Hvordan lisensiere en bank: fra forretningsplan til autorisasjon

En banklisens er den mest krevende autorisasjonen innen finansielle tjenester.Søkeren ber staten om tillatelse til å ta imot innskudd fra offentligheten, og derfor undersøker tilsynet hele institusjonen før den åpner: eierne, lederne, pengene, systemene og kontrollen.

Denne veiledningen følger den veien de fleste søkere tar, fra den første forretningsplanen til den første kunden.Den bruker publiserte tilnærminger fra Den europeiske sentralbanken (ECB) under den felles tilsynsmekanismen, UK Prudential Regulation Authority (PRA), Swiss Financial Market Supervisory Authority (FINMA), Monetary Authority of Singapore (MAS) og Hong Kong Monetary Authority (HKMA).

Hvem som gir tillatelsen

Svaret avhenger av hvor banken skal innlemmes, og det har betydning for hvordan du planlegger prosjektet.

Jurisdiksjon	Lisensmyndighet	Inngangspunkt for søknaden
Euro-området	ECB (for alle kredittinstitusjoner)	Nasjonal kompetent myndighet (NCA)
Storbritannia	PRA (banker er dobbeltregulert med FCA)	PRA Oppstartsenhet for ny bank
Sveits	FINMA	FINMA undersøkelse og søknadsplattform
Singaporeworld. kgm	MAS	MAS
Hong Kong	HKMA	HKMA

I euroområdet er det ECB er den myndighet som har ansvaret for bankautorisasjoner, men nasjonale tilsynsmyndigheter er inngangsporten for de fleste søknader og arbeider med ECB Kvalitetsmyndigheten utarbeider et utkast til vedtak, og klagenemnda behandler det. ECB Utenfor euroområdet lisensierer EU-medlemslandene bankene gjennom sine egne nasjonale tilsynsmyndigheter i henhold til det samme kapitalkravsdirektivet (Capital Requirements Directive).CRD).

Trinn 1: Velg riktig lisens

Mange prosjekter som starter som «en bank» er bedre tjent med en lisens for e-penger, betaling eller investeringsselskap, som har lavere kapitalkrav og færre tilsynsforpliktelser, men som ikke tillater innskudd.

Noen jurisdiksjoner tilbyr mellomliggende kategorier. Sveits har en FinTech lisens for selskaper som Motta offentlige innskudd på opptil CHF 100 millioner Hong Kong har et tredelt system av lisensierte banker, begrensede lisensbanker og innskuddsselskap, hver med sine egne regler for å sikre at de oppfyller kravene til sikkerhet. Egen minimumskapital. Singapore skiller fulle banker, engrosbanker og digitale banker.

ECB oppgir å identifisere «om en kredittinstitusjonslisens er den riktige autorisasjonen for virksomheten» som et av formålene med sine diskusjoner før søknad, i henhold til sin Veiledning om vurdering av lisenssøknader.

Trinn 2: Engasjement før søknad

Alle de fem regulatorene i denne veiledningen oppfordrer til kontakt før en formell søknad, noe som er valgfritt i loven, men i praksis går det sjelden bra med søknader som hopper over dette.

• ECB og euroområdets nasjonale tilsynsmyndigheter. The ECB Veiledningen beskriver en pre-søknadsfase som brukes til å forklare prosessen og informasjonskravene, gjennomgå lisensplaner og ta opp tidlige forsiktige bekymringer.Den sier at praksisen "er sterkt oppmuntret" og at pre-søknad diskusjoner har ingen innvirkning på den juridiske tidslinjen.
• UK. PRAs New Bank Start-up Unit kjører en strukturert pre-søknad prosess i tre faser: et forretningsforslag møte, en gjennomgang av et utkast til regulatorisk forretningsplan og tekniske økter på den endelige forretningsplanen, ICAAP og ILAAP.Hvert stadium har vanligvis et møte innen tre til seks uker etter innsending og skriftlig tilbakemelding etterpå.
• Sveits. FINMA ber om at lisensprosjektet blir presentert før en formell søknad sendes inn.

I ECB-veiledningen står det at de riktige deltakerne er «ledere med kapasitet til å ta beslutninger, samt personer med tilstrekkelig operasjonell kunnskap til å svare på detaljerte spørsmål».

Trinn 3: Bygg programpakken

Innholdet i søknaden er stort sett det samme på tvers av jurisdiksjoner.I EU har EBA Retningslinjer for autorisasjon av kredittinstitusjoner (EBA/GL/2021/12) fastsatt en felles vurderingsmetodikk som dekker virksomhetsprogram, kapital, aksjonærer, ledelse, intern styring og kontroll, IKT, outsourcing og hvitvaskingsrisiko.

En typisk pakke inneholder:

1. Virksomhetsprogram og forretningsplan: strategi, målkunder og markeder, produkter, distribusjonskanaler og økonomiske prognoser i en basecase og et alvorlig men plausibelt stress-scenario.
2. Kapitalplan: startkapital, forventet egenkapitalbehov, oppstartstap og kilden til kapitalen.
3. Aksjonærinformasjon: hele eierskapskjeden til de endelige reelle eierne, med regnskap og kilde til midler for hver kvalifiserte aksjonær.
4. Ledelsesorgan: CV, spørreskjemaer om egnethet og bevis på tidsforpliktelse for hvert styremedlem og nøkkelfunksjonsinnehaver.
5. Styrings- og risikorammeverk: organisasjonskart, komiteer, tre forsvarslinjer, risikovilje, interne kapital- og likviditetsvurderinger (ICAAP og ILAAP).
6. IT og outsourcing: arkitektur, sikkerhet, forretningskontinuitet og alle materielle outsourcing-kontrakter.
7. AML/CFT rammeverk: risikovurdering for hele virksomheten, retningslinjer, kunde due diligence-prosedyrer og den utpekte AML lederen.
8. Gjenopprettings- og exitplanlegging: hvordan banken ville gjenopprette sin posisjon under stress, og hvor det ble spurt om hvordan den ville avvikle seg på en ordnet måte.

EBA-retningslinjene forteller også tilsynsmyndighetene om å spørre om en søker som planlegger å gjøre mesteparten av sin virksomhet et annet sted, valgte sin jurisdiksjon “for å unngå strengere regulatoriske standarder (f.eks. med hensyn til AML/CFT-regimet)”. Substans i lisensieringsstaten er forventet, ikke valgfritt.

Steg 4: Hovedstad

Det juridiske gulvet i EU er satt av Artikel 12 i CRD: Autorisasjon må nektes hvis startkapitalen er mindre enn EUR 5 millioner.Medlemsstatene kan tillate visse kategorier av kredittinstitusjoner å starte med ikke mindre enn EUR 1 million, etter varsel til Kommisjonen og EBA.

I henhold til EBA-metoden anslår tilsynsmyndighetene kapitalkrav over minst tre år i både basis- og stressscenarier, sammenligner dette med startkapital pluss forventet kumulert tap for de første tre årene, og tar det høyeste tallet. ECB bruker samme logikk, og deres fintech lisensveiledning ber søkere om å vise at de kan «holde i reserve tilstrekkelig kapital til å dekke oppstartstap i de første tre årene av virksomheten».

Andre regulatorer publiserer faste minimum:

Jurisdiksjon	Publisert minimum for en full bank	Kilde
EU	5 millioner euro startkapital (1 million euro for tillatt kategorier)	CRD Artikkel 12
Sveits	CHF 10 millioner fullt innbetalt	FINMA
Hong Kong	HK$300 millioner (lisensiert bank); HK$100 millioner (bank med begrenset lisens); HK$25 millioner (selskap som tar imot innskudd)	HKMA
Singaporeworld. kgm	1,5 milliarder singaporske dollar betalt inn for en full digital bank; 15 millioner singaporske dollar ved opptak som en begrenset digital full bank	MAS

Kapitalen må være innbetalt, ubetinget og fra en kilde som tilsynsmyndigheten kan verifisere.Lånte penger presentert som egenkapital eller midler som ikke kan spores er blant de vanligste årsakene til at søknader stagnerer.

Trinn 5: Passende og riktig vurdering

Tilsynsmyndighetene vurderer to grupper av mennesker: de som driver banken og de som eier den.

Ledelse. CRD krever at minst to personer effektivt leder virksomheten. ECB vurderer styremedlemmer på erfaring, omdømme, interessekonflikter, kollektiv egnethet og tidsforpliktelse, som angitt i sin Guide on qualifying holding procedures. FINMA krever adskillelse mellom strategisk tilsyn og ledende ledelse, en uavhengig internrevisjon og ledelse ledet fra Sveits. HKMA sier at administrerende direktør, styremedlemmer, controllere og ledende ansatte må være "fit and proper".

Aksjonærer. Alle som har en kvalifisert eierandel (10 % eller mer av kapitalen eller stemmerettene, eller betydelig innflytelse) vurderes for omdømme, finansiell soliditet og koblinger til hvitvaskingsrisiko. HKMAs Retningslinjer for minimumskriterier for autorisasjon fastslår at en person som har til hensikt å eie 50 % eller mer av en lokalt registrert autorisert institusjon generelt bør være «en veletablert bank eller annen finansinstitusjon under tilsyn med god anseelse». FINMA krever at utenlandsk kontrollerte banker viser gjensidige rettigheter i de landene der kvalifiserte deltakere er hjemmehørende.

De samme aksjonærreglene gjelder senere når noen ønsker å kjøpe banken, og vår veiledning om kontrollskifte dekker denne prosessen.

Trinn 6: IT, outsourcing og driftssikkerhet

For banker i EU har Digital Operational Resilience Act, forordning (EU) 2022/2554, vært gjeldende siden 17. januar 2025 og setter bindende krav til IKT-risikostyring, hendelsesvarsling, testing og tredjepartsrisiko.

Fintech-guiden til ECB beskriver hva tilsynsmyndighetene sjekker ved outsourcing: om kontraktene tillater banken og dens tilsynsmyndigheter å revidere utkontrakterte aktiviteter, hvordan skyordninger administreres, og om banken kan oppdage og reagere på cyberhendelser.En bank bygget på en kjernebankplattform leid fra en leverandør må fortsatt vise at den kontrollerer og forstår plattformen.

Praktiske punkter for søknaden:

• Kartlegg alle kritiske funksjoner og hvem som utfører dem, hvor og under hvilken kontrakt.
• Vis at exit fra hver kritisk leverandør er mulig uten å stoppe banken.
• EBA-retningslinjene gjør det mulig for tilsynsmyndighetene å kreve at IKT-systemer testes før tillatelsen trer i kraft.

Trinn 7: AML og rammeverket for økonomisk kriminalitet

Tilsynsmyndighetene vurderer risikoen for hvitvasking av penger og finansiering av terrorisme ved godkjenning, ikke bare etter lanseringen.EBA Retningslinjene behandler hvitvaskings-/terrorismefinansieringsrisiko som en del av alle vurderingsområder, fra forretningsmodell og målmarkeder til egnethet hos aksjonærer og ledere.

En søknad bør inneholde en risikovurdering for hele virksomheten knyttet til det faktiske produktsettet og kundebasen, en navngitt AML Når forretningsplanen er rettet mot kunder, geografiske områder eller kanaler med høyere risiko, må rammeverket vise forholdsmessig sterkere kontroller.Dette innebærer at en compliance-ansvarlig har myndighet og ressurser til å handle, kunde due diligence og transaksjonsovervåking prosedyrer, sanksjoner screening, og en opplæringsplan.

For banker som trenger å klarere utenlandsk valuta, spesielt i amerikanske dollar, vil korrespondentbankene utføre sin egen due diligence på den nye banken.Et svakt AML rammeverk kan etterlate en lisensiert bank uten de korrespondentrelasjonene den trenger for å operere.

Trinn 8: Betingede tillatelser og mobilisering

Få nye banker er klare til å betjene kundene den dagen de får lisens, og myndighetene har utviklet måter å gi autorisasjon på mens bygget er ferdig.

• Britisk mobilisering. The PRA tilbud Autorisasjon med restriksjoner, der «bankens tillatelse til å ta imot innskudd er begrenset til totalt £50.000» mens den fullfører sin operasjonelle oppbygging Denne perioden varer vanligvis ikke lenger enn 12 måneder.
• EU-betingelser og restriksjoner. The EBA Retningslinjene gir tilsynsmyndighetene mulighet til å knytte vilkår, forpliktelser og restriksjoner til en lisens, f.eks. begrensning av innskudd per innskyter.
• Singapore begrenset digital bank. En ny digital full bank i Singapore starter som en Begrenset DFB med S $ 15 millioner innbetalt kapital, samlede innskudd begrenset til S $ 50 millioner og individuelle innskudd begrenset til S $ 75.000, deretter uteksaminert ved å bygge kapital mot S $ 1,5 milliarder.

En tillatelse som er gitt, men ikke benyttet, varer ikke evig, og i henhold til CRD § 18 kan tillatelsen trekkes tilbake hvis banken ikke gjør bruk av den innen 12 måneder.

Trinn 9: Tidslinjer

Lovfestede tidsfrister setter den ytre grensen, men den virkelige tidslinjen avhenger av forberedelse og respons.

Jurisdiksjon	Lovfestet eller publisert tidslinje
EU (CRD artikkel 15)	Avgjørelse innen seks måneder etter fullstendig søknad, og i alle fall innen 12 måneder etter mottak
UK (PRA)	Mål på fire måneder for en fullstendig søknad (lovfestet seks); ti måneder for en ufullstendig en (lovfestet 12)
Sveits	Ingen fastsatt periode; avhenger av lisenstype, kvalitet og kompleksitet i søknaden

ECB bemerker at medlemsstatene starter klokken forskjellig: noen ved mottak selv om den er ufullstendig, andre bare når den er fullført. Veiledningen sier at hele prosessen «ikke bør overstige 12 måneder, inkludert eventuelle suspensjonsperioder.» Arbeid før søknad og mobilisering etter lisens er ikke inkludert i disse tallene, så hele reisen fra første møte til første kunde er vanligvis lengre.

Det britiske søknadsgebyret, som dekker både PRA og FCA, er £ 56.300 i henhold til PRAs New Bank Start-up Unit-side på skrivetidspunktet.

Hva endres

ECB kunngjorde i juni 2026 at Veiledning for søknad om tillatelse blir revidert for å klargjøre prosedyremessige forhold og uttrykkelig henvise til EBA-retningslinjene, med forventet publisering i tredje kvartal 2026. Søkere i euroområdet bør sjekke om den reviderte veiledningen er tilgjengelig før innlevering.

Den endrede CRD (Direktiv (EU) 2024/1619) krever også at mange tredjelandsbanker etablerer en autorisert filial for å tilby kjernebanktjenester i et medlemsland. De fleste av disse reglene gjelder fra 11. januar 2027. Konserner som planlegger å betjene kunder i EU utenfor unionen, bør ta dette med i betraktning når de velger mellom datterselskap og filial.

Vanlige årsaker til at programmer mislykkes

• En forretningsplan som ikke overlever stresstesting, eller prosjekter fortjeneste uten en troverdig vei til dem.
• Kapital fra kilder tilsynsmyndigheten ikke kan verifisere, eller avhengig av en enkelt aksjonær med begrensede midler.
• Ledelse uten bankerfaring i de foreslåtte forretningsområdene.
• Outsourcing som etterlater banken uten reell kontroll over sine kjernesystemer.
• En AML ramme kopiert fra en mal i stedet for bygget for de faktiske kundene.
• Lite eller ingen substans i lisensieringsjurisdiksjonen.

Ingen av disse problemene er fatale hvis de blir tatt opp tidlig, og det er den viktigste verdien med pre-søknadsfasen: Den lar søkeren rette opp svakheter før de registreres i en formell vurdering.