PISP: prestador de serviços de iniciação de pagamento na Espanha

Um PISP (Payment Initiation Service Provider, ou prestador de serviços de iniciação de pagamento) é uma categoria de prestador de serviços de pagamento regulada pela Diretiva PSD2 (Diretiva 2015/2366/UE) que permite a terceiros iniciar pagamentos a partir da conta bancária do usuário, com o consentimento expresso dele, sem que o usuário precise acessar diretamente o seu banco.

O PISP atua como intermediário entre o usuário pagador e o banco onde a conta é mantida: inicia a ordem de pagamento por meio das interfaces de acesso abertas (APIs) que os bancos devem disponibilizar a terceiros no marco de Open Banking da PSD2.

Os PISP são uma figura-chave no ecossistema fintech europeu, viabilizando pagamentos instantâneos, checkout sem cartão, soluções de pagamento B2B e novos modelos de negócio baseados no acesso a dados de pagamento.

O PISP (Payment Initiation Service Provider) inicia ordens de pagamento a partir da conta do usuário, enquanto o AISP (Account Information Service Provider) apenas acessa as informações das contas do usuário para agregação, análise ou apresentação de dados, sem executar pagamentos.

Ambas as figuras são reguladas pela PSD2 e exigem autorização ou registro perante o supervisor competente, mas suas obrigações diferem: os PISP têm uma responsabilidade maior em matéria de segurança e autenticação, pois executam transações que movimentam fundos, enquanto os AISP operam em um ambiente somente de leitura.

Uma mesma entidade pode obter a dupla habilitação PISP + AISP se o seu modelo de negócio combinar iniciação de pagamentos com agregação de contas, o que é comum em soluções completas de open banking.

Na Espanha, a autorização como PISP é obtida junto ao Banco de España (banco central espanhol), a autoridade competente para supervisionar as instituições de pagamento conforme o Real Decreto-lei 19/2018 de serviços de pagamento e o RD 736/2019.

Documentação exigida para a licença PISP:

• Programa de atividades detalhando os serviços de iniciação de pagamento previstos.
• Plano de negócios com projeções financeiras para três anos.
• Descrição da estrutura organizacional e de governança corporativa.
• Política de segurança da informação e plano de gestão de riscos operacionais.
• Procedimentos de gestão de incidentes graves e de notificação ao Banco de España.
• Mecanismos de controle interno e auditoria, e política de PLD/FT.

O processo de autorização costuma levar entre três e seis meses a partir da apresentação do processo completo, dependendo da complexidade do modelo de negócio e da qualidade da documentação apresentada.

A autenticação forte do cliente (SCA) é um dos requisitos mais exigentes para os PISP sob a PSD2. Antes de iniciar um pagamento, o PISP deve garantir que o usuário foi autenticado pelo seu banco com pelo menos dois dos três fatores possíveis: algo que o usuário sabe (PIN, senha), algo que possui (celular, cartão) e algo que é (biometria).

Os PISP não armazenam as credenciais de acesso bancário do usuário: acessam a interface do banco (API de produção) usando o token de autenticação gerado no processo de SCA, o que garante a segurança da transação sem comprometer as credenciais do usuário.

O cumprimento correto da SCA é fundamental para que o PISP fique isento de responsabilidade diante de reclamações por operações de pagamento não autorizadas.

Os PISP estão incluídos entre os sujeitos obrigados pela Lei 10/2010 de prevenção à lavagem de dinheiro e ao financiamento do terrorismo, o que implica uma série de obrigações específicas adaptadas ao modelo de negócio de iniciação de pagamentos.

Entre as obrigações mais relevantes estão a identificação e a verificação da identidade dos clientes (KYC), a identificação do beneficiário final quando o ordenante for uma pessoa jurídica, o monitoramento contínuo das transações iniciadas para detectar padrões anômalos e a comunicação de operações suspeitas ao SEPBLAC.

O sistema de PLD/FT do PISP deve se adaptar à sua posição na cadeia de pagamentos: embora o PISP não mantenha fundos do cliente, ele tem acesso a informações transacionais valiosas, que devem ser tratadas com rigor e confidencialidade.

A Comissão Europeia publicou em junho de 2023 as propostas da PSD3 e do novo Regulamento de Serviços de Pagamento (PSR), que vão introduzir mudanças relevantes para os PISP: reforço dos direitos de acesso às interfaces bancárias, melhoria do marco de responsabilidade em caso de fraude, novas obrigações de informação ao usuário e maiores exigências de interoperabilidade.

A PSD3 também amplia o âmbito de aplicação do open banking e reforça a posição competitiva dos PISP diante dos bancos, que deverão disponibilizar interfaces de maior qualidade e com melhores garantias de disponibilidade.

As entidades que já operam como PISP sob a PSD2 deverão revisar sua documentação regulatória e seus sistemas técnicos para se adaptar aos novos requisitos da PSD3 assim que ela for transposta para o ordenamento jurídico espanhol.

O prazo legal para decidir sobre a autorização como PISP é de três meses a partir do momento em que o processo está completo e, se não houver decisão, o pedido é considerado indeferido (art. 11.2 do RDL 19/2018), embora o prazo possa se estender se a autoridade solicitar documentação adicional ou esclarecimentos sobre o modelo de negócio.

O custo da assessoria jurídica para obter a licença PISP depende da complexidade do modelo de negócio, do número de serviços de pagamento solicitados e do grau de preparação prévia da entidade. A isso se somam as taxas regulatórias do Banco de España e os custos de implementação técnica dos sistemas de segurança exigidos.

Contar com assessoria especializada desde o início do processo reduz significativamente o risco de exigências adicionais por parte do Banco de España e encurta os prazos para obter a licença PISP.