Regeling van de Nederlandsche Bank N.V. van 8 december 2015 ter uitvoering van artikel 26b van het Besluit prudentiële regels Wft (Regeling Oversight goede werking betalingsverkeer)

De Nederlandsche Bank N.V.,

Na raadpleging van betrokken organisaties;

Gelet op artikel 26b van het Besluit prudentiële regels Wft;

BESLUIT:

HOOFDSTUK 1 INLEIDENDE BEPALINGEN

Artikel 1

In deze regeling wordt verstaan onder:

a. Betalingsverkeer:

het geheel van betaalinstrumenten, betaaldiensten, betalingstransacties, procedures en betaalsystemen ter facilitering van de geldcirculatie.

b. Hogevraagtijdvak:

het deel van een dag voor 00:30 uur en na 06:00 uur.

c. Instelling:

bank, betaalinstelling of elektronischgeldinstelling als bedoeld in artikel 1:1 Wft met zetel in Nederland.

d. Tijdkritische betaalopdracht:

een betaalopdracht waarbij de goedkeuring van de aangeboden betaalopdracht onmiddellijk op het moment van initiatie van de betaalopdracht door de betaler en begunstigde wordt verwacht.

Artikel 2

• 1. Deze regeling ziet op betalingsverkeer binnen Nederland en voor zover instellingen via giraal betalingsverkeer betaalinstrumenten als bedoeld in artikel 1:1 Wft aan hun klanten aanbieden.

• 2. Deze regeling is van toepassing op banken, betaalinstellingen en elektronischgeldinstellingen die 60 miljoen of meer girale betalingstransacties per kalenderjaar verrichten.

HOOFDSTUK 2 DE GOEDE WERKING VAN HET BETALINGSVERKEER

Artikel 3

Onverminderd het bepaalde in artikel 23 Besluit prudentiële regels Wft dient een instelling:

• 1. Te beschikken over een deugdelijke, duidelijke en afdwingbare juridische grondslag voor haar activiteiten in alle rechtsgebieden die voor haar activiteiten relevant zijn.

• 2. De naleving van de in het vorige lid bedoelde grondslag te waarborgen.

• 3. Te waarborgen dat overeenkomsten die zij aangaat éénduidig zijn binnen bovengenoemd kader.

Artikel 4

• 1. Een instelling beschikt over een duidelijke, evenwichtige en adequate bestuurlijke organisatie die rekening houdt met het maatschappelijke belang van een goed functionerend betalingsverkeer en de belangen van alle relevante belanghebbenden.

• 2. De taken en verantwoordelijkheden voor het betalingsverkeer en de hierbij gehanteerde normen, waaronder in ieder geval voor beschikbaarheid en beveiliging, zijn binnen een instelling op eenduidige wijze en voldoende hoog niveau belegd.

Artikel 5

Een instelling beschikt over een deugdelijk kader van regels en procedures voor de beheersing van risico’s in relatie tot het betalingsverkeer. Hierbij wordt op adequate wijze invulling gegeven aan hetgeen in artikel 6 gesteld is inzake operationele risico’s.

Artikel 6

• 1. Een instelling identificeert, bewaakt en beheerst haar operationele risico’s inzake het betalingsverkeer adequaat. Een instelling maakt daarbij gebruik van systemen, beleid en beheersmaatregelen die risico’s signaleren en de impact van risico’s beperken. Een instelling stuurt aan op het tijdig voortzetten van haar bedrijfsvoering en dienstverlening en op tijdig herstel indien sprake is van onderbreking daarin. De systemen zijn zo ingericht dat deze een hoog niveau van beschikbaarheid en veiligheid waarborgen.

• 2. Voor tijdkritische betaalopdrachten geldt dat deze ten minste voldoen aan een beschikbaarheidsnorm van 99,88 % tijdens het hogevraagtijdvak gemeten op kwartaalbasis en 98,5 % daarbuiten. Voor niet-tijdkritische betaalopdrachten dient sprake te zijn van tijdig herstel van de dienstverlening. Van een tijdig herstel is sprake indien de herstelperiode voor het kunnen indienen van een betaalopdracht niet langer duurt dan twee uur. Voor de beschikbaarheidsnorm van 99,88% is een groeipad opgesteld: vanaf eind 2016 geldt een beschikbaarheidsnorm voor tijdkritische betaalopdrachten tijdens het hogevraagtijdvak van 99,64%, vanaf eind 2017 is dit 99,76% en vanaf eind 2018 99,88%.

• 3. Over de beschikbaarheid van de tijdkritische betaalopdrachten wordt door de instelling ten minste maandelijks publiekelijk gerapporteerd.

• 4. Voor onderdelen van de transactieprocessen die door derden (dienstverleners) worden uitgevoerd zijn de beschikbaarheidsnormen in contractafspraken vastgelegd.

• 5. Voor de beveiliging van het betalingsverkeer heeft de instelling adequate procedures en neemt maatregelen om zich te kunnen houden aan nationale en internationale regelgeving.

• 6. De instelling ziet er op systematische wijze op toe dat de procedures en maatregelen ten aanzien van de beveiliging en beschikbaarheid worden nageleefd.

Artikel 7

Deze regeling treedt in werking met ingang van de dag na dagtekening van de Staatscourant waarin zij wordt geplaatst.

Artikel 8

Deze regeling wordt aangehaald als: Regeling Oversight goede werking betalingsverkeer.

Deze regeling zal met de toelichting in de Staatscourant worden geplaatst.

Amsterdam, 8 december 2015

De Nederlandsche Bank N.V. J. Swank, directeur

TOELICHTING

Algemeen

Betalingsverkeer betreft het geheel van betaalinstrumenten, betalingstransacties, procedures en betaalsystemen ter facilitering van de geldcirculatie. In dit kader wordt gedoeld op het girale betalingsverkeer, alsmede elektronisch geld. Elke dag vinden miljoenen betalingstransacties plaats door middel van betalingen met pinpas, internet, mobiel, incasso’s en overboekingen. Een betaling met giraal geld houdt in dat een bank het bedrag afschrijft van de rekening van de betaler en een (andere of dezelfde) bank dat bijschrijft op de rekening van de ontvanger. Bij een overboeking kunnen naast banken meerdere partijen in de betaalketen betrokken zijn, onder meer betaalinstellingen, afwikkelondernemingen en elektronischgeldinstellingen.

Een betalingstransactie kent de volgende stappen:

• 1) Aanlevering opdracht, bestaande uit

  • a. Start van een betaaltransactie; kan door betaler of ontvanger gedaan worden, afhankelijk van het betaalinstrument.

  • b. Authenticatie: de controle of de betaler inderdaad de betaler is respectievelijk of de ontvanger inderdaad de ontvanger is.

• 2) Transactieverwerking, bestaande uit:

  • a. Autorisatie: controle of betaler bevoegd is om de opdracht te geven en akkoord gaat met betaaltransactie; indien de ontvanger de betaling start is dit een controle of de ontvanger bevoegd is om de opdracht te geven;

  • b. Verificatie: een aantal controles om in aanvulling op de autorisatie akkoord te krijgen dat de betaling door kan gaan en/of uitgevoerd kan worden (bijvoorbeeld technische controles en saldo controles);

  • c. Verwerking: af- resp. bijboeken op de rekeningen van betaler resp. ontvanger;

  • d. Informatie: informeren van betaler en ontvanger over verloop en uitkomst van de betaaltransactie.

• 3) Clearing (saldering) en settlement (verevening): na vaststelling van hetgeen banken aan elkaar verschuldigd zijn (clearing) vindt de afwikkeling van de betalingsverplichtingen plaats (settlement). Betalingen waarbij de bank van de betaler een andere is dan de bank van de ontvanger en die niet bilateraal tussen deze twee banken worden afgehandeld, worden interbancair verrekend.

Noodzaak nadere regels voor de goede werking van het betalingsverkeer

Zoals in de memorie van toelichting bij de Wijzigingswet financiële markten 2015 (Kamerstukken II, 2013/14, 33 918, nr 3, p. 22) is toegelicht, is steeds belangrijker geworden dat financiële ondernemingen bij de inrichting van de bedrijfsvoering rekening houden met de goede werking van het betalingsverkeer. Hierbij is verwezen naar de werkzaamheden die DNB als centrale bank tot nu toe al heeft verricht in het kader van deze taak. Om hieraan waar nodig meer invulling te kunnen geven dan nu al het geval is, is in artikel 3:17, tweede lid Wet op het financieel toezicht (Wft), «waarborgen van de goede werking van het betalingsverkeer» toegevoegd aan de lijst van onderwerpen waarover in het kader van de bedrijfsvoering bij algemene maatregel van bestuur nadere regels kunnen worden gesteld. Artikel 3:17 van de Wft bepaalt dat bij of krachtens algemene maatregel van bestuur regels worden gesteld ter waarborging van de goede werking van het betalingsverkeer voor afwikkelondernemingen, banken, betaalinstellingen en elektronischgeldinstellingen.

Verder is van belang dat artikel 3:17, lid 2a, Wft bepaalt dat bij of krachtens algemene maatregel van bestuur normen worden gesteld die ten minste zien op de veilige afwikkeling van betalingstransacties en het functioneren van de daarvoor benodigde infrastructuur bij deze ondernemingen. In de memorie van toelichting staat dat dit bijvoorbeeld normen kunnen zijn over de mate waarin betaalsystemen beschikbaar moeten zijn om betalingstransacties te kunnen verwerken.

Op grond van artikel 26b van het Besluit prudentiële regels Wft nemen afwikkelondernemingen, banken, betaalinstellingen en elektronischgeldinstellingen bij de inrichting van hun bedrijfsvoering regels in acht die door DNB ter zake worden gesteld ter uitvoering van internationale standaarden om de goede werking van het betalingsverkeer te bevorderen. De wetgever heeft hiermee onderkend dat een goed werkend giraal betalingsverkeer van essentieel belang is, en dat op deze vitale infrastructuur adequaat toezicht dient te worden gehouden.

Deze regeling is van toepassing op banken, betaalinstellingen en elektronischgeldinstellingen.

Voor afwikkelondernemingen is een separate regeling in werking: de Regeling DNB afwikkelondernemingen Wft (Staatscourant 2014, nr 12398, 2 mei 2014). Die Regeling geeft eveneens invulling aan hetgeen in de Memorie van toelichting (Kamerstukken II 2013/14, 33 918, nr. 3 hierover gesteld is. Normen ter bevordering van de goede werking van het betalingsverkeer zijn daarin al opgenomen.

Onder ‘goede werking’ wordt in deze regeling verstaan dat het betalingsverkeer beschikbaar, betrouwbaar en veilig is ingericht voor de klanten die gebruik maken van het girale betalingsverkeer en de instrumenten die in dit kader worden aangeboden. De regeling dient om het vertrouwen in het massale retailbetalingsverkeer te waarborgen en maatschappelijke onrust te minimaliseren.

Vanwege de grote dichtheid van het online betalingsverkeer in Nederland heeft de Nederlandse wetgever besloten om naast de Payment Services Directive (PSD) implementatieregels te stellen die zien op de goede werking van het betalingsverkeer. Deze regeling stelt in dat kader eisen aan banken en betaaldienstverleners en beoogt daarbij tevens de betaaldienstaanbieders (zelf) te beschermen tegen risico’s. De PSD stelt regels vooral ter bescherming van de betaaldienstgebruiker.

Beschikbaarheid

Indien zich in de keten operationele verstoringen voordoen kan dit er toe leiden dat de beschikbaarheid, de mate waarin de betalingstransacties binnen openingstijden kunnen worden uitgevoerd, in het geding komt. Instellingen dienen hun processen zodanig in te richten dat ze hun diensten kunnen leveren op minimaal het vereiste niveau. Hierbij gaat het om het waarborgen van het vertrouwen in het betalingsverkeer en voorkomen van maatschappelijke onrust.

Betrouwbaarheid en veiligheid

Naast verstoringen kunnen zich ook problemen voordoen in verband met de juistheid, tijdigheid en volledigheid van de betalingen (betrouwbaarheid). Daarnaast dient de rekeninghouder er zeker van te zijn dat een derde geen ongeautoriseerde beschikking heeft of krijgt over zijn of haar gelden. Betalingen tijdens het betaalproces dienen niet te worden gewijzigd, en toegang tot de betaalinformatie moet voldoende beperkt zijn (veiligheid).

Toepassing regels

Het Committee on Payment and Market Infrastructures (CPMI), voorheen het Committee on Payment and Settlement Systems en de International Organization of Securities Commissions (CPSS/IOSCO) hebben in 2012 de zogenoemde Principles for Financial Market Infrastructures (de PFMI’s) uitgebracht. Deze internationaal aanvaarde standaarden zijn opgesteld voor marktinfrastructuren in het betalings- en effectenverkeer. Het is de breedst mogelijke, alomvattende en beschikbare set van standaarden die van toepassing kunnen worden verklaard op het retail betalingsverkeer van instellingen die onder de Wft vallen. Ze vormen daarom de basis voor de invulling van deze regeling. Hierbij zijn tevens de relevante ECB oversight raamwerken die zien op kaartbetalingen, incasso en overboekingen van toepassing. Deze zijn grotendeels gelijkluidend en kennen dezelfde oorsprong als de PFMIs, te weten de Core Principles for Systemically Important Payment Systems van het CPSS (2001).

Artikelsgewijze toelichting

Artikel 2

De ondergrens betreft het aantal in Nederland verrichte girale betalingstransacties. Deze betalingstransacties hebben betrekking op het massale retailbetalingsverkeer. Het betreft betalingstransacties uit het vorige kalenderjaar waarvoor banken, betaalinstellingen en electronischgeldinstellingen betaaldiensten hebben verleend. Met het oog op het behouden en bevorderen van de goede werking van het betalingsverkeer is de ondergrens vastgesteld op 60 miljoen per jaar. De instellingen die boven deze ondergrens uitkomen representeren gezamenlijk ongeveer 95% van het totale binnenlandse transactievolume. DNB zal zonodig de ondergrenzen bijstellen indien marktontwikkelingen hiertoe aanleiding geven.

Artikel 3 t/m 6

In onderstaande tabel is terug te vinden welke standaarden uit de PFMI’s zijn opgenomen in het betreffende artikel van deze regeling. De PFMI’s die in deze tabel niet zijn genoemd, behoeven in het kader van deze regeling niet te worden opgenomen.

Artikel van deze regeling	PFMI
3.	1. Juridische grondslag
4.	2. Besturing
5.	3. Raamwerk risicomanagement
6.	17. Operationeel risico

Artikel 3

De onderhavige Regeling is in lijn gebracht met de Regeling DNB afwikkelingondernemingen Wft waarin de verplichting staat voor een afwikkelonderneming om te beschikken over ‘een deugdelijke, duidelijke en afdwingbare juridische grondslag in alle rechtsgebieden die voor haar activiteiten relevant zijn’.

De in lid 3 genoemde overeenkomsten zijn alle overeenkomsten die betrekking hebben op de uitvoering van betalingsverkeer en/of de bedrijfsvoering van de ondernemingen die onder deze regeling vallen.

Artikel 4

De in lid 2 bedoelde besturing ziet ten minste toe op de genoemde normen ten aanzien van de betrouwbaarheid, veiligheid en beschikbaarheid van het betalingsverkeer.

Artikel 5

De risico’s inzake het betalingsverkeer zijn op een systematische wijze geanalyseerd en het kader van regels en procedures dekt deze risico’s op adequate wijze af.

Artikel 6

In dit artikel wordt een norm uit PFMI 17 (operationeel risico) nader uitgewerkt. Het in het eerste lid van dit artikel genoemde hoge niveau van beschikbaarheid wordt bepaald door de uitwerking van lid 2 en 3 van dit artikel. Het hoge niveau van beveiliging wordt bepaald door uitwerking van het gestelde in lid 6 van dit artikel.

Lid 2 geeft aan dat instellingen nadere specificaties per betaalinstrument hebben opgesteld ten aanzien van de geboden beschikbaarheid. Deze specificaties zijn onderbouwd door ‘risicoanalyses van de keten’ en de daarbij getroffen risicomitigerende maatregelen. De Regeling richt zich op die instellingen, die (diensten ten behoeve van) betaalinstrumenten bieden waarbij het niet beschikbaar zijn een significante impact heeft op het vertrouwen in het betalingsverkeer. Er is een onderscheid naar tijdkritische betaalopdrachten waarvoor een hoge beschikbaarheidsnorm geldt binnen en buiten het hogevraagtijdvak en niet-tijdkritische betaalopdrachten. Voor niet-tijdkritische betaalopdrachten geldt een hersteltijd van twee uur. De norm voor tijdkritische betaalopdrachten heeft ten minste betrekking op toonbankbetalingen, zowel fysiek (Point of sale) als virtueel (betalingen via internet). Deze norm geldt voor betaalopdrachten van betaalinstrumenten en voor betaalopdrachten waar contracten tussen betaaldienstverleners aan ten grondslag liggen (zoals iDEAL). De instelling dient aan te geven wat het tijdkritische karakter van de betaalopdracht is. Door de risicomitigerende maatregelen zal ten minste aan de gestelde minimum beschikbaarheidsnormen voor de tijdkritische betaalopdrachten moeten worden voldaan.

Via publieke bronnen dienen instellingen periodiek (ten minste maandelijks) te rapporteren over de gerealiseerde beschikbaarheid. Hierbij zal duidelijk gemaakt moeten zijn op welke stappen in het transactieproces deze beschikbaarheid betrekking heeft. De instelling rapporteert hierbij uitsluitend over de systemen in de keten waar zij verantwoordelijk voor is. Het beschikbaar zijn van alternatieve betaalmethoden wordt niet gezien als onderdeel van de beschikbaarheidsnorm. Er is een groeipad om aan de beschikbaarheidsnorm van 99,88% te kunnen gaan voldoen.

In lid 4 wordt expliciet gemaakt dat er een sterke afhankelijkheid van derden bij de beschikbaarheid van betaalinstrumenten kan bestaan. Belangrijke partijen zijn hierbij bijvoorbeeld telecom- en IT dienstverleners, maar ook afwikkelondernemingen en andere dienstverleners. Hiervoor moeten duidelijke afspraken gemaakt zijn en de impact op het betalingsverkeer moet duidelijk zijn.

In lid 5 is gesteld dat voor de beveiliging van het betalingsverkeer de instelling adequate procedures en maatregelen treft. De basis voor het treffen van deze procedures en maatregelen zijn risicoanalyses specifiek gericht op het betalingsverkeer. De risicomitigerende maatregelen dienen te voldoen aan de nationale en internationale regelgeving terzake, zoals EBA Guidelines en Regulatory Technical Standards. De risicoanalyses dienen periodiek uitgevoerd te worden om actuele risico’s te adresseren. De weerbaarheid tegen cyberdreigingen, zoals internetfraude en sabotage dient hierbij geadresseerd te zijn.

De Nederlandsche Bank N.V. J. Swank, directeur