4.2 Smernice o informacijah, ki jih morajo predložiti vložniki, ki se registrirajo le za opravljanje storitev iz točke 8 Priloge I k Direktivi (EU) 2015/2366 (storitev zagotavljanja informacij o računih)

Smernica 1: Splošna načela

1.1 Ta sklop smernic se uporablja za vložnike, ki se registrirajo kot ponudniki storitev zagotavljanja informacij o računih. Nanaša se na vložnike, ki nameravajo opravljati le storitve zagotavljanja informacij o računih. Če namerava vložnik poleg storitev zagotavljanja informacij o računih opravljati dodatne storitve, mora zaprositi za dovoljenje in upoštevati smernice za plačilne institucije v razdelku 4.1.

1.2 Informacije, ki jih predložijo vložniki, morajo biti resnične, popolne, točne in posodobljene. Vsi vložniki morajo upoštevati vse določbe v sklopu smernic, ki se uporablja zanje. Raven podrobnosti, ki mora biti skladna, mora biti sorazmerna z velikostjo in notranjo organizacijo vložnika ter z naravo, obsegom, kompleksnostjo in tveganostjo posamezne/ - ih storitve/ - ev, ki jo/jih vložnik namerava opravljati. V vsakem primeru morajo imeti v skladu z Direktivo (EU) 2015/2366 (dru go direktivo o plačilnih storitvah) direktorji in osebe, odgovorne za upravljanje plačilne institucije, ugled ter ustrezno znanje in izkušnje pri opravljanju plačilnih storitev ne glede na velikost in notranjo organizacijo institucije, naravo, obseg in kompleksnost njenih dejavnosti ter dolžnosti in odgovornosti konkretne funkcije.

1.3 Pri predložitvi zahtevanih informacij se mora vložnik izogibati sklicevanju na posamezne razdelke notranjih postopkov/dokumentov. Namesto tega je treba zadevne razdelke izpisati in jih predložiti pristojnemu organu.

1.4 Če pristojni organi zahtevajo pojasnila v zvezi s predloženimi informacijami, mora vložnik taka pojasnila zagotoviti nemudoma.

1.5 Vsi podatki, ki se v skladu s temi smernicami zahtevajo za registracijo ponudnika storitev zagotavljanja informacij o računih, so potrebni za presojo vloge in jih bo pristojni organ obravnaval v skladu z dolžnostjo varovanja poklicne skrivnosti, določeno v drugi direktivi o plačilnih storitvah, brez poseganja v veljavno pravo Unije ter nacionalne zahteve in postopke

• o uresničevanju pravice do dostopa, popravka, preklica ali ugovora. Smernica 2: Identifikacijski podatki

2.1 Če je vložnik fizična oseba, morajo identifikacijski podatki, ki jih predloži, vsebovati naslednje informacije:

• a) ime in priimek, naslov, državljanstvo ter datum in kraj rojstva;
• b) kopijo osebne izkaznice ali enakovrednega identifikacijskega dokumenta;
• c) posodobljen življenjepis;
• d) potrdilo iz kazenske evidence, ki ni starejše od treh mesecev;

pridobitve dovoljenja, ter njene/njihove kontaktne podatke;

2.2 Če je vložnik pravna oseba, morajo identifikacijski podatki, ki jih predloži, vsebovati naslednje informacije:

• a) vložnikovo firmo in trgovsko ime, če je drugačno;
• b) navedbo, ali je vložnik že ustanovljen ali je v postopku ustanavljanja;
• c) vložnikovo nacionalno identifikacijsko številko, če obstaja;
• d) vložnikov pravni status in statut (osnutek statuta) in/ali ustanovne listine, ki dokazujejo vložnikov pravni status;
• e) naslov vložnikovega glavnega sedeža in registriranega sedeža;
• f) vložnikov elektronski naslov in spletno mesto, če sta na voljo;

pridobitve dovoljenja, ter njene/njihove kontaktne podatke;

• h) navedbo, ali je vložnika kdaj že reguliral ali ga trenutno regulira pristojni organ v sektorju finančnih storitev;
• i) ustanovni akt iz sodnega registra ali, če je ustrezno, negativno potrdilo iz trgovinskega registra, ki potrjuje, da je ime, ki ga uporablja podjetje, na voljo;
• j) dokazila o plačilu vseh provizij ali pologu sredstev za predložitev vloge za registracijo ponudnika storitev zagotavljanja informacij o računih, kadar to predvideva nacionalna zakonodaja. Smernica 3: Program poslovanja

3.1. Program poslovanja, ki ga predloži vložnik, mora vsebovati naslednje informacije:

• a) opis storitve zagotavljanja informacij o računih, ki jo namerava vložnik opravljati, vključno z opisom, kako je vložnik ugotovil, da ta dejavnost ustreza opredelitvi storitve zagotavljanja informacij o računih iz člena 4(16) druge direktive o plačilnih storitvah;
• b) vložnikovo izjavo, da v nobenem trenutku ne bo imel v lasti sredstev;
• c) opis opravljanja storitve zagotavljanja informacij o računih, vključno z naslednjim:
• i. osnutki pogodb med vsemi udeleženimi strankami, če je ustrezno,
• ii. pogoji opravljanja storitve zagotavljanja informacij o računih,
• iii. časi, potrebnimi za obdelavo;
• d) ocenjeno število različnih poslovnih prostorov, iz katerih namerava vložnik opravljati te storitve, če je ustrezno;
• e) opis katerih koli pomožnih storitev, povezanih s storitvijo zagotavljanja informacij o računih, če obstajajo;
• f) izjavo, ali namerava vložnik, potem ko bo registriran, storitve zagotavljanja informacij o računih opravljati v drugi državi članici EU ali tretji državi;
• g) navedbo, ali namerava vložnik v naslednjih treh letih opravljati ali že opravlja druge poslovne dejavnosti iz člena 18 druge direktive o plačilnih storitvah, ki niso storitve zagotavljanja informacij o računih, vključno z opisom vrste in pričakovanega obsega teh dejavnosti;

opravljati le storitev iz točke 8 Priloge I k drugi direktivi o plačilnih storitvah (storitev zagotavljanja informacij o računih).

Smernica 4: Poslovni načrt

4.1. Poslovni načrt, ki ga predloži vložnik, mora vsebovati naslednje informacije:

• a) načrt trženja, ki ga sestavljata:
• i. analiza konkurenčnega položaja podjetja,

segmentu trga zagotavljanja informacij o računih, trženjskih gradiv in distribucijskih verig;

• b) potrjene letne računovodske izkaze za prejšnja tri leta, če so na voljo, ali za vložnike, ki letnih računovodskih izkazov še niso pripravili, povzetek finančnega položaja;
• c) načrtovan izračun proračuna za prva tri poslovna leta, ki prikazuje, da je vložnik sposoben uporabljati primerne in sorazmerne sisteme, vire sredstev in postopke za zanesljivo poslovanje; izračun mora vključevati:
• i. napoved izkaza poslovnega izida in bilance stanja, vključno s ciljnimi scenariji in scenariji izjemnih razmer ter njihovimi osnovnimi predpostavkami, kot so število strank, oblikovanje cen in predvideno zvišanje praga dobičkonosnosti;
• ii. obrazložitev glavni virov prihodkov in odhodkov, finančnih dolgov in osnovnih sredstev,
• iii. prikaz in podrobno razčlenitev ocenjenih denarnih tokov za naslednja tri leta .

Smernica 5: Organizacijska shema

5.1. Če je vložnik fizična oseba, mora opis organizacijske sheme njegovega podjetja vsebovati naslednje informacije:

• a) splošno napoved števila zaposlenih za naslednja tri leta;
• b) opis ustreznih dogovorov o zunanjem izvajanju operativnih nalog, ki vsebuje:
• i. identiteto in geografsko lokacijo zunanjega izvajalca,
• ii. identiteto oseb pri ponudniku storitev zagotavljanja informacij o računih, ki so odgovorne za vsako od dejavnosti, oddanih v zunanje izvajanje,
• iii. podroben opis dejavnosti, oddanih v zunanje izvajanje, in njihovih glavnih značilnosti;
• c) izvode osnutkov pogodb z zunanjimi izvajalci;
• d) če je ustrezno, opis uporabe podružnic in zastopnikov, vključno z:
• i. opisom nadzornih pregledov v prostorih podružnic in zastopnikov ter zunaj njih, k i jih namerava vložnik opraviti pri podružnicah in zastopnikih,
• ii. informacijsko tehnološkimi sistemi, procesi in infrastrukturo, ki jih uporabljajo vložnikovi zastopniki za izvajanje dejavnosti v vložnikovem imenu,
• iii. v primeru zastopnikov pravili izbora, postopki spremljanja, usposabljanjem zastopnikov in, kadar je na voljo, osnutkom opisa obveznosti zastopnikov;
• e) seznam vseh fizičnih ali pravnih oseb, ki imajo tesne povezave z vložnikom, z navedbo njihove identitete in vrste teh povezav.

5.2. Če je vložnik pravna oseba, mora opis organizacijske sheme njegovega podjetja vsebovati naslednje informacije:

• a) podrobno organizacijsko shemo, ki prikazuje vsak sektor, oddelek ali podobno strukturno ločitev, vključno z imeni in priimki odgovornih oseb, zlasti oseb, odgovornih za funkcije notranjih kontrol; shemi je treba priložiti opis funkcij in nalog vsakega sektorja, oddelka ali podobne strukturne ločitve;
• b) splošno napoved števila zaposlenih za naslednja tri leta;
• c) opis ustreznih dogovorov o zunanjem izvajanju, ki vsebuje:
• i. ident iteto in geografsko lokacijo zunanjega izvajalca,
• ii. identiteto oseb pri ponudniku storitev zagotavljanja informacij o računih, ki so odgovorne za vsako od dejavnosti, oddanih v zunanje izvajanje,
• iii. podroben opis dejavnosti, oddanih v zunanje izvajanje, in njihovih glavnih značilnosti;
• d) izvode osnutkov pogodb z zunanjimi izvajalci;
• e) če je ustrezno, opis uporabe podružnic in zastopnikov, vključno z:
• i. razporedom nadzornih pregledov v prostorih podružnic in zastopnikov ter zunaj njih, ki jih namerava vložnik opraviti pri podružnicah in zastopnikih,
• ii. informacijsko tehnološkimi sistemi, procesi in infrastrukturo, ki jih uporabljajo vložnikovi zastopniki za izvajanje dejavnosti v vložnikovem imenu,

zastopnikov in, kadar je na voljo, osnutkom opisa obveznosti zastopnikov;

• f) seznam vseh fizičnih ali pravnih oseb, ki imajo tesne povezave z vložnikom, z navedbo identitete teh oseb in vrste teh povezav. Smernica 6: Ureditev upravljanja in mehanizmi notranjih kontrol

6.1. Vložnik opiše ureditev upravljanja in mehanizme notranjih kontrol, pri čemer mora opis vsebovati naslednje informacije:

• a) predstavitev tveganj, ki jih je ugotovil vložnik, vključno z vrsto tveganj in postopki, ki jih bo vložnik vzpostavil za ocenjevanje in preprečevanje takih tveganj;
• b) različne postopke za izvajanje občasnih in stalnih kontrol, vključno s pogostostjo in dodeljenim osebjem;
• c) računovodske metode, po katerih bo vložnik evidentiral in sporočal svoje finančne informacije;
• d) identiteto oseb/ - e, odgovornih/ - e za funkcije notranjih kontrol, med drugim za občasen in stalen nadzor ter nadzor skladnosti, in najnovejši življenjepis teh oseb;
• e) identiteto katerega koli revizorja, ki ni zakoniti revizor v skladu z Direktivo 2006/43/ES;
• f) sestavo organa vodenja in, če je ustrezno, katerega koli drugega nadzornega organa ali odbora;
• g) opis, kako so funkcije, oddane v zunanje izvajanje, spremljane in nadzorovane, da bi preprečili poslabšanje kakovosti notranjih kontrol vložnika;
• h) opis, kako so zastopniki in podružnice spremljani in nadzorovani v okviru vložnikovih notranjih kontrol;
• i) če je vložnik podrejena družba regulirane osebe v drugi državi članici EU, opis upravljanja skupine.

Smernica 7: Postopek za spremljanje in reševanje varnostnih incidentov in z varnostjo povezanih pritožb strank ter naknadno ukrepanje v zvezi z njimi

7.1. Vložnik opiše postopek, vzpostavljen za spremljanje in reševanje varnostnih incidentov in z varnostjo povezanih pritožb strank ter naknadno ukrepanje v zvezi z njim, pri čemer mora opis vsebovati naslednje informacije:

• a) organizacijske ukrepe in orodja za preprečevanje goljufij;
• b) podrobnosti o posameznikih in organih, odgovornih za zagotavljanje pomoči strankam v primerih goljufij, pri tehničnih vprašanjih in/ali upravljanju zahtevkov;
• c) hierarhijo poročanja v primerih goljufij;
• d) kontaktno točko za stranke, vključno z imenom in priimkom ter elektronskim naslovom;
• e) postopke poročanja o incidentih, vključno s posredovanjem teh poročil notranjim ali zunanjim organom ter vključno z obveščanjem pristojnih nacionalnih organov o večjih incidentih v skladu s členom 96 druge direktive o plačilnih storitvah in smernicami EBA o poročanju o incidentih, izdanimi na podlagi omenjenega člena;
• f) orodja za spremljanje, ki se uporabljajo, ter nadaljnje ukrepe in postopke, vzpostavljene za zmanjševanje varnostnih tveganj.

Smernica 8: Postopek za beleženje, spremljanje, sledenje in omejevanje dostopa do občutljivih plačilnih podatkov

8.1. Vložnik opiše postopek, vzpostavljen za beleženje, spremljanje, sledenje in omejevanje dostopa do občutljivih plačilnih podatkov, pri čemer mora opis vsebovati naslednje informacije:

• a) opis tokov podatkov, ki so v okviru poslovnega modela ponudnika storitev zagotavljanja informacij o računih razvrščeni kot občutljivi plačilni podatki;
• b) postopke, vzpostavljene za odobritev dostopa do občutljivih plačilnih podatkov;
• c) opis orodja za spremljanje;
• d) politiko upravljanja pravic dostopa, v kateri je podrobno opisan dostop do vseh pomembnih komponent in sistemov infrastrukture, vključno s podatkovnimi zbirkami in rezervno infrastrukturo;
• e) opis načina evidentiranja zbranih podatkov;

nasprotnih strank;

• g) informacijsko tehnološki sistem in tehnične varnostne ukrepe, ki se izvajajo, vključno s šifriranjem in/ali tokenizacijo;
• h) navedbo posameznikov, organov in/ali odborov, ki imajo dostop do občutljivih plačilnih podatkov;
• i) pojasnilo glede načina odkrivanja in obravnavanja kršitev;
• j) letni program notranjih kontrol v zvezi z varnostjo informacijsko tehnoloških sistemov. Smernica 9: Ureditev za zagotavljanje neprekinjenega poslovanja

9.1. Vložnik opiše ureditev za zagotavljanje neprekinjenega poslovanja, pri čemer mora opis vsebovati naslednje informacije:

• a) analizo vplivov na poslovanje, vključno s poslovnimi procesi in cilji glede ponovne vzpostavitve delovanja, kot so cilji glede časa do ponovne vzpostavitve delovanja, cilji glede točke ponovne vzpostavitve delovanja in zaščitena sredstva;
• b) navedbo rezervne lokacije, dostopa do informacijske infrastrukture ter ključne

motnji;

• c) obrazložitev, kako bo vložnik obravnaval pomembne dogodke neprekinjenega poslovanja in motnje, kot so odpoved ključnih sistemov, izguba ključnih podatkov, nedostopnost prostorov in izguba ključnih oseb;
• d) pogostost, s katero namerava vložnik preizkušati načrte za neprekinjeno poslovanje in ponovno vzpostavitev delovanja po nesreči, vključno z načinom evidentiranja rezultatov preizkušanja.

Smernica 10: Dokument o varnostni strategiji

10.1. Vložnik predloži dokument o varnostni strategiji, ki mora vsebovati naslednje informacije:

• a) podrobno oceno tveganj v zvezi s plačilno/ - imi storitvijo/ - ami, ki jo/jih vložnik namerava opravljati, pri čemer je treba vključiti tveganja goljufij ter opis varnostnih ukrepov za nadzor nad tveganji in njihovo zmanjšanje, sprejetih za ustrezno zaščito uporabnikov plačilnih storitev pred ugotovljenimi tveganji;
• b) opis informacijsko tehnoloških sistemov, ki mora vključevati:
• i. arhitekturo sistemov in njihove omrežne elemente,
• ii. poslovne informacijsko tehnološke sisteme, ki podpirajo izvajane poslovne dejavnosti , kot so vložnikovo spletno mesto, sistem za upravljanje tveganj in goljufij ter računovodstvo strank;
• iii. podporne informacijsko tehnološke sisteme, ki se uporabljajo za organizacijo in administracijo ponudnika storitev zagotavljanja informacij o računih, kot so sistemi za računovodstvo, zakonsko poročanje, kadrovsko vodenje in upravljanje odnosov s strankami, strežniki za elektronsko pošto in notranji datotečni strežniki,
• iv. informacijo o tem, ali te sisteme ponudnik storitev zagotavljanja informacij o računih ali njegova skupina že uporablja, oziroma predvideni datum njihove uvedbe, če je ustrezno;
• c) vrsto dovoljenih povezav od zunaj, na primer s partnerji, izvajalci storitev, subjekti v skupini in zaposlenimi, ki delajo na daljavo, vključno z utemeljitvijo takih povezav;
• d) za vsako od povezav, navedenih v točki c), ukrepe in mehanizme za zagotavljanje logične varnosti z navedbo nadzora, ki ga bo plačilna institucija izvajala nad takim dostopom, ter vrste in pogostosti nadzora, npr. tehnični v primerjavi z organizacijskim nadzorom, preventivni v primerjavi z odkrivalnim nadzorom in spremljanje v realnem času v primerjavi z rednimi pregledi, kot so uporaba aktivnega imenika, ločenega od skupine, odpiranje/zapiranje komunikacijskih poti, konfiguracija varnostne opreme, generiranje ključev ali certifikatov za avtentikacijo strank, sistemsko spremljanje, avtentikacija, zaupnost komunikacije, odkrivanje vdorov, protivirusni sistemi in dnevniške datoteke;
• e) ukrepe in mehanizme za zagotavljanje logične varnosti, ki določajo notranji dostop do informacijsko tehnoloških sistemov, pri čemer je treba vključiti naslednje informacije:
• i. tehnična in organizacijska narava in pogostost vsakega ukrepa, npr. ali je ukrep namenjen preprečevanju ali odkrivanju in ali se izvaja v realnem času ali ne,
• ii. kako je obravnavano vprašanje ločevanja okolja strank v primerih, ko so vložnikovi informacijsko tehnološki viri v skupni uporabi;
• f) ukrepe in mehanizme za zagotavljanje fizične varnosti v vložnikovih prostorih in podatkovnem centru, kot so kontrole dostopa in okoljska varnost;
• g) varnost plačilnih postopkov, kar mora vključevati:
• i. postopek avtentikacije strank, ki se uporablja za vpogledni in transakcijski dostop;
• ii. obrazložitev, kako se ob začetni prijavi in podaljšanju zagotavljata varna dostava upravičenemu uporabniku plačilnih storitev in celovitost dejavnikov avtentikacije, kot so fizični žetoni in mobilne aplikacije;
• iii. opis sistemov in postopkov, ki jih ima vzpostavljene vložnik za analizo transakcij in identifikacijo sumljivih ali nenavadnih transakcij;
• h) podrobno oceno tveganj v zvezi s svojimi plačilnimi storitvami, vključno s tveganji goljufij, s povezavo do ukrepov za nadzor nad tveganji in njihovo zmanjšanje, obrazloženih v vlogi, kot dokaz, da se ta tveganja obravnavajo;
• i) seznam glavnih pisnih postopkov v zvezi z vložnikovimi informacijsko tehnološkimi sistemi ali, pri postopkih, ki še niso bili formalizirani, predvideni datum njihovega dokončanja.

Smernica 11: Identiteta in ocena primernosti direktorjev in oseb, odgovornih za upravljanje ponudnika storitev zagotavljanja informacij o računih

11.1. Za namene razkritja identitete in ocene primernosti direktorjev in oseb, odgovornih za upravljanje ponudnika storitev zagotavljanja informacij o računih, mora vložnik predložiti naslednje informacije:

• a) osebne podatke, vključno z naslednjim:
• i. imenom in priimkom, spolom, datumom in krajem rojstva, naslovom, državljanstvom ter osebno identifikacijsko številko ali kopijo osebne izkaznice ali enakovrednega identifikacijskega dokumenta;
• ii. podrobnostmi o funkciji, ki je predmet ocene, in o tem, ali je ta funkcija organa vodenja izvršna ali neizvršna. Vključeni morajo biti tudi naslednji podatki:

• b) kjer je primerno, informacije o oceni primernosti, ki jo je izvedel vložnik, vključno s podrobnostmi o rezultatih ocene primernosti zadevnega posameznika, ki jo je izvedla institucija, kot so ustrezni zapisniki sej uprave, poročila o oceni primernosti ali drugi dokumenti;
• c) dokazila o znanju, spretnostih in izkušnjah, ki vključujejo življenjepis z navedbo podrobnosti o izobrazbi in poklicnih izkušnjah, vključno z akademskimi kvalifikacijami, drugimi ustreznimi usposabljanji, imenom in vrsto vseh organizacij, za katere zadevni posameznik dela ali je delal, ter vrsto in trajanjem funkcij, ki jih je opravljal, pri čemer je treba pojasniti zlasti vse dejavnosti v okviru funkcije, za katero se poteguje;
• d) dokazila o ugledu, poštenosti in integriteti, ki morajo vključevati:
• i. podatke iz kazenskih evidenc in ustrezne informacije o kazenskih preiskavah in postopkih, zadevnih civilnih in upravnih zadevah ter disciplinskih ukrepih, vključno s prepovedjo opravljanja funkcije direktorja podjetja ter stečajnimi, insolvenčnimi in podobnimi postopki, zlasti v obliki uradnega potrdila ali katerega koli objektivno zanesljivega vira informacij o tem, da zadevni posameznik ni bil kazensko obsojen ter proti njemu niso potekale kazenske preiskave in postopki, pri čemer so lahko tak vir informacij na primer preiskave, ki jih opravijo tretje osebe, in izpovedbe odvetnika ali notarja s sedežem v Evropski uniji;
• ii. izjavo o tem, da v zvezi z zadevno osebo ni nerešenih kazenskih postopkov ali da zadevna oseba ali katera koli organizacija, ki jo ta oseba upravlja, ni bila vključena v postopek zaradi insolventnosti ali podoben postopek kot dolžnik;
• iii. naslednje informacije:

Smernica 12: Zavarovanje poklicne odgovornosti ali primerljivo jamstvo

12.1. Vl ožnik mora kot dokazilo o zavarovanju poklicne odgovornosti ali primerljivem jamstvu, ki je skladno s Smernicami EBA glede meril za način določitve najnižjega denarnega zneska zavarovanja poklicne odgovornosti ali primerljivega jamstva (EBA/GL/2017/08) ter členom 5(2) in (3) druge direktive o plačilnih storitvah, predložiti naslednje informacije:

poklicne odgovornosti ali primerljivega jamstva, skupaj z zneskom kritja, ki je skladen z omenjenimi smernicami EBA, in navedbo kritja vseh zadevnih obveznosti;

• b) dokumentacijo o tem, kako je vložnik izračunal najnižji znesek zavarovanja poklicne odgovornosti ali primerljivega jamstva na način, ki je skladen z omenjenimi smernicami EBA, vključno z vsemi ustreznimi sestavinami formule iz omenjenih smernic.

1. Pregled

1.1 Sklici

1.2 Ugotovljene zahteve

1.3 Povezani standardi

2. Ugotovljene zahteve

3. Povezani standardi

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/