Open banking et API : opportunités et exigences pour les PME

Pourquoi l'open banking concerne aussi les PME suisses

L'Association suisse des banquiers (Swiss Banking) considère l'open banking et l'open finance comme des facteurs appelés à influencer et à modifier durablement et profondément l'ensemble du secteur bancaire, offrant un potentiel considérable pour la place financière. Cette impulsion n'est pas uniquement technologique : l'évolution des besoins de la clientèle, l'arrivée de nouveaux acteurs et le développement de nouvelles technologies placent les banques face à des défis inédits.

Le point qui touche directement les PME est la fragmentation de la chaîne de création de valeur. Selon Swiss Banking, les clients sont désormais servis par une offre extrêmement large et diversifiée de prestataires : banques, fintechs et acteurs extérieurs au secteur. Dans ce contexte, la question n'est plus vraiment de savoir « si » l'open banking et l'open finance s'imposeront, mais seulement sous quelle forme.

Pour une entreprise, les données de compte, les paiements et les informations financières peuvent se trouver répartis dans un écosystème impliquant plusieurs acteurs : la banque, le fournisseur du logiciel de gestion, la plateforme de commerce électronique ou une éventuelle fintech.

Swiss Banking suit ce processus en contribuant à définir un cadre réglementaire permettant des modèles opérationnels adaptés et renforçant la compétitivité de la place financière suisse. L'association estime que les solutions fondées sur l'économie de marché sont essentielles pour préserver la confiance de la clientèle.

Une PME peut ainsi endosser trois rôles distincts : cliente de services connectés, fournisseur exposant des données ou des services via une interface, ou partenaire d'une banque ou d'une fintech.

API et open banking : que signifie un échange standardisé et sécurisé

Swiss Banking définit l'open banking comme un modèle opérationnel basé sur l'échange standardisé et sécurisé de données entre une banque et un tiers de confiance avérée. Parmi ces tiers peuvent figurer d'autres fournisseurs de services financiers. La standardisation ouverte des interfaces est la condition préalable indispensable pour une interconnexion irréprochable avec les parties tierces et pour un échange de données exempt d'erreurs.

L'open finance est le terme utilisé par le Département fédéral des finances (DFF). Il permet l'échange de données financières à la demande des clients via des interfaces de données standardisées et sécurisées. Les deux éléments clés sont donc indissociables : une norme partagée entre les parties et le consentement du client autorisant l'échange.

Swiss Banking souligne que l'ouverture des interfaces et la coopération avec des tiers ne doivent pas se faire de manière unilatérale. L'échange réciproque de données offre une plus-value claire à toutes les parties prenantes : clients, tiers et banques elles-mêmes.

Sur le plan opérationnel, cela implique pour une PME de négocier un accord sur une base bidirectionnelle. Il ne s'agit pas seulement d'accéder aux données de sa propre banque, mais aussi de définir quelles données et quels services l'entreprise met à disposition de l'écosystème. Il convient de préciser qui les conserve, à quelles fins et pour quelle durée.

Opportunités concrètes : paiements intégrés et services financiers connectés

En 2015, la Banque Migros a réalisé l'une des premières applications suisses conformes à la directive européenne sur les services de paiement DSP2. Elle a connecté le service de paiement SOFORT de l'entreprise fintech suédoise Klarna via une interface spécialement conçue (E-Pay). Ainsi, la clientèle de la banque a pu effectuer des achats dans toute l'Europe sur plus de 30 000 boutiques en ligne sans utiliser de carte de crédit. Cet exemple montre comment une interface peut ouvrir l'accès à un réseau de méthodes de paiement qui n'est pas géré directement.

Toutefois, cet exemple ne doit pas être interprété comme une obligation d'intégrer des tiers. La Banque Migros rappelle elle-même que payer dans une boutique en ligne sans carte de crédit ne nécessite pas forcément une solution d'open banking avec l'intégration d'un fournisseur externe de services de paiement. Les clients de la banque peuvent payer en ligne simplement avec la carte Visa Debit, qu'ils reçoivent automatiquement comme carte de compte gratuite. La question pertinente pour une PME n'est donc pas « ai-je besoin d'API ? », mais quel problème spécifique de paiement, d'encaissement ou d'accès aux données l'intégration résout par rapport aux alternatives déjà disponibles.

Côté offre, la Banque Migros constate que les banques doivent être ouvertes non seulement sur le plan technologique. L'ouverture doit concerner tous les niveaux : stratégie, culture, processus et systèmes. Un écosystème avec des partenariats bien établis est un facteur de succès décisif pour offrir une plus-value.

Pour une PME qui s'intègre, la même logique s'applique : le projet n'est pas seulement technique. Il touche à la réconciliation des paiements entrants, à la gestion des retours et des annulations, ainsi qu'à la manière dont les données alimentent la comptabilité.

Étapes clés pour intégrer un service API dans une PME

Confiance, protection des données et cybersécurité : les exigences non négociables

Swiss Banking reconnaît les opportunités découlant de l'ouverture des interfaces et de la coopération avec des tiers. Toutefois, elle avertit que l'ouverture des interfaces et l'intensification des échanges de données comportent aussi de nouveaux défis, notamment en matière de protection des données et de cybersécurité. Pour les banques suisses, la protection des données clients joue un rôle central : l'échange doit s'effectuer avec les solutions technologiques les plus avancées. La conformité doit être garantie non seulement par les établissements concernés, mais aussi par les prestataires tiers.

Il en découle des critères vérifiables avant de signer avec un fournisseur d'interfaces. La définition de Swiss Banking exige un tiers de confiance avérée : l'identité juridique et les autorisations doivent être contrôlées, et non présumées.

Il faut ensuite savoir à quelles données le tiers accède : la seule lecture des soldes ou l'initiation de paiements constituent des niveaux différents. Il convient de clarifier qui détient les identifiants d'accès et quelle norme ouverte est utilisée.

Il est nécessaire de vérifier si le fournisseur fait appel à des sous-traitants, comment un incident de sécurité est géré et qui répond des dommages. Enfin, il faut déterminer selon quelles modalités et dans quels délais on peut sortir du contrat en récupérant ses données.

Pour les contreparties soumises à surveillance, il existe un cadre formel. La circulaire FINMA 2023/1 Risques opérationnels et résilience définit les exigences pour les banques, les négociants en titres et les compagnies d'assurance qui externalisent auprès d'un prestataire de services toute fonction significative pour leurs activités commerciales. La société qui externalise reste responsable envers la FINMA comme si elle exerçait elle-même les fonctions externalisées. Une PME fournissant des services à un institut régulé devra donc répondre contractuellement à ce type d'exigences.

Avantages et risques de l'open banking pour les PME

Si la PME propose des services financiers : quand l'autorisation FINMA est requise

Quiconque souhaite opérer sur le marché financier doit obtenir l'autorisation de la FINMA. L'Autorité vérifie si les entreprises satisfont aux exigences légales : seules celles qui remplissent les conditions financières, organisationnelles et en matière de personnel ont droit à l'autorisation.

Les lois sur les marchés financiers associent aux différentes formes d'autorisation des exigences de rigueur variable. Les autorisations peuvent entraîner l'obligation de payer des émoluments selon l'Ordonnance sur les émoluments et les taxes de la FINMA.

Après la délivrance, la FINMA effectue des contrôles d'intensité variable. Si les dispositions de surveillance ne sont plus respectées, elle peut aller jusqu'au retrait de l'autorisation en dernier recours.

Pour les entreprises financières innovantes, le législateur a créé l'autorisation fintech, une catégorie obtenable à des conditions allégées et délivrée par la FINMA. Elle permet d'accepter des dépôts du public jusqu'à un plafond maximal de cent millions de francs suisses ou des actifs patrimoniaux basés sur les principes de la cryptographie. La condition est que les dépôts du public ou les actifs patrimoniaux ne soient ni investis ni rémunérés par des intérêts.

Une autre condition est que l'institut autorisé soit une société anonyme, une société en commandite ou une société à responsabilité limitée. Il doit avoir son siège et exercer son activité en Suisse.

Les dépôts de la clientèle ne sont ni privilégiés ni protégés par une garantie des dépôts en cas de faillite de l'institut détenteur d'une autorisation fintech. Les futurs clients doivent en être informés (art. 1b al. 4 let. d LBA et art. 7a al. 3 OBA).

Sur le plan procédural, la FINMA publie un guide pratique pour faciliter la demande. Les intéressés peuvent présenter leur projet avant de déposer la demande.

La procédure est soumise à des émoluments. La FINMA peut exiger un rapport d'audit pour l'autorisation. La durée de la procédure dépend de la complexité du projet, de la qualité et de l'exhaustivité de la demande.

Dans son rapport du 16 décembre 2022, le Conseil fédéral a reconnu la nécessité d'intervenir dans ce domaine. La question doit être examinée dans le projet de réglementation visant à adapter le droit des marchés financiers, en vue de modèles commerciaux innovants des instituts financiers.

Choisir un partenaire API : standards existants, rentabilité et conformité

Sur le plan des standards, la recommandation issue du troisième Open Banking Summit d'OpenBankingProject.ch est claire. L'événement s'est tenu le 25 août 2022 au siège zurichois de Google. La Suisse devrait s'appuyer sur les standards existants plutôt que d'en créer de nouveaux.

À la table ronde ont participé, entre autres, Roi Tavor (Google Cloud Autriche & Suisse), Stefanie Auge-Dickhut (Business Engineering Institute) et Ana Climente (BBVA). Parallèlement, la Banque Migros rappelle que la standardisation est un moyen de réduire les coûts du processus. Lorsqu'on discute des interfaces de programmation, il ne faut pas perdre de vue la rentabilité.

De ces deux critères découlent des étapes concrètes pour l'évaluation d'un fournisseur. Premièrement : privilégier les interfaces conformes à des standards ouverts et répandus, car un standard propriétaire augmente les coûts de sortie et de changement de fournisseur.

Deuxièmement : calculer la rentabilité en comparant les coûts d'intégration et de maintenance, les commissions ou émoluments récurrents et les économies réalisées grâce à l'automatisation de la réconciliation et de la saisie des données. Ne pas évaluer uniquement le bénéfice commercial.

Troisièmement : comme dans l'exemple Klarna, le bénéfice pour le client et la sécurité des données doivent être évalués conjointement. La garantie de sécurité ne concerne pas seulement la banque, mais aussi le prestataire tiers.

La vérification se complète par la conformité du partenaire. Il convient de contrôler : la fiabilité avérée, la titularité et l'utilisation des données définies par écrit, la responsabilité en cas d'incident, les références à des standards reconnus et la cohérence avec les obligations réglementaires de la contrepartie bancaire. Un fournisseur incapable de documenter ces points de manière vérifiable doit être exclu avant la signature, et non après l'intégration.

Critères essentiels pour choisir un partenaire API

Perspectives suisses : vers une ouverture accrue des interfaces

Lors de sa séance du 16 décembre 2022, le Conseil fédéral s'est penché sur les développements de l'open finance en Suisse. Il a chargé le Département fédéral des finances (DFF) de lui présenter d'ici juin 2024 d'éventuelles mesures à adopter pour inciter le secteur financier à ouvrir davantage ses interfaces.

La direction politique est donc tracée. L'échange de données financières à la demande des clients, via des interfaces standardisées et sécurisées, est un objectif à promouvoir. Ce n'est pas une option à laisser à la seule initiative privée.

Pour une PME, la conséquence pratique est de se préparer à un écosystème de données financières plus interopérable. Trois activités sont utiles dès maintenant.

Faire l'inventaire des données financières que l'entreprise produit et reçoit. Demander explicitement aux fournisseurs actuels de comptabilité, de gestion et de commerce en ligne quelles interfaces standard ils exposent et à quelles conditions. Concevoir ses propres processus internes de manière à ce que les données provenant de sources diverses puissent être réconciliées automatiquement lorsque l'ouverture s'étendra au-delà des services de paiement.