Paiements électroniques en entreprise : autorisations FINMA et rôle des PSP

Payer et se faire payer : un choix opérationnel qui touche à la surveillance des marchés financiers

En Suisse, la FINMA est l'autorité indépendante chargée de la surveillance du marché financier. Elle délivre des autorisations, vérifie le respect des exigences réglementaires et peut sanctionner les violations. Son périmètre englobe les banques, les assurances, les bourses et les prestataires de services financiers, y compris les prestataires de services de paiement.

Pour une entreprise, les paiements électroniques répondent à deux besoins : payer les fournisseurs et encaisser les clients. Les virements, les paiements par carte et les prélèvements automatiques ne sont pas interchangeables, mais sur le plan technique, ils ne circulent pas sur des rails séparés.

Pour l'entreprise, le virement sert à payer les fournisseurs ; le prélèvement automatique et la carte permettent d'encaisser les clients. Les virements et les prélèvements automatiques sont réglés via le SIC. Les paiements par carte transitent par le réseau vers l'acquéreur et arrivent sur le compte du commerçant, généralement via un PSP.

L'infrastructure de paiement comprend les réseaux de cartes (Visa, Mastercard), les systèmes bancaires (SIC en Suisse, TARGET2 dans l'UE), les PSP, les passerelles de paiement, les systèmes de compensation et de règlement ainsi que les autorités de régulation.

Le système de paiement central de la Suisse est le Swiss Interbank Clearing (SIC), dont la conduite opérationnelle est confiée par la Banque nationale suisse à SIX Interbank Clearing SA. Il est en service depuis le 10 juin 1987.

Au SIC participent principalement des banques résidentes et d'autres acteurs du marché financier. Outre les paiements de montant élevé, on y règle les paiements de détail relatifs aux virements, aux paiements par carte et aux prélèvements automatiques. Depuis 2024, le système gère également les paiements instantanés (SIC IP).

Les trois instruments ne suivent pas le même parcours. Les virements et les prélèvements automatiques sont réglés dans le SIC. Les paiements par carte transitent du réseau vers l'acquéreur et arrivent sur le compte du commerçant, normalement par l'intermédiaire d'un PSP.

Les acteurs changent selon l'instrument. Pour les virements et les prélèvements automatiques, c'est le SIC qui opère. Pour les cartes, ce sont le réseau et l'acquéreur qui interviennent, avec le PSP face au commerçant. Pour les virements internationaux, les banques utilisent SWIFT.

En tant qu'infrastructure du marché financier d'importance systémique, le SIC est soumis aux principes CPMI-IOSCO pour les infrastructures des marchés financiers.

Pour les paiements internationaux, les banques s'appuient sur SWIFT, le réseau utilisé pour l'échange de messages financiers. SIX, en tant que gestionnaire du SIC, est soumise à la surveillance de la FINMA.

Un virement vers l'UE ou les États-Unis est normalement crédité sur le compte de la banque du bénéficiaire dans un délai d'un jour ouvrable.

Pour encaisser par carte, l'entreprise choisit un PSP ou une passerelle. La passerelle relie la boutique en ligne à l'infrastructure ; le PSP communique en arrière-plan avec les réseaux, les acquéreurs et les banques. La boutique dispose ainsi d'une interface unique.

L'entreprise utilise également la carte pour ses sorties. La carte de crédit entreprise est émise par la banque et reliée à un réseau ; pour les PME, elle sert à gérer les dépenses.

Pour une entreprise, les modalités d'encaissement ne relèvent pas uniquement de la trésorerie. Certains modèles d'affaires nécessitent une autorisation, par exemple lorsque l'on accepte professionnellement des fonds de tiers ou que l'on fournit des services de trafic de paiements.

Les choix opérationnels pour les trois instruments sont concrets. Avec les cartes, ce sont le réseau et l'acquéreur qui comptent. Avec les prélèvements automatiques et les virements, c'est le règlement dans le SIC qui prime. Avec les virements internationaux, c'est le trajet SWIFT qui fait foi.

La FINMA déclare suivre avec une grande attention les défis posés par la fintech. Elle le fait en matière d'autorisations, de surveillance et de réglementation. Elle met sur un pied d'égalité de bonnes conditions-cadres pour l'innovation et la protection des clients et du système.

Celui qui utilise des cartes, des virements et des prélèvements automatiques pour payer ses fournisseurs et encaisser ses clients reste un client du système financier. En revanche, celui qui reçoit et transfère des fonds de tiers peut entrer dans le périmètre surveillé, avec des obligations d'autorisation ou d'affiliation à un organisme d'autorégulation (OAR).

Instruments de paiement et leur parcours dans le système suisse

Le test préliminaire : des fonds de tiers transitent-ils sur votre compte ?

La FINMA indique une séquence précise. Avant de démarrer l'activité, il faut déterminer si l'entreprise fintech tombe sous le coup des mesures de prévention du blanchiment d'argent et de l'obligation d'autorisation.

Le test part de quelques questions simples : des fonds de clients transitent-ils sur vos comptes ? Fournissez-vous des services dans le domaine des paiements, du change, des services fiduciaires, de la gestion de fortune, du crédit ou du leasing, ou émettez-vous des moyens de paiement ? Si oui, il convient de vérifier si vous êtes soumis à la Loi sur le blanchiment d'argent.

Sur les cartes, le parcours de l'argent diffère de celui d'un virement. Le paiement transite du réseau vers l'acquéreur et arrive sur le compte du commerçant, normalement via un PSP. La question du test reste la même : qui détient les fonds et pendant combien de temps.

Pour les virements et les prélèvements automatiques, le test s'applique au compte qui reçoit le montant. Le critère décisif reste la détention directe des fonds : qui les détient et pendant combien de temps.

Appliquer le test signifie reconstituer le flux monétaire, non le flux de données. Qui verse, sur quel compte, pendant combien de temps les fonds y restent, qui peut en disposer et qui supporte le risque durant le transit.

De cette reconstitution découlent trois issues possibles : aucune obligation particulière, affiliation à un OAR pour les obligations de diligence, ou nécessité d'une autorisation FINMA. La FINMA souligne qu'il est nécessaire, préalablement au démarrage de l'activité, de déterminer si l'entreprise est soumise aux mesures de prévention du blanchiment d'argent et à l'obligation d'autorisation.

Encaisser pour le compte d'autrui : le cas des boutiques en ligne, plateformes et marketplaces

Le cas typique est l'opérateur de marketplace qui détient les fonds des acheteurs sur son propre compte avant de les verser aux vendeurs. La FINMA classe cette activité comme soumise à autorisation.

Celui qui, en tant que plateforme, accepte professionnellement les paiements des acheteurs et les transfère aux vendeurs peut être considéré comme un intermédiaire financier au sens de la Loi sur le blanchiment d'argent (LBA). Une affiliation à un organisme d'autorégulation (OAR) ou une soumission directe à la FINMA est alors requise.

Le critère décisif est la détention directe des fonds. Si le marketplace externalise le traitement des paiements à un prestataire de services de paiement autorisé et ne détient pas directement les fonds des clients, il n'a normalement pas besoin de sa propre autorisation.

Une passerelle de paiement relie la boutique en ligne à l'infrastructure. Le PSP abstrait la complexité et offre au commerçant une interface simple.

Tous les encaissements ne passent pas par un compte de transit. Le critère reste la détention directe des fonds : si l'entreprise ne détient pas de fonds de tiers, la question de la garde ne se pose généralement pas. Le règlement des virements et des prélèvements automatiques a lieu dans le SIC, qui traite les prélèvements automatiques aux côtés des virements et des paiements par carte.

Il convient donc de concevoir le flux de manière explicite : compte de transit au nom de qui, moment exact où le vendeur reçoit le paiement, qui assume le risque sur les rétrofacturations et les fraudes.

Quelle autorisation, si nécessaire : autorisation FinTech, licence bancaire et établissement de moyens de paiement

La Suisse prévoit plusieurs niveaux d'autorisation. L'autorisation FinTech au sens de l'art. 1b LBa concerne les dépôts du public jusqu'à CHF 100 millions. C'est la limite quantitative à surveiller si le modèle prévoit la collecte de fonds de la clientèle.

Pour les établissements financiers classiques, la licence bancaire reste nécessaire. Avec la réforme prévue de la LFIF, la nouvelle catégorie d'établissement de moyens de paiement s'ajoute.

Les PSP ont besoin d'une autorisation de la FINMA selon leur modèle d'affaires.

La question à se poser n'est donc pas « ai-je besoin d'une autorisation ? », mais « dans quelle case mon modèle tombe-t-il ? ». Des éléments tels que l'acceptation de fonds du public, la détention de fonds pour le compte de tiers, l'émission de moyens de paiement et l'octroi de crédit ou de leasing orientent vers l'un ou l'autre régime. Une entreprise qui se contente d'acheter des services de paiement auprès d'un tiers autorisé, sans entrer dans la chaîne de garde, ne relève pas de ces niveaux.

Une entreprise qui se limite à payer par virements et cartes et à encaisser par cartes et prélèvements automatiques reste en dehors de ces niveaux. Le seuil de CHF 100 millions de l'art. 1b LBa concerne les dépôts du public, non le volume annuel des encaissements.

Niveaux d'autorisation FINMA pour les activités fintech

Ouvrir une relation d'affaires à distance : identification vidéo et obligations de diligence

Pour initier des relations d'affaires dans le domaine financier via des canaux numériques, la FINMA a créé un cadre avec une circulaire dédiée. La circulaire 2016/07 « Identification vidéo et identification en ligne » interprète les obligations de diligence de la législation sur le blanchiment d'argent dans le contexte des services financiers numériques.

Elle le fait dans le respect du principe de neutralité technologique, en mettant l'accent sur l'identification vidéo. Elle est en vigueur depuis le 18 mars 2016 et a été mise à jour le 6 mai 2021.

Pour les entreprises blockchain, il existe une référence spécifique du côté bancaire. Le 21 septembre 2018, l'Association suisse des banquiers a publié un guide pratique, destiné à ses membres, concernant l'ouverture de comptes entreprise pour les entreprises blockchain. Le DFF et la FINMA soutiennent l'initiative et la publication de ce guide.

Sur le plan opérationnel, celui qui choisit un onboarding numérique doit vérifier que le fournisseur ou la banque mandatée respecte le cadre défini par la circulaire. La circulaire interprète les obligations de diligence de la législation sur le blanchiment d'argent dans le contexte des services financiers numériques, dans le respect du principe de neutralité technologique et en plaçant l'identification vidéo au premier plan.

La voie la plus pragmatique pour les PME : s'appuyer sur un prestataire de services de paiement autorisé

Pour une PME qui gère une boutique en ligne ou un marketplace, la collaboration avec un prestataire de services de paiement (PSP) régulé est normalement la voie la plus pragmatique pour éviter des obligations d'autorisation propres.

Pour choisir le PSP, partez des instruments. Les cartes nécessitent un réseau et un acquéreur ; Visa et Mastercard sont les réseaux cités. Les prélèvements automatiques et les virements sont réglés dans le SIC. Les virements internationaux passent par SWIFT.

L'exemple est linéaire : un PSP possède une autorisation FINMA et gère le traitement des paiements pour le marketplace, et l'opérateur de la plateforme n'a besoin d'aucune autorisation propre. La condition préalable reste celle vue plus haut : les fonds des clients ne doivent pas être détenus directement par la plateforme.

Demandez quels instruments le PSP couvre : cartes des réseaux Visa et Mastercard, prélèvements automatiques, virements. Le PSP communique en arrière-plan avec les réseaux de cartes, les acquéreurs et les banques ; la boutique dispose d'une interface unique.

Une passerelle de paiement relie la boutique en ligne à l'infrastructure de paiement. Pour le commerçant, l'infrastructure détermine la vitesse, les méthodes disponibles et la sécurité des transactions.

Il convient de vérifier instrument par instrument. Pour les cartes, ce sont le réseau (Visa, Mastercard) et l'acquéreur qui comptent ; pour les prélèvements automatiques et les virements, le règlement a lieu dans le SIC ; pour les virements internationaux, le trajet passe par SWIFT.

Dans le choix du partenaire, les critères sont concrets et contractualisables. Vérifiez l'étendue exacte de l'autorisation du PSP et quels services elle couvre. Clarifiez qui détient les fonds et à quel moment le montant est crédité au vendeur. Contrôlez quels instruments de paiement sont pris en charge (cartes, prélèvements automatiques, virements) et selon quelles règles de schéma.

Le système SIC traite tous les paiements en CHF entre les banques suisses : virements, prélèvements automatiques et, depuis 2024, les paiements instantanés (SIC IP). Les virements internationaux passent par SWIFT et, s'ils sont dirigés vers l'UE ou les États-Unis, sont normalement crédités sur le compte de la banque du destinataire dans un délai d'un jour ouvrable.

Les délais de liquidation et les devises doivent être définis par écrit. Il en va de même pour la répartition des responsabilités en matière de rétrofacturations, de fraudes et de chargebacks.

Faites indiquer la structure des commissions. Examinez le traitement des données personnelles et le lieu où elles sont traitées.

Les commissions ne constituent pas un poste unique : la composition varie entre les cartes, les prélèvements automatiques et les virements. Faites indiquer par écrit comment elles sont composées pour chaque instrument et à qui elles s'appliquent.

Côté sorties, de nombreuses PME adjoignent une carte de crédit entreprise, émise par la banque et reliée à un réseau, aux instruments avec lesquels elles encaissent.

Lors de la signature du contrat, il convient de fixer par écrit qui est responsable du traitement des données et comment les pertes dues aux fraudes et aux rétrofacturations sont réparties. Stipulez les niveaux de service avec les canaux d'escalade correspondants.

Réglez les conditions de sortie : préavis, portabilité des identifiants et continuité de l'encaissement lors de la migration.

Un modèle de paiement bien documenté, avec la garde des fonds confiée à un sujet autorisé, est aussi l'argument le plus solide à présenter à une banque dans le cadre de l'ouverture ou de la révision de la relation d'affaires.

Vérification préliminaire pour les PME gérant des paiements en ligne