De Bangko Sentral ng Pilipinas (BSP) wil dat haar onder toezicht staande instellingen (BSI's) strengere risicogebaseerde controles toepassen om de veiligheid en integriteit van het nationale betalingssysteem te versterken.

In een ontwerpcirculaire heeft de centrale bank voorgestelde wijzigingen op de Manual of Regulations for Payment Systems (MORPS) gepresenteerd die BSI's zouden verplichten mechanismen op te zetten die de controles op hun betalingsactiviteiten versterken. De stap maakt deel uit van het bredere toezichtmandaat van de BSP over het nationale betalingssysteem, waarop de centrale bank steeds meer leunt nu digitale betalingen en QR-transacties zich door het hele land verspreiden.

"BSP-Supervised Institutions, including Operators of Payment Systems (OPS), and Payment Service Providers (PSPs), and other relevant participants in the national payment system shall establish and maintain risk-based controls that provide sufficient, accurate, current, and timely visibility over the persons, merchants, intermediaries, accounts, payment channels, transactions, and settlement flows involved in payment activity, commensurate with their respective roles," aldus de centrale bank.

Strengere due diligence en risicoclassificatie

De voorgestelde regels zouden BSI's verplichten strikte due diligence uit te voeren, risicobeoordelingen te doen en rapportagekaders op te zetten die hun betalingsactiviteiten dekken, inclusief merchantovereenkomsten.

"In its risk assessment, an OPS-MAL (merchant acquisition license) or a BSFI (BSP-supervised financial institution) authorized to engage in merchant acquisition shall assign a risk classification that reflects the risks arising from the merchant and ultimate beneficiaries whose transactions are processed under the arrangement," zo meldde de BSP.

"For instance, a merchant would not be considered low risk in a situation in which its ultimate beneficiary would be classified as high risk."

De centrale bank verbiedt BSI's om betalingsregelingen te faciliteren die identiteiten verhullen, verantwoordelijkheid ondermijnen, de reconstructie van transacties belemmeren of de opsporing, onderzoek of rapportage van financiële criminaliteit belemmeren.

Bij directe merchantovereenkomsten zou het BSI's verboden zijn merchants aan te nemen die verbonden zijn met illegale activiteiten. Merchants met een hoog risico zouden alleen mogen worden aangenomen na versterkte due diligence, versterkte monitoring en het opleggen van transactielimieten.

De ontwerpcirculaire bestempelt merchants of activiteiten met een hoog risico als zijnde betrokken bij casino's en online gokoperatoren; beheerders van gamingsystemen en platformoperatoren; legale aanbieders van inhoud of goederen voor volwassenen; gelicentieerde aanbieders van virtuele activa; en aanbieders van geldtransactiediensten.

Een directe merchantovereenkomst is, volgens de definitie in de ontwerpcirculaire, een betalingsacceptatiestructuur waarbij een geautoriseerde BSI een directe relatie onderhoudt met de merchant, waarbij geen enkele intermediair namens hen betalingen accepteert, verwerkt, incasseert, ontvangt, toewijst of vereffent.

Voor buitenlandse merchants en intermediairs zouden BSI's verplicht zijn de juridische bestaansgrond, jurisdictierisico's, de legitimiteit van websites en sanctieblootstelling te verifiëren, en ervoor te zorgen dat gegevens zonder belemmeringen kunnen worden opgevraagd voordat zij worden aangenomen.

Nieuwe regels voor gelaagde merchantovereenkomsten

De centrale bank introduceert tevens regels voor gelaagde merchantovereenkomsten — constructies waarbij één of meer intermediairs tussen de verwervende BSI en de onderliggende merchant worden geplaatst ter ondersteuning van betalingsverwerking, routering, incasso of vereffening.

BSI's mogen zulke overeenkomsten alleen aangaan als de deelnemende intermediairs behoorlijk geautoriseerd zijn, de rollen van alle partijen duidelijk zijn toegewezen en de betalingsstromen volledig traceerbaar blijven van de herkomstrekening tot de onderliggende merchant en de uiteindelijke begunstigde.

Deze overeenkomsten moeten ook worden ondersteund door een robuust hoofdovereenkomst die de verwervende instelling tijdige toegang tot volledige transactiegegevens garandeert en afdwingbare rechten geeft om activiteiten te auditen, te monitoren en te beperken, om elke aantasting van zichtbaarheid of verantwoordelijkheid te voorkomen.

Zodra de overgangsperioden aflopen, zouden BSI's met gelaagde merchantovereenkomsten verplicht zijn hun inventaris in te dienen, samen met een lijst van beperkte, geschorste of beëindigde onderliggende merchants en intermediairs, op kwartaalbasis.

Zij zouden ook een kennisgeving van elke wezenlijke wijziging in hun overeenkomst moeten indienen ten minste 30 werkdagen vóór de ingangsdatum, en hun jaarlijkse evaluatie of onafhankelijk assurance-rapport jaarlijks moeten indienen binnen 120 dagen na het einde van hun kalender- of boekjaar.

Gecentraliseerde QR-code merchantdatabase

Daarnaast wil de BSP een gecentraliseerde nationale quick-response (QR)-code merchantdatabase opzetten om de fraudebestrijding in het land te versterken en QR-transacties te beveiligen. QR-betalingen zijn in de Filipijnen een veelvoorkomend kanaal voor oplichting geworden, en de voorgestelde database moet betalingsdienstaanbieders een gedeeld, gezaghebbend register van legitieme merchants geven dat in realtime kan worden geraadpleegd.

De database moet binnen 90 dagen worden gelanceerd en uiterlijk een jaar nadat de relevante MORPS-wijzigingen in werking treden volledig operationeel zijn.

Voor de database zouden betalingsdienstaanbieders hun kernbedrijfsprofielen moeten indienen en actueel houden, waaronder unieke merchant- en QR-credentials, geregistreerde bedrijfs- en handelsnamen, bedrijfsclassificaties, licentiegegevens en fysieke of digitale winkeladressen.

Merchants moeten op hun beurt in de database gegevens opslaan over hun verbonden PSP's; vereffeningsrekeningen; het gebruikte apparaat, terminal of kanaal; structuren van uiteindelijke belangen; en hun aanmelddatum, realtime risicoclassificatie en sanctiescreeningsstatus, naast andere informatie.

De BSP zou bovendien vereisen dat alle actieve merchantgegevens volledig worden gemigreerd en gevalideerd in de database uiterlijk 15 maanden na de inwerkingtreding van de regels.

De database zou alle deelnemende PSP's in realtime informeren over wijzigingen in de status van merchants — zoals schorsingen of beëindigingen wegens fraude — waarbij de BSP van getroffen partijen vereist dat zij onmiddellijk risicobeoordelingen uitvoeren.

Binnen zes maanden moet het payment system management body (PSMB) aan de BSP ter goedkeuring voorleggen het volledige governancekader, de datastandaarden, de specificaties voor applicatieprogrammeerinterfaces, de beveiligingseisen en het implementatieplan voor de database.

Bij inwerkingtreding van de circulaire zal de BSP bovendien de acceptatie en verwerking van alle nieuwe OPS-registraties voor één jaar opschorten, terwijl zij een alomvattende herziening van haar licentie- en taxonomiekaders uitvoert. — Katherine K. Chan