Pagamenti elettronici in azienda: autorizzazioni FINMA e ruolo dei PSP

Pagare e farsi pagare: una scelta operativa che tocca la vigilanza sui mercati finanziari

In Svizzera la FINMA è l'autorità indipendente che vigila sul mercato finanziario. Rilascia autorizzazioni, verifica il rispetto dei requisiti normativi e può sanzionare le violazioni. Il suo perimetro comprende banche, assicurazioni, borse e fornitori di servizi finanziari, inclusi i fornitori di servizi di pagamento.

Per un'impresa i pagamenti elettronici rispondono a due esigenze: pagare i fornitori e incassare dai clienti. Bonifici, pagamenti con carta e addebiti diretti non sono intercambiabili, ma sul piano tecnico non viaggiano su binari separati.

Per l'azienda, il bonifico serve a pagare i fornitori; l'addebito diretto e la carta a incassare dai clienti. Bonifici e addebiti diretti si regolano nel SIC. I pagamenti con carta passano dal circuito all'acquirer e arrivano al conto dell'esercente, di norma tramite un PSP.

L'infrastruttura di pagamento comprende i circuiti di carte (Visa, Mastercard), i sistemi bancari (SIC in Svizzera, TARGET2 nell'UE), i PSP, i gateway di pagamento, i sistemi di clearing e regolamento e le autorità di regolamentazione.

Il sistema di pagamento centrale della Svizzera è Swiss Interbank Clearing (SIC), la cui conduzione operativa è affidata dalla Banca nazionale svizzera a SIX Interbank Clearing SA. È in funzione dal 10 giugno 1987.

Al SIC partecipano soprattutto banche residenti e altri operatori del mercato finanziario. Oltre ai pagamenti di importo elevato, vi si regolano i pagamenti al dettaglio relativi a bonifici, pagamenti con carta e addebiti diretti. Dal 2024 il sistema gestisce anche gli Instant Payments (SIC IP).

I tre strumenti non seguono lo stesso percorso. Bonifici e addebiti diretti sono regolati nel SIC. I pagamenti con carta passano dal circuito all'acquirer e arrivano al conto dell'esercente, di norma attraverso un PSP.

I soggetti cambiano con lo strumento. Su bonifici e addebiti diretti opera il SIC. Sulle carte operano circuito e acquirer, con il PSP verso l'esercente. Per i bonifici internazionali le banche usano SWIFT.

In quanto infrastruttura del mercato finanziario di rilevanza sistemica, al SIC si applicano i principi CPMI-IOSCO per le infrastrutture del mercato finanziario.

Per i pagamenti internazionali le banche si appoggiano a SWIFT, la rete usata per lo scambio di messaggi finanziari. SIX, in quanto gestore del SIC, è soggetta alla vigilanza della FINMA.

Un bonifico verso l'UE o gli Stati Uniti viene di norma accreditato presso la banca del destinatario entro un giorno lavorativo.

Per incassare con carta, l'azienda sceglie un PSP o un gateway. Il gateway collega il negozio online all'infrastruttura; il PSP comunica in background con circuiti, acquirer e banche. Al negozio resta un'interfaccia unica.

Anche in uscita l'azienda usa la carta. La carta di credito aziendale è emessa dalla banca e collegata a un circuito; per le PMI serve a gestire le spese.

Per un'azienda, le modalità con cui incassa non sono solo una questione di tesoreria. Determinati modelli di business richiedono un'autorizzazione, ad esempio quando accetta professionalmente fondi di terzi o fornisce servizi di traffico dei pagamenti.

Le scelte operative per i tre strumenti sono concrete. Con le carte contano circuito e acquirer. Con addebiti diretti e bonifici conta il regolamento nel SIC. Con i bonifici internazionali conta il percorso SWIFT.

La FINMA dichiara di seguire con molta attenzione le sfide fintech. Lo fa su autorizzazioni, vigilanza e regolamentazione. Mette sullo stesso piano buone condizioni quadro per l'innovazione e la tutela dei clienti e del sistema.

Chi usa carte, bonifici e addebiti diretti per pagare fornitori e incassare dai propri clienti resta un cliente del sistema finanziario. Chi invece riceve e inoltra fondi di terzi può entrare nel perimetro vigilato, con obblighi di autorizzazione o di affiliazione a un organismo di autodisciplina (OAD).

Strumenti di pagamento e loro percorso nel sistema svizzero

Il test preliminare: transita denaro di terzi sul vostro conto?

La FINMA indica una sequenza precisa. Prima di avviare l'attività bisogna appurare se l'impresa fintech ricade nelle misure di prevenzione del riciclaggio di denaro e nell'obbligo di autorizzazione.

Il test parte da poche domande: sui vostri conti transita denaro dei clienti? Fornite servizi nell'ambito di pagamenti, cambi valutari, fiduciari, gestione patrimoniale, credito o leasing, oppure emettete mezzi di pagamento? Se sì, occorre informarsi se si è soggetti alla Legge sul riciclaggio di denaro.

Sulle carte il percorso del denaro è diverso da quello di un bonifico. Il pagamento passa dal circuito all'acquirer e arriva al conto dell'esercente, di norma attraverso un PSP. La domanda del test resta la stessa: chi detiene i fondi e per quanto tempo.

Sui bonifici e sugli addebiti diretti il test si applica al conto che riceve l'importo. Il criterio decisivo resta la detenzione diretta dei fondi: chi li detiene e per quanto tempo.

Applicare il test significa ricostruire il flusso del denaro, non il flusso dei dati. Chi versa, su quale conto, per quanto tempo i fondi restano lì, chi può disporne e chi ne sopporta il rischio durante il transito.

Da questa ricostruzione derivano tre esiti possibili: nessun obbligo particolare, affiliazione a un OAD per gli obblighi di diligenza, oppure necessità di un'autorizzazione FINMA. La FINMA sottolinea che preliminarmente all'avvio dell'attività è necessario appurare se l'impresa è soggetta alle misure di prevenzione del riciclaggio di denaro e all'obbligo di autorizzazione.

Incassare per conto di altri: il caso di negozi online, piattaforme e marketplace

Il caso tipico è l'operatore di marketplace che detiene i fondi degli acquirenti su un proprio conto prima di versarli ai venditori. La FINMA classifica questa attività come soggetta ad autorizzazione.

Chi, come piattaforma, accetta professionalmente pagamenti dagli acquirenti e li inoltra ai venditori può essere considerato un intermediario finanziario ai sensi della Legge sul riciclaggio di denaro (LRD). Serve allora l'affiliazione a un organismo di autodisciplina (OAD) o l'assoggettamento diretto alla FINMA.

Il criterio decisivo è la detenzione diretta dei fondi. Se il marketplace esternalizza l'elaborazione dei pagamenti a un fornitore di servizi di pagamento autorizzato e non detiene direttamente i fondi dei clienti, di norma non gli occorre una propria autorizzazione.

Un gateway di pagamento collega il negozio online all'infrastruttura. Il PSP astrae la complessità e offre all'esercente un'interfaccia semplice.

Non tutti gli incassi passano da un conto di transito. Il criterio resta la detenzione diretta dei fondi: se l'azienda non detiene fondi di terzi, di norma non si pone il problema della custodia. Il regolamento di bonifici e addebiti diretti avviene nel SIC, che tratta gli addebiti diretti accanto ai bonifici e ai pagamenti con carta.

Perciò conviene disegnare il flusso in modo esplicito: conto di transito a nome di chi, momento esatto in cui il venditore riceve il pagamento, chi assume il rischio su storni e frodi.

Quale autorizzazione, se serve: autorizzazione FinTech, licenza bancaria e istituto di mezzi di pagamento

La Svizzera prevede più livelli di autorizzazione. L'autorizzazione FinTech ai sensi dell'art. 1b LBa riguarda i depositi del pubblico fino a CHF 100 milioni. È il limite quantitativo da tenere d'occhio se il modello prevede la raccolta di fondi della clientela.

Per gli istituti finanziari classici resta necessaria la licenza bancaria. Con la prevista riforma LIsFi si aggiunge la nuova categoria di istituto di mezzi di pagamento.

I PSP necessitano di un'autorizzazione della FINMA a seconda del loro modello di business.

La domanda da porsi non è quindi «serve un'autorizzazione?», ma «in quale casella ricade il mio modello?». Elementi come l'accettazione di fondi del pubblico, la detenzione di fondi per conto di terzi, l'emissione di mezzi di pagamento e l'erogazione di credito o leasing orientano verso l'uno o l'altro regime. Un'azienda che si limita ad acquistare servizi di pagamento da un terzo autorizzato, senza entrare nella catena di custodia, non rientra in questi livelli.

Un'azienda che si limita a pagare con bonifici e carte e a incassare con carte e addebiti diretti resta fuori da questi livelli. La soglia di CHF 100 milioni dell'art. 1b LBa riguarda i depositi del pubblico, non il volume annuo degli incassi.

Livelli di autorizzazione FINMA per attività fintech

Aprire una relazione d'affari a distanza: video identificazione e obblighi di diligenza

Per avviare relazioni d'affari in ambito finanziario tramite canali digitali, la FINMA ha creato un quadro con una circolare dedicata. La circolare 2016/07 «Video identificazione e identificazione online» interpreta gli obblighi di diligenza della normativa sul riciclaggio di denaro nel contesto dei servizi finanziari digitali.

Lo fa nel rispetto del principio della neutralità tecnologica, mettendo in primo piano la video identificazione. È in vigore dal 18 marzo 2016 ed è stata aggiornata il 6 maggio 2021.

Per le imprese blockchain esiste un riferimento specifico sul lato bancario. Il 21 settembre 2018 l'Associazione Svizzera dei Banchieri ha pubblicato una guida pratica, destinata ai suoi membri, concernente l'apertura di conti aziendali per le imprese blockchain. Il DFF e la FINMA sostengono l'iniziativa e la pubblicazione di questa guida.

Sul piano operativo, chi sceglie un onboarding digitale deve verificare che il fornitore o la banca incaricata rispetti il quadro definito dalla circolare. La circolare interpreta gli obblighi di diligenza della normativa sul riciclaggio di denaro nel contesto dei servizi finanziari digitali, nel rispetto del principio della neutralità tecnologica e con la video identificazione in primo piano.

La via più pragmatica per le PMI: appoggiarsi a un fornitore di servizi di pagamento autorizzato

Per una PMI che gestisce un negozio online o un marketplace, la collaborazione con un fornitore di servizi di pagamento (PSP) regolamentato è di norma la via più pragmatica per evitare obblighi di autorizzazione propri.

Per scegliere il PSP, partite dagli strumenti. Le carte richiedono circuito e acquirer; Visa e Mastercard sono i circuiti citati. Addebiti diretti e bonifici si regolano nel SIC. I bonifici internazionali passano da SWIFT.

L'esempio è lineare: un PSP possiede un'autorizzazione FINMA e gestisce l'elaborazione dei pagamenti per il marketplace, e l'operatore della piattaforma non necessita di alcuna autorizzazione propria. Il presupposto resta quello visto sopra: i fondi dei clienti non devono essere detenuti direttamente dalla piattaforma.

Chiedete quali strumenti copre il PSP: carte dei circuiti Visa e Mastercard, addebiti diretti, bonifici. Il PSP comunica in background con i circuiti delle carte, gli acquirer e le banche; al negozio resta un'interfaccia unica.

Un gateway di pagamento collega il negozio online all'infrastruttura di pagamento. Per l'esercente, l'infrastruttura determina la velocità, i metodi disponibili e la sicurezza delle transazioni.

Conviene verificare strumento per strumento. Per le carte contano il circuito (Visa, Mastercard) e l'acquirer; per gli addebiti diretti e per i bonifici il regolamento avviene nel SIC; per i bonifici internazionali il percorso passa da SWIFT.

Nella scelta del partner i criteri sono concreti e contrattualizzabili. Verificate l'ambito esatto dell'autorizzazione del PSP e quali servizi copre. Chiarite chi detiene i fondi e in quale momento l'importo è accreditato al venditore. Controllate quali strumenti di pagamento sono supportati (carte, addebiti diretti, bonifici) e con quali regole di schema.

Il sistema SIC elabora tutti i pagamenti in CHF tra le banche svizzere: bonifici, addebiti diretti e, dal 2024, gli Instant Payments (SIC IP). I bonifici internazionali passano per SWIFT e, se diretti verso l'UE o gli Stati Uniti, sono di norma accreditati presso la banca del destinatario entro un giorno lavorativo.

Tempi di liquidazione e valute vanno definiti per iscritto. Lo stesso vale per la ripartizione di responsabilità su storni, frodi e chargeback.

Fate indicare la struttura delle commissioni. Esaminate il trattamento dei dati personali e il luogo in cui sono elaborati.

Le commissioni non sono una voce unica: la composizione cambia tra carte, addebiti diretti e bonifici. Fatevi indicare per iscritto come sono composte per ciascuno strumento e a chi sono applicate.

Sul lato delle uscite, molte PMI affiancano una carta di credito aziendale, emessa dalla banca e collegata a un circuito, agli strumenti con cui incassano.

In sede di contratto conviene fissare per iscritto chi è titolare del trattamento dei dati e come si ripartiscono le perdite per frodi e storni. Stipulate i livelli di servizio con i relativi canali di escalation.

Regolate le condizioni di uscita: preavviso, portabilità delle credenziali e continuità dell'incasso durante la migrazione.

Un modello di pagamento ben documentato, con la custodia dei fondi in capo a un soggetto autorizzato, è anche l'argomento più solido da presentare a una banca nell'ambito dell'apertura o della revisione della relazione d'affari.

Verifica preliminare per PMI che gestiscono pagamenti online