Obtenez votre agrément et exercez en tant que PISP (Payment Initiation Service Provider) en toute sécurité : conseil réglementaire DSP2, enregistrement auprès de la Banque d’Espagne, structuration juridique, conformité LCB-FT et documentation technique pour les établissements de paiement et les fintech.
« Nous gérons l’ensemble de la procédure d’agrément en tant que PISP auprès de la Banque d’Espagne : dossier réglementaire, documentation technique, business plan et politique de sécurité. »
« Nous concevons le cadre de conformité DSP2 de votre PISP : authentification forte (SCA), interfaces d’accès aux comptes (API), gestion du consentement et protection de l’utilisateur. »
« Nous mettons en place le dispositif de lutte contre le blanchiment adapté au modèle économique d’un PISP : KYC des utilisateurs, surveillance des transactions et déclarations au SEPBLAC. »
« Nous vous conseillons sur la notification du passeport européen afin d’exercer comme PISP dans d’autres États membres de l’UE à partir de votre agrément espagnol, avec une charge réglementaire supplémentaire minimale. »
Gestion complète du dossier d’agrément en tant qu’établissement de paiement PISP : mémoire descriptif, business plan, politiques de sécurité et documentation réglementaire complète.
Conception et mise en œuvre du cadre réglementaire DSP2 pour les PISP : authentification forte du client (SCA), accès aux comptes par API, gestion du consentement et notification des incidents.
Mise en place du dispositif de lutte contre le blanchiment adapté au modèle PISP : évaluation des risques, KYC des utilisateurs, surveillance des opérations et obligations de déclaration au SEPBLAC.
Rédaction des conditions générales, des contrats-cadres de services de paiement, des accords avec les banques et les TPP, et de la documentation d’information précontractuelle exigée par la DSP2.
Élaboration de la politique de sécurité de l’information, du plan de continuité d’activité, de la gestion des incidents majeurs et de leur notification à la Banque d’Espagne conformément à la DSP2.
Notification du passeport européen pour exercer comme PISP dans d’autres États membres : procédure de notification, exigences locales et coordination avec les autorités compétentes.
Agrément refusé ou retiré : exercer comme PISP sans l’agrément requis de la Banque d’Espagne constitue une infraction très grave pouvant entraîner des amendes et la cessation immédiate de l’activité.
Non-conformité à la DSP2 : l’absence d’authentification forte (SCA), le défaut d’interfaces d’accès adéquates ou une mauvaise gestion du consentement exposent le PISP à des sanctions réglementaires et à des réclamations d’utilisateurs.
Risques de sécurité et responsabilité : les PISP répondent des pertes résultant d’opérations de paiement non autorisées s’ils ne peuvent pas démontrer que l’utilisateur a correctement authentifié l’opération.
Manquements aux obligations LCB-FT : les PISP sont soumis à la réglementation de lutte contre le blanchiment. L’absence de contrôles KYC et de surveillance des transactions peut entraîner des sanctions du SEPBLAC.
Expansion européenne bloquée : sans passeport correctement notifié, le PISP ne peut pas proposer légalement ses services d’initiation de paiement dans d’autres États membres de l’UE.
Un PISP (Payment Initiation Service Provider, ou prestataire de services d’initiation de paiement) est une catégorie de prestataire de services de paiement réglementée par la directive DSP2 (directive (UE) 2015/2366) qui permet à des tiers d’initier des paiements depuis le compte bancaire de l’utilisateur, avec son consentement exprès, sans que celui-ci ait à accéder directement à sa banque.
Le PISP joue le rôle d’intermédiaire entre l’utilisateur payeur et la banque qui tient le compte : il initie l’ordre de paiement via les interfaces d’accès ouvertes (API) que les banques doivent mettre à la disposition des tiers dans le cadre de l’open banking de la DSP2.
Les PISP sont un acteur clé de l’écosystème fintech européen : ils permettent les paiements instantanés, le paiement en ligne sans carte, les solutions de paiement B2B et de nouveaux modèles économiques fondés sur l’accès aux données de paiement.
Le PISP (Payment Initiation Service Provider) initie des ordres de paiement depuis le compte de l’utilisateur, tandis que l’AISP (Account Information Service Provider) accède uniquement aux informations sur les comptes de l’utilisateur à des fins d’agrégation, d’analyse ou de présentation de données, sans exécuter de paiements.
Les deux statuts sont réglementés par la DSP2 et exigent un agrément ou un enregistrement auprès du superviseur compétent, mais leurs obligations diffèrent : les PISP assument une responsabilité accrue en matière de sécurité et d’authentification, car ils exécutent des transactions qui déplacent des fonds, alors que les AISP opèrent en lecture seule.
Une même entité peut obtenir la double habilitation PISP + AISP si son modèle économique combine l’initiation de paiement et l’agrégation de comptes, ce qui est courant dans les solutions d’open banking complètes.
En Espagne, l’agrément en tant que PISP s’obtient auprès de la Banque d’Espagne, autorité compétente pour superviser les établissements de paiement conformément à la loi 21/2011 sur la monnaie électronique et au décret-loi royal 19/2018 sur les services de paiement.
La procédure d’agrément prend généralement entre trois et six mois à compter du dépôt du dossier complet, selon la complexité du modèle économique et la qualité de la documentation fournie.
L’authentification forte du client (SCA) est l’une des exigences les plus strictes imposées aux PISP par la DSP2. Avant d’initier un paiement, le PISP doit s’assurer que l’utilisateur a été authentifié par sa banque au moyen d’au moins deux des trois facteurs possibles : quelque chose que l’utilisateur connaît (code PIN, mot de passe), quelque chose qu’il possède (appareil mobile, carte) et quelque chose qu’il est (biométrie).
Les PISP ne conservent pas les identifiants bancaires de l’utilisateur : ils accèdent à l’interface de la banque (API de production) au moyen du jeton d’authentification généré lors du processus SCA, ce qui garantit la sécurité de la transaction sans compromettre les identifiants de l’utilisateur.
Le respect de la SCA est essentiel pour que le PISP soit exonéré de sa responsabilité en cas de réclamation pour des opérations de paiement non autorisées.
Les PISP figurent parmi les entités assujetties à la loi 10/2010 sur la prévention du blanchiment de capitaux et du financement du terrorisme, ce qui implique des obligations spécifiques adaptées au modèle économique de l’initiation de paiement.
Parmi les obligations les plus importantes figurent l’identification et la vérification de l’identité des clients (KYC), l’identification du bénéficiaire effectif lorsque le donneur d’ordre est une personne morale, la surveillance continue des transactions initiées pour détecter les schémas anormaux et la déclaration des opérations suspectes au SEPBLAC.
Le dispositif LCB-FT du PISP doit être adapté à sa position dans la chaîne de paiement : bien que le PISP ne détienne pas les fonds du client, il a accès à des informations transactionnelles précieuses, qui doivent être traitées avec rigueur et confidentialité.
En juin 2023, la Commission européenne a publié ses propositions de DSP3 et de nouveau règlement sur les services de paiement (PSR), qui apporteront des changements importants pour les PISP : renforcement des droits d’accès aux interfaces bancaires, meilleur cadre de responsabilité en cas de fraude, nouvelles obligations d’information de l’utilisateur et exigences d’interopérabilité accrues.
La DSP3 élargit aussi le champ d’application de l’open banking et renforce la position concurrentielle des PISP face aux banques, qui devront mettre à disposition des interfaces de meilleure qualité, offrant de meilleures garanties de disponibilité.
Les entités qui exercent déjà comme PISP sous la DSP2 devront revoir leur documentation réglementaire et leurs systèmes techniques pour s’adapter aux nouvelles exigences de la DSP3 une fois celle-ci transposée en droit espagnol.
Le délai d’obtention de l’agrément PISP en Espagne varie de trois à six mois à compter du dépôt du dossier complet auprès de la Banque d’Espagne, et peut se prolonger si l’autorité demande des documents complémentaires ou des précisions sur le modèle économique.
Le coût du conseil juridique pour obtenir l’agrément PISP dépend de la complexité du modèle économique, du nombre de services de paiement demandés et du degré de préparation préalable de l’entité. S’y ajoutent les taxes réglementaires de la Banque d’Espagne et les coûts de mise en œuvre technique des systèmes de sécurité exigés.
Être accompagné par des spécialistes dès le début de la procédure réduit sensiblement le risque de demandes d’informations complémentaires de la Banque d’Espagne et raccourcit les délais d’obtention de l’agrément PISP.
La réglementation PISP recoupe d’autres domaines clés de la conformité, des fintech et de la régulation financière. Découvrez les services qui complètent votre projet.
Gamme complète de services de lutte contre le blanchiment pour les établissements de paiement : évaluation des risques, manuel, formation et audits adaptés au secteur fintech.
Conseil pour les PISP qui intègrent des paiements en crypto-actifs ou la technologie blockchain : règlement MiCA, enregistrement VASP et conformité réglementaire.
Rapport indépendant de conformité réglementaire pour les dossiers PISP : validation du dispositif LCB-FT, des politiques de sécurité et de la documentation destinée à la Banque d’Espagne.
Programmes de conformité d’entreprise pour les établissements de paiement PISP : dispositif d’alerte, code éthique et contrôles internes adaptés à l’environnement réglementaire financier.
Conception et mise en place de dispositifs LCB-FT pour les PISP : KYC des utilisateurs, surveillance des transactions et préparation aux inspections du SEPBLAC.
Document obligatoire adapté au modèle économique du PISP : procédures, rôles, circuits d’approbation et mesures de vigilance conformément à la loi 10/2010.
Structuration juridique de la vente secondaire de participations dans des fintech et des entités PISP : SPA, restrictions de transfert et conformité réglementaire.
Programme de compliance pénale pour les établissements de paiement : dispositif d’alerte, code éthique et preuves de conformité en cas d’inspection de la Banque d’Espagne.
Cochez les situations qui correspondent à votre modèle économique. Plus elles sont nombreuses, plus l’agrément PISP et un conseil réglementaire spécialisé s’imposent.
0 sur 10 cas
Cochez les situations qui correspondent à votre modèle économique.
Tout ce qu’il faut savoir sur le PISP : concept, cadre réglementaire en Espagne et dans l’UE, procédure d’agrément, exigences techniques, obligations LCB-FT et adaptation à la DSP3.
Un PISP (Payment Initiation Service Provider) est un prestataire de services de paiement réglementé qui, avec le consentement exprès de l’utilisateur, accède à l’interface d’accès aux comptes (API) de la banque du payeur pour transmettre un ordre de virement au nom de cet utilisateur, généralement pour finaliser un achat ou un paiement B2B.
Le déroulement d’une opération PISP est le suivant : l’utilisateur choisit de payer via le service du PISP, le PISP le redirige vers sa banque pour s’authentifier par SCA, puis, une fois l’utilisateur authentifié, le PISP envoie l’ordre de paiement via l’API de la banque, et la banque exécute le virement en confirmant au commerçant ou au bénéficiaire que le paiement a été initié. L’ensemble peut se faire en quelques secondes, sans carte bancaire et sans que l’utilisateur ait à se connecter manuellement à sa banque en ligne.
En Espagne, le cadre réglementaire du PISP repose principalement sur le décret-loi royal 19/2018 sur les services de paiement et d’autres mesures urgentes en matière financière, qui a transposé la directive DSP2 en droit espagnol. Ce texte fixe les conditions d’agrément, les obligations de transparence, les règles de responsabilité et le régime de sanctions applicables aux établissements de paiement, y compris les PISP.
La Banque d’Espagne est l’autorité de supervision compétente pour agréer et superviser les PISP en Espagne. Les normes techniques de réglementation (RTS) de l’ABE complètent le cadre réglementaire en précisant les exigences techniques de sécurité, les spécifications de la SCA et les conditions d’accès aux interfaces bancaires.
La procédure d’agrément en tant qu’établissement de paiement PISP en Espagne comporte plusieurs étapes. La phase préalable est la préparation du dossier : rédaction du programme d’activités, du business plan, des politiques de sécurité, des procédures LCB-FT, de la structure organisationnelle et de la documentation relative aux actionnaires significatifs et aux dirigeants.
La deuxième étape est le dépôt auprès de la Banque d’Espagne : le dossier est présenté par voie électronique via le registre de la Banque d’Espagne. L’autorité dispose de trois mois pour statuer à compter du moment où le dossier est complet, même si, en pratique, la procédure comprend des échanges de questions et des demandes de précisions qui peuvent allonger le délai.
Une fois l’agrément obtenu, le PISP est inscrit au Registre des établissements de la Banque d’Espagne et au registre européen de l’ABE (EBA Register), ce qui permet d’exercer dans toute l’UE grâce au passeport européen.
L’open banking est l’écosystème qui rend possible le modèle PISP. Sous la DSP2, les banques et autres entités qui tiennent des comptes de paiement (appelées ASPSP, Account Servicing Payment Service Providers) doivent mettre à la disposition des PISP des interfaces d’accès dédiées — généralement des API REST conformes à des standards tels que Berlin Group ou STET — par lesquelles les PISP peuvent initier des paiements avec le consentement de l’utilisateur.
Les PISP doivent se faire certifier auprès de chaque banque pour accéder à son API de production, en utilisant des certificats eIDAS qualifiés (QWAC et QSealC) délivrés par un prestataire de services de confiance qualifié. Cette certification technique est un préalable indispensable à l’activité réelle du PISP, indépendamment de l’agrément réglementaire déjà obtenu.
Le régime de responsabilité du PISP est l’un des aspects les plus importants de sa réglementation. Lorsqu’une opération de paiement initiée par un PISP se révèle non autorisée ou est mal exécutée, la responsabilité première incombe à la banque du payeur (ASPSP), qui doit rembourser immédiatement l’utilisateur. Toutefois, si le PISP est responsable de l’opération non autorisée ou mal exécutée, il devra indemniser la banque.
Pour être exonéré de sa responsabilité, le PISP doit démontrer qu’il a agi correctement dans son domaine de compétence et que l’authentification de l’utilisateur a été réalisée conformément aux exigences de la SCA. C’est pourquoi la documentation technique et la traçabilité de chaque opération sont essentielles à la défense du PISP en cas de réclamation.
L’erreur la plus courante est de démarrer l’activité sans agrément, en croyant que le modèle économique relève d’une exemption de la DSP2. Beaucoup de fintech découvrent trop tard que leur activité exige un agrément exprès de PISP, après avoir accumulé une période d’activité irrégulière qui peut entraîner des sanctions de la Banque d’Espagne.
Autre erreur fréquente : sous-estimer les exigences techniques. L’obtention des certificats eIDAS, l’intégration aux API bancaires et la mise en œuvre de la SCA demandent un temps et des moyens techniques considérables, qu’il faut planifier en parallèle de la procédure réglementaire, et non après.
Enfin, négliger le dispositif LCB-FT dès le départ est un risque grave : la Banque d’Espagne et le SEPBLAC exigent que les PISP aient leurs contrôles de conformité opérationnels dès le premier jour d’activité, et l’absence de ces dispositifs peut empêcher l’obtention de l’agrément ou entraîner des sanctions ultérieures.
Textes de référence, avec lien vers le texte officiel :
Textes et liens vérifiés en .