Patrice Fritsch, Directeur Associé, Leader Payment services au sein d’EY Luxembourg, et Marc Van Oost, CEO d’AlSego

La nouvelle directive paiement oblige les banques à mettre à disposition d’acteurs tiers (TPP) agréés des services et des données de compte de paiement via des interfaces dédiées. Sont concernées toutes les banques qui permettent à leurs clients d’accéder à ces informations via web-banking ou des solutions comme MultiLine. Pour y accéder, l’acteur tiers devra simplement disposer d’un accord du propriétaire de compte, sans avoir à négocier la moindre autorisation avec la banque. « Dans le cadre de l’entrée en vigueur de la directive, qui couvre un périmètre bien plus large, le législateur a laissé un délai aux acteurs bancaires pour leur permettre d’adapter leurs systèmes, explique Patrice Fritsch, Directeur Associé, Leader Payment services au sein d’EY Luxembourg. Les échéances approchent rapidement. Et de nombreux enjeux relatifs à cette transformation ne doivent pas être sous-estimés par le marché. »

Des échéances proches

Selon l’échéancier, les banques doivent mettre en place un environnement de test des interfaces dédiées (API) pour le 14 mars. « Dans la suite de l’environnement de tests du 14 mars, pour le 14 juin, elles devront proposer un environnement qui permettra de tester l’infrastructure en conditions réelles de production. L’échéance ultime pour la mise en production des interfaces est fixée au 14 septembre, poursuit Patrice Fritsch. À partir de là, chaque banque devra être en mesure de permettre à des acteurs tiers, Account Information Service Provider (AISP) et Payment Initiation Service Provider (PISP) de se connecter à leur système. » Autant dire que le temps presse.

Un conseil avisé associé à une expertise technologique

Se mettre en conformité peut cependant prendre du temps. EY, qui a développé une expertise liée à PSD2, accompagne ses clients à travers l’ensemble des étapes de mise en conformité, de la définition d’une stratégie API à la mise en œuvre des interfaces. Dans cette démarche, le cabinet de conseil s’appuie notamment sur des prestataires technologiques extérieurs, sélectionnés en fonction des besoins du client.

EY a notamment eu l’opportunité de travailler avec plusieurs solutions API sur des projets pilotes à travers l’Europe. Ceci est également le cas d’AlSego, société fintech spécialisée dans le développement de logiciels et d’interfaces dédiés au monde bancaire. « Plusieurs options s’offrent aux institutions bancaires confrontées à ces enjeux, commente Marc Van Oost. Elles peuvent soit développer leurs propres interfaces, soit s’associer avec des acteurs fintech qui ont déjà engagé une réflexion autour de la technologie à mettre en œuvre et des enjeux qui en découlent. Notre expertise en la matière doit d’une part permettre aux banques d’accélérer la mise en œuvre du chantier lié à PSD2 mais, d’autre part, amener et anticiper la flexibilité nécessaire permettant de confronter les prochaines directives à venir sur le sujet. »

Anticiper les évolutions à venir

La réglementation n’a pris aucun parti technologique ou fonctionnel. Chaque acteur est donc libre de définir les interfaces qu’il entend mettre en place pour répondre aux exigences de la directive. « Cela a pour effet de complexifier la démarche, chaque acteur n’ayant pas de cadre de référence auquel se raccrocher, poursuit Marc Van Oost. Plusieurs standards ont émergé — STET, Open Banking API UK, Berlin Group, etc. — et permettent de mieux guider chaque acteur dans la démarche. Nous avons la conviction que ces standards vont progressivement converger vers celui proposé par Berlin Group, qui anticipe déjà des évolutions de la directive. »

AlSego a développé une approche permettant aux banques d’appréhender les défis inhérents à la mise en conformité à un coût réduit tout en garantissant un support dans le temps à ses clients. « Notre réflexion relative à ces enjeux nous permet d’accompagner les acteurs durablement. Nous leur permettons de se mettre en conformité, en se dotant des bonnes interfaces, mais aussi de répondre aux enjeux d’authentification et de vérification des certificats des clients et des tierces parties dans la durée », poursuit Marc Van Oost. La solution portée par AlSego permet aux banques de relever les défis à venir sans passer par une plateforme tierce, qui l’obligerait à déléguer la gestion des certificats eIDAS. «  A nos yeux, il parait indispensable que la banque reste seule détentrice des clefs de certificats de très haut niveau permettant de l’engager sur base de la signature électronique. L’offre de service associée à la solution que nous mettons en œuvre comprend le support et la gestion des interfaces dans le temps, mais aussi les étapes liées à l’intégration des divers TPP qui souhaitent se connecter. »

Penser au-delà de la mise en conformité

PSD2 n’est qu’une étape vers un écosystème bancaire plus ouvert (l’open banking). Les acteurs bancaires doivent s’y préparer. « L’enjeu est plus stratégique que technologique, assure Patrice Fritsch. Les banques doivent se donner la capacité d’évoluer dans un environnement appelé à se redessiner, avec l’émergence de nouveaux acteurs et services. » Le défi est grand. Les acteurs traditionnels doivent dès lors se mettre en mouvement dès à présent. « Ceux qui ne bougeront pas courent le risque de voir leur rôle limité à celui de fournisseur de données, poursuit Marc Van Oost. La valeur ajoutée sera créée par les prestataires de services qui trouveront la manière la plus pertinente de valoriser cette donnée. C’est dans cette dynamique que nous avons également décidé d’implémenter dans notre solution e-banking les connecteurs offrant la capacité à nos clients ASPSP d’agir en tant que TPP et de, par exemple, agréger les données provenant d’autres banques. ».

Le service de paiement dissocié de la gestion du compte

On peut comparer ce mouvement vers l’open banking à des transformations qui ont touché d’autres secteurs. Aujourd’hui, les plateformes de réservation d’hôtel ayant le plus de succès ne possèdent pas la moindre pierre. « Demain, les plus grandes sociétés de paiement ne seront pas dépositaires des comptes et des avoirs de leurs clients », assure Patrice Fritsch. Les banques doivent donc repenser leur business. « Dès aujourd’hui, les acteurs du secteur doivent se demander quels services à valeur ajoutée ils sont en capacité de proposer au départ de la donnée dont ils disposent et de celle qu’ils peuvent aller chercher auprès d’autres acteurs du marché. Dans ce contexte, il faut aller de l’avant, mener une réflexion qui s’étend bien au-delà de la mise en conformité réglementaire. »