Comment l’UE s’attaque aux pratiques de derisking envers les fintech

Les points clés

Certaines fintech rencontrent des difficultés à ouvrir des comptes de cantonnement auprès des banques ou subissent leur fermeture brutale. Elles critiquent aussi un manque d’offres d’assurances pour couvrir les activités DSP2. Ces pratiques de derisking ont aussi été constatées par l’Autorité bancaire européenne.

La Commission européenne a introduit plusieurs dispositions pour y remédier dans la DSP3 et le PSR. Parmi elles : permettre aux banques centrales d’ouvrir des comptes de cantonnement aux fintech, obliger les banques à justifier leurs refus, créer un droit d’appel auprès des autorités de régulation, proposer une alternative à l’assurance avec des fonds propres…

Plusieurs de ces propositions, actuellement discutées par le Conseil et la Commission, font débat. Les banques avancent leur droit à refuser de servir les fintech pour des motifs commerciaux tandis que ces dernières critiquent des pratiques anticoncurrentielles.

Le derisking : définition

Le derisking consiste, pour des établissements financiers, à refuser la délivrance de certains produits et prestations aux clients identifiés comme risqués. S’il peut concerner des particuliers, il cible parfois aussi des fintech, en particulier les établissements de paiement (EP) et établissements de monnaie électronique (EME). Ces entités ont l’obligation de protéger les fonds de leurs clients, “soit par la fourniture d’une assurance couvrant les volumes des services de paiement, la fourniture d’une garantie analogue ou bien par un compte de cantonnement dédié, alimenté par les comptes de la clientèle et ouvert auprès d’un établissement de crédit de l’Union européenne”, décrit Géraldine Grandmougin, associée et responsable de la practice conformité réglementaire chez Oaklen Consulting. La plupart choisissent cette dernière option, “mais dans les faits c’est compliqué”, dénonce Fanny Rodriguez, secrétaire générale et COO de Fintecture et secrétaire de l’Afepame, association française des établissements de paiement et de monnaie électronique. “Actuellement, nos membres rencontrent des difficultés pour ouvrir des comptes de cantonnement auprès des banques commerciales, indiquait ainsi l’association en février 2024 dans un “position paper” sur la directive européenne révisée des services de paiement (DSP3) et sur le règlement associé (PSR). Peu d’institutions bancaires offrent ce service, et souvent, les régulateurs nationaux n’autorisent pas la sécurisation des fonds dans des comptes établis auprès de banques d’autres États membres de l’UE.”

Les fintech dénoncent également la clôture de comptes de cantonnement avec des délais très brefs, ne laissant pas le temps de trouver un autre partenaire bancaire, et amenant l’EP ou EME à devoir suspendre son activité. Si l’ACPR assure à mind Fintech que “nous n’observons pas de blocages sur la place française. Les établissements de paiement et de monnaie électronique (EP et EME) trouvent généralement des acteurs acceptant d’ouvrir un compte de cantonnement ou des garanties d’assurance”, la direction du Trésor reconnaît que “le derisking est un problème rencontré par les établissements de paiement” et qu’un “certain nombre d’acteurs ont des difficultés pour ouvrir un compte de cantonnement”.

L’Afepame en a d’ailleurs fait l’un de ses principaux chevaux de bataille, comme l’explique à mind Fintech son président Michaël Piccioloni. “L’association a alerté les pouvoirs publics à ce sujet, de la direction générale du Trésor en passant par la Banque de France et l’ACPR, et elle encourage ses membres à mentionner les cas de derisking pour illustrer notre propos auprès des autorités. Nous percevons un durcissement des relations entre les EP et les banques. Qu’une entreprise ait du mal à un moment donné à obtenir un compte de cantonnement, c’est possible. Mais que cela soit compliqué pour toute la place et que cela devienne systémique, ce n’est pas possible et cela doit être un sujet de vigilance.”

Bientôt plusieurs comptes de cantonnement par établissement ?

La DSP3 pourrait compliquer la tâche aux fintech puisque le projet “encourage à ouvrir des comptes de cantonnement dans deux établissements différents, ce qui pourrait encore compliquer la tâche aux établissements”, ajoute Fanny Rodriguez. L’article 9 du projet de directive européenne précise en effet que les EP doivent éviter “le risque de concentration pour les fonds protégés de leurs clients (…). En particulier, ils s’efforcent de ne pas protéger l’ensemble des fonds de consommation en les déposant auprès d’un seul établissement de crédit.”

L’Afepame, de son côté, indique dans son document de position soutenir l’idée mais sous certaines conditions. L’association estime par exemple que la diversification ne devrait pas être une obligation et que l’ouverture des comptes devrait être facilitée par plusieurs autres mesures. “C’est en effet une disposition controversée, qui paraît excessive pour certains même s’ils en comprennent l’objectif, qui est d’éviter la concentration du risque”, reconnaît Éric Ducoulombier, chef d’unité à la Commission européenne, au sein de la direction générale de la stabilité financière, des services financiers et de l’union des marchés de capitaux. Il n’est donc pas certain qu’elle survive à la codécision avec le Conseil.

Quelles sont les causes du derisking ?

D’abord, “ce n’est pas forcément rentable d’ouvrir des comptes de cantonnement à de petites fintech, et les banques ne veulent le faire que s’il y a une vraie activité commerciale derrière”, explique Fanny Rodriguez, de Fintecture. “Les régulateurs demandent aux banques de prendre de moins en moins de risques, notamment via les normes de Bâle 3, et le nombre de contrôles et de reporting requis augmente, donc le risque coûte de plus en plus cher, ce qui les poussent à cesser certains produits”, ajoute-t-elle. Chez Oaklen Consulting, Géraldine Grandmougin confirme. “Le sujet du derisking a notamment émergé avec le renforcement des règles de lutte contre le blanchiment autour de 2020, et touche tous les pays européens.” Mais d’autres spécialistes ne voient pas dans la rentabilité économique une justification suffisante, puisque les banques peuvent adapter leurs tarifs selon la taille du partenaire. Par ailleurs, elles disposent de moyens importants en termes de conformité.

Autre élément de contexte : la relation singulière entre banques et EP, à la fois concurrents sur le marché du paiement et partenaires pour la protection des fonds. Lorsque les fintech n’ont pas un accès satisfaisant aux comptes de cantonnement, cela pose des problèmes de concurrence et constituent une barrière à l’innovation. Quand les établissements de crédit assurent que leurs décisions sont justifiées par des manquements des EP aux règles anti-blanchiment, ces derniers y voient donc plutôt une volonté de limiter la concurrence. “Le coût, le risque, et peut-être aussi des raisons de concurrence ? Il est difficile de connaître les causes exactes du derisking, puisque les banques n’ont pas eu jusque-là à motiver leurs décisions”, confirme Éric Ducoulombier, chef d’unité à la Commission européenne.

Qu’en dit l’Autorité bancaire européenne ?

“Le sujet a été pris en charge par l’ABE, qui a émis en 2022 un avis pour recommander que la motivation de clôture ou de refus d’ouverture d’un compte de cantonnement soit strictement définie, et délimitée à des risques existants et justifiés”, explique Géraldine Grandmougin. L’autorité bancaire a en effet mené une enquête entre 2020 et 2021 auprès des autorités nationales et conclu que “le derisking touche toute l’Union européenne et affecte différent types de clients, dont les institutions de paiement et les institutions de monnaie électronique” et a un “impact négatif sur […] la lutte contre le crime financier, la promotion de l’inclusion financière et de la concurrence dans un marché unique.” Selon l’ABE, le derisking a forcé certains EP à fermer après des décisions soudaines de fermeture de compte de cantonnement. Il a aussi eu des répercussions sur les clients finaux ne pouvant plus utiliser leurs services financiers et disposer de leur argent. L’Autorité a donc listé un certain nombre de recommandations pour y remédier, en prévision de la révision de la seconde directive sur les services de paiement (DSP2).

Que propose la DSP3 ?

Alertée par l’ABE, la Commission européenne s’est donc emparée du sujet et a prévu de nouvelles dispositions dans la DSP3. “L’article 36 de la DSP2 prévoyait déjà des dispositions mais il n’était en effet pas jugé assez efficace par les fintech et l’ABE”, rapporte Éric Ducoulombier.

D’abord, la proposition de texte ouvre la possibilité que l’EP dépose les fonds sur un compte auprès d’un établissement de crédit d’un État membre ou “auprès d’une banque centrale, à la discrétion de cette dernière” (article 9). “Compte tenu des difficultés rencontrées par les établissements de paiement pour ouvrir et gérer des comptes de paiement auprès d’établissements de crédit, il est nécessaire de prévoir une option supplémentaire pour la protection des fonds des utilisateurs, à savoir la possibilité de détenir ces fonds auprès d’une banque centrale” (considérant 31 du préambule). Mais ce, uniquement si celles-ci le souhaitent : “cette possibilité devrait toutefois être sans préjudice de la possibilité pour une banque centrale de ne pas offrir cette option, sur la base de sa loi organique”.

Une disposition saluée par les fintech concernées – l’Afepame, par exemple, évoque “un progrès significatif” et “une avancée particulièrement bénéfique pour le secteur des services de paiement non bancaires” et demande même à ce que les banques centrales soient obligées de proposer ce service, plutôt que de laisser cette décision à leur discrétion. Aussi, elle “estime nécessaire que toute décision de refus d’ouverture d’un compte de cantonnement par une banque centrale soit justifiée par des critères objectifs, équitables et uniformisés”.

Mais la proposition a aussi été largement critiquée. À la direction générale du Trésor, on indique à mind Fintech qu’on “n’identifie pas le besoin de faire intervenir les banques centrales, car ce n’est pas leur rôle ni leur mission et car il n’y a pas de défaillance d’offre, puisque la plupart des grandes banques françaises de la place proposent des comptes de cantonnement. Les difficultés interviennent davantage sur l’obtention ou la clôture de ces comptes, qui peuvent mettre en difficulté les EP ou EME. Il y aurait même des problématiques juridiques car les banques centrales ont un statut spécifique et une indépendance prévus par les traités européens, et que l’ouverture de tels comptes de cantonnement pose difficulté en matière de politique monétaire et de stabilité financière.”

Un avis partagé par la Banque centrale européenne (BCE). “Ce n’est pas l’une des fonctions cœur des banques centrales de se substituer aux établissements de crédit pour proposer des services de cantonnement, a-t-elle tranché en juillet 2024. Les banques centrales européennes ne devraient pas proposer de comptes de cantonnement à des prestataires de paiement non-bancaires.” La BCE évoque même un risque d’impact sur la solidité du système financier. Résultat : la banque centrale lituanienne, qui proposait jusqu’ici des comptes de cantonnement, va devoir faire machine arrière, et aucune banque centrale de l’Eurosystème n’en proposera.

Pas de quoi retirer la proposition du texte, pour Éric Ducoulombier : “cela n’est de toute façon pas une obligation inconditionnelle, mais une possibilité d’ailleurs déjà donnée par le règlement sur le virement instantané adopté en février 2024. Nous aurions sans doute préféré une analyse au cas par cas de la BCE en fonction des risques plutôt qu’une approche horizontale générale, mais nous reconnaissons le fait que cette approche relève du pouvoir discrétionnaire que la réglementation européenne confère aux banques centrales. Il est toutefois important pour nous de laisser cette disposition, et nous verrons comment cela évolue”.

Que propose le PSR ?

Le nouveau règlement sur les services de paiement (PSR), qui accompagne la DSP3, propose quant à lui 17 mesures pour contrer les pratiques de derisking (article 32). D’abord, l’obligation de reporting des banques, déjà prévue par la DSP2 en cas de refus d’ouverture de compte de cantonnement, est élargie à l’interruption de la fourniture de service en cours de vie. Ensuite, le texte prévoit d’obliger les banques à mieux motiver leurs raisons : tout refus d’ouverture ou clôture devront être basés sur des motivations sérieuses, par exemple une suspicion raisonnable d’activité illégale ou de risque pour l’établissement de crédit, et ces raisons devront être fournies par écrit et motivées dans le détail. Dans son avis de juillet 2024, la BCE indique espérer que ces dispositions règleront les problèmes rencontrés par les EP et EME, si elles entrent en vigueur.

Le PSR prévoit que l’ABE “développera une proposition de standards techniques précisant un format harmonisé et les informations devant être contenues dans la notification et les motifs”. “Désormais, il faut statuer jusqu’où pousser le curseur pour le droit au compte des non banques, jusqu’où aller dans l’obligation des banques de l’ouvrir, quelles exceptions reconnaître, comment éviter que le risque de blanchiment soit brandi par les banques pour s’affranchir de leurs obligations même quand il n’est pas justifié…”, résume Éric Ducoulombier.

Ces dispositions font débat, les banques invoquant leur liberté de pouvoir refuser des clients pour des motifs commerciaux. “Toutes les banques n’offrent pas ce service ou peuvent décider en cours de vie de mettre fin aux relations contractuelles avec les EP/EME”, rappelle également l’ACPR à mind Fintech. “Les autorités se heurtent au principe du droit de la banque à refuser un client”, constate Michaël Piccioloni, de l’Afepame.

En encadrant précisément les raisons pouvant justifier un refus, les raisons commerciales devraient être écartées, espère Éric Ducoulombier. Dans son position paper, l’Afepame souligne d’ailleurs “quelques lacunes” dans la proposition du PSR, “notamment en ce qui concerne les motifs de refus de compte par les banques”, et recommande “que les banques fournissent des informations détaillées sur les risques évalués et proposent des contrôles correspondants, ne refusant l’accès que si l’EP refuse de mettre en œuvre ces contrôles”.

Autre mesure phare du PSR et motif de crispation : les EP recevant un refus d’ouverture ou une annonce de clôture “pourront faire appel auprès d’une autorité compétente”. Une proposition qui fait débat actuellement au sein du Conseil, certains États membres considérant que les autorités réglementaires ne peuvent faire office d’organe d’appel. “Ce que l’on souhaitait avec ce droit d’appel, c’est de donner une possibilité de recours aux fintech, en dehors des tribunaux, pour que l’autorité examine si les conditions de refus ou de clôture ont bien été satisfaites et que les suspicions de pratiques anticoncurrentielles soient écartées”, explique Éric Ducoulombier.

“Mais le texte actuel ne précise pas quelle sera cette autorité ni les modalités concrètes de l’exercice du droit d’appel, comme le délai sous lequel il pourra être réalisé…”, souligne un porte-parole de la direction générale du Trésor. Le gouvernement cherche à trouver un compromis sur son exercice. “Il faudrait clarifier des cas dans lesquels la banque peut refuser l’ouverture ou clôturer un compte, et laisser le temps aux établissements de paiement de trouver un autre partenaire. Et il faut que ces motifs fassent l’objet d’un contrôle dont les modalités restent à définir.”

Convention de cantonnement

Pour ouvrir un compte de cantonnement à un EP ou un EME, la banque doit faire approuver une convention de cantonnement par l’ACPR – document de quelques pages décrivant les contours du dispositif. Certaines fintech décrivent un processus trop long pénalisant leur activité. “Chez Fintecture, la banque a eu besoin d’envoyer 4 versions différentes à l’ACPR et cela a pris 18 mois pour faire signer la convention, raconte Fanny Rodriguez. Les autres membres de l’Afepame ont en moyenne tous eu besoin d’au moins deux ans pour la valider. Et en attendant d’avoir un compte de cantonnement, on ne peut pas lancer certains services, comme l’ouverture de comptes pour les marchands, l’exécution de prélèvements… Chez Fintecture, nous avions l’agrément, nous avions signé des contrats avec de gros marchands, mais nous ne pouvions pas leur ouvrir de compte. Et en interne, cela nécessite de mobiliser des ressources à plein temps sur ces sujets.” L’Afepame réclame ainsi que “les délais de traitement des demandes d’approbation des contrats de compte de cantonnement par les régulateurs nationaux soient rapides, c’est à dire en tout état de cause inférieurs à deux mois, en conformité avec des normes réglementaires précises”. Autre proposition : que “l’EBA rédige des normes techniques réglementaires (RTS) qui précisent les exigences des autorités nationales compétentes dans les contrats entre un EP/EME et une banque pour cantonner les fonds”, ce qui devrait favoriser “une application cohérente et équitable des pratiques dans l’ensemble de l’UE”. Mais le sujet n’est pour l’instant pas adressé par la nouvelle réglementation européenne.

Les assurances DSP2, difficiles à dénicher

Outre les difficultés liées aux comptes de cantonnement, les fintech peinent parfois à s’assurer. La DSP2 impose ainsi aux acteurs open banking agréés AIS ou PIS (accès aux informations de comptes et initiation de paiement) une assurance responsabilité civile professionnelle relative, dans le premier cas, à l’usage des données, et dans le second, à la mauvaise exécution des paiements. Une fois par an, les établissements doivent revoir cette assurance et prouver à l’ACPR que le contrat est valable, rappelle l’ACPR dans une présentation de 2018.

“En France, nous n’avons trouvé aucun assureur pour nous fournir cette assurance, hormis AIG… Mais AIG nous a annoncé en décembre il y a deux ans la multiplication par quatre de ses tarifs en janvier, le mois suivant. Quand un monopole se crée, les prix deviennent exorbitants, regrette Fanny Rodriguez, de Fintecture. Nous sommes passés chez un acteur portuguais, mais cela a été compliqué de le faire valider par l’ACPR.” Chez Oaklen, Géraldine Grandmougin confirme que “peu d’assureurs proposent ces produits car ils connaissent mal ces activités et les risques associés. Il faut encore beaucoup de pédagogie sur le sujet”. L’autorité bancaire évoque en effet le sujet dans un avis publié en juin 2022 à propos de la révision de la DSP2 et souligne notamment le manque d’offres et, lorsqu’elles existent, le manque de clarté des clauses. L’ABE propose d’introduire des caractéristiques plus précises, mais aussi d’introduire une alternative à l’assurance pendant le processus d’autorisation.

Demande entendue par la Commission, comme le montre le projet de texte de la DSP3 : “il est admis que les prestataires peuvent détenir un capital initial au lieu d’une assurance responsabilité civile professionnelle étant donné que, comme en atteste l’expérience passée, l’obligation de souscrire une assurance au stade de l’agrément peut être difficile à remplir.” Une disposition qui, là encore, fait débat. “Certains demandent si les fonds propres peuvent vraiment offrir les mêmes caractéristiques qu’une assurance”, résume Éric Ducoulombier.

Le Parlement européen a d’ailleurs restreint la proposition de la Commission. Désormais, le texte prévoit que l’exemption ne pourra être valable que durant la période initiale, avec un montant d’au moins 50 000 euros, alors que la version de la Commission prévoyait qu’elle pourrait rester valable ensuite.

Accès aux infrastructures de paiement

D’autres dispositions législatives pourraient répondre au problème du derisking en affranchissant certains EP d’une autre relation de dépendance vis-à-vis des banques : celle de l’accès indirect aux infrastructures de paiement, comme le système Target de la BCE ou bien l’EBA Clearing et la STET. “Comme nous ne parvenons pas à avoir des comptes de cantonnement ou des assurances, l’une des solutions pourrait être de demander un accès direct aux infrastructures pour le faire nous-mêmes, ce qui nous éviterait d’être participant indirect via une banque pour participer à l’infrastructure”, explique Fanny Rodriguez.

Le règlement relatif au virement instantané a déjà changé la donne en permettant aux EP et EME d’accéder en direct aux systèmes de paiement, sous un certain nombre de conditions puisque leur corpus réglementaire est plus léger que celui des banques (article 4, modifications de la directive 98/26/CE), et la disposition est aussi présente dans la proposition de DSP3. Chaque État membre devra définir ces conditions. “Tous les EP n’auront pas vocation à le faire car certains modèles ne le justifieront pas”, souligne-t-on à la direction générale du Trésor. En permettant aux établissements de paiement les plus importants de s’affranchir des banques pour accéder directement aux systèmes de paiement, ce dispositif pourrait rétablir un “level playing field” entre les acteurs.” Chez Fintecture, on “demande à ce que les contraintes et modalités d’accès prennent en compte notre taille, et que nous n’ayons pas les mêmes exigences que les établissements bancaires”.

Là encore, les banques font obstacle, tandis que plusieurs associations de fintech se sont regroupées pour faire appel à la Commission européenne et réclamer cet accès direct. Selon elle, l’accès indirect favorise le derisking, car “les banques ont un poids disproportionné dans les opérations, le business model, les programmes de conformité ou même les produits des non-banques” et “elles peuvent exprimer des inquiétudes sur la conformité avec les lois anti-blanchiment et de lutte contre le terrorisme qui ont mené à du derisking”.

Reste maintenant à savoir si ces comptes pourront être considérés comme des comptes de cantonnement. “C’est là que réside tout le débat, résume Éric Ducoulombier. L’accès direct pour les EP n’est pas questionné mais son utilisation pour le cantonnement des actifs n’est pas acceptée par tous.” Dans cette optique, un EP pourrait même fournir des comptes de cantonnement à d’autres, pour complètement s’affranchir des partenaires bancaires.

Adoption prévue en 2025

Les discussions entre le Conseil et la Commission se poursuivent désormais sous la présidence hongroise, qui espère aboutir à une approche générale avant Noël, indique Éric Ducoulombier. Suivront les trilogues avec le Parlement, pour une adoption prévue d’ici l’été 2025 et une entrée en vigueur 18 mois plus tard.

Aude Fredouelle