Que doivent préparer les institutions financières dans le cadre du Paquet européen des paiements : DSP3 & RSP ?

Le Paquet européen sur les paiements de la Commission européenne, composé de la troisième directive sur les services de paiement (DSP3) et du nouveau règlement sur les services de paiement (RSP), représente la refonte la plus importante de la réglementation européenne des paiements depuis la DSP2 en 2015. Ensemble, la directive et le règlement visent à moderniser le paysage des paiements, renforcer la protection des consommateurs, améliorer la prévention de la fraude et garantir un environnement de contrôle plus cohérent dans l'ensemble des États membres.

La fraude aux paiements en Europe est une préoccupation croissante. La Banque centrale européenne et l'Autorité bancaire européenne ont signalé des pertes de 4,3 milliards d'euros dues à la fraude en 2022, avec 2,0 milliards d'euros supplémentaires perdus au cours du seul premier semestre 2023. Les transactions en ligne et transfrontalières représentent une grande partie du problème, soulignant le besoin urgent de mesures de protection plus solides. Pour les institutions financières, les réformes vont bien au-delà d'un simple exercice de conformité.

Elles façonneront la manière dont les entreprises gèrent les risques de fraude, traitent les données clients, établissent des partenariats et interagissent avec les régulateurs. Pour ceux d'entre nous qui travaillent dans la conformité en matière de criminalité financière, le message est clair : la DSP3 et le RSP exigeront une intégration plus poussée de la prévention de la fraude dans le cadre plus large de la lutte contre la criminalité financière.

Que sont la DSP3 et le RSP ? 

La DSP3 remplacera la DSP2 en tant que colonne vertébrale législative des services de paiement dans l'UE. Son rôle est d'établir les principes généraux et les exigences pour la transposition nationale. En revanche, le RSP est un règlement directement applicable, conçu pour éliminer la mosaïque d'interprétations nationales qui a compliqué la mise en œuvre de la DSP2. Les objectifs du paquet sont vastes mais peuvent être regroupés en quatre thèmes :

Comment les réformes vont-elles modifier le paysage des paiements ?

Parmi les développements les plus significatifs figurent les exigences renforcées en matière de prévention de la fraude. L'authentification forte du client, déjà une caractéristique de la DSP2, deviendra encore plus centrale. Les règles de responsabilité seront élargies, rendant les institutions plus responsables des transactions frauduleuses lorsque l'authentification est faible ou absente. Les entreprises seront également tenues de participer à des initiatives de partage de données sur la fraude, garantissant que les renseignements sont échangés sur l'ensemble du marché pour identifier et contrer les menaces émergentes.

L'accès aux données des clients et leur protection constituent un autre axe d'intervention. La DSP3 et le RSP renforcent le cadre de l'open banking en standardisant les API et en renforçant les règles relatives à la gestion du consentement. Cela donne aux consommateurs une plus grande clarté et un meilleur contrôle sur les personnes pouvant accéder à leurs données, tout en imposant de nouvelles responsabilités aux institutions pour garantir que le partage est à la fois sécurisé et transparent.  Les exigences en matière de résilience opérationnelle et de gouvernance sont également appelées à augmenter. Les institutions seront confrontées à des obligations plus strictes en matière de gestion des risques, de signalement des incidents et de contrôle interne. Ces changements s'alignent sur la tendance réglementaire plus large, illustrée par le règlement sur la résilience opérationnelle numérique (DORA), visant à intégrer la résilience dans l'ADN des services financiers.  Enfin, le champ des entités nécessitant un agrément pour fournir des services de paiement s'élargira, tandis que les normes d'agrément seront harmonisées dans toute l'UE. La nature directement applicable du RSP réduit la marge de manœuvre nationale et crée un environnement réglementaire plus équitable, ce qui sera particulièrement pertinent pour les Fintechs et les acteurs transfrontaliers.

Qu'est-ce que cela signifie pour la conformité en matière de criminalité financière ?

Bien que la DSP3 et le RSP ne soient pas explicitement des mesures de lutte contre le blanchiment d'argent, leurs dispositions en matière de prévention de la fraude recoupent étroitement la conformité en matière de criminalité financière. La surveillance de la fraude devra de plus en plus être intégrée aux systèmes de LBC/FT afin que les schémas inhabituels soient identifiés de manière cohérente entre les différents types de criminalité financière. L'obligation de partager les données sur la fraude présente à la fois une opportunité et un défi. 

D'une part, elle promet des renseignements plus riches pour lutter contre la fraude. D'autre part, les entreprises devront gérer la tension entre le partage obligatoire et les règles de protection des données en vertu du RGPD. Des politiques claires, une gouvernance solide et une communication transparente avec les clients seront essentielles. Les obligations de déclaration deviennent également plus exigeantes. Les régulateurs attendront un signalement plus rapide et plus détaillé des incidents de fraude et des perturbations opérationnelles. Cela nécessitera des processus d'escalade plus stricts, une meilleure capture des données et une culture de responsabilité au sein des institutions.  L'expansion de l'open banking entraînera une plus grande dépendance vis-à-vis des prestataires tiers. Les institutions financières devront renforcer leurs cadres de gestion des risques de conformité dans ces partenariats, en veillant à ce que les normes en matière de fraude et de LBC/FT soient appliquées de manière cohérente dans l'ensemble de l'écosystème. 

• 1. Évaluation des écarts
  La préparation devrait commencer par une évaluation complète des écarts, comparant les mesures de conformité actuelles à la DSP2 avec les exigences de la DSP3 et du RSP. La détection des fraudes, les contrôles d'authentification et les processus de déclaration sont des points de départ évidents, mais les institutions devraient également examiner les structures de gouvernance et la gestion des risques liés aux tiers.

• 2. Mises à jour technologiques
  Les mises à niveau technologiques seront cruciales. Des outils d'authentification plus forts, des analyses avancées de la fraude et des plateformes sécurisées de partage de données seront tous nécessaires pour répondre aux attentes réglementaires. Dans le même temps, les politiques et les processus doivent être mis à jour pour refléter les nouvelles règles, en veillant à ce que les cadres de résilience opérationnelle, de déclaration et de gouvernance soient alignés.

• 3. Collaboration
  Les institutions devraient également adopter la collaboration. La fraude ne respecte pas les limites institutionnelles, et l'impulsion réglementaire en faveur du partage de renseignements est une reconnaissance de ce fait. Une participation active aux initiatives à l'échelle de l'industrie permettra non seulement de respecter les obligations de conformité, mais aussi de renforcer les défenses collectives.

• 4. Formation et sensibilisation
  La formation et la sensibilisation du personnel compléteront le processus de préparation. Les schémas de fraude évoluent rapidement, et les équipes de conformité, le personnel en contact avec la clientèle et la haute direction doivent tous comprendre leur rôle dans le cadre du nouveau régime.

La conformité pourrait-elle être une opportunité plutôt qu'un fardeau ? 

Bien qu'une grande partie de l'attention se portera inévitablement sur la conformité, les institutions tournées vers l'avenir y verront également des opportunités. Une protection renforcée contre la fraude peut devenir un moteur de la confiance des clients à un moment où la confiance dans les paiements numériques est cruciale. Des solutions d'authentification et de surveillance plus intelligentes peuvent améliorer l'expérience utilisateur, réduisant les frictions tout en sécurisant les transactions.  L'infrastructure améliorée de surveillance et de déclaration requise par les nouvelles règles peut également générer des informations précieuses. L'analyse des données, lorsqu'elle est appliquée au-delà de la conformité, peut éclairer le développement de produits, la stratégie de risque et l'engagement client. Enfin, les institutions qui font preuve de leadership en matière de partage sécurisé des données et d'open banking seront bien positionnées en tant que partenaires de confiance dans l'écosystème des paiements en évolution.

Quelle est la prochaine étape ?

Le Paquet européen sur les paiements va remodeler le paysage des paiements de l'UE de manière profonde. Pour les institutions financières, cela signifie des règles plus strictes en matière de prévention de la fraude, une protection renforcée des consommateurs et une plus grande harmonisation au sein du marché unique. Pour les équipes de conformité, cela exige une intégration plus poussée de la prévention de la fraude dans le cadre de la criminalité financière, parallèlement à une gouvernance et une résilience renforcées.

Les institutions qui agissent dès maintenant en évaluant les écarts, en modernisant les systèmes, en intégrant la collaboration et en formant leur personnel non seulement satisferont aux nouvelles exigences réglementaires, mais saisiront également l'opportunité de bâtir la confiance, la résilience et un avantage stratégique sur un marché en évolution rapide.