Comment l'infrastructure ouverte connecte plusieurs prestataires de paiement

Les spécifications de l'API Open Banking définissent les méthodes et paramètres qui permettent les interactions entre les acteurs de l'écosystème fintech. Au Royaume-Uni, les prestataires de comptes de paiement accessibles en ligne doivent donner aux prestataires d'information sur les comptes et d'initiation de paiement l'accès à ces comptes, avec le consentement et l'authentification de l'utilisateur. Si votre couche fournit des services d'initiation de paiement, elle doit être agréée avant de se connecter.

Comment l'infrastructure ouverte permet-elle à une seule intégration de se connecter à plusieurs prestataires de paiement ?

Les spécifications de l'API Open Banking définissent les méthodes et paramètres qui permettent aux acteurs de l'écosystème fintech d'interagir. Leur API Read/Write est un ensemble d'API RESTful qui permet aux prestataires tiers d'accéder à des informations et d'initier des paiements pour les clients, en se connectant de manière sécurisée, efficace et avec le consentement du client aux prestataires gestionnaires de comptes.

Les prestataires de comptes de paiement accessibles en ligne doivent permettre aux prestataires tiers d'accéder aux comptes des utilisateurs, avec le consentement explicite de ceux-ci ; l'obligation d'accès repose donc côté compte.

L'accès est limité aux comptes de paiement accessibles en ligne, et chaque accès exige le consentement et l'authentification de l'utilisateur.

Quel statut réglementaire au Royaume-Uni une couche doit-elle posséder lorsqu'elle initie des paiements depuis des comptes détenus auprès d'autres prestataires ?

Une couche qui initie des paiements depuis des comptes détenus auprès d'un autre prestataire de services de paiement doit être un prestataire de services d'initiation de paiement. Selon les Payment Services Regulations 2017, un service d'initiation de paiement est un service en ligne qui initie un ordre de paiement à la demande d'un utilisateur de services de paiement, avec le consentement et l'authentification de cet utilisateur. Les Regulations ont placé pour la première fois sous régulation les services d'initiation de paiement et d'information sur les comptes.

La Financial Conduct Authority est chargée de veiller à ce que les prestataires d'information sur les comptes et d'initiation de paiement soient enregistrés ou agréés. Selon la FCA, une entreprise fournissant des services d'initiation de paiement doit être agréée et disposer d'un capital initial minimum de €50,000, ou davantage si elle fournit certains autres services de paiement. Vous devez également souscrire une assurance responsabilité civile professionnelle, comme doivent le faire les prestataires d'information sur les comptes et d'initiation de paiement.

Le seuil de capital s'applique aux prestataires d'initiation de paiement ; vérifiez donc le statut que votre couche exerce réellement avant de supposer une immatriculation plus légère.

Quelles exigences de sécurité, d'authentification et de consentement s'appliquent lorsqu'on connecte des prestataires via une infrastructure partagée ?

Chaque prestataire de services de paiement doit maintenir des mesures de sécurité adéquates pour protéger la confidentialité et l'intégrité des données de sécurité personnalisées des utilisateurs.

Un prestataire gestionnaire de compte doit permettre à un prestataire d'initiation de paiement ou d'information sur les comptes de s'appuyer sur les procédures d'authentification qu'il a fournies à l'utilisateur. Après le retrait du Royaume-Uni de l'UE, la FCA a pris des normes techniques britanniques sur l'authentification forte du client et les moyens de communication communs et sécurisés (SCA-RTS). L'EBA a élaboré des normes techniques de réglementation qui introduisent des normes pour des communications communes et sécurisées entre les ASPSP et les AISP ou PISP.

Un prestataire gestionnaire de compte ne peut refuser l'accès à un prestataire d'initiation de paiement ou d'information sur les comptes que pour des raisons raisonnablement justifiées et dûment étayées, liées à un accès non autorisé ou frauduleux, y compris une initiation non autorisée ou frauduleuse d'une opération de paiement. Un prestataire de services de paiement gestionnaire de compte peut refuser l'accès pour des raisons raisonnablement justifiées et dûment étayées, liées à un accès non autorisé ou frauduleux ; conformez donc votre connexion de manière à ce qu'un refus puisse être rattaché à ce type de motif étayé.

Quelles sont les dates d'entrée en vigueur de ces normes et règles, distinctes de leurs dates de publication ?

L'instrument britannique SCA-RTS a été pris le 26 novembre 2020, publié par la Financial Conduct Authority, et il est entré en vigueur le jour de la fin de la période de transition IP, soit à 11h du soir le 31 décembre 2020, immédiatement après l'entrée en vigueur de la régulation 106A des Payment Services Regulations 2017. Les règles de résilience opérationnelle de la Financial Conduct Authority sont entrées en vigueur le 31 mars 2022, et une disposition transitoire accorde aux entreprises jusqu'au 31 mars 2025 pour rester dans leurs tolérances d'impact. Selon Open Banking Limited, la page des spécifications de l'API indique que la version 4.0.1 est la dernière version, datée du 18 mars 2026 ; vérifiez donc la version visée par votre intégration par rapport à cette liste.

Les obligations de résilience elles-mêmes sont traitées dans l'article antérieur sur ce site ; considérez donc ces dates comme les contraintes de calendrier à vérifier avant de vous connecter.

Dates clés des normes et règles qui sous-tendent une connexion multi-prestataires

Sources

• API Specifications, Open Banking Limited, 2019-07-26T00:00:00.000Z
• Account information services (AIS) and payment initiation services (PIS), FCA, First published: 02/02/2017; Last updated: 17/09/2024
• The Payment Services Regulations 2017, legislation.gov.uk, consulté le 2 novembre 2026
• TECHNICAL STANDARDS ON STRONG CUSTOMER AUTHENTICATION AND COMMON AND SECURE METHODS OF COMMUNICATION INSTRUMENT 2020, Financial Conduct Authority, 26 novembre 2020
• OPERATIONAL RESILIENCE INSTRUMENT 2021, Financial Conduct Authority, 25 mars 2021