Open banking, une réglementation peut-elle créer un écosystème performant?

La révision de la Directive sur les Services de Paiements (DSP2), est une législation de l’Union Européenne, qui oblige, entre autres, les banques à ouvrir l’accès aux données disponibles sur un compte courant et à permettre le déclenchement d’un paiement par une partie tiers, sous réserve de l’autorisation des clients.

Certains pays ont mis en place un encadrement contraignant pour la mise en place de la directive, comme le Royaume Uni, dans le but de favoriser le développement d’une offre de services autour de l’open banking.

D’autres pays non soumis aux législations européennes ont laissé les acteurs du marché trouver leur voie, comme les Etats-Unis.

Ces deux approches offrent des résultats concluants, mais pas les mêmes avantages.

Le marché britannique, porté ou limité par ses règles?

Pour se conformer à la révision de la Directive sur les Services de Paiements (DSP2), l’Autorité de la Concurrence et des Marchés (ACM) au Royaume-Uni a demandé aux neuf plus grandes banques de créer et de financer une organisation, l’Open Banking Implementation Entity (OBIE). Cette organisation a pour but de développer et de mettre en œuvre des standards d’initiation de paiement et de partage de données pour les comptes courants. L’ACM a également imposé des formats pour les échanges de données et supervise les Third Party Providers (TPP) autorisés via un registre.

OBIE a annoncé en octobre 2020 que plus de deux millions de clients utilisent désormais des services open banking. Un cadre réglementaire strict, allié à un secteur de la fintech dynamique, semble avoir permis le développement d’une offre open banking florissante. La majorité des solutions sont des applications de gestion de finance personnelle et de consolidation de comptes courants.

En théorie un vrai succès…

Une approche commune et des calendriers stricts ont permis une mise en place rapide des standards.

Le développement d’un registre des entités validées par les autorités financières et d’un bac à sable (sandbox pour permettre aux participants de tester les connections avec des données de banques réelles) ont créé un environnement sécurisé.

Les standards communs ont facilité l’établissement de connections entre les APIs des banques et les TPPs, accélérant le développement d’applications open banking pour les consommateurs.

L’approche concertée d’accès aux données a rendu possible un encadrement cohérent de la protection des utilisateurs.

Une législation protégeant les intérêts des utilisateurs a augmenté la confiance des clients dans les services open banking.

Dans le réalité, quelques soucis …

Les APIs sont en place mais elles sont trop souvent indisponibles et instables, ce qui a un impact négatif sur l’expérience des utilisateurs.

Les exigences de la réglementation, relatives à l’authentification du client pour les paiements, et l’expérience qui en résulte, une navigation aller-retour entre deux sites, inquiète les utilisateurs et ne procure pas la simplicité d’un paiement par carte.

La réglementation relative à l’autorisation d’accès aux données d’un compte bancaire doit être renouvelée tous les 90 jours, créant à nouveau une baisse d’utilisation considérable des services recourant à cette fonction.

Le manque de motivation des banques, à dépasser leurs obligations légales et à développer des APIs stables, est flagrant mais compréhensible. Le coût des APIs règlementaires est à la charge des banques et l’accès en est gratuit.

Un système de gestion des litiges a été mandaté et mis en place par OBIE. Mais il offre uniquement une plateforme d’échange d’informations, sans procédure d’arbitrage, ni possibilité d’imposer des règlements.

L’Open Finance est en attente d’une réglementation pour se développer au Royaume-Uni, mais est-ce vraiment indispensable ?

Le marché américain, fait-il vraiment de l’open banking?

Aux États-Unis, les régulateurs ont adopté une approche plus flexible et les technologies utilisées pour accéder aux données bancaires sont plus diversifiées. Là ou les banques n’offrent pas d’APIs pour accéder aux données, le secteur très dynamique des fintechs, a utilisé des alternatives telles que le screen scraping ou le reverse engineering.

En l’absence de législation, les acteurs se sont concentrés sur l’identification de besoins clients plutôt que de s’accorder sur des standards d’accès aux données. De multiples accords bilatéraux de partage de données ont été mis en place entre des banques et des TPPs. Les technologies utilisées varient suivant les infrastructures existantes et le choix des données partagées est déterminés par les besoins clients. Ainsi, certaines données ne proviennent pas seulement de comptes courants, mais aussi de compte d’épargne, élargissant le partage de données au delà du domaine de l’open banking dans celui de l’open finance.

Une approche basée sur les besoins du marché…

Les offres développées avaient un besoin identifié. Par exemple les paiements de compte à compte aux États-Unis prennent environ trois jours sur le réseau bancaire domestique. L’accès aux balances de comptes courants a permis le développement de propositions de paiements en temps quasi réel (par exemple Square Cash, Venmo) et payantes.

Les solutions développées ont été conçues pour intégrer le besoin d’authentification du client tout en offrant une expérience utilisateur harmonieuse.

Le Financial Data Exchange (FDE) est une organisation à but non lucratif qui se consacre à l’unification du secteur financier autour d’une norme commune de partage de données financières autorisées par les utilisateurs. Il est passé 21 sociétés membres à son lancement en 2018 à 153 organisations membres en deux ans.

Le dynamisme du secteur de l’open banking est illustré par quelques acquisitions stratégiques récentes. Mastercard a acquis Finicity pour 825 millions de dollars. Finicity a établi des accords d’échanges de données avec plus de 16 000 banques. Ainsi que Visa qui a acquis Plaid, un TPP mondial pour 5,3 milliards de dollars. Plaid a des accords d’échange de données avec plus de 15 000 banques et permet à plus de 10 000 start-ups de développer de nouveaux services financiers.

… mais pas sans risques pour l’utilisateur

L’absence de technologies et de standards communs augmente la complexité du développement d’un cadre de protection des utilisateurs et augmente le risque de recourir à ce type de services.

L’absence de cadre protection des utilisateurs et les disparités réglementaires entre Etats en matière de protection des données rendent la gestion et la résolution des litiges difficiles à mettre en œuvre.

L’absence de standards communs et d’une approche concertée de la gestion des données a conduit au développement de multiples partenariats bilatéraux pour chaque organisation. Dans un pays qui compte jusqu’a 15 000 acteurs dans le secteur financier, il peut s’avérer difficile de mettre en place ce modèle à grande échelle.

La multiplicité des acteurs et la complexité des technologies d’accès aux données créent une forte dépendance des développeurs de services financiers envers les TPPs qui fournissent et formatent les données nécessaires au fonctionnement des applications.

Des standards communs et partagés sont donc essentiels au développement d’un écosystème accessible à tous et sécurisé, mais trop de réglementations tuent « l’expérience client », Saint Graal de la fintech.

Cependant, quelles que soient les contraintes de la réglementation, toutes les parties prenantes, y compris les banques, doivent trouver un avantage à contribuer positivement au fonctionnement de l’écosystème, au risque pour les régulateurs d’obtenir l’obéissance des acteurs mais pas les services novateurs attendus.