PISP: servizi di disposizione di ordine di pagamento in Spagna

Un PISP (Payment Initiation Service Provider, o prestatore di servizi di disposizione di ordine di pagamento) è una categoria di prestatore di servizi di pagamento regolata dalla Direttiva PSD2 (Direttiva (UE) 2015/2366) che consente a soggetti terzi di disporre pagamenti dal conto bancario dell’utente, con il suo consenso esplicito, senza che l’utente debba accedere direttamente alla propria banca.

Il PISP agisce da intermediario tra l’utente pagatore e la banca presso cui è tenuto il conto: dispone l’ordine di pagamento tramite le interfacce di accesso aperte (API) che le banche devono mettere a disposizione dei terzi nel quadro dell’open banking della PSD2.

I PISP sono una figura chiave dell’ecosistema fintech europeo: rendono possibili pagamenti istantanei, checkout senza carta, soluzioni di pagamento B2B e nuovi modelli di business basati sull’accesso ai dati di pagamento.

Il PISP (Payment Initiation Service Provider) dispone ordini di pagamento dal conto dell’utente, mentre l’AISP (Account Information Service Provider, prestatore di servizi di informazione sui conti) accede solo alle informazioni sui conti dell’utente per aggregazione, analisi o presentazione dei dati, senza eseguire pagamenti.

Entrambe le figure sono regolate dalla PSD2 e richiedono un’autorizzazione o una registrazione presso l’autorità di vigilanza competente, ma i loro obblighi sono diversi: i PISP hanno una responsabilità maggiore in materia di sicurezza e autenticazione, perché eseguono transazioni che muovono fondi, mentre gli AISP operano in un ambiente di sola lettura.

Uno stesso soggetto può ottenere la doppia abilitazione PISP + AISP se il suo modello di business combina la disposizione di pagamenti con l’aggregazione di conti, cosa frequente nelle soluzioni di open banking complete.

In Spagna l’autorizzazione come PISP si ottiene presso la Banca di Spagna, autorità competente per la vigilanza sugli istituti di pagamento ai sensi della Legge 21/2011 sulla moneta elettronica e del Real Decreto-ley 19/2018 sui servizi di pagamento.

Documentazione richiesta per la licenza PISP:

• Programma di attività con l’indicazione dei servizi di disposizione di ordine di pagamento previsti.
• Business plan con proiezioni finanziarie a tre anni.
• Descrizione della struttura organizzativa e della governance societaria.
• Politica di sicurezza delle informazioni e piano di gestione dei rischi operativi.
• Procedure di gestione degli incidenti gravi e di notifica alla Banca di Spagna.
• Meccanismi di controllo interno e audit, e politica AML/CFT.

Il processo di autorizzazione richiede in genere da tre a sei mesi dalla presentazione della domanda completa, a seconda della complessità del modello di business e della qualità della documentazione presentata.

L’autenticazione forte del cliente (SCA) è uno dei requisiti più impegnativi per i PISP ai sensi della PSD2. Prima di disporre un pagamento, il PISP deve assicurarsi che l’utente sia stato autenticato dalla propria banca con almeno due dei tre fattori possibili: qualcosa che l’utente conosce (PIN, password), qualcosa che possiede (dispositivo mobile, carta) e qualcosa che è (biometria).

I PISP non conservano le credenziali di accesso bancario dell’utente: accedono all’interfaccia della banca (API di produzione) usando il token di autenticazione generato nel processo SCA, il che garantisce la sicurezza della transazione senza compromettere le credenziali dell’utente.

Il corretto rispetto della SCA è fondamentale perché il PISP possa essere esonerato dalla responsabilità in caso di reclami per operazioni di pagamento non autorizzate.

I PISP rientrano tra i soggetti obbligati dalla Legge 10/2010 sulla prevenzione del riciclaggio di denaro e del finanziamento del terrorismo, il che comporta una serie di obblighi specifici, adattati al modello di business della disposizione di ordini di pagamento.

Tra gli obblighi più rilevanti vi sono l’identificazione e la verifica dell’identità dei clienti (KYC), l’identificazione del titolare effettivo quando il pagatore è una persona giuridica, il monitoraggio continuo delle transazioni disposte per individuare schemi anomali e la segnalazione delle operazioni sospette al SEPBLAC.

Il sistema AML/CFT del PISP deve essere adattato alla sua posizione nella catena dei pagamenti: pur non detenendo fondi del cliente, il PISP ha accesso a informazioni transazionali di grande valore, che vanno gestite con rigore e riservatezza.

La Commissione europea ha pubblicato a giugno 2023 le proposte di PSD3 e del nuovo Regolamento sui servizi di pagamento (PSR), che introdurranno cambiamenti rilevanti per i PISP: rafforzamento dei diritti di accesso alle interfacce bancarie, miglioramento del quadro di responsabilità in caso di frode, nuovi obblighi di informazione all’utente e maggiori requisiti di interoperabilità.

La PSD3 amplia inoltre l’ambito di applicazione dell’open banking e rafforza la posizione competitiva dei PISP rispetto alle banche, che dovranno mettere a disposizione interfacce di qualità superiore e con migliori garanzie di disponibilità.

I soggetti che già operano come PISP ai sensi della PSD2 dovranno rivedere la propria documentazione regolamentare e i propri sistemi tecnici per adeguarsi ai nuovi requisiti della PSD3 una volta recepita nell’ordinamento giuridico spagnolo.

Il tempo necessario per ottenere l’autorizzazione come PISP in Spagna va da tre a sei mesi dalla presentazione della domanda completa alla Banca di Spagna, ma può allungarsi se l’autorità chiede documentazione aggiuntiva o chiarimenti sul modello di business.

Il costo della consulenza legale per ottenere la licenza PISP dipende dalla complessità del modello di business, dal numero di servizi di pagamento richiesti e dal grado di preparazione preliminare del soggetto. A questo si aggiungono le tasse regolamentari della Banca di Spagna e i costi di implementazione tecnica dei sistemi di sicurezza richiesti.

Avere una consulenza specializzata fin dall’inizio del processo riduce in modo significativo il rischio di richieste di informazioni aggiuntive da parte della Banca di Spagna e accorcia i tempi per ottenere la licenza PISP.