La Bangko Sentral ng Pilipinas (BSP) intende imporre controlli basati sul rischio più severi alle proprie istituzioni vigilate (BSI), al fine di rafforzare la sicurezza e l'integrità del sistema nazionale dei pagamenti.

Attraverso una circolare in bozza, la banca centrale ha proposto emendamenti al Manual of Regulations for Payment Systems (MORPS) che richiederebbero alle BSI di istituire meccanismi volti a rinforzare i controlli sulle proprie attività di pagamento. L'iniziativa rientra nel più ampio mandato di vigilanza della BSP sul sistema nazionale dei pagamenti, su cui la banca centrale ha fatto sempre più affidamento man mano che i pagamenti digitali e le transazioni basate su QR si diffondono nel Paese.

«Le BSP-Supervised Institutions, compresi gli Operators of Payment Systems (OPS), i Payment Service Providers (PSP) e gli altri partecipanti rilevanti al sistema nazionale dei pagamenti, dovranno istituire e mantenere controlli basati sul rischio che garantiscano una visibilità sufficiente, accurata, aggiornata e tempestiva sulle persone, i merchant, gli intermediari, i conti, i canali di pagamento, le transazioni e i flussi di regolamento coinvolti nell'attività di pagamento, in proporzione ai rispettivi ruoli», ha dichiarato la banca centrale.

Due diligence più rigorosa e classificazione del rischio

Le norme proposte obbligherebbero le BSI a effettuare una due diligence rigorosa, a condurre valutazioni del rischio e a istituire quadri di rendicontazione relativi alle proprie attività di pagamento, comprese le disposizioni con i merchant.

«Nella propria valutazione del rischio, un OPS-MAL (merchant acquisition license) o una BSFI (BSP-supervised financial institution) autorizzata a operare nell'acquisizione di merchant dovrà assegnare una classificazione del rischio che rifletta i rischi derivanti dal merchant e dai beneficiari finali le cui transazioni sono trattate nell'ambito della disposizione», ha affermato la BSP.

«Ad esempio, un merchant non verrebbe considerato a basso rischio in una situazione in cui il suo beneficiario finale fosse classificato ad alto rischio».

La banca centrale vieta alle BSI di facilitare qualsiasi disposizione di pagamento che oscuri le identità, comprometta le responsabilità, impedisca la ricostruzione delle transazioni o ostacoli il rilevamento, l'indagine o la segnalazione dei reati finanziari.

Nell'ambito delle disposizioni dirette con i merchant, alle BSI sarebbe proibito inserire merchant collegati ad attività illegali. I merchant ad alto rischio potrebbero essere inseriti solo previa due diligence rafforzata, monitoraggio potenziato e imposizione di limiti alle transazioni.

La circolare in bostra identifica come merchant o attività ad alto rischio quelli che coinvolgono casinò e operatori di gioco d'azzardo online; amministratori di sistemi di gioco e operatori di piattaforme; fornitori legali di contenuti o beni orientati a un pubblico adulto; fornitori autorizzati di servizi relativi a virtual asset; e fornitori di servizi monetari.

Una disposizione diretta con il merchant, come definita nella circolare in bozza, è un'configurazione di accettazione dei pagamenti in cui una BSI autorizzata intrattiene una relazione diretta con il merchant, garantendo che nessun intermediario accetti, elabori, riscuota, riceva, allochi o regoli pagamenti per conto loro.

Per i merchant e gli intermediari stranieri, le BSI dovrebbero verificare l'esistenza legale, i rischi giurisdizionali, la legittimità dei siti web e l'esposizione a sanzioni, e garantire che i registri possano essere recuperati senza ostacoli prima dell'inserimento.

Nuove norme per le disposizioni merchant a più livelli

La banca centrale introduce inoltre norme per le disposizioni merchant a più livelli, ovvero configurazioni che collocano uno o più intermediari tra la BSI acquirente e il merchant sottostante per supportare l'elaborazione, l'instradamento, la riscossione o il regolamento dei pagamenti.

Le BSI potranno stipulare tali disposizioni solo se gli intermediari partecipanti sono debitamente autorizzati, se i ruoli di tutte le parti sono chiaramente assegnati e se i flussi di pagamento rimangono pienamente tracciabili dal conto di origine fino al merchant sottostante e al beneficiario finale.

Tali disposizioni dovranno inoltre essere sostenute da un accordo di governo solido, che garantisca all'istituzione acquirente un accesso tempestivo ai dati transazionali completi e diritti esigibili di audit, monitoraggio e restrizione delle attività, al fine di prevenire qualsiasi compromissione della visibilità o della responsabilità.

Al termine dei periodi transitori, le BSI che mantengono disposizioni merchant a più livelli sarebbero tenute a presentare trimestralmente il proprio inventario, insieme a un elenco dei merchant sottostanti e degli intermediari limitati, sospesi o cessati.

Dovranno inoltre presentare una comunicazione di qualsiasi modifica sostanziale della propria disposizione almeno 30 giorni lavorativi prima della data di efficacia, e presentare la revisione annuale o la relazione di assicurazione indipendente ogni anno entro 120 giorni dalla chiusura dell'anno solare o fiscale.

Database centralizzato dei merchant QR

Separatamente, la BSP intende istituire un database nazionale centralizzato dei merchant con codici quick-response (QR) per rafforzare la prevenzione delle frodi nel Paese e rendere più sicure le transazioni basate su QR. I pagamenti via QR sono diventati in Filippine un canale comune per le truffe, e il database proposto è destinato a fornire ai fornitori di servizi di pagamento un registro condiviso e autorevole dei merchant legittimi, consultabile in tempo reale.

Il database dovrà essere lanciato entro 90 giorni ed essere pienamente operativo non oltre un anno dall'entrata in vigore dei pertinenti emendamenti al MORPS.

Per il database, i payment service provider (PSP) dovranno presentare e mantenere aggiornati i propri profili aziendali principali, inclusi credenziali univoche di merchant e QR, denominazioni aziendali e commerciali registrate, classificazioni delle attività, dettagli sulle licenze e indirizzi fisici o digitali dei punti vendita.

I merchant, da parte loro, dovranno conservare nel database i registri relativi ai PSP associati; ai conti di regolamento; al dispositivo, terminale o canale utilizzato; alle strutture di proprietà effettiva; nonché alla data di inserimento, alla classificazione del rischio in tempo reale e allo stato di screening delle sanzioni, tra le altre informazioni.

La BSP richiederebbe inoltre che tutti i record dei merchant attivi siano completamente migrati e convalidati nel database non oltre 15 mesi dall'entrata in vigore delle norme.

Il database informerà in tempo reale tutti i PSP partecipanti dei cambiamenti di stato dei merchant — come sospensioni o cessazioni dovute a frode — con la BSP che impone alle parti interessate di condurre immediate revisioni del rischio.

Entro sei mesi, il payment system management body (PSMB) dovrà presentare alla BSP per l'approvazione il quadro di governance completo, gli standard dei dati, le specifiche delle application programming interface, i requisiti di sicurezza e il piano di implementazione del database.

All'entrata in vigore della circolare, la BSP sospenderà inoltre per un anno l'accettazione e l'elaborazione di tutte le nuove registrazioni di OPS, mentre condurrà una revisione completa dei propri quadri di licenza e tassonomia. — Katherine K. Chan