Beroepsaansprakelijkheidsverzekering of een vergelijkbare waarborg voor betalingsinitiatiediensten en rekeninginformatiediensten

Als bewijs van een beroepsaansprakelijkheidsverzekering of een vergelijkbare waarborg die in overeenstemming is met de EBA-richtsnoeren betreffende de criteria voor de vaststelling van het minimumgeldbedrag van de beroepsaansprakelijkheidsverzekering of andere vergelijkbare waarborg (EBA/GL/2017/08) en artikel 5, leden 2 en 3, van PSD2, verstrekt de aanvrager van een vergunning als instelling voor elektronisch geld die, in aanvulling op diensten voor elektronisch geld, voornemens is BID of RID aan te bieden, de volgende gegevens:

• a) een verzekeringscontract of ander document dat het bestaan van een beroepsaansprakelijkheidsverzekering of vergelijkbare waarborg bevestigt, met een dekkingsbedrag dat in overeenstemming is met de genoemde EBA-richtsnoeren, waaruit de dekking van de respectieve aansprakelijkheden blijkt;
• b) documentatie van de wijze waarop de aanvrager het minimumbedrag heeft berekend op een manier die in overeenstemming is met de genoemde EBA-richtsnoeren (EBA/GL/2017/08), met inbegrip van een specificatie van alle toepasselijke onderdelen van de formule.

⁴ Richtlijn (EU) 2015/849 van het Europees Parlement en de Raad van 20 mei 2015 inzake de voorkoming van het gebruik van het financiële stelsel voor het witwassen van geld of terrorismefinanciering (PB L 141 van 5.6.2015, blz. 73).

⁵ Richtlijn 2006/43/EG van het Europees Parlement en de Raad van 17 mei 2006 betreffende de wettelijke controles van jaarrekeningen en geconsolideerde jaarrekeningen, tot wijziging van de Richtlijnen 78/660/EEG en 83/349/EEG van de Raad en houdende intrekking van Richtlijn 84/253/EEG van de Raad (PB L 157 van 9.6.2006, blz. 87-107).

Richtsnoer 1: Beoordeling van de volledigheid van de aanvraag

1.1. Een aanvraag wordt geacht volledig te zijn ten behoeve van artikel 12 van Richtlijn (EU) 2015/2366 als deze alle gegevens bevat die de bevoegde autoriteiten nodig hebben om de aanvraag te beoordelen overeenkomstig deze richtsnoeren en artikel 5 van Richtlijn (EU) 2015/2366.

1.2. Wanneer wordt geoordeeld dat de in de aanvraag verstrekte gegevens onvolledig zijn, stuurt de bevoegde autoriteit, op papier of langs elektronische weg, een verzoek aan de aanvrager, waarin zij duidelijk aangeeft welke informatie ontbreekt en geeft zij de aanvrager de gelegenheid de ontbrekende informatie in te dienen.

1.3. Wanneer wordt geoordeeld dat een aanvraag volledig is, stelt de bevoegde autoriteit de aanvrager daarvan op de hoogte, samen met de datum van ontvangst van de volledige aanvraag of, afhankelijk van het geval, de datum van ontvangst van de gegevens die de aanvraag compleet hebben gemaakt.

1.4. De bevoegde autoriteit mag te allen tijde van de aanvrager verlangen dat hij ten behoeve van de beoordeling een verduidelijking verstrekt over de informatie.

1.5. Wanneer een aanvraag informatie bevat of gebaseerd is op informatie in handen van de bevoegde autoriteiten, die niet langer waar, nauwkeurig of volledig is, wordt onmiddellijk een bijgewerkte aanvraag verstrekt aan de bevoegde autoriteiten. In de bijgewerkte aanvraag wordt aangegeven om welke informatie het gaat, waar deze zich binnen de oorspronkelijke aanvraag bevindt, om welke reden de informatie niet meer waar, nauwkeurig of volledig is, hoe de bijgewerkte informatie luidt en een bevestiging dat de rest van de informatie in de aanvraag nog altijd waar, nauwkeurig en volledig is.

Guideline 1: General principles

1.1 This set of guidelines applies to applicants for authorisation as electronic money institutions (EMIs).This refers to applicants that intend to provide e-money services and, if applicable, any payment service(s) referred to in points 1-8 of Annex I to PSD2. Applicants that intend to provide only payment services referred to in points 1-7 of Annex I to PSD2 or service 8 referred to in this Annex in combination with other service(s) referred to in points 1-7 without providing e-money services should refer to the specific set of guidelines on the information required from applicants for authorisation as payment institutions (PIs) set out in section 4.1. Applicants that intend to provide only the payment service referred to in point 8 of Annex I to PSD2 without providing e-money services should refer to the guidelines on the information required from applicants for registration for the provision of only service 8 of Annex I PSD2 set out in section 4.2.

1.2 The information provided by applicants should be true, complete, accurate and up to date. All applicants should comply with all the provisions in the set of guidelines that applies to them. The level of detail should be proportionate to the applicant’s size and internal organisation, and to the nature, scope, complexity and riskiness of the particular service(s) that the applicant intends to provide. In any event, in accordance with Directive (EU) 2015/2366, the directors and the persons responsible for the management of the electronic money institution are of good repute and possess appropriate knowledge and experience to perform payment services, regardless of the institution’s size, internal organisation and the nature, scope and complexity of its activities and the duties and responsibilities of the specific position.

1.3 When submitting the information required, the applicant should avoid making references to specific sections of internal procedures/documents. Instead, the applicant should extract the relevant sections and provide these to the competent authority.

1.4 Should the competent authorities (CAs) require clarifications on the information that has been submitted, the applicant should provide such clarification without delay. 1.5 All data requested under these guidelines for authorisation as EMIs are needed for the assessment of the application and will be treated by the competent authority in accordance with the professional secrecy obligations set out in PSD2, without prejudice to applicable Union law and national requirements and procedures on the exercise of the right to access, rectify, cancel or oppose.

Guideline 2: Identification details

2.1 The identification details to be provided by the applicant should contain the following information:

• a) the applicant’s corporate name and, if different, trade name;
• b) an indication of whether the applicant is already incorporated or in the process of incorporation;
• c) the applicant’s national identification number, if applicable;
• d) the applicant’s legal status and (draft) articles of association and/or constitutional documents evidencing the applicant’s legal status;
• e) the address of the applicant’s head office and registered office;
• f) the applicant’s electronic address and website, if available;
• g) the name(s) of the person(s) in charge of dealing with the application file and authorisation procedure, and their contact details;
• h) an indication of whether or not the applicant has ever been, or is currently being, regulated by a competent authority in the financial services sector;
• i) any trade association(s), in relation to the provision of e-money services and/or payment services, that the applicant plans to join, where applicable;
• j) the register certificate of incorporation or, if applicable, negative certificate of a mercantile register that certifies that the name applied by the company is available;
• k) evidence of the payment of any fees or of the deposit of funds to file an application for authorisation as an electronic money institution, where applicable under national law.

Guideline 3: Programme of operations

3.1 The programme of operations to be provided by the applicant should contain the following information:

• a) an indication of the e-money services the applicant intends to provide: issuance, redemption, distribution;
• b) if applicable, a step-by-step description of the type of payment services envisaged, including an explanation of how the activities and the operations that will be provided are identified by the applicant as fitting into any of the legal categories of payment services listed in Annex I to PSD2, and an indication of whether these payment services would be provided in addition to electronic money services or whether they are linked to the issuance of electronic money;
• c) a declaration of whether the applicant will at any point enter or not into possession of funds;
• d) if applicable, a description of the execution of the different e-money services and, if applicable, payment services, detailing all parties involved, for each e-money service and, if applicable, each payment service provided:
• i. a diagram of flow of funds;
• ii. settlement arrangements;

services including those with payment card schemes, if applicable;

• iv. processing times;
• e) a copy of the draft contract between the electronic money issuer and the electronic money holder and the draft framework contract, as defined in Article 4(21) of PSD2 if the applicant pretends to provide payment services in addition to e-money services;
• f) the estimated number of different premises from which the applicant intends to provide the services, if applicable;
• g) a description of any ancillary services to e-money services and, if applicable, to payment services;
• h) when the applicant intends to provide payment services in addition to e-money services, a declaration of whether or not the applicant intends to grant credit and, if so, within which limits;
• i) a declaration of whether or not the applicant plans to provide e-money services and, if applicable, payment services in other EU Member States or third countries after the granting of the licence;
• j) an indication of whether or not the applicant intends, for the next three years, to provide or already provides business activities other than e-money services and, if applicable, payment services, as referred to in Article 11(5) of Directive (EU) 2015/2366, including a description of the type and expected volume of the activities;
• k) the information specified in EBA Guidelines on the criteria on how to stipulate the minimum monetary amount of the professional indemnity insurance or other comparable guarantee under Article 5(4) of Directive (EU) 2015/2366’ (EBA/GL2017/08), where the applicant intends to provide services 7 and 8 (payment initiation services (PIS) and account information services (AIS)).

Guideline 4: Business plan

4.1. The business plan to be provided by the applicant should contain:

• a) a marketing plan consisting of:
• i. an analysis of the company’s competitive position in the e-money market and, if applicable, payment market segment concerned;
• ii. a description of the payment service users and electronic money holders, marketing materials and distribution channels;
• b) certified annual accounts for the previous three years, if available, or a summary of the financial situation for those companies that have not yet produced annual accounts;
• c) a forecast budget calculation for the first three financial years that demonstrates that the applicant is able to employ appropriate and proportionate systems, resources and procedures that allow the applicant to operate soundly; it should include:
• i. an income statement and balance-sheet forecast, including target scenarios and stress scenarios as well as their base assumptions, such as volume and value of transactions, number of clients, pricing, average amount per transaction, expected increase in profitability threshold;
• ii. explanations of the main lines of income and expenses, the financial debts and the capital assets;
• iii. a diagram and detailed breakdown of the estimated cash flows for the next three years;

with method D, as referred to in Article 5.3 of Directive (EU) 2009/110 (the second E-Money Directive (EMD2)), if the electronic money institution intends to provide e-money services only, or the method(s) referred to in Article 9 of Directive (EU) 2015/2366 (PSD2) as determined by the competent authority, if the applicant intends to provide payment services in addition to e-money services, including an annual projection of the breakdown of own funds for three years according to the method used and, If applicable, an annual projection of the own funds for three years according to the other methods used.

Guideline 5: Structural organisation

5.1. The applicant should provide a description of the structural organisation of its undertaking consisting of:

• a) a detailed organisational chart, showing each division, department or similar structural separation, including the name of the person(s) responsible, in particular those in charge of internal control functions; the chart should be accompanied by a description of the functions and responsibilities of each division, department or similar structural separation;
• b) an overall forecast of the staff numbers for the next three years;
• c) a description of the relevant operational outsourcing arrangements consisting of:
• i. the identity and geographical location of the outsourcing provider;
• ii. the identity of the persons within the electronic money institution that are responsible for each of the outsourced activities;
• iii. a clear description of the outsourced activities and their main characteristics;
• d) a copy of draft outsourcing agreements;
• e) a description of the use of branches, agents and distributors, where applicable, including:
• i. a mapping of the off-site and on-site checks that the applicant intends to perform of branches, agents and distributors;
• ii. the IT systems, processes and infrastructure that are used by the applicant’s agents and distributors to perform activities on behalf of the applicant;
• iii. in the case of agents and distributors, the selection policy, monitoring procedures, agents’ and distributor’s training and, where available, the draft terms of engagement of agents and distributors;
• f) an indication of the national and/or international payment system that the applicant will access, if applicable;
• g) a list of all natural or legal persons that have close links with the applicant, indicating their identities and the nature of those links.

Guideline 6: Evidence of initial capital

6.1. For the evidence of initial capital to be provided by the applicant (of EUR 350 000), the applicant should submit the following documents:

• a) for existing undertakings, an audited account statement or public register certifying the amount of capital of the applicant;
• b) for undertakings in the process of being incorporated, a bank statement issued by a bank certifying that the funds are deposited in the applicant’s bank account.

Guideline 7: Measures to safeguard the funds of electronic money users and/or payment service users

7.1. Where the applicant safeguards the electronic money users’ and/or payment service users’ funds through depositing funds in a separate account in a credit institution or through an investment in secure, liquid, low-risk assets, the description of the safeguarding measures should contain:

• a) a description of the investment policy to ensure the assets chosen are liquid, secure and low risk, if applicable;
• b) the number of persons that have access to the safeguarding account and their functions;
• c) a description of the administration and reconciliation process for electronic money users and, if applicable, payment service users, against the claims of other creditors of the electronic money institution, in particular in the event of insolvency;
• d) a copy of the draft contract with the credit institution;
• e) an explicit declaration by the electronic money institution of compliance with Article 10 of PSD2. 7.2. Where the applicant safeguards the funds of the electronic money users and, if applicable, the payment service users through an insurance policy or comparable guarantee from an insurance company or credit institution, and unless the applicant intends to provide PIS only, the description of the safeguarding measures should contain the following:
• a) a confirmation that the insurance policy or comparable guarantee from an insurance company or credit institution is from an entity that is not part of the same group of firms as the applicant;
• b) details of the reconciliation process in place to ensure that the insurance policy or comparable guarantee is sufficient to meet the applicant’s safeguarding obligations at all times;
• c) duration and renewal of the coverage;
• d) a copy of the (draft) insurance agreement or (draft) comparable guarantee.

Guideline 8: Governance arrangements and internal control mechanisms

8.1. The applicant should provide a description of the governance arrangement and internal control mechanisms consisting of:

• a) a mapping of the risks identified by the applicant, including the type of risks and the procedures the applicant will put in place to assess and prevent such risks, in relation to e-money services and, if applicable, payment services;
• b) the different procedures to carry out periodical and permanent controls, including the frequency and the human resources allocated;
• c) the accounting procedures by the which the applicant will record and report its financial information;
• d) the identity of the person(s) responsible for the internal control functions, including for periodic, permanent and compliance control, as well as an up-to-date curriculum vitae;
• e) the identity of any auditor that is not a statutory auditor pursuant to Directive 2006/43/EC;
• f) the composition of the management body and, if applicable, any other oversight body or committee;
• g) a description of the way outsourced functions are monitored and controlled so as to avoid an impairment in the quality of the electronic money institution’s internal controls;
• h) a description of the way any agents, branches and distributors are monitored and controlled within the framework of the applicant’s internal controls;
• i) where the applicant is the subsidiary of a regulated entity in another EU Member State, a description of the group governance.

Guideline 9: Procedure for monitoring, handling and following up on security incidents and security-related customer complaints

9.1. The applicant should provide a description of the procedure in place to monitor, handle and follow up on security incidents and security-related customer complaints to be provided by the applicant, which should contain:

• a) organisational measures and tools for the prevention of fraud;
• b) details of the individuals and bodies responsible for assisting customers in cases of fraud, technical issues and/or claim management;
• c) reporting lines in cases of fraud;
• d) the contact point for customers, including a name and email address;
• e) the procedures for the reporting of incidents, including the communication of these reports to internal or external bodies, including for applicants that intend to provide payment services in addition to e-money services, and the notification of major

the EBA guidelines on incident reporting under the referred Article.

• f) the monitoring tools used and the follow-up measures and procedures in place to mitigate security risks.

Guideline 10: Process for filing, monitoring, tracking and restricting access to sensitive payment data

10.1. The applicant should provide a description of the process in place to file, monitor, track and restrict access to sensitive payment data consisting of:

• a) a description of the flows of data classified as sensitive payment data in the context of the electronic money institution’s business model;
• b) the procedures in place to authorise access to the sensitive payment data;
• c) a description of the monitoring tool;
• d) the access right policy, detailing access to all relevant infrastructure components and systems, including databases and back-up infrastructures;
• e) a description of how the collected data are filed;
• f) the expected internal and/or external use of the collected data, including by counterparties;
• g) the IT system and technical security measures that have been implemented, including encryption and/or tokenisation;
• h) identification of the individuals, bodies and/or committees with access to the sensitive payment data;
• i) an explanation of how breaches will be detected and addressed;
• j) an annual internal control programme in relation to the safety of the IT systems.

Guideline 11: Business continuity arrangements

consisting of the following information:

• a) a business impact analysis, including the business processes and recovery objectives, such as recovery time objectives, recovery point objectives and protected assets;
• b) the identification of the back-up site and access to IT infrastructure, and the key software and data to recover from a disaster or disruption;
• c) an explanation of how the applicant will deal with significant continuity events and disruptions, such as the failure of key systems; the loss of key data; the inaccessibility of the premises; and the loss of key persons;
• d) the frequency with which the applicant intends to test the business continuity and disaster recovery plans, including how the results of the testing will be recorded;
• e) a description of the mitigation measures to be adopted by the applicant, in cases of the termination of its payment services, ensuring the execution of pending payment transactions and the termination of existing contracts. Guideline 12: The principles and definitions applicable to the collection of statistical data on performance, transactions and fraud.

12.1. The applicant should provide a description of the principles and definitions applicable to the collection of the statistical data on performance, transactions and fraud consisting of the following information:

• a) the type of data that is collected, in relation to customers, type of payment service, channel, instrument, jurisdictions and currencies;
• b) the scope of the collection, in terms of the activities and entities concerned, including branches, agents and distributors;
• c) the means of collection;
• d) the purpose of collection;
• e) the frequency of collection;
• f) supporting documents, such as a manual, that describe how the system works.

Guideline 13: Security policy document

service(s) and, where applicable, payment service(s) containing the following information:

• a) a detailed risk assessment of the e-money service(s) and, where applicable, the payment service(s) the applicant intends to provide, which should include risks of fraud and the security control and mitigation measures taken to adequately protect e-money service users and, where applicable, payment service users against the risks identified;
• b) a description of the IT systems, which should include:
• i. the architecture of the systems and their network elements;
• ii. the business IT systems supporting the business activities provided, such as the applicant’s website, wallets, the payment engine, the risk and fraud management engine, and customer accounting;
• iii. the support IT systems used for the organisation and administration of the electronic money institution, such as accounting, legal reporting systems, staff management, customer relationship management, e-mail servers, internal file servers;
• iv. information on whether those systems are already used by the electronic money institution or its group, and the estimated date of implementation, if applicable;
• c) the type of authorised connections from outside, such as with partners, service providers, entities of the group and employees working remotely, including the rationale for such connections;
• d) for each of the connections listed under point c), the logical security measures and mechanisms in place, specifying the control the electronic money institution will have over such access as well as the nature and frequency of each control, such as technical versus organisational; preventative versus detective; and real-time monitoring versus regular reviews, such as the use of an active directory separate from the group, the opening/closing of communication lines, security equipment configuration, generation

confidentiality of communication, intrusion detection, antivirus systems and logs;

• e) the logical security measures and mechanisms that govern the internal access to IT systems, which should include:
• i. the technical and organisational nature and frequency of each measure, such as whether it is preventative or detective and whether or not it is carried out in real time;
• ii. how the issue of client environment segregation is dealt with in cases where the applicant’s IT resources are shared;
• f) the physical security measures and mechanisms of the premises and the data centre of the applicant, such as access controls and environmental security;

include:

• i. the customer authentication procedure used for both consultative and transactional access, and for all underlying payment instruments;
• ii. an explanation of how safe delivery to the legitimate e-money services user and, where applicable, payment service user and the integrity of authentication factors, such as hardware tokens and mobile applications, are ensured, at the time of both initial enrolment and renewal;
• iii. a description of the systems and procedures that the electronic money institution has in place for transaction analysis and the identification of suspicious or unusual transactions;
• h) a detailed risk assessment in relation to its e-money services and, where applicable, its payment services, including fraud, with a link to the control and mitigation measures explained in the application file, demonstrating that the risks are addressed;
• i) a list of the main written procedures in relation to the applicant’s IT systems or, for procedures that have not yet been formalised, an estimated date for their finalisation.

Guideline 14: Internal control mechanisms to comply with obligations in relation to money laundering and terrorist financing (AML/CFT obligations)

14.1 The description of the internal control mechanisms that the applicant has established in order to comply, where applicable, with those obligations should contain the following information:

• a) the applicant’s assessment of the money laundering and terrorist financing risks associated with its business, including the risks associated with the applicant’s customer base, the products and services provided, the distribution channels used and the geographic areas of operation;
• b) the measures the applicant has or will put in place to mitigate the risks and comply with applicable anti-money laundering and counter terrorist financing obligations, including the applicant’s risk assessment process, the policies and procedures to comply with customer due diligence requirements, and the policies and procedures to detect and report suspicious transactions or activities;
• c) the systems and controls the applicant has or will put in place to ensure that its branches, agents and distributors comply with applicable anti-money laundering and terrorist financing requirements, including, in cases where the agent, distributor or branch is located in another Member State;
• d) arrangements the applicant has or will put in place to ensure that staff, agents and distributors are appropriately trained in anti-money laundering and counter terrorist financing matters;
• e) the identity of the person in charge of ensuring the applicant’s compliance with anti-money laundering and counter-terrorism obligations, and evidence that their anti-money laundering and counter-terrorism expertise is sufficient to enable them to fulfil this role effectively;
• f) the systems and controls the applicant has or will put in place to ensure their anti-money laundering and counter terrorist financing policies and procedures remain up to date, effective and relevant;
• g) the systems and controls the applicant has or will put in place to ensure that the agents and distributors do not expose the applicant to increased money laundering and terrorist financing risk;
• h) the anti-money laundering and counter-terrorism manual for the staff of the applicant.

Guideline 15: Identity and suitability assessment of persons with qualified holdings in the applicant

15.1 For the purposes of the identity and evidence of the suitability of persons with qualifying holdings in the applicant electronic money institution, without prejudice to the assessment in accordance with the criteria, as relevant, introduced with Directive 2007/44/EC and specified in the joint guidelines for the prudential assessment of acquisitions of qualifying holdings (JC/GL/2016/01), the applicant should submit the following information:

• a) a description of the group to which the applicant belongs and an indication of the parent undertaking, where applicable;
• b) a chart setting out the shareholder structure of the applicant, including:
• i. the name and the percentage holding (capital/voting right) of each person that has or will have a direct holding in the share capital of the applicant, identifying those that are considered as qualifying holders and the reason for such qualifications;
• ii. the name and the percentage holding (capital/voting rights) of each person that has or will have an indirect holding in the share capital of the applicant, identifying those that are considered as indirect qualifying holders and the reason for such qualification;
• c) a list of the names of all persons and other entities that have or, in the case of authorisation, will have qualifying holdings in the applicant’s capital, indicating for each such person or entity:
• i. the number and type of shares or other holdings subscribed or to be subscribed;
• ii. the nominal value of such shares or other holdings.

15.2 Where a person who has or, in the case of authorisation, will have a qualifying holding in the applicant’s capital is a natural person, the application should set out all of the following information relating to the identity and suitability of that person:

• a) the person’s name and name at birth, date and place of birth, citizenship (current and previous), identification number (where available) or passport number, address and a copy of an official identity document;
• b) a detailed curriculum vitae stating the education and training, previous professional experience and any professional activities or other functions currently performed;
• c) a statement, accompanied by supporting documents, containing the following information concerning the person:
• i. subject to national legislative requirements concerning the disclosure of spent convictions, any criminal conviction or proceedings where the person has been found against and which were not set aside;
• ii. any civil or administrative decisions in matters of relevance to the assessment

each case which were not set aside and against which no appeal is pending or may be filed;

• iii. any bankruptcy, insolvency or similar procedures;
• iv. any pending criminal investigations;
• v. any civil or administrative investigations, enforcement proceedings, sanctions

may be considered to be relevant to the authorisation to commence the activity of an electronic money institution or to the sound and prudent management of an electronic money institution;

• vi. where such documents can be obtained, an official certificate or any other equivalent document evidencing whether any of the events set out in sub-paragraphs (i)-(v) has occurred in respect of the relevant person;
• vii. any refusal of registration, authorisation, membership or licence to carry out trade, business or a profession;
• viii. any withdrawal, revocation or termination of a registration, authorisation, membership or licence to carry out trade, business or a profession;
• ix. any expulsion by an authority or public sector entity in the financial services sector or by a professional body or association;
• x. any position of responsibility with an entity subject to any criminal conviction or proceedings, administrative investigations, sanctions or other enforcement decisions for conduct failings, including in respect of fraud, dishonesty, corruption, money laundering, terrorist financing or other financial crime, or

events, held at the time when the alleged conduct occurred, together with details of such occurrences and of the person’s involvement, if any, in them;

• xi. any dismissal from employment or a position of trust, any removal from a fiduciary relationship (other than as a result of the relevant relationship coming to an end by passage of time) and any similar situation;
• d) a list of undertakings that the person directs or controls and of which the applicant is aware of after due and careful enquiry; the percentage of control either direct or indirect in these companies; their status (whether or not they are active, dissolved, etc.); and a description of insolvency or similar procedures;
• e) where an assessment of reputation of the person has already been conducted by a competent authority in the financial services sector, the identity of that authority and the outcome of the assessment;

revenues, assets and liabilities, security interests and guarantees, whether granted or received;

• g) a description of any links to politically exposed persons, as defined in Article 3(9) of Directive (EU) 2015/849⁵ .

15.3 Where a person or entity who has or, in the case of authorisation, will have a qualifying holding in the applicant’s capital (including entities that are not a legal person and which hold or should hold the participation in their own name), the application should contain the following information relating to the identity and suitability of that legal person or entity:

• a) name;
• b) where the legal person or entity is registered in a central register, commercial register, companies register or similar register that has the same purposes of those aforementioned, a copy of the good standing, if possible, or otherwise a registration certificate;
• c) the addresses of its registered office and, where different, of its head office, and principal place of business;
• d) contact details;
• e) corporate documents or, where the person or entity is registered in another Member State, a summary explanation of the main legal features of the legal form or the entity;
• f) whether or not the legal person or entity has ever been or is regulated by a competent authority in the financial services sector or other government body;
• g) where such documents can be obtained, an official certificate or any other equivalent document evidencing the information set out in paragraphs (a) to (e) issued by the relevant competent authority;
• h) the information referred to in Guideline 15(2)(c), 15(2)(d), 15(2)(e),15(2)(f) and 15(2)(g) a in relation to the legal person or entity;
• i) a list containing details of each person who effectively directs the business of the legal person or entity, including their name, date and place of birth, address, their national identification number, where available, and detailed curriculum vitae (stating relevant education and training, previous professional experience, any professional activities or other relevant functions currently performed), together with the information referred to in Guideline 15(2)(c) and 15(2)(d) in respect of each such person;
• j) the shareholding structure of the legal person, including at least their name, date and place of birth, address and, where available, personal identification number or registration number and the respective share of capital and voting rights of direct or indirect shareholders or members and beneficial owners, as defined in Article 3(6) of Directive (EU) 2015/849;
• k) a description of the regulated financial group of which applicant is a part, or may become a part, indicating the parent undertaking and the credit, insurance and security entities within the group; the name of their competent authorities (on an individual or consolidated basis); and
• l) annual financial statements, at the individual and, where applicable, the consolidated and sub-consolidated group levels, for the last three financial years, where the legal person or entity has been in operation for that period (or, if less than three years, the period for which the legal person or entity has been in operation and financial statements were prepared), approved by the statutory auditor or audit firm within the meaning of Directive 2006/43/EC⁶ , where applicable, including each of the following items:
• i. the balance sheet;
• ii. the profit-and-loss accounts or income statement;
• iii. the annual reports and financial annexes and any other documents registered with the relevant registry or competent authority of the legal person;
• m) where the legal person has not been operating for a sufficient period to be required to prepare financial statements for the three financial years immediately prior to the date of the application, the application shall set out the existing financial statements (if any);

information on the regulatory regime of that third country as applicable to the legal person or entity, including information on the extent to which the third country’s anti-money laundering and counter-terrorist financing regime is consistent with the Financial Action Task Force Recommendations;

undertaking, a sovereign wealth fund or a trust, the application shall set out the following information:

• i. the identity of the persons who manage assets and of the persons who are beneficiaries or subscribers, unit holders controlling the collective investment undertaking or having a holding enabling them to prevent the taking of decisions by the collective investment undertaking;
• ii. a copy of the document establishing and governing the entity including the investment policy and any restrictions on investment applicable to the entity.

15.4 The application shall set out all of the following information for each natural or legal person or entity who has or, in the case of authorisation, will have a qualifying holding in the capital of the applicant should contain the following:

• a) details of that person’s or entity’s financial or business reasons for owning that holding and the person’s or the entity’s strategy regarding the holding, including the period for which the person or the entity intends to hold the holding and any intention to increase, reduce or maintain the level of the holding in the foreseeable future;
• b) details of the person’s or entity’s intentions in respect of the applicant and of the influence the person or the entity intends to exercise over the applicant, including in respect of the dividend policy, the strategic development and the allocation of resources of the applicant, whether or not it intends to act as an active minority shareholder and the rationale for such intention;

additional own funds if needed for the development of its activities or in the case of financial difficulties;

• d) the content of any intended shareholder’s or member’s agreements with other shareholders or members in relation to the applicant;
• e) an analysis as to whether or not the qualifying holding will impact in any way, including as a result of the person’s close links to the applicant, on the ability of the applicant to provide timely and accurate information to the competent authorities;
• f) the identity of each member of the management body or of senior management who will direct the business of the applicant and will have been appointed by, or following a nomination from, such shareholders or members, together with, to the extent not already provided, the information set out in Guideline 16 below.

15.5 The application should set out a detailed explanation of the specific sources of funding for the participation of each person or entity having a qualifying holding in the applicant’s capital, which should include:

• a) details on the use of private financial resources, including their availability and (so as to

funds is legitimate) source;

• b) details on access to financial markets, including details of financial instruments to be issued;

authorised to grant credit, the applicant should provide to the competent authorities information on the origin of the borrowed funds;

• d) information on any financial arrangement with other persons who are shareholders or members of the applicant. Guideline 16: Identity and suitability assessment of directors and persons responsible for the management of the electronic money institution

16.1 For the purposes of the identity and suitability assessment of directors and persons responsible for the management of the electronic money institution, the applicant should provide the following information:

• a) Personal details including:

personal identification number or copy of ID card or equivalent.

• ii. details of the position for which the assessment is sought, whether or not the management body position is executive or non-executive. This should also include the following details:

• b) where applicable, information on the suitability assessment carried out by the applicant which should include details of the result of any assessment of the suitability of the individual performed by the institution, such as relevant board minutes or suitability assessment reports or other documents;
• c) evidence of knowledge, skills and experience, which should include a curriculum vitae containing details of education and professional experience, including academic qualifications, other relevant training, the name and nature of all organisations for which the individual works or has worked, and the nature and duration of the functions performed, in particular highlighting any activities within the scope of the position sought;
• d) evidence of reputation, honesty and integrity, which should include:
• i. criminal records and relevant information on criminal investigations and proceedings, relevant civil and administrative cases, and disciplinary actions, including disqualification as a company director, bankruptcy, insolvency and similar procedures, notably through an official certificate or any objectively reliable source of information concerning the absence of criminal conviction, investigations and proceedings, such as third-party investigations, testimonies made by a lawyer or a notary established in the European Union;
• ii. a statement as to whether criminal proceedings are pending or the person or any organisation managed by him or her has been involved as a debtor in insolvency proceedings or comparable proceedings;
• iii. information concerning the following :

Guideline 17: Identity of statutory auditors and audit firms

The identity of statutory auditors and audit firms as defined in Directive 2006/43/EC to be provided by the applicant, where relevant, should contain the names, addresses and contact details of auditors.

Guideline 18: Professional indemnity insurance or a comparable guarantee for payment initiation services and account information services

As evidence of a professional indemnity insurance or comparable guarantee that is compliant with EBA Guidelines on the criteria on how to stipulate the minimum monetary amount of the professional insurance or other comparable guarantee (EBA/GL/2017/08) and Article 5(2) and 5(3) of PSD2, the applicant for authorisation as electronic money institutions that, in addition to e-money services, intends to provide PIS or AIS, should provide the following information:

• a) an insurance contract or other equivalent document confirming the existence of the professional indemnity insurance or comparable guarantee, with a cover amount that is compliant with the referred EBA Guidelines, showing the coverage of the respective liabilities;
• b) documentation of how the applicant has calculated the minimum amount in a way that is compliant with the referred EBA Guidelines (EBA/GL/2017/08), including all applicable components of the formula specified therein.

⁵ Directive (EU) 2015/849 of the European Parliament and of the Council of 20 May 2015 on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing (OJ L 141, 5.6.2015, p. 73).

⁶ Directive 2006/43/EC of the European Parliament and of the Council of 17 May 2006 on statutory audits of annual accounts and consolidated accounts, amending Council Directives 78/660/EEC and 83/349/EEC and repealing Council Directive 84/253/EEC (OJ L 157, 9.6.2006, p. 87-107).

Guideline 1: Assessment of the completeness of the application

1.1. An application should be deemed to be complete for the purpose of Article 12 of Directive (EU) 2015/2366 if it contains all the information needed by the competent authorities in order to assess the application in accordance with these guidelines and with Article 5 of Directive (EU) 2015/2366.

1.2. Where the information provided in the application is assessed to be incomplete, the competent authority should send, in paper format or by electronic means, a request to the applicant, indicating in a clear way what information is missing, and should provide to the applicant the opportunity to submit the missing information.

1.3. Upon an application being assessed as complete, the competent authority should inform the applicant of that fact, together with the date of receipt of the complete application or, as the case may be, the date of receipt of the information that completed the application.

1.4. In any case, the competent authority may require the applicant to provide clarification on the information for the purposes of assessing the application.

1.5. Where an application contains information, or relies on information held by the competent authorities, which is no longer true, accurate or complete, an update to the application should be provided to the competent authorities without delay. The update should identify the information concerned, its location within the original application, the reason for the information no longer being true, accurate or complete, the updated information and confirmation that the rest of the information in the application remains true, accurate and complete.