Artykuł 35a

1. W celu zabezpieczenia stabilności i integralności systemów płatności instytucje płatnicze i instytucje pieniądza elektronicznego ubiegające się o uczestnictwo w systemach wskazanych na mocy dyrektywy 98/26/WE i uczestniczące w tych systemach posiadają:

a) opis środków podjętych w celu ochrony środków pieniężnych użytkowników usług płatniczych;

b) opis zasad zarządzania i opis mechanizmów kontroli wewnętrznej w odniesieniu do usług płatniczych lub usług w zakresie pieniądza elektronicznego, w tym procedur administracyjnych, procedur zarządzania ryzykiem i procedur księgowych instytucji płatniczej lub instytucji pieniądza elektronicznego oraz opis rozwiązań stosowanych przez instytucję płatniczą lub instytucję pieniądza elektronicznego w zakresie korzystania z usług technologii informacyjno-komunikacyjnych w związku z art. 6 i 7 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2554 (

10

); oraz

c) plan likwidacji na wypadek upadłości.

Na potrzeby lit. a) w akapicie pierwszym niniejszego ustępu:

a) w przypadku gdy instytucja płatnicza lub instytucja pieniądza elektronicznego chroni środki pieniężne użytkowników usług płatniczych poprzez deponowanie środków na odrębnym rachunku w instytucji kredytowej lub poprzez inwestowanie w bezpieczne, płynne aktywa o niskim ryzyku określone przez właściwe organy państwa członkowskiego pochodzenia, opis środków podjętych w celu takiej ochrony zawiera, w stosownych przypadkach:

(i) opis polityki inwestycyjnej w celu zapewnienia, aby wybrane aktywa były płynne, bezpieczne i obarczone niskim ryzykiem;

(ii) liczbę osób posiadających dostęp do rachunku przeznaczonego do ochrony środków oraz funkcje tych osób;

(iii) opis procesu administrowania i uzgadniania mającego zapewnić, by środki pieniężne użytkowników usług płatniczych były chronione – w interesie użytkowników usług płatniczych – przed roszczeniami innych wierzycieli instytucji płatniczej lub instytucji pieniądza elektronicznego, w szczególności w przypadku niewypłacalności;

(iv) kopię projektu umowy z instytucją kredytową;

(v) wyraźne oświadczenie instytucji płatniczej lub instytucji pieniądza elektronicznego o zgodności z art. 10 niniejszej dyrektywy;

b) w przypadku gdy instytucja płatnicza lub instytucja pieniądza elektronicznego chroni środki pieniężne użytkowników usług płatniczych za pomocą polisy ubezpieczeniowej lub porównywalnej gwarancji udzielonej przez zakład ubezpieczeń lub instytucję kredytową – opis środków podjętych w celu takiej ochrony zawiera następujące elementy:

(i) potwierdzenie, że polisa ubezpieczeniowa lub porównywalna gwarancja udzielone przez zakład ubezpieczeń lub instytucję kredytową pochodzi od podmiotu, który nie należy do tej samej grupy przedsiębiorstw co instytucja płatnicza lub instytucja pieniądza elektronicznego;

(ii) szczegółowe informacje na temat procesu uzgadniania stosowanego w celu zapewnienia, by polisa ubezpieczeniowa lub porównywalna gwarancja były wystarczające do wypełnienia przez cały czas obowiązków instytucji płatniczej lub instytucji pieniądza elektronicznego w zakresie ochrony;

(iii) czas trwania i warunki odnowienia ochrony ubezpieczeniowej lub gwarancyjnej;

(iv) kopię umowy ubezpieczenia lub porównywalnej gwarancji, lub ich projektów.

Na potrzeby lit. b) w akapicie pierwszym w opisie wykazuje się, że zasady zarządzania, mechanizmy kontroli wewnętrznej i rozwiązania stosowane w zakresie korzystania z technologii informacyjno-komunikacyjnych, o których zasadach, mechanizmach i rozwiązaniach mowa w tej literze, są proporcjonalne, odpowiednie, należyte i adekwatne. Ponadto zasady zarządzania i mechanizmy kontroli wewnętrznej obejmują:

a) mapowanie ryzyk zidentyfikowanych przez instytucję płatniczą lub instytucję pieniądza elektronicznego, w tym rodzaj ryzyk i procedury, które instytucja płatnicza lub instytucja pieniądza elektronicznego wprowadziły lub wprowadzą w celu oceny takich ryzyk i zapobiegania im;

b) poszczególne procedury dotyczące przeprowadzania kontroli okresowych i stałych, w tym częstotliwość i przydzielone zasoby ludzkie;

c) procedury księgowe, zgodnie z którymi instytucja płatnicza lub instytucja pieniądza elektronicznego rejestrują i zgłaszają swoje informacje finansowe;

d) tożsamość osoby lub osób odpowiedzialnych za funkcje kontroli wewnętrznej, w tym za okresową i stałą kontrolę oraz kontrolę zgodności, a także aktualny życiorys tej osoby lub tych osób;

e) tożsamość rewidenta niebędącego biegłym rewidentem zdefiniowanym w art. 2 pkt 2 dyrektywy 2006/43/WE;

f) skład organu zarządzającego oraz, w stosownych przypadkach, innego organu nadzorującego lub komisji nadzorującej;

g) opis sposobu monitorowania i kontroli funkcji zlecanych w ramach outsourcingu w celu uniknięcia pogorszenia jakości kontroli wewnętrznej instytucji płatniczej lub instytucji pieniądza elektronicznego;

h) opis sposobu monitorowania i kontroli ewentualnych agentów i oddziałów w ramach kontroli wewnętrznych instytucji płatniczej lub instytucji pieniądza elektronicznego;

i) w przypadku gdy instytucja płatnicza lub instytucja pieniądza elektronicznego jest jednostką zależną podmiotu regulowanego w innym państwie członkowskim – opis zarządzania grupą.

Na potrzeby lit. c) w akapicie pierwszym plan likwidacji dostosowuje się do przewidywanej wielkości i modelu biznesowego instytucji płatniczej lub instytucji pieniądza elektronicznego i obejmuje on opis środków ograniczających ryzyko, które wnioskodawca ma przyjąć w przypadku zakończenia świadczenia usług płatniczych przez instytucję płatniczą lub instytucję pieniądza elektronicznego, w celu zapewnienia realizacji oczekujących transakcji płatniczych i rozwiązania obowiązujących umów.

2. Państwa członkowskie określają procedurę oceny zgodności z ust. 1. Procedura ta może przyjąć formę samooceny, przewidywać wymóg wyraźnej decyzji właściwego organu lub dowolnej innej procedury mającej na celu zapewnienie przestrzegania ust. 1 przez dane instytucje płatnicze i instytucje pieniądza elektronicznego.