Extension d’agrément d’une entité supervisée en Espagne

Lorsque le superviseur accorde un agrément, il n’autorise pas l’entité à opérer dans son secteur : il l’autorise à fournir les services concrets inscrits dans son programme d’activités. Tout ce qui sort de cette liste est hors périmètre, même si c’est voisin, même si c’est techniquement trivial et même si le client le demande. C’est pourquoi il existe une procédure d’extension propre.

L’erreur de départ la plus fréquente est de le traiter comme une formalité administrative mineure. Ce n’en est pas une, et la norme le dit clairement dans le régime des établissements financiers de crédit : l’article 16 du décret royal 309/2020 prévoit que l’EFC qui souhaite étendre ses activités « sollicitera une nouvelle autorisation », même si elle est instruite par la voie de la modification statutaire. Ce n’est pas un avenant à l’agrément que vous avez déjà : c’est une autorisation nouvelle sur un périmètre nouveau.

La deuxième erreur est inverse : demander une autorisation pour des choses qui n’en nécessitent pas. La norme réserve une liste limitative de modifications qui se règlent par une simple communication a posteriori, et les faire passer par la voie de l’autorisation consume trois mois de calendrier sans nécessité. Bien distinguer l’un et l’autre régime est la partie du travail qui fait gagner le plus de temps.

Et la troisième, la plus coûteuse, est de ne rien faire : continuer à fournir un nouveau service en supposant que l’agrément « le couvre déjà ». Cette hypothèse relève directement de l’activité réservée (monopole), avec des conséquences qui ne se limitent pas à un dossier de régularisation.

C’est une inversion délibérée et elle a sa logique : dans l’autorisation initiale, le superviseur décide si une nouvelle entité entre dans le système, et là le silence ne peut pas jouer en faveur du demandeur. Dans la modification, en revanche, l’ entité est déjà dans le système, déjà supervisée, et le superviseur la connaît déjà ; ce qui est évalué, c’est un changement de périmètre sur quelque chose d’existant, et la norme accepte que l’écoulement du délai produise un effet positif.

Pour qui gère le projet, cela change complètement la stratégie procédurale. Dans une autorisation initiale, l’ objectif est d’éviter que le délai expire sans décision, car l’expiration signifie perdre. Dans une extension, l’expiration du délai est une position juridique exploitable. Il convient donc de justifier avec précision le jour où le dossier est devenu complet, car c’est de là que court le délai de trois mois — ou de deux, si vous êtes une banque.

Une nuance importante : le délai des banques est de deux mois, et non de trois. L’article 10.1 du décret royal 84/2015 le fixe expressément ainsi pour la modification statutaire, contre les trois mois des établissements de paiement et de monnaie électronique. C’est l’une de ces différences qui n’apparaissent dans aucun résumé et qui déstabilisent celui qui transpose l’expérience d’une catégorie à l’autre.

La mention expresse du régime de la monnaie électronique mérite attention, car elle anticipe la façon dont toute extension est évaluée : le superviseur peut la refuser si l’entité ne remplit pas les exigences de solvabilité ou si elle ne dispose pas d’une organisation administrative, comptable et de procédures de contrôle interne adaptées aux nouvelles activités. En d’autres termes, l’extension n’est pas évaluée dans l’abstrait : elle l’est au regard de votre organisation réelle au moment de la demande.

Cela a une conséquence de séquencement qu’il convient de planifier. Si le nouveau service exige un profil que vous n’avez pas recruté, un contrôle que vous n’avez pas mis en place ou un niveau de fonds propres que vous n’atteignez pas, le dossier d’ extension arrivera avant la capacité. La demande doit être déposée lorsque l’organisation supporte déjà ce qui est demandé, et non lorsque le business plan dit qu’elle le supportera.

La modification des statuts sociaux d’une entité supervisée est soumise, en règle générale, à autorisation préalable. Pour les établissements de paiement et de monnaie électronique, elle est accordée par la Banque d’Espagne après rapport du SEPBLAC — sauf dans les cas de réduction du capital social, expressément exclus du rapport —, dans un délai de trois mois et avec silence valant acceptation. Pour les banques, le délai est ramené à deux mois.

La documentation exigée par la norme est courte et très concrète. L’article 6.1 du décret royal 736/2019 l’ énumère : une certification de l’acte par lequel elle a été décidée, un rapport justificatif de la proposition établi par l’organe d’administration et un projet de nouveaux statuts identifiant les modifications introduites. Le même trio se retrouve littéralement dans le régime de la monnaie électronique et dans le régime bancaire.

Cette dernière exigence est constamment méconnue. « Identifiant les modifications introduites » ne signifie pas fournir les nouveaux statuts : cela signifie les fournir en indiquant ce qui a changé. Présenter un texte propre oblige le superviseur à comparer deux documents ligne à ligne, et cette friction se traduit par une demande d’informations qui consomme tout un tour d’échanges.

Une fois l’autorisation obtenue et après inscription de l’opération au registre du commerce (Registro Mercantil) le cas échéant, sont inscrits au registre spécial du superviseur les aspects de la modification statutaire ou de l’extension d’activités qui s’y prêtent. Le circuit ne s’achève pas avec la décision : il s’achève avec l’inscription.

La quatrième exception est la plus utile et la moins utilisée. Elle permet de ramener toute modification à une simple communication dès lors que le superviseur, répondant à une consultation préalable formulée à cet effet, a jugé inutile la procédure d’autorisation « en raison de sa faible importance ». C’est une échappatoire conçue précisément pour les changements techniques qui ne modifient rien de substantiel, et qui passent pourtant par la voie des trois mois simplement parce que personne n’a posé la question.

La contrepartie figure à l’alinéa suivant : si ce qui est communiqué excède ce que prévoit le régime d’exception, le superviseur en avertira les intéressés dans un délai de trente jours, afin qu’ils revoient les modifications ou se conforment à la procédure d’autorisation. Il existe donc un pouvoir de requalification. Communiquer ce qui devait être autorisé ne le rend pas communicable : cela retarde seulement le moment où on le découvre, et oblige à recommencer la bonne procédure avec un mois de perdu.

L’externalisation a son propre régime et sa propre gradation. L’article 15 du décret royal 736/2019 définit ce qu’est une fonction opérationnelle importante selon un critère finaliste : elle l’est « si une anomalie ou une déficience dans son exécution peut affecter de manière substantielle la capacité de l’entité à respecter en permanence les conditions découlant de son autorisation », ou ses autres obligations, « ou affecter les résultats financiers, la solidité ou la continuité de ses services de paiement, et la confidentialité des informations qu’elle traite ».

Tout le reste dépend de cette qualification :

• Fonction importante : communication au superviseur au moins un mois avant l’adoption de la mesure ou la prise d’effet de l’externalisation. Et dans ce même délai d’un mois à compter de la réception de la communication complète, le superviseur « pourra, par décision motivée, établir des limitations ou s’opposer à l’externalisation ».
• Fonction non importante : communication dans un délai d’un mois à compter de leur prise d’effet. C’est-à-dire a posteriori.

La norme ajoute en outre deux limites matérielles à garder à l’esprit lors de la négociation du contrat avec le prestataire : l’externalisation ne pourra entraîner « un vidage complet du contenu de l’activité générale de l’entité », ni porter atteinte aux pouvoirs de supervision. Et le terme d’externalisation couvre à la fois la délégation initiale et les sous-délégations successives que le prestataire peut effectuer : toute la chaîne entre dans le périmètre, pas seulement le premier maillon. Si vous passez ce domaine en revue, il convient de le croiser avec l’externalisation de fonctions critiques.

La première conséquence est évidente : vous fournissez un service réservé sans titre habilitant. L’article 5.3 du décret-loi royal 19/2018 est catégorique — « Il est interdit de fournir l’un quelconque des services de paiement énumérés à l’article 1 à toute personne physique ou morale qui n’est pas prestataire de services de paiement ni expressément exclue du champ d’application du présent décret-loi royal » —, et détenir un agrément pour certains services ne fait pas de vous un prestataire habilité pour d’autres.

La seconde est moins évidente et touche la croissance internationale. Le périmètre de votre autorisation est aussi le périmètre de votre passeport européen : l’autorisation « permettra de fournir les services de paiement qui sont couverts par l’autorisation » dans toute l’Union. Et lorsque vous demandez l’ouverture d’une succursale, l’écart devient une cause autonome de refus. C’est écrit dans deux textes distincts, avec les mêmes mots : le superviseur peut refuser « lorsque le programme d’activités prévoit la fourniture de services de paiement non autorisés pour l’entité » — article 10.3 du décret royal 736/2019 — et, pour les établissements de crédit, « lorsque le programme d’ activités présenté prévoit des activités non autorisées pour l’entité » — article 14.1 du décret royal 84/2015.

La lecture stratégique est simple : si votre plan à deux ans inclut un nouveau service et l’expansion vers un autre État membre, l’extension passe en premier. Notifier un passeport avec un programme qui déborde de votre autorisation ne fonctionne pas, et de surcroît vous place sur le radar du superviseur pour une raison que vous auriez pu éviter.