Когда предприниматель впервые приходит ко мне с идеей выйти на рынок платежных услуг в Европе, в его глазах обычно читается одно и то же: «С чего вообще начать?» Регулирование payment institutions в ЕС, это не один закон и не один регулятор, а целая архитектура из директив, национальных актов, надзорных практик и технических стандартов. И именно от того, насколько грамотным будет первый шаг, зависит, станет ли лицензия платежного учреждения вашим активом или постоянным источником стресса и ограничений.
Я с 2016 года развиваю COREDO как компанию, которая соединяет юридическое, регуляторное и бизнес‑видение в одном проекте. За это время команда COREDO участвовала в запуске и масштабировании десятков финтех‑проектов в ЕС, Великобритании и Азии — от небольших payment institutions с нишевым продуктом до холдингов, совмещающих статус payment institution и e‑money institution в нескольких юрисдикциях.
В этой статье разберу, как на практике работает регулирование payment institutions в ЕС, на что смотреть при выборе страны, в чем различия между лицензией платежного учреждения и лицензией электронных денег, и какие требования к AML, governance и IT‑инфраструктуре нужно заложить в модель с первого дня. Я буду говорить как практик, который отвечает не только за юридическую чистоту, но и за окупаемость таких проектов.
Регулирование платежей: PSD2 и e‑деньги
Любой проект в сфере платежных услуг в Европе начинается с трех ключевых нормативных «слоев»:
- Директива ЕС 2015/2366 (PSD2) — рамочный документ, который задает общие требования к платежным услугам в ЕС: перечень услуг, Лицензирование payment institution, доступ третьих лиц к счетам (open banking, XS2A), strong customer authentication и базовые требования к защите потребителей.
- Директива 2009/110/EC (электронные деньги): определяет статус electronic money institution (EMI), требования к выпуску и обращению электронных денег, safeguarding клиентских средств и минимальный уставный капитал для e‑money institution.
- Национальное законодательство стран ЕС: каждая страна имплементирует PSD2 и директиву 2009/110/EC в свои законы, добавляя национальные акценты: требования к substance, к офису, к топ‑менеджменту, уровню IT‑безопасности, отчетности и т. д.
Команда COREDO постоянно работает на стыке этих уровней: мы начинаем с анализа бизнес‑модели клиента под PSD2 и директиву 2009/110/EC, а затем адаптируем ее под конкретную юрисдикцию: Литву, Эстонию, Ирландию, Кипр, Люксембург или другие страны ЕС.
Payment institution и e‑money institution: отличие
Один из первых вопросов, с которым ко мне приходят: «Нам нужна лицензия payment institution в Европе или сразу лицензия электронных денег?»
Основное отличие
- Payment institution (PI) — дает право оказывать платежные услуги, перечисленные в PSD2: эквайринг, money remittance, execution of payment transactions, issuing of payment instruments, PISP/AISP и др.
- Electronic money institution (EMI): дополнительно дает право выпускать электронные деньги и хранить денежные средства клиентов в форме электронного баланса (кошельки, prepaid‑карты, stored value‑сервисы).
С точки зрения регулятора это разные уровни рисков и, соответственно, разные требования:
- минимальный уставный капитал payment institution ниже, чем у e‑money institution, особенно если речь идет о «small payment institution» или ограниченной лицензии;
- у EMI более строгие требования к safeguarding, пруденциальному надзору, отчетности и risk management.
В практике COREDO нередко возникают ситуации, когда клиент приходит с идеей эмитировать «кошелек», а после правового анализа мы показываем, что на старте выгоднее получить статус payment institution с определенным набором услуг и не входить в зону регулирования электронных денег. Это экономит и капитал, и сроки лицензирования, и сложность надзора.
Какие услуги PSD2 требуют лицензии?
Чтобы не ошибиться с лицензией, важно честно ответить себе: какие именно операции вы хотите делать?
Под директиву ЕС о платежных услугах (PSD2) подпадают, в частности:
- execution of payment transactions (включая SEPA‑платежи и трансграничные платежные услуги в ЕС);
- issuing of payment instruments (карты, виртуальные карты, другие инструменты);
- acquiring of payment transactions (эквайринг, включая онлайн‑эквайринг и платежные шлюзы);
- money remittance (классические переводы без счета);
- services enabling cash to be placed on or withdrawn from a payment account;
- PISP и AISP (open banking).
На ранних этапах команда COREDO обычно проводит функциональную карту услуг: разбираем продукт на конкретные операции и соотносим их с перечнем услуг PSD2. Такой разбор сразу показывает, нужна ли лицензия payment institution, e‑money institution, или можно выстроить модель через партнеров (например, white‑label‑решения, агентские схемы и т. п.).
Минимальный уставный капитал и надзор
Для любого payment institution и e‑money institution в ЕС критично правильно оценить требования к капиталу и возможный рост надзорной нагрузки по мере масштабирования.
Капитал: что это такое?
Размер минимального уставного капитала payment institution зависит от типов услуг и может отличаться по странам ЕС из‑за особенностей имплементации директивы. Для e‑money institution, как правило, капитал выше. Дополнительно регулятор рассчитывает собственные средства по одной из методик (fixed overheads, volume‑based и др.), что напрямую связано с оборотами.
В проектах COREDO мы всегда моделируем сценарий на 3–5 лет: как рост транзакционного объема повлияет на требования к собственным средствам и, соответственно, на финансовую модель. Это помогает избежать ситуации, когда бизнес масштабируется быстрее, чем акционеры готовы докапитализировать компанию.
Пруденциальный надзор в банковской сфере
Пруденциальный надзор за платежными учреждениями в ЕС строится на риск‑ориентированном подходе. Регуляторы смотрят не только на capital adequacy, но и на:
- риск‑менеджмент (operational, liquidity, compliance risk);
- систему внутреннего контроля;
- процедуры safeguarding клиентских средств;
- IT- и киберриски.
Решение, разработанное в COREDO, почти всегда включает дорожную карту взаимодействия с регулятором: какие отчеты, в какие сроки, в каком формате вы будете сдавать в конкретной стране, как планировать ресурсы compliance и finance‑функций.
Выбор юрисдикции в ЕС: стратегия, а не цена
Ошибочное упрощение, которое я регулярно слышу: «ЕС — единое пространство, значит в любой стране будет примерно одно и то же регулирование платежных сервисов». На практике различия национального регулирования платежных учреждений внутри ЕС очень существенны: по требованиям к substance, к офису, к директору‑резиденту, к IT‑инфраструктуре, к safeguarding‑счетам и даже по подходу к клиентам из СНГ.
Команда COREDO обычно предлагает предпринимателям смотреть на выбор страны через несколько осей:
- Регулятор: скорость коммуникации, прозрачность процессов, готовность к инновациям (регуляторные песочницы для финтех, отношение к новым моделям, включая paytech и embedded finance).
- Требования к substance:
- необходимость физического офиса;
- локальный персонал (board, MLRO, risk, compliance);
- глубина присутствия, которую требует регулятор, чтобы признать компанию реально управляемой из этой страны.
- Требования к safeguarding средств клиентов:
- какие банки/институты принимают средства;
- возможно ли использование страхования;
- особенности сегрегации счетов и контроля за ними.
- Нагрузка на отчетность и надзор: частота отчетов, сложность форм, интенсивность проверок.
- Толерантность к нерезидентам и cross‑border‑моделям: важный фактор для проектов, ориентированных на клиентов из СНГ, Азии, Африки.
В практике COREDO часто встречаются запросы сравнить, например, Литву, Эстонию, Ирландию, Мальту, Кипр и Люксембург для получения лицензии payment institution. В таких случаях мы готовим сравнительный анализ требований к капиталу payment institutions по странам, substance, сроков лицензирования и национальных особенностей AML‑надзора. Это документ, который помогает принимать стратегическое решение не «на слуху», а на фактах.
Единый европейский паспорт для лицензии
Один из ключевых плюсов ЕС: это единый европейский паспорт для payment institutions и e‑money institutions.
Получив лицензию в одной стране, вы можете:
- оказывать трансграничные платежные услуги в ЕС без отдельной лицензии в каждой стране;
- открывать branch в других государствах ЕС;
- строить сеть агентов и дистрибуции по всей территории.
Всё же на практике не все предприниматели используют этот инструмент правильно. В COREDO мы всегда объясняем, что паспортинг, это не только уведомление регуляторов, но и:
- локальное потребительское законодательство;
- особенности KYC/AML для резидентов разных стран;
- локальные правила маркетинга финансовых услуг;
- требования к языку документации и поддержке клиентов.
Пример из практики: один из клиентов COREDO получил лицензию e‑money institution в одной из стран ЕС с акцентом на B2B‑кошельки. На следующем этапе мы выстроили план экспансии в 6 стран по паспорту — с учетом специфики local AML‑ожиданий, языковых требований и налогообложения. Такой план позволил запускать страны поэтапно, не создавая ненужной нагрузки на compliance и IT.
AML‑требования к платежным учреждениям ЕС
Любой регулятор в Европе сегодня воспринимает AML/CFT как ключевой критерий для платежных учреждений и электронных денег. Если ваши процедуры по противодействию отмыванию денег выглядят формально, шансы на успех в лицензировании стремятся к нулю.
COREDO изначально формировалась как команда, в которой AML‑консалтинг и Юридическая экспертиза в финансовом праве работают вместе. Это позволило выстроить практику, где AML‑модель клиента мы проектируем параллельно с выбором юрисдикции и лицензии, а не постфактум.
К типичным ожиданиям регуляторов относятся:
- структура собственности и требования к бенефициарам: прозрачность, отсутствие санкционных рисков, подтверждение источника средств;
- назначение и реальный статус AML‑офицера (MLRO): опыт, независимость, вовлеченность;
- risk‑based approach: сегментация клиентов по рискам, расширенный Due Diligence там, где это необходимо;
- политики и процедуры: customer due diligence, ongoing monitoring, транзакционный мониторинг, санкционный скрининг, PEP‑политики;
- использование regtech‑решений, но с пониманием, что автоматизация не заменяет ответственность органов управления.
Практика COREDO подтверждает: проекты, которые с самого начала закладывают сильную AML‑функцию (качественный MLRO, реалистичные сценарии мониторинга, продуманную модель KYC), проходят лицензирование устойчивее и легче согласовывают расширение услуг и географии.
Governance: три линии защиты
Регулятор в ЕС давно смотрит на payment institutions и e‑money institutions через призму корпоративного управления. Простая структура «директор и бухгалтер» больше не воспринимается как достаточная.
В работах команды COREDO мы придерживаемся концепции three lines of defence:
- Первая линия, бизнес‑подразделения, которые создают продукт и взаимодействуют с клиентами. Они отвечают за соблюдение процедур на операционном уровне.
- Вторая линия: функции compliance и risk management, которые разрабатывают политики, контролируют соблюдение требований, анализируют новые риски (например, при запуске нового продукта или выхода на новую страну).
- Третья линия — internal audit, независимая оценка эффективности всей системы.
Регуляторы многих стран ЕС прямо ожидают, что в структуре payment institution будут видны:
- независимый compliance officer;
- risk manager с пониманием финансовых и операционных рисков;
- план и контур internal audit (даже если часть функций аутсорсится).
В ряде проектов решение, разработанное в COREDO, включало гибридную модель: часть функций выносилась на аутсорс (особенно на старте), но при этом сохранялась управляемость и прозрачная отчетность перед регулятором.
IT‑инфраструктура и кибербезопасность PSD2 и SCA
Для финтех‑компании IT‑платформа: это не только продукт, но и объект регулирования. Требования к ИТ‑инфраструктуре и кибербезопасности payment institutions в ЕС включают:
- соответствие требованиям PSD2 по strong customer authentication (SCA);
- защиту данных в соответствии с GDPR;
- отказоустойчивость, резервирование, планы восстановления после инцидентов;
- контроль доступа, журналирование операций, управление уязвимостями.
В ряде юрисдикций регуляторы детально проверяют:
- архитектуру API (особенно в контексте open banking);
- процессы change management;
- аутсорсинг критических IT‑функций и отношения с внешними провайдерами.
Команда COREDO привыкла подключать IT‑архитекторов и специалистов по кибербезопасности еще на этапе подготовки к лицензированию. Это позволяет заранее ответить на вопросы регулятора, а не перестраивать платформу в последнюю минуту.
Аутсорсинг и агенты: где граница допустимого
Современные платежные учреждения редко делают все «внутри». Аутсорсинг KYC, IT‑инфраструктуры, части операционного процесса: обыденная практика. При этом требования к аутсорсингу функций платежного учреждения в ЕС становятся всё более строгими:
- критические функции (risk management, AML, ключевые IT‑системы) нельзя полностью «отдать наружу» без потери контроля;
- необходимые договоры, SLA, механизмы мониторинга и права регулятора на доступ к информации;
- регулятор оценивает способности payment institution управлять сетью агентов и партнёров.
В проектах COREDO мы помогаем клиентам выстроить баланс: использовать сильные внешние решения (например, для KYC или транзакционного мониторинга), но при этом сохранять ядро компетенций внутри и демонстрировать регулятору реальный контроль над бизнесом.
Типичные ошибки заявителей и их предотвращение
За годы работы я увидел несколько повторяющихся ошибок, которые сильно удлиняют или даже блокируют получение платежной лицензии в Евросоюзе:
- Нечетко описанная бизнес‑модель: размытые описания услуг, нестыковки между продуктовой частью и юридической.
- Как решаем в COREDO: начинаем с продуктового воркшопа, формируем понятную модель, а уже под нее пишем application pack.
- Недооценка требований к substance: попытка строить «виртуальный офис» там, где регулятор ожидает реальное присутствие.
- Мы сразу объясняем, какой минимум офиса и ключевых функций потребуется именно в этой стране.
- Формальный подход к AML: копирование шаблонных политик без учета географии клиентов и реальных рисков.
- Команда COREDO адаптирует AML‑модель под конкретную клиентскую базу (включая клиентов из СНГ и Азии, где риски выше).
- Слабый управленческий состав: номинальные директора без реального опыта в платежах, рисках и финансах.
- В ряде кейсов мы помогали клиентам выстроить governance‑структуру и подобрать сильных управленцев, которые устраивают регулятор.
- Отсутствие модели масштабирования: заявитель не показывает, как будет управлять рисками при росте транзакций, выходе в новые страны, запуске новых продуктов.
- Практика COREDO подтверждает, что наличие roadmap по масштабированию значительно повышает доверие регулятора.
Стратегический подход к проекту: практические рекомендации
Если вы: основатель, финансовый директор или руководитель финтех‑направления и рассматриваете регистрацию финтех‑компании в Европе под платежную лицензию, я бы рекомендовал выстроить работу поэтапно.
- Сначала: бизнес‑модель, потом: юрисдикция.
- Не выбирайте страну по принципу «где проще» или «где знакомые уже получили лицензию». Сначала опишите продукт: какие платежные услуги, какие рынки, какие клиенты, как вы монетизируетесь. Команда COREDO часто начинает сотрудничество именно с product‑/business‑workshop.
- Сделайте честный AML‑ и risk‑self‑assessment.
- Если вы видите в своей модели клиентов из высокорисковых регионов, сложные кроссбордер‑цепочки, работу с криптоактивами или embedded finance, не пытайтесь «спрятать» это от регулятора. Вместе с клиентами COREDO мы разрабатываем реалистичные меры контроля, которые можно защитить перед надзорным органом.
- Смоделируйте ROI собственной лицензии vs работы через партнера.
- Собственная лицензия: это не только свобода и маржа, но и постоянные расходы на compliance, risk, отчетность, IT‑безопасность, аудит. Иногда на старте разумнее выстроить гибридную модель: работать через партнера и параллельно готовиться к лицензированию. Наш опыт в COREDO показал, что такая стратегическая гибкость часто дает лучший результат.
- Планируйте паспортинг с первого дня.
- Если вы ориентируетесь на клиентов по всему ЕС, логично заранее продумать, какие страны будут ключевыми, какие особенности нужно учесть (язык, локальное потребительское право, налоги), и встроить это в архитектуру договора, IT‑систем и комплаенс‑процессов.
- Не откладывайте организационный дизайн.
- Структура управления, распределение функций compliance, risk management и internal audit, это не форма для регулятора, а реальный профиль устойчивости компании. Чем раньше вы его выстроите, тем легче проходить лицензирование и последующий надзор.
В COREDO я всегда смотрю на проект не только глазами юриста, но и глазами предпринимателя: с точки зрения сроков, ресурса команды и окупаемости. Регулирование платежных сервисов в Европе становится всё более сложным, но именно это создает высокие барьеры входа и защищает тех игроков, кто строит бизнес системно.
Если вы планируете создавать или масштабировать payment institution или e‑money institution в ЕС, команде COREDO действительно есть что привнести: от выбора юрисдикции и архитектуры лицензии до операционной настройки AML, governance и IT‑контуров. И чем раньше вы подключите экспертов, тем больше решений сможете принять из позиции силы, а не под давлением сроков и регуляторных требований.
