La Bangko Sentral ng Pilipinas (BSP) demande à ses institutions supervisées (BSIs) de mettre en place des contrôles renforcés fondés sur le risque afin de renforcer la sécurité et l'intégrité du système de paiement national.

Dans un projet de circulaire, la banque centrale a proposé des amendements au Manual of Regulations for Payment Systems (MORPS) qui exigeraient des BSIs qu'elles établissent des mécanismes renforçant les contrôles sur leurs activités de paiement. Cette initiative s'inscrit dans le mandat de supervision plus large de la BSP sur le système de paiement national, sur lequel la banque centrale s'appuie de plus en plus à mesure que les paiements numériques et les transactions QR se développent dans tout le pays.

« Les institutions supervisées par la BSP, y compris les Operators of Payment Systems (OPS), les Payment Service Providers (PSPs) et les autres participants concernés au système de paiement national, doivent établir et maintenir des contrôles fondés sur le risque offrant une visibilité suffisante, exacte, actuelle et opportune sur les personnes, les marchands, les intermédiaires, les comptes, les canaux de paiement, les transactions et les flux de règlement liés à l'activité de paiement, proportionnellement à leurs rôles respectifs », a déclaré la banque centrale.

Diligence raisonnable et classification des risques plus strictes

Les règles proposées obligeraient les BSIs à mener une diligence raisonnable stricte, à réaliser des évaluations des risques et à mettre en place des cadres de reporting couvrant leurs activités de paiement, y compris leurs arrangements avec les marchands.

« Lors de son évaluation des risques, un OPS-MAL (licence d'acquisition de marchands) ou un BSFI (institution financière supervisée par la BSP) autorisé à exercer des activités d'acquisition de marchands doit attribuer une classification des risques reflétant les risques découlant du marchand et des bénéficiaires ultimes dont les transactions sont traitées dans le cadre de l'arrangement », a indiqué la BSP.

« Par exemple, un marchand ne serait pas considéré comme à faible risque dans une situation où son bénéficiaire ultime serait classé à haut risque. »

La banque centrale interdit aux BSIs de faciliter tout arrangement de paiement qui masque les identités, rompt la redevabilité, empêche la reconstitution des transactions ou compromet la détection, l'investigation ou le signalement des crimes financiers.

Dans le cadre des arrangements marchands directs, les BSIs ne pourraient pas intégrer de marchands liés à des activités illégales. Les marchands à haut risque ne pourraient être intégrés qu'après une diligence raisonnable renforcée, un suivi renforcé et l'imposition de limites de transaction.

Le projet de circulaire identifie comme marchands ou activités à haut risque ceux impliquant les casinos et les opérateurs de jeux d'argent en ligne ; les administrateurs de systèmes de jeu et les opérateurs de plateformes ; les fournisseurs licites de contenus ou de biens destinés aux adultes ; les fournisseurs de services d'actifs virtuels sous licence ; et les fournisseurs de services monétaires.

Un arrangement marchand direct, tel que défini dans le projet de circulaire, est un dispositif d'acceptation des paiements dans lequel une BSI autorisée entretient une relation directe avec le marchand, garantissant qu'aucun intermédiaire n'accepte, ne traite, n'encaisse, ne reçoit, n'alloue ni ne règle les paiements en leur nom.

Pour les marchands et intermédiaires étrangers, les BSIs devraient vérifier l'existence juridique, les risques juridictionnels, la légitimité des sites web et l'exposition aux sanctions, et s'assurer que les registres peuvent être consultés sans entrave avant l'intégration.

Nouvelles règles pour les arrangements marchands à plusieurs niveaux

La banque centrale introduit également des règles pour les arrangements marchands à plusieurs niveaux — des dispositifs plaçant un ou plusieurs intermédiaires entre la BSI acquéreuse et le marchand sous-jacent pour soutenir le traitement, le routage, l'encaissement ou le règlement des paiements.

Les BSIs ne peuvent conclure de tels arrangements que si les intermédiaires participants sont dûment autorisés, si les rôles de toutes les parties sont clairement répartis et si les flux de paiement restent entièrement traçables, depuis le compte d'origine jusqu'au marchand sous-jacent et au bénéficiaire ultime.

Ces arrangements doivent également être adossés à un accord-cadre robuste garantissant à l'institution acquéreuse un accès opportun à des données transactionnelles complètes et des droits exécutoires d'audit, de surveillance et de restriction des activités, afin d'éviter toute atteinte à la visibilité ou à la redevabilité.

Une fois les périodes transitoires achevées, les BSIs maintenant des arrangements marchands à plusieurs niveaux devraient soumettre trimestriellement leur inventaire, accompagné d'une liste des marchands sous-jacents et intermédiaires restreints, suspendus ou dont le contrat a été résilié.

Elles devraient également notifier tout changement significatif de leur arrangement au moins 30 jours ouvrés avant sa date d'entrée en vigueur, et soumettre leur revue annuelle ou rapport d'assurance indépendant chaque année dans les 120 jours suivant la clôture de leur exercice civil ou fiscal.

Base centralisée de données marchands QR

Par ailleurs, la BSP souhaite établir une base de données nationale centralisée des marchands à code à réponse rapide (QR) afin de renforcer la prévention de la fraude dans le pays et de sécuriser les transactions QR. Les paiements QR sont devenus au Philippines un canal courant d'escroqueries, et la base proposée vise à fournir aux prestataires de paiement un registre partagé et faisant autorité des marchands légitimes, consultable en temps réel.

La base de données devra être lancée dans les 90 jours et être pleinement opérationnelle au plus tard un an après l'entrée en vigueur des amendements pertinents du MORPS.

Pour cette base, les prestataires de services de paiement devraient soumettre et tenir à jour leurs profils d'activité essentiels, comprenant les identifiants uniques des marchands et QR, les dénominations commerciales et commerciales enregistrées, les classifications d'activité, les détails de licence et les adresses physiques ou numériques des magasins.

Les marchands, de leur côté, devront consigner dans la base leurs registres relatifs aux PSP associés ; aux comptes de règlement ; à l'appareil, au terminal ou au canal utilisé ; aux structures de bénéficiaires effectifs ; ainsi qu'à leur date d'intégration, leur classification des risques en temps réel et leur statut de filtrage des sanctions, parmi d'autres informations.

La BSP exigerait en outre que tous les registres de marchands actifs soient entièrement migrés et validés dans la base au plus tard 15 mois après l'entrée en vigueur des règles.

La base de données informerait en temps réel tous les PSP participants des changements de statut des marchands — tels que les suspensions ou résiliations pour fraude — la BSP obligeant les parties concernées à mener immédiatement des revues de risque.

Dans les six mois, l'organisme de gestion du système de paiement (PSMB) devra soumettre à la BSP pour approbation le cadre de gouvernance complet, les normes de données, les spécifications d'interface de programmation applicative, les exigences de sécurité et le plan de mise en œuvre de la base de données.

Dès l'entrée en vigueur de la circulaire, la BSP suspendra également pendant un an l'acceptation et le traitement de tous les nouveaux enregistrements d'OPS afin de mener un examen complet de ses cadres de licence et de taxonomie. — Katherine K. Chan