Wytyczne dotyczące informacji, które należy przedstawić w celu uzyskania zezwolenia przez instytucje płatnicze i instytucje pieniądza elektronicznego oraz zarejestrowania dostawców świadczących usługi dostępu do informacji o rachunku zgodnie z art. 5 ust. 5 dyrektywy (UE) 2015/2366 (EBA/GL/2017/09)

1. Zgodność i obowiązki sprawozdawcze

2. Przedmiot, zakres stosowania i definicje

3. Realizacja

4. Cztery grupy wytycznych odnoszących się odpowiednio do instytucji płatniczych (PI), dostawców świadczących usługi dostępu do informacji o rachunku (AISP), instytucji pieniądza elektronicznego (EMI) oraz właściwych organów (CA)

Wytyczna nr 1: Zasady ogólne

1.1 Niniejsza grupa wytycznych dotyczy wnioskodawców ubiegających się o udzielenie zezwolenia na prowadzenie działalności w charakterze instytucji płatniczych (PI). Obejmuje ona wnioskodawców, którzy zamierzają świadczyć usługę lub usługi, o których mowa w pkt. 1- 7 załącznika I do dyrektywy PSD2 lub usługę 8 w połączeniu z innymi usługami płatniczymi. Wnioskodawcy, którzy zamierzają świadczyć tylko usługę, o której mowa w pkt. 8 załącznika I do dyrektywy (UE) 2015/2366 (PSD2), podlegają specjalnej grupie wytycznych dla dostawców świadczących usługi dostępu do informacji o rachunku (AISP) określonych w pkt. 4.2.

1.2 Informacje przedstawione przez wnioskodawców powinny być prawdziwe, kompletne, dokładne i aktualne. Wszyscy wnioskodawcy powinny stosować się do wszystkich postanowień określonych w grupie wytycznych, która ich dotyczy. Stopień szczegółowości powinien być proporcjonalny do wielkości i wewnętrznej organizacji wnioskodawcy oraz do charakteru, zakresu, złożoności i ryzyka związanego ze świadczeniem określonej usługi lub określonych usług, którą( - e) wnioskodawca zamierza świadczyć. W każdym przypadku, zgodnie z dyrektywą (UE) 2015/2366, dyrektorzy i osoby odpowiedzialne za zarządzenie instytucją płatniczą powinni posiadać dobrą reputację oraz odpowiednią wiedzę i doświadczenie w zakresie realizacji usług płatniczych, bez względu na rozmiar i organizację wewnętrzną instytucji oraz charakter, rozmiar i złożoność jej działalności, jak również obowiązków pełnionych na określonym stanowisku.

określonych fragmentów procedur wewnętrznych/dokumentów. Zamiast tego, wnioskodawca powinien wybrać stosowne fragmenty i przedstawić je właściwemu organowi (CA). 1.4 Jeśli CA żądają wyjaśnienia przedstawionych informacji, wnioskodawca powinien bezzwłocznie przekazać takie wyjaśnienia.

prowadzenie działalności w charakterze instytucji płatniczych są konieczne w celu rozpatrzenia wniosku i będą traktowane przez CA zgodnie ze zobowiązaniami do dochowania tajemnicy zawodowej określonymi w dyrektywie PSD2, bez wpływu na obowiązujące prawo unijne oraz wymagania i procedury krajowe dotyczące wykonywania prawa dostępu, prostowania, usuwania i odmowy.

Wytyczna nr 2: Dane identyfikacyjne

2.1 Dane identyfikacyjne, które zostaną przedstawione przez wnioskodawcę, powinny zawierać następujące informacje:

• a) nazwę spółki oraz nazwę handlową, jeśli jest inna;
• b) wskazanie, czy wnioskodawca jest już zarejestrowany jako spółka czy jest w trakcie rejestracji;
• c) krajowy numer identyfikacyjny wnioskodawcy, jeśli dotyczy;
• d) status prawny wnioskodawcy i umowę spółki (jej projekt) oraz/lub istotne dokumenty potwierdzające status prawny wnioskodawcy;
• e) adres siedziby zarządu i siedziby statutowej wnioskodawcy;
• f) adres elektroniczny i witrynę internetową wnioskodawcy, jeśli jest dostępna;
• g) imię i nazwisko osoby odpowiedzialnej lub imiona i nazwiska osób odpowiedzialnych za złożenie wniosku i procedurę uzyskania zezwolenia oraz jej (ich) dane do kontaktu;
• h) wskazanie, czy wnioskodawca podlegał kiedykolwiek lub podlega obecnie nadzorowi właściwego organu w sektorze usług finansowych;
• i) związek branżowy lub związki branżowe przedsiębiorców w zakresie świadczenia usług płatniczych, do którego lub do których wnioskodawca planuje dołączyć, jeśli dotyczy;
• j) dokument potwierdzający rejestrację spółki lub, jeśli dotyczy, zaświadczenie z rejestru handlowego poświadczające, że nazwa wnioskowana przez spółkę nie jest zajęta przez inny podmiot;
• k) dowód uiszczenia wszelkich opłat za złożenie wniosku o udzielenie zezwolenia/ lub za udzielenie zezwolenia na prowadzenie działalności w charakterze instytucji płatniczej, jeśli są stosowane zgodnie z prawem krajowym.

Wytyczna nr 3: Program działalności

3.1. Program działalności, który zostanie przedstawiony przez wnioskodawcę, powinien zawierać następujące informacje:

• a) dokładny opis rodzaju planowanych usług płatniczych, zawierający wyjaśnienie wykonywanych działań i operacji w ramach tych usług oraz wskazanie, jakie cechy usługi będą identyfikowane przez wnioskodawcę jako kwalifikujące do którejkolwiek kategorii prawnych usług płatniczych wymienionych w załączniku I do dyrektywy PSD2.
• b) Deklarację, czy wnioskodawca w którymkolwiek momencie wejdzie w posiadanie środków pieniężnych;
• c) opis wykonywania różnych usług płatniczych, z wyszczególnieniem wszystkich zaangażowanych stron, obejmujący dla każdej świadczonej usługi:
• i. schemat przepływu środków pieniężnych, chyba że wnioskodawca zamierza świadczyć wyłącznie usługi inicjowania płatności (PIS);
• ii. ustalenia dotyczące rozrachunku, chyba że wnioskodawca zamierza świadczyć wyłącznie usługi PIS;
• iii. projekty umów pomiędzy wszystkimi stronami zaangażowanymi w świadczenie usług płatniczych, w tym obejmujące systemy kart płatniczych, jeśli dotyczy;
• iv. terminy przetwarzania;
• d) kopię projektu umowy ramowej określonej w art. 4 ust. 21 dyrektywy PSD2;

lokalizacji, w których wnioskodawca zamierza świadczyć usługi płatnicze i/lub prowadzić działalność związaną ze świadczeniem usług płatniczych, jeśli dotyczy;

• f) opis usług pomocniczych do usług płatniczych, jeśli dotyczy;
• g) oświadczenie, czy wnioskodawca zamierza udzielać kredytów i, jeśli tak, z jakimi limitami;
• h) deklarację potwierdzającą czy wnioskodawca po uzyskaniu licencji planuje świadczyć usługi płatnicze w innych państwach członkowskich lub krajach trzecich;
• i) wskazanie czy wnioskodawca zamierza przez okres kolejnych trzech lat prowadzić lub już prowadzi inny rodzaj działalności gospodarczej określony w art. 18 dyrektywy (UE) 2015/2366, w tym opis rodzaju tej działalności i jej spodziewaną wielkość;
• j) informacje określone w wytycznych EUNB dotyczących kryteriów określania wysokości

prowadzenia działalności zawodowej lub innej porównywalnej gwarancji zgodnie z art. 5 ust. 4 dyrektywy (UE) 2015/2366, jeśli wnioskodawca zamierza świadczyć usługi 7 i 8 (PIS oraz usługi dostępu do informacji o rachunku (AIS)).

Wytyczna nr 4: Biznesplan

4.1. Biznesplan przedstawiony przez wnioskodawcę powinien zawierać:

• a) plan marketingowy składający się z:
• i. analizy pozycji konkurencyjnej spółki w danym segmencie rynku płatniczego;
• ii. opisu użytkowników usług płatniczych, materiałów marketingowych i kanałów dystrybucji i promocji usług;
• b) w przypadku istniejących spółek, poświadczone roczne sprawozdania finansowe z ostatnich trzech lat lub podsumowanie/opis sytuacji finansowej w przypadku spółek, które nie sporządziły jeszcze sprawozdań finansowych;
• c) plan finansowy na pierwsze trzy lata obr oto we, z którego wynika, że wnioskodawca jest w stanie zastosować odpowiednie i proporcjonalne systemy, zasoby i procedury niezbędne do prawidłowego prowadzenia przez niego działalności; powinien on uwzględniać:
• i. prognozę zestawienia dochodów i bilansu, w tym scenariusze docelowe i scenariusze szokowe (stress testy), jak również ich podstawowe założenia, takie jak wielkość i wartość transakcji, liczbę klientów, politykę cen, średnią kwotę transakcji, oczekiwany wzrost progu rentowności;
• ii. wyjaśnienia dotyczące głównych źródeł dochodu i wydatków, zadłużenia finansowego i środków trwałych;
• iii. schemat i szczegółowe zestawienie szacowanych przepływów gotówki na kolejne trzy lata;
• d) informacje o funduszach własnych, w tym wysokości i szczegółowym zestawieniu struktury kapitału założycielskiego zgodnie z art. 7 dyrektywy PSD2;
• e) informacje o posiadanych przez wnioskodawcę minimalnych funduszach własnych oraz ich kalkulacja wymagana i przeprowadzona zgodnie z metodą lub metodami, o których mowa w art. 9 dyrektywy (UE) 2015/2366(PSD2), określonymi przez właściwe organy, chyba że wnioskodawca zamierza świadczyć wyłącznie usługi PIS, w tym:
• i. roczną prognozę dotyczącą struktury funduszy własnych na trzy lata zgodnie z zastosowaną metodą;
• ii. roczną prognozę dotyczącą funduszy własnych na trzy lata zgodnie z innymi metodami;

Wytyczna nr 5: Struktura organizacyjna

5.1. Wnioskodawca powinien przedstawić opis struktury organizacyjnej swojego przedsiębiorstwa zawierający:

• a) szczegółowy schemat organizacyjny przedstawiający każdy wydział, departament lub podobną jednostkę organizacyjną, w tym imię i nazwisko osoby odpowiedzialnej lub osób odpowiedzialnych, w szczególności pełniącej (pełniących) funkcje kontroli wewnętrznej; schemat powinien zawierać opis funkcji i zadań każdego wydziału, departamentu lub podobnej jednostki organizacyjnej;
• b) ogólną prognozę liczby pracowników na kolejne trzy lata;
• c) opis rozwiązań w zakresie outsourcingu operacyjnego, w tym:
• i. dane pozwalające na ustalenie tożsamości dostawcy outsourcingu oraz miejsce siedziby tego dostawcy (lokalizacja geograficzna);
• ii. dane (imię i nazwisko_ pozwalające na ustalenie tożsamości osób w instytucji płatniczej odpowiedzialnych za każdą czynność outsourcingową;
• iii. czytelny opis czynności outsourcingowych i ich głównych cech;
• d) kopię umów lub projektów umów outsourcingowych;
• e) w przypadku zamiaru świadczenie usług poprzez oddział i/lub za pośrednictwem agentów - opis korzystania z usług oddziałów i agentów, w tym:
• i. określenie planu kontroli zdalnych i kontroli na miejscu, które wnioskodawca zamierza przeprowadzić przynajmniej raz w roku w stosunku do oddziałów i agentów, oraz ich częstotliwości;
• ii. systemy informatyczne, procesy i infrastrukturę, używane przez agentów wnioskodawcy w celu wykonywania czynności w imieniu wnioskodawcy;
• iii. w przypadku agentów, zasady naboru, procedury monitorowania i szkolenia agentów oraz, jeśli są dostępne, projekty warunków współpracy;
• iv. wskazanie krajowego i/lub międzynarodowego systemu płatniczego, do którego wnioskodawca będzie miał dostęp, jeśli dotyczy;
• f) wykaz wszystkich osób fizycznych i prawnych, które posiadają bliskie powiązania z wnioskodawcą, ze wskazaniem danych pozwalających na ustalenie ich tożsamości i charakteru powiązań.

Wytyczna nr 6: Potwierdzenie posiadania kapitału założycielskiego

6.1 W celu potwierdzenia posiadania kapitału założycielskiego przedstawionego przez wnioskodawcę (125 000 euro w przypadku usług 1 - 5 załącznika I do dyrektywy PSD2; 20 000 euro w przypadku usługi 6; oraz 50 000 euro w przypadku usługi 7), wnioskodawca powinien przekazać następujące dokumenty:

• a) w przypadku istniejących przedsiębiorstw, zweryfikowany przez biegłego rewidenta wyciąg z rachunku lub informacja (odpis) z publicznego rejestru potwierdzający wysokość kapitału wnioskodawcy;
• b) w przypadku przedsiębiorstw będących w trakcie rejestracji, wydany przez bank wyciąg bankowy potwierdzający złożenie środków pieniężnych na rachunku bankowym wnioskodawcy.

Wytyczna nr 7: Środki ochrony środków pieniężnych użytkowników usług płatniczych (dotyczy to wyłącznie usług płatniczych 1 -6)

7.1. Jeśli wnioskodawca chroni środki pieniężne użytkowników usług płatniczych poprzez zdeponowanie ich na odrębnym rachunku w instytucji kredytowej lub inwestowanie w bezpieczne, płynne aktywa o niskim ryzyku, opis sposobu ochrony środków pieniężnych użytkowników p owinien zawierać:

• a) opis polityki inwestycyjnej zapewniającej płynność, bezpieczeństwo i niskie ryzyko wybranych aktywów, jeśli dotyczy;
• b) liczbę osób posiadających dostęp do rachunku ochronnego oraz ich funkcje;
• c) opis postępowania administracyjnego i ugodoweg o zapewniającego, że środki pieniężne użytkowników usług płatniczych są chronione w interesie użytkowników usług płatniczych w przypadku powstania roszczeń innych wierzycieli instytucji płatniczej, w szczególności w przypadku niewypłacalności;
• d) kopię projektu umowy z instytucją kredytową;
• e) wyraźne oświadczenie instytucji płatniczej zgodne z art. 10 dyrektywy PSD2. 7.2. Jeśli wnioskodawca chroni środki pieniężne użytkownika usług płatniczych za pomocą polisy ubezpieczeniowej lub porównywalnej gwarancji wydanej przez towarzystwo ubezpieczeniowe lub instytucję kredytową, opis środków ochrony powinien zawierać:
• a) potwierdzenie, że polisa ubezpieczeniowa lub porównywalna gwarancja z o stała wydana przez towarzystwo ubezpieczeniowe lub instytucję kredytową, które nie należą do tej samej grupy podmiotów, co wnioskodawca;
• b) szczegóły postępowania ugodowego zapewniającego, że polisa ubezpieczeniowa lub porównywalna gwarancja są wystarczające, aby przez cały czas wypełnione były zobowiązania wnioskodawcy do zapewnienia ochrony;
• c) okres obowiązywania i przedłużenie okresu obowiązywania ubezpieczenia;
• d) kopię umowy ubezpieczeniowej (jej projektu) lub porównywalnej gwarancji (jej projektu).

Wytyczna nr 8: Zasady zarządzania i mechanizmy kontroli wewnętrznej

8.1. Wnioskodawca powinien przedstawić opis zasad zarządzania i mechanizmów kontroli wewnętrznej składający się z:

• a) określenia ryzyk zidentyfikowanych przez wnioskodawcę, w tym ich rodzaju i opis procedur, które wnioskodawca zastosuje w celu oceny tych ryzyk i zapobiegnięciu ich wystąpieniu;
• b) różnych procedur dotyczących przeprowadzania kontroli okresowych i stałych, w tym informacje na temat częstotliwości ich przeprowadzania oraz przydzielonych do tych czynności zasobów ludzkich;
• c) procedur księgowych, zgodnie z którymi wnioskodawca będzie rejestrował i raportował swoje informacje finansowe;
• d) dane pozwalające na ustalenie tożsamości osoby odpowiedzialnej lub osób odpowiedzialnych za funkcje kontroli wewnętrznej, w tym za kontrole okresowe, stałe i kontrole zgodności, jak również ich aktualne życiorysy;
• e) dane pozwalające na ustalenie tożsamości rewidenta nie będącego biegłym rewidentem zgodnie z dyrektywą 2006/43/WE;
• f) składu osobowego organu zarządzającego oraz, jeśli dotyczy, innego organu nadzorującego lub komisji nadzorującej;
• g) opisu sposobu monitorowania i kontrolowania czynności/działań/zadań zleconych w ramach outsourcingu w celu uniknięcia pogorszenia jakości kontroli wewnętrznej instytucji płatniczych;
• h) opisu sposobu monitorowania i kontroli agentów i oddziałów w ramach kontroli wewnętrznych wnioskodawcy;
• i) jeśli wnioskodawca jest podmiotem zależnym podmiotu regulowanego (posiadającego zezwolenie) w innym państwie członkowskim UE, opisu zarządzania grupą.

Wytyczna nr 9: Procedura monitorowania , postępowania i podejmowania działań n astępczych związanych z incydentami bezpieczeństwa oraz skargami klientów dotyczącymi bezpieczeństwa

9.1. Wnioskodawca powinien przedstawić opis procedury wprowadzonej przez wnioskodawcę w celu monitorowania, postępowania i podejmowania działań następczych w związku z incydentami związanymi z bezpieczeństwem i skargami klientów dotyczącymi bezpieczeństwa, któr e powinn y zawierać:

• a) środki organizacyjne i narzędzi zapobiegające oszustwom;
• b) szczegółowe informacje o osobie fizycznej/osobach fizycznych lub osobach fizycznych i organach odpowiedzialnych za pomoc klientom w przypadku oszustw, problemów technicznych i/lub zarządzanie roszczeniami;
• c) kanały, za pośrednictwem których należy zgłaszać przypadki oszustwa;
• d) dane punktu kontaktowego dla klientów, w tym imię, nazwisko i adres e - mail;
• e) procedury zgłaszania incydentów, w tym przekazywania zgłoszeń organom wewnętrznym i zewnętrznym, w tym powiadamiania właściwych organów krajowych o poważnych incydentach zgodnie z art. 96 dyrektywy PSD2 oraz wytycznymi EUNB w sprawie zgłaszania incydentów zgodnie z tym artykułem.
• f) wykorzystywane narzędzia monitorowania oraz środki i procedury następcze stosowane w celu ograniczenia ryzyk w zakresie bezpieczeństwa.

Wytyczna nr 10: Procedura umożliwiania , monitorowania, śledzen ia i ograniczania dostępu do danych szczególnie chronionych dotyczących płatności

10.1. Wnioskodawca powinien przedstawić opis procedury wprowadzonej w celu umożliwiania,

dotyc zących płatności składający się z:

• a) opisu przepływu danych sklasyfikowanych jako dane szczególnie chronione dotyczące płatności w kontekście modelu działalności instytucji płatniczej;
• b) procedur wprowadzanych w celu zezwolenia na dostęp do szczególnie chronionych danych dotyczących płatności;
• c) opisu narzędzi monitorowania;
• d) polityki uzyskiwania praw dostępu do danych szczególnie chronionych, z wyszczególnieniem prawa dostępu do wszystkich stosownych komponentów i systemów infrastruktury, w tym baz danych i kopii zapasowych;
• e) jeśli wnioskodawca nie zamierza świadczyć wyłącznie usług PIS, opisu sposobu przechowywania zgromadzonych danych w dokumentacji;
• f) jeśli wnioskodawca nie zamierza świadczyć wyłącznie usług PIS, informacje na temat zakładanego wewnętrznego i/lub zewnętrznego sposobu wykorzystania zgromadzonych danych, w tym również przez podmioty współpracujące z wnioskodawcą;
• g) opisu wprowadzonego systemu informatycznego i środków ochrony technicznej, w tym szyfrowania i/lub tokenizacji;
• h) identyfikacji osób fizycznych (imiona i nazwiska), organów i/lub komisji wnioskodawcy posiadających dostęp do szczególnie chronionych danych dotyczących płatności;
• i) wyjaśnienia sposobu wykrywania naruszeń i radzenia sobie z nimi;

informatycznych.

Wytyczna nr 11: Rozwiązania zapewniające ciągłość działania

11.1. Wnioskodawca powinien przedstawić opis rozwiązań zapewniających ciągłość działania składający się z następujących informacji:

• a) analizy wpływu na działanie, w tym procesów biznesowych i parametrów odtworzeniowych, takich jak parametry RTO i RPO oraz aktywa chronione;
• b) określenia zapasowej strony internetowej, dostępu do infrastruktury informatycznej oraz kluczowego oprogramowania i danych, które zostaną odzyskane po awarii lub zakłóceniu funkcjonowania;
• c) wyjaśnienia jak wnioskodawca poradzi sobie z poważnym zdarzeniem lub zakłóceniem funkcjonowania mającymi wpływ na ciągłość działania, takimi jak awaria kluczowych systemów, utrata kluczowych danych, brak dostępu do pomieszczeń oraz utrata kluczowych osób;
• d) częstotliwości, z jaką wnioskodawca zamierza weryfikować ciągłość działania i plany odtworzeniowe, w tym sposób rejestrowania wyników weryfikacji;
• e) opisu przyjętych przez wnioskodawcę środków ograniczających ryzyko w przypadku zakończenia świadczenia usług płatniczych, zapewniających wykonanie niezrealizowanych transakcji płatniczych oraz wygaśnięcie istniejących umów.

Wytyczna nr 12: Zasady i definicje mające zastosowanie do gromadzenia danych statys tycznych dotyczących wyników, transakcji i oszustw

12.1. Wnioskodawca powinien przedstawić opis zasad i definicji stosowanych do gromadzenia danych statystycznych dotyczących wyników, transakcji i oszustw, składający się z następujących informacji:

• a) rodzaju gromadzonych danych dotyczących klientów, rodzaju usług płatniczych, kanałów dystrybucji usług, instrumentów płatniczych, obszarów działania i walut, w jakich dokonywane są transakcje płatnicze;
• b) zakresu gromadzonych danych w odniesieniu do określonych działań i podmiotów, w tym oddziałów i agentów;
• c) środków/sposobów gromadzenia danych;
• d) celu gromadzenia danych;
• e) częstotliwości gromadzenia danych;
• f) dokumentów uzupełniających, takich jak instrukcja, dokumenty opisujące sposób działania systemu.

Wytyczna nr 13: Dokum ent dotyczący polityki bezpieczeństwa

13.1. Wnioskodawca powinien przedstawić politykę bezpieczeństwa zawierającą następujące informacje:

• a) szczegółową ocenę ryzyka w odniesieniu do usługi płatniczej lub usług płatniczych, jakie wnioskodawca zamierza świadczyć, która powinna uwzględniać ryzyka oszustwa i środki kontroli bezpieczeństwa i ograniczania ryzyka podjęte w celu adekwatnej ochrony użytkowników usług płatniczych przed zidentyfikowanymi ryzykami;
• b) opis systemów informatycznych, który powinien zawierać:
• i. architekturę systemów i elementów ich sieci;
• ii. biznesowe systemy informatyczne wspierające prowadzoną działalność gospodarczą, takie jak witryny internetowe, portfele, mechanizm płatności, mechanizm zarządzania ryzykiem i przeciwdziałania oszustwom oraz rozliczanie klientów;
• iii. wspierające systemy informatyczne wykorzystywane do organizacji i administracji wnioskodawcy, takie jak księgow e , sprawozdawcz e , zarządzania personelem, zarządzania stosunkami z klientami, serwerów poczty elektronicznej i serwerów plików wewnętrznych;
• iv. informacje, czy systemy te są już używane przez wnioskodawcę lub grupę podmiotów, do której należy, oraz szacunkowy termin ich wdrożenia, jeśli dotyczy;
• c) rodzaj autoryzowanych połączeń (m.in. telekomunikacyjnych/ teleinformatycznych/ informatycznych) z zewnątrz, takie jak z partnerami, dostawcami usług, podmiotami z grupy i pracownikami pracującymi na odległość, w tym powody nawiązywania takich połączeń;
• d) dla każdego połączenia określonego w ppkt. c), logiczne środki bezpieczeństwa i mechanizmy bezpieczeństwa, ze wskazaniem zasad kontroli wnioskodawcy nad dostępem, w tym również charakter i częstotliwość każdej kontroli, np. techniczna czy organizacyjna, prewencyjna czy wykrywcza, monitorowani e w czasie rzeczywistym regularna weryfikacja, np. wykorzystanie usług active directory osobno od grupy, otwieranie/zamykanie linii komunikacyjnych, konfigurację sprzętu bezpieczeństwa, generowanie kluczy lub certyfikatów uwierzytelniania klienta, monitorowanie systemu, uwierzytelnianie, poufność komunikacji, wykrywanie włamań, systemy antywirusowe i dzienniki;
• e) logiczne środki i mechanizmy bezpieczeństwa zarządzające dostępem wewnętrznym do systemów informatycznych, które powinny zawierać:
• i. techniczny i organizacyjny charakter oraz częstotliwość stosowania każdego środka, np. czy jest on prewencyjny czy wykrywczy i czy jest wykonywany w czasie rzeczywistym;
• ii. sposób postępowania rozdzieleniem środowisk informatycznych klientów w przypadku, g dy ich zasoby informatyczne są wspólne z zasobami wnioskodawcy;
• f) fizyczne środki i mechanizmy bezpieczeństwa pomieszczeń oraz centrum danych wnioskodawcy, takie jak kontrole dostępu i bezpieczeństwo środowiskowe;
• g) bezpieczeństwo procesów płatniczych, które powinn o zawierać:
• i. procedurę uwierzytelniania klienta stosowaną w przypadku dostępu zarówno w celach informacyjnych jak i transakcyjnych oraz wszystkich dostępnych instrumentów płatniczych;
• ii. wyjaśnienie sposobu zapewnienia bezpiecznego przesyłania środków pieniężnych do właściwego użytkownika usług płatniczych oraz integralność elementów uwierzytelniania, np. tokeny sprzętowe i aplikacje mobilne, zarówno w momencie początkowej rejestracji jak i przedłużenia ich ważności (lub ich odnowienia);
• iii. opis systemów i procedur, które wnioskodawca wprowadził w celu analizy transakcji i identyfikacji transakcji podejrzanych lub nietypowych;
• h) szczegółową ocenę ryzyka w odniesieniu do świadczonych usług płatniczych, w tym oszustwa, w połączeniu ze środkami kontroli i ograniczania ryzyka wskazanymi we wniosku (dokumentacji wnioskowej), wykazując, że wszystkie ryzyka zostały uwzględnione;
• i) wykaz głównych procedur w formie pisemnej w odniesieniu do systemów informatycznych wnioskodawcy lub, w przypadku procedur, które nie zostały jeszcze sformalizowane, szacunkowy termin ich finalizacji.

Wytyczna nr 14: Mechanizmy kontroli wewnętrznej zgodne z obowiązkami związanymi z zapobieganiem praniu pieniędzy i finansowaniu terroryzmu (obowiązki AML/CFT)

14.1. Opis mechanizmów kontroli wewnętrznej, które wnioskodawca wprowadził w celu zachowania zgodności, jeśli dotyczy, z tymi obowiązkami powinien zawierać następujące informacje:

• a) ocenę przez wnioskodawcę ryzyk prania pieniędzy i finansowania terroryzmu związanych ze swoją działalnością, w tym ryzyk związanych z bazą klientów wnioskodawcy, udostępnionymi produktami i świadczonymi usługami, używanymi kanałami dystrybucji oraz geograficznymi obszarami działania;
• b) środki, które wnioskodawca wprowadził lub wprowadzi w celu zmniejszenia ryzyk i wypełnienia obowiązków związanych z zapobieganiem praniu pieniędzy i finansowaniu

procedury zgodne z wymogami należytej staranności w stosunku do klientów oraz zasady i procedury wykrywania i zgłaszania podejrzanych transakcji i czynności/działań;

• c) systemy i kontrole, które wnioskodawca wprowadził lub wprowadzi w celu zapewnienia, że jego oddziały i agenci stosują się do obowiązujących wymagań w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, w tym w przypadku, gdy agent lub oddział są zlokalizowane w innym państwie członkowskim;
• d) rozwiązania, które wnioskodawca wprowadził lub wprowadzi, aby zapewnić, że

• e) dane pozwalające na ustalenie tożsamości osoby odpowiedzialnej za zapewnienie

pieniędzy i finansowaniu terroryzmu oraz dowód potwierdzający, że jego kompetencje w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu są wystarczające, aby zapewnić skuteczne wypełnienie tej roli;

• f) systemy i kontrole, które wnioskodawca wprowadził lub wprowadzi, aby zapewnić aktualność, skuteczność i stosowność polityki i procedur dotyczących przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu;
• g) systemy i kontrole, które wnioskodawca wprowadził lub wprowadzi, aby zapewnić, że agenci nie narażą wnioskodawcy na zwiększone ryzyko związane z praniem pieniędzy oraz finansowaniem terroryzmu;
• h) podręcznik dla pracowników wnioskodawcy w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu.

Wytyczna nr 15: Ocena tożsamości i kompetencji osób posiadających znaczne pakiety akcji /udziałów wnioskodawcy

15.1 Dla celów identyfikacji i potwierdzenia kompetencji osób posiadających we wnioskującej instytucji płatniczej znaczne pakiety akcji/udziałów, z zachowaniem oceny dokonanej zgodnie z odpowiednimi kryteriami wprowadzonymi w dyrektywie 2007/44/WE i określonymi we wspólnych wytycznych dotyczących oceny ostrożnościowej przejęć i zwiększeń znacznych pakietów akcji / udziałów w sektorze finansowym (JC/GL/2016/01), wnioskodawca powinien przedstawić następujące informacje:

• a) opis grupy, do której należy wnioskodawca, oraz wskazanie jednostki dominującej, jeśli dotyczy;
• b) schemat przedstawiający strukturę akcjonariatu/udziałowców wnioskodawcy, w tym:
• i) nazwisko i udział procentowy (w kapitale/prawach głosu) każdej osoby, która posiada lub będzie posiadała bezpośredni udział w kapitale akcyjnym/udziałowym wnioskodawcy, z wyszczególnieniem tych, którzy są uważani za posiadaczy znacznego pakietu akcji/udziałów oraz powodu jego posiadania;
• ii) nazwisko i udział procentowy (w kapitale/prawach głosu) każdej osoby, która posiada lub będzie posiadała pośredni udział w kapitale akcyjnym/udziałowym wnioskodawcy, z wyszczególnieniem tych, którzy są uważani za pośrednich posiadaczy znacznego pakietu akcji/udziałów oraz powodu jego posiadania;
• c) wykaz imion i nazwisk wszystkich osób i innych podmiotów, które posiadają lub, w przypadku wydania zezwolenia, będą posiadały znaczne pakiety akcji/udziałów w kapitale wnioskodawcy, wskazując dla każdej takiej osoby lub podmiotu:
• i. liczbę i rodzaj akcji/udziałów już subskrybowanych lub które będą subskrybowane;
• ii. nominalną wartość takich akcji lub udziałów.

15.2 Jeśli osoba, która posiada lub, w przypadku udzielania zezwolenia, będzie posiadała znaczny pakiet akcji/udziałów w kapitale wnioskodawcy, jest osobą fizyczną, wnioskodawca powinien przedstawić wszystkie następujące informacje dotyczące tożsamości i kompetencji takiej osoby:

• a) imię i nazwisko oraz nazwisko rodowe, datę i miejsce urodzenia, obywatelstwo (obecne i poprzednie), numer ewidencyjny (jeśli dotyczy) lub numer paszportu, adres zamieszkania i zameldowania oraz kopię urzędowego dokumentu tożsamości;
• b) szczegółowy życiorys określający wykształcenie, dotychczasowe doświadczenie zawodowe oraz działalność zawodową lub inne istotne aktualnie wykonywane funkcje;
• c) oświadczenie zawierające następujące informacje o osobie wraz z dokumentami potwierdzającymi te informacje dotyczące:
• i. ujawnienia skazania zatartego, wyroków skazujących w sprawach karnych lub postępowań w sprawach karnych, w których osoba została uznana za winną i które nie zostały uchylone, z uwzględnieniem krajowych wymogów prawnych w tym zakresie;
• ii. wszelkich decyzji w sprawach cywilnych i administracyjnych odnoszących się do oceny lub postępowania o udzielenie zezwolenia, w których orzeczono na niekorzyść osoby i zostały nałożone na nią sankcje lub środki administracyjne w związku z naruszeniem przepisów ustawowych lub wykonawczych (w tym zakaz pełnienia funkcji zarządzającej w spółce) w każdym przypadku, w którym sprawa nie została uchylona oraz w której nie jest rozpatrywane ani nie może zostać złożone odwołanie;
• iii. upadłości, niewypłacalności lub podobnych postępowań;
• iv. toczących się postępowań w sprawach karnych;
• v. wszelkich dochodzeń w sprawach cywilnych lub administracyjnych, postępowań wykonawczych, sankcji lub innych tytułów wykonawczych przeciwko osobie dotyczących spraw, które mogą zostać uznane za mające znaczenie dla udzielenia zezwolenia na rozpoczęcie działalności przez instytucję płatniczą lub dla należytego i ostrożnego zarządzania instytucją płatniczą;

potwierdzającego, czy nastąpiły którekolwiek ze zdarzeń określonych w ppkt. (I) -

• (v) w odniesieniu do określonej osoby lub inny równoważny dokument;
• vii. odmowy rejestracji, udzielenia zezwolenia, nadania członkostwa lub udzielenia licencji w zakresie prowadzenia działalności handlowej, gospodarczej lub zawodowej;
• viii. cofnięcia, unieważnienia lub wygaśnięcia rejestracji, zezwolenia, członkostwa lub licencji w zakresie prowadzenia działalności handlowej, gospodarczej lub zawodowej;
• ix. wykluczenia przez organ lub podmiot sektora publicznego dz iałającego w sektorze usług finansowych z danego zrzeszenia, instytucji lub innej organizacji bądź też wykluczenia przez organ zawodowy lub stowarzyszenie zawodowe ze stosownych organizacji zawodowych;
• x. zajmowania/piastowania odpowiedzialnego stanowiska w podmiocie, który podlega skazaniu lub postępowaniu w sprawie karnej, dochodzeniu administracyjnemu, sankcjom lub innym tytułom wykonawczym w związku z nieodpowiednim zachowaniem, w tym w zakresie oszustwa, nieuczciwości, korupcji, prania pieniędzy, finansowania terroryzmu lub innych przestępstw bądź nie wprowadzenia odpowiedniej polityki i procedur mających na celu uniknięcie takich zdarzeń, zajmowanego w momencie nastąpienia rzekomego zachowania, wraz ze szczegółami dotyczącymi nastąpienia takich zdarzeń i związkiem z nimi osoby, jeśli dotyczy;
• xi. zwolnienia z pracy lub zakończenia sprawowania funkcji osoby zaufania publicznego (innego niż w wyniku zakończenia danego stosunku z upływem czasu) i innej podobnej sytuacji;
• d) wykaz przedsiębiorstw, którymi ta osoba kieruje lub które kontroluje, a o których wnioskodawca posiada wiedzę w wyniku dokonania należytego i dokładnego sprawdzenia; udział procentowy w bezpośredniej lub pośredniej kontroli nad tymi spółkami; ich status (czy funkcjonują czy zostały rozwiązane, etc.); oraz opis postępowania upadłościowego lub innego;
• e) jeśli ocena reputacji danej osoby została już dokonana przez właściwy organ sektora usług finansowych, określenie tego organu oraz wynik dokonanej oceny;
• f) aktualną sytuację finansową danej osoby, w tym szczegóły dotyczące źródeł przychodów, aktywów i pasywów, zabezpieczeń i gwarancji, zarówno udzielonych, jak i uzyskanych;
• g) opis powiązań z osobami zajmującymi eksponowane stanowiska polityczne, określonymi w art. 3 ust. 9 dyrektywy (UE) 2015/849² .

15.3 Jeśli osoba prawna lub inny podmiot, które posiadają lub, w przypadku udzielania zezwolenia, będą posiadały znaczne pakiety akcji/udziałów w kapitale wnioskodawcy (w tym podmioty, które nie są osobami prawnymi i które posiadają lub powinny posiadać udział w swoim własnym imieniu), wnioskodawca powinien zamieścić następujące informacje dotyczące tożsamości i kompetencji takiej osoby prawnej lub podmiotu prawnego:

• a) nazwę;
• b) jeśli osoba prawna lub podmiot prawny są zarejestrowane w centralnym rejestrze, rejestrze handlowym, rejestrze spółek lub podobnym rejestrze posiadającym taki sam cel jak wyżej wymienione, kopię dokumentu potwierdzającego ich dobrą kondycję finansową, jeśli to możliwe, a w przeciwnym razie, świadectwo zarejestrowania;
• c) adres siedziby statutowej i, jeśli inna, siedziby zarządu, oraz główne miejsce wykonywania działalności;
• d) dane do kontaktu;
• e) dokumenty spółki lub, jeśli osoba prawna lub inny podmiot są zarejestrowane w innym państwie członkowskim, krótkie wyjaśnienie głównej specyfiki prawnej formy prawnej lub podmiotu prawnego;
• f) czy osoba prawa lub podmiot prawny kiedykolwiek były lub są regulowane przez właściwy organ sektora usług finansowych lub inny organ rządowy;
• g) urzędowe zaświadczenie lub inny równoważny dokument potwierdzający informacje określone w ppkt. (a) do (e) wydany przez określony właściwy organ, jeśli dokumenty takie można uzyskać;
• h) informacje, o których mowa w wytycznej nr 15 pkt. 2 ppkt. (c) - (g) w odniesieniu do osoby prawnej lub podmiotu prawnego;
• i) wykaz zawierający dane każdej osoby, która faktycznie kieruje działalnością osoby

adres, krajowy numer ewidencyjny, jeśli dotyczy, oraz szczegółowy życiorys (określający wykształcenie, dotychczasowe doświadczenie zawodowe oraz działalność zawodową lub inne istotne aktualnie wykonywane funkcje), wraz z informacjami, o których mowa w wytycznej nr 15 pkt. 2 ppkt. (c) i (d) w odniesieniu do każdej takiej osoby.

• j) strukturę akcjonariatu lub udziałowców osoby prawnej, w tym co najmniej nazwę lub imię i nazwisko, datę i miejsce urodzenia, adres i, jeśli dostępny, osobisty numer ewidencyjny lub rejestracyjny, oraz udział w kapitale i prawach głosu bezpośrednich lub pośrednich akcjonariuszy/udziałowców lub członków i beneficjentów rzeczywistych określonych w art. 3 ust. 6 dyrektywy (UE) 2015/849;
• k) opis grupy finansowej (podmiotów), której zakres działalności podlega regulacji/reglamentacji przez stosowne organy, której wnioskodawca jest lub może zo stać częścią, ze wskazaniem jednostki dominującej oraz podmiotów kredytowych, ubezpieczeniowych i poręczających w grupie; nazwę ich właściwych organów (w ujęciu jednostkowym i skonsolidowanym); oraz
• l) roczne sprawozdania finansowe na poziomie jednostkowym oraz, jeśli dotyczy, na poziomie skonsolidowanym i subskonsolidowanym grupy za ostatnie trzy lata obrotowe, jeśli osoba prawna lub podmiot prawny funkcjonowały w takim okresie (lub, jeśli krócej niż trzy lata, okres, w którym osoba prawna lub podmiot prawny funkcjonowały i za który sporządzone zostały sprawozdania finansowe), zatwierdzone przez biegłego rewidenta lub firmę audytorską w rozumieniu dyrektywy 2006/43/WE³ , jeśli dotyczy, zawierające wszystkie następujące elementy:
• i. bilans;
• ii. rachunek zysków i strat lub zestawienie dochodów;
• iii. roczne raporty i załączniki finansowe oraz pozostałe dokumenty wpisane do odpowiedniego rejestru lub zarejestrowane przez odpowiedni organ osoby prawnej;
• m) jeśli osoba prawna nie funkcjonowała przez wystarczający okres czasu wymagany do sporządzenia sprawozdań finansowych za okres trzech lat obrotowych bezpośrednio przed dniem złożenia wniosku, we wniosku przedstawione zostaną istniejące sprawozdania finansowe (jeśli dotyczy);
• n) jeśli osoba prawna lub podmiot prawny posiadają siedzibę zarządu w kraju trzecim, ogólne informacje dotyczące systemu regulacyjnego kraju trzeciego obowiązującego w stosunku do osoby prawnej lub podmiotu prawnego, w tym informacje dotyczące zakresu, w jakim system przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu kraju trzeciego jest zgodny z Zaleceniami Grupy Specjalnej ds. Przeciwdziałania Praniu Pieniędzy;
• o) w przypadku podmiotów, które nie posiadają osobowości prawnej, takich jak przedsiębiorstwo zbiorowego inwestowania czy państwowy fundusz majątkowy, wnioskodawca przedstawia następujące informacje:
• i. tożsamość osób, które zarządzają aktywami oraz osób, które są beneficjentami lub subskrybentami;
• ii. kopię dokumentu ustanawiającego podmiot i regulującego funkcjonowanie podmiotu, w tym zasady polityki inwestycyjnej oraz ograniczenia inwestycyjne obowiązujące w stosunku do podmiotu.

15.4. Wnioskodawca przedstawi wszystkie poniższe informacje o każdej osobie fizycznej lub prawnej bądź podmiocie, którzy posiadają lub, w przypadku udzielenia zezwolenia, będą posiadali znaczne pakiety akcji/udziałów w kapitale wnioskodawcy:

• a) szczegóły dotyczące finansowych lub handlowych powodów posiadania przez osobę lub podmiot tego pakietu akcji/udziałów oraz strategię osoby lub podmiotu dotyczącą pakietu akcji/udziałów, w tym okresu, przez który osoba lub podmiot zamierzają posiadać pakiet akcji/udziałów oraz zamiaru zwiększenia, zmniejszenia lub utrzymania poziomu pakietu w przewidywalnej przyszłości;
• b) szczegóły dotyczące zamiarów osoby lub podmiotu w odniesieniu do wnioskodawcy oraz wpływu, jaki osoba lub podmiot zamierzają wywrzeć na wnioskodawcę, w tym w odniesieniu do polityki w zakresie dywidend, strategicznego rozwoju oraz przydziału środków wnioskodawcy, czy zmierza działać jako aktywny akcjonariusz/udziałowiec mniejszościowy, oraz uzasadnienie takich zamiarów;
• c) informacje na temat gotowości osoby lub podmiotu do wsparcia wnioskodawcy dodatkowymi funduszami własnymi, jeśli będą niezbędne dla rozwoju działalności lub w przypadku trudności finansowych.
• d) treść planowanych umów akcjonariuszy/udziałowców z innymi akcjonariuszami/udziałowcami dotyczących wnioskodawcy;
• e) analizę w odniesieniu do tego, czy znaczny pakiet akcji/udziałów będzie miał jakikolwiek wpływ, w tym w wyniku bliskich powiązań osoby z wnioskodawcą, na zdolność wnioskodawcy do terminowego przekazywania dokładnych informacji właściwym organom;
• f) tożsamość każdego członka organu zarządzającego lub kadry kierowniczej wyższego szczebla, którzy będą kierować działalnością wnioskodawcy oraz zostali wyznaczeni pr zez takich akcjonariuszy/udziałowców lub w wyniku ich przedstawienia jako kandydatów przez akcjonariuszy/udziałowców, wraz z informacjami określonym w wytycznej 16, które nie zostały jeszcze podane.

finansowania udziału każdej osoby lub każdego podmiotu posiadających znaczny pakiet akcji/udziałów w kapitale wnioskodawcy, które powinno zawierać:

• a) szczegóły dotyczące wykorzystania prywatnych środków finansowych, w tym ich

środków) ich źródła;

• b) szczegółowe informacje dotyczące dostępu do rynków finansowych, w tym szczegółowe informacje na temat instrumentów finansowych, które mają zostać wyemitowane;
• c) informacje o wykorzystaniu pożyczonych środków finansowych, w tym nazwy pożyczkodawców i szczegóły dotyczące pożyczki, takie jak terminy płatności, okresy obowiązywania, zabezpieczenia i gwarancje, jak również informacje dotyczące źródła przychodu, który zostanie użyty do spłaty takich pożyczek; jeśli pożyczkodawca nie jest instytucją kredytową lub finansową upoważnioną do udzielania kredytów, wnioskodawca powinien przekazać właściwym organom informacje o pochodzeniu pożyczonych środków pieniężnych;

akcjonariuszami/udziałowcami wnioskodawcy. Wytyczna nr 16: Tożsamość i ocena kompetencji dyrektorów i osób odpowiedzialnych za zarządzanie instytucją płatniczą

16.1. W celu określenia tożsamości i oceny kompetencji dyrektorów i osób odpowiedzialnych za zarządzanie instytucją płatniczą, wnioskodawca powinien przedstawić następujące informacje:

• a) dane osobowe, w tym:
• i. ich imię i nazwisko, płeć, miejsce i datę urodzenia, adres i obywatelstwo oraz osobisty numer ewidencyjny lub kopię dowodu osobistego bądź jego odpowiednika;
• ii. szczegóły dotyczące stanowiska, w związku z którym dokonywana jest ocena, czy stanowisko w organi e zarządzającym jest kierownicze czy niekierownicze. Powinny one również zawierać:

• b) jeśli dotyczy, informacje na temat oceny kompetencji przeprowadzonej przez wnioskodawcę, które powinny zawierać szczegóły dotyczące wyniku oceny kompetencji osoby fizycznej przeprowadzonej przez wnioskodawcę, takie jak stosowny protokół zarządu lub raporty dotyczące oceny kompetencji bądź inne dokumenty;
• c) dowody potwierdzające wiedzę, umiejętności i doświadczenie, które powinny

zawodowego, w tym kwalifikacji akademickich, innych stosownych szkoleń, nazw i charakteru wszystkich organizacji, dla których osoba fizyczna pracuje lub pracowała, oraz charakteru wykonywanych funkcji i okresu czasu ich wykonywania, ze szczególnym naciskiem na działania w zakresie przedmiotowego stanowiska;

• d) dowody potwierdzające reputację, uczciwość i prawość, które powinny zawierać:
• i. odpisy z rejestru karnego i stosowne informacje dotyczące dochodzeń i postępowań w sprawach karnych, stosownych spraw cywilnych i administracyjnych oraz postępowań dyscyplinarnych, w tym zakazu pełnienia funkcji dyrektora spółki, upadłości, niewypłacalności i podobnych postępowań, w szczególności za pomocą zaświadczeń urzędowych lub obiektywnie wiarygodnych źródeł informacji dotyczących braku skazania i prowadzenia dochodzeń i postępowań w sprawach karnych, takich jak dochodzenia prowadzone przez osoby trzecie i zeznania złożone przez prawnika lub notariusza prowadzącego działalność w Unii Europejskiej.
• ii. oświadczenie potwierdzające, czy prowadzone jest postępowanie w sprawie karnej lub czy osoba bądź organizacja przez nią kierowana uczestniczyła jako dłużnik w postępowaniu upadłościowym lub porównywalnym;
• iii. informacje dotyczące następującego:

Wytyczna nr 17: Tożsamość biegłych rewidentów i firm audytorskich

Tożsamość biegłych rewidentów i firm audytorskich określona w dyrektywie 2006/43/WE, podana przez wnioskodawcę, jeśli dotyczy, powinna zawierać imiona, nazwiska, adresy i dane kontaktowe rewidentów. Wytyczna nr 18: Ubezpieczenie odpowiedzialności cywilnej z tytułu prowadzenia działalności zawodowej lub porównywalna gwarancja w zakresie usług inicjowania płatności i usług dostępu do informacji o rachunku

Jako dowód posiadania ubezpieczenia odpowiedzialności cywilnej z tytułu prowadzenia działalności zawodowej lub porównywalnej gwarancji, które są zgodnie z wytycznymi EUNB dotyczącymi kryteriów określania wysokości minimalnej kwoty pieniężnej ubezpieczenia z tytułu prowadzenia działalności zawodowej lub innej porównywalnej gwarancji (EBA/GL/2017/08) i art. 5 ust. 2 i 3 dyrektywy PSD2, wnioskodawca w przypadku świadczenia usług PIS i AIS powinien przedstawić następujące informacje:

• a) umowę ubezpieczenia lub inny równoważny dokument potwierdzający istnienie ubezpieczenia odpowiedzialności cywilnej z tytułu prowadzenia działalności zawodowej lub porównywalnej gwarancji na sumę ubezpieczenia zgodną z wymienionymi wytycznymi EUNB, ze wskazaniem pokrycia stosownych zobowiązań;
• b) dokumentację potwierdzającą sposób wyliczenia przez wnioskodawcę minimalnej kwoty zgodnie ze stosownymi wytycznymi EUNB, w tym wszystkie obowiązujące elementy wzoru określonego w wymienionych wytycznych.

² Dyrektywa (UE) 2015/849 Parlamentu Europejskiego i Rady z dnia 20 maja 2015 r. w sprawie przeciwdziałania korzystaniu z systemu finansowego w celu prania pieniędzy oraz finansowania terroryzmu (Dz.U. L 141 z 5.06.2015, str. 73).

³ Dyrektywa 2006/43/WE Parlamentu Europejskiego i Rady z dnia 17 maja 2006 r. w sprawie ustawowych badań rocznych sprawozdań finansowych i skonsolidowanych sprawozdań finansowych, zmieniająca dyrektywy Rady 78/660/EWG i 83/349/EWG oraz uchylająca dyrektywę Rady 84/253/EWG (Dz.U. L 157 z 9.06.2006, s. 87 - 107).

4.2 Wytyczne dotyczące informacji wymaganych od wnioskodawców ubiegających się o rejestrację na świadczenie wyłącznie usługi 8

Wytyczna nr 1: Zasady ogólne

1.1 Niniejsza grupa wytycznych odnosi się do wnioskodawców ubiegających się o rejestrację w charakterze dostawcy usług dostępu do informacji o rachunku (AISP). Niniejsze odnosi się do wnioskodawców, którzy zamierzają świadczyć wyłącznie usługi dostępu do informacji o

powinien on wnioskować o udzielenie zezwolenia i odnieść się do wytycznych określonych w pkt. 4.1 dotyczących instytucji płatniczych (PI).

1.2 Informacje przedstawione przez wnioskodawców powinny być prawdziwe, kompletne, dokładne i aktualne. Wszyscy wnioskodawcy powinny stosować się do wszystkich postanowień określonych w grupie wytycznych, która ich dotyczy. Wymagany stopień

wnioskodawcy oraz do charakteru, zakresu, złożoności i ryzyka związanego ze świadczeniem AIS , którą wnioskodawca zamierza świadczyć. W każdym przypadku, zgodnie z dyrektywą UE 2015/2366, dyrektorzy i osoby odpowiedzialne za zarządzenie instytucją płatniczą powinni posiadać dobrą reputację oraz odpowiednią wiedzę i doświadczenie w zakresie realizacji usług płatniczych, bez względu na rozmiar i organizację wewnętrzną instytucji oraz charakter, rozmiar i złożoność działalności, jak również obowiązków pełnionych na określonym stanowisku.

określonych fragmentów procedur wewnętrznych/dokumentów. Zamiast tego, wnioskodawca powinien wybrać stosowne fragmenty i przedstawić je właściwemu organowi (CA).

1.4 Jeśli CA żądają wyjaśnienia przedstawionych informacji, wnioskodawca powinien bezzwłocznie przekazać takie wyjaśnienia. 1.5 Wszystkie dane żądane zgodnie z niniejszymi wytycznymi w celu rejestracji dostawcy świadczącego usługę dostępu do informacji o rachunku (AISP) są konieczne do rozpatrzenia wniosku i będą traktowane przez właściwy organ zgodnie ze zobowiązaniami do dochowania tajemnicy zawodowej określonymi w dyrektywie PSD2, z uwzględnieniem obowiązującego prawa unijnego oraz wymagań i procedur krajowych dotyczących egzekwowania prawa do dostępu, prostowania, usuwania i odmowy.

Wytyczna nr 2: Dane identyfikacyjne

2.1 Jeśli wnioskodawca jest osobą fizyczną, dane identyfikacyjne przedstawione przez wnioskodawcę powinny zawierać następujące informacje:

• a) imię i nazwisko, adres, narodowość oraz datę i miejsce urodzenia;
• b) kopię dowodu osobistego lub równoważnego dokumentu potwierdzającego tożsamość;
• c) aktualny życiorys;
• d) odpis z rejestru karnego wydany nie wcześniej niż 3 miesiące temu;
• e) imię i nazwisko osoby odpowiedzialnej lub imiona i nazwiska osób odpowiedzialnych za złożenie wniosku i procedurę uzyskania zezwolenia oraz jej (ich) dane do kontaktu.

2.2 Jeśli wnioskodawca jest osobą prawną, dane identyfikacyjne przedstawione przez wnioskodawcę powinny zawierać następujące informacje:

• a) nazwę spółki wnioskodawcy oraz nazwę handlową, jeśli jest inna;
• b) wskazanie, czy wnioskodawca jest już zarejestrowany jako spółka czy jest w trakcie rejestracji;
• c) krajowy numer identyfikacyjny wnioskodawcy, jeśli dotyczy;
• d) status prawny wnioskodawcy i umowę spółki (jej projekt) oraz/lub istotne dokumenty potwierdzające status prawny wnioskodawcy;
• e) adres siedziby zarządu i siedziby statutowej wnioskodawcy;
• f) adres elektroniczny i witrynę internetową wnioskodawcy, jeśli jest dostępna;
• g) imię i nazwisko osoby odpowiedzialnej lub imiona i nazwiska osób odpowiedzialnych za złożenie wniosku i procedurę uzyskania zezwolenia oraz jej (ich) dane do kontaktu;
• h) wskazanie, czy wnioskodawca podlegał kiedykolwiek lub podlega obecnie nadzorowi właściwego organu w sektorze usług finansowych;
• i) dokument potwierdzający rejestrację spółki lub, jeśli dotyczy, zaświadczenie z rejestru handlowego poświadczające, że nazwa wnioskowana przez spółkę nie jest zajęta;
• j) dowód płatności wszelkich opłat za złożenie wniosku o rejestrację dostawcy świadczącego usługę dostępu do informacji o rachunku, jeśli są stosowane zgodnie z prawem krajowym.

Wytyczna nr 3: Program działalności

3.1. Program działalności przedstawiony przez wnioskodawcę powinien zawierać następujące informacje:

• a) opis usługi dostępu do informacji o rachunku, która ma być świadczona, w tym wyjaśnienie sposobu, w jaki wnioskodawca ustalił, że działalność mieści się w definicji usług dostępu do informacji o rachunku określonej w art. 4 ust. 16 dyrektywy (UE) 2015/2366 (PSD2);
• b) oświadczenie wnioskodawcy, że w żadnym czasie nie wejdzie on w posiadanie środków pieniężnych;
• c) opis świadczenia usług dostępu do informacji o rachunku zawierający:
• i. projekty umów pomiędzy wszystkimi zaangażowanymi stronami, jeśli dotyczy;
• ii. warunki świadczenia usług dostępu do informacji o rachunku;
• iii. terminy przetwarzania;

lokalizacji, w których wnioskodawca zamierza świadczyć usługi, jeśli dotyczy;

• e) opis usług pomocniczych do usługi dostępu do informacji o rachunku, jeśli dotyczy;
• f) oświadczenie czy po dokonaniu rejestracji wnioskodawca zamierza świadczyć usługi dostępu do informacji o rachunku w innym państwie członkowskim UE lub innym kraju;
• g) wskazanie, czy wnioskodawca zamierza przez okres kolejnych trzech lat prowadzić lub już prowadzi inny rodzaj działalności gospodarczej niż usługi dostępu do informacji o rachunku określony w art. 18 dyrektywy 2015/2366, w tym opis rodzaju i spodziewanej wielkości działalności;
• h) informacje określone w wytycznych EUNB dotyczących kryteriów określania wysokości

prowadzenia działalności zawodowej lub innej porównywalnej gwarancji zgodnie z art. 5 ust. 4 dyrektywy (UE) 2015/2366, (EBA/GL/2017/08), jeśli wnioskodawca zamierza świadczyć wyłącznie usługę 8 (AIS).

Wytyczna nr 4: Biznesplan

4.1. Biznesplan przedstawiony przez wnioskodawcę powinien zawierać:

• a) plan marketingowy składający się z:
• i. analizy pozycji konkurencyjnej spółki;
• ii. opisu użytkowników usługi dostępu do informacji o rachunku w danym segmencie rynku dostępu do informacji o rachunku, materiałów marketingowych i kanałów dystrybucji;
• b) poświadczone roczne sprawozdania finansowe spółek z ostatnich trzech lat lub podsumowanie/opis sytuacji finansowej w przypadku spółek, które nie sporządziły jeszcze sprawozdań finansowych
• c) plan finansowy na pierwsze trzy lata obrotowe, z którego wynika, że wnioskodawca jest w stanie zastosować odpowiednie i proporcjonalne systemy, zasoby i procedury niezbędne do prawidłowego prowadzenia przez niego działalności; powinien on uwzględniać:
• i. prognozę zestawienia dochodów i bilansu, w tym scenariusze docelowe i scenariusze szokowe (stress testy), jak również ich podstawowe założenia, takie jak liczbę klientów, politykę cen i oczekiwany wzrost progu rentowności;
• ii. wyjaśnienia dotyczące głównych źródeł dochodu i wydatków, zadłużenia finansowego i środków trwałych;
• iii. schemat i szczegółowe zestawienie szacowanych przepływów gotówki na kolejne trzy lata.

Wytyczna nr 5: Struktura organizacyjna

5.1. Jeśli wnioskodawca jest osobą fizyczną, opis struktury organizacyjnej jego przedsiębiorstwa powinien zawierać następujące informacje:

• a) ogólną prognozę liczby pracowników na kolejne trzy lata;
• b) opis stosownych rozwiązań w zakresie outsourcingu operacyjnego, w tym:
• i. dane pozwalające na ustalenie tożsamości dostawcy outsourcingu oraz miejsce siedziby tego dostawcy (lokalizacja geograficzna);
• ii. dane pozwalające na ustalenie tożsamości osób od AISP odpowiedzialnych za każdą czynność outsourcingową;
• iii. szczegółowy opis czynności outsourcingowych i ich głównych cech;
• c) kopię projektów umów outsourcingowych;
• d) w przypadku zamiaru świadczenia usług poprzez oddział i/lub za pośrednictwem agentów - opis korzystania z usług oddziałów i agentów, w tym:
• i. określenie planu kontroli zdalnych i kontroli na miejscu, które wnioskodawca zamierza przeprowadzić w stosunku do oddziałów i agentów;
• ii. systemy informatyczne, procesy i infrastrukturę, używane przez agentów wnioskodawcy w celu wykonywania czynności w imieniu wnioskodawcy;
• iii. w przypadku agentów, zasady naboru, procedury monitorowania i szkolenia agentów oraz, jeśli są dostępne, projekty warunków współpracy;
• e) wykaz wszystkich osób fizycznych i prawnych, które posiadają bliskie powiązania z wnioskującym AISP, ze wskazaniem danych pozwalających na ustalenie ich tożsamości i charakteru powiązań.

5.2. Jeśli wnioskodawca jest osobą prawną, opis struktury organizacyjnej jego przedsiębiorstwa powinien zawierać następujące informacje:

• a) szczegółowy schemat organizacyjny, przedstawiający każdy wydział, departament lub podobną jednostkę strukturalną, w tym imię i nazwisko osoby odpowiedzialnej lub osób odpowiedzialnych, w szczególności pełniącej (pełniących) funkcje kontroli wewnętrznej; schemat powinien być opatrzony opisami funkcji i zadań każdego wydziału, departamentu lub podobnej jednostki strukturalnej;
• b) ogólną prognozę liczby pracowników na kolejne trzy lata;
• c) opis stosownych rozwiązań w zakresie outsourcingu, w tym:
• i. dane pozwalające na ustalenie tożsamości dostawcy outsourcingu oraz miejsce siedziby tego dostawcy (lokalizacja geograficzna);
• ii. dane pozwalające na ustalenie tożsamości osób od AISP odpowiedzialnych za każdą czynność outsourcingową;
• iii. szczegółowy opis czynności outsourcingowych i ich głównych cech;
• d) kopie projektów umów outsourcingowych;
• e) w przypadku zamiaru świadczenie usług poprzez oddział i/lub za pośrednictwem agentów - opis korzystania z usług oddziałów i agentów, w tym:
• i. określenie planu kontroli zdalnych i kontroli na miejscu, które wnioskodawca zamierza przeprowadzić w stosunku do oddziałów i agentów;
• ii. systemy informatyczne, procesy i infrastrukturę, używane przez agentów wnioskodawcy w celu wykonywania czynności w imieniu wnioskodawcy;
• iii. w przypadku agentów, zasady naboru, procedury monitorowania i szkolenia agentów oraz, jeśli dostępne, projekty warunków współpracy;
• f) wykaz wszystkich osób fizycznych i prawnych, które posiadają bliskie powiązania z wnioskodawcą, ze wskazaniem danych pozwalających na ustalenie tożsamości i charakteru powiązań.

Wytyczna nr 6: Zasady zarządzania i mechanizmy kontroli wewnętrznej

6.1. Wnioskodawca powinien przedstawić opis zasad zarządzania i mechanizmów kontroli wewnętrznej składający się z:

• a) określenia ryzyk zidentyfikowanych przez wnioskodawcę, w tym rodzaju ryzyk i procedur, które wnioskodawca zastosuje w celu oceny t ych ryzyk i zapobiegnięciu ich wystąpienia;
• b) różnych procedur dotyczących przeprowadzania kontroli okresowych i stałych, w tym informacje na temat częstotliwości ich przeprowadzania oraz przydzielonych do tych czynności zasobów ludzkich;
• c) procedur księgowych, zgodnie z którymi wnioskodawca będzie rejestrował i raportował swoje informacje finansowe;
• d) dane pozwalające na ustalenie tożsamości osoby odpowiedzialnej lub osób odpowiedzialnych za funkcje kontroli wewnętrznej, w tym za kontrole okresowe, stałe i kontrole zgodności, jak również aktualne życiorysy;
• e) dane pozwalające na ustalenie tożsamości rewidenta nie będącego biegłym rewidentem zgodnie z dyrektywą 2006/43/WE;
• f) składu organu zarządzającego oraz, jeśli dotyczy, innego organu nadzorującego lub komisji nadzorującej;
• g) opisu sposobu monitorowania i kontrolowania czynności/działań/zadań zleconych w ramach outsourcingu w celu uniknięcia pogorszenia jakości kontroli wewnętrznych wnioskodawcy;
• h) opisu sposobu monitorowania i kontroli agentów i oddziałów w ramach kontroli wewnętrznych wnioskodawcy;
• i) jeśli wnioskodawca jest podmiotem zależnym podmiotu regulowanego (posiadającego zezwolenie) w innym państwie członkowskim UE, opisu zarządzania grupą.

Wytyczna nr 7: Procedura monitorowania postępowania i podejmowania działań następczych związanych z incydentami bezpieczeństwa oraz skargami klientów dotyczącymi bezpieczeństwa

7.1. Wnioskodawca powinien przedstawić opis procedury wprowadzonej przez wnioskodawcę w celu monitorowania postępowania i podejmowania działań następczych związanych z incydentami bezpieczeństwa oraz skargami klientów dotyczącymi bezpieczeństwa, który powinien zawierać:

• a) środki organizacyjne i narzędzia zapobiegające oszustwom;
• b) szczegółowe informacje o osobie fizycznej/osobach fizycznych lub osobach fizycznych i organach odpowiedzialnych za pomoc klientom w przypadku oszustw, problemów technicznych i/lub zarządzania roszczeniami;
• c) kanały, za pośrednictwem których należy zgłaszać przypadki oszustwa;
• d) dane punktu kontaktowego dla klientów, w tym imię, nazwisko i adres e - mail;
• e) procedury zgłaszania incydentów, w tym przekazywania zgłoszeń organom wewnętrznym i zewnętrznym, w tym powiadamiania właściwych organów krajowych o poważnych incydentach zgodnie z art. 96 dyrektywy PSD2 oraz wytycznymi EUNB w sprawie zgłaszania incydentów zgodnie z tym artykułem.
• f) wykorzystan e narzędzia monitorowania oraz środki i procedury następcze stosowane w celu ograniczenia ryzyk w zakresie bezpieczeństwa.

Wytyczna nr 8: Procedura umożliwiania , monitorowania, śledzenia i ograniczania dostępu do danych szczególnie chronionych dotyczących płatności

8.1. Wnioskodawca powinien przedstawić opis procedury wprowadzonej w celu umożliwiania, przechowywania w dokumentacji, monitorowania, śledzenia i ograniczania dostępu do danych szczególnie chronionych dotyczących płatności składający się z:

• a) opisu przepływu danych sklasyfikowanych jako dane szczególnie chronione dotyczące płatności w kontekście modelu działalności AISP;
• b) procedur wprowadzanych w celu zezwolenia na dostęp do danych szczególnie chronionych dotyczących płatności;
• c) opisu narzędzi monitorowania;
• d) polityki uzyskiwania dostępu do danych szczególnie chronionych, z wyszczególnieniem prawa dostępu do wszystkich istotnych komponentów i systemów infrastruktury, w tym baz danych i kopii zapasowych;
• e) opis sposobu włączania zebranych danych do dokumentacji;
• f) zakładanego wewnętrznego i/lub zewnętrznego sposobu wykorzystania zgromadzonych danych, w tym również przez podmioty współpracujące z wnioskodawcą;
• g) opisu wprowadzonego systemu informatycznego (zapewniającego dostateczną ochronę i bezpieczeństwo danych szczególnie chronionych) i środków ochrony technicznej, w tym szyfrowania i/lub tokenizacji;
• h) identyfikacji osób fizycznych (imiona i nazwiska), organów i/lub komisji wnioskodawcy posiadających dostęp do szczególnie chronionych danych dotyczących płatności;
• i) wyjaśnienia sposobu wykrywania naruszeń i radzenia sobie z nimi;

informatycznych.

Wytyczna nr 9: Rozwiązania zapewniające ciągłość działania

9.1. Wnioskodawca powinien przedstawić opis rozwiązań zapewniających ciągłość działania, składający się z następujących informacji:

• a) analizy wpływu na działanie, w tym procesów biznesowych i parametrów odtworzeniowych, takich jak parametry RTO i RPO oraz aktywa chronione;
• b) określenia zapasowej strony internetowej, dostępu do infrastruktury informatycznej oraz kluczowego oprogramowania i danych, które zostaną odzyskane po awarii lub zakłóceniu funkcjonowania;
• c) wyjaśnienia jak wnioskodawca poradzi sobie z poważnym zdarzeniem lub zakłóceniem funkcjonowania mającymi wpływ na ciągłość działania, takimi jak awaria kluczowych systemów, utrata kluczowych danych, brak dostępu do pomieszczeń oraz utrata kluczowych osób;
• d) częstotliwości, z jaką wnioskodawca zamierza weryfikować ciągłość działania i plany odtworzeniowe, w tym sposób rejestrowania wyników weryfikacji.

Wytyczna nr 10: Dokument dotyczący polityki bezpieczeństwa

10.1. Wnioskodawca powinien przedstawić politykę bezpieczeństwa zawierającą następujące informacje:

• a) szczegółową ocenę ryzyka w odniesieniu do usługi płatniczej, jakie wnioskodawca zamierza świadczyć, która powinna uwzględniać ryzyka oszustwa i środki kontroli bezpieczeństwa i ograniczania ryzyka podjęte w celu adekwatnej ochrony użytkowników usług płatniczych przed zidentyfikowanymi ryzykami;
• b) opis systemów informatycznych, który powinien zawierać:
• i. architekturę systemów i elementów ich sieci;
• ii. biznesowe systemy informatyczne wspierające prowadzoną działalność gospodarczą, takie jak witryny internetowe, mechanizm zarządzania ryzykiem i przeciwdziałania oszustwom oraz rozliczanie klientów;
• iii. wspierające systemy informatyczne wykorzystywane do organizacji i administracji AISP, księgowości, sprawozdawczości, zarządzania personelem, zarządzania stosunkami z klientami, serwerów poczty elektronicznej i serwerów plików wewnętrznych;
• iv. informacje wskazujące, czy systemy te są już używane przez AISP lub grupę podmiotów, do której należy, oraz szacunkowy termin ich wdrożenia, jeśli dotyczy;
• c) rodzaj autoryzowanych połączeń z zewnątrz, nawiązywanych na przykład z partnerami,

odległość, w tym powody nawiązywania takich połączeń;

• d) dla każdego połączenia określonego w ppkt. c), wprowadzone logiczn e środki bezpieczeństwa i mechanizm y bezpieczeństwa, ze wskazaniem zasad kontroli wnioskodawcy nad dostępem, w tym również charakter i częstotliwość każdej kontroli, np. techniczna czy organizacyjna, prewencyjna czy wykrywcza, monitorowani e w czasie rzeczywistym czy regularna weryfikacja, np. wykorzystanie usług active directory osobno

bezpieczeństwa, generowanie kluczy lub certyfikatów uwierzytelniania klienta, monitorowanie systemu, uwierzytelnianie, poufność komunikacji, wykrywanie włamań , systemy antywirusowe i dzienniki;

• e) logiczne środki i mechanizmy bezpieczeństwa zarządzające dostępem wewnętrznym do systemów informatycznych, które powinny zawierać:
• i. techniczny i organizacyjny charakter oraz częstotliwość stosowania każdego środka, np. czy jest on prewencyjny czy wykrywczy i czy jest wykonywany w czasie rzeczywistym;
• ii. sposób postępowania z rozdzieleniem środowisk klientów w przypadku, gdy ich zasoby informatyczne są wspólne z zasobami wnioskodawcy;
• f) fizyczne środki i mechanizmy bezpieczeństwa pomieszczeń oraz centrum danych wnioskodawcy, takie jak kontrole dostępu i bezpieczeństwo środowiskowe;
• g) bezpieczeństwo procesów płatniczych, które powinny zawierać:
• i. procedurę uwierzytelniania klienta stosowaną w przypadku dostępu zarówno w celach informacyjnych jak i transakcyjnych oraz wszelkich dostępnych instrumentów płatniczych;
• ii. wyjaśnienie sposobu zapewnienia bezpiecznego przesyłania środków pieniężnych do właściwego użytkownika usług płatniczych oraz integralność elementów uwierzytelniania, np. tokeny sprzętowe i aplikacje mobilne, zarówno w momencie początkowej rejestracji jak i przedłużenia ich ważności lub ich odnowienia;
• iii. opis systemów i procedur, które wnioskodawca wprowadził w celu analizy transakcji i identyfikacji transakcji podejrzanych lub nietypowych.
• h) szczegółową ocenę ryzyka w odniesieniu do świadczonych usług płatniczych, w tym

wniosku , wykazując, że wszystkie ryzyka zostały uwzględnione;

• i) wykaz głównych procedur w formie pisemnej w odniesieniu do systemów informatycznych wnioskodawcy lub, w przypadku procedur, które nie zostały jeszcze sformalizowane, szacunkowy termin ich finalizacji. Wytyczna nr 11: Tożsamość i ocena kompetencji dyrektorów i osób odpowiedzialnych za zarządzanie dostawcą świadczącym usługę dostępu do informacji o rachunk u

11.1. W celu określenia tożsamości i oceny kompetencji dyrektorów i osób odpowiedzialnych za zarządzanie dostawcą świadczącym usługę dostępu do informacji o rachunku, wnioskodawca powinien przedstawić następujące informacje:

• a) dane osobowe, które powinny obejmować:
• i. imię i nazwisko, płeć, miejsce i datę urodzenia, adres i narodowość oraz osobisty numer ewidencyjny lub kopię dowodu osobistego bądź jego odpowiednika;
• ii. szczegóły dotyczące stanowiska, w związku z którym dokonywana jest ocena, czy stanowisko w organie zarządzającym jest kierownicze czy niekierownicze; powinny one również uwzględniać:

• b) jeśli dotyczy, informacje na temat oceny kompetencji przeprowadzonej przez wnioskodawcę, które powinny zawierać szczegóły dotyczące wyniku oceny kompetencji osoby fizycznej przeprowadzonej przez wnioskodawcę, takie jak stosowny protokół zarządu lub raporty dotyczące oceny kompetencji bądź inne dokumenty;
• c) dowody potwierdzające wiedzę, umiejętności i doświadczenie, które powinny

zawodowego, w tym kwalifikacji akademickich, innych stosownych szkoleń, nazwy i charakteru wszystkich organizacji, dla których osoba fizyczna pracuje lub pracowała, oraz charakteru wykonywanych funkcji i okresu czasu ich wykonywania, ze szczególnym naciskiem na działania w zakresie przedmiotowego stanowiska;

• d) dowody potwierdzające reputację, uczciwość i prawość, które powinny zawierać:
• i. odpisy z rejestru karnego i stosowne informacje dotyczące dochodzeń i postępowań w sprawach karnych, stosownych spraw cywilnych i administracyjnych oraz postępowań dyscyplinarnych, w tym zakazu pełnienia funkcji dyrektora spółki, upadłości, niewypłacalności i podobnych postępowań, w szczególności za pomocą zaświadczeń urzędowych lub obiektywnie wiarygodnych źródeł informacji dotyczących braku skazania i prowadzenia dochodzeń i postępowań w sprawach karnych, takich jak dochodzenia prowadzone przez osoby trzecie, zeznania złożone przez prawnika lub notariusza prowadzącego działalność w Unii Europejskiej.
• ii. oświadczenie potwierdzające, czy prowadzone jest postępowanie w sprawie karnej lub czy osoba bądź organizacja przez nią kierowana uczestniczyła jako dłużnik w postępowaniu upadłościowym lub porównywalnym;
• iii. informacje dotyczące następującego:

Wytyczna nr 12: Ubezpieczenie odpowiedzialności cywilnej z tytułu prowadzenia działalności zawodowej i porównywalna gwarancja

12.1. Jako dowód posiadania ubezpieczenia odpowiedzialności cywilnej z tytułu prowadzenia działalności zawodowej lub porównywalnej gwarancji, które są zgodne z wytycznymi EUNB dotyczącymi ubezpieczenia odpowiedzialności cywilnej z tytułu prowadzenia działalności zawodowej (EBA/GL/2017/08) i art. 5 ust. 2 i 3 dyrektywy PSD2, wnioskodawca powinien przedstawić następujące informacje:

• a) umowę ubezpieczenia lub inny równoważny dokument potwierdzający istnienie ubezpieczenia odpowiedzialności cywilnej z tytułu prowadzenia działalności zawodowej lub porównywalnej gwarancji na sumę ubezpieczenia zgodną z wymienionymi wytycznymi EUNB, ze wskazaniem pokrycia stosownych zobowiązań;
• b) dokumentację potwierdzającą sposób wyliczenia przez wnioskodawcę minimalnej kwoty zgodnie ze stosownymi wytycznymi EUNB, w tym wszystkie obowiązujące elementy wzoru określonego w wymienionych wytycznych.

Wytyczna nr 1: Zasady ogólne

1.1 Niniejsza grupa wytycznych odnosi się do wnioskodawców ubiegających się o udzielenie zezwolenia na prowadzenie działalności w charakterze instytucji pieniądza elektronicznego (EMI). Odnosi się ona do wnioskodawców, którzy zamierzają świadczyć usługi w zakresie pieniądza elektronicznego oraz, jeśli dotyczy, usługę płatniczą lub usługi płatnicze, o których mowa w pkt. 1 - 8 załącznika I do dyrektywy PSD2. Wnioskodawcy, którzy zamierzają świadczyć wyłącznie usługi płatnicze, o których mowa w pkt. 1 - 7 załącznika I do dyrektywy PSD2 lub usługę 8, o której mowa w wymienionym załączniku, w połączeniu z inną usługą lub innymi usługami, o których mowa w pkt. 1 - 7, bez świadczenia usług w zakresie pieniądza elektronicznego, powinni odnieść się do określonej grupy wytycznych dotyczących informacji wymaganych od wnioskodawców ubiegających się o udzielenie zezwolenia na działalność w charakterze instytucji płatniczych (PI) określonych w pkt. 4.1. Wnioskodawcy, którzy zamierzają świadczyć wyłącznie usługi płatnicze, o których mowa w pkt. 8 załącznika I do dyrektywy PSD2, bez świadczenia usług w zakresie pieniądza elektronicznego, powinni odnieść się do wytycznych dotyczących informacji wymaganych od wnioskodawców ubiegających się o udzielenie zezwolenia na świadczenie wyłącznie usługi 8 załącznika I do dyrektywy PSD2, określonych w pkt. 4.2.

1.2 Informacje przedstawione przez wnioskodawców powinny być prawdziwe, kompletne, dokładne i aktualne. Wszyscy wnioskodawcy powinny stosować się do wszystkich postanowień określonych w grupie wytycznych, która ich dotyczy. Stopień szczegółowości powinien być proporcjonalny do wielkości i wewnętrznej organizacji wnioskodawcy oraz do charakteru, zakresu, złożoności i ryzyka związanego ze świadczeniem określonej usługi lub określonych usług, którą( - e) wnioskodawca zamierza świadczyć. W każdym przypadku, zgodnie z dyrektywą (UE) 2015/2366, dyrektorzy i osoby odpowiedzialne za zarządzenie instytucją pieniądza elektronicznego powinni posiadać dobrą reputację oraz odpowiednią wiedzę i doświadczenie w zakresie realizacji usług płatniczych, bez względu na rozmiar i organizację wewnętrzną instytucji oraz charakter, rozmiar i złożoność działalności, jak również obowiązków pełnionych na określonym stanowisku.

określonych fragmentów procedur wewnętrznych/dokumentów. Zamiast tego, wnioskodawca powinien wybrać stosowne fragmenty i przedstawić je właściwemu organowi.

1.4 Jeśli organy (CA) żądają wyjaśnienia przedstawionych informacji, wnioskodawca powinien bezzwłocznie przekazać takie wyjaśnienia.

1.5 Wszystkie dane żądane zgodnie z niniejszymi wytycznymi w celu uzyskania zezwolenia na prowadzenie działalności w charakterze EMI są konieczne w celu rozpatrzenia wniosku i będą traktowane przez właściwe organy zgodnie ze zobowiązaniami do dochowania tajemnicy zawodowej określonymi w dyrektywie PSD2, z uwzględnieniem obowiązującego prawa unijnego oraz wymagań i procedur krajowych dotyczących wykonywania prawa dostępu, prostowania, usuwania i odmowy.

Wytyczna nr 2: Dane identyfikacyjne

2.1 Dane identyfikacyjne przedstawione przez wnioskodawcę powinny zawierać następujące informacje:

• a) nazwę spółki wnioskodawcy oraz nazwę handlową, jeśli jest inna;
• b) wskazanie, czy wnioskodawca jest już zarejestrowany jako spółka czy jest w trakcie rejestracji;
• c) krajowy numer identyfikacyjny wnioskodawcy, jeśli dotyczy;
• d) status prawny wnioskodawcy i umowę spółki (jej projekt) oraz/lub istotne dokumenty potwierdzające status prawny wnioskodawcy;
• e) adres siedziby zarządu i siedziby statutowej wnioskodawcy;
• f) adres elektroniczny i witrynę internetową wnioskodawcy, jeśli jest dostępna;
• g) imię i nazwisko osoby odpowiedzialnej lub imiona i nazwiska osób odpowiedzialnych za złożenie wniosku i procedurę uzyskania zezwolenia oraz jej (ich) dane do kontaktu;
• h) wskazanie, czy wnioskodawca podlegał kiedykolwiek lub podlega obecnie nadzorowi właściwego organu w sektorze usług finansowych;
• i) związek branżowy lub związki branżowe przedsiębiorców w zakresie świadczenia usług pieniądza elektronicznego i/lub usług płatniczych, do którego lub do których wnioskodawca planuje dołączyć, jeśli dotyczy;
• j) dokument potwierdzający rejestrację spółki lub, jeśli dotyczy, zaświadczenie z rejestru handlowego poświadczające, że nazwa wnioskowana przez spółkę nie jest zajęta przez inny podmiot;
• k) dowód uiszczenia wszelkich opłat za złożenie wniosku o udzielenie zezwolenia/ lub za udzielenie zezwolenia na prowadzenie działalności w charakterze instytucji płatniczej, jeśli są stosowane zgodnie z prawem krajowym.

Wytyczna nr 3: Program działalności

3.1 Program działalności przedstawiony przez wnioskodawcę powinien zawierać następujące informacje:

• a) wskazanie usług w zakresie pieniądza elektronicznego, które wnioskodawca zamierza świadczyć: emisja, wykup, dystrybucja.
• b) jeśli dotyczy, dokładny opis rodzaju planowanych usług płatniczych, z awierający wyjaśnienie wykonywanych działań i operacji w ramach tych usług, oraz wskazanie, jakie cechy usługi będą identyfikowane przez wnioskodawcę jako kwalifikujące do którejkolwiek kategorii prawnych usług płatniczych wymienionych w załączniku I do dyrektywy PSD2, oraz wskazanie, czy te usługi płatnicze będą świadczone dodatkowo oprócz usług w zakresie pieniądza elektronicznego lub czy są związane z emisją pieniądza elektronicznego;
• c) deklarację czy wnioskodawca w którymkolwiek momencie wejdzie w posiadanie środków pieniężnych;
• d) jeśli dotyczy, opis wykonywania różnych usług w zakresie pieniądza elektronicznego oraz, jeśli dotyczy, usług płatniczych, z wyszczególnieniem wszystkich zaangażowanych stron, dla każdej usługi w zakresie pieniądza elektronicznego oraz, jeśli dotyczy, każdej świadczonej usługi płatności:
• i. schemat przepływu środków pieniężnych;
• ii. ustalenia dotyczące rozrachunku;
• iii. projekty umów pomiędzy wszystkimi stronami zaangażowanymi w świadczenie usług płatniczych, w tym obejmujące systemy kart płatniczych, jeśli dotyczy;
• iv. terminy przetwarzania;
• e) kopię projektu umowy pomiędzy wydawcą pieniądza elektronicznego a posiadaczem pieniądza elektronicznego oraz projekt umowy ramowej określonej w art. 4 ust. 21 dyrektywy PSD2, jeśli wnioskodawca zamierza świadczyć usługi płatnicze oprócz usług w zakresie pieniądza elektronicznego;

lokalizacji, w których wnioskodawca zamierza świadczyć usługi, jeśli dotyczy;

• g) opis wszelkich usług pomocniczych do usług w zakresie pieniądza elektronicznego oraz, jeśli dotyczy, do usług płatniczych;
• h) jeśli wnioskodawca zamierza świadczyć usługi płatnicze oprócz usług pieniądza elektronicznego, oświadczenie potwierdzające czy wnioskodawca zamierza udzielać kredytów i, jeśli tak, w jakich limitach;
• i) deklarację potwierdzającą czy wnioskodawca po uzyskaniu licencji planuje świadczyć usługi w zakresie pieniądza elektronicznego oraz, jeśli dotyczy, usługi płatnicze w innych państwach członkowskich UE lub krajach trzecich;
• j) wskazanie, czy wnioskodawca zamierza przez okres kolejnych trzech lat prowadzić lub już prowadzi inny rodzaj działalności gospodarczej niż usługi w zakresie pieniądza elektronicznego oraz, jeśli dotyczy, usługi płatnicze określone w art. 11 ust. 5 dyrektywy (UE) 2015/2366, w tym opis rodzaju tej działalności i jej spodziewaną wielkość;
• k) informacje określone w wytycznych EUNB dotyczących kryteriów określania wysokości

prowadzenia działalności zawodowej lub innej porównywalnej gwarancji zgodnie z art. 5 ust. 4 dyrektywy (UE) 2015/2366 (EBA/GL2017/08), jeśli wnioskodawca zamierza świadczyć usługi 7 i 8 (usługi inicjowania płatności (PIS) oraz usługi dostępu do informacji

• o rachunku (AIS)).

Wytyczna nr 4: Biznesplan

4.1. Biznesplan przedstawiony przez wnioskodawcę powinien zawierać:

• a) plan marketingowy składający się z:
• i. analizy pozycji konkurencyjnej spółki w segmencie rynku pieniądza elektronicznego oraz, jeśli dotyczy, w danym segmencie rynku płatniczego;
• ii. opisu użytkowników usług płatniczych i posiadaczy pieniądza elektronicznego, materiałów marketingowych i kanałów dystrybucji i promocji usług;
• b) poświadczone roczne sprawozdania finansowe z ostatnich trzech lat, jeśli dostępne, lub podsumowanie/opis sytuacji finansowej w przypadku spółek, które nie sporządziły jeszcze rocznych sprawozdań finansowych
• c) prognozę budżetu na pierwsze trzy lata obrotowe, z której wynika, że wnioskodawca jest w stanie zastosować odpowiednie i proporcjonalne systemy, zasoby i procedury niezbędne do prawidłowego prowadzenia przez niego działalności; powinna ona uwzględniać:
• i. prognozę zestawienia dochodów i bilansu, w tym scenariusze docelowe i scenariusze szokowe, jak również ich podstawowe założenia, takie jak wielkość i wartość transakcji, liczbę klientów, politykę cen, średnią kwotę transakcji, oczekiwany wzrost progu rentowności;
• ii. wyjaśnienia dotyczące głównych źródeł dochodu i wydatków, zadłużenia finansowego i środków trwałych;
• iii. schemat i szczegółowe zestawienie szacowanych przepływów gotówki na kolejne trzy lata;
• d) informacje o funduszach własnych, w tym wysokości i szczegółowym zestawieniu struktury kapitału założycielskiego zgodnie z art. 57(a) i (b) dyrektywy 2006/48/WE;
• e) informacje o po siadanych przez wnioskodawcę minimalnych funduszach własnych oraz ich kalkulacja wymagana i przeprowadzona zgodnie z metodą D, o której mowa w art. 5.3 dyrektywy (UE) 2009/110 (druga dyrektywa o pieniądzu elektronicznym (EMD2)), jeśli instytucja pieniądza elektronicznego zamierza świadczyć wyłącznie usługi w zakresie pieniądza elektronicznego, lub metodą bądź metodami, o których mowa w art. 9 dyrektywy (UE) 2015/2366 (PSD2) określonymi przez właściwe organy, jeśli wnioskodawca zamierza świadczyć usługi płatnicze oprócz usług w zakresie pieniądza elektronicznego, w tym roczną prognozę dotyczącą struktury funduszy własnych na trzy lata zgodnie z zastosowaną metodą oraz, jeśli dotyczy, roczną prognozę dotyczącą funduszy własnych na trzy lata zgodnie z pozostałymi zastosowanymi metodami.

Wytyczna nr 5: Struktura organizacyjna

5.1. Wnioskodawca powinien przedstawić opis struktury organizacyjnej przedsiębiorstwa zawierający:

• a) szczegółowy schemat organizacyjny, przedstawiający każdy wydział, departament lub podobną jednostkę organizacyjną, w tym imię i nazwisko osoby odpowiedzialnej lub osób odpowiedzialnych, w szczególności pełniącej (pełniących) funkcje kontroli wewnętrznej; schemat powinien zawierać opis funkcji i zadań każdego wydziału, departamentu lub podobnej jednostki organizacyjnej;
• b) ogólną prognozę liczby pracowników na kolejne trzy lata;
• c) opis rozwiązań w zakresie outsourcingu operacyjnego, w tym:
• i. dane pozwalające na ustalenie tożsamości dostawcy outsourcingu oraz miejsce siedziby tego dostawcy (lokalizacja geograficzna);
• ii. dane pozwalające na ustalenie tożsamości osób odpowiedzialnych za każdą czynność outsourcingową;
• iii. czytelny opis czynności outsourcingowych i ich głównych cech;
• d) kopię umów lub projektów umów outsourcingowych;
• e) w przypadku zamiaru świadczenia usług poprzez oddział i/lub za pośrednictwem agentów i dystrybutorów - opis korzystania z usług oddziałów i agentów, w tym:
• i. określenie planu kontroli zdalnych i kontroli na miejscu, które wnioskodawca zamierza przeprowadzić w stosunku do oddziałów, agentów i dystrybutorów;
• ii. systemy informatyczne, procesy i infrastrukturę, używane przez agentów i dystrybutorów wnioskodawcy w celu wykonywania czynności w imieniu wnioskodawcy;
• iii. w przypadku agentów i dystrybutorów, zasady naboru, procedury monitorowania i szkolenia agentów i dystrybutorów oraz, jeśli są dostępne, projekty warunków współpracy z agentami i dystrybutorami;
• f) wskazanie krajowego i/lub międzynarodowego systemu płatniczego, do którego wnioskodawca będzie miał dostęp, jeśli dotyczy;
• g) wykaz wszystkich osób fizycznych i prawnych, które posiadają bliskie powiązania z wnioskodawcą, ze wskazaniem danych pozwalających na ustalenie ich tożsamości i charakteru powiązań.

Wytyczna nr 6: Potwierdzenie posiadania kapitału założycielskiego

6.1. W celu potwierdzenia posiadania kapitału założycielskiego przez wnioskodawcę (w wysokości 350 000 euro), wnioskodawca powinien przedstawić następujące dokumenty:

• a) w przypadku istniejących przedsiębiorstw, zweryfikowany przez biegłego rewidenta wyciąg z rachunku lub informacja (odpis) z publicznego rejestru potwierdzający wysokość kapitału wnioskodawcy;
• b) w przypadku przedsiębiorstw będących w trakcie rejestracji, wydany przez bank wyciąg bankowy potwierdzający złożenie środków pieniężnych na rachunku bankowym wnioskodawcy. Wytyczna nr 7: Środki ochrony środków pieniężnych użytkowników usług w zakresie pieniądza elektronicznego i/lub użytkowników usług płatniczych

7.1. Jeśli wnioskodawca chroni środki pieniężne użytkowników usług w zakresie pieniądza

odrębnym rachunku w instytucji kredytowej lub inwestowanie w bezpieczne, płynne aktywa

• o niskim ryzyku, opis sposobu ochrony środków pieniężnych użytkowników powinien zawierać:
• a) opis polityki inwestycyjnej zapewniającej płynność, bezpieczeństwo i niskie ryzyko wybranych aktywów, jeśli dotyczy;
• b) liczbę osób posiadających dostęp do rachunku ochronnego oraz ich funkcje;
• c) opis postępowania administracyjnego i ugodowego w przypadku użytkowników pieniądza elektronicznego i, jeśli dotyczy, użytkowników usług płatniczych w przypadku powstania roszczeń innych wierzycieli instytucji pieniądza elektronicznego, w szczególności w przypadku niewypłacalności;
• d) kopię projektu umowy z instytucją kredytową;
• e) wyraźne oświadczenie instytucji pieniądza elektronicznego zgodne z art. 10 dyrektywy PSD2.

7.2. Jeśli wnioskodawca chroni środki pieniężne użytkowników pieniądza elektronicznego oraz, jeśli dotyczy, użytkowników usług płatniczych za pomocą polisy ubezpieczeniowej lub

kredytową, w przypadku, gdy wnioskodawca nie zamierza świadczyć wyłącznie usług PIS, opis środków ochrony powinien zawierać:

• a) potwierdzenie, że polisa ubezpieczeniowa lub porównywalna gwarancja z o stała wydana przez towarzystwo ubezpieczeniowe lub instytucję kredytową, które nie należą do tej samej grupy podmiotów, co wnioskodawca;
• b) szczegóły postępowania ugodowego zapewniającego, że polisa ubezpieczeniowa lub porównywalna gwarancja są wystarczające, aby przez cały czas wypełnione były zobowiązania wnioskodawcy do zapewnienia ochrony;
• c) okres obowiązywania i przedłużenie okresu obowiązywania ubezpieczenia;
• d) kopię umowy ubezpieczeniowej (jej projektu) lub porównywalnej gwarancji (jej projektu). Wytyczna nr 8: Zasady zarządzania i mechanizmy kontroli wewnętrznej

8.1. Wnioskodawca powinien przedstawić opis zasad zarządzania i mechanizmów kontroli wewnętrznej składający się z:

• a) określenia ryzyk zidentyfikowanych przez wnioskodawcę, w tym ich rodzaju i opis procedur, które wnioskodawca zastosuje w celu oceny tych ryzyk i zapobiegnięciu ich wystąpienia, w stosunku do usług w zakresie pieniądza elektronicznego oraz, jeśli dotyczy, usług płatniczych;
• b) różnych procedur dotyczących przeprowadzania kontroli okresowych i stałych, w tym informacje na temat częstotliwości ich przeprowadzania oraz przydzielonych do tych czynności zasobów ludzkich;
• c) procedur księgowych, zgodnie z którymi wnioskodawca będzie rejestrował i raportował swoje informacje finansowe;
• d) danych pozwalających na ustalenie tożsamości osoby odpowiedzialnej lub osób odpowiedzialnych za funkcje kontroli wewnętrznej, w tym za kontrole okresowe, stałe i kontrole zgodności, jak również ich aktualne życiorysy;
• e) danych pozwalających na ustalenie tożsamości rewidenta nie będącego biegłym rewidentem zgodnie z dyrektywą 2006/43/WE;
• f) składu osobowego organu zarządzającego oraz, jeśli dotyczy, innego organu nadzorującego lub komisji nadzorującej;
• g) opisu sposobu monitorowania i kontrolowania czynności/działań/zadań zleconych w ramach outsourcingu w celu uniknięcia pogorszenia jakości kontroli wewnętrznej instytucji pieniądza elektronicznego;
• h) opisu sposobu monitorowania i kontroli agentów, oddziałów i dystrybutorów w ramach kontroli wewnętrznych wnioskodawcy;
• i) jeśli wnioskodawca jest podmiotem zależnym podmiotu regulowanego (posiadającego zezwolenie) w innym państwie członkowskim UE, opisu zarządzania grupą.

Wytyczna nr 9: Procedura monitorowania , postępowania i podejmowania działań następczych związanych z incydentami bezpieczeńst wa oraz skargami klientów dotyczący mi bezpieczeństwa

9.1. Wnioskodawca powinien przedstawić opis procedury wprowadzonej przez wnioskodawcę w celu monitorowania postępowania i podejmowania działań następczych w związku z incydentami związanymi z bezpieczeństwem i skargami klientów dotyczącymi bezpieczeństwa, które powinny zawierać:

• a) środki organizacyjne i narzędzia zapobiegające oszustwom;
• b) szczegółowe informacje o osobach fizycznych i organach odpowiedzialnych za pomoc klientom w przypadku oszustw, problemów technicznych i/lub zarządzanie roszczeniami;
• c) kanały, za pośrednictwem których należy zgłaszać przypadki oszustwa;
• d) dane punktu kontaktowego dla klientów, w tym imię, nazwisko i adres e - mail;
• e) procedury zgłaszania incydentów, w tym przekazywania tych zgłoszeń organom wewnętrznym i zewnętrznym, w tym w przypadku wnioskodawców, którzy zmierzają świadczyć usługi płatnicze oprócz usług w zakresie pieniądza elektronicznego oraz powiadamiania właściwych organów krajowych o poważnych incydentach zgodnie z art. 96 dyrektywy PSD2 oraz wytycznymi EUNB w sprawie zgłaszania incydentów zgodnie z tym artykułem.
• f) wykorzystywane narzędzia monitorowania oraz środki i procedury nastę pcze stosowane w celu ograniczenia ryzyk w zakresie bezpieczeństwa.

Wytyczna nr 10: Procedura umożliwiania monitorowania, śledzenia i ograniczania dostępu do danych szczególnie chronionych dotyczących płatności.

10.1. Wnioskodawca powinien przedstawić opis procedury wprowadzonej w celu umożliwiania

dotyczących płatności składający się z:

• a) opisu przepływu danych sklasyfikowanych jako dane szczególnie chronione w kontekście modelu działalności instytucji pieniądza elektronicznego;
• b) procedur wprowadzanych w celu umożliwienia dostępu do danych szczególnie chronionych dotyczących płatności;
• c) opisu narzędzia monitorowania;
• d) polityki uzyskiwania dostępu do danych szczególnie chronionych, z wyszczególnieniem prawa dostępu do wszystkich istotnych komponentów i systemów infrastruktury, w tym baz danych i infrastruktury kopii zapasowych;
• e) opisu sposobu włączania zebranych danych do dokumentacji;
• f) oczekiwanego wewnętrznego i/lub zewnętrznego wykorzystania zebranych danych, w tym również przez kontrahentów;
• g) opisu wprowadzonego systemu informatycznego i wprowadzonych środków ochrony technicznej, w tym szyfrowania i/lub tokenizacji;

• i) wyjaśnienia sposobu wykrywania naruszeń i radzenia sobie z nimi;

informatycznych.

Wytyczna nr 11: Rozwiązania zapewniające ciągłość działania

11.1. Wnioskodawca powinien przedstawić opis rozwiązań zapewniających ciągłość działania składający się z następujących informacji:

• a) analizy wpływu na działanie, w tym procesów biznesowych i parametrów odtworzeniowych, takich jak parametry RTO i RPO oraz aktywa chronione;
• b) określenia zapasowej strony internetowej i dostępu do infrastruktury informatycznej oraz kluczowego oprogramowania i danych, które zostaną odzyskane po awarii lub zakłóceniu funkcjonowania;
• c) wyjaśnienia jak wnioskodawca poradzi sobie z poważnym zdarzeniem lub zakłóceniem funkcjonowania mającymi wpływ na ciągłość, takimi jak awaria kluczowych systemów, utrata kluczowych danych, brak dostępu do pomieszczeń oraz utrata kluczowych osób;
• d) częstotliwości, z jaką wnioskodawca zamierza weryfikować ciągłość działania i plany odtworzeniowe, w tym sposobu rejestrowania wyników weryfikacji;
• e) opisu przyjętych przez wnioskodawcę środków ograniczających ryzyko w przypadku zakończenia świadczenia usług płatniczych, zapewniających wykonanie niezrealizowanych transakcji płatniczych oraz wygaśnięcie istniejących umów.

Wytyczna nr 12: Zasady i definicje mające zastosowanie do gromadzenia danych statystycznych dotyczących wyników, transakcji i oszustw.

12.1. Wnioskodawca powinien przedstawić opis zasad i definicji stosowanych do gromadzenia danych statystycznych dotyczących wyników, transakcji i oszustw, składający się z następujących informacji:

• a) rodzaju gromadzonych danych dotyczących klientów, rodzaju usług płatniczych, kanałów dystrybucji usług płatniczych, instrumentów płatniczych, obszarów działania i walut, w jakich dokonywane są transakcje płatnicze;
• b) zakresu gromadzonych danych w odniesieniu do określonych działań i podmiotów, w tym oddziałów, agentów i dystrybutorów;
• c) środków/sposobów gromadzenia danych;
• d) celu gromadzenia danych;
• e) częstotliwości gromadzenia danych;
• f) dokumentów uzupełniających, takich jak instrukcja, dokumenty opisujące sposób działania systemu.

Wytyczna nr 13: Dokument dotycz ący polityki bezpieczeństwa

13.1. Wnioskodawca powinien przedstawić politykę bezpieczeństwa w odniesieniu do swojej usługi lub swoich usług w zakresie pieniądza elektronicznego i, jeśli dotyczy, usługi lub usług płatniczych, zawierający następujące informacje:

• a) szczegółową ocenę ryzyka w odniesieniu do usługi lub usług w zakresie pieniądza elektronicznego i, jeśli dotyczy, usługi płatniczej lub usług płatniczych, jakie wnioskodawca zamierza świadczyć, która powinna uwzględniać ryzyka oszustwa i środki kontroli bezpieczeństwa i ograniczania ryzyka podjęte w celu adekwatnej ochrony użytkowników usług w zakresie pieniądza elektronicznego oraz, jeśli dotyczy, użytkowników usług płatniczych przed zidentyfikowanymi ryzykami;
• b) opis systemów informatycznych, który powinien zawierać:
• i. architekturę systemów i elementów ich sieci;
• ii. biznesowe systemy informatyczne wspierające prowadzoną działalność gospodarczą, takie jak witryny internetowe, portfele, mechanizm płatności, mechanizm zarządzania ryzykiem i przeciwdziałania oszustwom oraz rozliczanie klientów wnioskodawcy;
• iii. (wspierające) systemy informatyczne wykorzystywane do organizacji i administracji instytucji pieniądza elektronicznego dotyczące księgowości, sprawozdawczości, zarządzania personelem, zarządzania stosunkami z klientami, serwerów poczty elektronicznej, serwerów plików wewnętrznych;
• iv. informacje czy systemy te są już używane przez instytucję pieniądza elektronicznego lub grupę podmiotów, do której należy, oraz szacunkowy termin ich wdrożenia, jeśli dotyczy;
• c) rodzaj autoryzowanych połączeń z zewnątrz, nawiązywanych na przykład z partnerami,

odległość, w tym powody nawiązywania takich połączeń;

• d) dla każdego połączenia określonego w ppkt. c), informacje na temat wprowadzonych logicznych środków i mechanizmów bezpieczeństwa, z określeniem kontroli, jaką instytucja pieniądza elektronicznego będzie miała nad takim dostępem, jak również

otwieranie/zamykanie linii komunikacyjnych, konfigurację sprzętu bezpieczeństwa, generowanie kluczy lub certyfikatów uwierzytelniania klienta, monitorowanie systemu, uwierzytelnianie, poufność komunikacji, wykrywanie włamań, systemy antywirusowe i d zienniki;

• e) logiczne środki i mechanizmy bezpieczeństwa zarządzające dostępem wewnętrznym do systemów informatycznych, które powinny zawierać:
• i. techniczny i organizacyjny charakter oraz częstotliwość stosowania każdego środka, np. czy jest on prewencyjny czy wykrywczy i czy jest wykonywany w czasie rzeczywistym;
• ii. sposób postępowania z rozdzieleniem środowisk informatycznych klientów w przypadku, gdy ich zasoby informatyczne są wspólne z zasobami wnioskodawcy;
• f) fizyczne środki i mechanizmy bezpieczeństwa pomieszczeń oraz centrum danych wnioskodawcy, takie jak kontrole dostępu i bezpieczeństwo środowiskowe;
• g) bezpieczeństwo pieniądza elektronicznego oraz, jeśli dotyczy, procesów płatniczych, które powinny zawierać:
• i. procedurę uwierzytelniania klienta stosowaną w przypadku dostępu zarówno w celach informacyjnych, jak i transakcyjnych oraz wszystkich dostępnych instrumentów płatniczych;
• ii. wyjaśnienie sposobu zapewnienia bezpiecznego przesyłania środków pieniężnych do właściwego użytkownika usług w zakresie pieniądza elektronicznego oraz, jeśli dotyczy, użytkownika usług płatniczych oraz integralności poziomów uwierzytelniania, np. tokeny sprzętowe i aplikacje mobilne, zarówno w momencie początkowej rejestracji jak i jej przedłużenia;
• iii. opis systemów i procedur, które instytucja pieniądza elektronicznego wprowadziła w celu analizy transakcji i identyfikacji transakcji podejrzanych lub nietypowych;
• h) szczegółową ocenę ryzyka w odniesieniu do świadczonych usług płatniczych, w tym ryzyka oszustwa, w połączeniu ze środkami kontroli i ograniczania ryzyka wskazanymi we wniosku (dokumentacji wnioskowej), wykazując, że wszystkie ryzyka usuwane;
• i) wykaz głównych procedur w formie pisemnej w odniesieniu do systemów informatycznych wnioskodawcy lub, w przypadku procedur, które nie zostały jeszcze sformalizowane, szacunkowy termin ich finalizacji.

Wytyczna nr 14: Mechanizmy kontroli wewnętrznej zgodne z obowiązkami związanymi z zapobieganiem praniu pieniędzy i finansowaniu terroryzmu (obowiązki AML/CFT)

14.1 Opis mechanizmów kontroli wewnętrznej, które wnioskodawca wprowadził w celu zachowania zgodności, jeśli dotyczy, z tymi obowiązkami powinien zawierać następujące informacje:

• a) ocenę przez wnioskodawcę ryzyk prania pieniędzy i finansowania terroryzmu związanych ze swoją działalnością, w tym ryzyk związanych z bazą klientów wnioskodawcy, udostępnionymi produktami i świadczonymi usługami, używanymi kanałami dystrybucji oraz geograficznymi obszarami działania;
• b) środki, które wnioskodawca wprowadził lub wprowadzi w celu zmniejszenia ryzyk i wypełnienia obowiązków związanych z zapobieganiem praniu pieniędzy i finansowaniu

procedury zgodne z wymogami należytej staranności w stosunku do klientów oraz zasady i procedury wykrywania i zgłaszania podejrzanych transakcji i czynności/działań;

• c) systemy i kontrole, które wnioskodawca wprowadził lub wprowadzi w celu zapewnienia, że jego oddziały, agenci i dystrybutorzy stosują się do obowiązujących wymagań w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, w tym w przypadku, gdy agent, dystrybutor lub oddział są zlokalizowane w innym państwie członkowskim;
• d) rozwiązania, które wnioskodawca wprowadził lub wprowadzi, aby zapewnić, że

pieniędzy i finansowaniu terroryzmu oraz dowód potwierdzający, że jego kompetencje w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu są wystarczające, aby zapewnić skuteczne wypełnienie tej roli;

• f) systemy i kontrole, które wnioskodawca wprowadził lub wprowadzi, aby zapewnić aktualność, skuteczność i stosowność polityki i procedur dotyczących przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu;
• g) systemy i kontrole, które wnioskodawca wprowadził lub wprowadzi, aby zapewnić, że agenci i dystrybutorzy nie narażą wnioskodawcy na zwiększone ryzyko związane z praniem pieniędzy oraz finansowaniem terroryzmu;
• h) podręcznik dla pracowników wnioskodawcy w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu.

Wytyczna nr 15: Ocena tożsamości i kompetencji osób posiadających znaczne pakiety akcji /udziałów wnioskodawcy

15.1 Dla celów identyfikacji i potwierdzenia kompetencji osób posiadających we wnioskującej instytucji pieniądza elektronicznego znaczne pakiety akcji/udziałów, z zachowaniem oceny dokonanej zgodnie z odpowiednimi kryteriami wprowadzonymi w dyrektywie 2007/44/WE i określonymi we wspólnych wytycznych dotyczących oceny ostrożnościowej przejęć i zwiększeń znacznych pakietów akcji / udziałów w podmiotach finansowych (EBA/GL/2017/08), wnioskodawca powinien przedstawić następujące informacje:

dominującej, jeśli dotyczy;

• b) schemat przedstawiający strukturę akcjonariatu/udziałowców wnioskodawcy, w tym:
• i. nazwisko i udział procentowy (w kapitale/prawach głosu) każdej osoby, która posiada lub będzie posiadała bezpośredni udział w kapitale akcyjnym/udziałowym wnioskodawcy, z wyszczególnieniem tych, którzy są uważani za posiadaczy znacznego pakietu akcji/udziałów oraz powodu jego posiadania;
• ii. nazwisko i udział procentowy (w kapitale/prawach głosu) każdej osoby, która posiada lub będzie posiadała pośredni udział w kapitale akcyjnym/udziałowym wnioskodawcy, z wyszczególnieniem tych, którzy są uważani za pośrednich posiadaczy znacznego pakietu akcji/udziałów oraz powodu jego posiadania;
• c) wykaz imion i nazwisk wszystkich osób i innych podmiotów, które posiadają lub, w przypadku wydania zezwolenia, będą posiadały znaczne pakiety akcji/udziałów w kapitale wnioskodawcy, wskazując dla każdej takiej osoby lub podmiotu:
• i. liczbę i rodzaj akcji lub udziałów już subskrybowanych lub które będą subskrybowane;
• ii. nominalną wartość takich akcji lub udziałów.

15.2 Jeśli osoba, która posiada lub, w przypadku udzielania zezwolenia, będzie posiadała znaczny pakiet akcji/udziałów w kapitale wnioskodawcy, jest osobą fizyczną, wnioskodawca powinien przedstawić wszystkie następujące informacje dotyczące tożsamości i kompetencji takiej osoby:

• a) imię i nazwisko oraz nazwisko rodowe, datę i miejsce urodzenia, obywatelstwo (obecne i poprzednie), numer ewidencyjny (jeśli dotyczy) lub numer paszportu, adres zamieszkania i zameldowania oraz kopię urzędowego dokumentu tożsamości;
• b) szczegółowy życiorys określający wykształcenie, dotychczasowe doświadczenie zawodowe oraz działalność zawodową lub inne istotne aktualnie wykonywane funkcje;
• c) oświadczenie zawierające następujące informacje o osobie wraz z dokumentami potwierdzającymi te informacje dotyczące:
• i. ujawnienia skazania zatartego, wyroków skazujących w sprawach karnych lub postępowań w sprawach karnych, w których osoba została uznana za winną i które nie zostały uchylone, z uwzględnieniem krajowych wymogów prawnych w tym zakresie;
• ii. wszelkich decyzji w sprawach cywilnych i administracyjnych odnoszących się do oceny lub postępowania o udzielenie zezwolenia, w których orzeczono na niekorzyść osoby i zostały nałożone na nią sankcje lub środki administracyjne w związku z naruszeniem przepisów ustawowych lub wykonawczych (w tym zakaz pełnienia funkcji zarządzającej w spółce) w każdym przypadku, w którym sprawa nie została uchylona oraz w której nie jest rozpatrywane ani nie może zostać złożone odwołanie;
• iii. upadłości, niewypłacalności lub podobnych postępowań;
• iv. toczących się postępowań w sprawach karnych;
• v. wszelkich dochodzeń w sprawach cywilnych lub administracyjnych, postępowań wykonawczych, sankcji lub innych tytułów wykonawczych przeciwko osobie dotyczących spraw, które mogą zostać uznane za mające znaczenie dla udzielenia zezwolenia na rozpoczęcie działalności instytucji pieniądza elektronicznego lub dla należytego i ostrożnego zarządzania instytucją pieniądza elektronicznego;
• vi. jeśli dokument taki może zostać uzyskany, urzędowego zaświadczenia potwierdzającego, czy nastąpiły którekolwiek ze zdarzeń określonych w ppkt. (I) - (v) w odniesieniu do określonej osoby lub inny równoważny dokument;
• vii. odmowy rejestracji, udzielenia zezwolenia, nadania członkostwa lub udzielenia licencji w zakresie prowadzenia działalności handlowej, gospodarczej lub zawodowej;
• viii. cofnięcia, unieważnienia lub wygaśnięcia rejestracji, zezwolenia, członkostwa lub licencji w zakresie prowadzenia działalności handlowej, gospodarczej lub zawodowej;
• ix. wykluczenia przez organ lub podmiot sektora publicznego działającego w sektorze usług finansowych z danego zrzeszenia, instytucji lub innej organizacji bądź też wykluczenia przez organ zawodowy lub stowarzyszenie zawodowe ze stosownych organizacji zawodowych;
• x. zajmowania odpowiedzialnego stanowiska w podmiocie, który podlega skazaniu lub postępowaniu w sprawie karnej, dochodzeniu administracyjnemu, sankcjom lub innym tytułom wykonawczym w związku z nieodpowiednim zachowaniem, w tym w zakresie oszustwa, nieuczciwości, korupcji, prania pieniędzy, finansowania terroryzmu lub innych przestępstw bądź nie wprowadzenia odpowiedniej polityki i procedur mających na celu uniknięcie takich zdarzeń, zajmowanego w momencie nastąpienia rzekomego zachowania, wraz ze szczegółami dotyczącymi nastąpienia takich zdarzeń i związkiem z nimi osoby, jeśli dotyczy;
• xi. zwolnienia z pracy lub zakończenia sprawowania funkcji osoby zaufania publicznego lub podobnej sytuacji albo żądania rezygnacji z pracy na takim stanowisku, wyłączając redukcję etatów;
• d) wykaz przedsiębiorstw, którymi ta osoba kieruje lub które kontroluje, a o których wnioskodawca posiada wiedzę w wyniku dokonania należytego i dokładnego sprawdzenia; udział procentowy w bezpośredniej lub pośredniej kontroli nad tymi spółkami; ich status (czy funkcjonują czy zostały rozwiązane, itd.); oraz opis postępowania upadłościowego lub innego;
• e) jeśli ocena reputacji danej osoby została już dokonana przez właściwy organ sektora usług finansowych, określenie tego organu oraz wynik dokonanej oceny;
• f) aktualną sytuację finansową danej osoby, w tym szczegóły dotyczące źródeł przychodów, aktywów i pasywów, zabezpieczeń i gwarancji, zarówno udzielonych, jak i uzyskanych;
• g) opis powiązań z osobami zajmującymi eksponowane stanowiska polityczne, określonymi w art. 3 ust. 9 dyrektywy (UE) 2015/849⁴ .

15.3 Jeśli osoba prawna lub inny podmiot, które posiadają lub, w przypadku udzielania zezwolenia, będą posiadały znaczne pakiety akcji/udziałów w kapitale wnioskodawcy (w tym podmioty, które nie są osobami prawnymi i które posiadają lub powinny posiadać udział w swoim własnym imieniu), wnioskodawca powinien zamieścić następujące informacje dotyczące tożsamości i kompetencji takiej osoby prawnej lub podmiotu prawnego:

• a) nazwę;
• b) jeśli osoba prawna lub podmiot prawny są zarejestrowane w centralnym rejestrze, rejestrze handlowym, rejestrze spółek lub podobnym rejestrze posiadającym taki sam cel jak wyżej wymienione, kopię dokumentu potwierdzającego ich dobrą kondycję finansowa, jeśli to możliwe, a w przeciwnym razie, świadectwo zarejestrowania;
• c) adres siedziby statutowej i, jeśli inna, siedziby zarządu, oraz główne miejsce wykonywania działalności;
• d) dane do kontaktu;
• e) dokumenty spółki lub, jeśli osoba prawna lub inny podmiot są zarejestrowane w innym państwie członkowskim, krótkie wyjaśnienie głównej specyfiki prawnej formy prawnej lub podmiotu prawnego;
• f) czy osoba prawa lub podmiot prawny kiedykolwiek były lub są regulowane przez właściwy organ sektora usług finansowych lub inny organ rządowy;
• g) urzędowe zaświadczenie lub inny równoważny dokument potwierdzający informacje określone w ppkt. (a) do (e) wydany przez określony właściwy organ, jeśli dokumenty takie można uzyskać;
• h) informacje, o których mowa w wytycznej nr 15 pkt. 2 ppkt. (c) - (g) w odniesieniu do osoby prawnej lub podmiotu prawnego;
• i) wykaz zawierający dane każdej osoby, która faktycznie kieruje działalnością osoby

adres, krajowy numer ewidencyjny, jeśli dotyczy, oraz szczegółowy życiorys (określający wykształcenie, dotychczasowe doświadczenie zawodowe oraz działalność zawodową lub inne istotne aktualnie wykonywane funkcje), wraz z informacjami, o których mowa w wytycznej nr 15 pkt. 2 ppkt. (c) i (d) w odniesieniu do każdej takiej osoby.

• j) strukturę akcjonariatu lub udziałowców osoby prawnej, w tym co najmniej jej imię i nazwisko, datę i miejsce urodzenia, adres i, jeśli dostępny, osobisty numer ewidencyjny lub rejestracyjny , oraz udział w kapitale i prawach głosu bezpośrednich lub pośrednich akcjonariuszy/udziałowców lub członków i beneficjentów rzeczywistych określonych w art. 3 ust. 6 dyrektywy (UE) 2015/849;
• k) opis grupy finansowej (podmiotów), której zakres działalności podlega regulacji/reglamentacji przez stosowne organy, której wnioskodawca jest lub może zostać częścią, ze wskazaniem jednostki dominującej oraz podmiotów kredytowych, ubezpieczeniowych i poręczających w grupie; nazwę ich właściwych organów (w ujęciu jednostkowym i skonsolidowanym); oraz
• l) roczne sprawozdania finansowe na poziomie jednostkowym oraz, jeśli dotyczy, na poziomie skonsolidowanym i subskonsolidowanym grupy za ostatnie trzy lata obrotowe, jeśli osoba prawna lub podmiot prawny funkcjonowały w takim okresie (lub, jeśli krócej niż trzy lata, okres, w którym osoba prawna lub podmiot prawny funkcjonowały i za który sporządzone zostały sprawozdania finansowe), zatwierdzone przez biegłego rewidenta lub firmę audytorską w rozumieniu dyrektywy 2006/43/WE⁵ , jeśli dotyczy, zawierające wszystkie następujące elementy:
• i. bilans;
• ii. rachunek zysków i strat lub zestawienie dochodów;
• iii. roczne raporty i załączniki finansowe oraz pozostałe dokumenty wpisane do odpowiedniego rejestru lub zarejestrowane przez odpowiedni organ osoby prawnej;
• m) jeśli osoba prawna nie funkcjonowała przez wystarczający okres czasu wymagany do sporządzenia sprawozdań finansowych za okres trzech lat obrotowych bezpośrednio przed dniem złożenia wniosku, we wniosku przedstawione zostaną istniejące sprawozdania finansowe (jeśli dotyczy);
• n) jeśli osoba prawna lub inny podmiot prawny posiadają siedzibę zarządu w kraju trzecim, ogólne informacje dotyczące systemu regulacyjnego kraju trzeciego obowiązującego w stosunku do osoby prawnej lub podmiotu prawnego, w tym informacje dotyczące zakresu, w jakim system przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu kraju trzeciego jest zgodny z Zaleceniami Grupy Specjalnej ds. Przeciwdziałania Praniu Pieniędzy;
• o) w przypadku podmiotów, które nie posiadają osobowości prawnej, takich jak przedsiębiorstwo zbiorowego inwestowania czy państwowy fundusz majątkowy, wnioskodawca przedstawi następujące informacje:
• i. tożsamość osób, które zarządzają aktywami oraz osób, które są beneficjentami lub subskrybentami, określenie posiadaczy jednostek kontrolujących przedsiębiorstwo zbiorowego inwestowania lub posiadających pakiet akcji pozwalający im na uniemożliwienie podjęcia decyzji przez przedsiębiorstwo zbiorowego inwestowania;
• ii. kopię dokumentu ustanawiającego podmiot i regulującego funkcjonowanie podmiotu, w tym zasady polityki inwestycyjnej oraz ograniczenia inwestycyjne obowiązujące w stosunku do podmiotu.

15.4 Wnioskodawca przedstawi wszystkie poniższe informacje o każdej osobie fizycznej lub prawnej bądź podmiocie, którzy posiadają lub, w przypadku udzielenia zezwolenia, będą posiadały znaczne pakiety akcji w kapitale wnioskodawcy:

• a) szczegóły dotyczące finansowych lub handlowych powodów posiadania przez osobę lub podmiot tego pakietu akcji/udziałów oraz strategię osoby lub podmiotu dotyczącą pakietu akcji, w tym okresu, przez który osoba lub podmiot zamierzają posiadać pakiet akcji/udziałów oraz zamiaru zwiększenia, zmniejszenia lub utrzymania poziomu pakietu w przewidywalnej przyszłości;
• b) szczegóły dotyczące zamiarów osoby lub podmiotu w odniesieniu do wnioskodawcy oraz wpływu, który osoba lub podmiot zamierzają wywrzeć na wnioskodawcę, w tym w odniesieniu do polityki w zakresie dywidend, strategicznego rozwoju oraz przydziału środków wnioskodawcy, czy zmierza działać jako aktywny akcjonariusz mniejszościowy, oraz uzasadnienie takich zamiarów;
• c) informacje na temat gotowości osoby lub podmiotu do wsparcia wnioskodawcy dodatkowymi funduszami własnymi, jeśli będą niezbędne dla rozwoju działalności lub w przypadku trudności finansowych.
• d) treść planowanych umów akcjonariuszy/udziałowców z innymi akcjonariuszami/udziałowcami dotyczących wnioskodawcy;
• e) analizę w odniesieniu do tego, czy znaczny pakiet akcji będzie miał jakikolwiek wpływ, w tym w wyniku bliskich powiązań osoby w wnioskodawcą, na zdolność wnioskodawcy do terminowego przekazywania dokładnych informacji właściwym organom;
• f) tożsamość każdego członka organu zarządzającego lub kadry kierowniczej wyższego szczebla, którzy będą kierować działalnością wnioskodawcy oraz zostali wyznaczeni przez takich akcjonariuszy/udziałowców lub w wyniku ich przedstawienia jako kandydatów przez akcjonariuszy/udziałowców, wraz z informacjami określonym w wytycznej 16 poniżej, które nie zostały jeszcze podane.

finansowania udziału każdej osoby lub każdego podmiotu posiadających znaczny pakiet akcji/udziałów w kapitale wnioskodawcy, które powinno zawierać:

• a) szczegóły dotyczące wykorzystania prywatnych środków finansowych, w tym ich

środków) ich źródła;

• b) szczegółowe informacje dotyczące dostępu do rynków finansowych, w tym szczegółowe informacje na temat instrumentów finansowych, które mają zostać wyemitowane;
• c) informacje o wykorzystaniu pożyczonych środków finansowych, w tym nazwy pożyczkodawców i szczegóły pożyczki, takie jak terminy płatności, okresy obowiązywania, zabezpieczenia i gwarancje, jak również informacje dotyczące źródła przychodu, który zostanie użyty do spłaty takich pożyczek; jeśli pożyczkodawca nie jest instytucją kredytową lub finansową upoważnioną do udzielania kredytów, wnioskodawca powinien przekazać właściwym organom informacje o pochodzeniu pożyczonych środków pieniężnych;

akcjonariuszami/udziałowcami lub członkami wnioskodawcy.

Wytyczna nr 16: Tożsamość i ocena kompetencji dyrektorów i osób odpowiedzialnych za zarządzanie instytucją pienią dza elektronicznego

16.1 W celu określenia tożsamości i oceny kompetencji dyrektorów i osób odpowiedzialnych za zarządzanie instytucją pieniądza elektronicznego, wnioskodawca powinien przedstawić następujące informacje:

• a) Dane osobowe w tym:
• i. ich imię i nazwisko, płeć, miejsce i datę urodzenia, adres i narodowość oraz osobisty numer ewidencyjny lub kopię dowodu osobistego bądź jego odpowiednika.
• ii. szczegóły dotyczące stanowiska, w związku z którym dokonywana jest ocena, czy stanowisko w organie zarządzającym jest kierownicze czy niekierownicze. Powinny one również zawierać:

• b) jeśli dotyczy, informacje na temat oceny kompetencji przeprowadzonej przez wnioskodawcę, które powinny zawierać szczegóły dotyczące wyniku oceny kompetencji osoby fizycznej przeprowadzonej przez wnioskodawcę, takie jak stosowny protokół zarządu lub raporty dotyczące oceny kompetencji bądź inne dokumenty;
• c) dowody potwierdzające wiedzę, umiejętności i doświadczenie, które powinny obejmować życiorys zawierający szczegóły dotyczące wykształcenia i doświadczenia zawodowego, w tym kwalifikacji akademickich, innych stosownych szkoleń, nazwy i charakteru wszystkich organizacji, dla których osoba fizyczna pracuje lub pracowała, oraz charakteru wykonywanych funkcji i okresu czasu ich wykonywania, ze szczególnym naciskiem na działania w zakresie przedmiotowego stanowiska;
• d) dowody potwierdzające reputację, uczciwość i prawość, które powinny zawierać:
• i. odpisy z rejestru karnego i stosowne informacje dotyczące dochodzeń i postępowań w sprawach karnych, stosownych spraw cywilnych i administracyjnych oraz postępowań dyscyplinarnych, w tym zakazu pełnienia funkcji dyrektora spółki, upadłości, niewypłacalności i podobnych postępowań, w szczególności za pomocą zaświadczeń urzędowych lub obiektywnie wiarygodnych źródeł informacji dotyczących braku skazania i prowadzenia dochodzeń i postępowań w sprawach karnych, takich jak dochodzenia prowadzone przez osoby trzecie, zeznania złożone przez prawnika lub notariusza w Unii Europejskiej.
• ii. oświadczenie potwierdzające, czy prowadzone jest postępowanie w sprawie karnej lub czy osoba bądź organizacja przez nią kierowana uczestniczyła jako dłużnik w postępowaniu upadłościowym lub porównywalnym;
• iii. informacje dotyczące następującego:

Wytyczna nr 17: Tożsamość biegłych rewidentó w i firm audytor skich

Tożsamość biegłych rewidentów i firm audytorskich określona w dyrektywie 2006/43/WE, podana przez wnioskodawcę, jeśli dotyczy, powinna zawierać imiona, nazwiska, adresy i dane kontaktowe rewidentów.

Wytyczna nr 18: Ubezpieczenie odpowiedzialności cywilnej z tytułu prowadzenia działalności zawodowej lub porównywalna gwarancja w zakresie usług inicjowania płatności i usług dostępu do informacji o rachunku

Jako dowód posiadania ubezpieczenia odpowiedzialności cywilnej z tytułu prowadzenia działalności zawodowej lub porównywalnej gwarancji, które są zgodne z wytycznymi EUNB dotyczącymi kryteriów określania wysokości minimalnej kwoty pieniężnej ubezpieczenia z tytułu prowadzenia działalności zawodowej lub innej porównywalnej gwarancji (EBA/GL/2017/08) i art. 5 ust. 2 i 3 dyrektywy PSD2, wnioskodawca w przypadku ubiegania się udzielenie zezwolenia na działalność w charakterze instytucji pieniądza elektronicznego, który oprócz usług w zakresie pieniądza elektronicznego zamierza świadczyć usługi PIS i AIS, powinien przedstawić następujące informacje:

• a) umowę ubezpieczenia lub inny równoważny dokument potwierdzający istnienie ubezpieczenia odpowiedzialności cywilnej z tytułu prowadzenia działalności zawodowej lub porównywalnej gwarancji na sumę ubezpieczenia zgodną z wymienionymi wytycznymi EUNB, ze wskazaniem pokrycia stosownych zobowiązań;
• b) dokumentację potwierdzającą sposób wyliczenia przez wnioskodawcę minimalnej kwoty

obowiązujące elementy wzoru określonego w niniejszych wytycznych.

⁴ Dyrektywa (UE) 2015/849 Parlamentu Europejskiego i Rady z dnia 20 maja 2015 r. w sprawie przeciwdziałania korzystaniu z systemu finansowego w celu prania pieniędzy oraz finansowania terroryzmu (Dz.U. L 141 z 5.06.2015, str. 73).

⁵ Dyrektywa 2006/43/WE Parlamentu Europejskiego i Rady z dnia 17 maja 2006 r. w sprawie ustawowych badań rocznych sprawozdań finansowych i skonsolidowanych sprawozdań finansowych, zmieniająca dyrektywy Rady 78/660/EWG i 83/349/EWG oraz uchylająca dyrektywę Rady 84/253/EWG (Dz.U. L 157 z 9.6.2006, s. 87 - 107).

Wytyczna nr 1: Ocena kompletności wniosku

1.1. Wniosek powinien zostać uznany za kompletny dla celu art. 12 dyrektywy (UE) 2015/2366, jeśli zawiera wszystkie informacje wymagane przez właściwe organy do rozpatrzenia wniosku zgodnie z niniejszymi wytycznymi oraz z art. 5 dyrektywy (UE) 2015/2366.

1.2. Jeśli przekazane we wniosku informacje zostaną uznane za niekompletne, właściwy organ powinien wysłać wnioskodawcy w formie papierowej lub elektronicznej prośbę ze wskazaniem w sposób czytelny, których informacji brakuje, oraz powinien umożliwić wnioskodawcy dostarczenie brakujących informacji.

1.3. Jeśli wniosek zostanie uznany za kompletny, właściwy organ powinien poinformować wnioskodawcę o tym fakcie oraz o dacie otrzymania kompletnego wniosku lub ewentualnie dacie otrzymania informacji uzupełniających wniosek.

1.4. W każdym przypadku właściwy organ może żądać od wnioskodawcy wyjaśnienia informacji w celu rozpatrzenia wniosku.

1.5. Jeśli wniosek zawiera informacje lub sporządzony został w oparciu o informacje posiadane przez właściwe organy, które nie są już prawdziwe, dokładne lub kompletne, właściwe organy powinny niezwłocznie otrzymać aktualizację wniosku. Aktualizacja powinna określać powyższe informacje, ich umiejscowienie w oryginalnym wniosku, powód dla którego informacje te nie są już prawdziwe, dokładne lub kompletne, informacje aktualne oraz potwierdzenie, że pozostałe informacje we wniosku pozostają prawdziwe, dokładne i kompletne.

Guideline 1: Assessment of the completeness of the application

1.1. An application should be deemed to be complete for the purpose of Article 12 of Directive (EU) 2015/2366 if it contains all the information needed by the competent authorities in order to assess the application in accordance with these guidelines and with Article 5 of Directive (EU) 2015/2366.

1.2. Where the information provided in the application is assessed to be incomplete, the competent authority should send, in paper format or by electronic means, a request to the applicant, indicating in a clear way what information is missing, and should provide to the applicant the opportunity to submit the missing information.

1.3. Upon an application being assessed as complete, the competent authority should inform the applicant of that fact, together with the date of receipt of the complete application or, as the case may be, the date of receipt of the information that completed the application.

1.4. In any case, the competent authority may require the applicant to provide clarification on the information for the purposes of assessing the application.

1.5. Where an application contains information, or relies on information held by the competent authorities, which is no longer true, accurate or complete, an update to the application should be provided to the competent authorities without delay. The update should identify the information concerned, its location within the original application, the reason for the information no longer being true, accurate or complete, the updated information and confirmation that the rest of the information in the application remains true, accurate and complete.