Émission d’instruments de paiement ou acquisition pour les commerçants : point 1(e)Guide de demande et de conformité continue

L’émission d’instruments de paiement ou l’acceptation et le traitement d’opérations de paiement en tant qu’acquéreur relèvent du point 1(e) de l’annexe 1. Les prestataires qui fournissent réellement uniquement des technologies de terminaux ou de passerelles sans jamais détenir les fonds transférés peuvent bénéficier de l’exclusion technique ; toutefois, la responsabilité juridique d’acquisition ne peut être déterminée sur la seule apparence d’une absence d’encaissement direct.[2] [5]

Il convient de choisir l’ensemble minimal suffisant d’autorisations permettant légalement l’activité réelle, la clientèle visée et les responsabilités financières, sans faire de l’étendue maximale des autorisations ou de la rapidité d’approbation l’unique objectif.

• L'entité peut fournir directement au Royaume-Uni les services de paiement autorisés en qualité d'entité réglementée, et permettre aux clients et partenaires de vérifier le périmètre de son agrément dans le registre de FCA. Contrairement à SPI, API n'est pas soumis au plafond d'enregistrement de €300 × 10,000 portant sur le montant mensuel moyen des opérations de paiement, mais doit toujours respecter les exigences de capital et de surveillance continue correspondantes.[1] [13]

• Il est possible, dans le périmètre des services autorisés, de développer l'acquisition de paiements pour commerçants, les comptes de paiement, la transmission de fonds ou l'initiation de paiements en banque ouverte, et de recourir légalement à des agents de paiement enregistrés. Le réseau d'agents peut élargir la couverture des services, mais l'établissement reste responsable des actes de ses agents, succursales et prestataires externalisés ; il ne peut louer son agrément à des exploitants indépendants.[6] [19]

• Les API éligibles peuvent demander un compte de règlement RTGS auprès de la Banque d’Angleterre et un accès direct aux systèmes de paiement correspondants, afin de réduire leur dépendance envers les banques commerciales de parrainage. Cet accès ne découle pas automatiquement de l’agrément : il exige l’admission au système de paiement, une évaluation de surveillance par FCA et l’examen de la banque centrale ; les SPI ne sont pas éligibles à ce compte RTGS.[13]

Il faut fournir les contrats relatifs à l’émission de cartes, aux commerçants, aux réseaux de cartes, aux banques sponsors et au règlement, ainsi que le circuit complet des fonds, et traiter les remboursements, les rétrofacturations, les règlements différés et les risques liés aux commerçants. Si les instruments prépayés constituent une émission de monnaie électronique, il faut suivre la voie réglementaire appropriée ; les instruments à réseau limité doivent satisfaire aux conditions légales d’utilisation limitée.[2] [5]

Actionnaires et contrôleurs : déclarer les chaînes de propriété directe et indirecte, les droits de vote, le groupe et les liens étroits, et identifier les personnes physiques ultimes. Les personnes ou organismes détenant au moins 10% du capital ou des droits de vote, ou capables d’exercer une influence notable même sans atteindre 10%, doivent fournir des informations sur leurs participations qualifiées ; la sélection ne peut reposer uniquement sur le seuil Companies House d’enregistrement des bénéficiaires effectifs.[5] [6]

Administrateurs et dirigeants d’activité : tous les membres de l’organe de direction doivent être enregistrés, soit les administrateurs pour une société à responsabilité limitée et les membres pour LLP, ainsi que les responsables dirigeant effectivement les activités réglementées de paiement. La demande suit les procédures de renseignements sur les personnes des établissements de paiement, notamment PSD Individual, et porte principalement sur la réputation, les connaissances, l’expérience, les autres mandats et les responsabilités effectives, plutôt que d’attribuer systématiquement un numéro SMF à chaque administrateur de API.[5] [6] [9]

Conformité et lutte contre le blanchiment : il convient généralement d'enregistrer le Head of Compliance et/ou MLRO et de préciser les responsabilités respectives de la direction opérationnelle, de la surveillance de la conformité et des déclarations d'activités suspectes. Le cumul des fonctions dépend de la taille, de la complexité, des conflits d'intérêts et de l'efficacité de la surveillance ; les règles vérifiées n'imposent pas à tous les API d'employer séparément à temps plein CRO, CTO et CFO, et ne fixent pas de condition générale de certificat ICA.[5] [6] [15]

Substance locale : l’appréciation du siège de direction porte sur la localisation des administrateurs et des cadres dirigeants qui définissent l’orientation centrale et prennent les décisions importantes au quotidien, ainsi que sur celle des fonctions administratives centrales, notamment la conformité et l’audit interne. Il faut démontrer que l’entité du UK peut contrôler les dispositifs bancaires, les fonds des clients, les risques des systèmes et l’externalisation, et non qu’elle conserve simplement une adresse postale au UK ; les affirmations selon lesquelles « toutes les personnes doivent être de nationalité britannique » ou « au moins deux administrateurs doivent résider au UK » ne doivent pas être présentées comme des conditions générales vérifiées.[1] [5]

Responsabilité individuelle : les prestataires de services de paiement agréés uniquement au titre de PSRs, sans agrément FSMA, ne relèvent pas de ce seul fait de SM&CR ; ils doivent néanmoins respecter les exigences d’aptitude du personnel et de responsabilité de gestion de la réglementation des paiements. Si la même personne morale détient aussi une autorisation d’activités réglementées FSMA, le champ d’application de SM&CR qui en résulte doit être examiné séparément, plutôt que de résumer toute la situation par le statut API.[21] [22]

Le capital initial applicable est de €125,000 ; le montant à retenir est le plus élevé entre les fonds propres requis en continu et le plancher initial. Les réserves des commerçants, les fonds protégés des clients et les fonds nécessaires pour couvrir le risque de rétrofacturation doivent être distingués juridiquement et comptablement ; ils ne peuvent pas tous être considérés comme du capital librement disponible de l’établissement.[3] [4] [5]

Le siège statutaire de API, s’il existe, et son administration centrale doivent tous deux se trouver au Royaume-Uni ; cette dernière ne peut être une simple adresse de réception du courrier. Le document officiel Approach de FCA précise qu’un bureau virtuel britannique ne satisfait pas à l’article 6(4) de PSRs ; le superviseur examine le lieu effectif des fonctions centrales de décision et d’administration.[1] [5]

La loi n’impose pas à tous les API une implantation à Londres, une superficie fixe de bureaux ou une durée uniforme de bail ; les locaux et l’organisation des équipes doivent être adaptés à l’activité, aux clients, aux données et à la surveillance de l’externalisation. L’adresse d’un actionnaire étranger ou d’un conseiller à Hong Kong ne peut pas remplacer l’administration centrale britannique du demandeur ; tout changement d’adresse de correspondance britannique doit aussi être répercuté dans les informations FCA et les formalités correspondantes au registre des sociétés.[5] [9] [19]

• Documents juridiques et organisationnels : actes de constitution au Royaume-Uni, statuts applicables ou accord des membres de LLP, adresse de l’administration centrale, organigramme et répartition des responsabilités opérationnelles. Les documents doivent démontrer que l’entité britannique peut légalement exercer les activités envisagées ; l’exigence de PSRs de fournir les statuts ne signifie pas que tous les statuts doivent contenir littéralement les mots « services de paiement ».[1] [5]

• Périmètre des activités et flux financiers : le programme d’activité doit décrire individuellement les services de paiement demandés et inclure les contrats clients, les descriptions des produits, les circuits financiers et les rôles des partenaires concernés. Lorsqu’une exclusion relative aux agents commerciaux, aux services purement techniques ou aux réseaux limités est invoquée, les contrats correspondants et l’analyse de son applicabilité doivent être fournis ; une simple mention d’exemption ne suffit pas.[2] [5]

• Plan d’affaires et financier sur trois ans : présenter les budgets prévisionnels, résultats et flux de trésorerie, calculs de capital et hypothèses clés des trois premiers exercices. Il faut aussi préciser les scénarios de crise, les sources de liquidité ainsi que les déclencheurs et coûts d’une cessation ordonnée, sans inclure les soldes de fonds protégés dans la trésorerie opérationnelle disponible.[1] [5]

• Justificatifs de capital : fournir les éléments relatifs au capital libéré ou à d’autres instruments de capital éligibles, aux crédits bancaires correspondants et aux déclarations sociales ou informations financières associées. Les orientations de FCA permettent de soumettre ces justificatifs à un stade ultérieur avant l’agrément, mais le respect des exigences doit être démontré avant l’approbation ; les engagements de financement non exécutés ne peuvent être assimilés à du capital libéré.[3] [5]

• Documents relatifs aux actionnaires et contrôleurs : chaîne complète des participations et des droits de vote, fiche d’information de chaque détenteur de participation qualifiée, preuves de l’origine des fonds et de la solidité financière. LLP doit également analyser si les accords entre membres, droits de veto ou modalités d’unanimité confèrent une influence notable à des membres détenant moins de 10% des droits de vote.[5] [6]

• Dossiers du personnel : fournir les formulaires individuels, parcours, responsabilités, qualifications et autres mandats de tous les administrateurs, membres et responsables de la gestion des paiements concernés, et déclarer les affaires pénales, réglementaires, contentieuses et de faillite. Les certifications et documents relatifs aux antécédents dépendent des formulaires de FCA et des exigences du dossier ; il ne faut pas affirmer que chaque curriculum vitæ doit être notarié, ni présenter l’ancienne appellation CRB comme un document légal de candidature applicable à tout le personnel.[5] [6] [9]

• Documents de protection des fonds des clients : identification des sommes concernées, ségrégation ou dispositifs d'assurance/de garantie, diligences sur les tiers admissibles, documents de confirmation des comptes, rapprochements internes et externes et procédures de traitement des insuffisances. Il faut également fournir le dossier de résolution CASS 10A ainsi que les dispositions de mise en œuvre de CASS 15, de SUP 3A et de SUP 16.14A ; un modèle purement PIS/AIS sans détention de fonds doit expliquer pourquoi les protections correspondantes ne s'appliquent pas.[5] [10] [11]

• Documents de conformité et de AML : évaluation des risques de l'entreprise, vigilance à l'égard des clients, vigilance renforcée, identification des bénéficiaires effectifs, surveillance continue, déclarations d'activités suspectes, tenue des dossiers et formation. Pour la seule transmission de fonds ou d'autres situations sous surveillance de HMRC, il faut également fournir les pièces d'enregistrement ou de demande HMRC applicables et confirmer la cohérence des structures d'enregistrement de l'établissement et des agents pour la même activité.[5] [14] [15]

• IT, sécurité et continuité d'activité : politiques de sécurité, contrôles des données de paiement sensibles, procédures de suivi des incidents et réclamations, plans de reprise et comptes rendus de tests. Il faut expliquer comment les plateformes techniques externalisées, l'accès aux systèmes de paiement, les méthodes statistiques et les données de fraude soutiennent les déclarations réglementaires, plutôt que de fournir seulement une certification de sécurité générique.[5] [7]

• Assurance de responsabilité professionnelle PIS/AIS : fournir le calcul du montant minimum de couverture, le texte intégral de la police ou de la garantie proposée et les territoires desservis, et expliquer la couverture des responsabilités liées aux opérations non autorisées ou à l’accès illicite aux données de comptes. Les établissements exerçant uniquement l’acquisition ou la transmission de fonds ne peuvent appliquer sans analyse les mêmes exigences PII ; l’assurance de protection des fonds et l’assurance de responsabilité professionnelle PIS/AIS ont également des finalités juridiques différentes.[1] [5]

• Documents clients et dispositions d'audit : informations sur les frais et taux de change, contrats-cadres, identité des clients et voies de réclamation, procédures d'autorisation des opérations et de remboursement, ainsi que renseignements sur les auditeurs, le cas échéant, et dispositions d'audit applicables. Il faut aussi démontrer les contrôles des agents et succursales, la supervision de l'externalisation et l'attribution effective des responsabilités ; les preuves requises dépendent de l'annexe 2 de PSRs et des activités effectivement visées par la demande.[5] [7] [20]

Ces éléments servent de référence pour organiser le projet ; ils ne remplacent pas les formulaires officiels en vigueur ni les demandes de pièces complémentaires propres au dossier. N’envoyez pas de pièces d’identité ni de dossiers clients via le formulaire du site.

• Première étape : définir le périmètre de l’activité et les services légaux précis faisant l’objet de la demande, puis évaluer séparément si API, SPI, RAISP ou un agrément de monnaie électronique convient. Cartographier clairement le contrôle des fonds, les contrats clients et les circuits de paiement, et traiter séparément les autres permissions nécessaires, sans acheter d’abord une « société disposant de tous les agréments » en supposant ensuite que tous les produits sont autorisés.[1] [2] [5]

• Deuxième étape : établir une personne morale britannique éligible, une substance réelle au siège et les dispositifs d’actionnariat et de gouvernance des paiements, puis arrêter les solutions de personnel, de capital et bancaires. La préparation doit porter les systèmes, la sécurité, le rapprochement des fonds clients et les capacités de sortie à un niveau démontrable à FCA ; la rédaction de documents par un consultant ne remplace pas la responsabilité de gestion des administrateurs.[1] [5]

• Troisième étape : préparer les documents conformément à l’annexe 2 et aux orientations de FCA relatives aux demandes des établissements de paiement, en utilisant si nécessaire le service d’accompagnement préalable PASS de FCA. Pour les services de paiement mixtes, la répartition des rôles HMRC, les réseaux d’agents ou les circuits de fonds complexes, clarifier les exigences applicables à l’avance afin d’éviter toute contradiction entre les documents concernant l’entité, les services et les dispositifs bancaires.[5] [6] [7]

• À la quatrième étape, déposer via Connect de FCA la demande d’agrément API et les informations correspondantes sur les détenteurs du contrôle et le personnel, et payer les frais non remboursables. À la date de vérification, seules les activités API des points 1(f) à (h) relèvent de la catégorie 4, £2,820 ; celles concernant les points 1(a) à (e) relèvent de la catégorie 5, £5,640. Les frais de demande sont distincts des frais annuels de surveillance après approbation ; il ne faut pas reprendre le montant £1,500 de l’ancien guide.[6] [7] [8]

• À la cinquième étape, FCA vérifie les informations minimales, la complétude et les conditions d’éligibilité, et peut demander des compléments, des explications sur le modèle financier, une démonstration des systèmes ou des entretiens avec le personnel. Un dossier ne comportant pas les informations minimales ou les frais corrects peut être renvoyé directement sans évaluation de fond ; le délai légal d’une demande complète ne se calcule pas simplement à partir du premier téléversement.[1] [7]

• À la sixième étape, après réception de la décision, vérifier les services autorisés, les restrictions, les conditions et la date d’effet, ainsi que l’entité figurant au Financial Services Register. Les agents doivent être enregistrés avant de fournir au Royaume-Uni des services de paiement pour le compte de l’établissement ; RTGS auprès de la banque centrale et l’accès direct aux systèmes de paiement nécessitent des demandes distinctes selon leurs propres procédures et ne peuvent être considérés comme acquis le jour de l’approbation API.[1] [6] [13] [19]

Délai légal d’agrément : l’article 9 de PSRs impose à FCA de statuer dans les trois mois suivant la réception d’une demande complète ; pour une demande incomplète, FCA peut statuer, mais doit le faire au plus tard douze mois après sa réception. Ce délai s’applique aussi aux modifications du périmètre de l’agrément. Il s’agit d’un délai de décision, non d’une garantie d’approbation, et cela ne signifie pas que tout projet passe de la préparation à l’exploitation en trois mois fixes.[1]

Préparation : la réglementation ne fixe pas de délai uniforme pour la constitution de la société, le recrutement des dirigeants britanniques, la mise en place du compte de sauvegarde, les tests des systèmes, PII ou l’élaboration du plan triennal. Les durées « préparation de 1 à 3 mois » et « examen de fond de 2 à 9 mois » de l’ancien guide sont des estimations non étayées par des données de dossiers ; la seconde ne remplace pas le délai légal de trois mois pour une demande complète. Les devis des consultants devraient distinguer les échéances des travaux restant à réaliser, sans confondre préparation et instruction réglementaire.[1] [5] [7]

Procédure accessoire : pour une demande distincte d’enregistrement d’un agent de paiement, l’article 34(11) de PSRs prévoit la notification d’une décision dans les deux mois suivant la réception d’une demande complète ; une demande jointe à l’autorisation principale suit la procédure d’autorisation correspondante. Les changements de contrôle sont généralement évalués dans les 60 jours ouvrables suivant une notification complète, avec possibilité d’interruption légale. Les orientations officielles de la banque centrale recommandent, après achèvement des travaux liés à FCA, de prévoir encore au moins douze mois pour l’accès direct aux systèmes de paiement ; ce délai ne doit pas être présenté comme le délai légal d’autorisation de API lui-même.[13] [17] [19]

Contrôle : toute personne décidant d’acquérir ou d’accroître le contrôle de API doit notifier FCA et obtenir son approbation avant la réalisation de la transaction. Il faut tenir compte des seuils de contrôle de 10%, 20%, 30% ou 50%, ainsi que de l’acquisition d’une participation permettant d’exercer une influence notable, et non du seul premier dépassement de 10%. La réduction ou la cessation du contrôle doit également être notifiée préalablement, mais ne nécessite généralement pas d’approbation de la réduction du contrôle.[5] [16]

Examen du contrôle : FCA dispose généralement de 60 jours ouvrables à compter du moment où la notification est jugée complète ; une demande légale d’informations peut interrompre le délai pendant au maximum 30 jours ouvrables. Il faut déclarer le financement de l’acquisition, la structure du groupe, la réputation et la solidité financière des détenteurs du contrôle, ainsi que la capacité de la cible à continuer de satisfaire aux conditions d’agrément. L’obligation propre de API de notifier les changements substantiels envisagés s’applique parallèlement à celle de l’acquéreur.[5] [16] [17]

Administrateurs et responsables : l’ajout, le remplacement ou le retrait d’une personne gérant les services de paiement doit être notifié à FCA selon la procédure relative aux données individuelles de Connect ; les changements de personnel envisagés doivent être annoncés préalablement. Tout changement intervenu ou prévu de MLRO doit être notifié sans retard injustifié ; un API détenant uniquement un agrément de paiement ne doit pas présenter cette procédure comme imposant à tous les dirigeants de demander l’approbation préalable SMF.[6] [9] [21]

Activités et fonctionnement : l’ajout ou le retrait de services de paiement nécessite une demande de modification de l’agrément ; aucune activité hors périmètre ne peut être exercée avant approbation. Les modifications importantes du siège, de la substance des activités, des liens étroits, des externalisations importantes ainsi que de la banque ou de la méthode de protection des fonds des clients doivent également être notifiées préalablement ou en temps utile conformément aux règles applicables. Un changement de personne morale ne permet pas de présumer le transfert automatique de l’agrément initial.[1] [4] [5] [19]

Il faut surveiller la fraude des commerçants, la criminalité financière et les obligations de remboursement et de rétrofacturation, et déterminer le début et la fin de la protection des fonds selon leur circuit réel. Les normes commerciales relatives aux données de cartes de paiement, les contrôles de sécurité et les accords avec la banque de parrainage doivent être respectés en continu. Les modifications des externalisations importantes et des tiers chargés de la protection des fonds doivent être intégrées aux procédures de notification.[4] [5] [10]

Vérification de l’objet de la transaction : l’agrément API appartient à une entité juridique précise. Le maintien de la même entité lors d’une acquisition d’actions ne dispense pas de l’approbation du contrôle ; une acquisition d’actifs ou un transfert d’activité ne transfère pas non plus directement l’agrément. Les diligences doivent vérifier la dénomination juridique, le numéro de société, les services effectivement autorisés, les restrictions, les agents et les échanges réglementaires dans le registre de FCA, en portant une attention particulière à une éventuelle cessation d’activité, suspension des nouveaux clients, correction de la protection des fonds ou menace de retrait d’agrément.[1] [5] [16] [18]

Audit financier d’acquisition spécialisé dans les paiements : reconstituer les fonds concernés et les rapprochements internes et externes à partir des livres auxiliaires clients, du grand livre et des données bancaires et de règlement d’acquisition ; examiner les déficits de protection des fonds, les fonds non affectés, les fonds en transit, les réserves des commerçants et les obligations de remboursement et de rétrofacturation. Vérifier l’application effective du seuil d’audit de protection des fonds de £100,000 et de la période transitoire de 2026 ans, examiner les opinions d’audit et les corrections, puis recalculer séparément les fonds propres éligibles, la réutilisation du capital au sein du groupe et les fonds nécessaires à la cessation d’activité ; ne pas se limiter aux soldes des comptes ordinaires et au dernier bilan.[3] [4] [5] [10] [12]

Continuité opérationnelle et des autorisations : examiner contrat par contrat les clauses de changement de contrôle, de résiliation ou de renouvellement des vérifications préalables concernant les banques de protection des fonds, banques partenaires, réseaux de cartes, systèmes de paiement, technologies et assurances. Si l’acquéreur prévoit de remplacer le personnel du siège, les produits, le réseau d’agents ou la plateforme externalisée, concevoir avant la réalisation un dispositif maintenant le respect des exigences de substance au Royaume-Uni, de permissions et de protection des fonds. Les relations existantes de RTGS auprès de la banque centrale ou d’accès direct aux systèmes restent soumises à des conditions d’admission distinctes ; leur maintien inconditionnel lors du transfert des actions n’est pas garanti.[4] [5] [13]

Risques clients et criminalité financière : vérifier la qualité des diligences sur les payeurs et commerçants, la supervision des agents, l'historique des réclamations et des indemnisations pour escroquerie, les pertes liées aux rétrofacturations, le filtrage des sanctions et le traitement des activités suspectes, et confirmer la répartition de la supervision de AML pour HMRC/FCA. Pour une cible présentée comme « agréée mais sans activité », vérifier les motifs légaux de retrait, notamment l'absence d'activité pendant les douze mois suivant l'approbation ou une cessation d'activité dépassant six mois. La valorisation de l'opération ne doit pas assimiler à tort le API britannique à une autorisation de monnaie électronique, de dépôts ou de passeport dans l'EU.[1] [5] [14] [19]

Voici les autorisations spécifiques, modèles organisationnels ou catégories légales abordés dans ce dossier. Ils ne constituent pas nécessairement chacun un agrément financier distinct.

Les principales références sont FCA, PRA / Bank of England, GOV.UK et la réglementation en vigueur. Les anciens guides de tiers fournis par l’utilisateur servent à organiser les informations sur l’activité et ne prévalent pas sur les exigences officielles les plus récentes.

Documentation compilée par : Rengang Yongsheng (Hong Kong) Limited

Tang Shangyong (Monsieur Tang / Drew) · Responsable commercial
Services de demande d’agréments financiers, de transactions et de conformité continue à l’échelle mondiale

Contacter l’auteur et consulter sur un projet