Když za mnou podnikatel poprvé přijde s nápadem vstoupit na trh platebních služeb v Evropě, obvykle v jeho očích čtu totéž: „Kde vůbec začít?“ Regulace platebních institucí v EU není jeden zákon ani jeden regulátor, ale celá architektura směrnic, národních právních předpisů, dozorových praktik a technických standardů. A právě od toho, jak zdařilý bude první krok, závisí, stane‑li se licence platební instituce vaším aktivem, nebo stálým zdrojem stresu a omezení.
Já od roku 2016 rozvíjím COREDO jako společnost, která spojuje právní, regulatorní a byznysové pojetí v jednom projektu. Během té doby se tým COREDO podílel na spuštění a škálování desítek fintech projektů v EU, Velké Británii a v Asii — od malých platebních institucí se specializovaným produktem až po holdingy, které kombinují status platební instituce a instituce elektronických peněz v několika jurisdikcích.
V tomto článku rozberu, jak v praxi funguje regulace platebních institucí v EU, na co se zaměřit při výběru země, v čem spočívají rozdíly mezi licencí platební instituce a licencí na elektronické peníze, a jaké požadavky na AML, korporátní řízení a IT infrastrukturu je třeba zahrnout do modelu od prvního dne. Budu mluvit jako praktik, který odpovídá nejen za právní čistotu, ale i za návratnost takových projektů.
Regulace plateb: PSD2 a e‑peníze
- Směrnice EU 2015/2366 (PSD2) – rámcový dokument, který stanovuje obecné požadavky na platební služby v EU: seznam služeb, Licencování platebních institucí, přístup třetích stran k účtům (open banking, XS2A), silné ověřování zákazníka a základní požadavky na ochranu spotřebitelů.
- Директива 2009/110/EC (elektronické peníze): určuje status instituce elektronických peněz (EMI), požadavky na vydávání a oběh elektronických peněz, oddělení klientských prostředků a minimální základní kapitál pro instituci elektronických peněz.
- Národní legislativa zemí EU: každá země implementuje PSD2 a směrnici 2009/110/EC do svých zákonů a přidává národní důrazy: požadavky na substance, na kancelář, na vrcholový management, úroveň IT bezpečnosti, reporting a podobně.
Tým COREDO neustále pracuje na rozhraní těchto úrovní: začínáme analýzou obchodního modelu klienta s ohledem na PSD2 a směrnici 2009/110/EC, a poté jej přizpůsobujeme konkrétní jurisdikci: Litva, Estonsko, Irsko, Kypr, Lucembursko nebo jiné země EU.
Platební instituce a instituce elektronických peněz: rozdíl
Jedna z prvních otázek, с которой ke mně přicházejí: «Potřebujeme licenci payment institution v Evropě nebo hned licenci elektronických peněz?»
Hlavní rozdíl
- Payment institution (PI) – dává právo poskytovat platební služby, uvedené v PSD2: ekviring, money remittance, provádění platebních transakcí, vydávání platebních nástrojů, PISP/AISP a další.
- Electronic money institution (EMI): navíc dává právo vydávat elektronické peníze a uchovávat prostředky klientů ve formě elektronického zůstatku (peněženky, předplacené karty, služby s uloženou hodnotou).
- minimální základní kapitál payment institution je nižší než u e‑money institution, zejména pokud jde o «small payment institution» nebo omezenou licenci;
- u EMI jsou přísnější požadavky na safeguarding, prudenční dohled, výkaznictví a řízení rizik.
Které služby podle PSD2 vyžadují licenci?
Abychom se nespletli s licencí, je důležité si upřímně odpovědět: jaké konkrétní operace chcete vykonávat?
- execution of payment transactions (včetně SEPA plateb a přeshraničních platebních služeb v EU);
- issuing of payment instruments (karty, virtuální karty, jiné nástroje);
- acquiring of payment transactions (akvizice plateb, včetně online akvizice a platebních bran);
- money remittance (klasické převody bez účtu);
- services enabling cash to be placed on or withdrawn from a payment account;
- PISP a AISP (open banking).
Minimální základní kapitál a dohled
Pro každou platební instituci a instituci elektronických peněz v EU je zásadní správně posoudit požadavky na kapitál a možný nárůst dozorové zátěže při škálování.
Kapitál: co to je?
V projektech COREDO vždy modelujeme scénář na 3–5 let: jak růst transakčního objemu ovlivní požadavky na vlastní prostředky a, podle toho, finanční model. To pomáhá vyhnout se situaci, kdy se byznys škáluje rychleji, než jsou akcionáři ochotni doplnit kapitál společnosti.
Prudenciální dohled v bankovní sféře
Prudenciální dohled nad platebními institucemi v EU je postaven na rizikově orientovaném přístupu. Regulační orgány nesledují pouze kapitálovou přiměřenost, ale také:
- řízení rizik (operační, likviditní, riziko compliance);
- systém vnitřní kontroly;
- postupy ochrany klientských prostředků;
- IT a kybernetická rizika.
Volba jurisdikce v EU: strategie, nikoli cena
Tým COREDO obvykle doporučuje podnikatelům nahlížet na výběr země z několika hledisek:
- Regulátor: rychlost komunikace, průhlednost procesů, ochota k inovacím (regulační pískoviště pro fintech, přístup k novým modelům, včetně paytech a embedded finance).
- Požadavky na substance:
- nutnost fyzické kanceláře;
- místní personál (board, MLRO, risk, compliance);
- hloubka přítomnosti, kterou vyžaduje regulátor, aby uznal společnost za skutečně řízenou z této země.
- Požadavky na safeguarding klientských prostředků:
- které banky/instituce přijímají prostředky;
- zda je možné využít pojištění;
- specifika segregace účtů a kontroly nad nimi.
- Zátěž na vykazování a dohled: frekvence zpráv, složitost formulářů, intenzita kontrol.
- Tolerance k nerezidentům a cross‑border‑modelům: důležitý faktor pro projekty zaměřené na klienty ze SNS, Asie, Afriky.
Jednotný evropský pas pro licenci
Jednou z klíčových výhod EU je jednotný evropský pas pro platební instituce a instituce elektronických peněz.
- poskytovat přeshraniční platební služby v EU bez samostatné licence v každé zemi;
- zřizovat pobočky v dalších státech EU;
- budovat síť agentů a distributorů po celém území.
- místní spotřebitelské právní předpisy;
- specifika KYC/AML pro rezidenty různých zemí;
- místní pravidla pro marketing finančních služeb;
- požadavky na jazyk dokumentace a zákaznické podpory.
Požadavky AML na platební instituce v EU
Každý regulátor v Evropě dnes vnímá AML/CFT jako klíčové kritérium pro platební instituce a elektronické peníze. Pokud vaše postupy proti praní špinavých peněz působí formálně, šance na úspěch při získání licence se blíží nule.
COREDO byla původně vytvořena jako tým, v němž AML‑poradenství a Právní expertíza v oblasti finančního práva spolupracují. To umožnilo vybudovat praxi, kde AML‑model klienta navrhujeme paralelně s volbou jurisdikce a licence, a ne dodatečně.
- vlastnická struktura a požadavky na beneficiáře: transparentnost, absence sankčních rizik, potvrzení zdroje prostředků;
- jmenování a skutečný status AML‑důstojníka (MLRO): zkušenosti, nezávislost, angažovanost;
- přístup založený na riziku: segmentace klientů podle rizik, rozšířený Due Diligence tam, kde je to nutné;
- politiky a postupy: ověření klienta, průběžné monitorování, transakční monitoring, sankční screening, PEP politiky;
- používání regtech‑řešení, avšak s pochopením, že automatizace nenahrazuje odpovědnost orgánů řízení.
Řízení: tři linie obrany
V pracích týmu COREDO se držíme koncepce tří linií obrany:
- První linie — obchodní oddělení, která vytvářejí produkt a komunikují se zákazníky. Odpovídají za dodržování postupů na provozní úrovni.
- Druhá linie: funkce compliance a řízení rizik, které vypracovávají politiky, kontrolují dodržování požadavků a analyzují nová rizika (např. při spuštění nového produktu nebo vstupu do nové země).
- Třetí linie — interní audit, nezávislé hodnocení efektivity celého systému.
Regulátoři mnoha zemí EU přímo očekávají, že ve struktuře platební instituce budou patrné:
- nezávislý compliance officer;
- manažer rizik s pochopením finančních a provozních rizik;
- plán a rámec interního auditu (i když je část funkcí outsourcována).
IT infrastruktura a kybernetická bezpečnost PSD2 a SCA
Pro fintechovou společnost je IT platforma nejen produktem, ale i předmětem regulace. Požadavky na IT infrastrukturu a kybernetickou bezpečnost platebních institucí v EU zahrnují:
- soulad s požadavky PSD2 na silné ověření zákazníka (SCA);
- ochrana dat v souladu s GDPR;
- odolnost proti výpadkům, redundance, plány obnovy po incidentech;
- řízení přístupu, protokolování operací, řízení zranitelností.
- architekturu API (zejména v kontextu otevřeného bankovnictví);
- procesy řízení změn;
- outsourcing kritických IT funkcí a vztahy s externími poskytovateli.
Tým COREDO obvykle zapojuje IT architekty a specialisty na kybernetickou bezpečnost již ve fázi přípravy na licencování. To umožňuje předem odpovědět na otázky regulátora, místo aby byla platforma přestavěna na poslední chvíli.
Outsourcing a agenti: kde je hranice přípustného?
- kritické funkce (risk management, AML, klíčové IT‑systémy) nelze zcela „přenechat externě“ bez ztráty kontroly;
- nezbytné smlouvy, SLA, monitorovací mechanismy a práva regulátora na přístup k informacím;
- regulátor posuzuje schopnost platební instituce řídit síť agentů a partnerů.
Typické chyby žadatelů a jejich předcházení
Během let práce jsem viděl několik opakujících se chyb, které výrazně prodlužují nebo dokonce blokují získání platební licence v Evropské unii:
- Nejasně popsaný obchodní model: vágní popisy služeb, nesoulady mezi produktovou částí a právní částí.
- Jak řešíme v COREDO: začínáme produktovým workshopem, vytváříme srozumitelný model a teprve pak připravujeme podklady pro žádost.
- Podceňování požadavků na substance: snaha vytvořit „virtuální kancelář“ tam, kde regulátor očekává skutečnou přítomnost.
- My hned vysvětlujeme, jaké minimum kanceláře a klíčových funkcí bude potřeba konkrétně v této zemi.
- Formální přístup k AML: kopírování šablonových politik bez zohlednění geografického rozložení klientů a reálných rizik.
- Tým COREDO přizpůsobuje AML‑model konkrétní zákaznické bázi (včetně klientů z SNS a Asie, kde jsou rizika vyšší).
- Slabý manažerský tým: nominální ředitelé bez skutečných zkušeností v oblasti plateb, rizik a financí.
- V řadě případů jsme klientům pomáhali vybudovat governance‑strukturu a vybrat silné manažery, kteří vyhovují regulátorovi.
- Chybějící model škálování: žadatel neukazuje, jak bude řídit rizika při růstu počtu transakcí, vstupu na nové trhy a zavádění nových produktů.
- Praxe COREDO potvrzuje, že existence plánu škálování výrazně zvyšuje důvěru regulátora.
Strategický přístup k projektu: praktická doporučení
Если вы: основатель, финансовый директор или руководитель финтех‑направления и рассматриваете регистрацию финтех‑компании в Европе под платежную лицензию, я бы рекомендовал выстроить работу поэтапно.
- Неjprve: obchodní model, potom: jurisdikce.
- Nevolte zemi podle principu «kde je to jednodušší» nebo «kde známí už licenci získali». Nejprve popište produkt: jaké platební služby, jaké trhy, kteří zákazníci, jak se monetizujete. Tým COREDO často zahajuje spolupráci právě product‑/business‑workshopem.
- Proveďte poctivé AML a vlastní posouzení rizik.
- Pokud ve svém modelu vidíte klienty z vysoce rizikových regionů, složité přeshraniční řetězce, práci s kryptoaktivy nebo embedded finance, nesnažte se to «schovat» před regulátorem. Spolu s klienty COREDO vyvíjíme realistická kontrolní opatření, která lze obhájit před dozorovým orgánem.
- Vymodelujte ROI vlastní licence oproti práci přes partnera.
- Vlastní licence: to není jen svoboda a marže, ale i trvalé náklady na compliance, řízení rizik, reportování, IT‑bezpečnost, audit. Někdy je na začátku rozumnější vytvořit hybridní model: pracovat přes partnera a paralelně se připravovat na licencování. Naše zkušenost v COREDO ukázala, že taková strategická flexibilita často přináší lepší výsledek.
- Plánujte passporting od prvního dne.
- Pokud cílíte na klienty v celém EU, je logické dopředu promyslet, které země budou klíčové, jaké zvláštnosti je třeba vzít v úvahu (jazyk, místní spotřebitelské právo, daně) a začlenit to do architektury smlouvy, IT systémů a compliance procesů.
- Neodkládejte organizační design.
- Struktura řízení, rozdělení funkcí compliance, risk management a interního auditu není formulář pro regulátora, ale skutečný profil odolnosti společnosti. Čím dříve ji vybudujete, tím snáze projdete licencováním a následným dohledem.
Если вы планируете создавать или масштабировать payment institution или e‑money institution в ЕС, команде COREDO действительно есть что привнести: от выбора юрисдикции и архитектуры лицензии до операционной настройки AML, governance и IT‑контуров. И чем раньше вы подключите экспертов, тем больше решений сможете принять из позиции силы, а не под давлением сроков и регуляторных требований.