Dokumenty, balíček důkazů a typické chyby v jednotlivých částech
Proč „hromada PDF“ v Česku nefunguje
V České republice je příslušným orgánem pro udělování licencí EMI Česká národní banka (ČNB). Žádosti lze podávat pouze elektronicky (databox) a ČNB výslovně doporučuje používat její zveřejněné formuláře.
Nejrychlejší způsob, jak ztratit měsíce, je předložit zásady, které zní dobře, ale nic nedokazují. ČNB (a pokyny na úrovni EU) očekávají důkazem podložený, vnitřně konzistentní operační model: rozsah produktů → procesy → kontroly → IT/outsourcing → ochrana → finance, vše v souladu. Pokyny EBA pro povolení jsou jednoznačné: informace by měly být pravdivé, úplné, přesné a aktuální, s podrobnostmi úměrnými danému podnikání.
Balíček důkazů: co to je a jak jej strukturovat
Balíček důkazů si představte jako sledovatelnou dokumentaci, nikoli jako hromadu příloh. Každé tvrzení v žádosti by mělo odpovídat artefaktu, který můžete předložit (politika, registr, zpráva, snímek obrazovky, smluvní doložka, výpis z protokolu, šablona atd.).
Minimální struktura (doporučená)
- E00 – Index důkazů / mapovací matice
- Požadavek → ID dokumentu → odkaz na sekci → vlastník → verze/datum → „co dokazuje“
- Balíček správy (organizační schéma, popisy rolí, RACI, rámec vnitřní kontroly)
- Balíček procesů (cesta zákazníka + SOP pro klíčové toky, s výstupy a kontrolami)
- Balíček zabezpečení (metoda, účty, odsouhlasení, eskalace, podávání zpráv)
- Balíček AML/CFT (RBA, KYC/EDD, scénáře TM, správa případů, reporting)
- Balíček ICT a bezpečnost (architektura, kontrola přístupu, protokolování, správa změn, incidenty, BCP/DR)
- Balíček outsourcing (registr, due diligence, smlouvy/SLA, auditní práva, plán ukončení)
- Balíček finančních modelů (předpoklady, P&L/BS/CF, kapitál/vlastní prostředky, stresové scénáře)
- Balíček ochrany zákazníků (obchodní podmínky, poplatky, stížnosti, zveřejňování informací)
Kontrolní seznam po jednotlivých částech: dokumenty + typické chyby
1) Průvodní dopis + definice rozsahu (o co vlastně žádáte)
Zahrňte
- Jasný rozsah: vydávání elektronických peněz + veškeré platební služby (a kde budete působit)
- Seznam produktů na vysoké úrovni a fáze spuštění (MVP vs. plný rozsah)
- Křížový odkaz na index důkazů
Typické chyby
- Rozsah „uděláme všechno“ bez pořadí
- Nesoulad rozsahu v průvodním dopise, formulářích, popisech procesů a finančním modelu
2) Formuláře ČNB + mechanismus podání žádosti (neimprovizujte)
Zahrňte
- Formuláře žádosti ČNB (vč. šablon formulářů žádosti o licenci instituce elektronických peněz)
- Kde/jak podat: datová schránka
Typické chyby
- Chybějící pole, nekonzistentní identifikátory, různé verze stejných skutečností
- Přílohy nejsou jasně označeny, chybí mapovací matice, chybí „jediný zdroj pravdy“
3) Kapitál a vlastní prostředky (nejde o pocit, jde o EUR)
Zahrnout
- Důkazy o kapitálu + popis zdroje finančních prostředků (a dokumenty)
- Přístup k vlastním prostředkům a spouštěče průběžného monitorování kapitálu
- Finanční plán ukazující, jak zůstáváte dostatečně kapitalizováni
Klíčové pravidlo, které je třeba si zapamatovat
- Český zákon o platebním systému stanoví: počáteční kapitál pro instituci elektronických peněz musí být alespoň 350 000 EUR.
Typické chyby
- Žádné věrohodné vysvětlení zdroje finančních prostředků / vlastnického řetězce
- Ztrátový plán bez plánu doplnění kapitálu nebo spouštěčů správy
4) Rámec správy a vnitřní kontroly
Zahrnout
- Organizační schéma (vč. klíčových funkcí), popisy rolí, rozhodovací pravomoci
- RACI pro onboardingu, ochranu, odsouhlasení, hlášení AML, řešení incidentů
- Rámec vnitřní kontroly (1. linie provádění, 2. linie dohled, 3. linie zajištění)
Typické chyby
- „Papírová“ správa: tituly existují, ale časová náročnost/zkušenosti neodpovídají
- Žádné oddělení povinností (stejná osoba vlastní produkt + kontroluje + schvaluje)
- Žádné důkazy o artefaktech provozní kontroly (registry, MI, kadence reportingu)
5) Program operací (produkty, toky a kdo co dělá)
Zahrnout
- Popisy produktů: vydávání/vyplácení, způsoby financování, limity, poplatky
- Mapy zákaznické cesty (od onboardingu po uzavření)
- Diagramy toku peněz a dat (včetně poskytovatelů a systémů)
Typické chyby
- Popis toků bez výstupů a kontrolních bodů („monitorujeme transakce“ – jak?)
- Skryté závislosti (zpracovatel karet/poskytovatel KYC/účetní kniha), které nejsou zohledněny v dokumentech o outsourcingu
6) Ochrana (zde končí slabé soubory)
Zahrnout
- Popis metody ochrany a operačního modelu
- Nastavení oddělených účtů a správa
- Proces odsouhlasení: frekvence, tolerance, eskalace, sledování reportingu
- Důkazy: vzorové zprávy o odsouhlasení, protokoly o schválení, lístky s výjimkami
Typické chyby
- „Budeme chránit“ bez mechanismu a časového harmonogramu
- Chybějící odsouhlasení (nebo nedefinované: kdo, jak často, jaké důkazy, co se stane při přestávkách)
- Ochrana není v souladu s účetním/účetním modelem a finančními předpoklady
7) AML/CFT (ano, musí to být skutečné, ne přeložené šablony)
Zahrnout
- Posouzení rizik (zákazník/produkt/kanál/geografie) + kontroly (CDD/EDD)
- Pravidla/scénáře monitorování transakcí a pracovní postupy pro jednotlivé případy
- Postup hlášení podezřelých aktivit + školicí program
- Důkazy: vzorové řešení výstrah, šablona poznámek k případům, protokoly školení
Referenční bod
- Český rámec AML je založen na zákoně č. 253/2008 Sb. (existují anglické překlady).
Typické chyby
- Obecná politika AML, která neodpovídá vašim produktům/kanálům
- Žádná RBA (nebo RBA nesouvisí se skutečnými pravidly monitorování a rozhodnutími o přijetí)
- „Nástroj zakoupíme později“ bez prozatímních postupů a odpovědnosti
8) ICT a bezpečnost (ukázat kontroly, ne jen je popsat)
Zahrnout
- Přehled architektury + toky dat + inventář klíčových systémů
- Kontrola přístupu (RBAC), protokolování, správa změn, reakce na incidenty
- BCP/DR s důkazy o testování a vlastnictvím
Typické chyby
- Žádné důkazy: žádný workflow pro ticketing, žádné protokoly, žádné výstupy z kontroly přístupu
- Nespravovaný přístup dodavatelů; žádný audit trail; žádné schvalování změn
- BCP/DR existuje, ale nikdy nebyl testován (a nikdo za něj nenese odpovědnost)
9) Outsourcing (vaši dodavatelé se stávají vaším rizikem)
Zahrňte
- Registr outsourcingu: co, proč, kritičnost, rizika, vlastníci
- Balíček due diligence (bezpečnost, odolnost, finance, suboutsourcing)
- Smluvní doložky: práva na audit, přístup k informacím/provozovnám, KPI/SLA, plán ukončení
Zde jsou důležité pokyny EBA pro outsourcing
- Pokyny EBA pro outsourcing kladou důraz na práva na audit/inspekci/přístup v outsourcingových smlouvách, zejména u kritických/důležitých funkcí.
Typické chyby
- Žádná práva na audit, žádné kontroly suboutsourcingu, žádný plán ukončení
- Prohlášení základní závislosti za „nekritickou“ bez obhajitelného posouzení
- SLA existuje, ale neexistují žádné důkazy o monitorování ani kadence řízení
10) Finanční model (3 roky) + předpoklady + stresové scénáře
Zahrnout
- Výkaz zisků a ztrát, rozvaha, cash flow (nejlépe měsíčně pro 1. rok)
- Kniha předpokladů (objemy, ceny, náklady, personální obsazení, dodržování předpisů, poplatky dodavatelů)
- Negativní scénáře (pokles objemu, nárůst nákladů, podvody/zpětné zúčtování a dopady na provoz)
- Sledovatelnost: objemy → zůstatky → výnosy → náklady → kapitál/vlastní prostředky
Typické chyby
- Finanční údaje, které neodpovídají provozní kapacitě (např. 10 000 zákazníků s 1 FTE onboardingu)
- Podhodnocené náklady na dodržování předpisů/outsourcing/IT a nereálné termíny spuštění
- Žádná souvislost mezi ochrannými opatřeními a mechanismy rozvahy
11) Ochrana zákazníků: obchodní podmínky, poplatky, stížnosti, zveřejňování informací
Zahrnout
- Návrh obchodních podmínek pro zákazníky + sazebník poplatků + zveřejňování informací (srozumitelné, konzistentní)
- Proces vyřizování stížností s SLA, eskalací, hlášením
Typické chyby
- „Marketingové podmínky“, které neodpovídají provozní realitě nebo poplatkům v modelu
- Stížnosti vyřizované prostřednictvím „napište nám e-mail“ bez procesu, protokolů nebo odpovědnosti
12) Závěrečné kontroly konzistence (nudná část, která vám ušetří měsíce)
Před podáním proveďte kontrolu konzistence:
- Stejný rozsah produktu všude (formuláře, operace, AML, ochrana, finance)
- Stejné role/vlastníci všude (RACI, politiky, organizační schéma, smlouvy)
- Stejná čísla všude (ceny, objemy, personální obsazení, poplatky dodavatelů)
Opět pokyny EBA: podání musí být úplné, přesné a aktuální.
„Nejčastější důvody zamítnutí ČNB“ v jednom seznamu
- Šablonové politiky bez ohledu na českou provozní realitu
- Chybějící balíček důkazů (žádné registry, vzorky, protokoly, odsouhlasení, schválení)
- Popis zabezpečení, ale bez uvedení do praxe (žádné mechanismy odsouhlasení)
- Outsourcing bez auditních práv, správy a plánování ukončení
- Finanční model nesvázaný s procesy/zdroji (a bez logiky zátěže)
- Vnitřní nesrovnalosti mezi jednotlivými částmi (rozsah, role, čísla)
ZÍSKEJTE ČNB-READY GAP CHECK A JASNÝ SEZNAM OPRAV
SPUSTIT EMI PRE-CHECK
Často kladené otázky: Kontrolní seznam pro žádost o EMI (Česká republika)
Co ČNB obvykle rozumí pod pojmem „důkazní materiál“?
Balíček důkazů je vaše důkazní stopa: nejde jen o zásady, ale o artefakty, které prokazují, že můžete EMI skutečně provozovat a kontrolovat. Myslete na: výstupy procesů, registry, odsouhlasení, protokoly, schválení, zprávy, smlouvy, SLA, záznamy o školeních, screenshoty ze systémů a mapovací tabulku, která ukazuje, kde každá položka podporuje popis žádosti. Pokyny EBA pro udělování povolení zdůrazňují, že podání musí být úplné, přesné a ověřitelné, nikoli marketingový text.
Která část nejčastěji způsobuje zpoždění nebo „kola“ doplňujících otázek?
Ochrana, těsně následovaná outsourcingem a důvěryhodností finančního modelu. Ochrana selhává, když je popsána „koncepčně“, ale není operationalizována: žádná frekvence odsouhlasení, žádné zpracování výjimek, žádná stopa schválení, žádné jasné propojení s účetní knihou/účetnictvím a mechanismy rozvahy.
Musíme mít před podáním žádosti uzavřené smlouvy s dodavateli (KYC, účetní kniha, zpracovatel karet)?
Pokud je dodavatel pro poskytování navrhované služby klíčový, musíte ČNB prokázat, že jej můžete řídit: due diligence, smluvní kontrola (audity/přístupová práva, kde je to relevantní), SLA, monitorování a plán ukončení spolupráce. Váš přístup k outsourcingu musí být minimálně koherentní a obhajitelný podle očekávání orgánů dohledu EU v oblasti outsourcingu, zejména u kritických/důležitých funkcí.
Jaký je minimální počáteční kapitál pro EMI v Česku?
Český zákon o platebním systému stanoví, že počáteční kapitál pro instituci elektronických peněz musí být alespoň 350 000 EUR.
Jaký je nejrychlejší způsob, jak oslabit sekci AML/CFT?
Předložit obecnou politiku AML, která není vázána na váš skutečný produkt, typy zákazníků, kanály, geografii a transakční vzorce. Pokud vaše hodnocení rizik (RBA) neřídí kontroly při přijímání nových zákazníků a scénáře monitorování transakcí, vypadá to jako kopírování a vkládání. České povinnosti v oblasti AML vyplývají ze zákona č. 253/2008 Sb.
