奥地利支付发起服务提供商许可申请、续牌及控制权变更完整指南

一、牌照结论与监管状态

奥地利将支付发起服务（PIS）列为ZaDiG 2018第1条第2款第7项的受规管支付服务。拟在奥地利商业性提供该服务的本地新设主体，须取得FMA支付机构许可；账户信息服务则是另一项登记制度，不能混同。PISP仅提供支付发起服务时须维持至少50,000欧元普通股一级资本，并在提供服务的地域持有职业责任保险或等效担保。申请人为资本公司或合作社，注册地与总部必须在奥地利，且至少一部分支付服务须在奥地利实际提供。FMA对完整申请须在三个月内作出许可或拒绝决定；许可书可受条件、附款及范围限制。持续阶段不存在固定期限的续牌，但有月度资本、季度财务/风险、半年度主数据、年度审计及各类即时通知义务。以股权交易取得已获许可主体并不等于取得可自由转让的“牌照”：达到20%、30%、50%或子公司控制门槛的买卖双方均须事前通知FMA，买方材料齐全并获收件确认后，FMA最长60个工作日可提出反对；无书面反对才视为不反对。来源：S01、S02、S07、S10。

二、适用业务与目标申请群体

适合使用的群体

• 拟以奥地利资本公司或合作社在商业上应支付服务使用者请求，针对其在另一支付服务提供商处持有的支付账户发起支付指令的主体（ZaDiG 2018第1条第2款第7项；S02）。
• 仅拟提供支付发起服务、并不在支付链中持有用户资金的第三方支付服务提供商；其适用PISP的50,000欧元初始资本档次及职业责任保险/等效担保要求（S02、S15）。

受规管活动

• 支付发起服务：按用户请求，对其在另一支付服务提供商处持有的支付账户发起支付指令（S02、S04）。
• 许可范围以FMA书面许可决定为准；许可可覆盖一个或多个ZaDiG支付服务，亦可排除个别支付服务的部分范围，故PISP不得将获批范围外的支付服务当作已获授权（S02）。

不适用或需另行许可的场景

• 仅在线汇总一个或多个账户信息的账户信息服务。该项在奥地利为FMA登记而不是PISP许可（S01、S02、S03）。
• 纯服务器、网站承载或无进一步介入的纯技术服务。FMA说明，这类纯技术服务一般不触发支付服务许可；但若接口实际用于发起支付，必须重新作活动定性（S04）。
• 吸收存款、发行电子货币或在PISP许可外从事须银行许可的业务；支付机构不得吸收存款，电子货币发行亦非本许可范围（S02、S03）。
• 符合ZaDiG有限网络或电子通信网络/服务法定豁免的活动。此类活动并非PISP许可，但可能附带通知、阈值或年度审计意见义务，不能仅凭商业名称自认豁免（S05）。

开放状态说明

该记录是奥地利本地PISP许可研究。FMA明确PISP许可与一般支付机构许可并列由FMA授予，且由其银行监管部门负责许可及持续监管。奥地利本地许可主体随后可依ZaDiG/PSD2护照机制另行办理跨境通知；护照不是新的奥地利本地许可。可通过FMA公开登记册及EBA中央登记册核验主体及许可范围（S01、S02、S11）。

三、主管机构、法律依据与监管边界

主管机构：FMA

牌照中文名称：支付发起服务提供商许可

牌照英文名称：Payment initiation service provider licence

牌照族群：payments_money_services

申请主体法律形式

申请人须以资本公司（Kapitalgesellschaft）或合作社（Genossenschaft）法律形式经营。其注册地及总部必须在奥地利，且至少一部分支付服务须在奥地利实际提供；申请还须提交法律形式、章程、总部地址、商业模式及三年预算业务计划。自然人不能以自身名义取得本项本地支付机构许可。

依据：[2] [15]

四、申请主体、注册地址与本地实质

申请主体

申请人须以资本公司（Kapitalgesellschaft）或合作社（Genossenschaft）法律形式经营。其注册地及总部必须在奥地利，且至少一部分支付服务须在奥地利实际提供；申请还须提交法律形式、章程、总部地址、商业模式及三年预算业务计划。自然人不能以自身名义取得本项本地支付机构许可。

依据：[2] [15]

注册地址与本地实质

注册地与总部均须设在奥地利，且至少部分支付服务须在奥地利提供。申请必须提交总部所在地及地址；FMA公开登记册展示公司名称、许可范围、所在地以及已通知的代理人/分支机构资料。

依据：[2] [11]

五、股东、董事、高管及合规人员要求

股东及实益拥有人

申请时须披露直接或间接持有合格持股者的身份、持股金额、为评估可靠性所需的信息及集团结构。许可条件要求该等股东/成员适合稳健审慎管理且无可靠性疑虑；紧密联系或第三国法律不得妨碍FMA有效监管。后续达到或跨越20%、30%、50%资本或表决权门槛，或使机构成为子公司时，须事先书面通知FMA。

依据：[2] [10]

董事及高级管理层

申请须列明管理董事并证明其可靠、具适当知识及技能。法定条件包括：无相关排除/破产情形、经济状况有序、具有支付业务所需理论与实务知识及管理经验；在可比规模和业务企业至少三年管理经历通常构成专业适格推定。至少一名管理董事的生活利益中心在奥地利，至少一名管理董事懂德语，至少一名管理董事不从事支付、电子货币或银行业以外的其他主业。董事变更及既任董事的若干适格条件变化须立即通知FMA。

依据：[2]

合规负责人及MLRO

申请文件必须说明为遵守FM-GwG及欧盟转账信息规则（Regulation (EU) 2015/847）而建立的内部控制。持续经营中，管理层须确保适当的反洗钱/反恐融资风险管理、控制程序与数据系统。FM-GwG义务主体必须任命反洗钱官（GWB）及制裁官（SanktB）；两项职能直接向管理机构报告、须具有足够权力且独立有效。拟任人员须具专业资格与个人可靠性，机构应完成并记录内部适格评估；FMA可按风险或事件开展适格测试。

依据：[2] [9]

六、注册资本、监管资本与保证金

监管资本或最低资本

若支付机构仅经营支付发起服务，普通股一级资本（CET1）在任何时候不得低于50,000欧元。初始资本必须在奥地利无负担、可供管理董事自由支配。仅提供PIS（或PIS与AISP）的机构，不适用第17条三种以业务量/固定费用/指标计算的额外自有资金方法；但仍须满足50,000欧元最低资本并作月度资本合规报送。

依据：[2] [8] [15]

保证金或替代保障

ZaDiG 2018未为“仅提供PIS”的PISP规定独立的现金保证金或监管保证金。取而代之，申请PIS许可的企业必须在其提供服务的地域持有职业责任保险，或持有其他等效的、覆盖法定责任的担保。若业务模式实际接收用户资金，须另按客户资金保护规则评估；纯PISP通常不在支付链中持有用户资金。

依据：[2] [15]

七、申请文件、系统与内部控制

治理、风险、系统与内部控制

申请及持续经营必须具备与业务性质、规模和复杂度相称的稳健治理、清晰职责、风险识别/管理/监测/报告程序、行政及会计内控。申请须说明安全事件和客户安全投诉处理、敏感支付数据访问控制、统计与欺诈数据、信息安全风险评估、DORA数字运营韧性、业务连续性、ICT响应与恢复计划及定期测试。内部审计每年至少检查程序的适当性和执行情况，并记录范围和结果；重要ICT或运营外包不得削弱内控或FMA监管，所有支付服务运营外包须事先书面通知FMA。

依据：[2] [13]

核心申请文件

核心文件包括：业务模式与拟申请服务、三年预算业务计划、初始资本证明、客户资金保护说明、公司治理和内控说明、安全事件/投诉机制、敏感数据控制、连续性与ICT恢复计划、性能/交易/欺诈统计原则、安全政策及风险评估、AML/CFT内控、组织架构、代理/分支的年度检查承诺、外包与支付系统参与安排、合格持股与集团资料、管理董事适格材料、审计师资料、法律形式/章程和总部地址。PISP还须证明职业责任保险或等效担保。

依据：[2] [15]

八、申请流程与逐步准备

1. 确认服务定性和申请范围

   将服务与ZaDiG第1条第2款第7项定义核对，确定仅申请PIS还是同时申请其他支付服务。若只是AISP或纯技术服务，应按各自登记/非许可边界处理；不应把PISP与AISP混合申报。

   依据：[2] [4] [5]

2. 设立合资格奥地利申请主体并落实资本和保险

   以资本公司或合作社形式安排奥地利注册地和总部，使至少部分服务在奥地利提供；将50,000欧元CET1无负担地置于管理层可支配状态，并落实覆盖提供服务地域的职业责任保险或等效担保。

   依据：[2] [15]

3. 编制第9条完整申请包

   提交业务和三年预算、治理/风控/会计、DORA与安全、连续性、AML/CFT、敏感数据、股东及集团、董事适格、审计师、章程、总部、代理/分支和外包等资料。所有材料须足以支持FMA作出正面整体评价。

   依据：[2]

4. 向FMA递交并处理补件

   FMA是奥地利PISP许可机关。FMA可咨询OeNB及相关来源国监管机构；若申请不完整，三个月决定期自补齐作出决定所需全部资料之日重新起算。

   依据：[1] [2]

5. 取得书面许可、登记并在获准范围内上线

   许可必须书面作出，可附条件或附款并限定服务范围。许可决定生效后，FMA应立即在支付机构登记册登记主体、范围和所在地。实际经营必须仅在最终许可范围内开展，并保持各项持续义务。

   依据：[2] [11]

九、监管面谈与常见问询

是否需要监管面谈

已审阅的ZaDiG、FMA PISP许可页面和公开费用表未公布“每宗PISP申请必须面谈”的统一规则。FMA可在审查中要求补充资料；反洗钱/制裁关键职能人员可在新任、适格存疑或风险导向时接受FMA适格测试，该测试通常为德语口试。因此，管理层和关键职能面谈/测试应按个案预留，而不能承诺为固定申请步骤。

依据：[1] [2] [9]

可能关注的问题

• 服务是否实际代表用户在另一支付服务提供商的账户发起支付指令，还是仅提供技术接口、数据聚合或支付产品展示？
• 申请主体为何满足奥地利注册地、总部及本地实际提供部分服务的要求？
• 50,000欧元CET1如何无负担地置于奥地利管理层自由支配，职业责任保险/等效担保的地域、承保范围和责任覆盖如何证明？
• 董事、合格持股人、集团紧密联系及第三国关系为何不妨碍审慎管理和有效监管？
• 如何控制敏感支付数据、强客户认证接口、欺诈、ICT事件、外包、连续性、AML/CFT和客户投诉？

十、监管费用、处理时间与获批上线

官方处理时间

FMA必须在收到申请后三个月内，或申请不完整时在收到作出决定所需全部资料后三个月内，授予许可或以决定书告知拒绝。该三个月是法定决定期限，不是对准备、补件、审前沟通、公司设立或保险落实的承诺总工期。

依据：[2] [15]

监管费用

FMA费用条例附件对ZaDiG第7条第1款结合第10条第3款的支付服务许可授予收费10,000欧元；其不按PIS另设较低固定申请费。后续扩展许可收费2,190欧元。持续监管成本另依ZaDiG第89条分摊：若计算额低于2,000欧元，最低监管成本为2,000欧元；FMA的成本通知按前一财年计算并对下一年预收款作出规定。合格持股“不反对”证明如应买方申请出具，费用为每名拟收购人625欧元。

依据：[2] [7] [12]

获批及上线条件

许可不是自动的普通公司登记。FMA须书面授予许可，并可限定服务或附加条件；支付机构登记册在许可决定具有法律确定性后登记许可范围和所在地。获准主体应在其书面许可范围内运营并履行报告、审计、资本、保险和通知义务。获许可业务若12个月内未开始，或连续超过六个月未开展，FMA可以撤销许可。

依据：[2] [11]

十一、持续合规、报告、审计与记录保存

监管报告

支付机构须：每季度结束后立即、最迟次月第10个银行工作日前按ZEIMV向OeNB电子提交资产负债、表外、损益、客户资金保护及组织要求数据；每月结束后最迟次月第10个银行工作日前提交CET1和自有资金合规数据；半年度核对主数据，变化须立即报送，员工数在年末后最迟次年1月31日提交。年末A1/A2还须在经审计基础上最迟会计年度结束后六个月提交。2025年1月17日起，DORA第19条第1款的重大ICT相关事件报告替代原ZaDiG第86条第1款针对支付服务提供商的重大运营或安全事件报告。

依据：[2] [8] [13]

审慎及资本义务

仅PIS机构的CET1在任何时候至少为50,000欧元；该最低额既是初始也是持续底线。资本降低至法定最低额以下须立即通知FMA，且月度提交资本合规数据。PISP申请人另须在提供服务的地域持续维持职业责任保险或等效担保，以覆盖法律责任。若实际接收用户资金，另适用客户资金隔离或保险/保证保护安排，具体适用性取决于资金流。

依据：[2] [8] [15]

AML/CFT义务

PISP申请及经营须建立并执行符合FM-GwG及Regulation (EU) 2015/847的AML/CFT内控。FMA说明，奥地利金融市场参与者须采取预防措施，包括识别客户身份和使客户资金流可追踪；反洗钱官和制裁官直接向管理机构报告，须有足够权限、独立有效、具资格和可靠性。机构应持续监测其适格性并保留内部适格评估记录；关键职能人员是与A-FIU及执法机关沟通的联系人。

依据：[2] [9]

审计及财务报表

所有支付机构须在财务报表附注披露自有资金、资本要求及合规情况。年度财务报表（如适用包括管理报告/合并报表）及大量ZaDiG、FM-GwG和Regulation (EU) 2015/847合规事项，须由法定审计师审计，并形成支付机构监管审计报告附件。经审计财报、审计报告及附件须在BWG第44条期限内提交FMA和OeNB；审计师须于被任命后两周向FMA证明不存在排除事由。若账册在境外，当前年度及至少前三年度资料须在奥地利随时可取。

依据：[2] [8]

记录保存

为ZaDiG第二编目的，支付机构须至少保存所有相关记录和凭证五年。该记录义务与完整业务活动文档、监管可监督性和审计要求并行；支付服务所必需的个人数据处理须有支付服务使用者明确同意，并须遵守数据保护法。AML/CFT材料另须依FM-GwG的适用保留规则管理；该法的具体延长/例外期限应在上线前按当前条文核对。

依据：[2] [9]

十二、年审、续牌与监管通知

续牌或年度审查

ZaDiG 2018没有为PISP设置固定到期日的续牌申请或年度“续牌”程序。该许可持续有效，但FMA持续监管许可基础与经营合规；若条件消失、重要发展未通知、存在系统稳定/债权人风险等，许可可被撤销。年度内部审计、财务审计和经审计数据报送是持续义务，并非续牌。

依据：[1] [2]

重大事项通知

须立即书面通知FMA的许可基础变化包括：章程修改或解散决定、既任董事指定适格条件变化和董事更换、总部营业开设/迁移/关闭/暂停、偿债能力风险、资不抵债或过度负债、拟扩大业务目标、实收资本削减、拟变更客户资金保护、内审负责人变化、资本跌破最低额、拟变更支付服务运营外包、代理人身份/地址/所在地变化及持续超过一个月的不合规。代理人使用及其变化也有专门的事前/即时通知和登记规则。

依据：[2] [13]

十三、牌照出售、股权收购及控制权变更

“出售牌照”的监管边界

本项是授予特定奥地利支付机构的书面许可，而非可脱离持牌实体自由买卖的独立资产。法律将许可范围、公司所在地、治理、资本、股东和董事条件绑定于主体；合并、分立、法律形式改变另触发专门程序，且某些情形导致许可失效。因此，所谓“出售PISP牌照”在法律上应区分为出售持牌公司股权、重组或申请新的/扩展许可，不能把许可本身当作普通可转让财产。

依据：[2] [7]

牌照是否可以直接转让

ZaDiG未规定将既有PISP许可单独转让给另一法人之程序。许可在合并或分立的特定登记节点可能失效；法律形式变更、合并或分立要依ZaDiG第14条第2款援引的程序并结合许可规定处理。因而，实体资产交易、法定合并或将业务迁入另一法人不能仅凭合同自动承继许可。

依据：[2] [7]

控制权变更

拟直接或间接取得或增加合格持股，导致资本或表决权达到/超过20%、30%或50%，或使支付机构成为其子公司者，须事先书面通知FMA；拟处置或减少持股导致跌破20%、30%或50%，或不再为子公司者，同样须事先通知。拟收购人须提交拟持股规模及BWG第20b条第3款资料。FMA可反对会损害审慎稳健管理的影响，并可采取措施、申请冻结表决权或委任受托人。

依据：[2] [10]

买方要求

买方应作为“拟收购人”事前递交通知，披露拟持股规模及BWG第20b条第3款所需资料，并接受其可靠性、财务稳健性、对持牌机构审慎稳健管理的影响、集团结构和监管可视性的评估。若买方需要FMA出具不反对决定证明，FMA费用条例按每名拟收购人收费625欧元。若买方同时计划变更董事、总部、服务范围、外包或资本，须把这些独立许可基础变化一并设计并按其各自程序通知/审批。

依据：[2] [7] [10]

卖方要求

卖方如拟直接或间接处置或减少合格持股，以致跌破20%、30%或50%门槛，或持牌公司不再为其子公司，必须事先书面通知FMA。卖方与目标公司还应确保交易不会导致已披露的许可基础、资本、董事、总部、客户资金保护、外包或业务范围发生未通知的变化。

依据：[2]

交易及变更流程

1. 划定交易类型及监管触发

   确认交易是股权控制变更、少数股权交易、合并/分立、法律形式变更还是业务/资产交易。对股权交易测算直接和间接资本/表决权以及是否形成子公司；对重组检查ZaDiG第14条第2款的专门程序。

   依据：[2]

2. 在交割前完成持股通知和材料

   达到法定门槛的买方和卖方须事先书面通知；买方提交拟持股规模与法定评估资料。FMA公开了EKV 2016的取得/增加和处置/减少通知表，且表格要求以德语提交。

   依据：[2] [10]

3. 等待FMA持股评估结果

   FMA在书面确认收到通知及全部材料起最多60个工作日内，可因合理理由或信息不完整书面反对；若评估期内未书面反对，收购视为不被反对。FMA可对不反对决定附条件/附款，并可规定完成收购的期限。

   依据：[10]

4. 交割后保持许可基础并更新登记/通知

   交割不免除目标公司的持续义务。发生董事、总部、章程、资本、外包、代理、业务范围或其他许可基础变化时，按ZaDiG第14条及相关规则立即或事前通知；如交易为合并/分立/法律形式变更，先完成相应程序再实施。

   依据：[2]

交易监管时间

控制权交易的法定评估上限为60个工作日，自FMA书面确认已收到通知及BWG第20b条第3款所需全部文件之日起计算。该计时起点强调“完整材料”；因此签约、资料准备、FMA收件确认、可能的补充材料及任何条件/交割期限会影响实际项目日历。法律未要求把60个工作日与PISP新申请的三个月决定期限相加；两者是不同程序。

依据：[2] [10]

关键交易风险

• 在应通知控制权门槛下未事前通知或在FMA反对后仍交割，可能导致表决权冻结、法院受托人安排及其他监管措施（S02、S10）。
• 交易后若奥地利注册地/总部、本地实质、董事适格、股东可靠性、资本、职业责任保险、治理或AML/CFT条件不再满足，FMA可采取措施并在适当时撤销许可（S02）。
• 以资产出售、并购、分立或变更公司法律形式包装交易并不会自动转移许可；此类重组可能需要特别审批或导致原许可失效（S02、S07）。
• 未经许可开展PIS属于行政违法，FMA可处最高50,000欧元罚款，并可向公众公布无授权主体信息（S02）。
• 购买壳公司后长期不运营同样不是低风险替代方案：获许可业务12个月未开始或连续六个月以上未开展时，FMA可撤销许可（S02）。

十四、重要风险、待核实事项与申请建议

待监管机构确认事项

• FMA公开许可页确认了法律框架和主管部门，但没有发布PISP专用、逐项可下载的申请清单、预审会议规则或统一的文档语言/认证翻译要求；提交前应向FMA确认当前Incoming Platform、格式和语言要求。
• PISP职业责任保险/等效担保是法定前提，但ZaDiG公开条文未给出一个适用于所有申请人的固定保额；保额须结合服务地域、风险、规模、是否兼营其他服务及可比担保特征确定。
• 纯PISP通常不持有用户资金；若实际资金流、代收代付、账户功能或兼营服务偏离这一模式，客户资金保护、资本档次和许可范围可能变化，须以FMA对具体模式的定性为准。
• 公开规则未设每宗PISP申请的统一管理层面谈；关键职能适格测试的触发具有风险导向和个案性，无法从公开材料推断必然发生或准确排期。
• 本研究确认了现行许可和持续监管成本的法定/公开基础；除明示的10,000欧元申请费、625欧元不反对证明费及最低2,000欧元监管成本外，专业顾问、审计、保险、技术、翻译、公司设立和具体监管成本分摊不属于FMA公布的统一PISP固定数字。

十五、常见问题

这项牌照是否可以直接购买？

通常不能把牌照作为脱离持牌主体的独立资产购买。收购一般通过持牌实体股权或依法批准的业务转移完成，并须遵守控制权审批、通知及适当人选要求。

没有公开最低资本是否代表不需要资本？

不是。“未见统一公开最低额”只表示监管机构没有在本次可核验公开资料中公布对所有申请人通用的固定金额；申请人仍可能需要按风险、业务规模和审慎规则持有充足资本。

监管面谈是否一定举行？

以主管机构和个案为准。即使没有统一公开的强制面谈规则，监管机构仍可要求申请人、董事、高管或负责人员参加会议、补件或能力评估。