PISP: Proveedor de Servicios de Iniciación de Pagos

Un PISP (Payment Initiation Service Provider, o proveedor de servicios de iniciación de pagos) es una categoría de proveedor de servicios de pago regulada por la Directiva PSD2 (Directiva 2015/2366/UE) que permite a terceros iniciar pagos desde la cuenta bancaria del usuario, con su consentimiento expreso, sin necesidad de que el usuario acceda directamente a su banco.

El PISP actúa como intermediario entre el usuario pagador y el banco donde se mantiene la cuenta: inicia la orden de pago a través de las interfaces de acceso abiertas (APIs) que los bancos deben poner a disposición de terceros bajo el marco Open Banking de PSD2.

Los PISP son una figura clave en el ecosistema fintech europeo, habilitando pagos instantáneos, checkout sin tarjeta, soluciones de pago B2B y nuevos modelos de negocio basados en el acceso a datos de pago.

El PISP (Payment Initiation Service Provider) inicia órdenes de pago desde la cuenta del usuario, mientras que el AISP (Account Information Service Provider) solo accede a la información de las cuentas del usuario para agregación, análisis o presentación de datos, sin ejecutar pagos.

Ambas figuras están reguladas por PSD2 y requieren autorización o registro ante el supervisor competente, pero sus obligaciones difieren: los PISP tienen una responsabilidad mayor en materia de seguridad y autenticación al ejecutar transacciones que mueven fondos, mientras que los AISP operan en un entorno de solo lectura.

Una misma entidad puede obtener la doble habilitación PISP + AISP si su modelo de negocio combina iniciación de pagos con agregación de cuentas, lo que es habitual en soluciones de open banking completas.

En España, la autorización como PISP se obtiene a través del Banco de España, que es la autoridad competente para supervisar las entidades de pago conforme a la Ley 21/2011 de dinero electrónico y el Real Decreto-ley 19/2018 de servicios de pago.

Documentación exigida para la licencia PISP:

• Programa de actividades detallando los servicios de iniciación de pagos previstos.
• Plan de negocio con proyecciones financieras a tres años.
• Descripción de la estructura organizativa y de gobierno corporativo.
• Política de seguridad de la información y plan de gestión de riesgos operativos.
• Procedimientos de gestión de incidentes graves y notificación al Banco de España.
• Mecanismos de control interno y auditoría, y política PBC/FT.

El proceso de autorización suele tardar entre tres y seis meses desde la presentación del expediente completo, dependiendo de la complejidad del modelo de negocio y la calidad de la documentación aportada.

La autenticación reforzada de clientes (SCA) es uno de los requisitos más exigentes para los PISP bajo PSD2. Antes de iniciar un pago, el PISP debe asegurarse de que el usuario ha sido autenticado por su banco mediante al menos dos factores de los tres posibles: algo que el usuario sabe (PIN, contraseña), algo que posee (dispositivo móvil, tarjeta) y algo que es (biometría).

Los PISP no almacenan credenciales de acceso bancario del usuario: acceden a la interfaz del banco (API de producción) utilizando el token de autenticación generado en el proceso SCA, lo que garantiza la seguridad de la transacción sin comprometer las credenciales del usuario.

El cumplimiento correcto de la SCA es fundamental para la exoneración de responsabilidad del PISP ante reclamaciones por operaciones de pago no autorizadas.

Los PISP están incluidos entre los sujetos obligados por la Ley 10/2010 de prevención de blanqueo de capitales y financiación del terrorismo, lo que implica una serie de obligaciones específicas adaptadas al modelo de negocio de iniciación de pagos.

Entre las obligaciones más relevantes se encuentran la identificación y verificación de la identidad de los clientes (KYC), la identificación del beneficiario efectivo cuando el ordenante sea una persona jurídica, la monitorización continua de las transacciones iniciadas para detectar patrones anómalos y la comunicación de operaciones sospechosas al SEPBLAC.

El sistema PBC/FT del PISP debe adaptarse a su posición en la cadena de pagos: aunque el PISP no mantiene fondos del cliente, tiene acceso a información transaccional valiosa que debe ser gestionada con rigor y confidencialidad.

La Comisión Europea publicó en junio de 2023 las propuestas de PSD3 y el nuevo Reglamento de Servicios de Pago (PSR), que introducirán cambios relevantes para los PISP: refuerzo de los derechos de acceso a las interfaces bancarias, mejora del marco de responsabilidad ante fraudes, nuevas obligaciones de información al usuario y mayores exigencias de interoperabilidad.

PSD3 también amplía el ámbito de aplicación del open banking y refuerza la posición competitiva de los PISP frente a las entidades bancarias, que deberán poner a disposición interfaces de mayor calidad y con mejores garantías de disponibilidad.

Las entidades que ya operan como PISP bajo PSD2 deberán revisar su documentación regulatoria y sus sistemas técnicos para adaptarse a los nuevos requisitos de PSD3 una vez sea transpuesto al ordenamiento jurídico español.

El plazo para obtener la autorización como PISP en España oscila entre tres y seis meses desde la presentación del expediente completo ante el Banco de España, aunque puede extenderse si la autoridad solicita documentación adicional o aclaraciones sobre el modelo de negocio.

El coste del asesoramiento legal para la obtención de la licencia PISP depende de la complejidad del modelo de negocio, el número de servicios de pago solicitados y el grado de preparación previa de la entidad. A esto se suman las tasas regulatorias del Banco de España y los costes de implementación técnica de los sistemas de seguridad exigidos.

Contar con asesoramiento especializado desde el inicio del proceso reduce significativamente el riesgo de requerimientos adicionales por parte del Banco de España y acorta los plazos de obtención de la licencia PISP.