1.
W skład systemu zarządzania ryzykiem i kontroli wewnętrznej, o którym mowa w art. 64 przesłanki wydania zezwolenia na świadczenie usług płatniczych ust. 1 pkt 3, wchodzą:
1)
rozwiązania organizacyjne:
a) struktura organizacyjna i procedury podejmowania decyzji obejmujące pełny zakres prowadzonej działalności,
b) zasady i procedury wypełniania obowiązków instytucji obowiązanych w rozumieniu art. 2 instytucje obowiązane ust. 1 ustawy o przeciwdziałaniu praniu pieniędzy;
a) struktura organizacyjna i procedury podejmowania decyzji obejmujące pełny zakres prowadzonej działalności,
b) zasady i procedury wypełniania obowiązków instytucji obowiązanych w rozumieniu art. 2 instytucje obowiązane ust. 1 ustawy o przeciwdziałaniu praniu pieniędzy;
2)
zasady zarządzania ryzykiem:
a) zasady szacowania ryzyka, w szczególności ryzyka utraty płynności w przypadku udzielania kredytu, o którym mowa w art. 74 usługi świadczone przez krajową instytucję płatniczą ust. 3, lub w przypadku prowadzenia innej działalności gospodarczej oprócz świadczenia usług płatniczych,
b) procedury identyfikacji ryzyka, jego pomiaru, szacowania, monitorowania oraz informowania o ryzyku, a także procedury ograniczania ryzyka;
a) zasady szacowania ryzyka, w szczególności ryzyka utraty płynności w przypadku udzielania kredytu, o którym mowa w art. 74 usługi świadczone przez krajową instytucję płatniczą ust. 3, lub w przypadku prowadzenia innej działalności gospodarczej oprócz świadczenia usług płatniczych,
b) procedury identyfikacji ryzyka, jego pomiaru, szacowania, monitorowania oraz informowania o ryzyku, a także procedury ograniczania ryzyka;
3)
kontrola wewnętrzna obejmująca:
a) audyt wewnętrzny,
b) badanie zgodności prowadzonej działalności z ustawą, przepisami o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu oraz regulacjami wewnętrznymi;
a) audyt wewnętrzny,
b) badanie zgodności prowadzonej działalności z ustawą, przepisami o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu oraz regulacjami wewnętrznymi;
4)
opis:
a) zasad postępowania ze środkami pieniężnymi przyjmowanymi od użytkowników w celu wykonania transakcji płatniczych zgodnie z art. 78 ochrona środków pieniężnych przyjętych od użytkowników na poczet wykonania transakcji płatniczych,
b) procedur monitorowania incydentów związanych z bezpieczeństwem oraz monitorowania i rozpatrywania skarg użytkowników, w tym skarg związanych z bezpieczeństwem, a także działań następczych w przypadku wystąpienia takich incydentów i skarg, wraz z mechanizmem zgłaszania incydentów uwzględniającym obowiązki instytucji płatniczej w zakresie zgłaszania, o których mowa w art. 32g obowiązek informowania o poważnym incydencie operacyjnym lub związanym z bezpieczeństwem i art. 32h półroczne informacje dostawcy dotyczące oszustw związanych z wykonywanymi usługami płatniczymi,
c) systemu komunikacji wewnętrznej,
d) procedury wprowadzonej w celu włączania do dokumentacji, monitorowania i śledzenia szczególnie chronionych danych dotyczących płatności oraz ograniczenia dostępu do tych danych,
e) rozwiązań zapewniających ciągłość działania, w tym wyczerpujące i dokładne określenie krytycznych operacji oraz określenie skutecznych planów awaryjnych i procedury na potrzeby regularnego weryfikowania i przeglądu adekwatności i skuteczności takich planów,
f) zasad i definicji stosowanych do gromadzenia danych statystycznych dotyczących wyników, transakcji i oszustw,
g) strategii w zakresie bezpieczeństwa wraz ze szczegółową oceną ryzyka w odniesieniu do świadczonych przez wnioskodawcę usług płatniczych oraz środków kontroli bezpieczeństwa i ograniczania ryzyka podjętych w celu odpowiedniej ochrony użytkowników przed zidentyfikowanym ryzykiem, w tym oszustwami i nielegalnym wykorzystywaniem szczególnie chronionych danych i danych osobowych,
h) mechanizmów kontroli wewnętrznej.
a) zasad postępowania ze środkami pieniężnymi przyjmowanymi od użytkowników w celu wykonania transakcji płatniczych zgodnie z art. 78 ochrona środków pieniężnych przyjętych od użytkowników na poczet wykonania transakcji płatniczych,
b) procedur monitorowania incydentów związanych z bezpieczeństwem oraz monitorowania i rozpatrywania skarg użytkowników, w tym skarg związanych z bezpieczeństwem, a także działań następczych w przypadku wystąpienia takich incydentów i skarg, wraz z mechanizmem zgłaszania incydentów uwzględniającym obowiązki instytucji płatniczej w zakresie zgłaszania, o których mowa w art. 32g obowiązek informowania o poważnym incydencie operacyjnym lub związanym z bezpieczeństwem i art. 32h półroczne informacje dostawcy dotyczące oszustw związanych z wykonywanymi usługami płatniczymi,
c) systemu komunikacji wewnętrznej,
d) procedury wprowadzonej w celu włączania do dokumentacji, monitorowania i śledzenia szczególnie chronionych danych dotyczących płatności oraz ograniczenia dostępu do tych danych,
e) rozwiązań zapewniających ciągłość działania, w tym wyczerpujące i dokładne określenie krytycznych operacji oraz określenie skutecznych planów awaryjnych i procedury na potrzeby regularnego weryfikowania i przeglądu adekwatności i skuteczności takich planów,
f) zasad i definicji stosowanych do gromadzenia danych statystycznych dotyczących wyników, transakcji i oszustw,
g) strategii w zakresie bezpieczeństwa wraz ze szczegółową oceną ryzyka w odniesieniu do świadczonych przez wnioskodawcę usług płatniczych oraz środków kontroli bezpieczeństwa i ograniczania ryzyka podjętych w celu odpowiedniej ochrony użytkowników przed zidentyfikowanym ryzykiem, w tym oszustwami i nielegalnym wykorzystywaniem szczególnie chronionych danych i danych osobowych,
h) mechanizmów kontroli wewnętrznej.
2.
Rozwiązania organizacyjne, o których mowa w ust. 1 pkt 1, powinny być uwzględnione w szczególności w opisie, o którym mowa w ust. 1 pkt 4.
3.
Kontrola wewnętrzna, o której mowa w ust. 1 pkt 3, obejmuje w szczególności procedury kontroli wykonywania transakcji płatniczych, kontroli podmiotów, którym powierzono wykonywanie niektórych czynności operacyjnych, oraz kontroli, które wnioskodawca zobowiązuje się przeprowadzać w stosunku do agentów i oddziałów krajowej instytucji płatniczej co najmniej raz w roku, w tym kontroli przeprowadzanych bezpośrednio u agenta oraz w oddziale.
3a.
Środki kontroli bezpieczeństwa i ograniczania ryzyka, o których mowa w ust. 1 pkt 4 lit. g, wskazują sposób zapewnienia wysokiego poziomu bezpieczeństwa technicznego i ochrony danych, w tym w odniesieniu do oprogramowania i systemów informatycznych stosowanych przez wnioskodawcę lub podmiot, któremu wnioskodawca powierzył wykonywanie całości albo części czynności operacyjnych. Środki te obejmują również środki bezpieczeństwa, o których mowa w dziale IIa.
3b.
Instytucja płatnicza, stosując środki kontroli bezpieczeństwa i ograniczania ryzyka, o których mowa w ust. 3a, uwzględnia wytyczne wydane w tym zakresie przez EUNB.
4.
Instytucja płatnicza na bieżąco weryfikuje i okresowo ocenia sposób funkcjonowania systemu zarządzania ryzykiem i kontroli wewnętrznej.
5.
(uchylony)
