Compliance PSD2 na Espanha e serviços de pagamento

A PSD2 é a segunda Diretiva de Serviços de Pagamento da União Europeia. Regula a prestação de serviços de pagamento, reforça a segurança das operações eletrônicas e abre o ecossistema financeiro a terceiros por meio do modelo de open banking.

Na prática, a PSD2 afeta bancos, fintechs, instituições de pagamento, instituições de moeda eletrônica e qualquer modelo que intervenha na iniciação de pagamentos, no acesso a contas, na autenticação do cliente ou na infraestrutura operacional vinculada ao serviço.

Não é apenas uma norma técnica: é um marco de autorização, segurança, governança e conformidade contínua.

A PSD2 afeta diretamente instituições de pagamento, instituições de moeda eletrônica, bancos, prestadores de serviços de iniciação de pagamentos (PISP), prestadores de serviços de informação sobre contas (AISP) e projetos fintech que estruturam serviços em torno de pagamentos ou do acesso a contas.

Também pode afetar indiretamente fornecedores de tecnologia, processadores, agregadores, white labels e parceiros operacionais cujo modelo contratual e funcional deve ser analisado com precisão para evitar entrar em atividade reservada sem ter previsto isso.

O importante não é como você chama o produto, mas o que a sua operação realmente faz.

Um AISP presta serviços de informação sobre contas: agrega ou apresenta informações financeiras de uma ou várias contas do usuário. Um PISP inicia pagamentos por conta do usuário a partir da conta bancária dele para um comércio ou beneficiário.

Ambos os modelos exigem analisar autorização, segurança, contratos, tratamento de dados, controles operacionais e a relação com as instituições que mantêm a conta. Não basta ter uma integração técnica.

Se o seu negócio envolve acesso a contas ou iniciação de pagamentos, a análise da PSD2 deve ser feita desde o desenho do produto.

A autenticação forte do cliente (SCA) exige que determinadas operações sejam autenticadas com dois ou mais elementos de categorias diferentes, com regras específicas sobre segurança e comunicação.

Além de implantar a camada técnica, é preciso revisar isenções, fluxos de pagamento, incidentes, taxas de fraude, experiência do cliente e evidências de funcionamento real. Uma abordagem apenas “de produto” costuma ficar aquém.

A SCA não se defende com uma explicação comercial: defende-se com arquitetura, processo e registros.

Depende do serviço que você presta de fato. Se você executa pagamentos, emite moeda eletrônica, inicia pagamentos ou acessa contas como terceiro regulado, pode haver necessidade de autorização ou de registro específico.

O erro mais caro é apresentar um processo sem ter validado antes o enquadramento regulatório ou, pior ainda, operar acreditando que você é apenas um fornecedor de tecnologia quando, na realidade, exerce atividade reservada.

Antes de investir em desenvolvimento, parceiros ou marketing, convém fechar o perímetro regulatório e a estratégia de autorização.

Na PSD2, o outsourcing não elimina a responsabilidade. Terceirizar tecnologia, atendimento operacional, onboarding, fraude ou suporte de pagamentos exige governança, controles, SLA, supervisão, continuidade e documentação contratual sólida.

O supervisor examina tanto a cadeia operacional quanto a capacidade da entidade de controlar seus terceiros críticos. Quando o contrato não reflete a realidade operacional, surgem os problemas.

Terceirizar mal não barateia o compliance: multiplica o seu custo.

O custo depende do tipo de atividade, do grau de maturidade do projeto, de já existir uma operação em andamento e de se tratar de um diagnóstico, de uma autorização completa ou de conformidade contínua.

O importante é não medir apenas o custo jurídico inicial: uma classificação regulatória errada, uma SCA mal resolvida ou um processo incoerente saem muito mais caros do que fazer bem o trabalho desde o início.

Na PSD2, a economia aparente no início costuma se transformar em atraso, exigências e atrito quando mais dói.