Open banking e API: opportunità e requisiti per le PMI

Perché l'open banking riguarda anche le PMI svizzere

L'Associazione svizzera dei banchieri (Swiss Banking) vede nell'open banking e nell'open finance un fattore destinato a influenzare e cambiare in modo incisivo e persistente l'intero settore bancario, con un potenziale considerevole per la piazza finanziaria. La spinta non è soltanto tecnologica: esigenze mutate della clientela, nuovi attori e nuove tecnologie pongono le banche di fronte a sfide inedite.

Il punto che coinvolge direttamente le PMI è la frammentazione della catena di creazione del valore. Secondo Swiss Banking, i clienti sono ormai serviti da un ventaglio estremamente ampio e diversificato di fornitori: banche, fintech e operatori esterni al ramo. In questo scenario non si pone praticamente più la domanda «se» l'open banking e l'open finance si affermeranno, ma solo in quale forma.

Per un'impresa, dati di conto, pagamenti e informazioni finanziarie possono trovarsi in un ecosistema con più soggetti: la banca, il fornitore del software gestionale, la piattaforma di e-commerce, un'eventuale fintech.

Swiss Banking segue il processo contribuendo a definire condizioni quadro che rendano possibili modelli operativi adeguati e rafforzino la concorrenzialità della piazza finanziaria svizzera. L'associazione considera essenziali le soluzioni di economia di mercato per conservare la fiducia della clientela.

Una PMI può quindi trovarsi in tre ruoli distinti: cliente di servizi collegati, fornitore che espone dati o servizi tramite interfaccia, partner di una banca o di una fintech.

API e open banking: che cosa significa scambio standardizzato e protetto

Swiss Banking definisce l'open banking come modello operativo basato sullo scambio standardizzato e protetto di dati tra una banca e un operatore terzo di comprovata affidabilità. Nel novero degli operatori terzi possono rientrare anche altri fornitori di servizi finanziari. La standardizzazione aperta delle interfacce è il requisito preliminare per un'interfaccia ineccepibile con le parti terze e per uno scambio di dati esente da errori.

L'open finance è la formula usata dalla Segreteria di Stato per le questioni finanziarie (SIF). Consente lo scambio di dati finanziari su richiesta dei clienti attraverso interfacce di dati standardizzate e sicure. I due elementi che contano sono quindi inscindibili: uno standard condiviso tra le parti e il consenso del cliente che autorizza lo scambio.

Swiss Banking sottolinea che l'apertura delle interfacce e la cooperazione con operatori terzi non devono avvenire in maniera unilaterale. Lo scambio reciproco di dati offre un chiaro valore aggiunto a tutte le parti coinvolte: clienti, operatori terzi e banche stesse.

Sul piano operativo, per una PMI questo implica negoziare l'accordo su base bidirezionale. Non solo l'accesso ai dati della propria banca, ma anche la definizione di quali dati e servizi l'impresa stessa mette a disposizione dell'ecosistema. Occorre indicare chi li conserva, per quali finalità e per quanto tempo.

Opportunità concrete: pagamenti integrati e servizi finanziari connessi

Nel 2015 Banca Migros ha realizzato una delle prime applicazioni svizzere in linea con la direttiva europea sui servizi di pagamento PSD2. Ha collegato il servizio di pagamento SOFORT dell'azienda fintech svedese Klarna tramite un'interfaccia appositamente predisposta (E-Pay). In questo modo la clientela della banca ha potuto effettuare acquisti in tutta Europa in oltre 30 000 Internet shop senza utilizzare la carta di credito. L'esempio mostra come un'interfaccia possa aprire l'accesso a una rete di metodi di pagamento che non viene gestita direttamente.

L'esempio non va però letto come un obbligo di integrare terzi. La stessa Banca Migros ricorda che pagare in un negozio online senza carta di credito non richiede necessariamente una soluzione di open banking con l'integrazione di un fornitore esterno di servizi di pagamento. I clienti della banca possono pagare online in modo semplice con la carta Visa Debit, che ricevono automaticamente come carta di conto gratuita. La domanda utile per una PMI non è quindi «servono le API?», ma quale problema specifico di pagamento, incasso o accesso ai dati l'integrazione risolve rispetto alle alternative già disponibili.

Sul lato dell'offerta, Banca Migros rileva che le banche devono essere aperte non solo in termini di tecnologia. L'apertura deve riguardare tutti i livelli: strategia, cultura, processi e sistemi. Un ecosistema con partnership consolidate è un fattore di successo decisivo per offrire valore aggiunto.

Per una PMI che si integra vale la stessa logica: il progetto non è solo tecnico. Tocca la riconciliazione dei pagamenti in entrata, la gestione di resi e storni e il modo in cui i dati confluiscono nella contabilità.

Passaggi chiave per integrare un servizio API in una PMI

Fiducia, protezione dei dati e cyber-security: i requisiti non negoziabili

Swiss Banking riconosce le opportunità che scaturiscono dall'apertura delle interfacce e dalla cooperazione con operatori terzi. Avverte però che l'apertura delle interfacce e l'intensificazione dello scambio di dati comportano anche nuove sfide, soprattutto nella protezione dei dati e nella cybersicurezza. Per le banche svizzere la protezione dei dati dei clienti riveste un ruolo fondamentale: lo scambio deve avvenire con le soluzioni tecnologiche più all'avanguardia. La conformità deve essere garantita non solo dagli istituti coinvolti, ma anche dagli offerenti terzi.

Da qui discendono criteri verificabili prima di firmare con un fornitore di interfacce. La definizione di Swiss Banking richiede un operatore terzo di comprovata affidabilità: identità giuridica e autorizzazioni vanno controllate, non presunte.

Serve poi sapere a quali dati il terzo accede: sola lettura dei saldi o iniziazione di pagamenti sono livelli diversi. Va chiarito chi detiene le credenziali di accesso e quale standard aperto viene utilizzato.

Occorre verificare se il fornitore ricorre a subfornitori, come è gestito un incidente di sicurezza e chi risponde del danno. Infine, con quali modalità e tempi si esce dal contratto riportando i dati in proprio possesso.

Per le controparti sottoposte a vigilanza esiste un quadro formale. La circolare FINMA 2023/1 Rischi operativi e resilienza definisce i requisiti per banche, rivenditori di titoli e compagnie di assicurazione che esternalizzano a un provider di servizi qualsiasi funzione significativa per le attività aziendali. La società che esternalizza resta responsabile nei confronti della FINMA come se svolgesse internamente le funzioni esternalizzate. Una PMI che fornisce servizi a un istituto regolamentato dovrà quindi rispondere contrattualmente a requisiti di questo tipo.

Vantaggi e rischi dell'open banking per le PMI

Se la PMI offre servizi finanziari: quando serve l'autorizzazione FINMA

Chi intende operare sul mercato finanziario deve ottenere l'autorizzazione della FINMA. L'Autorità verifica se le imprese soddisfano i requisiti legislativi: solo chi adempie i requisiti finanziari, organizzativi e in materia di personale ha diritto all'autorizzazione.

Le leggi sui mercati finanziari associano alle diverse forme di autorizzazione requisiti di rigorosità differente. Le autorizzazioni possono comportare l'obbligo di pagamento di emolumenti secondo l'Ordinanza sugli emolumenti e sulle tasse della FINMA.

Dopo il rilascio, la FINMA effettua controlli di diversa intensità. Se le disposizioni di vigilanza non sono più adempiute, può arrivare fino alla revoca dell'autorizzazione come ultima ratio.

Per le aziende finanziarie innovative il legislatore ha creato l'autorizzazione fintech, una categoria ottenibile a condizioni agevolate e rilasciata dalla FINMA. Consente di accettare depositi del pubblico fino alla soglia massima di cento milioni di franchi svizzeri o valori patrimoniali basati sui principi della crittografia. Condizione è che i depositi del pubblico o i valori patrimoniali non vengano investiti né siano corrisposti interessi sugli stessi.

Un'ulteriore condizione è che l'istituto autorizzato sia una società anonima, una società in accomandita o una società a garanzia limitata. Deve avere la propria sede e svolgere la sua attività in Svizzera.

I depositi della clientela non sono privilegiati né protetti da una garanzia dei depositi in caso di fallimento dell'istituto con autorizzazione fintech. I futuri clienti ne devono essere informati (art. 1b cpv. 4 lett. d LBCR e art. 7a cpv. 3 OBCR).

Sul piano procedurale, la FINMA pubblica una guida pratica per agevolare la richiesta. Gli interessati possono presentare il loro progetto prima di inoltrare la domanda.

Il processo è soggetto a un emolumento. La FINMA può esigere un rapporto di audit per l'autorizzazione. La durata della procedura dipende dalla complessità del progetto, dalla qualità e dalla completezza della richiesta.

Nel rapporto del 16 dicembre 2022 il Consiglio federale ha riconosciuto la necessità di intervenire in questo ambito. La questione va considerata nel progetto di regolamentazione sull'adeguamento del diritto in materia di mercati finanziari, in vista di modelli aziendali innovativi degli istituti finanziari.

Scegliere un partner API: standard esistenti, redditività e conformità

Sul piano degli standard, l'indicazione del terzo Open Banking Summit di OpenBankingProject.ch è netta. L'evento si è svolto il 25 agosto 2022 nella sede zurighese di Google. La Svizzera dovrebbe basarsi sugli standard esistenti invece di crearne dei propri.

Alla tavola rotonda hanno partecipato, tra gli altri, Roi Tavor (Google Cloud Austria & Switzerland), Stefanie Auge-Dickhut (Business Engineering Institute) e Ana Climente (BBVA). Parallelamente, Banca Migros ricorda che la standardizzazione è un mezzo per ridurre i costi del processo. Quando si discutono le interfacce di programmazione non si deve perdere di vista la redditività.

Da questi due criteri derivano passi concreti per la valutazione di un fornitore. Primo: preferire interfacce conformi a standard aperti e diffusi, perché uno standard proprietario alza i costi di uscita e di ricambio del fornitore.

Secondo: calcolare la redditività confrontando costi di integrazione e manutenzione, commissioni o emolumenti ricorrenti e risparmio ottenuto dall'automazione di riconciliazione e inserimento dati. Non valutare solo il beneficio commerciale.

Terzo: come nell'esempio Klarna, il beneficio per il cliente e la sicurezza dei dati vanno valutati insieme. La garanzia della sicurezza non riguarda solo la banca, ma anche l'offerente terzo.

Completa la verifica la conformità del partner. Vanno controllati: comprovata affidabilità, titolarità e uso dei dati definiti per iscritto, responsabilità in caso di incidente, riferimenti a standard riconosciuti e coerenza con gli obblighi regolamentari della controparte bancaria. Un fornitore che non è in grado di documentare questi punti in modo verificabile va escluso prima della firma, non dopo l'integrazione.

Criteri essenziali per scegliere un partner API

Prospettive svizzere: verso un'apertura maggiore delle interfacce

Nella seduta del 16 dicembre 2022 il Consiglio federale si è occupato degli sviluppi dell'open finance in Svizzera. Ha incaricato il Dipartimento federale delle finanze (DFF) di presentargli entro giugno 2024 possibili misure da adottare per incentivare il settore finanziario ad aprire maggiormente le proprie interfacce.

La direzione politica è quindi dichiarata. Lo scambio di dati finanziari su richiesta dei clienti, attraverso interfacce standardizzate e sicure, è un obiettivo da promuovere. Non è un'opzione da lasciare alla singola iniziativa privata.

Per una PMI la conseguenza pratica è prepararsi a un ecosistema di dati finanziari più interoperabile. Tre attività sono utili già ora.

Fare l'inventario dei dati finanziari che l'impresa produce e riceve. Chiedere esplicitamente ai fornitori attuali di contabilità, gestione e commercio online quali interfacce standard espongono e con quali condizioni. Progettare i propri processi interni in modo che dati provenienti da fonti diverse possano essere riconciliati automaticamente quando l'apertura si estenderà oltre i servizi di pagamento.