Circulaire CSSF 18/677 — Luxembourg, le 12 janvier 2018

Luxembourg, le 12 janvier 2018 A toutes les personnes qui souhaitent introduire une demande pour l’agrément en tant qu’établissement de paiement, pour l’agrément en tant qu’établissement de monnaie électronique ou pour l’enregistrement en tant que prestataire de services d’information sur les comptes CIRCULAIRE CSSF 18/677 Concerne : Orientations de l’Autorité bancaire européenne sur les informations à fournir pour l’agrément d’établissements de paiement et d’établissements de monnaie électronique et pour l’enregistrement de prestataires de services d’information sur les comptes au titre de l’article 5, paragraphe 5, de la directive (UE) 2015/2366 1 (EBA/GL/2017/09) Mesdames, Messieurs, L’objet de la présente circulaire est de porter à votre attention les orientations 2 de l’Autorité bancaire européenne (« ABE »/ « EBA ») sur les informations à fournir pour l’agrément d’établissements de paiement et d’établissements de monnaie électronique et pour l’enregistrement en tant que prestataire de services d’information sur les comptes au titre de l’article 5, paragraphe 5 de la directive (UE) 2015/2366 (« PSD2 ») (les « Orientations »), que la CSSF entend respecter. Les Orientations précisent les informations à fournir en matière d’agrément et d’enregistrement au titre de la PSD2 et s’appliquent : (

a)aux demandeurs d’un agrément en tant qu’établissement de paiement; (
b)aux demandeurs d’un agrément en tant qu’établissement de monnaie électronique; et (
c)aux demandeurs d’un enregistrement en tant que prestataire de services d’information sur les comptes. 1 Directive (UE) 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur, modifiant les directives 2002/65/CE, 2009/110/CE et 2013/36/UE et le règlement (UE) no 1093/2010, et abrogeant la directive 2007/64/CE 2 Ces orientations sont jointes en annexe et peuvent être consultées à l’adresse suivante : https://www.eba.europa.eu/documents/10180/2015792/Guidelines+on+Authorisations+of+Payment+Institutions +%28EBA-GL-2017-09%29_FR.pdf/78e8d94e-b3d7-4fd4-b7e0-efe6c37f6ffe Les demandeurs visés aux points (
a)à (
c)ci-dessus sont priés de se référer aux Orientations pour les informations à fournir à la CSSF dans le cadre de leur demande d’agrément ou d’enregistrement. Par la présente circulaire, la CSSF adopte les Orientations qui s’appliquent à compter du 13 janvier 2018, à l’exception de la section 4.4. des Orientations relative à l’évaluation de l’exhaustivité de la demande qui sera d’application à compter de la date d’entrée en vigueur de la loi transposant la PSD2. Veuillez recevoir, Mesdames, Messieurs, l’assurance de nos sentiments très distingués. COMMISSION DE SURVEILLANCE DU SECTEUR FINANCIER Françoise KAUTHEN Claude SIMON Claude MARX Directeur Directeur Directeur général Annexe: Orientations de l’ABE sur les informations à fournir pour l’agrément d’établissements de paiement et d’établissements de monnaie électronique et pour l’enregistrement de prestataires de services d’information sur les comptes au titre de l’article 5, paragraphe 5, de la directive (UE) 2015/2366 Circulaire CSSF 18/677 page 2/2 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 EBA/GL/2017/09 08/11/2017 Orientations sur les informations à fournir pour l’agrément d’établissements de paiement et d’établissements de monnaie électronique et pour l’enregistrement de prestataires de services d’information sur les comptes au titre de l’article 5, paragraphe 5, de la directive (UE) 2015/2366 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 1. Obligations de conformité et de déclaration Statut de ces orientations 1. Le présent document contient des orientations émises en vertu de l’article 16 du règlement (UE) n° 1093/2010 1 . Conformément à l’article 16, paragraphe 3, du règlement (UE) n° 1093/2010, les autorités compétentes et les établissements financiers mettent tout en œuvre pour respecter ces orientations. 2. Les orientations donnent l’avis de l’ABE sur des pratiques de surveillance appropriées au sein du système européen de surveillance financière ou sur les modalités d’application du droit de l’Union dans un domaine particulier. Les autorités compétentes, telles que définies à l’article 4, paragraphe 2, du règlement (UE) n° 1093/2010, qui sont soumises aux orientations, doivent les respecter en les intégrant dans leurs pratiques, s’il y a lieu (par exemple en modifiant leur cadre juridique ou leurs processus de surveillance), y compris lorsque les orientations s’adressent principalement à des établissements. Obligations de déclaration 3. Conformément à l’article 16, paragraphe 3, du règlement (UE) n° 1093/2010, les autorités compétentes doivent indiquer à l’ABE si elles respectent ou entendent respecter ces orientations, ou indiquer les raisons du non-respect des orientations, le cas échéant, avant le 08.01.2018. En l’absence d’une notification avant cette date, les autorités compétentes seront considérées par l’ABE comme n’ayant pas respecté les orientations. Les notifications sont à adresser à compliance@eba.europa.eu à l’aide du formulaire disponible sur le site internet de l’ABE et en indiquant en objet «EBA/GL/2017/09». Les notifications doivent être communiquées par des personnes dûment habilitées à rendre compte du respect des orientations au nom des autorités compétentes. Toute modification du statut de conformité avec les orientations doit être signalée à l’ABE. 4. Les notifications seront publiées sur le site internet de l’ABE, conformément à l’article 16, paragraphe 3. 1 Règlement (UE) n° 1093/2010 du Parlement européen et du Conseil du 24 novembre 2010 instituant une Autorité européenne de surveillance (l’Autorité bancaire européenne), modifiant la décision n° 716/2009/CE et abrogeant la décision 2009/78/CE de la Commission (JO L 331, 15.12.2010, p.12). 2 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 2. Objet, champ d'application et définitions Objet 5. Les présentes orientations exposent les informations à fournir aux autorités compétentes dans la demande d’agrément des établissements de paiement, dans la demande d’enregistrement des prestataires de services d’information sur les comptes et dans la demande d’agrément des établissements de monnaie électronique. Champ d’application 6. Les présentes orientations s'appliquent en rapport avec:
a)les demandes d’agrément en tant qu’établissement de paiement conformément à l’article 5 de la directive (UE) 2015/2366;
b)les demandes d’enregistrement en tant que prestataire de services d’information sur les comptes, conformément à l’article 5 et à l’article 33 de la directive (UE) 2015/2366; et
c)les demandes d’agrément en tant qu’établissement de monnaie électronique, en vertu de l’application mutatis mutandis de l’article 5 de la directive (UE) 2015/2366 aux établissements de monnaie électronique, conformément à l’article 3, paragraphe 1, de la directive 2009/110/CE. Destinataires 7. Les présentes orientations sont destinées aux autorités compétentes, au sens de l’article 4, paragraphe 2, point i), du règlement (UE) n° 1093/2010, et aux établissements financiers suivants: établissements de paiement, au sens de l’article 4, point 4, de la directive (UE) 2015/2366; établissements de monnaie électronique, au sens de l’article 2, point 1, de la directive 2009/110/CE; et prestataires de services d'information sur les comptes, au sens de l’article 4, point 19, de la directive (UE) 2015/2366. Définitions 8. Les termes utilisés et définis dans la directive (UE) n° 2015/2366 et dans la directive 2009/110/CE ont la même signification dans les présentes orientations. 3 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 3. Mise en œuvre Date d’entrée en vigueur 9. Les présentes orientations s’appliquent à compter du 13 janvier 2018. 4 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 4. Quatre ensembles d’orientations, applicables respectivement aux établissements de paiement (EP), aux prestataires de services d’information sur les comptes (PSIC), aux établissements de monnaie électronique (EME) et aux autorités compétentes (AC) 5 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 4.1 Orientations sur les informations requises de la part des demandeurs d’un agrément en tant qu’établissements de paiement pour la prestation des services visés aux points 1 à 8 de l’annexe I de la directive (UE) 2015/2366 Orientation 1: Principes généraux 1.1 Le présent ensemble d’orientations s’applique aux demandeurs d’agrément en tant qu’établissements de paiement (EP). Cela comprend les demandeurs ayant l’intention de fournir l’un quelconque des services visés aux points 1 à 7 de l’annexe I de la DSP2 ou le service visé au point 8 en lien avec d’autres services de paiement. Les demandeurs ayant l’intention de fournir uniquement le service visé au point 8 de l’annexe I de la directive (UE) 2015/2366 (DSP2) sont soumis à l’ensemble spécifique d’orientations pour prestataires de services d’information sur les comptes (PSIC) énoncées dans la section 4.2. 1.2 Les informations fournies par les demandeurs devraient être vraies, complètes, exactes et actualisées. Tous les demandeurs devraient se conformer à la totalité des dispositions figurant dans l’ensemble des orientations qui leur est applicable. Le niveau de détail devrait être proportionné à la taille et à l’organisation interne du demandeur ainsi qu’à la nature, à la portée, à la complexité et au risque du (des) service(
s)particulier(
s)que le demandeur a l’intention de fournir. En tout état de cause, conformément à la directive (UE) 2015/2366, les dirigeants et les personnes responsables de la gestion de l’établissement de paiement jouissent de l’honorabilité et possèdent les compétences et l’expérience requises aux fins de la prestation des services de paiement, indépendamment de la taille et de l’organisation interne de l’établissement ainsi que de la nature, de la portée et de la complexité de ses activités et des tâches et responsabilités du poste spécifique. 1.3 Lorsqu’il soumet les informations requises, le demandeur devrait éviter les références à des sections spécifiques de procédures/documents internes. Le demandeur devrait, au contraire, extraire les sections pertinentes et les fournir à l’autorité compétente (AC). 1.4 Si les AC requièrent des clarifications sur les informations soumises, le demandeur devrait les fournir sans tarder. 6 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 1.5 Toutes les données demandées au titre des présentes orientations pour l’agrément en tant qu’établissement de paiement sont nécessaires afin d’évaluer la demande et elles seront traitées par l’AC conformément aux obligations en matière de secret professionnel énoncées dans la DSP2, sans préjudice du droit de l’Union applicable et des exigences et procédures nationales concernant l’exercice du droit d’accès, de correction, d’annulation ou d’opposition. Orientation 2: Éléments d’identification 2.1 Les éléments d’identification à fournir par le demandeur devraient inclure les informations suivantes:
a)la dénomination sociale du demandeur et, si elle est différente, sa dénomination commerciale;
b)une mention précisant si la personne morale est déjà constituée ou en cours de constitution;
c)le numéro d'identification national du demandeur, le cas échéant;
d)le statut juridique et les statuts (éventuellement sous forme de projet) et/ou les documents constitutifs du demandeur démontrant son statut juridique;
e)l’adresse de l’administration centrale et du siège statutaire du demandeur;
f)l’adresse électronique et le site Internet du demandeur, si disponible;
g)le nom de la (des) personne(
s)chargée(
s)de traiter le dossier de la demande et de la procédure d’agrément ainsi que leurs coordonnées;
h)une mention précisant si le demandeur a été, ou est actuellement, assujetti auprès d’une autorité compétente du secteur des services financiers;
i)les associations professionnelles auxquelles le demandeur envisage d’adhérer en rapport avec la prestation de services de paiement, le cas échéant;
j)le certificat de constitution du registre ou, le cas échéant, une attestation négative de la part d’un registre commercial certifiant que la dénomination utilisée par la société est disponible;
k)preuve du paiement des éventuels droits ou du dépôt de fonds en vue de déposer une demande d’agrément en tant qu’établissement de paiement, conformément, le cas échéant, au droit national. 7 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 Orientation 3: Programme d'activité 3.1. Le programme d’activité à fournir par le demandeur devrait inclure les informations suivantes:
a)une description par étapes du type de services de paiement envisagé, y compris une explication des raisons pour lesquelles, selon le demandeur, les activités et les opérations qui seront réalisées relèvent d’une quelconque des catégories juridiques de services de paiement énumérées à l’annexe I de la DSP2;
b)une déclaration précisant si le demandeur entrera, à quelque moment que ce soit, en possession de fonds;
c)une description de l’exécution des différents services de paiement, indiquant toutes les parties concernées, et comprenant pour chaque service de paiement fourni: i. un schéma des flux financiers, à moins que le demandeur n’ait l’intention de ne fournir que des services d’initiation de paiement (SIP); ii. un dispositif de règlement, à moins que le demandeur n’ait l’intention de ne fournir que des SIP; iii. les projets de contrats entre toutes les parties impliquées dans la fourniture des services de paiement y compris ceux avec des schémas de cartes de paiement, le cas échéant; iv. les temps de traitement;
d)une copie du projet de contrat-cadre, au sens de l’article 4, point 21, de la DSP2;
e)une estimation du nombre des différents locaux à partir desquels le demandeur à l’intention de fournir les services de paiement et/ou exercer des activités se rapportant à la prestation des services de paiement, le cas échéant;
f)une description des éventuels services auxiliaires aux services de paiement;
g)une déclaration précisant si le demandeur a l’intention d’octroyer des crédit et, si oui, dans quelles limites;
h)une déclaration précisant si le demandeur envisage de fournir des services de paiement dans d’autres États membres ou pays tiers après l’octroi de l’agrément; 8 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2
i)une mention précisant si le demandeur a l’intention d’exercer, dans les trois années à venir, ou exerce déjà d’autres activités au sens de l’article 18 de la directive (UE) 2015/2366, y compris une description du type et du volume attendus des activités;
j)les informations visées dans les orientations de l’ABE sur les critères permettant de déterminer le montant minimal de l’assurance de responsabilité civile professionnelle ou d’une autre garantie comparable au titre de l’article 5, paragraphe 4, de la directive (UE) 2015/2366, lorsque le demandeur a l’intention de fournir les services visés aux points 7 et 8 (SIP et services d’information sur les comptes (SIC). Orientation 4: Plan d’affaires 4.1. Le plan d’affaires à fournir par le demandeur devrait contenir:
a)un plan de commercialisation consistant en: i. une analyse de la position concurrentielle de la société dans le segment du marché des paiements concerné; ii. une description des utilisateurs du service de paiement, des supports de marketing et des canaux de distribution;
b)le cas échéant, pour les sociétés existantes, les comptes annuels certifiés des trois dernières années, ou une synthèse de la situation financière pour les sociétés n’ayant pas encore établi de comptes annuels;
c)un calcul budgétaire prévisionnel afférent aux trois premiers exercices qui démontre que le demandeur est en mesure de mettre en œuvre les systèmes, ressources et procédures appropriés et proportionnés nécessaires à son bon fonctionnement; ce calcul budgétaire prévisionnel devrait inclure: i. un compte de résultat et un bilan prévisionnel, incluant des scénarios cibles et des scénarios de crise ainsi que les hypothèses de base, telles que le volume et la valeur des opérations, le nombre de clients, la tarification, le montant moyen des opérations, la hausse attendue du seuil de rentabilité; ii. des explications sur les principaux postes de charges et produits, les dettes financières et les immobilisations; iii. un schéma et une ventilation détaillée de l’estimation des flux de trésorerie pour les trois années à venir;
d)des informations sur les fonds propres, y compris le montant et la ventilation détaillée de la composition du capital initial visé à l’article 7 de la DSP2; 9 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2
e)des informations sur les exigences minimales de fonds propres et le calcul de celles-ci conformément à la (aux) méthode(
s)visée(
s)à l’article 9 de la directive (UE) 2015/2366 (DSP2) tel que déterminé par l’autorité compétente, à moins que le demandeur n’ait l’intention de ne fournir que des SIP, y compris: i. une projection annuelle de la ventilation des fonds propres pour trois ans, selon la méthode utilisée; une projection annuelle des fonds propres pour trois ans selon les autres méthodes. ii. Orientation 5: Organisation structurelle 5.1. Le demandeur devrait fournir une description de l’organisation structurelle de son entreprise consistant en:
a)un organigramme détaillé, indiquant chaque unité, service ou séparation structurelle similaire, y compris le nom des personnes responsables, notamment celles chargées des fonctions de contrôle interne; l’organigramme devrait être accompagné de la description des fonctions et des responsabilités de chaque unité, service ou séparation structurelle similaire;
b)une prévision globale des effectifs pour les trois années à venir;
c)une description des accords pertinents d’externalisation opérationnelle consistant en: i. l’identité et la localisation du prestataire de services externe; ii. l’identité des personnes dans l’établissement de paiement responsables de chaque activité externalisée; iii. une description claire des activités externalisées et de leurs principales caractéristiques;
d)une copie des projets d’accords d’externalisation;
e)une description de l’utilisation de succursales et d’agents, le cas échéant, y compris: i. un plan des contrôles sur pièces et sur place que le demandeur a l’intention d’effectuer, au moins une fois par an, sur les succursales et les agents et la fréquence de ces contrôles; ii. les systèmes informatiques, les processus et l’infrastructure utilisés par les agents du demandeur en vue d’exercer des activités pour le compte du demandeur; 10 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2
f)iii. s’agissant d’agents, la politique de sélection, les procédures de suivi et la formation des agents et, le cas échéant, le projet du contrat d’engagement; iv. une mention du système de paiement national et/ou international auquel aura accès le demandeur, le cas échéant; une liste de toutes les personnes physiques ou morale ayant des liens étroits avec le demandeur, en précisant leur identité et la nature de ces liens. Orientation 6: Preuve de capital initial 6.1 Afin de prouver le capital initial à apporter par le demandeur (125 000 EUR pour les services visés aux points 1 à 5 de l’annexe I de la DSP2, 20 000 EUR pour le service visé au point 6, et 50 000 EUR pour le service visé au point 7), le demandeur devrait présenter les documents suivants:
a)pour les entreprises existantes, un état comptable certifié ou un extrait d’un registre public vérifié certifiant le montant du capital du demandeur;
b)pour les entreprises en cours de constitution, un relevé bancaire délivré par une banque certifiant que les fonds sont déposés sur le compte bancaire du demandeur. Orientation 7: Mesures de protections des fonds des utilisateurs de services de paiement (applicable uniquement aux services de paiement visés aux points 1 à 6) 7.1. Lorsque le demandeur protège les fonds des utilisateurs des services de paiement en déposant des fonds sur un compte distinct auprès d’un établissement de crédit ou en investissant en actifs à faible risque, liquides et sûrs, la description des mesures de protection devrait contenir:
a)une description de la politique d’investissement afin de garantir que les actifs choisis sont liquides, sûrs et à faible risque, le cas échéant;
b)le nombre de personnes ayant accès au compte de protection et leurs fonctions;
c)une description du processus d’administration et de rapprochement afin de garantir que, dans l’intérêt des utilisateurs des services de paiement, les fonds des utilisateurs des services de paiement sont soustraits aux recours d’autres créanciers de l’établissement de paiement, notamment en cas d’insolvabilité;
d)une copie du projet de contrat avec l’établissement de crédit;
e)une déclaration explicite de conformité avec l’article 10 de la DSP2 de la part de l’établissement de paiement. 11 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 7.2. Lorsque le demandeur protège les fonds de l’utilisateur de services de paiement au moyen d’une police d’assurance ou d’une autre garantie comparable d’une compagnie d’assurances ou d’un établissement de crédit, la description des mesures de protection devrait comprendre ce qui suit:
a)une confirmation que la police d’assurance ou autre garantie comparable d’une compagnie d’assurances ou d’un établissement de crédit provient d’une entité n’appartenant pas au même groupe d’entreprises que le demandeur;
b)des détails sur le processus de rapprochement en place afin de garantir que la police d’assurance ou autre garantie comparable permet au demandeur de respecter ses obligations de protection à tout moment;
c)durée et renouvellement de la couverture;
d)une copie du (projet
de)contrat d’assurance ou du (projet
de)garantie comparable. Orientation 8: Dispositif de gouvernance et mécanismes de contrôle interne 8.1. Le demandeur devrait fournir une description du dispositif de gouvernance et des mécanismes de contrôle interne consistant en:
a)une cartographie des risques décelés par le demandeur, incluant le type de risques et les procédures que le demandeur mettra en place pour évaluer et éviter de tels risques;
b)les différentes procédures visant à effectuer des contrôles périodiques et permanents y compris la fréquence et les ressources humaines allouées;
c)les procédures comptables au moyen desquelles le demandeur enregistrera et publiera ses informations financières;
d)l’identité de la (des) personne(
s)responsable(
s)des fonctions de contrôle interne, y compris du contrôle périodique et permanent et du contrôle de conformité, ainsi qu’un curriculum vitae actualisé;
e)l’identité de tout contrôleur des comptes n’étant pas un contrôleur légal des comptes en vertu de la directive 2006/43/CE;
f)la composition de l’organe de direction et, le cas échéant, de tout autre organe ou comité de surveillance;
g)une description de la manière dont les fonctions externalisées sont suivies et contrôlées afin d’éviter une altération de la qualité des contrôles internes de l’établissement de paiement; 12 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2
h)une description de la manière dont les éventuels agents et succursales sont suivis et contrôlés dans le cadre des contrôles internes du demandeur;
i)si le demandeur est la filiale d’une entité réglementée dans un autre État membre de l’UE, une description de la gouvernance du groupe. Orientation 9: Procédure pour assurer la surveillance, le traitement et le suivi des incidents de sécurité et des réclamations de clients liées à la sécurité 9.1. Le demandeur devrait fournir une description de la procédure en place pour assurer la surveillance, le traitement et le suivi des incidents de sécurité et des réclamations de clients liées à la sécurité, laquelle devrait contenir:
a)des mesures organisationnelles et des outils de prévention de la fraude;
b)des détails sur la (les) personne(
s)et les organes chargés de l’assistance aux clients en cas de fraude, de problème technique et/ou de réclamation;
c)les lignes de remontée des cas de fraude au sein de l’organisation du demandeur;
d)le point de contact pour les clients, incluant un nom et une adresse électronique;
e)les procédures relatives à la notification des incidents, y compris la communication de ces notifications à des organes internes ou externes, prévoyant notamment la notification d’incidents majeurs aux autorités compétentes nationales au titre de l’article 96 de la DSP2, conformément aux orientations de l’ABE sur la notification des incidents au titre de l’article susvisé;
f)les outils de surveillance utilisés et les mesures et les procédures de suivi en place afin d’atténuer les risques de sécurité. Orientation 10: Processus pour enregistrer, surveiller, tracer et restreindre l’accès aux données de paiement sensibles et garder la trace de ces accès 10.1. Le demandeur devrait fournir une description du processus en place pour enregistrer, surveiller et restreindre l’accès aux données de paiement sensibles et garder la trace de ces accès comportant:
a)une description des flux de données classées comme données sensibles de paiement dans le cadre du fonctionnement opérationnel de l’établissement de paiement;
b)les procédures en place pour autoriser l’accès aux données de paiement sensibles;
c)une description de l’outil de surveillance; 13 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2
d)la politique de droit d’accès, détaillant l’accès à tous les systèmes et composantes d’infrastructure pertinents, y compris les bases de données et les infrastructures de secours;
e)à moins que le demandeur n’ait l’intention de ne fournir que des SIP, une description des modalités d’archivage des données collectées;
f)à moins que le demandeur n’ait l’intention de ne fournir que des SIP, l’utilisation interne et/ou externe envisagée des données collectées, y compris par les cocontractants;
g)le système informatique et les mesures de sécurité techniques mises en place y compris le chiffrement et/ou la tokenisation;
h)l’identification des personnes, organes et/ou comités ayant accès aux données de paiement sensibles;
i)une explication de la manière dont seront décelées et traitées les violations de sécurité;
j)un programme annuel de contrôle interne en rapport avec la sécurité des systèmes informatiques. Orientation 11: Dispositions en matière de continuité des activités 11.1. Le demandeur devrait fournir une description des dispositions en matière de continuité des activités comportant les informations suivantes:
a)une analyse d’impact sur les activités, incluant les processus opérationnels et les objectifs de reprise, tels que les délais maximaux admissibles d’indisponibilité, les pertes de données maximales admissibles et les actifs protégés;
b)l’identification du site de secours, des accès à l’infrastructure informatique et des principaux logiciels et données à récupérer en cas de sinistre ou de défaillance;
c)une explication de la manière dont le demandeur traitera les événements et défaillances de continuité significatifs, tels que la défaillance de systèmes clés; la perte de données clés ; l’inaccessibilité des locaux ; et la perte de personnes clés;
d)la fréquence avec laquelle de demandeur a l’intention de soumettre à des tests ses plans de continuité des activités et de récupération en cas de sinistre, en précisant la manière dont les résultats des tests seront pris en compte;
e)une description des mesures d’atténuation à adopter par le demandeur, en cas de résiliation du contrat de prestation de ses services de paiement, garantissant l’exécution des opérations de paiement en attente et la résiliation des contrats existants. 14 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 Orientation 12: Principes et définitions applicables à la collecte de données statistiques relatives aux performances, aux opérations et à la fraude 12.1. Le demandeur devrait fournir une description des principes et définitions applicables à la collecte de données statistiques relatives aux performances, aux opérations et à la fraude comportant les informations suivantes:
a)le type de données collectées en rapport avec les clients, le type de service de paiement, le canal, l’instrument, les juridictions et les devises;
b)la portée de la collecte, en termes des activités et des entités concernées, y compris les succursales et les agents;
c)les moyens de collecte;
d)le but de la collecte;
e)la fréquence de la collecte;
f)la documentation, tel qu’un manuel, décrivant le fonctionnement du système. Orientation 13: Document relatif à la politique de sécurité 13.1. Le demandeur devrait fournir un document relatif à la politique de sécurité contenant les informations suivantes :
a)une évaluation détaillée des risques du (des) service(
s)de paiement que le demandeur a l’intention de fournir, laquelle devrait inclure les risques de fraude et les mesures de contrôle, de sécurité et d’atténuation adoptées afin de protéger de façon adéquate les utilisateurs de services de paiement contre les risques identifiés;
b)une description des systèmes informatiques, laquelle devrait inclure: i. l‘architecture des systèmes et des réseaux; ii. les systèmes informatiques supportant les activités opérationnelles exercées, tels que le site Internet du demandeur, les portefeuilles électroniques, le module de paiement, le module de gestion des risques et de la fraude et la comptabilité client; iii. les systèmes informatiques de support pour l’organisation et l’administration du demandeur, tels que la comptabilité, les systèmes de déclaration légale, la gestion du personnel, la gestion des relations avec la clientèle, les serveurs de courrier électronique et les serveurs de fichiers internes; 15 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 iv. des informations précisant si le demandeur ou son groupe utilisent déjà ces systèmes et l’estimation de leur date de mise en œuvre, le cas échéant;
c)le type de connexions autorisées de l’extérieur, par exemple par des associés, des prestataires de services, des entités du groupe et des employés travaillant à distance, en expliquant la raison de ces connexions;
d)pour chacune des connexions énumérées au point c), les mesures et mécanismes de sécurité logiques en place, spécifiant le contrôle que le demandeur exercera sur un tel accès ainsi que la nature et la fréquence de chaque contrôle, tel que technique/organisationnel; préventif/détectif; et suivi en temps réel/examens réguliers, tels que l’utilisation d’un répertoire distinct de celui du groupe, l’ouverture/fermeture de lignes de communication, la configuration de l’équipement de sécurité, la création de clés ou de certificats d’authentification client, la surveillance des systèmes, l’authentification, la confidentialité des communications, la détection des intrusions, les systèmes antivirus et l’enregistrement des connexions;
e)les mesures et mécanismes de sécurité logiques régissant l’accès interne aux systèmes informatiques, lesquels devraient inclure:
f)i. la nature technique et organisationnelle et la fréquence de chaque mesure, par exemple s’il s’agit d’une mesure préventive ou détective et si elle est mise en œuvre en temps réel; ii. la manière dont est traitée la question du cantonnement de l’environnement client dans les cas où les ressources informatiques du demandeur sont partagées; les mesures et mécanismes de sécurité physique des locaux et du centre de données du demandeur, tels que les contrôles de l’accès et la sécurité liée à l’environnement;
g)la sécurité des processus de paiement, qui devrait inclure: i. la procédure d’authentification du client utilisée pour l’accès tant à la consultation qu’aux opérations et pour tous les instruments de paiement sousjacents; ii. une explication de la manière dont le demandeur garantit à l’utilisateur legitime du service de paiement la mise à disposition et l’intégrité des facteurs d’authentification, tels que les jetons matériels et les applications mobiles, au moment tant de l’enrôlement initial que du renouvellement; 16 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 iii. une description des systèmes et des procédures mis en place par le demandeur pour analyser les opérations et détecter les opérations suspectes ou inhabituelles;
h)une évaluation détaillée des risques en rapport avec les services de paiement proposés, y compris du risque de fraude, en lien avec les mesures de contrôle et d’atténuation présentées dans le dossier de la demande, démontrant qu’il est remédié aux risques;
i)une liste des principales procédures formalisées en rapport avec les systèmes informatiques du demandeur ou, pour les procédures qui n’ont pas encore été formalisées, l’estimation de la date de leur finalisation. Orientation 14: Mécanismes de contrôle interne pour se conformer aux obligations en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme (obligations de LCB/FT) 14.1. La description des mécanismes de contrôle interne établis par le demandeur pour se conformer, le cas échéant, à ces obligations devrait contenir les informations suivantes:
a)l’évaluation par le demandeur des risques de blanchiment de capitaux et de financement du terrorisme associés à son activité, y compris les risques associés à la clientèle du demandeur, les produits et les services fournis, les canaux de distribution utilisés et les zones géographiques d’activité;
b)les mesures existantes ou celles que le demandeur mettra en place pour atténuer les risques et se conformer aux obligations existantes en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme, y compris le processus d’évaluation des risques du demandeur, les politiques et les procédures pour se conformer aux exigences de vigilance à l'égard de la clientèle et les politiques et les procédures pour détecter et notifier les opérations ou activités suspectes;
c)les systèmes et les contrôles existants ou ceux que le demandeur mettra en place pour garantir que ses succursales et ses agents se conforment aux exigences existantes en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme, y compris dans les cas où l’agent ou la succursale se trouve dans un autre État membre;
d)les dispositions existantes ou celles que le demandeur mettra en place pour garantir que le personnel et les agents sont dûment formés en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme;
e)l’identité de la personne chargée de garantir la conformité du demandeur avec les obligations en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme et la preuve que leur expertise en matière de lutte contre le blanchiment de 17 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 capitaux et le financement du terrorisme est suffisante pour leur permettre de remplir ce rôle de manière efficace;
f)les systèmes et les contrôles existants ou ceux que le demandeur mettra en place pour garantir que ses politiques et procédures en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme demeurent actualisées, efficaces et pertinentes;
g)les systèmes et les contrôles existants ou ceux que le demandeur mettra en place pour garantir que les agents n’exposent pas le demandeur à un risque accru de blanchiment de capitaux et de financement du terrorisme;
h)le manuel sur la lutte contre le blanchiment de capitaux et le financement du terrorisme destiné au personnel du demandeur. Orientation 15: Identité et évaluation de la qualité des personnes détenant une participation qualifiée dans le capital du demandeur 15.1 Aux fins de l’identification et de la preuve de la qualité des personnes détenant une participation qualifiée dans le capital de l’établissement de paiement demandeur, sans préjudice de l’évaluation conformément aux critères, le cas échéant, introduits par la directive 2007/44/CE et spécifiés dans les orientations communes relatives à l'évaluation prudentielle des acquisitions de participations qualifiées (JC/GL/2016/01), le demandeur devrait présenter les informations suivantes:
a)une description du groupe auquel appartient le demandeur et une mention de l’entreprise mère, le cas échéant;
b)un graphique présentant la structure de l'actionnariat du demandeur, incluant:
i)le nom et le taux de participation (capital/droits de vote) de chaque personne qui détient ou détiendra une participation directe dans le capital social du demandeur, identifiant les personnes considérées comme détenant une participation qualifiée et le motif de cette qualification;
ii)le nom et le taux de participation (capital/droits de vote) de chaque personne qui détient ou détiendra une participation indirecte dans le capital social du demandeur, identifiant les personnes considérées comme détenant une participation indirecte qualifiée et le motif de cette qualification;
c)une liste des noms de toutes les personnes et autres entités qui détiennent ou, en cas d’agrément, détiendront des participations qualifiées dans le capital du demandeur, indiquant pour chaque personne ou entité: 18 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 i. le nombre et le type d’actions souscrites ou qui seront souscrites ou d’autres participations prises ou qui seront prises; ii. la valeur nominale de ces actions ou autres participations. 15.2 Lorsqu’une personne qui détient ou, en cas d’agrément, détiendra une participation qualifiée dans le capital du demandeur est une personne physique, la demande devrait contenir la totalité des informations suivantes se rapportant à l’identité et à la qualité de cette personne :
a)le nom et le nom de naissance, la date et le lieu de naissance de la personne, sa nationalité (actuelle et antérieure), son numéro d’identification (le cas échéant) ou son numéro de passeport, son adresse et une copie d’un document d’identité officiel ;
b)un curriculum vitæ détaillé indiquant le parcours scolaire (diplômes) et la formation, l’expérience professionnelle antérieure ainsi que toute activité professionnelle ou autre fonction exercée actuellement;
c)une déclaration, accompagnée de pièces justificatives, contenant les informations suivantes à propos de la personne: i. sous réserve des exigences réglementaires nationales concernant la divulgation des condamnations passées, toute condamnation pénale ou procédure à l’issue de laquelle une décision a été adoptée à l’encontre de la personne et qui n’a pas été cassée en appel; ii. toute décision civile ou administrative concernant des questions pertinentes pour le processus d’évaluation ou d’agrément adoptée à l’encontre de la personne et imposant des sanctions ou des mesures administratives à la suite de la violation de la législation ou de la réglementation (y compris l’interdiction d’exercer la fonction d’administrateur d’une société), laquelle n’a pas été cassée en appel, ne fait l’objet d’aucun recours pendant et n’est susceptible d’aucun recours; iii. toute procédure de faillite, d’insolvabilité ou similaire; iv. toute enquête pénale en cours; v. toute enquête civile ou administrative, procédure d’exécution, sanction ou autre décision formant titre exécutoire à l’encontre de la personne concernant des questions susceptibles d’être considérées pertinentes pour l’agrément en vue de commencer d’exercer l’activité d’établissement de paiement ou pour la gestion saine et prudente d’un établissement de paiement; 19 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 vi. lorsque de tels documents peuvent être obtenus, une attestation officielle ou tout autre document équivalent démontrant si l’un quelconque des faits énoncés aux points
i)à
v)est intervenu à propos de la personne concernée; vii. tout refus d’enregistrement, d’agrément, d’adhésion ou de licence permettant d’exercer un métier, une activité ou une profession; viii. toute révocation, annulation ou résiliation d’un tel enregistrement, agrément, adhésion ou licence permettant d’exercer un métier, une activité ou une profession; ix. toute expulsion par une autorité ou entité publique du secteur des services financiers ou par un ordre ou une association professionnel(le); x. tout poste de responsabilité dans une entité faisant l’objet d’une condamnation ou d’une procédure pénale, d’une enquête administrative, d’une sanction ou autre décision formant titre exécutoire pour défauts de conduite, y compris pour fraude, malhonnêteté, corruption, blanchiment de capitaux, financement du terrorisme ou autre crime financier, ou la non-mise en place de politiques et de procédures adéquates pour éviter de tel faits, occupé au moment où la conduite présumée est intervenue, avec des détails sur ces faits et, le cas échéant, sur la participation de la personne dans ces faits; xi. tout licenciement d’un emploi ou toute destitution d’un poste de confiance ou d’une relation fiduciaire (autre que celle résultant de l’expiration du terme du contrat) ou toute situation similaire;
d)une liste des entreprises que la personne dirige ou contrôle et dont le demandeur a connaissance à la suite d’une enquête appropriée et minutieuse; le taux de contrôle direct ou indirect dans ces sociétés; leur statut (actives, dissoutes etc.); et une description des procédures d’insolvabilité ou similaires;
e)lorsqu’une évaluation de la réputation de la personne a déjà été effectuée par une autorité compétente du secteur des services financiers, l’identité de cette autorité et l’issue de l’évaluation;
f)la situation financière actuelle de la personne, y compris des détails concernant ses sources de revenus, ses actifs et passifs, ainsi que les droits de sûreté et les garanties donnés ou reçus; 20 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2
g)une description des éventuels liens avec des personnes politiquement exposées, au sens de l’article 3, point 9, de la directive (UE) 2015/849 2. 15.3 Lorsqu’une personne ou une entité détient ou, en cas d’agrément, détiendra une participation qualifiée dans le capital du demandeur (y compris les entités qui ne sont pas une personne morale et qui détiennent ou devraient détenir la participation en leur propre nom), la demande devrait contenir les informations suivantes concernant l’identité et la qualité de cette personne morale ou cette entité:
a)le nom ;
b)lorsque la personne juridique ou l’entité est enregistrée dans un registre central, un registre commercial, un registre de sociétés ou un registre similaire ayant le même but que celui des registres susvisés, une copie du certificat de régularité, si possible, ou une attestation d’enregistrement;
c)l’adresse de son siège statutaire et, lorsqu’il est différent, de son administration centrale et de son principal établissement;
d)les coordonnées;
e)les documents de la société ou, lorsque la personne ou l’entité est enregistrée dans un autre État membre, une synthèse des principales caractéristiques juridiques de la forme juridique ou de l’entité ;
f)si la personne juridique ou l’entité a été ou est réglementée par une autorité compétente du secteur des services financiers ou un autre organisme gouvernemental;
g)lorsque de tels documents peuvent être obtenus, une attestation officielle ou tout autre document équivalent prouvant les informations énoncées aux points
a)à
e)délivré par l’autorité compétente pertinente;
h)les informations visées à l’orientation 15, point 2, c), d), e),
f)et g), en rapport avec la personne morale ou l’entité;
i)une liste contenant les données de chaque personne déterminant effectivement l'orientation de l'activité de la personne morale ou de l’entité, y compris son nom, sa date et son lieu de naissance, son adresse, son numéro d’identification national, le cas échéant, et un curriculum vitæ détaillé (indiquant le parcours scolaire (diplômes) et la formation pertinents, l’expérience professionnelle antérieure ainsi que toute activité 2 Directive (UE) 2015/849/CE du Parlement européen et du Conseil du 20 mai 2015 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux et du financement du terrorisme (JO L 141 du 5.6.2015, p. 73). 21 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 professionnelle ou autre fonction pertinente exercée actuellement), ainsi que les informations visées à l’orientation 15, point 2,
c)et d), concernant chacune de ces personnes;
j)la structure de l'actionnariat de la personne morale, y compris, à tout le moins, le nom, la date et le lieu de naissance, l’adresse et, le cas échéant, le numéro d’identification personnel ou numéro d’enregistrement de chaque actionnaire, et le taux respectif du capital et des droits de vote des actionnaires directs ou indirects ou des membres et des bénéficiaires effectifs, au sens de l’article 3, point 6, de la directive (UE) 2015/849;
k)une description du groupe financier réglementé auquel appartient, ou est susceptible d’appartenir, le demandeur en précisant l’entreprise mère et les entités de crédit, d’assurance et de titres au sein du groupe; le nom de leur autorités compétentes (sur base individuelle ou consolidée); et
l)les états financiers annuels, au niveau social et, le cas échéant, aux niveaux consolidé et sous-consolidé, pour les trois derniers exercices, lorsque la personne morale ou l’entité est active sur cette période (ou, si elle est active depuis moins de trois ans, la période pendant laquelle la personne morale ou l’entité est active et pour laquelle des états financiers ont été établis), approuvés par le contrôleur légal des comptes ou le cabinet d’audit au sens de la directive 2006/43/CE 3 , le cas échéant, y compris chacun des éléments suivants: i. le bilan; ii. le compte de résultat; iii. les rapports annuels et annexes financières ainsi que tout autre document déposé auprès du registre ou de l’autorité compétente de la personne morale;
m)lorsque la personne morale n’a pas été active suffisamment longtemps afin d’être tenue d’établir des états financiers pour les trois exercices précédant immédiatement la date de la demande, la demande doit indiquer les états financiers existants (le cas échéant);
n)lorsque l’administration centrale de la personne morale ou de l’entité se trouve dans un pays tiers, des informations générales sur le régime réglementaire dudit pays tiers applicable à la personne morale ou à l’entité, y compris des informations sur la mesure dans laquelle le régime en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme du pays tiers est cohérent avec les recommandations du groupe d’action financière; 3 Directive 2006/43/CE du Parlement européen et du Conseil du 17 mai 2006 concernant les contrôles légaux des comptes annuels et des comptes consolidés et modifiant les directives 78/660/CEE et 83/349/CEE du Conseil, et abrogeant la directive 84/253/CEE du Conseil (JO L 157 du 9.6.2006, p. 87 à 107). 22 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2
o)pour les entités sans personnalité juridique, telles que les organismes de placement collectif, les fonds souverains ou les fiducies, la demande doit contenir les informations suivantes: i. l’identité des gestionnaires des actifs ainsi que des bénéficiaires ou souscripteurs; ii. une copie du document établissant et régissant l’entité, lequel comprend la politique d’investissement et les éventuelles restrictions d’investissement applicables à l’entité. 15.4. La demande doit indiquer toutes les informations suivantes pour chaque personne physique ou morale ou entité qui détient ou, en cas d’agrément, détiendra une participation qualifiée dans le capital du demandeur:
a)des détails sur les motifs financiers ou professionnels pour lesquels cette personne ou entité détient cette participation et la stratégie de la personne ou de l’entité concernant la participation, y compris la période pendant laquelle la personne ou l’entité a l’intention de détenir la participation et toute intention d’augmenter, de réduire ou de maintenir le niveau de la participation dans un avenir proche;
b)des détails sur les intentions de la personne ou de l’entité concernant le demandeur et sur l’influence que la personne ou l’entité a l’intention d’exercer sur le demandeur, y compris concernant la politique de dividendes, le développement stratégique et l’allocation des ressources du demandeur, si elle a l’intention ou non de remplir le rôle d’actionnaire minoritaire actif et le raisonnement sur lequel se fonde cette intention;
c)des informations sur la disposition de la personne ou de l’entité à apporter un soutien au demandeur en lui fournissant, si nécessaire, des fonds propres supplémentaires aux fins du développement de ses activités ou en cas de difficultés financières;
d)le contenu des pactes d’actionnaires ou de membres envisagés avec d’autres actionnaires ou membres en rapport avec le demandeur;
e)une analyse précisant si la participation qualifiée aura quelque incidence que ce soit, y compris en raison des liens étroits de la personne avec le demandeur, sur la capacité du demandeur de fournir en temps utile des informations exactes aux autorités compétentes;
f)l’identité de chaque membre de l’organe de gestion ou de la direction générale qui déterminera l'orientation de l'activité du demandeur et qui sera désigné par ces actionnaires ou membres, ou à la suite d’une nomination de la part de ces actionnaires ou membres, avec, dans la mesure où elles n’ont pas encore été fournies, les informations énoncées à l’orientation 16. 23 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 15.5. La demande devrait contenir une explication détaillée des sources spécifiques de financement pour la participation de chaque personne ou entité détenant une participation qualifiée dans le capital du demandeur, laquelle devrait inclure:
a)des détails sur l'utilisation de ressources financières privées, y compris leur disponibilité et (afin de garantir que l’autorité compétente est convaincue que l’activité d’où proviennent les fonds est légale) leur source;
b)des détails sur l’accès aux marchés financiers, y compris sur les instruments financiers qui seront émis;
c)des informations sur l’utilisation des fonds empruntés, y compris le nom des prêteurs et des détails sur les facilités octroyées, tels que les échéances, termes, sûretés et garanties, ainsi que des informations sur la source des revenus qui seront utilisés pour rembourser ces emprunts; lorsque le prêteur n’est pas un établissement de crédit ou un établissement financier autorisé à octroyer des crédits, le demandeur devrait fournir aux autorités compétentes des informations sur l’origine des fonds empruntés;
d)des informations sur tout accord financier avec d’autres personnes actionnaires ou membres du demandeur. Orientation 16: Identité et évaluation de la qualité des dirigeants et des personnes responsables de la gestion de l’établissement de paiement 16.1. Aux fins de l’identification et de l’évaluation de la qualité des dirigeants et des personnes responsables de la gestion de l’établissement de paiement, le demandeur devrait fournir les informations suivantes:
a)informations personnelles, y compris: i. nom et prénom, sexe, lieu et date de naissance, adresse et nationalité, ainsi que numéro d’identification personnel ou copie de carte d’identité ou autre document équivalent; ii. des détails sur le poste concerné par l’évaluation, que le poste de l’organe de direction soit un poste exécutif ou non-exécutif. Cela devrait inclure également les détails suivants: - la lettre d’engagement, le contrat, l’offre d’emploi ou les projets correspondants, selon le cas; - la date de début prévue et la durée du mandat; - une description des principales tâches et responsabilités de la personne; 24 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2
b)les cas échéant, des informations sur l’évaluation de qualité effectuée par le demandeur, qui devrait inclure des détails sur le résultat de toute évaluation de la qualité de la personne effectuée par l’établissement, tels que le procès-verbal des réunions du conseil d’administration ou les rapports d’évaluation de la qualité ou autres documents;
c)preuve des connaissances, compétences et expérience, qui devrait inclure un curriculum vitæ contenant des détails sur le parcours scolaire et l’expérience professionnelle, y compris les diplômes universitaires, toute autre formation pertinente, le nom et la nature des organismes pour lesquels la personne travaille ou a travaillé et la nature et la durée des fonctions exercées, notamment en mettant l’accent sur les activités relatives au poste concerné;
d)preuve de réputation, d’honnêteté et d’intégrité, qui devrait inclure: i. casiers judiciaires et informations pertinentes concernant enquêtes ou procédures pénales, affaires civiles et administratives pertinentes et mesures disciplinaires, y compris l’interdiction du droit d’exercer un poste d’administrateur de société ou des procédures de faillite, d’insolvabilité ou similaires, notamment au moyen d’une attestation officielle ou toute source d’information objectivement fiable concernant l’absence de condamnation, d’enquêtes et de procédures pénales, telles que des enquêtes effectuées par des tiers et des preuves fournies par un avocat ou un notaire établi dans l’Union européenne; ii. une déclaration concernant l’existence ou non de procédures pénales en cours ou la participation, en qualité de débiteur, de la personne ou de tout organisme dirigé par celle-ci dans une procédure d’insolvabilité ou une procédure similaire; iii. des informations sur les questions suivantes: - enquêtes, procédures d’exécution ou sanctions par une autorité de surveillance concernant directement ou indirectement la personne; - refus d’enregistrement, d’agrément, d’adhésion ou de licence permettant d’exercer un métier, une activité ou une profession; révocation, annulation ou résiliation d’un tel enregistrement, agrément, adhésion ou licence; ou expulsion par un organisme de réglementation ou gouvernemental ou par un ordre ou une association professionnel(le); - licenciement d’un emploi ou toute destitution d’un poste de confiance ou d’une relation fiduciaire ou toute situation similaire, ou demande de démission d’un tel poste, exception faite des licenciements économiques; 25 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 - si une autre autorité compétente a déjà réalisé une évaluation de la réputation du candidat acquéreur ou de la personne dirigeant les activités d’un établissement, y compris l’identité de cette autorité, la date de l’évaluation et des preuves de l’issue de cette évaluation, et le consentement de la personne, le cas échéant, pour rechercher et traiter de telles informations et utiliser les informations fournies pour l’évaluation de la qualité; - si une évaluation antérieure de la personne a déjà été réalisée par une autre autorité n’appartenant pas au secteur financier, y compris l’identité de cette autorité et des preuves de l’issue d’une telle évaluation. Orientation 17: Identité des contrôleurs légaux des comptes et des cabinets d’audit L’identité des contrôleurs légaux des comptes et des cabinets d’audit, au sens de la directive 2006/43/CE, à fournir par le demandeur, le cas échéant, devrait comprendre les noms, adresses et coordonnées des contrôleurs des comptes. Orientation 18: Assurance de responsabilité civile professionnelle ou garantie comparable pour services d’initiation de paiement et services d’information sur les comptes Pour prouver une assurance de responsabilité civile professionnelle ou une garantie comparable conforme aux orientations de l’ABE sur les critères permettant de déterminer le montant minimal de l’assurance de responsabilité civile professionnelle ou d’une autre garantie comparable (ABE/GL/2017/08) et à l’article 5, paragraphe 2 et 3, de la DSP2, le demandeur de prestation de SIP ou de SIC devrait fournir les informations suivantes:
a)un contrat d’assurance ou autre document équivalent confirmant l’existence d’une assurance de responsabilité civile professionnelle ou d’une garantie comparable, avec un montant de couverture conforme aux orientations susvisées de l’ABE, démontrant la couverture des responsabilités pertinentes;
b)documentation concernant la manière dont le demandeur a calculé le montant minimal de sorte à ce qu’il soit conforme aux orientations susvisées de l’ABE, y compris toutes les composantes applicables de la formule spécifiée dans celles-ci. 26 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 4.2 Orientations sur les informations requises de la part des demandeurs d’un enregistrement pour la prestation uniquement du service visé au point 8 de l’annexe I de la directive (UE) 2015/2366 (services d’information sur les comptes) Orientation 1: Principes généraux 1.1 Le présent ensemble d’orientations s’applique aux demandeurs d’enregistrement en tant que prestataires de services d’information sur les comptes (PSIC). Cela concerne les demandeurs ayant l’intention de fournir uniquement des services d’information sur les comptes (SIC). Si le demandeur a l’intention de fournir des services supplémentaires aux SIC, il devrait déposer une demande d’agrément et se référer aux orientations énoncées dans la section 4.1 pour les établissements de paiement (EP). 1.2 Les informations fournies par les demandeurs devraient être vraies, complètes, exactes et actualisées. Tous les demandeurs devraient se conformer à la totalité des dispositions figurant dans l’ensemble des orientations qui leur est applicable. Le niveau de détail dont la conformité est exigé devrait être proportionné à la taille et à l’organisation interne du demandeur ainsi qu’à la nature, à la portée, à la complexité et au risque du (des) service(
s)particulier(
s)que le demandeur a l’intention de fournir. En tout état de cause, conformément à la directive (UE) 2015/2366, les dirigeants et les personnes responsables de la gestion de l’établissement de paiement jouissent de l’honorabilité et possèdent les compétences et l’expérience requises aux fins de la prestation des services de paiement, indépendamment de la taille et de l’organisation interne de l’établissement ainsi que de la nature, de la portée et de la complexité de ses activités et des tâches et responsabilités du poste spécifique. 1.3 Lorsqu’il soumet les informations requises, le demandeur devrait éviter les références à des sections spécifiques de procédures/documents internes. Le demandeur devrait, au contraire, extraire les sections pertinentes et les fournir à l’autorité compétente (AC). 1.4 Si les AC requièrent des clarifications sur les informations soumises, le demandeur devrait les fournir sans tarder. 27 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 1.5 Toutes les données demandées au titre des présentes orientations pour l’enregistrement en tant que prestataire de services d’information sur les comptes (PSIC) sont nécessaires afin d’évaluer la demande et elles seront traitées par l’autorité compétente conformément aux obligations en matière de secret professionnel énoncées dans la DSP2, sans préjudice du droit de l’Union applicable et des exigences et procédures nationales concernant l’exercice du droit d’accès, de correction, d’annulation ou d’opposition. Orientation 2: Éléments d’identification 2.1 Si le demandeur est une personne physique, les éléments d’identification à fournir par le demandeur devraient inclure les informations suivantes:
a)nom, adresse, nationalité et date et lieu de naissance;
b)une copie de la carte d’identité ou d’une pièce d’identité équivalente;
c)un curriculum vitæ actualisé;
d)un extrait du casier judiciaire datant de trois mois tout au plus;
e)le nom des personne(
s)chargées de traiter le dossier de la demande et de la procédure d’agrément et leurs coordonnées. 2.2 Si le demandeur est une personne morale, les éléments d’identification à fournir par le demandeur devraient inclure les informations suivantes:
a)la dénomination sociale du demandeur et, si elle est différente, sa dénomination commerciale;
b)une mention précisant si la personne morale est déjà constituée ou en cours de constitution;
c)le numéro d'identification national du demandeur, le cas échéant;
d)le statut juridique et les statuts (éventuellement sous forme de projet) et/ou les documents constitutifs du demandeur démontrant son statut juridique;
e)l’adresse de l’administration centrale et du siège statutaire du demandeur;
f)l’adresse électronique et le site Internet du demandeur, le cas échéant;
g)le nom des personne(
s)chargée(
s)de traiter le dossier de la demande et de la procédure d’agrément ainsi que leurs coordonnées; 28 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2
h)une mention précisant si le demandeur a été, ou est actuellement, assujetti auprès d’une autorité compétente du secteur des services financiers;
i)le certificat de constitution du registre ou, le cas échéant, une attestation négative de la part d’un registre commercial certifiant que la dénomination utilisée par la société est disponible;
j)preuve du paiement des éventuels droits ou du dépôt de fonds en vue de déposer une demande d’enregistrement en tant que prestataire de services d’information sur les comptes, conformément, le cas échéant, au droit national. Orientation 3: Programme d'activité 3.1. Le programme d’activité à fournir par le demandeur devrait inclure les informations suivantes:
a)une description du service d’information sur les comptes que le demandeur a l’intention de fournir, y compris une explication de la manière dont le demandeur a déterminé que l’activité relève de la définition de service d’information sur les comptes au sens de l’article 4, point 16, de la directive (UE) 2015/2366 (DPS2);
b)une déclaration selon laquelle le demandeur n’entrera à aucun moment en possession de fonds;
c)une description de la fourniture du service d’information sur les comptes comprenant: i. des projets de contrats entre tous les participants, le cas échéant; ii. les modalités et les conditions de la fourniture des services d’information sur les comptes; iii. les temps de traitement;
d)une estimation du nombre des différents locaux à partir desquels le demandeur à l’intention de fournir les services, le cas échéant;
e)une description des éventuels services auxiliaires au service d’information sur les comptes;
f)une déclaration permettant de savoir si le demandeur a l’intention de fournir des services d’information sur les comptes dans un autre État membre de l’UE ou dans un autre pays une fois enregistré;
g)une mention précisant si le demandeur a l’intention d’exercer, dans les trois années à venir, ou exerce déjà des activités autres que des services d’information sur les comptes 29 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 au sens de l’article 18 de la directive 2015/2366, y compris une description du type et du volume attendus des activités;
h)les informations visées dans les orientations de l’ABE sur les critères permettant de déterminer le montant minimal de l’assurance de responsabilité civile professionnelle ou d’une autre garantie comparable au titre de l’article 5, paragraphe 4, de la directive (UE) 2015/2366 (ABE/GL/2017/08), lorsque le demandeur a l’intention de fournir uniquement le service visé au point 8 (SIC). Orientation 4: Plan d’affaires 4.1. Le plan d’affaires à fournir par le demandeur devrait contenir:
a)un plan de commercialisation consistant en: i. une analyse de la position concurrentielle de la société; ii. une description des utilisateurs du service d’information sur les comptes dans le segment correspondant du marché des informations sur les comptes, des supports de marketing et des canaux de distribution;
b)les comptes annuels certifiés des trois dernières années, si disponibles, ou une synthèse de la situation financière pour les demandeurs n’ayant pas encore établi de comptes annuels;
c)un calcul budgétaire prévisionnel afférent aux trois premiers exercices qui démontre que le demandeur est en mesure de mettre en œuvre les systèmes, ressources et procédures appropriés et proportionnés nécessaires à son bon fonctionnement; ce calcul budgétaire prévisionnel devrait inclure: i. un compte de résultat et un bilan prévisionnel, incluant des scénarios cibles et des scénarios de crise ainsi que les hypothèses de base, telles que le nombre de clients, la tarification et la hausse attendue du seuil de rentabilité; ii. des explications sur les principaux postes de charges et produits, les dettes financières et les immobilisations; iii. un schéma et une ventilation détaillée de l’estimation des flux de trésorerie pour les trois années à venir. Orientation 5: Organisation structurelle 5.1. Si le demandeur est une personne physique, la description de l’organisation structurelle de l’entreprise du demandeur devrait inclure les informations suivantes: 30 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2
a)une prévision globale des effectifs pour les trois années à venir;
b)une description des accords pertinents d’externalisation opérationnelle consistant en: i. l’identité et la localisation du prestataire de services externe; ii. l’identité des personnes au sein du PSIC responsables de chaque activité externalisée; iii. une description détaillée des activités externalisées et de ses principales caractéristiques;
c)une copie des projets d’accords d’externalisation;
d)le cas échéant, une description de l’utilisation de succursales et d’agents, y compris: i. un plan des contrôles sur pièces et sur place que le demandeur a l’intention d’effectuer sur les succursales et les agents; ii. les systèmes informatiques, les processus et l’infrastructure utilisés par les agents du demandeur en vue d’exercer des activités pour le compte du demandeur; iii. s’agissant d’agents, la politique de sélection, les procédures de suivi et la formation des agents et, le cas échéant, le projet du contrat d’engagement;
e)une liste de toutes les personnes physiques ou morales ayant des liens étroits avec le demandeur PSIC, en précisant leur identité et la nature de ces liens. 5.2. Si le demandeur est une personne morale, la description de l’organisation structurelle de son entreprise devrait inclure les informations suivantes:
a)un organigramme détaillé, indiquant chaque unité, service ou séparation structurelle similaire, y compris le nom des personnes responsables, notamment celles chargées des fonctions de contrôle interne; l’organigramme devrait être accompagné d’une description des fonctions et des responsabilités de chaque unité, service ou séparation structurelle similaire;
b)une prévision globale des effectifs pour les trois années à venir;
c)une description des accords pertinents d’externalisation consistant en: i. l’identité et la localisation du prestataire de services externe; ii. l’identité des personnes au sein du PSIC responsables de chaque activité externalisée; 31 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 iii. une description détaillée des activités externalisées et de ses principales caractéristiques;
d)une copie des projets d’accords d’externalisation;
e)le cas échéant, une description de l’utilisation de succursales et d’agents, y compris:
f)i. un plan des contrôles sur pièces et sur place que le demandeur a l’intention d’effectuer sur les succursales et les agents; ii. les systèmes informatiques, les processus et les infrastructures utilisés par les agents du demandeur en vue d’exercer des activités pour le compte du demandeur; iii. s’agissant d’agents, la politique de sélection, les procédures de suivi et la formation des agents et, le cas échéant, le projet du contrat d’engagement; une liste de toutes les personnes physiques ou morales ayant des liens étroits avec le demandeur, en précisant leur identité et la nature de ces liens. Orientation 6: Dispositif de gouvernance et mécanismes de contrôle interne 6.1. Le demandeur devrait fournir une description du dispositif de gouvernance et des mécanismes de contrôle interne consistant en:
a)une cartographie des risques décelés par le demandeur, incluant le type de risques et les procédures que le demandeur mettra en place pour évaluer et éviter de tels risques;
b)les différentes procédures visant à effectuer des contrôles périodiques et permanents y compris la fréquence et les ressources humaines allouées;
c)les procédures comptables au moyen desquelles le demandeur enregistrera et publiera ses informations financières;
d)l’identité de la (des) personne(
s)responsable(
s)des fonctions de contrôle interne, y compris des contrôles périodiques et permanents et de conformité, ainsi qu’un curriculum vitae actualisé;
e)l’identité de tout contrôleur des comptes n’étant pas un contrôleur légal des comptes en vertu de la directive 2006/43/CE;
f)la composition de l’organe de direction et, le cas échéant, de tout autre organe ou comité de surveillance; 32 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2
g)une description de la manière dont les fonctions externalisées sont suivies et contrôlées afin d’éviter une altération de la qualité des contrôles internes du demandeur;
h)une description de la manière dont les éventuels agents et succursales sont suivis et contrôlés dans le cadre des contrôles internes du demandeur;
i)si le demandeur est la filiale d’une entité réglementée dans un autre État membre de l’UE, une description de la gouvernance du groupe. Orientation 7: Procédure pour assurer la surveillance, le traitement et le suivi des incidents de sécurité et des réclamations de clients liées à la sécurité 7.1. Le demandeur devrait fournir une description de la procédure en place pour assurer la surveillance, le traitement et le suivi des incidents de sécurité et des réclamations de clients liées à la sécurité, laquelle devrait contenir:
a)des mesures organisationnelles et des outils de prévention de la fraude;
b)des détails sur les personnes et les organes chargés de l’assistance aux clients en cas de fraude, de problème technique et/ou de réclamation;
c)les lignes de remontée des cas de fraude au sein de l’organisation du demandeur;
d)le point de contact pour les clients, incluant un nom et une adresse électronique;
e)les procédures relatives à la notification des incidents, y compris la communication de ces notifications à des organes internes ou externes, prévoyant notamment la notification d’incidents majeurs aux autorités compétentes nationales au titre de l’article 96 de la DSP2, et conformément aux orientations de l’ABE sur la notification des incidents au titre de l’article susvisé;
f)les outils de surveillance utilisés et les mesures et les procédures de suivi en place afin d’atténuer les risques de sécurité. Orientation 8: Processus en place pour enregistrer, surveiller, tracer et restreindre l’accès aux données de paiement sensibles et garder la trace de ces accès 8.1. Le demandeur devrait fournir une description du processus en place pour enregistrer, surveiller et restreindre l’accès aux données de paiement sensibles et garder la trace de ces accès comportant :
a)une description du flux de données classées comme données sensibles de paiement dans le cadre du fonctionnement opérationnel du PSIC;
b)les procédures en place pour autoriser l’accès aux données de paiement sensibles; 33 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2
c)une description de l’outil de surveillance;
d)la politique de droit d’accès, détaillant l’accès à tous les systèmes et composantes d’infrastructure pertinents, y compris les bases de données et les infrastructures de secours;
e)une description des modalités d’archivage des données collectées;
f)l’utilisation interne et/ou externe envisagée des données collectées, y compris par les cocontractants;
g)le système informatique et les mesures de sécurité techniques mises en place y compris le chiffrement et/ou la tokenisation;
h)l’identification des personnes, organes et/ou comités ayant accès aux données de paiement sensibles;
i)une explication de la manière dont seront décelées et traitées les violations de sécurité;
j)un programme annuel de contrôle interne en rapport avec la sécurité des systèmes informatiques. Orientation 9: Dispositions en matière de continuité des activités 9.1. Le demandeur devrait fournir une description des dispositions en matière de continuité des activités comportant les informations suivantes:
a)une analyse d’impact sur les activités, incluant les processus opérationnels et les objectifs de reprise, tels que les délais maximaux admissibles d’indisponibilité, les pertes de données maximales admissibles et les actifs protégés;
b)l’identification du site de secours, des accès à l’infrastructure informatique et des principaux logiciels et données à récupérer en cas de sinistre ou de défaillance;
c)une explication de la manière dont le demandeur traitera les événements et défaillances de continuité significatifs, tels que la défaillance de systèmes clés; la perte de données clés; l’inaccessibilité des locaux; et la perte de personnes clés;
d)la fréquence avec laquelle de demandeur a l’intention de soumettre à des tests ses plans de continuité des activités et de récupération en cas de sinistre, en précisant la manière dont les résultats des tests seront pris en compte. 34 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 Orientation 10: Document relatif à la politique de sécurité 10.1. Le demandeur devrait fournir un document relatif à la politique de sécurité contenant les informations suivantes:
a)une évaluation détaillée des risques du (des) service(
s)de paiement que le demandeur a l’intention de fournir, laquelle devrait inclure les risques de fraude et les mesures de contrôle de sécurité et d’atténuation adoptées afin de protéger de façon adéquate les utilisateurs de services de paiement contre les risques identifiés;
b)une description des systèmes informatiques, laquelle devrait inclure: i. l‘architecture des systèmes et des réseaux; ii. les systèmes informatiques supportant des activités opérationnelles exercées, tels que le site Internet du demandeur, le module de gestion des risques et de la fraude et la comptabilité client; iii. les systèmes informatiques de support pour l’organisation et l’administration du PSIC, tels que la comptabilité, les systèmes de déclaration légales, la gestion du personnel, la gestion des relations avec la clientèle, les serveurs de courrier électronique et les serveurs de fichiers internes; iv. des informations précisant si le PSIC ou son groupe utilisent déjà ces systèmes et l’estimation de leur date de mise en œuvre, le cas échéant;
c)le type de connexions autorisées de l’extérieur, par exemple par des associés, des prestataires de services, des entités du groupe et des employés travaillant à distance, en expliquant la raison de ces connexions;
d)pour chacune des connexions énumérées au point c), les mesures et mécanismes de sécurité logiques en place, spécifiant le contrôle que l’établissement de paiement exercera sur un tel accès ainsi que la nature et la fréquence de chaque contrôle, tel que technique/organisationnel; préventif/détectif; suivi en temps réel/examens réguliers, tels que l’utilisation d’un répertoire distinct de celui du groupe, l’ouverture/fermeture de lignes de communication, la configuration de l’équipement de sécurité, la création de clés ou de certificats d’authentification client, le suivi des systèmes, l’authentification, la confidentialité des communications, la détection des intrusions, les systèmes antivirus et l’enregistrement des connexions;
e)les mesures et mécanismes de sécurité logiques régissant l’accès interne aux systèmes informatiques, lesquels devraient inclure: 35 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2
f)i. la nature technique et organisationnelle et la fréquence de chaque mesure, par exemple s’il s’agit d’une mesure préventive ou détective et si elle est mise en œuvre en temps réel; ii. la manière dont est traitée la question du cantonnement de l’environnement client dans les cas où les ressources informatiques du demandeur sont partagées; les mesures et mécanismes de sécurité physique des locaux et du centre de données du demandeur, tels que les contrôles de l’accès et la sécurité liée à l’environnement;
g)la sécurité des processus de paiement, qui devrait inclure: i. la procédure d’authentification du client utilisée pour l’accès tant à la consultation qu’aux opérations; ii. une explication de la manière dont le demandeur garantit à l’utilisateur légitime du service de paiement la mise à disposition et l’intégrité des facteurs d’authentification, tels que les jetons matériels et les applications mobiles, au moment tant de l’enrôlement initial que du renouvellement; iii. une description des systèmes et des procédures mis en place par le demandeur pour analyser les opérations et détecter les opérations suspectes ou inhabituelles;
h)une évaluation détaillée des risques en rapport avec les services de paiement proposés, y compris du risque de fraude, en lien avec les mesures de contrôle et d’atténuation présentées dans le dossier de la demande, démontrant qu’il est remédié aux risques;
i)une liste des principales procédures formalisées en rapport avec les systèmes informatiques du demandeur ou, pour les procédures qui n’ont pas encore été formalisées, l’estimation de la date de leur finalisation. Orientation 11: Identité et évaluation de la qualité des dirigeants et des personnes responsables de la gestion du prestataire de services d’information sur les comptes 11.1. Aux fins de l’identification et de l’évaluation de la qualité des dirigeants et des personnes responsables de la gestion du prestataire de services d’information sur les comptes, le demandeur devrait fournir les informations suivantes:
a)informations personnelles, y compris: i. nom et prénom, sexe, lieu et date de naissance, adresse et nationalité, ainsi que numéro d’identification personnel ou copie de carte d’identité ou autre document équivalent; 36 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 ii. des détails sur le poste concerné par l’évaluation, que le poste de l’organe de direction soit un poste exécutif ou non-exécutif; cela devrait inclure également les détails suivants: - la lettre d’engagement, le contrat, l’offre d’emploi ou les projets correspondants, selon le cas; - la date de début prévue et la durée du mandat; - une description des principales tâches et responsabilités de la personne;
b)les cas échéant, des informations sur l’évaluation de qualité effectuée par le demandeur, qui devrait inclure des détails sur le résultat de toute évaluation de la qualité de la personne effectuée par l’établissement, tels que le procès-verbal des réunions du conseil d’administration ou les rapports d’évaluation de la qualité ou autres documents;
c)preuve des connaissances, compétences et expérience, qui devrait inclure un curriculum vitæ contenant des détails sur le parcours scolaire et l’expérience professionnelle, y compris les diplômes universitaires, toute autre formation pertinente, le nom et la nature des organismes pour lesquels la personne travaille ou a travaillé et la nature et la durée des fonctions exercées, notamment en mettant l’accent sur les activités relatives au poste concerné;
d)preuve de réputation, d’honnêteté et d’intégrité, qui devrait inclure: i. casiers judiciaires et informations pertinentes concernant enquêtes ou procédures pénales, affaires civiles et administratives pertinentes et mesures disciplinaires, y compris l’interdiction du droit d’exercer un poste d’administrateur de société ou des procédures de faillite, d’insolvabilité ou similaires, notamment au moyen d’une attestation officielle ou toute source d’information objectivement fiable concernant l’absence de condamnation, d’enquêtes et de procédures pénales, telles que des enquêtes effectuées par des tiers ou des preuves fournies par un avocat ou un notaire établi dans l’Union européenne; ii. une déclaration concernant l’existence ou non de procédures pénales pendantes ou la participation, en qualité de débiteur, de la personne ou de tout organisme dirigé par celle-ci dans une procédure d’insolvabilité ou une procédure similaire; iii. des informations sur les questions suivantes: - enquêtes, procédures d’exécution ou sanctions par une autorité de surveillance concernant directement ou indirectement la personne; 37 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 - refus d’enregistrement, d’agrément, d’adhésion ou de licence permettant d’exercer un métier, une activité ou une profession; révocation, annulation ou résiliation d’un tel enregistrement, agrément, adhésion ou licence; ou expulsion par un organisme de réglementation ou gouvernemental ou par un ordre ou une association professionnel(le); - licenciement d’un emploi ou toute destitution d’un poste de confiance ou d’une relation fiduciaire ou toute situation similaire, ou demande de démission d’un tel poste, exception faite des licenciements économiques; - si une autre autorité compétente a déjà réalisé une évaluation de la réputation du candidat acquéreur ou de la personne dirigeant les activités d’un établissement, y compris l’identité de cette autorité, la date de l’évaluation et des preuves de l’issue de cette évaluation, et le consentement de la personne, le cas échéant, pour rechercher et traiter de telles informations et utiliser les informations fournies pour l’évaluation de la qualité; - si une évaluation antérieure de la personne a déjà été réalisée par une autre autorité n’appartenant pas au secteur financier, y compris l’identité de cette autorité et des preuves de l’issue d’une telle évaluation. Orientation 12: Assurance de responsabilité civile professionnelle ou garantie comparable 12.1. Pour prouver une assurance de responsabilité civile professionnelle ou une garantie comparable conforme aux orientations de l’ABE sur l’assurance de responsabilité civile professionnelle (ABE/GL/2017/08) et à l’article 5, paragraphe 2 et 3, de la DSP2, le demandeur devrait fournir les informations suivantes:
a)un contrat d’assurance ou autre document équivalent confirmant l’existence d’une assurance de responsabilité civile professionnelle ou d’une garantie comparable, avec un montant de couverture conforme aux orientations susvisées de l’ABE, démontrant la couverture des responsabilités pertinentes;
b)documentation concernant la manière dont le demandeur a calculé le montant minimal de sorte à ce qu’il soit conforme aux orientations susvisées de l’ABE, y compris toutes les composantes applicables de la formule spécifiée dans celles-ci. 38 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 4.3 Orientations sur les informations requises de la part des demandeurs d’un agrément en tant qu’établissements de monnaie électronique Orientation 1: Principes généraux 1.1 Le présent ensemble d’orientations s’applique aux demandeurs d’agrément en tant qu’établissements de monnaie électronique (EME). Cela concerne les demandeurs ayant l’intention de fournir des services de monnaie électronique et, le cas échéant, l’un quelconque des services de paiement visés aux points 1 à 8 de l’annexe I de la DSP2. Les demandeurs ayant l’intention de fournir uniquement les services de paiement visés aux points 1 à 7 de l’annexe I de la DSP2 ou le service visé au point 8 de ladite annexe en lien avec d’autres services visés aux points 1 à 7 sans fournir de services de monnaie électronique devraient se référer à l’ensemble spécifique d’orientations sur les informations requises de la part des demandeurs d’un agrément en tant qu’établissements de paiement (EP) énoncées dans la section 4.1. Les demandeurs ayant l’intention de fournir uniquement les services de paiement visés au point 8 de l’annexe I de la DSP2 sans fournir de services de monnaie électronique devraient se référer aux orientations sur les informations requises de la part des demandeurs d’un enregistrement pour la prestation uniquement du service visé au point 8 de l’annexe I de la DSP2 énoncées dans la section 4.2. 1.2 Les informations fournies par les demandeurs devraient être vraies, complètes, exactes et actualisées. Tous les demandeurs devraient se conformer à la totalité des dispositions figurant dans l’ensemble des orientations qui leur est applicable. Le niveau de détail devrait être proportionné à la taille et à l’organisation interne du demandeur ainsi qu’à la nature, à la portée, à la complexité et au risque du (des) service(
s)particulier(
s)que le demandeur a l’intention de fournir. En tout état de cause, conformément à la directive (UE) 2015/2366, les dirigeants et les personnes responsables de la gestion de l’établissement de monnaie électronique jouissent de l’honorabilité et possèdent les compétences et l’expérience requises aux fins de la prestation des services de paiement, indépendamment de la taille et de l’organisation interne de l’établissement ainsi que de la nature, de la portée et de la complexité de ses activités et des tâches et responsabilités du poste spécifique. 1.3 Lorsqu’il soumet les informations requises, le demandeur devrait éviter les références à des sections spécifiques de procédures/documents internes. Le demandeur devrait, au contraire, extraire les sections pertinentes et les fournir à l’autorité compétente. 39 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 1.4 Si les autorités compétentes (AC) requièrent des clarifications sur les informations soumises, le demandeur devrait les fournir sans tarder. 1.5 Toutes les données demandées au titre des présentes orientations pour l’agrément en tant qu’EME sont nécessaires afin d’évaluer la demande et elles seront traitées par l’autorité compétente conformément aux obligations en matière de secret professionnel énoncées dans la DSP2, sans préjudice du droit de l’Union applicable et des exigences et procédures nationales concernant l’exercice du droit d’accès, de correction, d’annulation ou d’opposition. Orientation 2: Éléments d’identification 2.1 Les éléments d’identification à fournir par le demandeur devraient inclure les informations suivantes:
a)la dénomination sociale du demandeur et, si elle est différente, sa dénomination commerciale;
b)une mention précisant si la personne morale est déjà constituée ou en cours de constitution;
c)le numéro d'identification national du demandeur, le cas échéant;
d)le statut juridique et les statuts (éventuellement sous forme de projet) et/ou les documents constitutifs du demandeur démontrant son statut juridique;
e)l’adresse de l’administration centrale et du siège statutaire du demandeur;
f)l’adresse électronique et le site Internet du demandeur, le cas échéant;
g)le nom de la (des) personne(
s)chargée(
s)de traiter le dossier de la demande et de la procédure d’agrément ainsi que leurs coordonnées;
h)une mention précisant si le demandeur a été, ou est actuellement, assujetti auprès d’une autorité compétente du secteur des services financiers;
i)les associations professionnelles auxquelles le demandeur envisage d’adhérer en rapport avec la prestation de services de monnaie électronique et/ou de services de paiement, le cas échéant;
j)le certificat de constitution du registre ou, le cas échéant, une attestation négative de la part d’un registre commercial certifiant que la dénomination utilisée par la société est disponible; 40 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2
k)preuve du paiement des éventuels droits ou du dépôt de fonds en vue de déposer une demande d’agrément en tant qu’établissement de monnaie électronique, conformément, le cas échéant, au droit national. Orientation 3: Programme d'activité 3.1 Le programme d’activité à fournir par le demandeur devrait inclure les informations suivantes:
a)une mention des services de monnaie électronique que le demandeur a l’intention de fournir: émission, remboursement, distribution;
b)le cas échéant, une description par étape du type de services de paiement envisagé, y compris une explication des raisons pour lesquelles, selon le demandeur, les activités et les opérations qui seront réalisées relèvent d’une quelconque des catégories juridiques de services de paiement énumérées à l’annexe I de la DSP2 et une mention précisant si ces services de paiement seront fournis en plus des services de monnaie électronique ou s’ils sont liés à l’émission de monnaie électronique;
c)une déclaration précisant si le demandeur entrera, à quelque moment que ce soit, en possession de fonds;
d)le cas échéant, une description de l’exécution des différents services de monnaie électronique et, le cas échéant, des services de paiement, détaillant tous les participants, pour chaque service de monnaie électronique et, le cas échéant, pour chaque service de paiement fourni: i. un schéma du flux financiers; ii. un dispositif de règlement; iii. les projets de contrats entre toutes les parties impliquées dans la fourniture des services de paiement y compris ceux avec des schémas de cartes de paiement, le cas échéant; iv. les temps de traitement;
e)une copie du projet de contrat entre l’émetteur de la monnaie électronique et le détenteur de la monnaie électronique et du projet de contrat-cadre, au sens de l’article 4, point 21, de la DSP2, si le demandeur a l’intention de fournir des services de paiement en plus des services de monnaie électronique;
f)une estimation du nombre des différents locaux à partir desquels le demandeur a l’intention de fournir les services, le cas échéant; 41 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2
g)une description des éventuels services auxiliaires aux services de monnaie électronique, et, le cas échéant, aux services de paiement;
h)lorsque le demandeur a l’intention de fournir des services de paiement en plus des services de monnaie électronique, une déclaration précisant si le demandeur a l’intention d’octroyer des crédits et, si oui, dans quelles limites;
i)une déclaration précisant si le demandeur envisage de fournir des services de monnaie électroniques et, le cas échéant, des services de paiement dans d’autres États membres de l’UE ou pays tiers après l’octroi de l’agrément;
j)une mention précisant si le demandeur a l’intention d’exercer, dans les trois années à venir, ou exerce déjà des activités autres que des services de monnaie électronique et, le cas échéant, des services de paiement, visés à l’article 11, point 5, de la directive (UE) 2015/2366, y compris une description du type et du volume attendus des activités;
k)les informations visées dans les orientations de l’ABE sur les critères permettant de déterminer le montant minimal de l’assurance de responsabilité civile professionnelle ou d’une autre garantie comparable au titre de l’article 5, paragraphe 4, de la directive (UE) 2015/2366 (ABE/GL/2017/08), lorsque le demandeur a l’intention de fournir les services visés aux points 7 et 8 (services d’initiation de paiement (SIP) et services d’information sur les comptes (SIC). Orientation 4: Plan d’affaires 4.1. Le plan d’affaires à fournir par le demandeur devrait contenir:
a)un plan de commercialisation consistant en: i. une analyse de la position concurrentielle de la société dans le marché de monnaie électronique et, le cas échéant, dans le segment du marché des paiements concerné; ii. une description des utilisateurs du service de paiement et des détenteurs de monnaie électronique, des supports de marketing et des canaux de distribution;
b)les comptes annuels certifiés des trois dernières années, si disponibles, ou une synthèse de la situation financière pour les sociétés n’ayant pas encore établi de comptes annuels;
c)un calcul budgétaire prévisionnel afférent aux trois premiers exercices qui démontre que le demandeur est en mesure de mettre en œuvre les systèmes, ressources et procédures appropriés et proportionnés nécessaires à son bon fonctionnement; ce calcul budgétaire prévisionnel devrait inclure: 42 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 i. un compte de résultat et un bilan prévisionnel, y compris des scénarios cibles et des scénarios de crise ainsi que les hypothèses de base, telles que le volume et la valeur des opérations, le nombre de clients, la tarification, le montant moyen des opérations, la hausse attendue du seuil de rentabilité; ii. des explications sur les principaux postes de charges et produits, les dettes financières et les immobilisations; iii. un schéma et une ventilation détaillée de l’estimation des flux de trésorerie pour les trois années à venir;
d)des informations sur les fonds propres, y compris le montant et la ventilation détaillée de la composition du capital initial visé à l’article 57, points
a)et b), de la directive 2006/48/CE;
e)des informations sur les exigences minimales de fonds propres et leur calcul, conformément à la méthode D, visée à l’article 5, paragraphe 3, de la directive (UE) 2009/110 (deuxième directive relative à la monnaie électronique (DME2)), si l’établissement de monnaie électronique a l’intention de fournir uniquement des services de monnaie électronique, ou la (les) méthode(
s)visée(
s)à l’article 9 de la directive (UE) 2015/2366 (DSP2) telle que déterminé par l’autorité compétente, si le demandeur a l’intention de fournir des services de paiement en plus des services de monnaie électronique, y compris une projection annuelle de la ventilation des fonds propres pour trois ans selon la méthode utilisée et, le cas échéant, une projection annuelle des fonds propres pour trois ans selon les autres méthodes utilisées. Orientation 5: Organisation structurelle 5.1. Le demandeur devrait fournir une description de l’organisation structurelle de son entreprise consistant en:
a)un organigramme détaillé, indiquant chaque unité, service ou séparation structurelle similaire, y compris le nom des personnes responsables, notamment celles chargées des fonctions de contrôle interne; l’organigramme devrait être accompagné d’une description des fonctions et des responsabilités de chaque unité, service ou séparation structurelle similaire;
b)une prévision globale des effectifs pour les trois années à venir;
c)une description des accords pertinents d’externalisation opérationnelle consistant en: i. l’identité et la localisation du prestataire de services externe; ii. l’identité des personnes dans l’établissement de monnaie électronique responsables de chaque activité externalisée; 43 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 iii. une description claire des activités externalisées et de leurs principales caractéristiques;
d)une copie des projets d’accords d’externalisation;
e)une description de l’utilisation de succursales, d’agents et de distributeurs, le cas échéant, y compris:
f)i. un plan des contrôles sur pièces et sur place que le demandeur a l’intention d’effectuer sur les succursales, les agents et les distributeurs; ii. les systèmes informatiques, les processus et l’infrastructure utilisés par les agents et les distributeurs du demandeur en vue d’exercer des activités pour le compte du demandeur; iii. s’agissant d’agents et de distributeurs, la politique de sélection, les procédures de suivi et la formation des agents et des distributeurs et, le cas échéant, le projet du contrat d’engagement des agents et des distributeurs; une mention du système de paiement national et/ou international auquel aura accès le demandeur, le cas échéant;
g)une liste de toutes les personnes physiques ou morales ayant des liens étroits avec le demandeur, en précisant leur identité et la nature de ces liens. Orientation 6: Preuve de capital initial 6.1. Afin de prouver le capital initial à apporter par le demandeur (350 000 EUR), le demandeur devrait présenter les documents suivants:
a)pour les entreprises existantes, un état comptable certifié ou un extrait d’un registre public vérifié certifiant le montant du capital du demandeur;
b)pour les entreprises en cours de constitution, un relevé bancaire délivré par une banque certifiant que les fonds sont déposés sur le compte bancaire du demandeur. Orientation 7: Mesures de protection des fonds des utilisateurs de monnaie électronique et/ou des utilisateurs de services de paiement 7.1. Lorsque le demandeur protège les fonds des utilisateurs de monnaie électronique et/ou des utilisateurs de services de paiement en déposant des fonds sur un compte distinct auprès d’un établissement de crédit ou en investissant en actifs à faible risque, liquides et sûrs, la description des mesures de protection devrait contenir: 44 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2
a)une description de la politique d’investissement afin de garantir que les actifs choisis sont liquides, sûrs et à faible risque, le cas échéant;
b)le nombre de personnes ayant accès au compte de protection et leurs fonctions;
c)une description du processus d’administration et de rapprochement pour les utilisateurs de monnaie électronique et, le cas échéant, les utilisateurs de services de paiement contre les recours d’autres créanciers de l’établissement de monnaie électronique, notamment en cas d’insolvabilité;
d)une copie du projet de contrat avec l’établissement de crédit;
e)une déclaration explicite de conformité avec l’article 10 de la DSP2 de la part de l’établissement de monnaie électronique. 7.2. Lorsque le demandeur protège les fonds des utilisateurs de monnaie électronique et, le cas échéant, des utilisateurs de services de paiement au moyen d’une police d’assurance ou d’une autre garantie comparable d’une compagnie d’assurances ou d’un établissement de crédit, et à moins que le demandeur n’ait l’intention de ne fournir que des SIP, la description de la mesure de protection devrait comprendre ce qui suit:
a)une confirmation que la police d’assurance ou autre garantie comparable d’une compagnie d’assurances ou d’un établissement de crédit provient d’une entité n’appartenant pas au même groupe d’entreprises que le demandeur;
b)des détails sur le processus de rapprochement en place afin de garantir que la police d’assurance ou autre garantie comparable permet au demandeur de respecter ses obligations de protection à tout moment;
c)durée et renouvellement de la couverture;
d)une copie du (projet
de)contrat d’assurance ou de la garantie comparable (éventuellement sous forme de projet). Orientation 8: Dispositif de gouvernance et mécanismes de contrôle interne 8.1. Le demandeur devrait fournir une description du dispositif de gouvernance et des mécanismes de contrôle interne consistant en:
a)une cartographie des risques décelés par le demandeur, incluant le type de risques et les procédures que le demandeur mettra en place pour évaluer et éviter de tels risques, en rapport avec les services de monnaie électronique et, le cas échéant, les services de paiement; 45 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2
b)les différentes procédures visant à effectuer des contrôles périodiques et permanents, y compris la fréquence et les ressources humaines allouées;
c)les procédures comptables au moyen desquelles le demandeur enregistrera et publiera ses informations financières;
d)l’identité de la (des) personne(
s)responsable(
s)des fonctions de contrôle interne, y compris du contrôle périodique et permanent et du contrôle de conformité, ainsi qu’un curriculum vitae actualisé;
e)l’identité de tout contrôleur des comptes n’étant pas un contrôleur légal des comptes en vertu de la directive 2006/43/CE;
f)la composition de l’organe de direction et, le cas échéant, de tout autre organe ou comité de surveillance;
g)une description de la manière dont les fonctions externalisées sont suivies et contrôlées afin d’éviter une altération de la qualité des contrôles internes de l’établissement de monnaie électronique;
h)une description de la manière dont les éventuels agents, succursales et distributeurs sont suivis et contrôlés dans le cadre des contrôles internes du demandeur;
i)si le demandeur est la filiale d’une entité réglementée dans un autre État membre de l’UE, une description de la gouvernance du groupe. Orientation 9: Procédure pour assurer la surveillance, le traitement et le suivi des incidents de sécurité et des réclamations de clients liées à la sécurité 9.1. Le demandeur devrait fournir une description de la procédure en place pour assurer la surveillance, le traitement et le suivi des incidents de sécurité et des réclamations de clients liées à la sécurité, laquelle devrait contenir:
a)des mesures organisationnelles et des outils de prévention de la fraude;
b)des détails sur les personnes et les organes chargés de l’assistance aux clients en cas de fraude, de problème technique et/ou de réclamation;
c)les lignes de remontée de cas de fraude au sein de l’organisation du demandeur;
d)le point de contact pour les clients, incluant un nom et une adresse électronique;
e)les procédures relatives à la notification des incidents, y compris la communication de ces notifications à des organes internes ou externes, prévoyant notamment, pour les 46 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 demandeurs ayant l’intention de fournir des services de paiement en plus des services de monnaie électronique, la notification d’incidents majeurs aux autorités compétentes nationales au titre de l’article 96 de la DSP2, et conformément aux orientations de l’ABE sur la notification des incidents au titre de l’article susvisé;
f)les outils de surveillance utilisés et les mesures et les procédures de suivi en place afin d’atténuer les risques de sécurité. Orientation 10: Processus pour enregistrer, surveiller, tracer et restreindre l’accès aux données de paiement sensibles et garder la trace de ces accès 10.1. Le demandeur devrait fournir une description du processus en place pour enregistrer, surveiller et restreindre l’accès aux données de paiement sensibles et garder la trace de ces accèscomportant :
a)une description des flux de données classées comme données sensibles de paiement dans le cadre du fonctionnement opérationnel de l’établissement de monnaie électronique;
b)les procédures en place pour autoriser l’accès aux données de paiement sensibles;
c)une description de l’outil de surveillance;
d)la politique de droit d’accès, détaillant l’accès à tous les systèmes et composantes d’infrastructure pertinents, y compris les bases de données et les infrastructures de secours ;
e)une description des modalités d’archivage des données collectées;
f)l’utilisation interne et/ou externe envisagée des données collectées, y compris par les cocontractants;
g)le système informatique et les mesures de sécurité techniques mises en place y compris le chiffrement et/ou la tokenisation;
h)l’identification des personnes, organes et/ou comités ayant accès aux données de paiement sensibles;
i)une explication de la manière dont seront décelées et traitées les violations de sécurité;
j)un programme annuel de contrôle interne en rapport avec la sécurité des systèmes informatiques. 47 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 Orientation 11: Dispositions en matière de continuité des activités 11.1. Le demandeur devrait fournir une description des dispositions en matière de continuité des activités comportant les informations suivantes:
a)une analyse d’impact sur les activités, incluant les processus opérationnels et les objectifs de reprise, tels que les délais maximaux admissibles d’indisponibilité, les pertes de données maximales admissibles et les actifs protégés;
b)l’identification du site de secours et des accès à l’infrastructure informatique ainsi que des principaux logiciels et données à récupérer en cas de sinistre ou de défaillance;
c)une explication de la manière dont le demandeur traitera les événements et défaillances de continuité significatifs, tels que la défaillance de systèmes clés; la perte de données clés; l’inaccessibilité des locaux; et la perte de personnes clés;
d)la fréquence avec laquelle de demandeur a l’intention de soumettre à des tests ses plans de continuité des activités et de récupération en cas de sinistre, en précisant la manière dont les résultats des tests seront pris en compte;
e)une description des mesures d’atténuation à adopter par le demandeur, en cas de résiliation du contrat de prestation de ses services de paiement, garantissant l’exécution des opérations de paiement en attente et la résiliation des contrats existants. Orientation 12: Principes et définitions applicables à la collecte de données statistiques relatives aux performances, aux opérations et à la fraude. 12.1. Le demandeur devrait fournir une description des principes et définitions applicables à la collecte de données statistiques relatives aux performances, aux opérations et à la fraude comportant les informations suivantes:
a)le type de données collectées, en rapport avec les clients, le type de service de paiement, le canal, l’instrument, les juridictions et les devises;
b)la portée de la collecte, en termes des activités et des entités concernées, y compris les succursales, les agents et les distributeurs;
c)les moyens de collecte;
d)le but de la collecte;
e)la fréquence de la collecte;
f)la documentation, tel qu’un manuel, décrivant le fonctionnement du système. 48 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 Orientation 13: Document relatif à la politique de sécurité 13.1. Le demandeur devrait fournir un document relatif à la politique de sécurité en rapport avec ses services de monnaie électronique et, le cas échéant, ses services de paiement contenant les informations suivantes:
a)une évaluation détaillée des risques du (des) service(
s)de monnaie électronique et, le cas échéant, du (des) service(
s)de paiement que le demandeur a l’intention de fournir, laquelle devrait inclure les risques de fraude et les mesures de contrôle de sécurité et d’atténuation adoptées afin de protéger de façon adéquate les utilisateurs de services de monnaie électronique et, le cas échéant, les utilisateurs de services de paiement contre les risques identifiés;
b)une description des systèmes informatiques, laquelle devrait inclure: i. l‘architecture des systèmes et des réseaux; ii. les systèmes informatiques supportant les activités opérationnelles exercées, tels que le site Internet du demandeur, les portefeuilles électroniques, le module de paiement, le module de gestion des risques et de la fraude et la comptabilité client; iii. les systèmes informatiques de support pour l’organisation et l’administration de l’établissement de monnaie électronique, tels que la comptabilité, les systèmes de déclaration légale, la gestion du personnel, la gestion des relations avec la clientèle, les serveurs de courrier électronique et les serveurs de fichiers internes; iv. des informations précisant si l’établissement de monnaie électronique ou son groupe utilisent déjà ces systèmes et l’estimation de leur date de mise en œuvre, le cas échéant;
c)le type de connexions autorisées de l’extérieur, par exemple par des associés, des prestataires de services, des entités du groupe et des employés travaillant à distance, en expliquant la raison de ces connexions;
d)pour chacune des connexions énumérées au point c), les mesures et mécanismes de sécurité logiques en place, spécifiant le contrôle que l’établissement de monnaie électronique exercera sur un tel accès ainsi que la nature et la fréquence de chaque contrôle, tel que technique/organisationnel; préventif/détectif; et suivi en temps réel/examens réguliers, tels que l’utilisation d’un répertoire distinct de celui du groupe, l’ouverture/fermeture de lignes de communication, la configuration de l’équipement de sécurité, la création de clés ou de certificats d’authentification client, le suivi des 49 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 systèmes, l’authentification, la confidentialité des communications, la détection des intrusions, les systèmes antivirus et l’enregistrement des connexions;
e)les mesures et mécanismes de sécurité logiques régissant l’accès interne aux systèmes informatiques, lesquels devraient inclure:
f)i. la nature technique et organisationnelle et la fréquence de chaque mesure, par exemple s’il s’agit d’une mesure préventive ou détective et si elle est mise en œuvre en temps réel; ii. la manière dont est traitée la question du cantonnement de l’environnement client dans les cas où les ressources informatiques du demandeur sont partagées; les mesures et mécanismes de sécurité physique des locaux et du centre de données du demandeur, tels que les contrôles de l’accès et la sécurité liée à l’environnement;
g)la sécurité des processus de monnaie électronique et, le cas échéant, de paiement, qui devrait inclure: i. la procédure d’authentification du client utilisée pour l’accès tant à la consultation qu’aux opérations et pour tous les instruments de paiement sousjacents; ii. une explication de la manière dont le demandeur garantit à l’utilisateur légitime des services de monnaie électronique et, le cas échéant, des services de paiement, la mise à disposition et l’intégrité des facteurs d’authentification, tels que les jetons matériels et les applications mobiles, au moment tant de l’enrôlement initial que du renouvellement; iii. une description des systèmes et des procédures mis en place par l’établissement de monnaie électronique pour analyser les opérations et détecter les opérations suspectes ou inhabituelles;
h)une évaluation détaillée des risques en rapport avec les services de monnaie électronique et, le cas échéant, les services de paiement, proposés, y compris du risque de fraude, en lien avec les mesures de contrôle et d’atténuation présentées dans le dossier de la demande, démontrant qu’il est remédié aux risques;
i)une liste des principales procédures formalisées en rapport avec les systèmes informatiques du demandeur ou, pour les procédures qui n’ont pas encore été formalisées, l’estimation de la date de leur finalisation. 50 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 Orientation 14: Mécanismes de contrôle interne pour se conformer aux obligations en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme 14.1 La description des mécanismes de contrôle interne établis par le demandeur pour se conformer, le cas échéant, à ces obligations devrait contenir les informations suivantes:
a)l’évaluation par le demandeur des risques de blanchiment de capitaux et de financement du terrorisme associés à son activité, y compris les risques associés à la clientèle du demandeur, les produits et les services fournis, les canaux de distribution utilisés et les zones géographiques d’activité;
b)les mesures existantes ou celles que le demandeur mettra en place pour atténuer les risques et se conformer aux obligations existantes en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme, y compris le processus d’évaluation des risques du demandeur, les politiques et les procédures pour se conformer aux exigences de vigilance à l'égard de la clientèle et les politiques et les procédures pour détecter et notifier les opérations ou activités suspectes;
c)les systèmes et les contrôles existants ou ceux que le demandeur mettra en place pour garantir que ses succursales, ses agents et ses distributeurs se conforment aux exigences existantes en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme, y compris dans les cas où l’agent, le distributeur ou la succursale se trouvent dans un autre État membre;
d)les dispositions existantes ou celles que le demandeur mettra en place pour garantir que le personnel, les agents et les distributeurs sont dûment formés en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme;
e)l’identité de la personne chargée de garantir la conformité du demandeur avec les obligations en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme et la preuve que son expertise en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme est suffisante pour lui permettre de remplir ce rôle de manière efficace;
f)les systèmes et les contrôles existants ou ceux que le demandeur mettra en place pour garantir que ses politiques et procédures en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme demeurent actualisées, efficaces et pertinentes;
g)les systèmes et les contrôles existants ou ceux que le demandeur mettra en place pour garantir que les agents et les distributeurs n’exposent pas le demandeur à un risque accru de blanchiment de capitaux et de financement du terrorisme; 51 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2
h)le manuel sur la lutte contre le blanchiment de capitaux et le financement du terrorisme destiné au personnel du demandeur. Orientation 15: Identité et évaluation de la qualité des personnes détenant une participation qualifiée dans le capital du demandeur 15.1 Aux fins de l’identification et de la preuve de la qualité des personnes détenant une participation qualifiée dans le capital de l’établissement de monnaie électronique demandeur, sans préjudice de l’évaluation conformément aux critères, le cas échéant, introduits par la directive 2007/44/CE et spécifiés dans les orientations communes relatives à l'évaluation prudentielle des acquisitions de participations qualifiées (ABE/GL/2017/08), le demandeur devrait présenter les informations suivantes:
a)une description du groupe auquel appartient le demandeur et une mention de l’entreprise mère, le cas échéant
b)un graphique présentant la structure de l'actionnariat du demandeur, y compris: i. le nom et le taux de participation (capital/droits de vote) de chaque personne qui détient ou détiendra une participation directe dans le capital social du demandeur, identifiant les personnes considérées comme détenant une participation qualifiée et le motif de cette qualification; ii. le nom et le taux de participation (capital/droits de vote) de chaque personne qui détient ou détiendra une participation indirecte dans le capital social du demandeur, identifiant les personnes considérées comme détenant une participation indirecte qualifiée et le motif de cette qualification;
c)une liste des noms de toutes les personnes et autres entités qui détiennent ou, en cas d’agrément, détiendront des participations qualifiées dans le capital du demandeur, indiquant pour chaque personne ou entité: i. le nombre et le type d’actions souscrites ou qui seront souscrites ou d’autres participations prises ou qui seront prises; ii. la valeur nominale de ces actions ou autres participations. 15.2 Lorsqu’une personne qui détient ou, en cas d’agrément, détiendra une participation qualifiée dans le capital du demandeur est une personne physique, la demande devrait contenir l'ensemble des informations suivantes se rapportant à l’identité et à la qualité de cette personne: 52 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2
a)le nom et le nom de naissance, la date et le lieu de naissance de la personne, sa nationalité (actuelle et antérieure), son numéro d’identification (le cas échéant) ou son numéro de passeport, son adresse et une copie d’un document d’identité officiel;
b)un curriculum vitæ détaillé indiquant le parcours scolaire (diplômes) et la formation, l’expérience professionnelle antérieure ainsi que toute activité professionnelle ou autre fonction exercée actuellement;
c)une déclaration, accompagnée de pièces justificatives, contenant les informations suivantes à propos de la personne: i. sous réserve des exigences réglementaires nationales concernant la divulgation des condamnations passées, toute condamnation pénale ou procédure à l’issue de laquelle une décision a été adoptée à l’encontre de la personne et qui n’a pas été cassée en appel; ii. toute décision civile ou administrative concernant des questions pertinentes pour le processus d’évaluation ou d’agrément adoptée à l’encontre de la personne et imposant des sanctions ou des mesures administratives à la suite de la violation de la législation ou de la réglementation (y compris l’interdiction d’exercer la fonction d’administrateur d’une société), laquelle n’a pas été cassée en appel, ne fait l’objet d’aucun recours pendant et n’est susceptible d’aucun recours; iii. toute procédure de faillite, d’insolvabilité ou similaire; iv. toute enquête pénale en cours; v. toute enquête civile ou administrative, procédure d’exécution, sanction ou autre décision formant titre exécutoire à l’encontre de la personne concernant des questions susceptibles d’être considérées pertinentes pour l’agrément permettant de commencer d’exercer l’activité d’établissement de monnaie électronique ou pour la gestion saine et prudente d’un établissement de monnaie électronique; vi. lorsque de tels documents peuvent être obtenus, une attestation officielle ou tout autre document équivalent démontrant si l’un quelconque des faits énoncés aux points
i)à
v)est intervenu à propos de la personne concernée; vii. tout refus d’enregistrement, d’agrément, d’adhésion ou de licence permettant d’exercer un métier, une activité ou une profession; 53 ORIENTATIONS SUR L’AGREMENT ET L’ENREGISTREMENT AU TITRE DE LA DSP2 viii. toute révocation, annulation ou résiliation d’un tel enregistrement, agrément, adhésion ou licence permettant d’exercer un métier, une activité ou une profession; ix. toute expulsion par une autorité ou entité publique du secteur des services financiers ou par un ordre ou une association professionnel(le); x. tout poste de responsabilité dans une entité faisant l’objet d’une condamnation ou d’une procédure pénale, d’une enquête administrative, d’une sanction ou autre décision formant titre exécutoire pour défauts de conduite, y compris pour fraude, malhonnêteté, corruption, blanchiment de capitaux, financement du terrorisme ou autre crime financier, ou la non-mise en place de politiques et de procédures adéquates pour éviter de tel faits, occupé au moment où la conduite présumée est intervenue, avec des détails sur ces faits et, le cas échéant, sur la participation de la personne dans ces faits; xi. tout licenciement d’un emploi ou toute destitution d’un poste de confiance ou d’une relation fiduciaire (autre que celle résultant de l’expiration du terme du contrat) ou toute situation similaire;
d)une liste des entreprises que la personne dirige ou contrôle et dont le demandeur a connaissance à la suite d’une enquête appropriée et minutieuse; le taux de contrôle direct ou indirect dans ces sociétés; leur statut (actives, dissoutes etc.); et une description des procédures d’insolvabilité ou similaires;
e)lorsqu’une évaluation de la réputation de la personne a déjà été effectuée par une autorité compétente du secteur

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.