Когда предприниматель впервые приходит ко мне с идеей выйти на рынок платежных услуг в Европе, в его глазах обычно читается одно и то же: «С чего вообще начать?» Регулирование payment institutions в ЕС, это не один закон и не один регулятор, а целая архитектура из директив, национальных актов, надзорных практик и технических стандартов. И именно от того, насколько грамотным будет первый шаг, зависит, станет ли лицензия платежного учреждения вашим активом или постоянным источником стресса и ограничений.
Я с 2016 года развиваю COREDO как компанию, которая соединяет юридическое, регуляторное и бизнес‑видение в одном проекте. За это время команда COREDO участвовала в запуске и масштабировании десятков финтех‑проектов в ЕС, Великобритании и Азии — от небольших payment institutions с нишевым продуктом до холдингов, совмещающих статус payment institution и e‑money institution в нескольких юрисдикциях.
В этой статье разберу, как на практике работает регулирование payment institutions в ЕС, на что смотреть при выборе страны, в чем различия между лицензией платежного учреждения и лицензией электронных денег, и какие требования к AML, governance и IT‑инфраструктуре нужно заложить в модель с первого дня. Я буду говорить как практик, который отвечает не только за юридическую чистоту, но и за окупаемость таких проектов.
Регулирование платежей: PSD2 и e‑деньги
- Директива ЕС 2015/2366 (PSD2) — рамочный документ, который задает общие требования к платежным услугам в ЕС: перечень услуг, Лицензирование payment institution, доступ третьих лиц к счетам (open banking, XS2A), strong customer authentication и базовые требования к защите потребителей.
- Директива 2009/110/EC (электронные деньги): определяет статус electronic money institution (EMI), требования к выпуску и обращению электронных денег, safeguarding клиентских средств и минимальный уставный капитал для e‑money institution.
- Национальное законодательство стран ЕС: каждая страна имплементирует PSD2 и директиву 2009/110/EC в свои законы, добавляя национальные акценты: требования к substance, к офису, к топ‑менеджменту, уровню IT‑безопасности, отчетности и т. д.
Команда COREDO постоянно работает на стыке этих уровней: мы начинаем с анализа бизнес‑модели клиента под PSD2 и директиву 2009/110/EC, а затем адаптируем ее под конкретную юрисдикцию: Литву, Эстонию, Ирландию, Кипр, Люксембург или другие страны ЕС.
Payment institution и e‑money institution: отличие
Один из первых вопросов, с которым ко мне приходят: «Нам нужна лицензия payment institution в Европе или сразу лицензия электронных денег?»
Основное отличие
- Payment institution (PI) — дает право оказывать платежные услуги, перечисленные в PSD2: эквайринг, money remittance, execution of payment transactions, issuing of payment instruments, PISP/AISP и др.
- Electronic money institution (EMI): дополнительно дает право выпускать электронные деньги и хранить денежные средства клиентов в форме электронного баланса (кошельки, prepaid‑карты, stored value‑сервисы).
- минимальный уставный капитал payment institution ниже, чем у e‑money institution, особенно если речь идет о «small payment institution» или ограниченной лицензии;
- у EMI более строгие требования к safeguarding, пруденциальному надзору, отчетности и risk management.
Какие услуги PSD2 требуют лицензии?
Чтобы не ошибиться с лицензией, важно честно ответить себе: какие именно операции вы хотите делать?
- execution of payment transactions (включая SEPA‑платежи и трансграничные платежные услуги в ЕС);
- issuing of payment instruments (карты, виртуальные карты, другие инструменты);
- acquiring of payment transactions (эквайринг, включая онлайн‑эквайринг и платежные шлюзы);
- money remittance (классические переводы без счета);
- services enabling cash to be placed on or withdrawn from a payment account;
- PISP и AISP (open banking).
Минимальный уставный капитал и надзор
Для любого payment institution и e‑money institution в ЕС критично правильно оценить требования к капиталу и возможный рост надзорной нагрузки по мере масштабирования.
Капитал: что это такое?
В проектах COREDO мы всегда моделируем сценарий на 3–5 лет: как рост транзакционного объема повлияет на требования к собственным средствам и, соответственно, на финансовую модель. Это помогает избежать ситуации, когда бизнес масштабируется быстрее, чем акционеры готовы докапитализировать компанию.
Пруденциальный надзор в банковской сфере
Пруденциальный надзор за платежными учреждениями в ЕС строится на риск‑ориентированном подходе. Регуляторы смотрят не только на capital adequacy, но и на:
- риск‑менеджмент (operational, liquidity, compliance risk);
- систему внутреннего контроля;
- процедуры safeguarding клиентских средств;
- IT- и киберриски.
Выбор юрисдикции в ЕС: стратегия, а не цена
Команда COREDO обычно предлагает предпринимателям смотреть на выбор страны через несколько осей:
- Регулятор: скорость коммуникации, прозрачность процессов, готовность к инновациям (регуляторные песочницы для финтех, отношение к новым моделям, включая paytech и embedded finance).
- Требования к substance:
- необходимость физического офиса;
- локальный персонал (board, MLRO, risk, compliance);
- глубина присутствия, которую требует регулятор, чтобы признать компанию реально управляемой из этой страны.
- Требования к safeguarding средств клиентов:
- какие банки/институты принимают средства;
- возможно ли использование страхования;
- особенности сегрегации счетов и контроля за ними.
- Нагрузка на отчетность и надзор: частота отчетов, сложность форм, интенсивность проверок.
- Толерантность к нерезидентам и cross‑border‑моделям: важный фактор для проектов, ориентированных на клиентов из СНГ, Азии, Африки.
Единый европейский паспорт для лицензии
Один из ключевых плюсов ЕС: это единый европейский паспорт для payment institutions и e‑money institutions.
- оказывать трансграничные платежные услуги в ЕС без отдельной лицензии в каждой стране;
- открывать branch в других государствах ЕС;
- строить сеть агентов и дистрибуции по всей территории.
- локальное потребительское законодательство;
- особенности KYC/AML для резидентов разных стран;
- локальные правила маркетинга финансовых услуг;
- требования к языку документации и поддержке клиентов.
AML‑требования к платежным учреждениям ЕС
Любой регулятор в Европе сегодня воспринимает AML/CFT как ключевой критерий для платежных учреждений и электронных денег. Если ваши процедуры по противодействию отмыванию денег выглядят формально, шансы на успех в лицензировании стремятся к нулю.
COREDO изначально формировалась как команда, в которой AML‑консалтинг и Юридическая экспертиза в финансовом праве работают вместе. Это позволило выстроить практику, где AML‑модель клиента мы проектируем параллельно с выбором юрисдикции и лицензии, а не постфактум.
- структура собственности и требования к бенефициарам: прозрачность, отсутствие санкционных рисков, подтверждение источника средств;
- назначение и реальный статус AML‑офицера (MLRO): опыт, независимость, вовлеченность;
- risk‑based approach: сегментация клиентов по рискам, расширенный Due Diligence там, где это необходимо;
- политики и процедуры: customer due diligence, ongoing monitoring, транзакционный мониторинг, санкционный скрининг, PEP‑политики;
- использование regtech‑решений, но с пониманием, что автоматизация не заменяет ответственность органов управления.
Governance: три линии защиты
В работах команды COREDO мы придерживаемся концепции three lines of defence:
- Первая линия, бизнес‑подразделения, которые создают продукт и взаимодействуют с клиентами. Они отвечают за соблюдение процедур на операционном уровне.
- Вторая линия: функции compliance и risk management, которые разрабатывают политики, контролируют соблюдение требований, анализируют новые риски (например, при запуске нового продукта или выхода на новую страну).
- Третья линия — internal audit, независимая оценка эффективности всей системы.
Регуляторы многих стран ЕС прямо ожидают, что в структуре payment institution будут видны:
- независимый compliance officer;
- risk manager с пониманием финансовых и операционных рисков;
- план и контур internal audit (даже если часть функций аутсорсится).
IT‑инфраструктура и кибербезопасность PSD2 и SCA
Для финтех‑компании IT‑платформа: это не только продукт, но и объект регулирования. Требования к ИТ‑инфраструктуре и кибербезопасности payment institutions в ЕС включают:
- соответствие требованиям PSD2 по strong customer authentication (SCA);
- защиту данных в соответствии с GDPR;
- отказоустойчивость, резервирование, планы восстановления после инцидентов;
- контроль доступа, журналирование операций, управление уязвимостями.
- архитектуру API (особенно в контексте open banking);
- процессы change management;
- аутсорсинг критических IT‑функций и отношения с внешними провайдерами.
Команда COREDO привыкла подключать IT‑архитекторов и специалистов по кибербезопасности еще на этапе подготовки к лицензированию. Это позволяет заранее ответить на вопросы регулятора, а не перестраивать платформу в последнюю минуту.
Аутсорсинг и агенты: где граница допустимого
- критические функции (risk management, AML, ключевые IT‑системы) нельзя полностью «отдать наружу» без потери контроля;
- необходимые договоры, SLA, механизмы мониторинга и права регулятора на доступ к информации;
- регулятор оценивает способности payment institution управлять сетью агентов и партнёров.
Типичные ошибки заявителей и их предотвращение
За годы работы я увидел несколько повторяющихся ошибок, которые сильно удлиняют или даже блокируют получение платежной лицензии в Евросоюзе:
- Нечетко описанная бизнес‑модель: размытые описания услуг, нестыковки между продуктовой частью и юридической.
- Как решаем в COREDO: начинаем с продуктового воркшопа, формируем понятную модель, а уже под нее пишем application pack.
- Недооценка требований к substance: попытка строить «виртуальный офис» там, где регулятор ожидает реальное присутствие.
- Мы сразу объясняем, какой минимум офиса и ключевых функций потребуется именно в этой стране.
- Формальный подход к AML: копирование шаблонных политик без учета географии клиентов и реальных рисков.
- Команда COREDO адаптирует AML‑модель под конкретную клиентскую базу (включая клиентов из СНГ и Азии, где риски выше).
- Слабый управленческий состав: номинальные директора без реального опыта в платежах, рисках и финансах.
- В ряде кейсов мы помогали клиентам выстроить governance‑структуру и подобрать сильных управленцев, которые устраивают регулятор.
- Отсутствие модели масштабирования: заявитель не показывает, как будет управлять рисками при росте транзакций, выходе в новые страны, запуске новых продуктов.
- Практика COREDO подтверждает, что наличие roadmap по масштабированию значительно повышает доверие регулятора.
Стратегический подход к проекту: практические рекомендации
Если вы: основатель, финансовый директор или руководитель финтех‑направления и рассматриваете регистрацию финтех‑компании в Европе под платежную лицензию, я бы рекомендовал выстроить работу поэтапно.
- Сначала: бизнес‑модель, потом: юрисдикция.
- Не выбирайте страну по принципу «где проще» или «где знакомые уже получили лицензию». Сначала опишите продукт: какие платежные услуги, какие рынки, какие клиенты, как вы монетизируетесь. Команда COREDO часто начинает сотрудничество именно с product‑/business‑workshop.
- Сделайте честный AML‑ и risk‑self‑assessment.
- Если вы видите в своей модели клиентов из высокорисковых регионов, сложные кроссбордер‑цепочки, работу с криптоактивами или embedded finance, не пытайтесь «спрятать» это от регулятора. Вместе с клиентами COREDO мы разрабатываем реалистичные меры контроля, которые можно защитить перед надзорным органом.
- Смоделируйте ROI собственной лицензии vs работы через партнера.
- Собственная лицензия: это не только свобода и маржа, но и постоянные расходы на compliance, risk, отчетность, IT‑безопасность, аудит. Иногда на старте разумнее выстроить гибридную модель: работать через партнера и параллельно готовиться к лицензированию. Наш опыт в COREDO показал, что такая стратегическая гибкость часто дает лучший результат.
- Планируйте паспортинг с первого дня.
- Если вы ориентируетесь на клиентов по всему ЕС, логично заранее продумать, какие страны будут ключевыми, какие особенности нужно учесть (язык, локальное потребительское право, налоги), и встроить это в архитектуру договора, IT‑систем и комплаенс‑процессов.
- Не откладывайте организационный дизайн.
- Структура управления, распределение функций compliance, risk management и internal audit, это не форма для регулятора, а реальный профиль устойчивости компании. Чем раньше вы его выстроите, тем легче проходить лицензирование и последующий надзор.
Если вы планируете создавать или масштабировать payment institution или e‑money institution в ЕС, команде COREDO действительно есть что привнести: от выбора юрисдикции и архитектуры лицензии до операционной настройки AML, governance и IT‑контуров. И чем раньше вы подключите экспертов, тем больше решений сможете принять из позиции силы, а не под давлением сроков и регуляторных требований.