Retningslinjer om de oplysninger, der skal gives i forbindelse med ansøgning om tilladelse som betalingsinstitut og e-pengeinstitut og i forbindelse med registrering af kontooplysningstjenesteudbydere i medfør af artikel 5, stk. 5, i direktiv (EU) 2015/2366 (EBA/GL/2017/09)

1. Compliance- og ndberetningsforpligtelser

2. Genstand, anvendelsesområde og definitioner

3. Gennemførelse

4. Fire sæt retningslinjer, der finder anvendelse på hhv. betalingsinstitutter (PI), kontooplysningstjenesteudbydere (AISP), e-pengeinstitutter (EMI), og kompetente myndigheder (CA)

4.1 Retningslinjer om de oplysninger, der kræves af ansøgere, der søger om tilladelse som betalingsinstitut med henblik på at udbyde tjeneste 1-8 i bilag

Retningslinje 1: Almindelige principper

1.1 Dette sæt retningslinjer finder anvendelse på ansøgere, der søger om tilladelse som betalingsinstitut (PI). Hertil hører ansøgere, der påtænker at udbyde en eller flere af de tjenesteydelser, der omtales i punkt 1-7 i bilag I til PSD2 eller tjeneste 8 i kombination med andre betalingstjenester. Ansøgere, der påtænker kun at udbyde den i nr. 8, i bilag I til direktiv (EU) 2015/2366 (PSD2), omtalte tjeneste, er omfattet af det specifikke sæt af retningslinjer for kontooplysningstjenesteudbydere (AISP), der er fastlagt i afsnit 4.2.

1.2 De oplysninger, som ansøgere skal tilvejebringe, bør være sandfærdige, præcise og opdaterede. Alle ansøgere bør overholde alle de bestemmelser, der findes i det sæt retningslinjer, der gælder for dem. Detaljeringsgraden bør stå i forhold til ansøgerens størrelse og interne organisation, og til arten, omfanget, kompleksiteten af eller risikoen ved de særlige tjenesteydelser, som ansøgeren har til hensigt at udbyde. Under alle omstændigheder har direktørerne og de ledelsesansvarlige for forvaltningen af betalingsinstituttets betalingstjenesteaktiviteter i henhold til direktiv (EU) 2015/2366 et godt omdømme og tilstrækkelig viden og erfaring til at gennemføre betalingstjenester, uanset instituttets størrelse, interne organisation og arten, omfanget og kompleksitetsgraden af dets aktiviteter og den specifikke positions opgaver og ansvarsområder.

1.3 Ved fremsendelse af de krævede oplysninger bør ansøgeren undgå at foretage henvisninger til specifikke afsnit af interne procedurer/dokumenter. I stedet bør ansøgeren uddrage de relevante afsnit og levere disse til den kompetente myndighed.

1.4 Skulle de kompetente myndigheder ønske præciseringer af de fremsendte oplysninger, bør ansøgeren hurtigst muligt stille sådanne præciseringer til rådighed.

1.5 Alle de oplysninger, der kræves under disse retningslinjer vedrørende tilladelse som betalingsinstitut, er nødvendige for vurderingen af ansøgningen og vil blive behandlet af den kompetente myndighed i overensstemmelse med de regler om tavshedspligt, der er fastsat i PSD2, med forbehold for gældende EU-ret og nationale krav og procedurer for udøvelsen af retten til at få adgang til, berigtige eller slette eller modsætte sig oplysningerne.

Retningslinje 2: Identifikationsoplysninger

2.1 De identifikationsoplysninger, der skal leveres af ansøgeren, bør indeholde følgende:

• a) ansøgerens selskabsnavn, og såfremt forskelligt herfra, forretningsbetegnelse
• b) en angivelse af, om ansøgeren allerede er registreret eller er ved at blive registreret
• c) hvis relevantansøgerens nationale identifikationsnummer
• d) ansøgerens juridiske status og (udkast til) vedtægter og/eller stiftelsesdokumenter, der dokumenterer ansøgerens juridiske status
• e) adressen på ansøgerens hovedsæde og vedtægtsmæssige hjemsted
• f) ansøgerens e-mailadresse og websted, hvis disse findes
• g) navnet/navnene på den/de person(er), der er ansvarlige for håndteringen af ansøgningsfilen og tilladelsesproceduren, og deres kontaktoplysninger
• h) en angivelse af, hvorvidt ansøgeren nogensinde har været, eller i øjeblikket er, reguleret af en kompetent myndighed i den finansielle sektor
• i) hvis relevanteventuelle handelssammenslutninger i relation til leveringen af betalingstjenester, som ansøgeren planlægger at deltage i
• j) den registrerede stiftelsesoverenskomst, eller hvis relevant negativattest fra et handelsregister, der dokumenterer, at det af selskabet anvendte navn findes
• k) dokumentation for betalingen af eventuelle gebyrer eller indskud af midler for at indgive en ansøgning om tilladelse som betalingsinstitut, hvor dette kræves i henhold til national lovgivning.

Retningslinje 3: Oversigt over aktiviteter

3.1. Den oversigt over aktiviteter, der skal tilvejebringes af ansøgeren, bør indeholde følgende:

• a) en udførlig beskrivelse af den påtænkte type betalingstjenester, herunder en redegørelse for, hvordan ansøgeren identificerer de aktiviteter og operationer, som vil blive leveret, som passende ind i en at de lovlige kategorier af betalingstjenester, der er anført i bilag I til PSD2.
• b) en erklæring om, hvorvidt ansøgeren på et eller andet tidspunkt vil komme i besiddelse af midler eller ej
• c) en beskrivelse af gennemførelsen af de forskellige betalingstjenester, med angivelse af alle involverede parter, og hver enkelt leveret betalingstjeneste
• i. et diagram over betalingsstrømme, medmindre ansøgeren alene har til hensigt at udbyde betalingsinitieringstjenester (PIS)
• ii. systemer til afvikling af betalinger, medmindre ansøgeren alene påtænker at udbyde PIS
• iii. udkast til kontrakter mellem alle involverede parter vedrørende udbud af betalingstjenester, herunder hvis relevant betalingskortordninger
• iv. behandlingstider
• d) en kopi af udkastet til rammeaftale, som defineret i artikel 4, nr. 21), i PSD2;
• e) det anslåede antal forskellige forretningslokaler, hvorfra ansøgeren har til hensigt at udbyde betalingstjenesterne, og/eller udføre aktiviteter i relation til leveringen af betalingstjenesterne
• f) hvis relevant en beskrivelse af eventuelle accessoriske tjenester til betalingstjenesterne
• g) en erklæring om, hvorvidt ansøgeren påtænker at yde kredit, og hvis relevant inden for hvilke grænser
• h) en erklæring om, hvorvidt ansøgeren planlægger at udbyde betalingstjenester i andre medlemsstater eller tredjelande eller ej efter tildeling af licensen
• i) en angivelse af, hvorvidt ansøgeren inden for de næste tre år agter at udbyde eller allerede udbyder andre forretningsaktiviteter, som omtalt i artikel 18 i direktiv (EU) 2015/2366, herunder en beskrivelse af arten og det forventede omfang af aktiviteterne
• j) de oplysninger, der er fastsat i EBA's retningslinjer om de kriterier, der skal anvendes til at fastsætte minimumsbeløbet for erhvervsansvarsforsikringen eller anden lignende garanti i henhold til artikel 5, stk. 4, i direktiv (EU) 2015/2366, hvor ansøgeren har til hensigt at udbyde tjeneste 7 og 8 (PIS og kontooplysningstjenester (AIS).

Retningslinje 4: Forretningsplan

4.1. Den forretningsplan, der skal leveres af ansøgeren, bør indeholde:

• a) en markedsføringsplan bestående af:

betalingsmarkedssegment

• ii. en beskrivelse af brugerne af betalingstjenesterne, markedsføringsmaterialer og distributionskanaler
• b) hvor de findes for eksisterende selskaber, reviderede årsregnskaber for de foregående tre år, eller en oversigt over den finansielle situation for de selskaber, der endnu ikke har udarbejdet årsregnskaber
• c) en budgetprognose for de tre første regnskabsår, der viser, at ansøgeren er i stand til at anvende de systemer, ressourcer og procedurer, som er hensigtsmæssige til en forsvarlig drift. Den bør indeholde:
• i. en indkomstopgørelse og en balanceprognose, herunder mål- og stressscenarier samt deres basisantagelser, såsom mængde og værdi af transaktioner, antal kunder, priser, gennemsnitligt beløb pr. transaktion, forventet stigning i rentabilitetstærskel
• ii. redegørelser i hovedtræk for indtægter og udgifter, den finansielle gæld og kapitalaktiverne
• iii. et diagram og en detaljeret opdeling af skønnede pengestrømme for de næste tre år
• d) oplysninger om kapitalgrundlag, herunder beløb og detaljeret opdeling af sammensætningen af startkapitalen som fastsat i artikel 7 i PSD2
• e) oplysninger om, og beregning af, krav om kapitalgrundlag i overensstemmelse med artikel 9 i direktiv (EU) 2015/2366 (PSD2) som fastlagt af den kompetente myndighed, medmindre ansøgeren alene har til hensigt at udbyde PIS, herunder:
• i. en årlig fremskrivning af fordelingen af kapitalgrundlaget for tre år ifølge den valgte metode
• ii. en årlig fremskrivning af kapitalgrundlaget for tre år ifølge de øvrige metoder

Retningslinje 5: Organisationsstruktur

virksomhed, bestående af:

• a) et detaljeret organisationsdiagram, der viser hver enkelt division, afdeling eller lignende organisatoriske opdeling, herunder navnet på den eller de ansvarlige personer, navnlig dem der er ansvarlige for interne kontrolfunktioner; organisationsdiagrammet bør

afdeling eller lignende organisatoriske opdeling

• b) en samlet prognose for antal medarbejdere for de næste tre år
• c) en beskrivelse af relevante operationelle udliciteringsordninger bestående af
• i. den udliciterende udbyders identitet og geografiske placering
• ii. identiteten af de personer i betalingsinstituttet, der er ansvarlige for hver af de udliciterede aktiviteter
• iii. en klar beskrivelse af de udliciterede aktiviteter og deres kendetegn i hovedtræk
• d) en kopi af udkast til udliciteringsaftaler
• e) hvis relevant en beskrivelse af brugen af filialer og agenter, herunder:
• i. en kortlægning af den kontrol på og uden for stedet, som ansøgeren agter at foretage mindst en gang årligt, af filialer og agenter, samt hyppigheden af denne kontrol
• ii. de IT-systemer, processer og infrastruktur, der benyttes af ansøgerens agenter til at udføre aktiviteter på ansøgerens vegne
• iii. for så vidt angår agenter, udvælgelsespolitikken, overvågningsprocedurerne og agenternes uddannelse, og hvis relevant udkastet til ansættelsesvilkår

betalingssystem, som ansøgeren vil benytte

• f) en fortegnelse over alle fysiske og juridiske personer, der har tætte forbindelser til ansøgeren, med angivelse af deres identitet og karakteren af disse forbindelser.

Retningslinje 6: Dokumentation for startkapital

6.1 For den dokumentation for startkapital, som ansøgeren skal tilvejebringe (på 125 000 EUR for tjeneste 1-5 i bilag I til PSD2; 20 000 EUR for tjeneste 6; og 50 000 EUR for tjeneste 7), bør ansøgeren fremsende følgende dokumenter:

• a) for eksisterende virksomheder et revideret kontoudtog eller offentligt register, der dokumenterer størrelsen af ansøgerens kapital
• b) for virksomheder under registrering, et bankudtog udstedt af en bank, som dokumenterer, at midlerne er indsat på ansøgerens bankkonto. Retningslinje 7: Foranstaltninger til beskyttelse af betalingstjenestebrugeres midler (kun gældende for betalingstjeneste 1-6)

7.1. Hvor ansøgeren beskytter betalingstjenestebrugernes midler ved indskud af midler på en

beskrivelsen af beskyttelsesforanstaltningerne indeholde:

• a) hvis relevant en beskrivelse af investeringspolitikken for at sikre, at de valgte aktiver er likvide, sikre og af lav risiko
• b) antallet af personer, der har adgang til sikringskontoen og deres funktioner
• c) en beskrivelse af administrations- og afstemningsprocessen for at sikre, at betalingstjenestebrugernes midler er beskyttet mod krav fra betalingsinstituttets øvrige kreditorer, navnlig i tilfælde af insolvens
• d) en kopi af udkastet til kontrakt med kreditinstituttet
• e) en udtrykkelig erklæring fra betalingsinstituttet om overensstemmelse med artikel 10 i PSD2.

7.2. Hvor ansøgeren garanterer betalingstjenestebrugerens midler via en forsikringspolice eller lignende garanti fra et forsikringsselskab eller kreditinstitut, bør beskrivelsen indeholde følgende:

• a) en bekræftelse på, at forsikringspolicen eller lignende garanti fra et forsikringsselskab eller kreditinstitut er fra en enhed, der ikke tilhører samme gruppe af virksomheder som ansøgeren
• b) nærmere oplysninger om den aktuelle afstemningsproces for at sikre, at forsikringspolicen eller en lignende garanti er tilstrækkelig til at overholde ansøgerens sikringsforpligtelser til enhver tid
• c) dækningens varighed og fornyelse
• d) en kopi af (udkast til) forsikringsaftale eller (udkast til) en lignende garanti.

Retningslinje 8: Forvaltningsordninger og interne kontrolmekanismer

8.1. Ansøgeren bør medsende en beskrivelse af forvaltningsordningen og de interne kontrolmekanismer, bestående af:

• a) en kortlægning af de risici, som ansøgeren har identificeret, herunder den type risici og de procedurer, som ansøgeren påtænker at indføre for at evaluere og forhindre sådanne risici
• b) de forskellige procedurer for gennemførelse af periodiske og faste kontroller, inkl. hyppighed, og de tildelte menneskelige ressourcer
• c) de regnskabsprocedurer, i henhold til hvilke ansøgeren vil registrere og rapportere sine finansielle oplysninger
• d) identiteten af den eller de personer, der er ansvarlige for de interne kontrolfunktioner, herunder for periodisk og fast kontrol og overensstemmelseskontrol, samt et opdateret CV
• e) identiteten af alle revisorer, der ikke er lovpligtig revisor i medfør af direktiv 2006/43/EF
• f) ledelsesorganets, og hvis relevant, ethvert andet tilsynsorgans eller -udvalgs sammensætning
• g) en beskrivelse af den måde, hvorpå udliciterede funktioner overvåges og kontrolleres for at undgå forringelse af kvaliteten af betalingsinstituttets interne kontrolmekanismer
• h) en beskrivelse af den måde, hvorpå agenter og filialer overvåges og kontrolleres inden for rammerne af ansøgerens interne kontrolmekanismer
• i) hvor ansøgeren er datterselskab af en reguleret enhed i en anden EU-medlemsstat, en beskrivelse af forvaltningen af koncernen.

Retningslinje 9: Procedure for overvågning, håndtering og opfølgning af sikkerhedshændelser og sikkerhedsrelaterede kundereklamationer

9.1. Ansøgeren bør give en beskrivelse af den procedure, der er indført for at overvåge, håndtere og følge op på sikkerhedshændelser og sikkerhedsrelaterede kundereklamationer, som ansøgeren skal tilvejebringe, og som bør indeholde:

• a) organisatoriske foranstaltninger og værktøjer til bekæmpelse af svig
• b) oplysninger om enkeltpersoner og organer, der er ansvarlige for at bistå kunderne i tilfælde af svig, tekniske problemer og/eller inddrivelse af fordringer
• c) rapporteringskanaler i tilfælde af svig
• d) kontaktpunkt for kunder, herunder et navn og e-mailadresse
• e) procedurerne for indberetning af hændelser, herunder kommunikation af disse indberetninger til interne eller eksterne organer, herunder indberetning af større hændelser til nationale kompetente myndigheder i medfør af artikel 96 i PSD2, og i overensstemmelse med EBA's retningslinjer om indberetning af hændelser i medfør af den omtalte artikel.
• f) de anvendte overvågningsværktøjer og opfølgningsforanstaltninger og -procedurer, der er indført for at afhjælpe sikkerhedsrisici.

Retningslinje 10: Proces for at gemme, overvåge, spore og begrænse adgang til følsomme betalingsdata

10.1. Ansøgeren bør tilvejebringe en beskrivelse af den procedure, der er indført til at gemme, overvåge, spore og begrænse adgang til følsomme betalingsdata:

• a) en beskrivelse af de datastrømme, der er klassificeret som følsomme betalingsdata inden for rammerne af betalingsinstituttets forretningsmodel
• b) de procedurer, der er indført for at autorisere adgang til følsomme betalingsdata
• c) en beskrivelse af overvågningsværktøjet
• d) politikken for adgangsrettigheder, med oplysninger om adgang til alle relevante infrastrukturkomponenter og -systemer, herunder databaser og backup-infrastrukturer

beskrivelse af, hvordan de indsamlede data gemmes

• f) medmindre ansøgeren har til hensigt kun at udbyde PIS, den forventede interne og/eller eksterne brug af de indsamlede data, herunder fra modparter
• g) IT-systemet og tekniske sikkerhedsforanstaltninger, der er blevet gennemført, herunder kryptering og/eller tokenisering
• h) identifikation af enkeltpersoner, organer og/eller udvalg med adgang til følsomme betalingsdata
• i) en redegørelse for, hvordan overtrædelser opdages og håndteres
• j) et årligt internt kontrolprogram i relation til IT-systemernes sikkerhed.

Retningslinje 11: Ordninger for forretningskontinuitet

11.1. Ansøgeren bør give en beskrivelse af ordningerne for forretningskontinuitet, der består af følgende oplysninger:

• a) en konsekvensanalyse, herunder forretningsprocesser og beredskabsmål, såsom mål for genstarttid, mål for gendannelsespunkt og beskyttede aktiver
• b) identifikation af backupsted, adgang til IT-infrastruktur, og den centrale software og data, der skal gendannes efter en katastrofe eller afbrydelse
• c) en redegørelse for, hvordan ansøgeren påtænker at forholde sig til væsentlige kontinuitetshændelser og driftsafbrydelser, såsom svigt af nøglesystemer; tab af nøgledata; manglende adgang til forretningslokalerne; og tab af nøglepersoner
• d) den hyppighed, hvormed ansøgeren påtænker at teste driftskontinuiteten og katastrofeberedskabsplanerne, herunder hvordan resultaterne af testen vil blive registreret
• e) en beskrivelse af de afhjælpningsforanstaltninger, der skal vedtages af ansøgeren, i tilfælde af ophør af betalingstjenesterne, sikring af gennemførelsen af afventende betalingstransaktioner og afslutningen af eksisterende kontrakter.

Retningslinje 12: De principper og definitioner, der finder anvendelse på indsamlingen af statistiske data om resultater, transaktioner og svig

12.1. Ansøgeren bør give en beskrivelse af de principper og definitioner, der anvendes ved indsamling af statistiske data om drift, transaktioner og svig, og som består af følgende oplysninger:

• a) typen af data, der indsamles, i relation til kunder, type betalingstjeneste, kanal, instrument, jurisdiktioner og valutaer
• b) omfanget af indsamlingen, for så vidt angår de berørte aktiviteter og enheder, herunder filialer og agenturer
• c) indsamlingsmåden
• d) indsamlingsformålet
• e) indsamlingshyppigheden
• f) støttedokumenter, f.eks. en manual, der beskriver, hvordan systemet fungerer.

Retningslinje 13: Dokument om sikkerhedspolitikken

13.1. Ansøgeren bør tilvejebringe et dokument om sikkerhedspolitikken, der indeholder følgende oplysninger:

• a) en detaljeret risikovurdering af betalingstjenesten/-tjenesterne, som ansøgeren påtænker at udbyde, og som bør omfatte risici for svig og sikkerhedskontrol- og afbødningsforanstaltninger, der træffes for på passende måde at beskytte brugerne af betalingstjenester mod de identificerede risici
• b) en beskrivelse af IT-systemerne, der bør omfatte:
• i. systemernes arkitektur og deres netværkselementer
• ii. de forretnings-IT-systemer, der understøtter de leverede forretningsaktiviteter, såsom ansøgerens websted, wallets, betalingsplatform, systemet til håndtering af risici og svig, samt kunderegnskab
• iii. de support-IT-systemer, der anvendes til ansøgerens organisation og administration, bl.a. regnskab, juridiske indberetningssystemer, personaleforvaltning, kunderelationer, e-mailservere og interne filservere
• iv. oplysninger om, hvorvidt disse systemer allerede anvendes af ansøgeren eller dennes koncern, samt hvis relevant den anslåede gennemførelsesdato
• c) typen af autoriserede forbindelser udefra, f.eks. med partnere, tjenesteudbydere, koncernenheder og ansatte, der udfører fjernarbejde, med en forklaring af disse forbindelser
• d) for hver af disse forbindelser, der er opført under punkt c), de indførte logistiske beskyttelsesforanstaltninger og -mekanismer, med angivelse af den kontrol, som ansøgeren vil have over en sådan adgang samt karakteren og hyppigheden af hver kontrolforanstaltning, f.eks. teknisk i forhold til organisatorisk; forebyggende over for opsøgende; og realtidsovervågning over for løbende revisioner, som f.eks. brugen af en aktiv fortegnelse adskilt fra koncernen, åbning/lukning af kommunikationslinjer, konfiguration af sikkerhedsudstyr, generering af nøgler eller kundeautentifikationscertifikater, systemovervågning, autentifikation, fortrolighed af oplysninger, indtrængningsalarmer, antivirussystemer og logs
• e) de logiske sikkerhedsforanstaltninger og -mekanismer, der styrer den interne adgang til IT-systemer, som bør indeholde:
• i. den tekniske og organisatoriske karakter og hyppighed af hver foranstaltning, f.eks. om den er forebyggende eller opsøgende, og om den gennemføres i realtid eller ej
• ii. hvordan spørgsmålet om opdeling af kundemiljøer løses i sager, hvor ansøgerens IT-ressourcer deles
• f) de fysiske sikkerhedsforanstaltninger og -mekanismer i ansøgerens forretningslokaler og datacenter, f.eks. adgangskontrol og miljøsikkerhed
• g) sikkerheden af betalingsprocesserne, der bør indeholde:
• i. den kundeautentifikationsprocedure, der anvendes til både orienterende og transaktionsbaseret adgang, og for alle underliggende betalingsinstrumenter

betalingstjenestebruger og autentifikationsfaktorers integritet, f.eks. hardwaretokens og mobilapps, garanteres på tidspunktet for både den oprindelige tilmelding og fornyelse

• iii. en beskrivelse af de systemer og procedurer, som ansøgeren har indført til transaktionsanalyse og identifikation af mistænkelige eller usædvanlige transaktioner
• h) en detaljeret risikovurdering i tilknytning til ansøgerens betalingstjenester, herunder svig, med et link til de kontrolforanstaltninger og begrænsende foranstaltninger, som beskrives i ansøgningsdokumentet, og som viser, at risiciene er imødegået
• i) en liste over de skriftlige procedurer i tilknytning til ansøgerens IT-systemer eller, for procedurer, der endnu ikke er formaliseret, en forventet dato for deres afslutning.

Retningslinje 14: Interne kontrolmekanismer for at opfylde forpligtelserne vedrørende hvidvask af penge og finansiering af terrorisme (AML/CFT-forpligtelser)

14.1. Beskrivelsen af de interne kontrolmekanismer, som ansøgeren har oprettet for hvis relevant at opfylde disse forpligtelser, bør indeholde følgende oplysninger:

• a) ansøgerens vurdering af risiciene for hvidvask af penge og finansiering af terrorisme i tilknytning til ansøgerens forretning, herunder risici forbundet med ansøgerens kundebase, de tilbudte produkter og tjenester, de anvendte distributionskanaler og de geografiske aktivitetsområder
• b) de foranstaltninger, som ansøgeren har indført eller ønsker at indføre for at afhjælpe risiciene og efterleve gældende forpligtelser for bekæmpelse af hvidvask af penge og finansiering af terrorisme, herunder ansøgerens risikovurderingsprocedure, politikkerne og procedurerne for overholdelse af kravene om at handle med den nødvendige omhu over for kunderne, og politikkerne og procedurerne for at spore og indberette mistænkelige transaktioner eller aktiviteter
• c) de systemer og kontrolforanstaltninger, som ansøgeren har indført eller påtænker at

vedrørende bekæmpelse af hvidvask af penge og finansiering af terrorisme, herunder i sager, hvor agenten eller filialen er beliggende i en anden medlemsstat

• d) ordninger, som ansøgeren har indført eller påtænker at indføre for at sikre, at ansatte og agenter har modtaget relevant træning i forhold vedrørende bekæmpelse af hvidvask af penge og finansiering af terrorisme
• e) identiteten af den person, der er ansvarlig for at sikre ansøgerens overholdelse af forpligtelserne til bekæmpelse af hvidvask af penge og finansiering af terrorisme, og dokumentation for, at ansøgerens ekspertise i forbindelse med bekæmpelse af hvidvask af penge og finansiering af terrorisme er tilstrækkelig til at sætte denne i stand til at udføre denne rolle effektivt
• f) de systemer og kontrolforanstaltninger, som ansøgeren har indført eller påtænker at indføre for at sikre, at ansøgerens politikker og procedurer for bekæmpelse af hvidvask af penge og finansiering af terrorisme fortsat er opdaterede, effektive og relevante
• g) de systemer og kontrolforanstaltninger, som ansøgeren har indført eller påtænker at indføre for at sikre, at agenterne ikke udsætter ansøgeren for forøget risiko for hvidvask af penge og finansiering af terrorisme
• h) medarbejderhåndbogen om bekæmpelse af hvidvask af penge og finansiering af terrorisme.

Retningslinje 15: Identitets- og egnethedsvurdering af personer med en kvalificeret andel i ansøgeren

15.1 Med henblik på at identificere og dokumentere egnetheden af personer med kvalificeret deltagelse i det ansøgende betalingsinstitut bør ansøgeren, med forbehold for vurderingen i henhold til relevante kriterier, der blev indført med direktiv 2007/44/EF og specificeret i de fælles retningslinjer om risikovurdering af erhvervelser af kvalificerede andele (JC/GL/2016/01), indsende følgende oplysninger:

• a) en beskrivelse af den koncern, som ansøgeren tilhører, og i relevante tilfælde angivelse af modervirksomheden
• b) et diagram over aktionærstrukturen hos ansøgeren, herunder:
• i) navn og procentvis andel (kapital/stemmeret) for hver person, der har eller får en direkte andel i ansøgerens aktiekapital, med henblik på identifikation af dem, der anses for at være kvalificerede deltagere og grunden til en sådan kvalificering
• ii) navn og procentvis andel (kapital/stemmerettigheder) for hver person, der har eller får en indirekte andel i ansøgerens aktiekapital, med henblik på identifikation af dem, der anses for at være kvalificerede deltagere og grunden til en sådan kvalificering
• c) en liste over navnene på alle personer og andre enheder, der har, eller i tilfælde af tilladelse, får kvalificerede andele i ansøgerens kapital, med angivelse for hver sådan person eller enhed
• i. antallet og arten af aktier eller andre andele, der er tegnet eller skal tegnes
• ii. den nominelle værdi af sådanne aktier eller andre andele.

15.2 Hvis en person, der har, eller ved tilladelse, får en kvalificeret andel i ansøgerens kapital, er en fysisk person, bør ansøgningen fastlægge alle nedenstående oplysninger vedrørende denne persons identitet og egnethed:

• a) personens navn og fødenavn, fødselsdato og -sted, statsborgerskab (nuværende og tidligere), identifikationsnummer (hvor et sådant findes) eller pasnummer, adresse og kopi af et officielt identitetsdokument
• b) et detaljeret CV med oplysninger om uddannelse, tidligere erhvervserfaring og eventuelle erhvervsaktiviteter eller andre funktioner, der udøves på nuværende tidspunkt.
• c) en erklæring, ledsaget af følgedokumenter, indeholdende følgende oplysninger om personen:
• i. med forbehold for nationale lovkrav vedrørende offentliggørelse af afsonede domme, enhver straffedom eller sager, hvor den pågældende er idømt straf, og som ikke er blevet ophævet
• ii. alle civilretlige eller administrative beslutninger i sager, der er af relevans for vurderings- eller tilladelsesprocessen, hvor personen er idømt straf, er blevet pålagt administrative sanktioner eller foranstaltninger som følge af en overtrædelse af love eller andre bestemmelser (herunder diskvalifikation som direktør i en virksomhed) i hver sag, der ikke er blevet ophævet, og for hvilken der ikke verserer en ankesag, eller kan indbringes klage
• iii. konkurs-, insolvens- eller lignende procedurer
• iv. eventuelle verserende strafferetlige efterforskninger
• v. eventuelle civilretlige eller administrative efterforskninger, tvangsfuldbyrdelsesprocedurer, sanktioner eller andre håndhævelsesbeslutninger mod personen i sager, der kan anses for at være relevante for tilladelsen til at indlede aktivitet som et betalingsinstitut eller af hensyn til at sikre en sund og forsigtig ledelse af betalingsinstituttet
• vi. hvis sådanne dokumenter kan rekvireres, en officiel attest eller andet tilsvarende dokument, der dokumenterer, om en eller flere af de i litra i)-v) omtalte hændelser er opstået i forhold til den relevante person
• vii. eventuelle afslag på registrering, tilladelse, medlemskab eller licens til at udføre handel, virksomhed eller et erhverv
• viii. eventuelle annulleringer, tilbagekaldelser af registrering, tilladelse, medlemskab eller licens til at udføre handel, virksomhed eller et erhverv
• ix. enhver udelukkelse foranlediget af en myndighed eller enhed i den offentlige sektor i den finansielle sektor eller af et fagligt organ eller sammenslutning
• x. enhver lederstilling i en enhed, der er blevet genstand for en straffedom eller omfattet af retsforfølgning, administrative efterforskninger, sanktioner eller andre tvangsfuldbyrdelsesbeslutninger som følge af adfærdsmæssig svigt, herunder i tilfælde af svig, uhæderlighed, korruption, hvidvask af penge, finansiering af terrorisme eller anden økonomisk kriminalitet, eller i tilfælde af undladelse af at gennemføre tilstrækkelige politikker og procedurer til forebyggelse af sådanne hændelser, som sker på det tidspunkt, hvor den påståede adfærd fandt sted, sammen med nærmere oplysninger om sådanne forekomster og om personens eventuelle involvering heri
• xi. enhver afskedigelse fra ansættelse eller et tillidshverv, enhver fjernelse fra et betroet forhold (bortset fra som et resultat af, at det relevante forhold nærmer sig sit udløb) og enhver lignende situation
• d) en liste over virksomheder, som den pågældende person leder eller kontrollerer, og som ansøgeren er vidende om efter behørig og indgående undersøgelse; andelen af denne kontrol enten direkte eller indirekte i disse selskaber; deres status (om de er aktive eller ej, opløst osv.); og en beskrivelse af insolvens eller lignende procedurer
• e) hvis en kompetent myndighed i den finansielle sektor allerede har foretaget en vurdering af personens omdømme, denne myndigheds identitet og resultatet af vurderingen
• f) personens nuværende finansielle situation, herunder oplysninger vedrørende kilder til indtægter, aktiver og passiver, sikkerhedsinteresser og garantier, stillet eller modtaget
• g) en beskrivelse af eventuelle forbindelser til politisk eksponerede personer, som defineret i artikel 3, stk. 9, i direktiv (EU) 2015/849² .

15.3 Hvis en person eller enhed har, eller ved tilladelse, vil have en kvalificeret andel i ansøgerens kapital (herunder enheder, der ikke er en juridisk person, og som besidder eller bør besidde andelen i deres eget navn), bør ansøgningen indeholde følgende oplysninger om denne persons eller enheds identitet og egnethed:

• a) navn
• b) hvis den juridiske person eller enhed er registreret i et centralt register, handelsregister, virksomhedsregister eller lignende register, der har samme formål som de føromtalte, eventuelt en kopi af bevis for godt omdømme, eller på anden måde et bevis for registrering
• c) adresserne på det registrerede hjemsted, og hvor det er forskelligt herfra, hovedkontoret og hovedforretningssted
• d) kontaktoplysninger
• e) selskabsdokumenter, eller hvor personen eller enheden er registreret i en anden medlemsstat, et resumé der gør rede for den juridiske enheds vigtigste retlige forhold
• f) hvorvidt den juridiske person eller enhed nogensinde har været eller bliver reguleret af en kompetent myndighed i den finansielle sektor eller en anden statslig myndighed
• g) hvis sådanne dokumenter kan rekvireres, et officielt certifikat eller andet tilsvarende dokument, der dokumenterer de oplysninger, der er fastlagt i litra a) - e), og som er udstedt af den relevante kompetente myndighed
• h) de oplysninger, der omtales i retningslinje 15, stk. 2, litra c),15, stk. 2, litra d), 15, stk. 2, litra e), 15, stk. 2, litra f), og 15, stk. 2, litra g), i relation til den juridiske person eller enhed
• i) en liste med nærmere oplysninger om hver person, der reelt leder aktiviteterne hos den juridiske person eller enhed, herunder deres navn, fødselsdato og -sted, adresse, deres nationale identifikationsnummer, hvor et sådant findes, samt et detaljeret CV (med angivelse af relevant uddannelse og træning, tidligere erhvervserfaring, eventuelle faglige aktiviteter eller andre relevante funktioner, der aktuelt udføres), sammen med de oplysninger, der omtales i retningslinje 15, stk. 2, litra c) og 15, stk. 2, litra d), for så vidt angår hver sådan person
• j) den juridiske persons aktieandelsstruktur, herunder som minimum direkte eller indirekte

2015/849) navn, fødselsdato og -sted, adresse og personligt identifikationsnummer hvis tilgængeligt samt deres respektive andele af kapital og stemmerettigheder

• k) en beskrivelse af den regulerede finanskoncern, som ansøgeren er en del af, eller kan blive en del af, med angivelse af modervirksomheden og kredit-, forsikrings og - værdipapirenheder i koncernen; navnet på deres kompetente myndigheder (på individuelt eller konsolideret grundlag), og
• l) årsregnskaber på individuelt og hvis relevant på konsolideret og delkonsolideret grundlag for de seneste tre regnskabsår, hvor den juridiske person eller enhed har drevet virksomhed for denne periode (eller, hvis mindre end tre år, den periode for hvilken den juridiske person eller enhed har været operativ, og for hvilken der er udarbejdet regnskaber), eventuelt godkendt af en revisor eller et revisionsfirma i den i direktiv 2006/43/EF³ omhandlede forstand, herunder hvert af følgende punkter:
• i. balancen
• ii. resultatopgørelsen
• iii. årsrapporterne og de finansielle bilag og alle andre dokumenter, der registreres hos den juridiske persons relevante register eller kompetente myndighed
• m) hvor den juridiske person ikke har drevet virksomhed i en tilstrækkelig lang periode til at udarbejde de krævede regnskaber for de tre regnskabsår umiddelbart forud for ansøgningsdatoen, skal ansøgningen indeholde de (eventuelle) eksisterende regnskaber
• n) hvis den juridiske person eller enhed har sit hovedkontor i et tredjeland, generelle oplysninger om de retsforskrifter i det pågældende tredjeland, der gælder for den juridiske person eller enhed, herunder oplysninger om i hvilket omfang tredjelandets lovgivning om bekæmpelse af hvidvask af penge og finansiering af terrorisme er forenelig med anbefalingerne fra Den Finansielle Aktionsgruppe vedrørende Hvidvaskning af Penge
• o) for enheder, der ikke har status af juridisk person, som f.eks. et institut for kollektiv

følgende oplysninger:

• i. identiteten af de personer, der forvalter aktiverne og af de personer, der er modtagere eller tegnere
• ii. en kopi af det dokument, hvorved enheden stiftes og forvaltes, herunder den investeringspolitik og eventuelle restriktioner, der finder anvendelse på enheden.

15.4. Ansøgningen skal indeholde alle nedenstående oplysninger for hver enkelt fysisk eller juridisk person, som har, eller i tilfælde af tilladelse, får en kvalificeret andel af ansøgerens kapital:

• a) nærmere oplysninger om denne persons eller enheds finansielle eller forretningsmæssige bevæggrunde for at eje denne andel, og personens eller enhedens strategi vedrørende andelen, herunder den periode i hvilken personen eller enheden påtænker at bevare andelen og enhver intention om at forøge, reducere eller bevare størrelsen af andelen i en overskuelig fremtid
• b) oplysninger om personens eller enhedens intentioner, for så vidt angår ansøgeren, og om den indflydelse personen eller enheden påtænker at udøve på ansøgeren, bl.a. med hensyn til udbyttepolitikken, den strategiske udvikling og fordeling af ansøgerens ressourcer, uanset om den påtænker at optræde som en aktiv minoritetsaktionær eller ej, samt baggrunden for denne hensigt
• c) oplysninger om personens eller enhedens vilje til at støtte ansøgeren med supplerende egenkapital, hvis det bliver nødvendigt af hensyn til udviklingen af dennes aktiviteter eller i tilfælde af finansielle vanskeligheder
• d) indholdet af den påtænkte aktionærs eller virksomhedsdeltagers aftaler med andre aktionærer eller virksomhedsdeltagere i relation til ansøgeren
• e) en analyse af, om den kvalificerede andel på nogen måde vil påvirke, herunder som et resultat af personens tætte tilknytning til ansøgeren, ansøgerens evne til at levere rettidige og præcise oplysninger til de kompetente myndigheder
• f) identiteten af hvert medlem af direktionen eller den øverste ledelse, der skal lede ansøgerens forretning, og som vil blive udpeget af eller nomineres af sådanne aktionærer eller virksomhedsdeltagere, i det omfang dette ikke allerede er sket, sammen med de oplysninger der er fastsat i retningslinje 16.

15.5. Ansøgningen bør indeholde en detaljeret beskrivelse af, hvordan hver person eller enhed, som har en kvalificeret andel i ansøgerens kapital, har finansieret dette. Denne beskrivelse bør omfatte:

• a) oplysninger om brugen af private finansielle ressourcer, herunder deres tilgængelighed og kilder (for at sikre, at den kompetente myndighed har forvisset sig om, at den aktivitet, der skabte midlerne, er lovlig)
• b) nærmere oplysninger om adgang til finansielle markeder, herunder oplysninger om finansielle instrumenter, der skal udstedes
• c) oplysninger om brugen af lånte midler, herunder långivernes navne og oplysninger om de bevilgede faciliteter, f.eks. løbetider, betingelser, sikkerhedsinteresser og garantier, samt oplysninger om den afkastkilde, der skal anvendes til at tilbagebetale sådanne lån (hvis långiver ikke er et kreditinstitut eller finansiel institution, der er godkendt til at bevilge kredit, bør ansøgeren give de kompetente myndigheder oplysninger om de lånte midlers oprindelse)
• d) oplysninger om alle finansielle ordninger med andre personer, der er aktionærer eller virksomhedsdeltagere i ansøgeren.

Retningslinje 16: Identitet og egnethedsvurdering af direktører og personer, der er ansvarlige for forvaltningen af betalingsinstituttet

16.1. Af hensyn til identitets- og egnethedsvurderingen af direktører og personer, der er ansvarlige for forvaltningen af betalingsinstituttet, bør ansøgeren fremsende følgende oplysninger:

• a) personoplysninger, herunder:
• i. fulde navn, køn, fødselsdato og -sted, adresse og nationalitet, og personligt identifikationsnummer eller kopi af ID-kort eller tilsvarende
• ii. oplysninger om den stilling, for hvilken vurderingen søges, hvorvidt direktionen er udøvende eller ikke udøvende. Disse bør ligeledes indeholde blandt andet følgende oplysninger:

• b) hvis relevant oplysninger om den egnethedsvurdering, som ansøgeren har gennemført, og som bør indeholde oplysninger om resultatet af instituttets vurdering af den enkeltes egnethed udført af instituttet, f.eks. relevante bestyrelsesreferater eller egnetshedsvurderingsrapporter eller andre dokumenter
• c) dokumentation for viden, færdigheder og erfaring, som bør omfatte et CV med

kvalifikationer, anden relevant uddannelse, navn på og type af organisation, som den enkelte arbejder eller har arbejdet for, og arten og varigheden af de udførte funktioner, navnlig med fokus på alle aktiviteter inden for den søgte stillings område

• d) dokumentation for omdømme, hæderlighed og integritet, som bør indeholde:
• i. straffeattester og relevante oplysninger om strafferetlige efterforskninger og strafferetssager, relevante civilretlige og administrative sager, samt disciplinærsager, herunder diskvalifikation som selskabsdirektør, konkurs, insolvens og lignende procedurer, navnlig i form af et officielt certifikat eller oplysninger fra enhver objektivt pålidelig informationskilde om fraværet af straffedom eller strafferetlige efterforskninger, f.eks. tredjepartsefterforskninger og vidneudsagn fra en advokat eller notar i EU
• ii. en erklæring om, hvorvidt der verserer straffesager, eller hvorvidt den pågældende person eller enhver organisation, der ledes af vedkommende, har været involveret som skyldner i insolvensprocedurer eller tilsvarende procedurer
• iii. Oplysninger om følgende:

Retningslinje 17: Identitet af revisorer og revisionsfirmaer

Revisorers og revisionsfirmaers identitet, som defineret i direktiv 2006/43/EF, som hvis relevant skal tilvejebringes af ansøgeren, bør indeholde revisorernes navne, adresser og kontaktoplysninger.

Retningslinje 18: Erhvervsansvarsforsikring eller anden lignende garanti for betalingsinitieringstjenester og kontooplysningstjenester

Som dokumentation for en erhvervsansvarsforsikring eller anden lignende garanti, som er forenelig med EBA's retningslinjer for kriterierne for fastlæggelse af størrelsen af erhvervsansvarsforsikringen eller anden lignende garanti (EBA/GL/2017/08) og artikel 5, stk. 2, og artikel 5, stk. 3, i PSD2, bør ansøgeren af betalingsinitieringstjenester (PIS) eller kontooplysningstjenester (AIS) afgive følgende oplysninger:

• a) en forsikringskontrakt eller andet tilsvarende dokument, der bekræfter eksistensen af en erhvervsansvarsforsikring eller en lignende garanti, med en dækning der er i overensstemmelse med EBA's retningslinjer, og som viser dækningen af de relevante forpligtelser
• b) dokumentation for, hvordan ansøgeren har beregnet minimumbeløbet på en måde, der er i overensstemmelse med de omtalte EBA-retningslinjer, herunder alle gældende komponenter af de heri specificerede formler.

² Europa-Parlamentets og Rådets direktiv (EU) 2015/849 af 20. maj 2015 om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvaskning af penge eller finansiering af terrorisme (EUT L 141 af 5.6.2015, s. 73).

³ Europa-Parlamentets og Rådets direktiv 2006/43/EF af 17. maj 2006 om lovpligtig revision af årsregnskaber og konsoliderede regnskaber, om ændring af Rådets direktiv 78/660/EØF og 83/349/EØF og om ophævelse af Rådets direktiv 84/253/EØF (EUT L 157 af 9.6.2006, s. 87-107).

Retningslinje 1: Almindelige principper

1.1 Dette sæt retningslinjer finder anvendelse på ansøgere om registrering som kontooplysningstjenesteudbydere (AISP). Det vedrører især ansøgere, som påtænker kun at yde kontooplysningstjenester (AIS). Såfremt ansøgeren har til hensigt at levere yderligere tjenesteydelser udover AIS, bør denne anmode om tilladelse og henvise til retningslinjerne i afsnit 4.1 for betalingsinstitutter (PI).

1.2 De oplysninger, som ansøgere skal tilvejebringe, bør være sandfærdige, præcise og opdaterede. Alle ansøgere bør overholde alle de bestemmelser, der findes i det sæt retningslinjer, der gælder for dem. Den detaljeringsgrad, der kræves for at overholde bestemmelserne, bør stå i forhold til ansøgerens størrelse og interne organisation, og til arten, omfanget, kompleksiteten af eller risikoen ved særlige tjenesteydelser, som ansøgeren

ledelsesansvarlige for forvaltningen af betalingsinstituttets betalingstjenesteaktiviteter i henhold til direktiv (EU) 2015/2366 et godt omdømme og tilstrækkelig viden og erfaring til at gennemføre betalingstjenester, uanset instituttets størrelse, interne organisation og arten, omfanget og kompleksitetsgraden af dets aktiviteter og den specifikke tjenestes opgaver og ansvarsområder.

1.3 Ved fremsendelse af de krævede oplysninger bør ansøgeren undgå at foretage henvisninger til specifikke afsnit i interne procedurer/dokumenter. I stedet bør ansøgeren uddrage de relevante afsnit og levere disse til den kompetente myndighed.

1.4 Skulle de kompetente myndigheder ønske præciseringer af de fremsendte oplysninger, bør ansøgeren hurtigst muligt stille sådanne præciseringer til rådighed.

1.5 Alle de oplysninger, der kræves under disse retningslinjer vedrørende registrering som kontooplysningstjenesteudbydere (AISP), er nødvendige for vurderingen af ansøgningen og vil blive behandlet af den kompetente myndighed i overensstemmelse med de regler om tavshedspligt, der er fastsat i PSD2, med forbehold for gældende EU-ret og nationale krav og procedurer for udøvelsen af retten til at få adgang til, berigtige eller slette eller modsætte sig oplysningerne.

Retningslinje 2: Identifikationsoplysninger

2.1 Såfremt ansøgeren er en fysisk person, bør de identifikationsoplysninger, der skal leveres af ansøgeren, indeholde følgende:

• a) navn, adresse, nationalitet og fødselsdato- og sted
• b) en kopi af identitetskortet eller tilsvarende identifikationsbevis
• c) et opdateret CV
• d) en kontrol af straffeattest, der ikke er mere end 3 måneder gammel
• e) navnet/navnene på den/de person(er), der er ansvarlige for håndteringen af ansøgningsfilen og tilladelsesproceduren, og deres kontaktoplysninger.

2.2 Såfremt ansøgeren er en juridisk person, bør de identifikationsoplysninger, der skal leveres af ansøgeren, indeholde følgende:

• a) ansøgerens selskabsnavn, og såfremt forskelligt herfra, forretningsbetegnelse
• b) en angivelse af, om ansøgeren allerede er registreret eller er ved at blive registreret
• c) hvis relevant ansøgerens nationale identifikationsnummer
• d) ansøgerens juridiske status og (udkast til) vedtægter og/eller stiftelsesdokumenter, der dokumenterer ansøgerens juridiske status
• e) adressen på ansøgerens hovedsæde og vedtægtsmæssige hjemsted
• f) ansøgerens e-mailadresse og websted, hvis disse findes
• g) navnet på den/de person(er), der er ansvarlige for håndteringen af ansøgningsfilen og tilladelsesproceduren, og deres kontaktoplysninger
• h) en angivelse af, hvorvidt ansøgeren nogensinde har været, eller i øjeblikket er, reguleret af en kompetent myndighed i den finansielle sektor
• i) den registrerede stiftelsesoverenskomst, eller hvis relevant negativattest fra et handelsregister, der dokumenterer, at det af selskabet anvendte navn findes
• j) dokumentation for betalingen af eventuelle gebyrer eller indskud af midler for at indgive en ansøgning om registrering som kontooplysningstjenesteudbyder, hvis dette finder anvendelse i henhold til national lovgivning.

Retningslinje 3: Oversigt over aktiviteter

3.1. Den oversigt over aktiviteter, der skal tilvejebringes af ansøgeren, bør indeholde følgende:

• a) en beskrivelse af den kontooplysningstjeneste, som påtænkes tilvejebragt, herunder en redegørelse for, hvordan aktiviteten passer ind i definitionen af kontooplysningstjenester som defineret i artikel 4, stk. 16, i direktiv (EU) 2015/2366 (PSD2);
• b) en erklæring fra ansøgeren om, at denne ikke på noget tidspunkt vil komme til at besidde midler
• c) en beskrivelse af leveringen af kontooplysningstjenesten, herunder:
• i. om nødvendigt udkast til kontrakter mellem alle involverede parter
• ii. vilkår og betingelser for leveringen af kontooplysningstjenesterne
• iii. behandlingstider
• d) om fornødent det anslåede antal forskellige forretningslokaler, hvorfra ansøgeren har til hensigt at udbyde tjenesterne
• e) hvis relevant en beskrivelse af eventuelle accessoriske tjenester til betalingsoplysningstjenesten
• f) en erklæring om, hvorvidt ansøgeren påtænker at levere kontooplysningstjenester i en anden medlemsstat eller andet land, når den pågældende er registreret
• g) en angivelse af, hvorvidt ansøgeren inden for de næste tre år agter at udbyde eller allerede udbyder andre forretningsaktiviteter end kontooplysningstjenester, som omtalt i artikel 18 i direktiv 2015/2366, herunder en beskrivelse af arten og det forventede omfang af aktiviteterne
• h) de i EBA's retningslinjer anførte oplysninger om kriterierne for fastlæggelse af størrelsen af erhvervsansvarsforsikringen eller anden lignende garanti i henhold til artikel 5, stk. 4, i direktiv (EU) 2015/2366 (EBA/GL/2017/08), hvor ansøgeren har til hensigt kun at udbyde en tjeneste 8 (AIS).

Retningslinje 4: Forretningsplan

4.1. Den forretningsplan, der skal leveres af ansøgeren, bør indeholde:

• a) en markedsføringsplan bestående af:
• i. en analyse af selskabets konkurrenceposition
• ii. en beskrivelse af kontooplysningstjenestebrugerne i det pågældende segment af kontooplysningsmarkedet, markedsføringsmateriale og distributionskanaler
• b) reviderede årsregnskaber for de foregående tre år, eller en oversigt over den finansielle situation for de ansøgere, der endnu ikke har udarbejdet årsregnskaber
• c) en budgetprognose for de tre første regnskabsår, der viser, at ansøgeren er i stand til at anvende de systemer, ressourcer og procedurer, som er hensigtsmæssige for en forsvarlig drift. Den bør indeholde:
• i. en indkomstopgørelse og en forventet balance, herunder mål- og stressscenarier samt deres basisantagelser, såsom antal kunder, priser og forventet stigning i rentabilitetstærskel
• ii. redegørelser i hovedtræk for indtægter og udgifter, den finansielle gæld og kapitalaktiverne
• iii. et diagram og en detaljeret opdeling af skønnede pengestrømme for de næste tre år.

Retningslinje 5: Organisationsstruktur

5.1. Såfremt ansøgeren er en fysisk person, bør beskrivelsen af organisationsstrukturen i ansøgerens virksomhed indeholde følgende:

• a) en samlet prognose for antal medarbejdere for de næste tre år
• b) en beskrivelse af relevante operationelle udliciteringsordninger bestående af:
• i. den udliciterende udbyders identitet og geografiske placering
• ii. identiteten af de personer i AISP, der er ansvarlige for hver af de udliciterede aktiviteter
• iii. en klar beskrivelse af de udliciterede aktiviteter og deres kendetegn i hovedtræk
• c) en kopi af udkast til udliciteringsaftaler
• d) hvis relevant en beskrivelse af brugen af filialer og agenter, herunder:
• i. en kortlægning af den kontrol på og uden for stedet, som ansøgeren agter at foretage af filialer og agenter
• ii. de IT-systemer, processer og infrastruktur, der benyttes af ansøgerens agenter til at udføre aktiviteter på ansøgerens vegne

agenternes uddannelse, og hvis relevant udkastet til ansættelsesvilkår

• e) en fortegnelse over alle fysiske og juridiske personer, der har tætte forbindelser til den ansøgende AISP, med angivelse af deres identitet og karakteren af disse forbindelser.

5.2. Såfremt ansøgeren er en juridisk person, bør beskrivelsen af den strukturelle opbygning af ansøgerens virksomhed indeholde følgende:

• a) et detaljeret organigram, der viser hver enkelt division, afdeling eller lignende organisatoriske adskillelse, inkl. navnet på den eller de ansvarlige personer, navnlig dem der er ansvarlige for interne kontrolfunktioner; organigrammet bør ledsages af en beskrivelse af funktioner og ansvarsområder for den enkelte division, afdeling eller lignende organisatoriske adskillelse
• b) et samlet skøn over antal medarbejdere for de næste tre år
• c) en beskrivelse af de relevante udliciteringsordninger bestående af:
• i. den udliciterende leverandørs identitet og geografiske placering
• ii. identiteten af de personer i AISP, der er ansvarlige for hver af de udliciterede aktiviteter
• iii. en detaljeret beskrivelse af de udliciterede aktiviteter og deres hovedkendetegn
• d) en kopi af udkast til udliciteringsaftaler
• e) hvis relevant en beskrivelse af brugen af filialer og agenter, herunder:
• i. en kortlægning af kontroller off-site og on-site, som ansøgeren her til hensigt at udføre
• ii. de IT-systemer, processer og infrastrukturer, der benyttes af ansøgerens agenter til at udføre aktiviteter på ansøgerens vegne
• iii. for så vidt angår agenter, udvælgelsespolitikken, overvågningsprocedurerne og agenternes uddannelse, og hvis relevant udkastet til ansættelsesvilkår
• f) en fortegnelse over alle fysiske og juridiske personer, der har tætte forbindelser til ansøgeren, med angivelse af deres identitet og karakteren af disse forbindelser.

Retningslinje 6: Forvaltningsordninger og interne kontrolmekanismer

6.1. Ansøgeren bør medsende en beskrivelse af forvaltningsordningen og de interne kontrolmekanismer, bestående af:

• a) en kortlægning af de risici, som ansøgeren har identificeret, herunder den type risici og de procedurer, som ansøgeren påtænker at indføre for at evaluere og forhindre sådanne risici
• b) de forskellige påtænkte procedurer for gennemførelse af periodisk og fast kontrol, herunder hyppigheden, og de tildelte menneskelige ressourcer
• c) de regnskabsprocedurer, i henhold til hvilke ansøgeren vil registrere og rapportere sine finansielle oplysninger
• d) identiteten af den eller de personer, der er ansvarlig(e) for de interne kontrolfunktioner, herunder for periodisk og fast kontrol og overensstemmelseskontrol, samt et opdateret CV
• e) identiteten af alle revisorer, der ikke er lovpligtig revisor i medfør af direktiv 2006/43/EF
• f) ledelsesorganets, og hvis relevant, ethvert andet tilsynsorgans eller -udvalgs sammensætning
• g) en beskrivelse af den måde, hvorpå udliciterede funktioner overvåges og kontrolleres for at undgå forringelse af kvaliteten af ansøgerens interne kontrolforanstaltninger
• h) en beskrivelse af den måde hvorpå agenter og filialer overvåges og kontrolleres inden for rammerne af ansøgerens interne kontrolforanstaltninger
• i) hvis ansøgeren er et datterselskab af en reguleret enhed i en anden EU-medlemsstat, en beskrivelse af forvaltningen af koncernen.

Retningslinje 7: Procedure for overvågning, håndtering og opfølgning af sikkerhedshændelser og sikkerhedsrelaterede kundereklamationer

7.1. Ansøgeren bør give en beskrivelse af den procedure, der er indført for at overvåge, håndtere og følge op på sikkerhedshændelser og sikkerhedsrelaterede kundereklamationer, som ansøgeren skal tilvejebringe, og som bør indeholde:

• a) organisatoriske foranstaltninger og værktøjer til bekæmpelse af svig
• b) oplysninger om de enkeltpersoner og organer, der er ansvarlige for at bistå kunderne i tilfælde af svig, tekniske problemer og/eller inddrivelse af fordringer
• c) rapporteringskanaler i tilfælde af svig
• d) kontaktpunkt for kunder, herunder et navn og e-mailadresse
• e) procedurerne for indberetning af hændelser, herunder kommunikation af disse indberetninger til interne eller eksterne organer, herunder indberetning af større hændelser til nationale kompetente myndigheder i medfør af artikel 96 i PSD2, og i overensstemmelse med EBA's retningslinjer om indberetning af hændelser i medfør af den omtalte artikel.
• f) de anvendte overvågningsværktøjer og opfølgningsforanstaltninger og -procedurer, der er indført for at afhjælpe sikkerhedsrisici.

Retningslinje 8: Proces for at gemme, overvåge, spore og begrænse adgang til følsomme betalingsdata

8.1. Ansøgeren bør tilvejebringe en beskrivelse af den procedure, der er indført til at gemme, overvåge, spore og begrænse adgang til følsomme betalingsdata, der består af:

• a) en beskrivelse af den datastrøm, der er klassificeret som følsomme betalingsdata inden for rammerne af kontooplysningstjenesteudbydernes forretningsmodel
• b) de procedurer, der er indført for at tillade adgang til de følsomme betalingsdata
• c) en beskrivelse af overvågningsværktøjet
• d) politikken for adgangsrettigheder, med oplysninger om adgang til alle relevante infrastrukturkomponenter og -systemer, herunder databaser og backupinfrastrukturer
• e) en beskrivelse af, hvordan de indsamlede data gemmes
• f) den forventede interne og/eller eksterne brug af de indsamlede data, herunder fra modparter
• g) IT-systemet og tekniske sikkerhedsforanstaltninger, der er blevet gennemført, herunder kryptering og/eller tokenisering
• h) identifikation af enkeltperson(er), organer og/eller udvalg med adgang til følsomme betalingsdata
• i) en redegørelse for, hvordan overtrædelser opdages og håndteres
• j) et årligt internt kontrolprogram i relation til IT-systemernes sikkerhed.

Retningslinje 9: Ordninger for forretningskontinuitet

9.1. Ansøgeren bør give en beskrivelse af ordningerne for forretningskontinuitet, der består af følgende oplysninger:

• a) en konsekvensanalyse, herunder forretningsprocesser og beredskabsmål, såsom mål for genstarttid, mål for gendannelsespunkt og beskyttede aktiver
• b) identifikation af backupsted, adgang til IT-infrastruktur, og den centrale software og data, der skal gendannes efter en katastrofe eller afbrydelse
• c) en redegørelse for, hvordan ansøgeren påtænker at forholde sig til væsentlige kontinuitetshændelser og driftsafbrydelser, såsom svigt af nøglesystemer; tab af nøgledata; manglende adgang til forretningslokalerne; og tab af nøglepersoner
• d) den hyppighed, hvormed ansøgeren påtænker at teste forretningskontinuiteten og katastrofeberedskabsplanerne, herunder hvordan resultaterne af testen vil blive registreret

Retningslinje 10: Dokument om sikkerhedspolitikken

10.1. Ansøgeren bør tilvejebringe et dokument om sikkerhedspolitikken, der indeholder følgende oplysninger:

• a) en detaljeret risikovurdering af betalingstjenesten/-tjenesterne, som ansøgeren påtænker at udbyde, og som bør omfatte risici for svig og sikkerhedskontrol- og afbødningsforanstaltninger, der træffes for på passende måde at beskytte brugerne af betalingstjenester mod de identificerede risici
• b) en beskrivelse af IT-systemerne, der bør omfatte:
• i. systemernes arkitektur og deres netværkselementer
• ii. de forretnings-IT-systemer, der understøtter de udbudte forretningsaktiviteter, såsom ansøgerens websted, systemet til håndtering af risici og svig, samt kunderegnskab
• iii. de support-IT-systemer, der anvendes til kontooplysningstjenesteudbydernes organisation og administration, bl.a. regnskab, juridiske indberetningssystemer, personaleforvaltning, kunderelationer, e-mailservere og interne filservere
• iv. oplysninger om, hvorvidt disse systemer allerede anvendes af kontooplysningstjenesteudbyderen eller dennes koncern eller ej, samt hvis relevant den skønnede gennemførelsesdato
• c) typen af autoriserede forbindelser udefra, f.eks. med partnere, tjenesteudbydere, koncernenheder og ansatte, der udfører fjernarbejde, med en forklaring af disse forbindelser
• d) for hver af disse forbindelser, der er opført under punkt c), de indførte logistiske beskyttelsesforanstaltninger og -mekanismer, med angivelse af den kontrol, som ansøgeren vil have over en sådan adgang samt karakteren og hyppigheden af hver kontrolforanstaltning, f.eks. teknisk i forhold til organisatorisk; forebyggende over for opsøgende; og realtidsovervågning over for løbende revisioner, som f.eks. brugen af en aktiv fortegnelse adskilt fra koncernen, åbning/lukning af kommunikationslinjer, konfiguration af sikkerhedsudstyr, generering af nøgler eller kundeautentifikationscertifikater, systemovervågning, autentifikation, fortrolighed af oplysninger, indtrængningsalarmer, antivirussystemer og logs
• e) de logiske sikkerhedsforanstaltninger og -mekanismer, der styrer den interne adgang til IT-systemer, som bør indeholde:
• i. den tekniske og organisatoriske karakter og hyppighed af hver foranstaltning, f.eks. om den er forebyggende eller opsøgende, og om den gennemføres i realtid eller ej
• ii. hvordan spørgsmålet om opdeling af kundemiljøer løses i sager, hvor ansøgerens IT-ressourcer deles
• f) de fysiske sikkerhedsforanstaltninger og -mekanismer i ansøgerens forretningslokaler og datacenter, f.eks. adgangskontrol og miljømæssig sikkerhed
• g) sikkerheden af betalingsprocesserne, der bør indeholde:
• i. den kundeautentifikationsprocedure, der anvendes til både orienterende og transaktionsbaseret adgang

betalingstjenestebruger og autentifikationsfaktorers integritet, f.eks. hardwaretokens og mobilapps, garanteres på tidspunktet for både den oprindelige tilmelding og fornyelse

• iii. en beskrivelse af de systemer og procedurer, som ansøgeren har indført til transaktionsanalyse og identifikation af mistænkelige eller usædvanlige transaktioner
• h) en detaljeret risikovurdering i tilknytning til ansøgerens betalingstjenester, herunder svig, med et link til de kontrolforanstaltninger og begrænsende foranstaltninger, som beskrives i ansøgningsdokumentet, og som viser, at risiciene er imødegået
• i) en liste over de skriftlige procedurer i tilknytning til ansøgerens IT-systemer eller, for procedurer, der endnu ikke er formaliseret, en forventet dato for deres afslutning.

Retningslinje 11: Identitets- og egnethedsvurdering af direktører og personer, der er ansvarlige for forvaltningen af kontooplysningstjenesteudbyderen

11.1. Af hensyn til identitets- og egnethedsvurderingen af direktører og personer, der er ansvarlige for forvaltningen af kontooplysningstjenesteudbyderen, bør ansøgeren fremsende følgende oplysninger:

• a) personoplysninger, der bør indeholde:
• i. fulde navn, køn, fødselsdato og -sted, adresse og nationalitet, og personligt identifikationsnummer eller kopi af ID-kort eller tilsvarende
• ii. oplysninger om den stilling, for hvilken vurderingen søges, og hvorvidt direktionen er udøvende eller ikke udøvende. Disse bør også omfatte følgende:

• b) hvis relevant oplysninger om den egnethedsvurdering, som ansøgeren har gennemført, og som bør indeholde oplysninger om resultatet af instituttets vurdering af den enkeltes egnethed udført af instituttet, f.eks. relevante bestyrelsesreferater eller egnetshedsvurderingsrapporter eller andre dokumenter
• c) dokumentation for viden, færdigheder og erfaring, som bør omfatte et CV med

kvalifikationer, anden relevant uddannelse, navn på og type af organisation, som den enkelte arbejder eller har arbejdet for, og arten og varigheden af de udførte funktioner, navnlig med fokus på alle aktiviteter inden for den søgte stillings område

• d) dokumentation for omdømme, hæderlighed og integritet, som bør indeholde:
• i. straffeattester og relevante oplysninger om strafferetlige efterforskninger og strafferetssager, relevante civilretlige og administrative sager, samt disciplinærsager, herunder diskvalifikation som selskabsdirektør, konkurs, insolvens og lignende procedurer, navnlig i form af et officielt certifikat eller oplysninger fra enhver objektivt pålidelig informationskilde om fraværet af straffedom eller strafferetlige efterforskninger, f.eks. tredjepartsefterforskninger, vidneudsagn fra en advokat eller notar i EU
• ii. en erklæring om, hvorvidt der verserer straffesager eller ej, eller hvorvidt den pågældende person eller enhver organisation, der ledes af vedkommende, har været involveret som skyldner i insolvensprocedurer eller sammenlignelige procedurer.
• iii. Oplysninger vedrørende følgende:

Retningslinje 12: Erhvervsansvarsforsikring eller lignende garanti

12.1. Som dokumentation for en erhvervsansvarsforsikring eller lignende garanti, der er i overensstemmelse med EBA's retningslinjer om erhvervsansvarsforsikring (EBA/GL/2017/08) og artikel 5, stk. 2, og artikel 5, stk. 3, i PSD2, bør ansøgeren tilvejebringe følgende oplysninger:

• a) en forsikringskontrakt eller andet tilsvarende dokument, der bekræfter eksistensen af en erhvervsansvarsforsikring eller en lignende garanti, med en dækning, der er i overensstemmelse med EBA's retningslinje, og som viser dækningen af de relevante forpligtelser
• b) dokumentation for, hvordan ansøgeren har beregnet minimumbeløbet på en måde, der er i overensstemmelse med de omtalte EBA-retningslinjer, herunder alle gældende komponenter af de heri specificerede formler.

Retningslinje 1: Almindelige principper

1.1 Dette sæt retningslinjer gælder for ansøgere om tilladelse som e-pengeinstitutter (EMI). Det finder anvendelse på ansøgere, der påtænker at udbyde elektroniske betalingstjenester, og eventuelt nogle af de i punkt 1-8 i bilag I til PSD2 omhandlede betalingstjenester. Ansøgere, der påtænker kun at levere de i punkt 1-7 i bilag I til PSD2 omhandlede betalingstjenester, eller tjeneste 8 som omtalt i dette bilag, i kombination med andre tjenester, jf. punkt 1-7

retningslinjer for de oplysninger, der kræves af ansøgere af tilladelse som betalingsinstitutter (PI), jf. afsnit 4.1. Ansøgere, der påtænker kun at levere den i punkt 8 i bilag I til PSD2 omhandlede betalingstjeneste uden at levere elektroniske betalingstjenester, bør henholde sig til retningslinjerne om de oplysninger, der kræves af ansøgere om registrering alene af tjeneste 8 i bilag I til PSD2, der er fastsat i afsnit 4.2.

1.2 De oplysninger, som ansøgere skal tilvejebringe, bør være sandfærdige, præcise og opdaterede. Alle ansøgere bør overholde alle de bestemmelser, der findes i det sæt retningslinjer, der gælder for dem. Detaljeringsgraden bør stå i forhold til ansøgerens størrelse og interne organisation, og til arten, omfanget, kompleksiteten af eller risikoen ved særlige tjenesteydelser, som ansøgeren har til hensigt at udbyde. Under alle omstændigheder har direktørerne og de ledelsesansvarlige for forvaltningen af elektroniske betalingstjenester, i overensstemmelse med direktiv EU 2015/2366, et godt omdømme og tilstrækkelig viden og erfaring til at varetage betalingstjenester, uanset instituttets størrelse, interne organisation og arten, omfanget og kompleksitetsgraden af dets aktiviteter og den specifikke tjenestes opgaver og ansvarsområder.

1.3 Ved fremsendelse af de krævede oplysninger bør ansøgeren undgå at foretage henvisninger til specifikke afsnit af interne procedurer/dokumenter. I stedet bør ansøgeren uddrage de relevante afsnit og levere disse til den kompetente myndighed.

1.4 Skulle de kompetente myndigheder ønske præciseringer af de fremsendte oplysninger, bør ansøgeren uden ugrundet ophold stille sådanne præciseringer til rådighed. 1.5 Alle de oplysninger, der kræves i henhold til disse retningslinjer vedrørende tilladelse som EMI'er, er nødvendige for vurderingen af ansøgningen og vil blive behandlet af den kompetente myndighed i overensstemmelse med de regler om tavshedspligt, der er fastsat i PSD2, med forbehold for gældende EU-ret og nationale krav og procedurer for udøvelsen af retten til at få adgang til, berigtige eller slette eller modsætte sig oplysningerne.

Retningslinje 2: Identifikationsoplysninger

2.1 De identifikationsoplysninger, der skal leveres af ansøgeren, bør indeholde følgende:

• a) ansøgerens selskabsnavn, og såfremt forskelligt herfra, forretningsbetegnelse
• b) en angivelse af, om ansøgeren allerede er registreret eller er ved at blive registreret
• c) hvis relevant ansøgerens nationale identifikationsnummer
• d) ansøgerens juridiske status og (udkast til) vedtægter og/eller stiftelsesdokumenter, der dokumenterer ansøgerens juridiske status
• e) adressen til ansøgerens hovedsæde og vedtægtsmæssige hjemsted
• f) ansøgerens e-mailadresse og websted, hvis disse findes
• g) navnet/navnene på den/de person(er), der er ansvarlige for håndteringen af ansøgningsfilen og tilladelsesproceduren, og deres kontaktoplysninger
• h) en angivelse af, hvorvidt ansøgeren nogensinde har været, eller i øjeblikket er, reguleret af en kompetent myndighed i den finansielle sektor
• i) hvis relevant eventuelle handelssammenslutninger i relation til leveringen af elektroniske betalingstjenester og/eller betalingstjenester, som ansøgeren planlægger at deltage i
• j) den registrerede stiftelsesoverenskomst, eller hvis relevant negativattest fra et handelsregister, der certificerer, at det af selskabet anvendte navn findes
• k) dokumentation for betalingen af eventuelle gebyrer eller indskud af midler for at indgive en ansøgning om tilladelse som e-pengeinstitut, hvor dette finder anvendelse i henhold til national lovgivning.

Retningslinje 3: Oversigt over aktiviteter

3.1 Den oversigt over aktiviteter, der skal tilvejebringes af ansøgeren, bør indeholde følgende:

• a) en angivelse af de elektroniske betalingstjenester, som ansøgeren agter at udbyde: udstedelse, indløsning, distribution;
• b) hvis relevant en udførlig beskrivelse af den påtænkte type betalingstjenester, herunder en redegørelse for, hvordan ansøgeren identificerer de aktiviteter og operationer, som vil blive leveret, som passende ind i en at de lovlige kategorier af betalingstjenester, der er anført i bilag I til PSD2, samt en angivelse af, hvorvidt disse betalingstjenester ville blive leveret sideløbende med elektroniske pengetjenester, eller om de er knyttet til udstedelsen af elektroniske penge.
• c) en erklæring om, hvorvidt ansøgeren på et eller andet tidspunkt vil komme i besiddelse af midler eller ej
• d) hvis relevant en beskrivelse af gennemførelsen af de forskellige elektroniske pengetjenester, og eventuelt betalingstjenester, med angivelse af alle involverede parter, for hver elektroniske pengetjeneste og eventuelt hver betalingstjeneste:
• i. et diagram over betalingsstrømme
• ii. afviklingsordninger
• iii. udkast til kontrakter mellem alle involverede parter vedrørende udbud af betalingstjenester, herunder eventuelt betalingskortordninger
• iv. behandlingstider
• e) en kopi af udkastet til kontrakt mellem e-pengeinstituttet og indehaveren af de elektroniske penge, samt udkastet til rammeaftale, som defineret i artikel 4, stk. 21 i PSD2, såfremt ansøgeren angiver at ville levere betalingstjenester sideløbende med elektroniske betalingstjenester
• f) om fornødent det skønnede antal forskellige forretningslokaler, hvorfra ansøgeren har til hensigt at udbyde tjenesterne
• g) en beskrivelse af eventuelle accessoriske tjenester til elektroniske betalingstjenester, og eventuelt betalingstjenester
• h) når ansøgeren påtænker at udbyde betalingstjenester sideløbende med elektroniske pengetjenester, en erklæring om, hvorvidt ansøgeren agter et yde lån eller ej, og i bekræftende fald inden for hvilke grænser
• i) en erklæring om, hvorvidt ansøgeren planlægger at udbyde elektroniske betalingstjenester, og eventuelt betalingstjenester i andre EU-medlemsstater eller tredjelande eller ej efter tildeling af licensen
• j) en angivelse af, hvorvidt ansøgeren inden for de næste tre år agter at udbyde eller allerede udbyder andre forretningsaktiviteter end elektroniske betalingstjenester og eventuelt betalingstjenester som omhandlet i artikel 11, stk. 5, i direktiv (EU) 2015/2366, herunder en beskrivelse af arten og det forventede omfang af aktiviteterne
• k) oplysningerne i EBA's retningslinjer for de kriterier, der skal anvendes til at fastsætte minimumsbeløbet for erhvervsansvarsforsikringen eller en lignende garanti i henhold til artikel 5, stk. 4, i direktiv (EU) 2015/2366, hvor ansøgeren har til hensigt at udbyde tjeneste 7 og 8 (PIS og kontooplysningstjenester (AIS)).

Retningslinje 4: Forretningsplan

4.1. Den forretningsplan, der skal leveres af ansøgeren, bør indeholde:

• a) en markedsføringsplan bestående af:
• i. en analyse af selskabets konkurrencesituation på markedet for elektroniske penge, og eventuelt det berørte betalingsmarkedssegment
• ii. en beskrivelse af brugerne af betalingstjenesterne og ejerne af elektroniske penge, markedsføringsmaterialer og distributionskanaler
• b) reviderede årsregnskaber for de foregående tre år, eller en oversigt over den finansielle situation for de selskaber, der endnu ikke har udarbejdet årsregnskaber
• c) en budgetprognose for de tre første regnskabsår, der viser, at ansøgeren er i stand til at anvende de systemer, ressourcer og procedurer, som er hensigtsmæssige for en forsvarlig drift. Den bør indeholde:
• i. en indkomstopgørelse og en balanceprognose, herunder mål- og stressscenarier samt deres basisantagelser, såsom mængde og værdi af transaktioner, antal kunder, priser, gennemsnitligt beløb pr. transaktion, forventet stigning i rentabilitetstærskel
• ii. redegørelser i hovedtræk for indtægter og udgifter, den finansielle gæld og kapitalaktiverne
• iii. et diagram og en detaljeret opdeling af skønnede pengestrømme for de næste tre år

sammensætningen af startkapitalen som fastsat i artikel 7, litra a) og b), i direktiv 2006/48/EF

• e) oplysninger om, og beregning af, krav om kapitalgrundlag i overensstemmelse med metode D, som omtalt i artikel 5, stk. 3 i direktiv (EU) 2009/110 (det andet direktiv om elektroniske penge (EMD2)), såfremt e-pengeinstituttet har til hensigt kun at udbyde elektroniske betalingstjenester, eller den eller de metoder, der er omtalt i artikel 9 i direktiv (EU) 2015/2366 (PSD2) som fastlagt af den kompetente myndighed, såfremt ansøgeren påtænker at udbyde betalingstjenester sideløbende med elektroniske betalingstjenester, herunder en årlig fremskrivning af fordelingen af egenkapitalen i tre år i følge den anvendte metode, og eventuelt en årlig fremskrivning af kapitalgrundlaget i tre år i henhold til andre anvendte metoder.

Retningslinje 5: Organisationsstruktur

5.1. Ansøgeren bør medsende en beskrivelse af organisationsstrukturen for ansøgerens virksomhed, bestående af:

• a) et detaljeret organisationsdiagram, der viser hver enkelt division, afdeling eller lignende organisatoriske opdeling, herunder navnet på den eller de ansvarlige personer, navnlig dem der er ansvarlige for interne kontrolfunktioner; organisationsdiagrammet bør

afdeling eller lignende organisatoriske opdeling

• b) en samlet prognose for antal medarbejdere for de næste tre år
• c) en beskrivelse af relevante operationelle udliciteringsordninger bestående af:
• i. den udliciterende udbyders identitet og geografiske placering
• ii. identiteten af de personer hos e-pengeinstituttet, der er ansvarlige for hver af de udliciterede aktiviteter
• iii. en klar beskrivelse af de udliciterede aktiviteter og deres kendetegn i hovedtræk
• d) en kopi af udkast til udliciteringsaftaler
• e) hvis relevant en beskrivelse af brugen af filialer og agenter og distributører, herunder:
• i. en kortlægning af den kontrol på og uden for stedet, som ansøgeren agter at foretage af filialer, agenter og distributører
• ii. de IT-systemer, processer og infrastruktur, der benyttes af ansøgerens agenter og distributører til at udføre aktiviteter på ansøgerens vegne
• iii. med hensyn til agenter og distributører, udvælgelsespolitikken, overvågningsprocedurerne og agenternes og distributørernes uddannelse, og hvis relevant udkastet til ansættelsesvilkår for agenter og distributører
• f) hvis relevant en angivelse af det nationale og/eller internationale betalingssystem, som ansøgeren vil benytte
• g) en fortegnelse over alle fysiske og juridiske personer, der har tætte forbindelser til ansøgeren, med angivelse af deres identitet og karakteren af disse forbindelser.

Retningslinje 6: Dokumentation for startkapital

6.1. Som dokumentation for den startkapital, der skal tilvejebringes af ansøgeren (på 350 000 EUR), bør ansøgeren fremsende følgende dokumenter:

• a) for eksisterende virksomheder, et revideret kontoudtog eller offentligt register, der dokumenterer størrelsen af ansøgerens kapital
• b) for virksomheder under registrering, et bankudtog udstedt af en bank, som dokumenterer, at midlerne er indsat på ansøgerens bankkonto.

Retningslinje 7: Foranstaltninger til sikring af midler tilhørende brugere af elektroniske penge og/eller brugere af betalingstjenester

7.1. Hvis ansøgeren beskytter midler tilhørende brugere af elektroniske penge og/eller betalingstjenestebrugeres midler ved indskud af midler på en særskilt konto i et kreditinstitut eller investering i sikre, likvide aktiver med lav risiko, bør beskrivelsen af beskyttelsesforanstaltningerne indeholde:

• a) hvis relevant en beskrivelse af investeringspolitikken for at sikre, at de valgte aktiver er likvide, sikre og af lav risiko
• b) antallet af personer, der har adgang til sikringskontoen, og deres funktioner
• c) en beskrivelse af administrations- og afstemningsprocessen for brugere af elektroniske penge og hvis relevant brugere af betalingstjenester for at sikre mod krav fra andre kreditorer hos e-pengeinstituttet, navnlig i tilfælde af insolvens
• d) en kopi af udkastet til kontrakt med kreditinstituttet
• e) en udtrykkelig erklæring fra e-pengeinstituttet i overensstemmelse med artikel 10 i PSD2.

7.2. Hvis ansøgeren garanterer midler tilhørende brugere af elektroniske penge, og hvis relevant betalingstjenestebrugere via en forsikringspolice eller lignende garanti fra et forsikringsselskab eller kreditinstitut, og medmindre ansøgeren påtænker kun at udbyde PIS, bør beskrivelsen af sikringsforanstaltningerne indeholde følgende:

• a) en bekræftelse på, at forsikringspolicen eller en lignende garanti fra et forsikringsselskab eller kreditinstitut kommer fra en enhed, der ikke tilhører samme gruppe af virksomheder som ansøgeren
• b) nærmere oplysninger om den aktuelle afstemningsproces for at sikre, at forsikringspolitikken eller en lignende garanti er tilstrækkelig til at overholde ansøgerens sikringsforpligtelser til enhver tid
• c) dækningens varighed og fornyelse
• d) en kopi af (udkast til) forsikringsaftale eller (udkast til) en lignende garanti.

Retningslinje 8: Forvaltningsordninger og interne kontrolmekanismer

8.1. Ansøgeren bør medsende en beskrivelse af forvaltningsordningen og de interne kontrolmekanismer, bestående af:

• a) en kortlægning af de risici, som ansøgeren har identificeret, herunder den type risici og de procedurer, som ansøgeren påtænker at indføre for at evaluere og forhindre sådanne risici, i relation til elektroniske pengetjenester , og hvis relevant betalingstjenester
• b) de forskellige procedurer for gennemførelse af periodiske og faste kontroller, inkl. hyppighed, og de tildelte menneskelige ressourcer
• c) de regnskabsprocedurer, i henhold til hvilke ansøgeren vil registrere og rapportere sine finansielle oplysninger
• d) identiteten af den eller de personer, der er ansvarlige for de interne kontrolfunktioner, herunder for periodisk og fast kontrol og overensstemmelseskontrol, samt et opdateret CV
• e) identiteten af alle revisorer, der ikke er revisor i den i direktiv 2006/43/EF anførte forstand
• f) ledelsesorganets, og hvis relevant, ethvert andet tilsynsorgans eller -udvalgs sammensætning
• g) en beskrivelse af den måde, hvorpå udliciterede funktioner overvåges og kontrolleres for at undgå forringelse af kvaliteten af de interne kontrolforanstaltninger hos e-pengeinstituttet
• h) en beskrivelse af den måde hvorpå agenter, filialer og distributører overvåges og kontrolleres inden for rammerne af ansøgerens interne kontrolforanstaltninger
• i) hvor ansøgeren er datterselskab af en reguleret enhed i en anden EU-medlemsstat, en beskrivelse af forvaltningen af koncernen.

Retningslinje 9: Procedure for overvågning, håndtering og opfølgning af sikkerhedshændelser og sikkerhedsrelaterede kundereklamationer

9.1. Ansøgeren bør give en beskrivelse af den procedure, der er indført for at overvåge, håndtere og følge op på sikkerhedshændelser og sikkerhedsrelaterede kundereklamationer, som ansøgeren skal tilvejebringe, og som bør indeholde:

• a) organisatoriske foranstaltninger og værktøjer til bekæmpelse af svig
• b) oplysninger om de enkeltpersoner og organer, der er ansvarlige for at bistå kunderne i tilfælde af svig, tekniske problemer og/eller inddrivelse af fordringer
• c) rapporteringskanaler i tilfælde af svig
• d) kontaktpunkt for kunder, herunder et navn og en e-mailadresse
• e) procedurerne for indberetning af hændelser, herunder kommunikation af disse indberetninger til interne eller eksterne organer, herunder for ansøgere, der påtænker at udbyde betalingstjenester sideløbende med elektroniske pengetjenester, samt indberetning af større hændelser til nationale kompetente myndigheder i medfør af artikel 96 i PSD2, og i overensstemmelse med EBA's retningslinjer for indberetning af hændelser i henhold til den omtalte artikel.
• f) de anvendte overvågningsværktøjer og opfølgningsforanstaltninger og -procedurer, der er indført for at afhjælpe sikkerhedsrisici.

Retningslinje 10: Proces for at gemme, overvåge, spore og begrænse adgang til følsomme betalingsdata

10.1. Ansøgeren bør tilvejebringe en beskrivelse af den procedure, der er indført til at gemme, overvåge, spore og begrænse adgang til følsomme betalingsdata, der består af:

• a) en beskrivelse af de datastrømme, der er klassificeret som følsomme betalingsdata inden for rammerne af e-pengeinstituttets forretningsmodel
• b) de procedurer, der er indført for at tillade adgang til de følsomme betalingsdata
• c) en beskrivelse af overvågningsværktøjet
• d) politikken for adgangsrettigheder, med oplysninger om adgang til alle relevante infrastrukturkomponenter og -systemer, herunder databaser og backupinfrastrukturer
• e) en beskrivelse af, hvordan de indsamlede data gemmes
• f) den forventede interne og/eller eksterne brug af de indsamlede data, herunder fra modparter
• g) IT-systemet og tekniske sikkerhedsforanstaltninger, der er blevet gennemført, herunder kryptering og/eller tokenisering
• h) identifikation af enkeltpersoner, organer og/eller udvalg med adgang til følsomme betalingsdata
• i) en redegørelse for, hvordan overtrædelser opdages og håndteres
• j) et årligt internt kontrolprogram i relation til IT-systemernes sikkerhed.

Retningslinje 11: Ordninger for forretningskontinuitet

11.1. Ansøgeren bør give en beskrivelse af ordningerne for forretningskontinuitet, der består af følgende oplysninger:

• a) en konsekvensanalyse, herunder forretningsprocesser og beredskabsmål, såsom mål for genstarttid, mål for gendannelsespunkt og beskyttede aktiver
• b) identifikation af backupsted, og adgang til IT-infrastruktur, og den centrale software og data, der skal gendannes efter en katastrofe eller afbrydelse
• c) en redegørelse for, hvordan ansøgeren påtænker at beskæftige sig med væsentlige kontinuitetshændelser og driftsafbrydelser, såsom svigt af nøglesystemer; tab af nøgledata; manglende adgang til lokalerne; og tab af nøglepersoner
• d) den hyppighed, hvormed ansøgeren påtænker at teste forretningskontinuiteten og katastrofeberedskabsplanerne, herunder hvordan resultaterne af testen vil blive registreret
• e) en beskrivelse af de afhjælpningsforanstaltninger, der skal vedtages af ansøgeren, i tilfælde af ophør af betalingstjenesterne, sikring af gennemførelsen af afventende betalingstransaktioner og afslutningen af eksisterende kontrakter.

Retningslinje 12: De principper og definitioner, der finder anvendelse på indsamlingen af statistiske data om resultater, transaktioner og svig

12.1. Ansøgeren bør give en beskrivelse af de principper og definitioner, der finder anvendelse på indsamlingen af de statistiske data om resultater, transaktioner og svig, der består af følgende oplysninger:

• a) typen af data, der indsamles, i relation til kunder, type betalingstjeneste, kanal, instrument, jurisdiktioner og valutaer
• b) omfanget af indsamlingen, for så vidt angår de berørte aktiviteter og enheder, herunder filialer, agenturer og distributører
• c) indsamlingsmåden
• d) indsamlingsformålet
• e) indsamlingshyppigheden
• f) støttedokumenter, f.eks. en manual, der beskriver, hvordan systemet fungerer.

Retningslinje 13: Dokument om sikkerhedspolitik

13.1. Ansøgeren bør tilvejebringe et dokument om sikkerhedspolitikken i forbindelse med dennes elektroniske pengetjeneste(r), og eventuelt betalingstjeneste(r), som bør indeholde følgende oplysninger:

• a) en detaljeret risikovurdering af de(n) elektroniske pengetjeneste(r), betalingstjenesten/-tjenesterne, som ansøgeren påtænker at udbyde, og som ville omfatte risici for svig og sikkerhedskontrol- og afbødningsforanstaltninger, der træffes for på passende måde at beskytte brugerne af elektroniske betalingstjenester, og eventuelt betalingstjenestebrugere, mod de identificerede risici
• b) en beskrivelse af IT-systemerne, der bør omfatte:
• i. systemernes arkitektur og deres netværkselementer
• ii. de forretnings-IT-systemer, der understøtter de leverede forretningsaktiviteter, såsom ansøgerens websted, wallets, betalingsplatform, systemet til håndtering af risici og svig, samt kunderegnskab
• iii. de support-IT-systemer, der anvendes til e-pengeinstituttets organisation og administration, bl.a. regnskab, juridiske indberetningssystemer, personaleforvaltning, kunderelationer, e-mailservere, interne filservere
• iv. oplysninger om, hvorvidt disse systemer allerede anvendes af e-pengeinstituttet eller dennes koncern, samt hvis relevant den skønnede gennemførelsesdato
• c) typen af autoriserede forbindelser udefra, f.eks. med partnere, serviceleverandører, koncernenheder og ansatte, der udfører fjernarbejde, med en forklaring af disse forbindelser

beskyttelsesforanstaltninger og -mekanismer, med angivelse af den kontrol, som ansøgeren vil have over en sådan adgang samt karakteren og hyppigheden af hver kontrolforanstaltning, f.eks. teknisk i forhold til organisatorisk; forebyggende over for opsøgende; og realtidsovervågning over for løbende revisioner, som f.eks. brugen af en aktiv fortegnelse adskilt fra koncernen, åbning/lukning af kommunikationslinjer, konfiguration af sikkerhedsudstyr, generering af nøgler eller kundeautentifikationscertifikater, systemovervågning, autentifikation, fortrolighed af oplysninger, indtrængningsalarmer, antivirussystemer og logs

• e) de logiske sikkerhedsforanstaltninger og -mekanismer, der styrer den interne adgang til IT-systemer, som bør indeholde:
• i. den tekniske og organisatoriske karakter og hyppighed af hver foranstaltning, f.eks. om den er forebyggende eller opsøgende, og om den gennemføres i realtid eller ej
• ii. hvordan spørgsmålet om opdeling af kundemiljøer løses i sager, hvor ansøgerens IT-ressourcer deles
• f) de fysiske sikkerhedsforanstaltninger og -mekanismer i ansøgerens forretningslokaler og datacenter, f.eks. adgangskontrol og miljømæssig sikkerhed
• g) sikkerheden af e-penge, og hvis relevant betalingsprocesser, der bør indeholde:
• i. den kundeautentifikationsprocedure, der anvendes til både orienterende og transaktionsbaseret adgang, og for alle underliggende betalingsinstrumenter
• ii. en redegørelse for, hvordan sikker levering til det legitime e-pengeinstitut, og eventuelt betalingstjeneste og autentifikationsfaktorers integritet, f.eks. hardwaretokens og mobilapps, garanteres, på tidspunktet for både den oprindelige tilmelding og fornyelse
• iii. en beskrivelse af de systemer og procedurer, som e-pengeinstituttet har indført til transaktionsanalyse og identifikation af mistænkelige eller usædvanlige transaktioner
• h) en detaljeret risikovurdering i tilknytning til ansøgerens elektroniske betalingstjenester, herunder svig, med et link til de kontrolforanstaltninger og begrænsende foranstaltninger, som beskrives i ansøgningsdokumentet, og som viser, at risiciene er imødegået
• i) en liste over de skriftlige procedurer i tilknytning til ansøgerens IT-systemer eller, for procedurer, der endnu ikke er formaliseret, en forventet dato for deres afslutning.

Retningslinje 14: Interne kontrolmekanismer for at opfylde forpligtelserne vedrørende hvidvask af penge og finansiering af terrorisme (AML/CFT-forpligtelser)

14.1 Beskrivelsen af de interne kontrolmekanismer, som ansøgeren har oprettet for hvis relevant at opfylde disse forpligtelser, bør indeholde følgende oplysninger:

• a) ansøgerens vurdering af risiciene for hvidvask af penge og finansiering af terrorisme i tilknytning til ansøgerens forretning, herunder risici forbundet med ansøgerens kundebase, de tilbudte produkter og tjenester, de anvendte distributionskanaler og de geografiske aktivitetsområder
• b) de foranstaltninger, som ansøgeren har indført eller ønsker at indføre for at afhjælpe risiciene og efterleve gældende forpligtelser for bekæmpelse af hvidvask af penge og finansiering af terrorisme, herunder ansøgerens risikovurderingsprocedure, politikkerne og procedurerne for overholdelse af kravene om at handle med den nødvendige omhu over for kunderne, og politikkerne og procedurerne for at spore og indberette mistænkelige transaktioner eller aktiviteter
• c) de systemer og kontrolforanstaltninger, som ansøgeren har indført eller påtænker at indføre for at sikre, at ansøgerens filialer, agenter og distributører efterlever gældende krav vedrørende bekæmpelse af hvidvask af penge og finansiering af terrorisme, herunder i sager, hvor agenten, distributøren eller filialen er beliggende i en anden medlemsstat
• d) ordninger, som ansøgeren har indført eller påtænker at indføre for at sikre, at ansatte,

bekæmpelse af hvidvask af penge og finansiering af terrorisme

• e) identiteten af den person, der er ansvarlig for at sikre ansøgerens overholdelse af forpligtelserne til bekæmpelse af hvidvask af penge og finansiering af terrorisme, og dokumentation for, at ansøgerens ekspertise i forbindelse med bekæmpelse af hvidvask af penge og finansiering af terrorisme er tilstrækkelig til at sætte denne i stand til at udføre denne rolle effektivt
• f) de systemer og kontrolforanstaltninger, som ansøgeren har indført eller påtænker at indføre for at sikre, at ansøgerens politikker og procedurer for bekæmpelse af hvidvask af penge og finansiering af terrorisme fortsat er opdaterede, effektive og relevante
• g) de systemer og kontrolforanstaltninger, som ansøgeren har indført eller påtænker at indføre for at sikre, at agenterne og distributørerne ikke udsætter ansøgeren for forøget risiko for hvidvask af penge og finansiering af terrorisme
• h) medarbejderhåndbogen om bekæmpelse af hvidvask af penge og finansiering af terrorisme.

Retningslinje 15: Identitets- og egnethedsvurdering af personer med kvalificeret andel i ansøgeren

15.1 Med henblik på at identificere og dokumentere egnetheden af personer med kvalificeret andel i det ansøgende e-pengeinstitut, med forbehold for vurderingen i henhold til relevante kriterier, der blev indført med direktiv 2007/44/EF og specificeret i de fælles retningslinjer for risikovurdering af erhvervelser af kvalificerede andele (JC/GL/2016/01), bør ansøgeren indsende følgende oplysninger:

• a) en beskrivelse af den koncern, som ansøgeren tilhører, og i relevante tilfælde angivelse af modervirksomheden
• b) et diagram over aktionærstrukturen hos ansøgeren, herunder:
• i. navn og procentvis andel (kapital/stemmeret) for hver person, der har eller vil have en direkte andel i ansøgerens aktiekapital, med henblik på identifikation af dem, der anses for at være kvalificerede deltagere og grunden til en sådan kvalificering
• ii. navn og procentvis andel (kapital/stemmerettigheder) for hver person, der har eller vil have en indirekte andel i ansøgerens aktiekapital, med henblik på identifikation af dem, der anses for at være kvalificerede deltagere og grunden til en sådan kvalificering
• c) en liste over navnene på alle personer og andre enheder, der har, eller i tilfælde af tilladelse, får kvalificerede andele i ansøgerens kapital, med angivelse for hver sådan person eller enhed
• i. antallet og arten af aktier eller andre andele, der er tegnet eller skal tegnes
• ii. den nominelle værdi af sådanne aktier eller andre andele.

15.2 Hvis en person, der har, eller ved tilladelse, får en kvalificeret andel i ansøgerens kapital, er en fysisk person, bør ansøgningen fastlægge alle følgende oplysninger vedrørende denne persons identitet og egnethed:

• a) personens navn og fødenavn, fødselsdato og -sted, statsborgerskab (nuværende og tidligere), identifikationsnummer (hvor et sådant findes) eller pasnummer, adresse og kopi af et officielt identitetsdokument
• b) et detaljeret CV med oplysninger om uddannelse, tidligere erhvervserfaring og eventuelle erhvervsaktiviteter eller andre funktioner, der udøves på nuværende tidspunkt.
• c) en erklæring, ledsaget af følgedokumenter, indeholdende følgende oplysninger om personen:
• i. med forbehold for nationale lovkrav vedrørende offentliggørelse af afsonede domme, enhver straffedom eller sager, hvor den pågældende er idømt straf, og som ikke er blevet ophævet
• ii. alle civilretlige eller administrative beslutninger i sager, der er af relevans for vurderings- eller tilladelsesprocessen, hvis personen er idømt straf, er blevet pålagt administrative sanktioner eller foranstaltninger som følge af en overtrædelse af love eller andre bestemmelser (herunder diskvalifikation som direktør i en virksomhed) i hver sag, der ikke er blevet ophævet, og for hvilken der ikke verserer en ankesag, eller kan indbringes klage
• iii. konkurs-, insolvens- eller lignende procedurer
• iv. eventuelle verserende strafferetlige efterforskninger
• v. eventuelle civilretlige eller administrative efterforskninger, tvangsfuldbyrdelsesprocedurer, sanktioner eller andre håndhævelsesbeslutninger mod personen i forhold til sager, der kan anses for at være relevante for tilladelsen til at indlede aktivitet som et e-pengeinstitut eller for sund og forsigtig forvaltning af et e-pengeinstitut
• vi. hvis sådanne dokumenter kan rekvireres, en officiel attest eller andet tilsvarende dokument, der dokumenterer, om en eller flere af de i litra i)-v) omtalte hændelser i forhold til den relevante person er forekommet
• vii. eventuelle afslag på registrering, tilladelse, medlemskab eller licens til at udføre handel, virksomhed eller et erhverv
• viii. eventuelle annulleringer, tilbagekaldelser af registrering, tilladelse, medlemskab eller licens til at udføre handel, virksomhed eller et erhverv
• ix. enhver udelukkelse foranlediget af en myndighed eller enhed i den offentlige sektor i den finansielle sektor eller af et fagligt organ eller sammenslutning
• x. Enhver lederstilling i en enhed, der er blevet genstand for en straffedom eller omfattet af retsforfølgning, administrative efterforskninger, sanktioner eller andre tvangsfuldbyrdelsesbeslutninger som følge af adfærdsmæssig svigt, herunder i tilfælde af svig, uhæderlighed, korruption, hvidvask af penge, finansiering af terrorisme eller anden økonomisk kriminalitet, eller i tilfælde af undladelse af at gennemføre tilstrækkelige politikker og procedurer til forebyggelse af sådanne hændelser, som sker på det tidspunkt, hvor den påståede adfærd fandt sted, sammen med nærmere oplysninger om sådanne forekomster og om personens eventuelle involvering heri
• xi. enhver afskedigelse fra ansættelse eller et tillidshverv, enhver fjernelse fra et betroet forhold (bortset fra som et resultat af, at det relevante forhold nærmer sig sit udløb) og enhver lignende situation
• d) en liste over virksomheder, som den pågældende person leder eller kontrollerer, og som ansøgeren er vidende om efter behørig og indgående undersøgelse; andelen af denne kontrol enten direkte eller indirekte i disse selskaber; deres status (om de er aktive eller ej, opløst osv.); og en beskrivelse af insolvens eller lignende procedurer
• e) hvis en kompetent myndighed i den finansielle sektor allerede har foretaget en vurdering af personens omdømme, denne myndigheds identitet og resultatet af vurderingen
• f) personens nuværende finansielle situation, herunder oplysninger vedrørende kilder til indtægter, aktiver og passiver, sikkerhedsinteresser og garantier, stillet eller modtaget
• g) en beskrivelse af eventuelle forbindelser til politisk eksponerede personer, som defineret i artikel 3, stk. 9, i direktiv (EU) 2015/849⁴ .

15.3 Hvis en person eller enhed har, eller ved tilladelse, får en kvalificeret andel i ansøgerens kapital (herunder enheder, der ikke er en juridisk person, og som besidder eller bør besidde andelen i deres eget navn), bør ansøgningen indeholde følgende oplysninger om denne persons eller enheds identitet og egnethed:

• a) navn
• b) hvor den juridiske person eller enhed er registreret i et centralt register, handelsregister, virksomhedsregister eller lignende register, der har samme formål som de føromtalte, eventuelt en kopi af bevis for godt omdømme, eller på anden måde et bevis for registrering
• c) adresserne på det registrerede hjemsted, og hvor det er forskelligt herfra, hovedkontoret og hovedforretningssted
• d) kontaktoplysninger
• e) selskabsdokumenter, eller hvor personen eller enheden er registreret i en anden medlemsstat, en sammenfattende redegørelse for den juridiske enheds vigtigste retlige forhold
• f) hvorvidt den juridiske person eller enhed nogensinde har været eller bliver reguleret af en kompetent myndighed i den finansielle sektor eller en anden statslig myndighed
• g) hvis sådanne dokumenter kan rekvireres, et officielt certifikat eller andet tilsvarende dokument, der dokumenterer de oplysninger, der er fastlagt i litra a) - e), og som er udstedt af den relevante kompetente myndighed
• h) de oplysninger, der omtales i retningslinje 15, stk. 2, litra c),15, stk. 2, litra d), 15, stk. 2, litra e), 15, stk. 2, litra f), og 15, stk. 2, litra g), i relation til den juridiske person eller enhed
• i) en liste med nærmere oplysninger om hver person, der reelt leder aktiviteterne hos den juridiske person eller enhed, herunder deres navn, fødselsdato og -sted, adresse, deres nationale identifikationsnummer, hvor et sådant findes, samt detaljeret CV (med angivelse af relevant uddannelse og træning, tidligere erhvervserfaring, eventuelle faglige aktiviteter eller andre relevante funktioner, der aktuelt udføres), sammen med de oplysninger, der omtales i retningslinje 15, stk. 2, litra c) og 15, stk. 2, litra d), for så vidt angår hver sådan person
• j) den juridiske persons aktieandelsstruktur, herunder som minimum direkte eller indirekte

2015/849) navn, fødselsdato og -sted, adresse og personligt identifikationsnummer hvis tilgængeligt samt deres respektive andele af kapital og stemmerettigheder

• k) en beskrivelse af den regulerede finanskoncern, som ansøgeren er en del af, eller kan blive en del af, med angivelse af modervirksomheden og kredit-, forsikrings og - værdipapirenheder i koncernen; navnet på deres kompetente myndigheder (på individuelt eller konsolideret grundlag), og
• l) årsregnskaber på individuelt og, hvor det finder anvendelse, på konsolideret og delkonsolideret grundlag, for de seneste tre regnskabsår, hvis den juridiske person eller enhed har drevet virksomhed i denne periode (eller, hvis mindre end tre år, den periode for hvilken den juridiske person eller enhed har været operativ (eller, hvis under tre år, den periode, i hvilken den juridiske person eller enhed har været operativ, og der er udarbejdet regnskaber), eventuelt godkendt af revisoren eller revisionsfirmaet i den i direktiv 2006/43/EF⁵ omhandlede forstand, herunder hvert af følgende punkter:
• i. balancen
• ii. resultatopgørelsen
• iii. årsrapporterne og de finansielle bilag og alle andre dokumenter, der registreres i den juridiske persons relevante register eller hos den kompetente myndighed
• m) hvis den juridiske person ikke har drevet virksomhed i en tilstrækkelig lang periode til at udarbejde de krævede regnskaber for de tre regnskabsår umiddelbart forud for ansøgningsdatoen, skal ansøgningen indeholde de (eventuelle) eksisterende regnskaber
• n) hvis den juridiske person eller enhed har sit hovedkontor i et tredjeland, generelle oplysninger om de retsforskrifter i det pågældende tredjeland, der gælder for den juridiske person eller enhed, herunder oplysninger om i hvilket omfang tredjelandets lovgivning om bekæmpelse af hvidvask af penge og finansiering af terrorisme er forenelig med anbefalingerne fra Den Finansielle Aktionsgruppe vedrørende Hvidvaskning af Penge
• o) for enheder, der ikke har status af juridisk person, som f.eks. et institut for kollektiv

følgende oplysninger:

• i. identiteten af de personer, der forvalter aktiver og af de personer, der er modtagere eller abonnenter, ejere af enheder, der kontrollerer det instituttet for kollektiv investering, eller som har en andel, der sætter dem i stand til at forhindre beslutninger truffet af instituttet for kollektiv investering
• ii. en kopi af det dokument, hvorved enheden stiftes og forvaltes, herunder den investeringspolitik og eventuelle restriktioner, der finder anvendelse på enheden.

15.4 Ansøgningen skal indeholde alle nedenstående oplysninger for hver enkelt fysisk eller juridisk person, som har, eller i tilfælde af tilladelse, får en kvalificeret andel af ansøgerens kapital og indeholde følgende:

• a) nærmere oplysninger om denne persons eller enheds finansielle eller forretningsmæssige bevæggrunde for at eje denne andel, og personens eller enhedens strategi vedrørende andelen, herunder den periode i hvilken personen eller enheden påtænker at bevare andelen og enhver intention om at forøge, reducere eller bevare størrelsen af andelen i en overskuelig fremtid
• b) oplysninger om personens eller enhedens intentioner, for så vidt angår ansøgningen, og om den indflydelse personen eller enheden påtænker at udøve på ansøgeren, bl.a. med hensyn til udbyttepolitikken, den strategiske udvikling og fordeling af ansøgerens ressourcer, uanset om den påtænker at optræde som en aktiv minoritetsaktionær eller ej, samt baggrunden for denne hensigt
• c) oplysninger om personens eller enhedens vilje til at støtte ansøgeren med supplerende egenkapital, hvis det bliver nødvendigt af hensyn til udviklingen af dets aktiviteter eller i tilfælde af finansielle vanskeligheder
• d) indholdet af aktionærens eller virksomhedsdeltagerens påtænkte aftaler med andre aktionærer eller virksomhedsdeltagere i relation til ansøgeren
• e) en analyse af, om den kvalificerede andel på nogen måde vil påvirke, herunder som et resultat af personens tætte tilknytning til ansøgeren, ansøgerens evne til at levere rettidige og præcise oplysninger til de kompetente myndigheder
• f) identiteten af hvert medlem af direktionen eller den øverste ledelse, der vil lede ansøgerens forretning, og som vil være udpeget af, eller efter en nominering fra, sådanne aktionærer eller virksomhedsdeltagere, i det omfang dette ikke allerede er sket, de oplysninger der er fastsat i retningslinje 16 nedenfor.

15.5 Ansøgningen bør indeholde en detaljeret beskrivelse af, hvordan hver person eller enhed, som har en kvalificeret andel i ansøgerens kapital, har finansieret dette. Denne beskrivelse bør omfatte:

• a) oplysninger om brugen af private finansielle ressourcer, herunder deres tilgængelighed og kilde (for at sikre, at den kompetente myndighed har forvisset sig om, at den aktivitet, der skabte midlerne, er lovlig)
• b) nærmere oplysninger om adgang til finansielle markeder, herunder oplysninger om finansielle instrumenter, der skal udstedes
• c) oplysninger om brugen af lånte midler, herunder långivernes navne og oplysninger om de bevilgede faciliteter, f.eks. løbetider, betingelser, sikkerhedsinteresser og garantier, samt oplysninger om den afkastkilde, der skal anvendes til at tilbagebetale sådanne lån; hvor långiver ikke er et kreditinstitut eller finansiel institution, der er godkendt til at bevilge kredit, bør ansøgeren give de kompetente myndigheder oplysninger om de lånte midlers oprindelse
• d) oplysninger om alle finansielle ordninger med andre personer, der er aktionærer eller virksomhedsdeltagere i ansøgeren.

Retningslinje 16: Identitets- og egnethedsvurdering af direktører og personer, der er ansvarlige for forvaltningen af e-pengeinstituttet

16.1 Af hensyn til identiteten og vurderingen af egnetheden af direktører og personer, der er ansvarlige for forvaltningen af e-pengeinstituttet, bør ansøgeren fremsende følgende oplysninger:

• a) Personoplysninger, herunder:
• i. fulde navn, køn, fødselsdato og -sted, adresse og nationalitet, og personligt identifikationsnummer eller kopi af ID-kort eller tilsvarende
• ii. oplysninger om den stilling, for hvilken vurderingen søges, hvorvidt direktionen er udøvende eller ikke udøvende. Disse bør ligeledes indeholde blandt andet følgende oplysninger:

• b) hvis relevant oplysninger om den egnethedsvurdering, som ansøgeren har gennemført, og som bør indeholde oplysninger om resultatet af instituttets vurdering af den enkeltes

egnetshedsvurderingsrapporter eller andre dokumenter

• c) dokumentation for viden, færdigheder og erfaring, som bør omfatte et CV med oplysninger om uddannelsesmæssig og faglig erfaring, herunder akademiske kvalifikationer, anden relevant uddannelse, navn på og karakter af alle organisationer, som den enkelte arbejder eller har arbejdet for, og arten og varigheden af de udførte funktioner, navnlig med fokus på alle aktiviteter inden for den søgte stillings område
• d) dokumentation for omdømme, hæderlighed og integritet, som bør indeholde:
• i. straffeattester og relevante oplysninger om strafferetlige efterforskninger og strafferetssager, relevante civilretlige og administrative sager, samt disciplinærsager, herunder diskvalifikation som selskabsdirektør, konkurs, insolvens og lignende procedurer, navnlig i form af et officielt certifikat eller oplysninger fra enhver objektivt pålidelig informationskilde om fraværet af straffedom eller strafferetlige efterforskninger, f.eks. tredjepartsefterforskninger, vidneudsagn fra en advokat eller notar i EU
• ii. en erklæring om, hvorvidt der verserer straffesager, eller hvorvidt den pågældende person eller enhver organisation, der ledes af vedkommende, har været involveret som skyldner i insolvensprocedurer eller tilsvarende procedurer
• iii. oplysninger vedrørende følgende:

Retningslinje 17: Identitet af revisorer og revisionsfirmaer

Revisorers og revisionsfirmaers identitet, som defineret i direktiv 2006/43/EF, som hvis relevant skal tilvejebringes af ansøgeren, bør indeholde revisorernes navne, adresser og kontaktoplysninger. Retningslinje 18: Erhvervsansvarsforsikring eller anden lignende garanti for betalingsinitieringstjenester og kontooplysningstjenester

Som dokumentation for en erhvervsansvarsforsikring eller anden lignende garanti, som er forenelig med EBA's retningslinjer om kriterierne for fastlæggelse af størrelsen af erhvervsansvarsforsikringen eller anden lignende garanti (EBA/GL/2017/08) og artikel 5, stk. 2, og artikel 5, stk. 3, i PSD2, bør ansøgeren om tilladelse som e-pengeinstitut, som sideløbende med elektroniske pengetjenester også har til hensigt at tilbyde PIS eller AIS, afgive følgende oplysninger:

• a) en forsikringskontrakt eller andet tilsvarende dokument, der bekræfter eksistensen af erhversansvarsforsikringen eller lignende garanti, med en dækning, der er i overensstemmelse med EBA's retningslinjer, og som viser dækningen af de respektive forpligtelser
• b) dokumentation for, hvordan ansøgeren har beregnet minimumbeløbet på en måde, der er i overensstemmelse med de omtalte EBA-retningslinjer (EBA/GL/2017/08), herunder alle gældende komponenter af de heri specificerede formler.

⁴ Europa-Parlamentets og Rådets direktiv (EU) 2015/849 af 20. maj 2015 om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvaskning af penge eller finansiering af terrorisme (EUT L 141 af 5.6.2015, s. 73).

⁵ Europa-Parlamentets og Rådets direktiv 2006/43/EF af 17. maj 2006 om lovpligtig revision af årsregnskaber og konsoliderede regnskaber, om ændring af Rådets direktiv 78/660/EØF og 83/349/EØF og om ophævelse af Rådets direktiv 84/253/EØF (EUT L 157 af 9.6.2006, s. 87).

Retningslinje 1: Vurdering af ansøgningens fuldstændighed

1.1. En ansøgning bør anses for at være afsluttet i relation til artikel 12 i direktiv (EU) 2015/2366, såfremt den indeholder alle de oplysninger, de kompetente myndigheder har brug for til at vurdere ansøgningen i overensstemmelse med disse retningslinjer og med artikel 5 i direktiv (EU) 2015/2366.

1.2. Hvor de i ansøgningen leverede oplysninger vurderes at være ufuldstændige, bør den kompetente myndighed fremsende en anmodning i papirformat eller elektronisk til ansøgeren med en klar angivelse af, hvilke oplysninger der mangler, og bør give ansøgeren mulighed for at fremsende de manglende oplysninger.

1.3. Når en ansøgning vurderes som fuldstændig, bør den kompetente myndighed underrette ansøgeren om dette forhold, sammen med datoen for modtagelsen af den fuldstændige ansøgning, eller hvis relevant datoen for modtagelsen af de oplysninger, der afsluttede ansøgningen.

1.4. Under alle omstændigheder kan den kompetente myndighed forlange, at ansøgeren præciserer oplysningerne af hensyn til en vurdering af ansøgningen.

1.5. Hvor en ansøgning indeholder oplysninger, eller anvender oplysninger, som de kompetente myndigheder ligger inde med, og som ikke længere er korrekte, præcise eller fuldstændige, bør de kompetente myndigheder uden ugrundet ophold modtage en opdateret ansøgning. Opdateringen bør identificere de pågældende oplysninger, hvor opdateringen findes i den originale ansøgning, årsagen til, at oplysningerne ikke længere er korrekte, præcise og fuldstændige, de opdaterede oplysninger og en bekræftelse på, at resten af oplysningerne i ansøgningen fortsat er korrekte, præcise og fuldstændige.

Guideline 1: Assessment of the completeness of the application

1.1. An application should be deemed to be complete for the purpose of Article 12 of Directive (EU) 2015/2366 if it contains all the information needed by the competent authorities in order to assess the application in accordance with these guidelines and with Article 5 of Directive (EU) 2015/2366.

1.2. Where the information provided in the application is assessed to be incomplete, the competent authority should send, in paper format or by electronic means, a request to the applicant, indicating in a clear way what information is missing, and should provide to the applicant the opportunity to submit the missing information.

1.3. Upon an application being assessed as complete, the competent authority should inform the applicant of that fact, together with the date of receipt of the complete application or, as the case may be, the date of receipt of the information that completed the application.

1.4. In any case, the competent authority may require the applicant to provide clarification on the information for the purposes of assessing the application.

1.5. Where an application contains information, or relies on information held by the competent authorities, which is no longer true, accurate or complete, an update to the application should be provided to the competent authorities without delay. The update should identify the information concerned, its location within the original application, the reason for the information no longer being true, accurate or complete, the updated information and confirmation that the rest of the information in the application remains true, accurate and complete.