Bangko Sentral ng Pilipinas (BSP) dąży do wprowadzenia zaostrzonych, opartych na ryzyku kontroli ze strony nadzorowanych przez siebie instytucji (BSI), aby wzmocnić bezpieczeństwo i integralność krajowego systemu płatności.

W ramach projektu okólnika bank centralny zaproponował nowelizację Manual of Regulations for Payment Systems (MORPS), która wymagałaby od instytucji BSI ustanowienia mechanizmów wzmacniających kontrole nad ich działalnością płatniczą. Krok ten stanowi część szerszego mandatu nadzorczego BSP nad krajowym systemem płatności, na który bank centralny coraz częściej się powołuje w miarę rozwoju płatności cyfrowych i transakcji opartych na kodach QR w całym kraju.

„Instytucje nadzorowane przez BSP, w tym Operatorzy Systemów Płatności (OPS), Dostawcy Usług Płatniczych (PSP) oraz inni istotni uczestnicy krajowego systemu płatności, ustanowią i będą utrzymywać oparte na ryzyku kontrole zapewniające wystarczającą, dokładną, aktualną i terminową widoczność osób, merchantów, pośredników, rachunków, kanałów płatniczych, transakcji i przepływów rozliczeniowych związanych z działalnością płatniczą, adekwatnie do ich ról” — oświadczył bank centralny.

Ściślejsza należyta staranność i klasyfikacja ryzyka

Proponowane przepisy zobowiązywałyby instytucje BSI do przeprowadzania ścisłej należytej staranności, wykonywania ocen ryzyka oraz ustanowienia ram sprawozdawczych obejmujących ich działalność płatniczą, w tym umowy z merchantami.

„W ramach oceny ryzyka podmiot posiadający OPS-MAL (licencja merchant acquiring) lub BSFI (instytucja finansowa nadzorowana przez BSP) uprawniona do prowadzenia merchant acquiring przypisze klasyfikację ryzyka odzwierciedlającą ryzyko wynikające z merchantów i ostatecznych beneficjentów, których transakcje są przetwarzane w ramach takiego porozumienia” — podał BSP.

„Przykładowo merchant nie może zostać uznany za niskiego ryzyka w sytuacji, gdy jego ostateczny beneficjent zostałby sklasyfikowany jako wysokie ryzyko”.

Bank centralny zabrania instytucjom BSI ułatwiania jakichkolwiek porozumień płatniczych, które zaciemniają tożsamości, łamią rozliczalność, uniemożliwiają rekonstrukcję transakcji lub utrudniają wykrywanie, śledztwo w sprawie lub zgłaszanie przestępstw finansowych.

W ramach bezpośrednich umów z merchantami instytucjom BSI zabronione byłoby wprowadzania merchantów powiązanych z działalnością nielegalną. Merchanci wysokiego ryzyka mogliby być wprowadzani wyłącznie po wzmocnionej należytej staranności, wzmocnionym monitorowaniu i nałożeniu limitów transakcyjnych.

Projekt okólnika zalicza do merchantów lub działalności wysokiego ryzyka podmioty związane z kasynami i operatorami hazardu online; administratorami systemów gier hazardowych i operatorami platform; legalnych dostawców treści lub towarów dla dorosłych; licencjonowanych dostawców usług w zakresie aktywów wirtualnych oraz dostawców usług pieniężnych.

Bezpośrednia umowa z merchantem, zgodnie z definicją w projekcie okólnika, to model akceptacji płatności, w którym uprawniona instytucja BSI utrzymuje bezpośrednią relację z merchantem, zapewniając, że żaden pośrednik nie przyjmuje, nie przetwarza, nie pobiera, nie otrzymuje, nie przydziela ani nie rozlicza płatności w jego imieniu.

W przypadku zagranicznych merchantów i pośredników instytucje BSI musiałyby zweryfikować ich istnienie prawne, ryzyka jurysdykcyjne, wiarygodność stron internetowych i narażenie na sankcje oraz zapewnić, by dokumenty można było pobierać bez przeszkód przed ich wprowadzeniem.

Nowe przepisy dla wielopoziomowych umów merchantskich

Bank centralny wprowadza również przepisy dotyczące wielopoziomowych umów merchantskich — modeli, w których między instytucją BSI dokonującą akceptacji a właściwym merchantem znajduje się jeden lub więcej pośredników, wspierających przetwarzanie, kierowanie, pobieranie lub rozliczanie płatności.

Instytucje BSI mogą zawierać takie umowy wyłącznie, jeśli uczestniczący pośrednicy są należycie uprawnieni, role wszystkich stron są wyraźnie przypisane, a przepływy płatności pozostają w pełni możliwe do prześledzenia od rachunku źródłowego do właściwego merchanta i ostatecznego beneficjenta.

Umowy te muszą być ponadto wsparte solidnym porozumieniem regulującym, które gwarantuje instytucji akceptującej terminowy dostęp do kompleksowych danych transakcyjnych oraz egzekwowalne prawa do audytu, monitorowania i ograniczania działań, aby zapobiec naruszeniu widoczności lub rozliczalności.

Po zakończeniu okresów przejściowych instytucje BSI utrzymujące wielopoziomowe umowy merchantskie musiałyby co kwartał składać swój wykaz wraz z listą ograniczonych, zawieszonych lub zakończonych właściwych merchantów i pośredników.

Musiałyby również zgłaszać powiadomienie o każdej istotnej zmianie w umowie co najmniej 30 dni roboczych przed jej datą wejścia w życie oraz składać roczny przegląd lub raport z niezależnego zapewnienia corocznie w ciągu 120 dni po zakończeniu roku kalendarzowego lub obrotowego.

Scentralizowana baza danych merchantów kodów QR

Osobno BSP chce ustanowić scentralizowaną ogólnokrajową bazę danych merchantów kodów szybkiego odpowiedzi (QR), aby wzmocnić krajowe działania zapobiegające oszustwom i zabezpieczyć transakcje oparte na kodach QR. Płatności QR stały się na Filipinach częstym kanałem oszustw, a proponowana baza ma zapewnić dostawcom płatności wspólny, wiarygodny rejestr legalnych merchantów możliwy do weryfikacji w czasie rzeczywistym.

Baza musi zostać uruchomiona w ciągu 90 dni i być w pełni operacyjna nie później niż rok po wejściu w życie właściwych nowelizacji MORPS.

Na potrzeby bazy dostawcy usług płatniczych musieliby przekazywać i aktualizować swoje podstawowe profile działalności, w tym unikalne dane uwierzytelniające merchantów i kodów QR, zarejestrowane nazwy firmowe i handlowe, klasyfikacje działalności, szczegóły licencyjne oraz adresy fizyczne lub cyfrowe punktów sprzedaży.

Merchanci z kolei musieliby przechowywać w bazie zapisy dotyczące ich powiązanych PSP; rachunków rozliczeniowych; używanego urządzenia, terminala lub kanału; struktur własności korzyściowej oraz daty wprowadzenia, klasyfikacji ryzyka w czasie rzeczywistym i statusu weryfikacji sankcyjnej, a także innych informacji.

BSP wymagałby ponadto, aby wszystkie aktywne zapisy merchantów zostały całkowicie przeniesione i zwalidowane w bazie nie później niż 15 miesięcy od wejścia w życie przepisów.

Baza informowałaby wszystkie uczestniczące PSP w czasie rzeczywistym o zmianach statusu merchantów — takich jak zawieszenia lub zakończenia z powodu oszustw — przy czym BSP nakazywałby stronom dotkniętym przeprowadzenie natychmiastowych przeglądów ryzyka.

W ciągu sześciu miesięcy organ zarządzający systemem płatności (PSMB) musi przedłożyć BSP do zatwierdzenia kompletne ramy zarządzania, standardy danych, specyfikacje interfejsów programowania aplikacji, wymogi bezpieczeństwa oraz plan wdrożenia bazy.

Z chwilą wejścia w życie okólnika BSP zawiesi także przyjmowanie i przetwarzanie wszystkich nowych rejestracji OPS na jeden rok, przeprowadzając kompleksowy przegląd swoich ram licencyjnych i taksonomicznych. — Katherine K. Chan