Rozhovor s MALL Pay: jak na licenci malé platebky

Společnost MALL Pay nedávno získala od ČNB licenci pro poskytování platebních služeb malého rozsahu. Potkali jsme se s Richardem Kotrlíkem, CFO a CRO společnosti, a prodiskutovali proces, který k získání vedl. Podělil se s námi o reálné zkušenosti, jak taková žádost probíhá, a co by třeba dnes udělal jinak, aby se celý proces dal zvládnout i za dobu kratší než je jeden rok.

Dobrý den, Richarde, zkuste shrnout, co získání licence pro Vás osobně znamenalo?

Většina lidí z bankovního sektoru pracuje v prostředí, které již licenci má, a spíš se snaží přizpůsobovat aktuálním změnám v regulaci. Hlídají si, aby o licenci nemohli přijít. To byl i můj případ před tím, než jsem začal působit v MALL Pay. Získání licence je něco zcela jiného a pro mne osobně to byla úplně nová a neopakovatelná zkušenost.

V čem se liší obhájení licence od jejího získání?

V případě, že již licenci máte a regulátor připravuje nějaké změny, tak máte určitou paletu možností a můžete provádět manažerská rozhodnutí, jak se nové situaci přizpůsobit. A některá rozhodnutí či způsoby řešení se pak v čase na trhu ustálí, jak se přizpůsobují jednotlivý hráči. Zatímco, když o licenci teprve žádáte, tak vám možnosti poměrně jednoznačně definuje ČNB.

Co vám licence umožňuje?

Tato licence nám umožňuje razantně rozšířit naše portfolio produktů. Můžeme se pustit do plnohodnotného poskytování platebního styku včetně poskytování spotřebitelských úvěrů. V naší perspektivě náš nový produkt (pozn. redakce – Buy Now Pay Later pomocí kreditní karty, kterou MALL Pay pojmenoval „Skipovací karta“) sice nepovažujeme za klasickou půjčku, protože se od něj podstatně liší, ale regulatorní optikou to samozřejmě půjčka je.

Pro MALL Pay je to tedy velký krok kupředu – to jak jsme business dělali do dneška a celkově komplexita produktu, který jsme doposud nabízeli, bude po novu diametrálně jinde.

Poskytovatel plateb malého rozsahu má nějaké limity – jak se na ně připravujete?

Ano, licence „malé platebky“ má určitá omezení – primárně tedy jde o výši měsíčního obratu, která je stanovená na 3 miliony Euro. Pro nás je to svým způsobem začátek. A já můžu prozradit, že už nyní pracujeme na přípravě žádosti o licenci „velké platebky“. Tím pádem už se připravujeme na splnění dalších, ještě přísnějších požadavků, které s velkou platebkou souvisí.

A jaké oblasti jste třeba museli v rámci licenčního řízení vyřešit?

Možná než řeknu nějaké konkrétní příklady, hlavně bych zdůraznil, že je potřeba počítat s tím, že celý proces žádosti opravdu dlouho trvá. I v případě malé platebky nejde o záležitost dvou tří měsíců. Je to spíš otázka roku a kousek. V našem případě to bylo více než jeden rok.

A proč to trvá tak dlouho?

Jeden z hlavních faktorů je, že licenční odbor v ČNB je poměrně zavalen takovými žádostmi. Pokud si dobře vzpomínám na informace ze setkání u kulatého stolu, které ČNB pro fintechy pravidelně pořádá, tak v červnu 2020 řešili kolem dvaceti žádostí a z toho jen dvě byly ke schválení a řada dalších se musela významně doplňovat a dokonce některé byly přímo k zamítnutí. Velkou měrou je to zaviněné zahraničními subjekty, které to u ČNB takzvaně zkouší. Některé společnosti si z toho trochu dělají vlastní business a promují ČR jako zemi, kde je získání platební licence jednodušší, což pravděpodobně není pravda, ale některé zahraniční firmy tomu uvěřily.

I když tu žádost myslíte vážně a jste dobře připraveni, tak podle naší zkušenosti k posuzování žádosti ČNB přistupuje velmi zodpovědně. To v praxi znamená, že mají několik týmů, které opravdu velmi detailně zkoumají informace uvedené v žádosti. Sám jsme byl překvapen, jak komplexně vše vyhodnocují, a jak důsledně vzájemně propojují podklady poskytnuté v různých částech žádosti.

A můžete říct nějaký konkrétní příklad?

Třeba v jedné části žádosti se popisuje outsourcing a vy uvádíte, jaké firmy a co vám poskytují, včetně toho, jak kritické činnosti to pro vás jsou. Jinde je pak sekce zabývající se analýzou rizik vaší společnosti a firma, která vám poskytuje outsourcing může představovat jedno z rizik. ČNB pak řeší jestli v obou částech žádosti jsou informace dostatečně sladěné, a jak máte vyřešenou závislost na jednotlivých dodavatelích.

A podle mne ani většina těch vážně míněných žádostí nedokáže vše napoprvé připravit v tak detailní míře a tak precizně, jak je potřeba. I v naší žádosti se objevilo několik oblastí, které jsme museli doplňovat.

Osobně jsem třeba čekal, že se ČNB bude hodně soustředit na naše vnitřní kontrolní procesy, zprávu citlivých dat a podobně. Ale kromě toho je třeba opravdu velmi zajímal náš business plán, kdy jsme s nimi procházeli detaily a předpoklady, na kterých je založený. Předkládali jsme naše předpoklady ohledně e-commerce trendů, strukturu platebních metod v e-commerce pro příštích pět až sedm let. Zajímalo je, jakým způsobem jsme určili náš podíl na trhu i třeba jaké jsou předpoklady ohledně využívání našich jednotlivých typů produktů a jaké očekáváme transakční chování našich klientů.

Dále mne napadá třeba oblast soustředící se na řešení nepředpokládaných situací s možným dopadem do kontinuity byznysu, a jak je na ně firma připravena. Přestože jsme všechna požadovaná data měli, do první verze žádosti jsme některá nedali nebo v ne tak detailní formě a museli jsme je doplňovat.

Co dalšího jste ještě doplňovali?

Jako jednu z posledních jsme řešili oblast PSD2 a ověřování identity. Jakým způsobem se provádí vícefaktorové ověření uživatele v různých situacích. Do žádosti jsme to sice popsali, ale bylo potřeba doplnit opravdu hodně detailů. Popsat přesně současný poskytovaný produkt, popsat chystané typy produktů a detailně popsat transakce, které na nich budou prováděné. A k těmto transakcím, jak se bude ověřování identity provádět. Kdybych dneska měl řešit takovou žádost, určitě bych vše popsal ještě detailněji hned napoprvé.

A pak už jsem trochu zmiňoval fungování outsourcingu. Ty outsourcingy, které jsou považované za kritické, se pak dokonce do ČNB hlásí. Museli jsme ohodnotit rizikovost každého z těch dodavatelů, což sice samozřejmě máme, ale do první verze žádosti jsme to neuváděli. ČNB si i vyžádala smlouvy s těmito dodavateli včetně všech příloh. A zajímal je také business continuity management, jaké máme s těmito dodavateli SLA, jak se řeší výpadky jejich služeb, recovery parametry v jejich dodávkách a další.

A když už mluvím o havarijních situacích, tak samozřejmě součástí žádosti byly i naše vlastní business continuity a detailní havarijní plány pro jednotlivé procesy a systémy.

A dá se to řízení zrychlit?

Za stranu ČNB samozřejmě nemohu mluvit, ale z pozice žadatele je určitě třeba se žádosti pečlivě věnovat a vše vysvětlovat a podložit v maximálním detailu. Každé doplnění údajů vás totiž stojí několik týdnů, měsíc navíc.

Za MALL Pay stojí ČSOB – mělo to na žádost vliv?

ČSOB jako náš partner je důležitá zejména v tom, že pro MALL Pay dodává část služeb jako třeba provoz karetního schématu nebo část skoringu. V tom to samozřejmě pomohlo, protože tyto služby nevznikaly na zelené louce.

Jak velký tým se takové žádosti u vás věnoval?

Řekl bych, že po tom více než roce, kdy licenční řízení probíhalo, u nás nebylo moc lidí, kteří by do toho nějak nebyli zapojeni. Z core týmu bylo asi deset lidí, kteří se tomu věnovali intenzivně.

A jak se taková žádost dá řídit v čase?

Sice jsme měli nějaký plán, ale v zásadě jsme byli odkázáni na reakční dobu ČNB, která má také nějaká pravidla. Také těžko ovlivníte, kolik právě ČNB řeší dalších žádostí, protože jakmile podaná žádost splňuje určitá kritéria, tak ji musí začít řešit. Tudíž hlavní je kvalitně vyplněná žádost. Potřebnou kvalitu bych asi přirovnal, jako byste šli za svými kolegy s tím, že potřebujete jejich spolupráci. Aby to fungovalo, musíte si naprosto přesně rozumět, a proto si věc vysvětlíte do nejmenšího detailu. Naopak když si každý informace vyložíte trochu jinak, dřív nebo později se o to ukáže. Musí to být hodně detailní a vlastně, když se nad tím zamyslíme, tak je to jenom dobře. Klíč bude v tom k ČNB přistupovat spíš jako k partnerovi, kterému váš byznys chcete vysvětlit, než jako k úřadu, kterému potřebujete odreportovat povinnou sadu informací.

A co advokátní kanceláře, které v tom mohou mít nějakou zkušenost?

Na trhu jich najdeme několik a nabízejí, že vám s celým procesem pomůžou. To může být přínosné, ale pozor. Zákonné požadavky jsou zdánlivě pro všechny stejné a mohlo by se zdát, že si vystačíte s jednou šablonou. Nicméně jednotliví žadatelé se liší v podstatných detailech. Takže pokud si najmete nějaké konzultanty či právníky, stejně se tomu musíte intenzivně věnovat. Ta žádost zkrátka musí být o vaší společnosti, a ne o té, pro kterou tu šablonu použili před vámi, jen s aktualizovanými čísly. A to si musíte pohlídat sami.

Zmínil jste PSD2, jakým způsobem ji chcete využívat ve svých produktech?

PSD2 pro nás bude hlavně jedna z možností, jak ověřit bonitu klienta. Je to vlastně ten nejlepší způsob, jak prokázat svoje příjmy a díky transakcím i případné výdaje klienta.

Děkujeme Richardovi Kotrlíkovi za spoustu užitečných rad a přejeme, aby se MALL Pay dařilo s novými produkty a také s další žádostí, kterou do ČNB budou předkládat – tentokrát pro velkou platebku.