4.2 Orientări privind informațiile cerute persoanelor care solicită înregistrarea în vederea prestării doar a serviciului prevăzut la punctul 8 din anexa I la Directiva (UE) 2015/2366 (servicii de informare cu privire la conturi)

Orientarea 1: Principii generale

1.1 Prezentul set de orientări se aplică persoanelor care solicită înregistrare a în calitate de prestatori de servicii de informare cu privire la conturi (PSIC). Acesta se referă la persoanele care intenționează să presteze doar servicii de informare cu privire la conturi (SIC). În cazul în care persoana intenționează să presteze servicii suplimentare la serviciile de informare cu privire la conturi, ace a sta trebuie să depună o cerere pentru autorizare și să consulte secțiunea 4.1 din ghid referitoare la instituții de plată.

1.2 Informațiile furnizate de către solicitanți trebuie să fie adevărate, complete, precise și de actualitate. Toți solicitanții trebuie să respecte toate dispozițiile din setul de orientări care se aplică în cazul acestora. Nivelul de detaliu necesar pentru asigurarea conformității trebuie să fie proporțional cu dimensiunea și organizarea internă a solicitantului, precum și cu natura, scopul, complexitatea și riscurile aferente serviciului (serviciilor) respectiv(e) pe care solicitantul intenționează să îl/le presteze. În orice caz, în conformitate cu Directiva (UE) 2015/2366, directorii și persoanele responsabile cu administrarea instituției de plată au o bună reputație și dețin cunoștințe și experiență corespunzătoare pentru a presta servicii de plată, indiferent de dimensiunea instituției, de organizarea internă și de natura, scopul și complexitatea activităților sale, precum și de sarcinile și responsabilitățile poziției respective.

1.3 Atunci când transmite informațiile cerute, solicitantul trebuie să evite să facă trimitere la anumite secțiuni din procedurile/documentele interne. În schimb, solicitantul trebuie să extragă secțiunile relevante și să le pună la dispoziția autorității competente.

1.4 În cazul în care autoritățile competente solicită clarificări cu privire la informațiile care i- au fost transmise, solicitantul trebuie să prezinte astfel de clarificări fără întârziere.

1.5 Toate datele solicitate în cadrul prezentului ghid pentru înregistrare în calitate de prestatori de servicii de informare cu privire la conturi (PSIC) sunt necesare pentru examinarea cererii și vor fi tratate de către autoritatea competentă în conformitate cu obligațiile privind secretul profesional prevăzute în DSP 2, fără a aduce atingere dreptului Uniunii și cerințelor și procedurilor naționale cu privire la exercitarea dreptului de a avea acces la, a rectifica, a anula sau a contesta date.

Orientarea 2: Detalii de identificare

2.1 Dacă solicitantul este persoană fizică, detaliile de identificare care trebuie prezentate de către solicitant trebuie să conțină următoarele informații:

• a) numele, adresa, naționalitatea , data și locul nașterii;
• b) o copie a cărții de identitate sau un act de identificare echivalent;
• c) un curriculum vitae actualizat;
• d) un cazier judiciar eliberat de cel mult trei luni;
• e) numele persoanei (persoanelor) responsabile cu gestionarea dosarului solicitantului și a procedur ii de autorizare, precum și detaliile sale/lor de contact.

2.2 Dacă solicitantul este persoană juridică, detaliile de identificare care trebuie prezentate de către solicitant trebuie să conțină următoarele informații:

• a) denumirea societății și, dacă este diferită, marca;
• b) precizarea dacă solicitantul este deja constituit sau se află în curs de constituire;
• c) numărul național de identificare a solicitantului, dacă este cazul;
• d) statutul juridic și statutul și/sau actele constitutive sau proiectele acestora care să ateste statutul juridic al solicitantului;
• e) adresa sediului real și a sediului social al solicitantului;
• f) adresa electronică și p agina de internet a solicitantului, dacă există;
• g) numele persoanei (persoanelor) responsabile cu gestionarea dosarului solicitantului și a procedur ii de autorizare, precum și detaliile sale/lor de contact;
• h) precizarea dacă solicitantul a fost vreodată sau este în prezent reglementat de către o autoritate competentă din sectorul serviciilor financiare;
• i) certificatul de înregistrare sau, dacă este cazul, certificatul negativ de înregistrare într - un registru comercial care să ateste faptul că denumirea solicitată de către societate este disponibilă;
• j) dovada plății oricăror taxe sau a constituirii de depozite pentru depunerea unei cereri de înregistrare în calitate de prestator de servicii de informare cu privire la conturi, dacă este prevăzut astfel în legislația națională.

Orientarea 3: Programul de operațiuni

3.1. Programul de operațiuni care trebuie prezentat de către solicitant trebuie să conțină următoarele informații:

• a) o descriere a serviciului de informare cu privire la conturi prevăzut a fi prestat, inclusiv o

informare cu privire la conturi, astfel cum este prevăzută la articolul 4 alineatul (16) din Directiva (UE) 2015/2366 (DSP 2);

• b) o declarație din partea solicitantului conform căreia acesta nu va intra sub nicio formă în posesi a fondurilor;
• c) o descriere a prestării serviciului de informare cu privire la conturi, inclusiv:
• i. proiecte de contracte între toate părțile implicate, dacă este cazul;
• ii. termenii și condițiile aferente prestării de servicii de informare cu privire la conturi;
• iii. timpii de executare a plăților;
• d) numărul estimat de sedii diferite din care solicitantul intenționează să presteze serviciile, dacă este cazul;
• e) o descriere a oricăror servicii auxiliare serviciului de informare cu privire la conturi, dacă este cazul;
• f) o declarație din partea solicitantului cu privire la intenția acestuia de a presta servicii de informare cu privire la conturi într - un alt stat membru al UE sau într - o altă țară după înregistrare;
• g) precizarea dacă solicitantul intenționează, în următorii trei ani, să desfășoare sau desfășoară deja alte activități comerciale decât servicii de informare cu privire la conturi prevăzute la articolul 18 din Directiva (UE) 2015/2366, inclusiv o descriere a tipului și o estimare a volumului de activități;
• h) informațiile prevăzute în ghidul ABE privind criteriile de stabilire a valorii monetare minime a asigurării de răspundere civilă profesională sau a altei garanții comparabile, în conformitate cu articolul 5 alineatul (4) din Directiva (UE) 2015/2366 (ABE/GL/2017/08) în cazul în care solicitantul intenționează să presteze doar serviciul prevăzut la punctul 8 (SIC).

Orientarea 4: Planul de afaceri

4.1. Planul de afaceri care trebuie prezentat de către solicitant trebuie să conțină:

• a) un plan de marketing care să cuprindă:
• i. o analiză a poziției competitive a societății;
• ii. o descriere a utilizatorilor serviciilor de informare cu privire la conturi pe segmentul de piață relevant privind informarea cu privire la conturi, a materialelor comerciale și a canalelor de distribuție;
• b) situațiile financiare anuale vizate pe ultimii trei ani, dacă există, sau o sinteză a situației financiare în cazul acelor solicitanți care nu au întocmit încă situații financiare anuale;
• c) o estimare a situațiilor societății financiare pentru primele trei exerciții financiare, care să demonstreze că solicitantul are capacitatea de a utiliza sisteme, resurse și proceduri

prudență. Aceasta trebuie să includă:

• i. o estimare a contului de profit și pierdere și a bilanțului , inclusiv scenarii de bază și scenarii de stres, precum și ipotezele care stau la baza acestora, precum numărul de clienți, politica de stabilire a prețurilor și creșterea preconizată a pragului de rentabilitate;
• ii. explicații privind principalele elemente de venituri și cheltuieli, datorii financiare și active imobilizate;
• iii. o diagramă și o situație detaliată defalcată a fluxurilor de trezorerie estimate pentru următorii trei ani.

Orientarea 5: Structura organiza torică

5.1. Dacă solicitantul este persoană fizică, descrierea structurii organizatorice a întreprinderii sale trebuie să conțină următoarele informații:

• a) o estimare a numărului total de angajați pe următorii trei ani;
• b) o descriere a acordurilor de externalizare a funcțiilor operaționale relevante, care să cuprindă:
• i. identitatea și locația geografică a prestatorului de servicii externalizate;
• ii. identitatea persoanelor din cadrul PSIC care sunt responsabile pentru fiecare dintre activitățile externalizate;
• iii. o descriere detaliată a activităților externalizate și a principalelor caracteristici ale acestora;
• c) o copie a proiectelor de acorduri de externalizare;
• d) o descriere a sucursalelor și agenților utilizați, dacă este cazul, incluzând:
• i. o prezentare a controalelor ex situ și in situ pe care solicitantul intenționează să le efectueze la sucursale și agenți;
• ii. sistemele informatice, procesele și infrastructura utilizate de către agenții solicitantului pentru a desfășura activități în numele acestuia din urmă;
• iii. în cazul agenților, politica de selecție, procedurile de monitorizare, formarea agenților și, dacă există, proiectul termenilor de angajare;
• e) o listă a tuturor persoanelor fizice sau juridice care se află în legătură strânsă cu persoana care solicită înregistrarea în calitate de prestator de servicii de informare cu privire la conturi, cu precizarea identității și a naturii legăturilor respective.

5.2. Dacă solicitantul este persoană juridică, descrierea structurii organizatorice a întreprinderii sale trebuie să conțină următoarele informații:

• a) o organigramă detaliată, care să prezinte fiecare divizie, departament sau compartiment , inclusiv numele persoanei (persoanelor) responsabile, în special al celor care ocupă funcții de control intern; organigrama trebuie să fie însoțită de o descriere a funcțiilor și r esponsabilităților aferente fiecărei divizii, fiecărui departament sau fiecărui departament;
• b) o estimare a numărului total de angajați pe următorii trei ani;
• c) o descriere a acordurilor de externalizare a funcțiilor operaționale relevante, care să cuprindă:
• i. i dentitatea și locația geografică a prestatorului de servicii externalizate;
• ii. identitățile persoanelor din cadrul PSIC care sunt responsabile pentru fiecare dintre activitățile externalizate;
• iii. o descriere detaliată a activităților externalizate și a principalelor caracteristici ale acestora;
• d) o copie a proiectelor de acorduri de externalizare;
• e) o descriere a sucursalelor și agenților utilizați, dacă este cazul, incluzând:
• i. o prezentare a controalelor ex situ și in situ pe care solicitantul intenționează să le efectueze la sucursale și agenți;
• ii. sistemele informatice, procesele și infrastructurile utilizate de către agenții solicitantului pentru a desfășura activități în numele acestuia din urmă;
• iii. în cazul agenților, politica de selecție, procedurile de monitorizare, formarea agenților și, dacă există, proiectul termenilor de angajare;
• f) o listă a tuturor persoanelor fizice sau juridice care se află în legătură strânsă cu solicitantul, cu precizarea identităților și a naturii legăturilor respective.

Orientarea 6: Măsuri privind cadrul de administrare și mecanisme le de control intern

6.1. Solicitantul trebuie să prezinte o descriere a măsurilor privind cadrul de administrare ș i a mecanismelor de control intern, care să cuprindă:

• a) o corespondență a riscurilor identificate de către solicitant, inclusiv a tipului de riscuri cu procedurile pe care solicitantul le va institui pentru evaluarea și prevenirea unor astfel de riscuri;
• b) diferitele proceduri prevăzute pentru efectuarea de controale periodice și permanente, inclusiv frecvenț a ș i resursele umane alocate;
• c) procedurile contabile prin care solicitantul va înregistra și raporta informațiile sale financiare;
• d) identitatea persoanei (persoanelor) responsabile pentru funcțiile de control intern, inclusiv pentru controlul periodic, permanent și de conformitate, precum și un CV actualizat;
• e) identitatea oricărui auditor care nu este auditor statutar în conformitate cu Directiva 2006/43/CE;
• f) componența organului de conducere și, dacă este cazul, a oricărui alt organ sau comitet de supraveghere;
• g) o descriere a modalității de monitorizare și controlare a funcțiilor externalizate pentru a se evita deteriorarea calității procedurilor interne de control ale solicitantului;
• h) o descriere a modalității de monitorizare și controlare a oricăror agenți și sucursale în cadrul procedurilor interne de control ale solicitantului;
• i) în cazul în care solicitantul este sucursala unei entități reglementate într - un alt stat membru al UE, o descriere a cadrului de administrare la nivel de grup.

Orientarea 7: Procedura de monitorizare, soluționare și urmărire a incidentelor de securitate și a plângerilor legate de securitate din partea clienților

7.1. Solicitantul trebuie să prezinte o descriere a procedurii instituite pentru monitorizarea, soluționarea și urmărirea incidentelor de securitate și a plângerilor legate de securitate din partea clienților, care va fi asigurată de către solicitant și care trebuie să conțină:

• a) măsuri organizatorice și instrumente pentru prevenirea fraudelor;
• b) detalii despre persoanele și organele responsabile pentru acordarea de asistență clienților în caz de fraudă, probleme tehnice și/sau gestionarea creanțelor;
• c) liniile de raportare în caz de fraudă;
• d) punctul de contact pentru clienți, inclusiv un nume și o adresă de e - mail;
• e) procedurile de raportare a incidentelor, inclusiv de comunicare a acestor rapoarte organelor interne și externe și de notificare a incidentelor majore către autoritățile competente naționale , în temeiul articolului 96 din DSP 2 și în conformitate cu ghidul ABE privind raportarea incidentelor prevăzut la articolul menționat.
• f) instrumentele de monitorizare utilizate, precum și măsurile și procedurile de urmărire instituite pentru reducerea riscurilor de securitate.

Or ientarea 8: Procesul existent de evidență, monitorizare, urmărire și restricționare a accesului la date sensibile privind plățile

8.1. Solicitantul trebuie să prezinte o descriere a procesului existent de evidență, monitorizare, urmărire și restricționare a accesului la date sensibile privind plățile, care să cuprindă:

• a) o descriere a fluxului de date clasificate drept date sensibile privind plățile în contextul modelului de afaceri al PSIC;
• b) procedurile instituite pentru autorizarea accesului la date sensibile privind plățile;
• c) o descriere a instrumentului de monitorizare;
• d) politica privind dreptul de acces, cu detalierea accesului la toate componentele și sistemele relevante ale infrastructurii, inclusiv baze de date și infrastructuri de rezervă;
• e) o descriere a modului în care se ține evidența datelor colectate;
• f) scopul prevăzut pentru utilizarea datelor colectate la nivel intern și/sau extern, inclusiv de către contrapărți;
• g) măsurile de securitate a sistemului informatic și măsurile de securitate tehnică implementate, inclusiv criptarea și/sau autentificarea electronică prin intermediul dispozitivelor;
• h) identificarea persoanei/persoanelor, organelor și/sau a comitetului/comitetelor care au acces la date sensibile privind plățile;
• i) o explicare a modului de constatare și soluționare a încălcărilor;
• j) un program de control intern anual cu privire la siguranța sistemelor informatice.

Orientarea 9: Aranjamente de asigurare a continuității activității

9.1. Solicitantul trebuie să prezinte o descriere a aranjamentelor de asigurare a continuității activității care să cuprindă următoarele informații:

• a) o analiză a impactului asupra activității, inclusiv procesele economice și obiectivele de

punctele de recuperare și activele protejate;

• b) identificarea sediului secundar, a accesului la infrastructura informatică și a programelor software principale, precum și a datelor importante care trebuie recuperate în caz de dezastru sau de întrerupere;

semnificative ale activității, precum defectarea sistemelor principale , pierderea datelor principale , inaccesibilitatea spațiilor și pierderea personalului - cheie;

• d) frecvența cu care solicitantul intenționează să testeze planurile de continuitate a

rezultatele testelor.

Orientarea 10: Documentul privind politica de securitate

10.1. Solicitantul trebuie să prezinte un document privind politica de securitate care să conțină următoarele informații:

• a) o analiză detaliată a riscurilor privind serviciile de plată pe care solicitantul intenționează să le presteze, care trebuie să includă riscul de fraudă și măsurile de securitate și de atenuare a riscurilor , în scopul protejării adecvate a utilizatorilor serviciilor de plată împotriva riscurilor identificate;
• b) o descriere a sistemelor informatice, care trebuie să includă:
• i. arhitectura sistemelor și a rețelelor acestora;
• ii. sistemele informatice care asigură funcționarea activităților furnizate, precum pagina de internet a solicitantului, platforma de administrare a riscurilor și fraudelor și păstrarea evidenței contabile a clienților;
• iii. sistemul informatic utilizat pentru organizarea și administrarea activităților PSIC, precum sistemul de contabilitate, sistemele de raportare, gestionarea personalului, gestionarea relației cu clienții, serverele de corespondență electronică și serverele de evidență internă;
• iv. informați i privind utilizarea de către solicitant sau grupul din care acesta face parte a sistemel or respective, înainte de momentul înregistrării, sau data estimată pentru începerea activității acestora;
• c) tipul relațiilor contractuale cu terțe părți, precum cele cu partenerii, prestatorii de servicii, entități din cadrul grupului și angajați care lucrează la distanță, inclusiv justificarea unor astfel de relații;
• d) pentru fiecare dintre relațiile contractuale enumerate la punctul (c), măsurile și mecanismele de securitate logice instituite, cu precizarea metodelor de control ale instituției de plată în legătură cu accesul la sistemele sale, cum ar fi frecvenț a și tipul fiecărui control, cum ar fi controlul tehnic față de cel organizațional; controlul preventiv față de cel de detectare; monitorizarea în timp real față de verificările periodice , de exemplu existența unei structuri de conducere din afara grupului, deschiderea/închiderea liniilor de comunicație, configurarea echipamentelor de securitate, generarea de chei sau certificate de autentificare a clienților, monitorizarea sistemelor, autentificare a , confidențialitatea comunicărilor, identificarea accesărilor neautorizate, sisteme antivirus și păstrarea de registre;
• e) măsurile și mecanismele de securitate care guvernează accesul intern la sistemele informatice și care trebuie să includă:
• i. măsurile de natură tehnică și organizațională și frecvența acestora, cum ar fi precizarea dacă aceasta este preventivă sau de identificare și dacă este desfășurată în timp real sau nu;
• ii. cum este administrată activitatea clientului în cazul în care resursele informatice ale solicitantului sunt utilizate în comun;

solicitantului, precum măsurile de control al accesului și securitatea mediului informatic;

• g) securitatea proceselor de plată, care trebuie să includă:
• i. procedura de autentificare a clientului utilizată atât pentru accesul la informare cât ș i pentru tranzacționare;
• ii. o explica r e a modului în care se asigură livrarea în condiții de siguranță către utilizatorul legitim al serviciului de plată și integritatea factorilor de autentificare, precum dispozitivele de autentificare electronică de tip hardware și aplicațiile de tip mobile la momentul înregistrării inițiale și al reînnoirii;
• iii. o descriere a sistemelor și procedurilor pe care le aplică solicitantul pentru analiza tranzacțiilor și identificarea tranzacțiilor suspecte sau neobișnuite;
• h) o analiză detaliată a riscurilor asociate serviciilor sale de plată, inclusiv a fraudelor, cu referire la măsurile de control și de atenuare a riscurilor detaliate în dosarul cererii, demonstrându - se abordarea riscurilor;
• i) o listă a principalelor proceduri scrise în legătură cu sistemele informatice ale solicitantului sau a procedurilor care nu au fost încă formalizate, cu indicarea datei estimative de finalizare a acestora.

Orientarea 11: Identitatea și evaluarea adecvării directorilor și a persoanelor responsabile pentru gestionarea prestatorului de servicii cu privir e la conturi

11.1. În scopul stabilirii identității și al evaluării adecvării directorilor și a persoanelor responsabile pentru gestionarea prestatorului de servicii cu privire la conturi, solicitantul trebuie să prezinte următoarele informații:

• a) detalii personale, care trebuie să includă:
• i. numele complet, sexul, locul și data nașterii, adresa și naționalitatea, precum și numărul de identificare personală sau copia cărții de identitate sau a unui act echivalent;
• ii. detalii privind funcția care se urmărește a fi evaluată și dacă funcția din cadrul organului de conducere este una executivă sau nu. Aici trebuie incluse, de asemenea, următoarele detalii:

• b) dacă este cazul, informații cu privire la evaluarea adecvării, efectuată de către solicitant, care trebuie să includă detalii despre rezultatul oricărei evaluări efectuate cu privire la adecvarea persoanei de către instituție, cum ar fi procesul - verbal al consiliului director relevant sau rapoarte de evaluare a adecvării ori alte documente;
• c) dovezi ale deținerii de cunoștințe, competențe și experiență, care trebuie să includă un curriculum vitae cuprinzând detalii despre studii și experiența profesională, inclusiv titluri academice, alte forme de instruire relevante, numele și tipul tuturor organizațiilor pentru care lucrează sau a lucrat persoana în cauză, precum și natura și durata funcțiilor îndeplinite, menționându - se în mod specific orice activități desfășurate în domeniul de aplicare al funcției vizate;
• d) dovezi ale reputației, onestității și integrității, care trebuie să includă:
• i. cazierul judiciar și informații relevante despre anchete și acțiuni penale, dosare în materie civilă și administrativă, precum și acțiuni disciplinare, inclusiv demiterea din funcția de director de societate, falimentul, insolvența și proceduri similare, în special prin intermediul unui certificat oficial sau obținute din orice sursă de informații sigură din punct de vedere obiectiv cu privire la absența condamnării, cercetărilor și acțiunilor penale, precum cercetări desfășurate de către terți și declarații date de către un avocat sau un notar stabilit în Uniunea Europeană;
• ii. o declarație dacă sunt în curs de desfășurare proceduri penale sau dacă persoana sau orice organizație condusă de aceasta a fost implicată ca debitor în proceduri de insolvență sau proceduri similare;
• iii. informații privind următoarele:

Orientarea 12: Asigurarea de răspundere civilă profesională sau o garanție comparabilă

12.1. Pentru a dovedi faptul că deține o asigurare de răspundere civilă profesională sau o garanție

profesională (EBA/GL/2017/08) și cu articolul 5 alineatele (2) și (3) din DSP 2, solicitantul trebuie să prezinte următoarele informații:

• a) un contract de asigurare sau un alt document echivalent care atestă existența asigurării de răspundere civilă profesională sau a unei garanții comparabile, cu o valoare de acoperire calculată în conformitate cu ghidul ABE menționat, care să indice acoperirea obligațiilor relevante;
• b) documente privind modul în care solicitantul a calculat valoarea minimă în conformitate cu ghidul ABE menționat, inclusiv toate componentele aplicabile ale formulei menționate în acesta.

1. Prezentare generală

1.1 Referințe

1.2 Cerințe identificate

1.3 Standarde asociate

2. Cerințe identificate

3. Standarde asociate

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/