COREDO

Podle údajů Evropského orgánu pro bankovnictví, v posledních letech se počet licencovaných institucí elektronických peněz v EU mnohonásobně zvýšil, a konkurence o klienta v přeshraničních platbách se stala tvrdší než na tradičním bankovním trhu. Na tomto pozadí volba jurisdikce pro EMI licenci přestala být technickou záležitostí: od ní závisí náklady na získání kapitálu, rychlost vstupu na trh EU a dokonce i konečný obchodní model.

Navrhuji nahlédnout na otázku „jak vybrat zemi pro EMI licenci“ jako na strategické rozhodnutí, nikoli formální registraci. V tomto článku rozeberu:

• co ve skutečnosti znamená EMI licence / EMI licence v EU;
• jaké kritéria výběru jurisdikce skutečně ovlivňují P&L
• čím se liší Litva, Portugalsko, Německo a Česko z hlediska regulatorních a provozních parametrů;
• jaké praktické kroky je třeba podniknout, abyste získali EMI licenci a zachovali flexibilitu pro škálování.

Pokud zvažujete registraci EMI společnosti v EU ne jako experiment, ale jako dlouhodobý projekt, doporučuji si článek přečíst celý: dál už nejde o teorii, ale o výtah z reálných případů COREDO v Evropě a EHP.

Licence EMI: co to je a proč je potřeba v Evropě

• přístup na jednotný trh EU a EHP s možností pasportizace služeb;
• právo otevírat a spravovat elektronické peněženky, emitovat předplacené nástroje, pracovat s merchant acquiring;
• provoz v rámci srozumitelného regulačního prostředí s ustálenými přístupy k rizikům a compliance ve fintechu.

Je důležité rozlišovat mezi Small EMI a Full EMI:

• Small EMI (sEMI):
  • obvykle působí v rámci jedné země;
  • omezen objemem transakcí a průměrným měsíčním zůstatkem prostředků klientů;
  • dává rychlý vstup, ale špatně se škáluje mimo národní trh.
• Full EMI:
  • plná EMI licence EU se standardním základním kapitálem (€350 000);
  • možnost volné pasportizace v rámci EU/EHP;
  • přísnější požadavky na kapitál, governance, řízení provozních rizik a IT‑infrastruktuře.

Kritéria výběru země pro EMI licenci v Evropě

regulační požadavky a legislativa

• úroveň formalismu regulátora finančních služeb (BaFin, CNB, Bank of Lithuania, Central Bank of Portugal);
• ochota ke komunikaci v angličtině;
• hloubka posouzení obchodního modelu a IT architektury;
• důraz na lokální přítomnost, kancelář, rezidentní management.

Základní kapitál a finanční požadavky

• požadavky na dodatečný kapitál v závislosti na objemu operací;
• očekávání ohledně struktury vlastního kapitálu, likvidity a finanční stability a účetnictví.

• předpoklad obratů a příjmů z provizí;
• potenciální požadavky na kapitál v horizontu 3–5 let;
• dopad na ROI a KPI projektu.

Proces podání a lhůty pro posouzení dokumentů

• formát komunikace s regulátorem (online portál, email, osobní schůzky);
• počet kol dotazů;
• typický proces podání dokumentů a lhůty posouzení v konkrétní zemi.

Zdanění a náklady na podporu

• korporátní daň a režim zdanění IP a příjmů z platebních služeb;
• náklady na externí audit a účetnictví, povinnost lokálního auditora;
• cena trvalého compliance doprovodu a auditu EMI podnikání.

Požadavky na top management a rezidentství

• prokázané zkušenosti s platbami, řízením rizik, bankovním sektorem;
• bezúhonná obchodní pověst;
• existence reálné účasti na řízení.

• podíl rezidentních ředitelů;
• nutnost fyzické přítomnosti na úrovni C‑level;
• formální požadavky na kvalifikaci personálu.

AML, KYC a compliance

• hloubka a detailnost politiky proti praní špinavých peněz (AML);
• obligatorní procedury KYC a AML pro EMI společnosti;
• používané modely risk‑scoringu, omezení podle jurisdikcí a typů klientů.

IT infrastruktura a kyberbezpečnost

• architektura core platformy a účetních systémů;
• přítomnost PCI DSS certifikátu bezpečnosti při práci s kartami;
• systémy logování, monitorování událostí, plán obnovy po havárii (disaster recovery);
• ochrana dat, soulad s evropskými standardy bezpečnosti plateb.

Vnější faktory: Brexit a regulatorní trendy

• požadavky na komplexní interní dokumentaci EMI společnosti;
• očekávání ohledně zveřejňování informací o rizicích a provozních procesech;
• důraz na odolnost modelů vůči technologickým a kybernetickým rizikům.

Regulatorní požadavky v klíčových zemích Evropy

# EMI licence v Litvě

• jasné požadavky, transparentnost a rychlost posouzení;
• ochota ke komunikaci v angličtině;
• jasná očekávání ohledně sEMI a Full EMI licencí.

• standardní základní kapitál EMI licence €350 000 pro full model;
• detailní požadavky na podnikatelský plán a finanční výkaznictví a prognózy na 3 roky;
• zvláštní pozornost popisu produktového portfolia a geografii klientů;
• důraz na propracované politiky řízení provozních rizik a IT bezpečnosti.

o přístupu regulátora.

# EMI licence v Portugalsku

• standardní kapitál, ale větší důraz na modely ukládání prostředků;
• zvýšený důraz na ukládání klientských prostředků na oddělený účet a auditní postupy pro EMI společnosti v Portugalsku;
• povinný pravidelný externí audit a účetnictví;
• pozornost IT architektuře a plánům odolnosti vůči výpadkům.

# Licence EMI v Německu

• pečlivě se prověřuje finanční stabilita a výkaznictví, zdroje kapitálu;
• kladou se vysoké požadavky na top management a rezidentství, reálnou přítomnost v Německu;
• samostatně se hodnotí rizika a omezení při licencování EMI v Německu, včetně obchodního modelu a partnerství.

# Specifika licencování EMI v Česku

• standardní minimální kapitál pro Full EMI;
• požadavky na registraci právnické osoby (s.r.o.), místní kanceláře a části personálu;
• důraz na systém vnitřní kontroly a postupy řízení rizik;
• jasné lhůty pro získání licence při kvalitně připraveném spise.

Srovnání klíčových parametrů v tabulce

Získání EMI licence ve vybrané zemi: praktické kroky

Byznys plán a finanční prognózy

• popsat cílové publikum, produktovou řadu, geografii a konkurenční pozicování;
• sestavit finanční výkazy a prognózy na 3 roky: P&L, cash‑flow, rozvaha, scénářová analýza;
• ukázat stabilitu kapitálu a realistickou unit‑ekonomiku.

Vnitřní dokumentace a řízení rizik

• AML politika a postupy KYC a AML pro EMI společnosti;
• politika a postupy řízení provozních rizik;
• předpisy týkající se IT bezpečnosti, včetně plánu obnovy po havárii (disaster recovery) a kontinuity podnikání (business continuity);
• popisy postupů kontroly rizik, eskalace a reportingu.

registrace právnické osoby

• vytvoření struktury akcionářů a governance;
• jmenování ředitelů a klíčových funkcí (CEO, CFO, COO, MLRO);
• otevření dočasných účtů pro vklad základního kapitálu.

Příprava a podání spisu

• dotazníky a životopisy klíčových osob;
• byznys plán, finanční modely;
• všechny politiky a postupy;
• popisy IT architektury, technologické infrastruktury a softwaru pro EMI;
• potvrzení o zdroji prostředků akcionářů.

Spolupráce s regulátorem

• odpovědi na žádosti o vysvětlení;
• dopracování jednotlivých částí;
• upřesňování technických a organizačních detailů.

Postlicenční podpora

• pravidelné regulatorní reportování a externí audit;
• udržování platnosti AML/KYC a IT politik;
• příprava na kontroly a inspekce;
• plánovité škálování EMI byznysu v Evropě: nové země, produkty, partnerství.

Specifika souladu s PSD2 a ochrana prostředků klientů

PSD2, klíčové požadavky

• požadavky na transparentnost poplatků a podmínek;
• standardy přístupu k účtům a interakce s třetími stranami (TPP);
• povinnost silného ověřování zákazníka (SCA) a řízení bezpečnostních incidentů.

Uložení klientských prostředků

• chráněné účty v bankách;
• pojištění nebo obdobné mechanismy ochrany u určitých modelů.

Bezpečnost plateb a IT infrastruktury

• shodu se standardem PCI DSS a bezpečnostní certifikaci při práci s údaji platebních karet;
• zabezpečené komunikační kanály, šifrování, segmentaci prostředí;
• promyšlený plán obnovy po havárii a plány zajištění kontinuity.

AML/KYC a řízení rizik

• vícestupňovou identifikaci klientů (vzdáleně/osobně, podle rizikových segmentů);
• monitorování transakcí a scénáře pro odhalování podezřelé aktivity;
• pravidelné přehodnocování rizik a aktualizaci profilů klientů.

Jak škálovat EMI podnikání v Evropě po získání licence?

Strategie vstupu na trh EU a EHP

• oznámení regulátorům cílových zemí;
• nastavení lokálních procesů (podpora, lokalizace dokumentů, marketing);
• budování partnerství s bankami a poskytovateli platební infrastruktury.

Technologická základna a služby

• rychle přidávat nové platební metody a měny;
• integrovat se s lokálními platebními systémy;
• využívat data ke zlepšení hodnocení rizik a produktu.

Finanční odolnost a metriky výkonnosti

• stálé sledování finanční stability a výkaznictví;
• práce s kapitálem a likviditou;
• hodnocení efektivity pomocí klíčových metrik ROI a KPI: LTV/CAC, náklady na obsluhu, podíl problematických transakcí, retence.

Dopad regulatorních požadavků na škálování

• zvyšuje se pozornost k správě (governance) a nezávislým ředitelům;
• rostou požadavky na interní audit a druhou linii obrany;
• mění se požadavky na kapitálové rezervy a modely rizik.

Klíčové závěry a doporučení

1. Regulace a praxe: transparentnost požadavků, zkušenosti regulátora s fintechem, reálné lhůty.
2. Finance: minimální a provozní kapitál, daně, náklady na audit a compliance.
3. Provoz a technologie: požadavky na kancelář, personál, IT infrastrukturu, bezpečnost plateb.
4. Růstová strategie: možnosti pasportizace, postoj trhu k jurisdikci, perspektivy škálování v rámci EU a EHP.

Za poslední tři roky se průměrná výše regulačních pokut pro finanční společnosti v EU a v Asii několikanásobně zvýšila, a v jednotlivých případech dosahovala stovek milionů jednotek základní měny. Sankční omezení 2024–2025 vedla k zablokování účtů a odnětí licencí u zcela stabilních podniků jen proto, že jejich compliance systém nestihl změny.

Kdy je audit compliance povinný pro společnosti

Regulační rámec: EU, Asie, SNS
V práci týmu COREDO vidím tři hlavní hybatele, které činí audit compliance povinným:

• přímé regulatorní požadavky,
• podmínky finančního licencování,
• sankční a bankovní očekávání týkající se sankčního compliance a AML.

V EU je povinný audit compliance pro právnické osoby stanoven především pro:

• úvěrových a platebních organizací, elektronických peněz, investičních firem (licence MiFID, PSD2 a jejich lokální implementace),
• krypto poskytovatelů spadajících pod aktualizované AML směrnice a MiCA,
• emitentů cenných papírů a společností, jejichž cenné papíry se obchodují na regulovaných trzích (požadavky na vnitřní kontrolu a řízení rizik).

V Asii je obraz více roztříštěný, ale obecný trend je podobný. V takových centrech jako Singapur a Hongkong, pro licencovatelné finanční, platební a krypto společnosti:

• jsou stanoveny podrobné regulatorní požadavky na vnitřní kontrolu a compliance,
• je předepsán pravidelný monitoring a audit compliance, často za účasti externích konzultantů,
• zvláštní pozornost je věnována compliance a AML (proti praní špinavých peněz), stejně jako compliance a ochraně dat.

Odvětví s povinným auditem compliance
Zkušenost COREDO ukazuje: bez ohledu na doslovné znění zákona existují sektory, kde bez pravidelného auditu neprojdete ani licencováním, ani bankovním compliance:

• finanční sektor (banky, platební organizace, PSP, EMI, forex dealeři, investiční společnosti);
• krypto a fintech služby působící v EU, Singapuru, Dubaji, na Kypru, v Estonsku a ve Spojeném království;
• společnosti, procházející registrací právnických osob v EU s následným finančním licencováním;
• mezinárodní holdingy působící na citlivých trzích a s citlivými měnami: zde banky a partneři sami očekávají compliance a řízení rizik.

Sankce, AML a nárůst povinností
Sankční režim roku 2025 proměňuje compliance a sankční rizika v klíčový faktor povinnosti prověřování. Banky a poskytovatelé plateb požadují od klientů:

• formalizovaný sankční compliance,
• postupy ověřování protistran a kontroly dodavatelských řetězců,
• důkazy, že compliance a ochrana před sankcemi pro podnik nejsou deklarací, ale fungujícím systémem.

Rizika nedodržování: pokuty a ztráta licencí
Společnosti, u nichž compliance a řízení rizik existují jen «na papíře», čelí třem typům důsledků:

• finanční pokuty a zmrazení operací,
• regulatorní rizika – odnětí nebo pozastavení licencí, omezení na nové produkty a trhy,
• reputační ztráty a přerušení vztahů s bankami, poskytovateli plateb a klíčovými partnery.

Fáze auditu compliance od přípravy po odstranění
Audit compliance je systematická kontrola souladu společnosti s právními předpisy, normami a vnitřními pravidly, pokrývající všechny klíčové etapy: od přípravy a shromáždění regulační základny až po identifikaci a odstranění nesouladů. Aby audit proběhl efektivně, je důležité jasně určit jeho rozsah a připravit kompletní sadu dat a dokumentů.

Příprava: kontrola a sběr dat
Když se mě ptají, jak provést audit compliance ve společnosti, vždy začínám určením rozsahu:

• jaké jurisdikce (EU, Asie, SNS),
• jaké licenjurisdikce a druhy činnosti,
• jaké procesy (KYC, sankční screening, compliance a kontrola transakcí, ochrana údajů, informační bezpečnost, protikorupce).

Vnitřní audit compliance: dokumenty a praxe
Moderní vnitřní audit nevyhnutelně přesahuje rámec „papírové kontroly“. V naší praxi zahrnuje:

• analýza dokumentů: postupy compliance, AML politiky, protikorupční předpisy, standardy pro compliance a ochranu údajů, informační bezpečnost;
• rozhovory s odpovědnými: compliance manažer, právníci, specialisté na operace, manažeři rizik;
• testování vzorku: jak funguje compliance a kontrola protistran, jak se dokumentují rozhodnutí o vysoce rizikových klientech, jak se zaznamenávají varovné signály (red flags).

Hodnocení souladu s předpisy a standardy
Další úroveň: formální hodnocení compliance a shody s předpisy:

• relevantní zákony EU a Asie týkající se AML, sankcí, ochrany údajů a korporátní správy;
• místní požadavky regulátorů na compliance ve finančním sektoru;
• mezinárodní standardy, jako ISO 27001 pro informační bezpečnost a prvky standardů korporátního řízení.

Zpráva z auditu: struktura a důrazy
Dobrá zpráva není jen výčet porušení. Při přípravě zpráv o compliance auditu se vždy snažím o tři věci:

• jasná mapa rizik podle oblastí: AML, sankční compliance, protikorupce, ochrana údajů, informační bezpečnost, práce s kontrakty;
• vázání na předpisy: konkrétní články zákonů a požadavků regulátora, kterým systémy neodpovídají;
• hodnocení dopadu: právní, finanční a reputační rizika, dopad na licence a bankovní vztahy.

Nápravná opatření a plán (roadmapa)
Další krok — doporučení k odstranění nesouladů v oblasti compliance. V COREDO je vždy formátujeme jako plán (roadmapu) s prioritizací:

• rychlá opatření (1–3 měsíce): úpravy politik, posílení postupů ověřování protistran, dodatečná interní kontrola a compliance u vysoce rizikových transakcí;
• střednědobé (3–9 měsíců): zavedení nebo aktualizace IT systémů pro compliance a automatizace procesů, posílení compliance a audit informační bezpečnosti, školení personálu;
• strategická (9–18 měsíců): přestavba systému compliance, integrace s právním oddělením, aktualizace modelu řízení compliance rizik.

Monitoring a opakované kontroly
Audit není konec, ale výchozí bod. Vždy doporučuji:

• zakotvit pravidelný monitoring a audit compliance v politice,
• provádět výběrové opakované kontroly klíčových procesů,
• sledovat compliance a hodnocení zralosti procesů podle předem stanovených KPI.

Role právního poradenství a AML v compliance auditu
Role právního poradenství a AML služeb v compliance auditu je obzvlášť patrná tam, kde je pro společnosti důležité nejen formálně splňovat požadavky regulátorů, ale i vybudovat udržitelný systém řízení rizik. Právní poradenství a specializované AML služby umožňují provést compliance audit hlouběji, přesněji a přímo ovlivňují efektivitu následné integrace compliance a právní služby.

Integrace compliance a právní služby

Optimální model je integrace compliance a právního oddělení:

• právníci zajišťují právní podporu podnikání, právní podporu podnikání, analyzují právní odpovědnost, sankční a regulatorní omezení transakcí;
• compliance manažer a jeho tým odpovídají za postupy ověřování klientů, protistran, beneficiářů a transakcí;
• společně se vytváří compliance a Právní expertíza smluv, včetně sankčních a AML omezení, prohlášení a záruk (reps & warranties), podmínek vypovězení při regulatorních rizicích.

AML služby jako jádro řízení rizik
Pro společnosti, které procházejí finančním licencováním nebo pracují s přeshraničními platbami, jsou AML služby už ne volbou, ale základem:

• postupy KYC/KYB,
• screening podle sankčních a PEP seznamů,
• monitorování transakcí,
• vyšetřování podezřelých operací a příprava zpráv pro regulátora.

Registrace právnických osob a požadavky compliance
Při registraci právnických osob v EU nebo v asijských jurisdikcích již samotný akt inkorporace nekončí pouhým podáním dokumentů. Banky, licenční orgány a investoři očekávají:

• existenci základního compliance systému,
• formalizovaný vnitřní kontrolní mechanismus a compliance,
• postupy compliance a řízení vnitřních procesů a schvalovacích postupů transakcí.

Příprava na kontroly

politiky, ale i důkazy jejich reálného uplatnění. V takových případech právní doprovod podnikání a kompliance pracují společně:

• sestavují sadu dokumentů k prověření,
• připravují odpovědi na možné otázky regulátora,
• připravují interní prezentaci systému kontroly a řízení sankčních rizik.

Zkušenost COREDO ukazuje: společnosti, které předem prošly interním auditem kompliance a provedly nápravná opatření, absolvují externí kontroly výrazně klidněji.

Audit kompliance v podmínkách sankcí 2025
Audit kompliance v podmínkách sankcí 2025 přestal být formální záležitostí „pro oko“ a stal se pracovním nástrojem pro přežití podnikání na mezinárodních trzích. V podmínkách rostoucího tlaku regulátorů a nárůstu sekundárních omezení se právě správně nastavený sankční compliance stává povinným modulem systému řízení rizik a základem pro další kroky při adaptaci na nové požadavky.

Sankční kompliance: povinný modul
V roce 2025 se audit kompliance v podmínkách sankcí stal samostatným směrem. Zahrnuje:

• ověření, jak jsou sankční filtry integrovány do systému kompliance a kontroly transakcí;
• analýzu geografického rozmístění operací, dodavatelských řetězců a finanční odolnosti protistran s ohledem na sankční režimy;
• hodnocení, do jaké míry je společnost schopna rychle reagovat na změny sankčních seznamů a požadavků.

Role manažera kompliance
V sankční agendě se role manažera kompliance v auditu mění:

• z role „kontrolora dokumentů“ přechází do role rizikového partnera vedení;
• účastní se hodnocení nových trhů, produktů a partnerství;
• odpovídá za kompliance a řízení sankčních rizik a za komunikaci s bankami a regulátory.

Technologie a automatizace

Praktická doporučení pro podnikatele a vedení
Pro podnikatele a vedení je povinný audit: nejde jen o formalitu, ale o důležitý nástroj k ověření spolehlivosti a transparentnosti podnikání. Níže praktické kroky a doporučení, které pomohou řádně se připravit na audit a projít jím s minimálními riziky.

Příprava na povinný audit
Pokud chápete, že váš sektor a jurisdikce dělají audit kompliance nevyhnutelným, doporučuji začít třemi kroky:

1. Určete regulatorní mapu: které zákony EU, Asie, SNS, jaké standardy (AML, sankce, informační bezpečnost, správa společnosti) se na vás vztahují.
2. Proveďte expresní hodnocení systému kompliance: zda existují formalizované politiky, postupy, vnitřní kontrola a kompliance, rozdělení rolí.
3. Vyčleňte rozpočet a časový harmonogram pro interní nebo externí audit kompliance ve společnosti.

Vnitřní kontrola a školení personálu

Rozšiřování systému kompliance

KPI a ROI kompliance

Kroky při zjištění nesouladů

Tým COREDO často doprovází klienty v této fázi, pomáhá proměnit krizi v příležitost posílit systém a upevnit důvěru regulátorů a partnerů.

Povinný audit kompliance pro podniky

Tabulka povinnosti auditu kompliance podle regionů a odvětví

Evropské regulační orgány zásadně změnily přístup k vydávání platebních karet. Pokud byly dříve požadavky relativně flexibilní, nyní se staly přísnými a nemilosrdnými. Přitvrzení se týká všeho: od postupů ověřování klientů až po technologické bezpečnostní standardy, od sankčních omezení až po daňové regulace. A to je teprve začátek.

Za devět let činnosti COREDO jsme pomohli více než 500 společnostem z Evropy, Asie a SNS úspěšně zaregistrovat platební služby a získat potřebné licence. Naše zkušenost ukázala, že úspěch nezávisí jen na znalosti legislativy, ale i na pochopení toho, jak regulátoři tyto požadavky interpretují v praxi. V tomto článku se podělím o to, co by měl vědět každý podnikatel, který plánuje pracovat s vydáváním karet v Evropě.

Emise platebních karet EU: kdo kontroluje?

Evropský systém finanční regulace je uspořádán jako matrjoška. Na nejvyšší úrovni jsou nadnárodní orgány, Evropská centrální banka a Evropský orgán pro bankovní dohled. Ty stanovují obecná pravidla a standardy. Na střední úrovni působí národní centrální banky a finanční regulátoři každé země. Ti přizpůsobují evropské požadavky místním podmínkám a vykonávají dohled. Na nejnižší úrovni jsou samotné společnosti, které musí současně vyhovovat všem těmto požadavkům.

Praxe COREDO potvrzuje: společnosti často nechápou, kdo je přesně kontroluje. Například pokud registrujete platební instituci ve Španělsku, bude vás kontrolovat španělský regulátor (Banco de España), ale zároveň musíte splňovat požadavky EBA a ECB. To znamená, že podléháte třem úrovním regulace současně.

Role ECB, EBA a regulátorů v emisi karet

Evropská centrální banka se zaměřuje na makroekonomickou stabilitu a měnovou politiku. V kontextu emise karet je její role však klíčová: ECB stanovuje požadavky na platební systémy, určuje bezpečnostní standardy a sleduje systémová rizika. Když ECB vydá doporučení, není to jen rada — je to fakticky závazný požadavek pro všechny účastníky trhu.

Evropský orgán pro bankovní dohled (EBA) je orgán, který vyvíjí technické standardy pro platební služby. EBA vydává pravidelné aktualizace, které určují, jak přesně by měly společnosti implementovat požadavky PSD2 (Payment Services Directive 2). Například EBA určuje, které metody ověření klientů se považují za dostatečné, jaké technologie by měly být použity pro ochranu dat a jak organizovat monitoring podezřelých operací.

Národní regulátoři jsou ti, kteří vydávají licence a provádějí dohled na místní úrovni. Mají určitou volnost v interpretaci evropských požadavků, ale nemohou je ignorovat. Například španělský Banco de España může stanovit vyšší požadavky na kapitál než minimum stanovené EBA, ale nemůže stanovit nižší.

PSD2 a vydávání karet v letech 2025–2026

Základní princip PSD2: otevřenost a konkurence. Směrnice vyžaduje, aby banky otevíraly přístup k účtům třetím stranám (Open Banking), aby platební služby byly dostupné nejen bankám, ale i specializovaným platebním institucím, a aby měli klienti možnost volby mezi různými poskytovateli služeb.

Za třetí, požadavky na otevřené bankovnictví (Open Banking). Pokud chce klient připojit vaši kartu k službě agregátoru plateb, musíte poskytnout API pro integraci. To vytváří nové příležitosti, ale i nová rizika: je třeba zajistit, aby třetí strany splňovaly bezpečnostní požadavky.

Praxe COREDO ukázala, že mnohé společnosti podceňují požadavky PSD2. Myslí si, že stačí jen přidat dvoufaktorové ověření a je vše v pořádku. Ve skutečnosti jsou požadavky mnohem hlubší. Je třeba přehodnotit celou architekturu systému, aktualizovat procesy a proškolit tým. Pomohli jsme jedné španělské společnosti provést kompletní audit souladu s PSD2 a ukázalo se, že měli více než 50 mezer v compliance. Po odstranění těchto nedostatků společnost nejenže předešla pokutám, ale také zlepšila uživatelský zážitek.

Sankční omezení a emise karet v letech 2025–2026

Pro emitenty karet to vytváří složitou situaci. Pokud vydáváte karty, které mohou být použity pro platby přes sankční systémy, můžete být pohnáni k odpovědnosti. Nejde jen o pokutu, může to vést ke ztrátě licence a trestnímu stíhání vedení společnosti.

Řešení, které vyvinul tým COREDO: vytvořili jsme systém monitoringu sankcí, který se integruje s platebními systémy. Systém automaticky kontroluje každou transakci vůči sankčním seznamům a blokuje podezřelé operace. To vyžaduje investice do technologie, ale je to nezbytné pro splnění požadavků regulátorů.

Kromě toho musí společnosti pravidelně aktualizovat své politiky týkající se sankcí. Je nutné jasně definovat, které země a společnosti neobsluhujete, které platební systémy nepoužíváte a jak kontrolujete klienty z hlediska sankčních omezení. To vše musí být zdokumentováno a pravidelně revidováno.

Požadavky AML pro vydávání karet v letech 2025–2026

Regulátoři zpřísnili požadavky, protože objemy praní špinavých peněz rostou. Podle odhadů Mezinárodního měnového fondu se každoročně pere 2 až 5 % světového HDP. To jsou biliony dolarů. A platební systémy se často stávají kanálem pro tyto operace. Regulátoři se rozhodli, že se to musí změnit.

Aktualizované standardy AML a KYC v EU při vydávání karet

Dříve mohly společnosti používat zjednodušenou verifikaci pro klienty s nízkým rizikem. Nyní musí projít plnou verifikací všichni klienti. To znamená, že je třeba shromáždit nejen pasové údaje, ale i informace o zdrojích příjmů, o struktuře společnosti (pokud je klient právnickou osobou) a o beneficiárních vlastnících.

Pro fyzické osoby proces vypadá takto: klient nahraje kopii pasu, udělá selfie, potvrdí adresu bydliště. Systém ověří tato data vůči databázím (například vůči seznamům PEP, politicky exponovaných osob). Pokud klient spadá do kategorie zvýšeného rizika, je vyžadována dodatečná verifikace.

Pro společnosti je proces mnohem složitější. Je třeba shromáždit zakladatelské dokumenty, informace o struktuře vlastnictví, údaje o beneficiárních vlastnících (Ultimate Beneficial Owners, UBO). Je nutné ověřit, zda společnost není spojena se sankčními zeměmi, nebo zda se nezabývá činností, která by mohla souviset s praním peněz (například kasina, obchod se zbraněmi).

Praxe COREDO ukázala, že mnoho společností podceňuje složitost KYC pro korporátní klienty. Pomohli jsme jedné litevské platební společnosti vyvinout proces KYC, který zahrnuje 15 kontrolních kroků. Zdá se to mnoho, ale je to nezbytné pro dodržení požadavků regulátorů a pro ochranu společnosti před riziky.

Termíny verifikace se také zpřísnily. Dříve mohly společnosti provádět verifikaci během 10 dnů. Nyní je požadováno provést verifikaci během 2–5 dnů. To znamená, že je nutné investovat do automatizace procesu. Doporučujeme používat systémy digitální identifikace (například eIDAS v EU), které umožňují urychlit proces verifikace.

Výkaznictví a monitorování AML operací

Co se považuje za podezřelé? Například když klient náhle začne provádět transakce v částce 10krát vyšší než obvykle. Nebo když klient, který žije v Evropě, provádí platby do zemí, které jsou pod sankcemi. Nebo když klient provádí mnoho drobných transakcí, které v součtu dávají velkou částku (to se nazývá „strukturování“ a je to známka praní peněz).

Systémy monitorování by měly tyto vzorce automaticky odhalovat a generovat upozornění. Poté by compliance specialista měl upozornění analyzovat a rozhodnout, zda je nutné podat oznámení o podezřelé aktivitě (Suspicious Activity Report, SAR) regulátorovi.

Rizika a řízení při vydávání korporátních karet v EU

Hlavní riziko při vydávání korporátních karet je, že karta může být použita k financování terorismu nebo jiné nezákonné činnosti. Například společnost může být bílým pláštěm pro praní peněz. Nebo může být karta použita k financování teroristických organizací.

Pro minimalizaci těchto rizik by společnosti měly provádět zesílenou verifikaci korporátních klientů. To zahrnuje kontrolu struktury vlastnictví společnosti, ověření beneficiárních vlastníků, kontrolu vůči sankčním seznamům a prověření historie společnosti.

Kromě toho by společnosti měly nastavit limity pro transakce korporátních karet. Například limit na denní souhrn transakcí, limit na počet transakcí za den, limit na transakce v určitých zemích.

Praxe COREDO ukázala, že společnosti, které berou řízení rizik vážně, získávají výhodu. Vyhýbají se pokutám, vyhýbají se uzavření účtů bankami a získávají důvěru regulátorů. Pomohli jsme jedné španělské společnosti vyvinout systém řízení rizik, který zahrnuje automatickou kontrolu všech korporátních klientů. To vedlo k tomu, že společnost odhalila několik podezřelých klientů a vyhnula se vážným problémům.

Registrace právnických osob pro emisi karet v EU

Pokud jste se rozhodli spustit platební službu s emisí karet, první otázka zní: kde zaregistrovat společnost? Je to zásadní rozhodnutí, které ovlivňuje vše ostatní: požadavky na kapitál, daně, na požadavky na compliance, možnost škálování.

Výběr jurisdikce pro registraci společnosti za účelem emise karet

V EU je několik jurisdikcí, které se specializují na platební služby. Každá má své výhody a nevýhody.

• Španělsko: je to jedna z nejpopulárnějších voleb pro startupy. Požadavky na kapitál jsou relativně nízké (od €50 000 pro platební instituci), proces udělování licence je relativně rychlý (3–6 měsíců), daně jsou konkurenceschopné. Navíc ve Španělsku je dobře rozvinut ekosystém platebních společností, jsou zde zkušení poradci a poskytovatelé služeb.
• Litva: je to další oblíbená volba. Litevský regulátor (Banka Litvy) je známý svým progresivním přístupem k regulaci. Požadavky na kapitál jsou nízké, proces udělení licence rychlý, daně nízké. Litva je také známá svou digitální infrastrukturou a podporou fintech společností.
• Lucembursko: je to volba pro společnosti, které chtějí pracovat s vysokou hodnotou aktiv. Požadavky na kapitál jsou vysoké (od €1 mil.), ale reputace Lucemburska jako finančního centra otevírá dveře k přilákání investic. Daně v Lucembursku jsou také konkurenceschopné díky daňovým zvýhodněním pro finanční společnosti.
• Kypr: je to volba pro společnosti, které chtějí působit s klienty z různých regionů. Kypr má nízké požadavky na kapitál, rychlý proces udělení licence, nízké daně. Kromě toho má Kypr dobré vazby se společnostmi z Asie a Blízkého východu.

Licencování a povolení k emisi karet

získání licence na emisi karet: jde o dlouhý a složitý proces. Zahrnuje několik fází a vyžaduje přípravu velkého množství dokumentů.

První fáze – výběr typu licence. V EU jsou dva hlavní typy licencí pro platební služby: Payment Institution License (licence platební instituce) и Electronic Money Institution License (licence instituce elektronických peněz).

• Licence platební instituce: uděluje se společnostem, které poskytují služby převodu peněz, zpracování plateb, vydávání platebních nástrojů (včetně karet). Je to nejběžnější licence pro společnosti, které chtějí vydávat karty.
• Licence instituce elektronických peněz: uděluje se společnostem, které vydávají elektronické peníze (např. předplacené karty). Tato licence vyžaduje vyšší kapitál a přísnější požadavky na compliance.

Třetí fáze je podání žádosti. Žádost se podává přes online portál regulátora. Je třeba vyplnit formulář, nahrát dokumenty a zaplatit poplatek za posouzení žádosti (obvykle od €500 do €5 000).

Čtvrtá fáze: posouzení žádosti. Regulátor kontroluje dokumenty, může požadovat další informace nebo uskutečnit setkání s vedením společnosti. Tato fáze může trvat od 2 do 12 měsíců v závislosti na jurisdikci a složitosti žádosti.

Pátá fáze je získání licence. Pokud regulátor žádost schválí, společnost získá licenci. Licence se uděluje na určité období (obvykle 5 let) a může být prodloužena.

Praxe COREDO ukazuje, že společnosti často podceňují složitost licenčního procesu. Myslí si, že stačí jen podat dokumenty a čekat na schválení. Ve skutečnosti je nutné aktivně komunikovat s regulátorem, odpovídat na požadavky a poskytovat dodatečné informace. Pomohli jsme jedné litevské společnosti projít licenčním procesem za 3 měsíce díky tomu, že jsme předem připravili všechny dokumenty a aktivně komunikovali s regulátorem.

Dokumenty a postup registrace právnické osoby

Před podáním žádosti o licenci je třeba zaregistrovat společnost. Proces registrace závisí na jurisdikci, ale obecně vypadá takto:

V EU obvykle proces registrace společnosti zahrnuje následující kroky:

1. Výběr názvu společnosti – je třeba zajistit, že název je jedinečný a neporušuje práva třetích stran.
2. Příprava zakladatelských dokumentů: je třeba připravit stanovy společnosti, rozhodnutí o založení společnosti, informace o ředitelích a akcionářích.
3. otevření bankovního účtu – je třeba otevřít účet v bance pro vložení kapitálu.
4. Podání dokumentů do rejstříku společností – je třeba podat dokumenty do místního rejstříku společností (např. ve Španělsku je to Registro Mercantil).
5. Získání osvědčení o registraci – po schválení žádosti společnost obdrží osvědčení o registraci.

Doba registrace se liší od 3 do 7 dnů v závislosti na jurisdikci. Po registraci může společnost podat žádost o licenci platební instituce.

Technické požadavky a bezpečnostní standardy při emisi karet

Dříve byla technologie jen nástrojem pro realizaci podnikání, v letech 2025–2026 se technologie stala základem pro dodržování požadavků regulátorů. Regulátoři nyní požadují, aby společnosti používaly určité technologické standardy a metody ochrany dat.

Tokenizace a bezkontaktní platby: co je důležité vědět

Bezkontaktní platby jsou platby, které probíhají bez fyzického kontaktu karty s terminálem. Může jít o platbu přes NFC (Near Field Communication), platbu přes QR kód nebo platbu prostřednictvím mobilní aplikace. Regulátoři vyžadují, aby všechny společnosti podporovaly bezkontaktní platby a aby tyto platby byly chráněny proti podvodům.

Praxe COREDO ukázala, že zavedení tokenizace a bezkontaktních plateb vyžaduje značné investice do technologie. Je třeba aktualizovat systémy zpracování plateb, integrovat se s platebními systémy (Visa, Mastercard) a provést testování a certifikaci. Ale jsou to investice, které se vyplatí díky snížení podvodů a zlepšení uživatelské zkušenosti.