Wydajemy pieniądz elektroniczny, czyli jak zostać instytucją e-money. Cz. 1.

Jakiś czas temu pierwszy podmiot otrzymał zezwolenie na prowadzenie działalności w charakterze instytucji pieniądza elektronicznego. Decyzja KNF w sprawie udzielenia licencji niejako pokazuje, że dopuszczalne jest wykorzystanie technologii blockchain do przetwarzania płatności, o ile spełnione wszystkie zasady dotyczące bezpieczeństwa wyrażone przez przepisy krajowe i unijne. W grudniowym artykule pokrótce omówiłem czym jest instytucja pieniądza elektronicznego. Dzisiaj zajmę się procedurą uzyskiwania zezwolenia na prowadzenie działalności w tym obszarze.

Regulacyjne tsunami

Podstawowe zasady dotyczące uzyskiwania licencji e-money institution określają art. 132a i następne ustawy o usługach płatniczych (oraz projektowane rozporządzenie z art. 61 ust. 3 ustawy) Duże znaczenie ma również Rozporządzenie 2018/389, które odnosi się do dostawców usług płatniczych. Posiłkować należy się również checklista KNF (stąd wiele punktów wspólnych z opisanymi przeze mnie zasadami dla Krajowych Instytucji Płatniczych), wytyczne Europejskiego Urzędu Nadzoru Bankowego (EBA) w sprawie licencji, opinia w sprawie paszportowania (istotna przy działalności transgranicznej) czy wytyczne w sprawie raportowania transakcji fraudowych. Są jeszcze wytyczne EBA w sprawie rozpatrywania skarg. Niebagatelne znaczenie ma również komunikat KNF w sprawie tzw. kart anonimowych. Prawda, że sporo? A to dopiero początek.

Od czego zacząć?

Od zdefiniowania formy prawnej, w której zamierzamy świadczyć usługi wydawania pieniądza elektronicznego. W praktyce będzie to spółka akcyjna lub spółka z ograniczoną odpowiedzialnością. Do wniosku stosujemy odpowiednio art. 61 ust. 1 ustawy o usługach płatniczych, a więc wiele z uwag dotyczących Krajowych Instytucji Płatniczych ma tutaj zastosowanie.

Musimy więc podać podstawowe informacje dotyczące podmiotu, w tym jego dane identyfikacyjne czy dokumenty stanowiące podstawę utworzenia spółki (akt założycielski, statut lub umowę spółki). Te dokumenty są niezwykle istotne, ponieważ określają m.in. zakres przedmiotu działalności instytucji, jak i podstawowe zasady korporacyjne, które mają znaczenie dla stabilnego zarządzania.

Plan działalności i plan finansowy

Te dwa dokumenty to podstawa przy rozpatrywaniu wniosku o udzielenie zezwolenia. KNF będzie badał m.in. takie kwestie jak założona strategia (a więc i to jakie są przewidywane przychody i perspektywy rozwoju biznesu) – de facto jest to po biznes plan. W planie należy zawrzeć m.in. działania marketingowe, które instytucja zamierza prowadzić czy plan działalności operacyjnej oraz harmonogram prowadzenia działalności i to jak zarządzający mają zamiar wdrażać kolejne etapy rozwoju instytucji.

W ramach tego swoistego biznes planu dużą uwagę należy poświęcić planowi organizacji i zarządzania, który będzie pochodną dokumentu inkorporującego spółkę (np. statut). Ponieważ wprowadzenie odpowiedniej organizacji, w tym zastosowanie chińskich murów czy ograniczenie dostępu do wrażliwych danych stanowiących tajemnicę zawodową, to bardzo istotne elementy, to z pewnością będą drobiazgowo badane przez Urząd na etapie weryfikacji wniosku.

Odpowiednie ukształtowanie odpowiedzialności oraz powierzenie nadzoru kompetentnym członkom zarządu to kolejny krok do pozytywnego przejścia „ścieżki zdrowia” regulatora. Jest to także element zarządzania ryzykiem, które ma niebagatelne znaczenie dla bezpieczeństwa powierzonych środków (tą kwestią zajmiemy się w drugiej części artykułu – pewne elementy opisałem już w tym artykule).

Finansowanie

Jeżeli chodzi o kwestie finansowe, to abstrahując od wymogu posiadania kapitału na poziomie co najmniej 350 000 euro, instytucja powinna przedstawić plan finansowy na okres co najmniej 3 lat. Taki dokument musi zawierać m.in. informacje dotyczące przychodów, kosztów, zysków i strat, a także źródło pozyskiwania finansowania. Warto rozważyć przekazanie zaudytowanego dokumentu potwierdzającego te informacje, w tym w szczególności sprawozdanie finansowe za ostatni rok (o ile jest dostępne). Należy również wykazać, że podmiot spełnia wymogi kapitałowe niezbędne do stabilnej działalności w obszarze wydawania pieniądza elektronicznego.

Ochrona środków klientów

Art. 7 ustawy o usługach płatniczych przewiduje, że środki otrzymywane przez instytucje pieniądza elektronicznego nie stanowią depozytu ani innych środków pieniężnych podlegających zwrotowi. Dodatkowo, instytucja nie może przyjmować żadnych środków, które następnie będą wprowadzane do obrotu (inwestowane) czy oprocentowywane. Mogłoby to stanowić obejście przepisów o działalności bankowej, a więc już na etapie przygotowywania wniosku należy zwrócić na to szczególną uwagę.

Ponieważ środki przekazywane przez użytkowników pieniądza elektronicznego mają szczególny charakter, przy składaniu wniosku o wydanie zezwolenia należy przedstawić opis zasad postępowania z tymi środkami (jak również rozwiązania organizacyjne chroniące te środki – w tym regulamin organizacyjny i struktura odpowiedzialności), a także zaprezentować opis procedur rozpatrywania skarg (tutaj można wskazać na regulamin świadczenia usług oraz procedury wewnętrzne dotyczące obsługi tych skarg). Na późniejszym etapie konieczne będzie również zawarcie umowy gwarancji bankowej, ubezpieczeniowej lub umowy ubezpieczenia.

Co z cyberbezpieczeństwem?

Te elementy są bardzo ważne szczególnie jeżeli zamierzamy korzystać z nowych technologii, jak np. blockchain, ponieważ ryzyko ewentualnego fraudu jest w przypadku takich rozwiązań szczególnie wysokie (potencjalnie). Takie rozwiązania organizacyjne nie mogą więc ograniczać się wyłącznie do wskazania podziału obowiązków, ale muszą obejmować rozwiązania techniczne blokujące np. ataki związane z cyberbezpieczeństwem. Istotne będzie więc posiadanie odpowiednich certyfikatów bezpieczeństwa, np. ISO oraz zatrudnienie ekspertów w tej dziedzinie. Można założyć, że KNF będzie żądał audytu bezpieczeństwa przygotowanego przez zewnętrznego audytora. Warto pomyśleć o tym zawczasu.

Outsourcing

Jeżeli zamierzamy korzystać z outsourcingu, to oczywiście musimy spełnić dodatkowe wymogi, w tym pokazać politykę outsourcingu i towarzyszące jej procedury, a także przedłożyć opis naszych podwykonawców. Ważne będą też odpowiednie rozwiązania organizacyjne dotyczące m.in. nadzoru nad podwykonawcami (np. poprzez compliance).

Co w kolejnej części?

Skupimy się na bardzo istotnym elemencie jakim jest zarządzanie ryzykiem oraz kompetencje zarządzających. O samej procedurze nie będę pisał, ponieważ jest ona już tutaj.