DSP3 et RSP : serez-vous au rendez-vous pour la prochaine réforme des paiements en Europe?

Europe se prépare pour la prochaine réforme d’envergure du règlement sur les paiements. En juin 2023, la Commission européenne a proposé une troisième directive sur les services de paiement (DSP3) ainsi qu’un nouveau règlement sur les services de paiement (RPS), en s’appuyant sur le cadre d’application établi par la deuxième directive sur les services de paiement (DSP2). Ces propositions répondent aux lacunes réglementaires apparues au fil de l’évolution des paiements depuis l’entrée en vigueur de la DSP2. Elles visent à harmoniser l’application de la réglementation au sein de l’Union européenne, à renforcer la prévention de la fraude et la protection des consommateurs, ainsi qu’à optimiser les systèmes bancaires ouverts.

Les points clés de la DSP3 et du RSP

La première proposition, la DSP3, modernise les cadres relatifs à l’octroi de licences et aux autorisations, de même que les règles de supervision, notamment en ce qui concerne l’octroi de licences, les exigences de protection, les mécanismes de mise en application et les sanctions. La proposition centrale, le RSP, établit les règles opérationnelles applicables aux services de paiement, notamment en matière de transparence, de prévention de la fraude, d’authentification forte du client, de responsabilité et de protocoles de systèmes bancaires ouverts.

La réforme s’appuie sur deux types d’actes législatifs de l’Union européenne, et la distinction entre les deux est importante. La DSP3 est une directive, c’est-à-dire que chaque pays membre de l’Union européenne doit intégrer ses exigences dans son droit national. Ainsi, la mise en application des règles sous-jacentes peut varier d’un pays à l’autre. Le RSP est une loi, c’est-à-dire que ses exigences s’appliquent à l’ensemble de l’Union européenne. En ajoutant des règlements au RSP, la réforme vise à réduire les différences à l’échelle nationale et à établir un cadre réglementaire des paiements plus cohérent en Europe.

DSP3 et RSP : évolution et échéancier

La DSP3 et le  RSP s’appuient sur les versions précédentes des cadres réglementaires sur les paiements de l’Union européenne. Revenir sur l’évolution du cadre d’application aide à replacer les changements proposés dans leur contexte. La première directive sur les services de paiement (DSP1), mise en place en 2007, a établi le cadre juridique original pour les services de paiements. La DSP2 a suivi en 2013 pour introduire les systèmes bancaires ouverts et renforcer l’authentification du client, tout en ouvrant davantage le marché à la concurrence et en établissant des normes pour les protocoles d’interfaces de programmation d’applications (API) ouvertes

La Commission européenne a publié ses propositions pour la DSP3 et le RSP en juin 2023. En avril 2026, le conseil du Comité des représentants permanents a approuvé les textes issus des trilogues, et les textes de compromis adoptés ont été publiés.

L’adoption officielle des textes de compromis finaux et leur publication dans le Journal officiel devraient avoir lieu à la fin 2026. Après sa publication, la loi entrera en vigueur 20 jours plus tard.

Les fournisseurs de services de paiement devraient disposer d’un délai de transition de 18 à 24 mois avant l’entrée en application complète des règles, leur mise en œuvre étant actuellement prévue pour 2028.

Principales raisons expliquant la nécessité d’une réforme des paiements

La DSP2 a considérablement changé le marché des paiements en Europe et renforcé les mesures de protection pour les utilisateurs des services de paiement. Toutefois, depuis son introduction, les pratiques de paiement des particuliers et des entreprises ont continué d’évoluer, ce qui a davantage mis en lumière les limites du cadre existant. Voici quelques-unes de ces limites :

• Fragmentation – Puisque la DSP2 a été mise en œuvre sous forme de directive, les pays membres de l’Union européenne l’ont adoptée de différentes façons. Pour les organisations qui exercent leurs activités dans plusieurs pays, ces différences peuvent faire planer une incertitude sur le plan juridique, en plus d’ajouter une complexité opérationnelle.
• Obstacles aux systèmes bancaires ouverts – La DSP2 a permis l’essor des systèmes bancaires ouverts, mais l’expérience varie d’un marché à l’autre. Les écarts en ce qui concerne la qualité des API, la conception des interfaces, la performance et les normes d’accès compliquent la mise en place et le déploiement à grande échelle de services cohérents par les fournisseurs tiers.
• Évolution des tendances en matière de fraude – La DSP2 a renforcé la lutte contre de nombreuses formes de fraude liées aux paiements non autorisés, notamment grâce à la mise en place de l’authentification forte du client. Cependant, les techniques de fraude ont évolué depuis. Les arnaques, l’usurpation d’identité et le piratage psychologique peuvent convaincre les gens à autoriser eux-mêmes des paiements, bien qu’ils aient subi de la manipulation.
• Écarts en matière de protection des consommateurs – Les paiements sont devenus plus rapides, plus numériques et plus complexes. Les règles encadrant la responsabilité, la gestion des fraudes et la transparence des paiements doivent donc tenir compte des pratiques de paiement actuelles des clients.

Principaux changements concernant la prévention de la fraude et le suivi des transactions

La réforme prévoit une approche plus vaste de la lutte contre la fraude aux paiements pour inclure la façon dont les fournisseurs authentifient l’identité de leurs clients, vérifient les destinataires, détectent les activités suspectes et transmettent l’information. Elle vise également à clarifier le partage des responsabilités lorsqu’une arnaque aboutit à un paiement. Voici les principaux changements apportés liés aux paiements :

• Authentification forte du client – L’authentification forte du client demeure la pierre angulaire du cadre réglementaire sur les paiements de l’Union européenne. La réforme devrait clarifier les modalités d’application de ces règles à l’ensemble du marché et réduire les difficultés qui peuvent être évitées, tout en maintenant une sécurité adéquate.
• Responsabilité – Les changements les plus importants pourraient concerner la responsabilité. La réforme devrait clarifier les responsabilités dans les cas d’arnaque et renforcer le rôle des fournisseurs dans la détection en amont des transactions suspectes. De plus, elle devrait clarifier le partage des responsabilités, y compris celles liées à la réception du paiement par le fournisseur.
• Vérification des bénéficiaires – Les propositions mettent davantage l’accent sur la vérification des détails de paiement et de l’identité du bénéficiaire avant que la transaction ne soit effectuée. Cette initiative fait partie d’un effort plus large afin de prévenir la fraude avant que l’argent ne soit prélevé sur le compte du client.
• Surveillance et détection des actes frauduleux – La DSP3 et le RSP ne sont pas des lois encadrant la lutte contre le blanchiment d’argent. Néanmoins, elles renforcent les attentes liées à la prévention de la fraude et à la surveillance des transactions, en prévoyant notamment des contrôles adaptés pour identifier les activités de paiement suspectes.
• Échange de données – Les propositions reconnaissent également que les fournisseurs ne peuvent pas prévenir la fraude seuls. L’échange de renseignements pertinents entre les différents fournisseurs de services de paiement risque d’occuper une plus grande place.
• Autres changements importants : cohérence accrue, imputabilité renforcée et contrôle amélioré

La réforme vise à apporter d’autres changements à plus large portée, comme une harmonisation des règles de l’ensemble du RSP, des exigences plus claires en matière de conformité pour les institutions de paiement et de monnaie électronique ainsi qu’un accès facilité à l’infrastructure de paiement et aux comptes bancaires pour les fournisseurs autres que les banques. Les fournisseurs peuvent aussi s’attendre à des exigences de transparence plus rigoureuses de même qu’à une surveillance renforcée de l’ensemble des écosystèmes de paiement et de détection de la fraude.

Combinées, ces mesures visent à instaurer un cadre d’applications plus cohérent, une imputabilité plus transparente et des mesures de contrôle plus rigoureuses sur l’ensemble du marché.

Que représentent la DSP3 et le RSP pour les fournisseurs de services de paiement

La DSP2 constituait une réforme d’envergure. Elle a permis de renforcer les protections en matière de paiement, de favoriser la croissance des paiements numérique et de contribuer à faire de l’Europe un chef de file des systèmes bancaires ouverts. Son influence s’est également fait sentir en dehors de l’Union européenne, notamment au Royaume-Uni, au Canada et dans certaines régions d’Asie.

La DSP3 et le RSP visent à s’inscrire dans la continuité des versions précédentes. Ils ont pour objectif de renforcer la prévention de la fraude, de clarifier les responsabilités, d’optimiser le fonctionnement des systèmes bancaires ouverts et d’assurer une application plus cohérente du cadre réglementaire dans toute l’Union européenne.

Pour les fournisseurs de services de paiement, l’orientation est claire : les attentes relatives à la prévention de la fraude, à la surveillance des transactions et à la protection des clients continuent de croître. Se préparer en vue du prochain cadre d’applications implique de comprendre les répercussions que ces exigences pourraient avoir sur les activités, les technologies et les relations dans l’ensemble de l’écosystème des paiements.

CGI collabore avec les institutions financières afin de moderniser leurs capacités de paiement, en plus de renforcer la prévention de la fraude et la surveillance des transactions selon l’évolution des exigences. Apprenez-en davantage sur notre expertise ainsi que nos solutions de paiements et de détection de la fraude.