In breve

Un'istanza di autorizzazione come istituto di pagamento (IP) o istituto di moneta elettronica (IMEL) non è un fascicolo da compilare: è la descrizione di un'organizzazione che deve già esistere, o essere costruita in modo credibile, prima che l'autorità la valuti. La Banca d'Italia avvia il procedimento solo quando riceve un'istanza regolare e completa; da quel momento ha 90 giorni per decidere, e i termini possono essere sospesi fino a un massimo di 180 giorni. Il tempo che si governa davvero, quindi, è quello che precede l'invio.

Questa guida mette in fila le decisioni da prendere prima di scrivere il dossier, il contenuto che la normativa richiede, i punti in cui un dossier tiene o cede, e le norme che cambieranno mentre lo si prepara.

Prima del dossier: quattro decisioni

1. Il perimetro dei servizi. Tutto discende da qui: capitale iniziale, tutela dei fondi, requisiti di sicurezza, profilo di rischio antiriciclaggio. Per un istituto di pagamento il capitale iniziale minimo è di 125.000 euro per i servizi da 1 a 5 dell'Allegato I della PSD2, 20.000 euro per la sola rimessa di denaro e 50.000 euro per la disposizione di ordini di pagamento. Per un IMEL è di 350.000 euro.

2. IP o IMEL. La scelta non si fa sul costo del capitale ma sul prodotto. Se il cliente detiene un valore monetario che può spendere nel tempo, la domanda da porsi è se si tratti di moneta elettronica: è una qualificazione giuridica da verificare con i legali prima di scegliere il tipo di licenza, non dopo.

3. Il modello operativo. Che cosa resta in casa e che cosa si affida a terzi: processor, infrastruttura cloud, fornitori di verifica dell'identità, sistemi antifrode. Ogni esternalizzazione va descritta nel dossier e, dal 2025, va letta anche con le regole europee sul rischio ICT e sui fornitori terzi (DORA). Un modello che dipende da un fornitore non ancora contrattualizzato è un modello ancora da decidere.

4. La tutela dei fondi dei clienti. La PSD2 ammette due strade: tenere i fondi separati, su un conto presso un ente creditizio o investiti in attività sicure, liquide e a basso rischio; oppure coprirli con una polizza assicurativa o una garanzia equivalente. La scelta coinvolge una banca o un assicuratore, ed è una delle relazioni da avviare per prime.

Che cosa contiene la domanda

L'art. 5 della PSD2 elenca le informazioni da allegare alla domanda; gli orientamenti dell'EBA sull'autorizzazione (EBA/GL/2017/09, applicabili dal 13 gennaio 2018) ne precisano il contenuto, sezione per sezione. Conviene leggerli raggruppati in quattro blocchi, perché ciascuno risponde a una domanda diversa dell'autorità.

  • Il progetto — che cosa farà l'istituto e se sta in piedi: programma di attività con i servizi previsti, business plan con le previsioni dei primi tre esercizi, prova del capitale iniziale, misure di tutela dei fondi degli utenti (servizi da 1 a 6) e, per la disposizione di ordini di pagamento e l'informazione sui conti, l'assicurazione di responsabilità civile professionale.
  • L'organizzazione — chi fa che cosa e chi controlla: struttura organizzativa con agenti, succursali ed esternalizzazioni, dispositivi di governance e controllo interno, presidi antiriciclaggio.
  • La sicurezza — che cosa succede quando qualcosa va storto: gestione degli incidenti di sicurezza e dei reclami dei clienti in materia di sicurezza, trattamento dei dati di pagamento sensibili, continuità operativa, politica di sicurezza con valutazione dei rischi, criteri per i dati statistici su operazioni e frodi.
  • Le persone e la società — chi la possiede e chi la guida: titolari di partecipazioni qualificate, esponenti aziendali, revisori, forma giuridica, statuto, sede.

In Italia il quadro si completa con le Disposizioni di vigilanza della Banca d'Italia per IP e IMEL, il cui ultimo aggiornamento, del 3 febbraio 2026, le ha adeguate a DORA.

Dove un dossier tiene, e dove cede

Nella mia esperienza i punti deboli di un dossier non sono quasi mai le singole sezioni: è la coerenza fra sezioni. Un business plan che prevede certi volumi e un organigramma che non ha le persone per controllarli. Un programma di attività che descrive un processo e un contratto di esternalizzazione che ne descrive un altro. Una valutazione dei rischi che elenca minacce senza spiegare quale controllo risponde a quale minaccia.

Per questo, prima dell'invio, conviene fare cinque verifiche incrociate:

  1. I numeri sono gli stessi ovunque. I volumi del business plan sono quelli che dimensionano personale, controlli, fondi propri e infrastruttura.
  2. Ogni processo ha un responsabile. Le funzioni di controllo — conformità, gestione dei rischi, antiriciclaggio, revisione interna — hanno una persona, un perimetro e una linea di riporto.
  3. Ogni esternalizzazione ha un contratto, o almeno una bozza coerente con ciò che il dossier dichiara.
  4. I rischi spiegano i controlli. Una politica di sicurezza è credibile quando si capisce perché un controllo esiste, non solo che esiste.
  5. Le policy sono dell'azienda. Un documento adattato da un modello si riconosce: usa termini che l'organizzazione non usa e descrive processi che non ha.

I tempi, realisticamente

La PSD2 fissa in tre mesi il termine per decidere su una domanda completa. In Italia il procedimento dura 90 giorni e parte solo dall'istanza regolare e completa; le sospensioni possono arrivare a 180 giorni. Ne seguono due conseguenze pratiche. La prima: ogni lacuna scoperta dopo l'invio allunga il calendario più di quanto avrebbe fatto colmarla prima. La seconda: il piano di lancio — partner, assunzioni, marketing — va agganciato alla data di autorizzazione, non alla data di invio.

Le norme che cambiano mentre si prepara l'istanza

  • DORA (Regolamento (UE) 2022/2554) si applica dal 17 gennaio 2025. Gestione del rischio ICT, segnalazione degli incidenti e registro dei fornitori ICT fanno parte dell'organizzazione da descrivere, non di un adeguamento successivo.
  • Bonifici istantanei (Regolamento (UE) 2024/886): secondo la BCE, IP e IMEL dell'area dell'euro che offrono bonifici in euro dovranno offrire anche l'invio e la ricezione di bonifici istantanei dal 9 aprile 2027; dall'ottobre 2025 i prestatori non bancari che rispettano i requisiti possono accedere ai servizi TARGET, compreso TIPS.
  • Antiriciclaggio: il nuovo quadro europeo, con il Regolamento (UE) 2024/1624, si applicherà dal 10 luglio 2027. I presidi descritti oggi dovranno reggere quelle regole.
  • PSD3 e regolamento sui servizi di pagamento: norme non ancora adottate. Parlamento e Consiglio hanno raggiunto un accordo provvisorio il 27 novembre 2025; il 29 ottobre 2026 il Consiglio ha adottato le sue posizioni in prima lettura, e l'Osservatorio legislativo del Parlamento indica il 14 dicembre 2026 come data indicativa della plenaria. Dopo l'adozione definitiva seguiranno pubblicazione, entrata in vigore e, per la direttiva, il recepimento nazionale. La proposta della Commissione porta la moneta elettronica dentro la nuova direttiva, con gli IMEL come sottocategoria degli istituti di pagamento, e prevede misure transitorie per gli istituti già autorizzati: durata e adempimenti andranno letti nel testo pubblicato in Gazzetta ufficiale.

L'ultimo punto cambia la prospettiva. Un istituto autorizzato oggi secondo la PSD2 dovrà adeguarsi alle nuove regole entro pochi anni, con gli adempimenti che il testo definitivo fisserà: conviene costruire il dossier in modo che il passaggio sia un aggiornamento, non una riscrittura.

La checklist prima dell'invio

  1. Il perimetro dei servizi è definito e la sua qualificazione giuridica è stata verificata con i legali.
  2. La scelta fra IP e IMEL discende dal prodotto, ed è motivata per iscritto.
  3. Il capitale iniziale è disponibile, e i fondi propri sono proiettati sugli stessi volumi del business plan.
  4. La modalità di tutela dei fondi è scelta, e la relazione con la banca o l'assicuratore è avviata.
  5. Esponenti e responsabili delle funzioni di controllo sono individuati, e i loro requisiti verificati.
  6. La mappa delle esternalizzazioni e dei fornitori ICT esiste ed è coerente con DORA.
  7. La valutazione dei rischi di sicurezza e la politica di sicurezza sono scritte per questa organizzazione.
  8. I presidi antiriciclaggio partono da una valutazione del rischio di questo modello di business.
  9. Programma di attività, business plan e organigramma usano gli stessi numeri.
  10. Esiste un piano per bonifici istantanei, nuove regole antiriciclaggio e PSD3.

Che cosa questa guida non dice

Non dice se un modello di business richiede una licenza, né quale: è una qualificazione giuridica che spetta ai legali, sul caso concreto. Non sostituisce la lettura dei testi richiamati in fondo alla pagina, nella versione vigente. E non promette un esito: il giudizio di idoneità spetta all'autorità.

Preparare un dossier che regga è il lavoro che Bizando fa nell'area Fintech & Payments, con il retainer o con un pack a perimetro fisso.