Wat moeten financiële instellingen voorbereiden onder het Europees Betalingspakket: PSD3 & PSR?

Het Europees betalingspakket van de Europese Commissie, bestaande uit de derde Richtlijn betaaldiensten (PSD3) en de nieuwe Verordening betaaldiensten (PSR), vormt de meest ingrijpende herziening van de EU-regelgeving voor betalingen sinds PSD2 in 2015. Samen beogen de richtlijn en de verordening het betalingslandschap te moderniseren, consumentenbescherming te versterken, fraudepreventie te verbeteren en te zorgen voor een consistenter toezichtskader in alle lidstaten.

Betalingsfraude in Europa is een groeiende zorg. De Europese Centrale Bank en de Europese Bankautoriteit rapporteerden EUR 4,3 miljard aan fraudeverliezen in 2022, met nog eens EUR 2,0 miljard verloren in alleen de eerste helft van 2023. Online- en grensoverschrijdende transacties zijn verantwoordelijk voor een groot deel van het probleem, wat de dringende noodzaak van sterkere waarborgen onderstreept. Voor financiële instellingen gaan de hervormingen veel verder dan een afvinkoefening voor compliance.

Ze zullen bepalen hoe bedrijven frauderisico's beheren, klantgegevens verwerken, partnerschappen opbouwen en met toezichthouders omgaan. Voor degenen onder ons die werken in compliance tegen financiële criminaliteit, is de boodschap duidelijk: PSD3 en PSR zullen een diepere integratie van fraudepreventie in het bredere kader voor financiële criminaliteit vereisen.

Wat zijn PSD3 en PSR? 

PSD3 zal PSD2 vervangen als de wetgevende ruggengraat voor betalingsdiensten in de EU. De rol ervan is het vaststellen van de overkoepelende beginselen en vereisten voor nationale omzetting. Daarentegen is PSR een rechtstreeks toepasselijke verordening, ontworpen om de lappendeken van nationale interpretaties die de implementatie van PSD2 bemoeilijkten, weg te nemen. De doelstellingen van het pakket zijn breed maar kunnen worden gegroepeerd in vier thema's:

Hoe zullen de hervormingen het betalingslandschap veranderen?

Een van de belangrijkste ontwikkelingen zijn de strengere fraudepreventievereisten. Sterke Klantauthenticatie, al een kenmerk van PSD2, zal nog centraler worden. Aansprakelijkheidsregels worden uitgebreid, waardoor instellingen meer verantwoordelijk worden voor frauduleuze transacties waarbij authenticatie zwak of afwezig is. Bedrijven zullen ook verplicht worden om deel te nemen aan initiatieven voor het delen van fraudedata, zodat inlichtingen over de markt worden uitgewisseld om opkomende dreigingen te identificeren en te verstoren.

Toegang tot en bescherming van klantgegevens zijn een ander aandachtspunt. PSD3 en PSR versterken het open banking-kader door API's te standaardiseren en regels rond toestemmingsbeheer aan te scherpen. Dit geeft consumenten meer duidelijkheid en controle over wie toegang heeft tot hun gegevens, terwijl instellingen nieuwe verantwoordelijkheden krijgen om ervoor te zorgen dat het delen zowel veilig als transparant is.  Operationele veerkracht- en governancevereisten zullen ook toenemen. Instellingen worden geconfronteerd met strengere verplichtingen op het gebied van risicobeheer, incidentmelding en intern toezicht. Deze wijzigingen sluiten aan bij de bredere regelgevingstrend, zoals blijkt uit de Digital Operational Resilience Act (DORA), naar het integreren van veerkracht in het DNA van financiële diensten.  Tot slot zal de reikwijdte van wie een vergunning nodig heeft om betalingsdiensten aan te bieden, worden verbreed, terwijl vergunningsnormen in de hele EU worden geharmoniseerd. De rechtstreeks toepasselijke aard van de PSR vermindert nationale beleidsvrijheid en creëert een gelijker regelgevingsklimaat, wat met name relevant zal zijn voor Fintechs en grensoverschrijdende spelers.

Wat betekent dit voor compliance tegen financiële criminaliteit?

Hoewel PSD3 en PSR niet expliciet maatregelen tegen witwassen zijn, overlappen hun fraudepreventiebepalingen nauw met compliance tegen financiële criminaliteit. Fraudemonitoring zal steeds meer moeten worden geïntegreerd met AML-systemen, zodat ongebruikelijke patronen consistent worden geïdentificeerd voor verschillende soorten financiële criminaliteit. De vereiste om fraudedata te delen, biedt zowel een kans als een uitdaging. 

Enerzijds belooft het rijkere inlichtingen voor de bestrijding van fraude. Anderzijds zullen bedrijven de spanning moeten beheren tussen verplicht delen en regels voor gegevensprivacy onder de AVG. Duidelijk beleid, robuust bestuur en transparante communicatie met klanten zullen essentieel zijn. Meldingsverplichtingen worden ook veeleisender. Toezichthouders zullen snellere en meer gedetailleerde rapportage van fraude-incidenten en operationele verstoringen verwachten. Dit vereist strakkere escalatieprocessen, verbeterde gegevensvastlegging en een cultuur van verantwoordelijkheid binnen instellingen.  De uitbreiding van open banking zal leiden tot een grotere afhankelijkheid van externe aanbieders. Financiële instellingen zullen hun kaders voor het beheren van compliancerisico's in deze partnerschappen moeten versterken, zodat fraude- en AML-normen consistent worden toegepast in het hele ecosysteem. 

• 1. Hiatenanalyse
  De voorbereiding moet beginnen met een uitgebreide hiatenanalyse, waarbij de huidige PSD2-compliance-maatregelen worden vergeleken met de vereisten van PSD3 en PSR. Fraudedetectie, authenticatiecontroles en rapportageprocessen zijn voor de hand liggende startpunten, maar instellingen moeten ook kijken naar governancestructuren en risicobeheer van derden.

• 2. Technologie-updates
  Technologie-upgrades zullen van cruciaal belang zijn. Sterkere authenticatietools, geavanceerde fraudedata-analyse en veilige platforms voor het delen van gegevens zullen allemaal nodig zijn om aan de regelgevingsverwachtingen te voldoen. Tegelijkertijd moeten beleid en processen worden bijgewerkt om de nieuwe regels te weerspiegelen, zodat operationele veerkracht, rapportage- en governancekaders op elkaar zijn afgestemd.

• 3. Samenwerking
  Instellingen moeten ook samenwerking omarmen. Fraude houdt zich niet aan institutionele grenzen, en de regelgevingsdruk richting het delen van inlichtingen is een erkenning van dat feit. Actieve deelname aan sectorbrede initiatieven zal niet alleen voldoen aan complianceverplichtingen, maar ook de collectieve verdediging versterken.

• 4. Training en bewustwording
  Training en bewustwording van personeel zullen het voorbereidingsproces afronden. Fraudepatronen evolueren snel, en complianceteams, klantgerichte medewerkers en het senior management moeten allemaal hun rol onder het nieuwe regime begrijpen.

Kan compliance een kans zijn in plaats van een last? 

Hoewel een groot deel van de focus onvermijdelijk op compliance zal liggen, zullen vooruitstrevende instellingen ook kansen zien. Sterkere fraudebescherming kan een motor van klantvertrouwen worden in een tijd waarin vertrouwen in digitale betalingen cruciaal is. Slimmere authenticatie- en monitoringsoplossingen kunnen de gebruikerservaring verbeteren, wrijving verminderen en tegelijkertijd transacties beveiligen.  De verbeterde monitoring- en rapportage-infrastructuur die de nieuwe regels vereisen, kan ook waardevolle inzichten genereren. Data-analyse kan, wanneer toegepast buiten compliance, productontwikkeling, risicostrategie en klantbetrokkenheid ondersteunen. Tot slot zullen instellingen die leiderschap tonen in veilig datadelen en open banking goed gepositioneerd zijn als vertrouwde partners in het evoluerende betalingsecosysteem.

Wat staat ons te wachten?

Het Europees Betalingspakket zal het EU-betalingslandschap ingrijpend hervormen. Voor financiële instellingen betekent dit strengere fraudepreventieregels, sterkere consumentenbescherming en grotere harmonisatie in de hele interne markt. Voor complianceteams vereist het een diepere integratie van fraudepreventie in het kader voor financiële criminaliteit, naast verbeterd bestuur en veerkracht.

De instellingen die nu handelen door hiaten te analyseren, systemen te upgraden, samenwerking te integreren en hun mensen op te leiden, zullen niet alleen voldoen aan de nieuwe regelgevingsvereisten, maar ook de kans grijpen om vertrouwen, veerkracht en strategisch voordeel op te bouwen in een snel evoluerende markt.