Banques numériques et nouveaux modèles bancairesGuide de demande et de conformité continue

L’exploitation de services bancaires par des systèmes en ligne ou mobiles nécessite toujours l’autorisation applicable à la réception de dépôts. Le modèle numérique exige notamment de traiter l’externalisation technologique, la résilience opérationnelle, la cybersécurité et la continuité des comptes clients ; il ne bénéficie d’aucune exemption automatique réduisant le capital.

Une banque numérique ou une banque challenger désigne un modèle commercial fournissant des services bancaires en ligne, sur mobile ou par de nouveaux modes de distribution, et non un agrément britannique distinct à exigences réduites. Si elle accepte effectivement des dépôts, elle doit toujours obtenir une permission au titre de la partie 4A, accordée par PRA avec le consentement de FCA. Les particularités de la demande et de l’exploitation continue concernent surtout l’ouverture de comptes à distance et la lutte contre la fraude, la technologie et l’externalisation dans le nuage, les risques de financement liés à la distribution numérique, la résilience opérationnelle et la continuité des comptes clients en cas de panne ou de sortie. Les exigences ordinaires d’accès prudentiel bancaire, de siège de l’entité britannique et de gouvernance effective n’en sont pas réduites.[1] [3] [6] [7]

Cette rubrique décrit principalement les banques constituées en personnes morales au UK qui proposent des services de dépôt et de compte par application, site web ou canaux numériques de tiers. Une banque numérique ou une banque nouvelle entrante ne constitue pas une catégorie légale d’agrément distincte : ses droits effectifs découlent des activités autorisées, telles que l’acceptation de dépôts, du périmètre de clientèle et des restrictions de l’autorisation. Les prêts, crédits hypothécaires, investissements, services de conservation et autres services financiers nécessitent toujours une vérification activité par activité ; un établissement qui ne fournit que de la monnaie électronique ou des services de paiement ne peut être classé comme banque de dépôt au seul motif que son interface ressemble à celle d’une banque.[1] [2] [6]

Le modèle numérique peut se combiner aux modèles de banque de détail, commerciale ou privée. Les obligations du Consumer Duty et de protection des dépôts applicables à la clientèle de détail ne disparaissent pas en l’absence d’agences ou lorsque les clients sont acquis via une plateforme ; servir uniquement des institutions ne dispense pas non plus des exigences applicables d’agrément bancaire et prudentielles. Un groupe étranger créant une filiale britannique doit aussi expliquer les dépendances au groupe et les contrôles propres à l’entité britannique. Une succursale étrangère doit être analysée séparément selon son entité juridique et la supervision du pays d’origine ; les dispositions de capital et d’adresse des entités britanniques décrites ici ne peuvent lui être appliquées mécaniquement.[3] [6] [7]

Il convient de choisir l’ensemble minimal suffisant d’autorisations permettant légalement l’activité réelle, la clientèle visée et les responsabilités financières, sans faire de l’étendue maximale des autorisations ou de la rapidité d’approbation l’unique objectif.

• Dans le périmètre approuvé, des services de dépôt et bancaires peuvent être proposés aux clients cibles via des comptes en ligne et des canaux mobiles, en organisant l’ouverture de compte, les paiements et l’assistance dans un parcours client cohérent. Les canaux numériques sont un mode de prestation, non un accès à toutes les autorisations d’activité ; il ne peut pas non plus être annoncé que chaque client peut ouvrir un compte à distance ou sera nécessairement accepté.[2] [6]

• Les nouvelles banques britanniques peuvent soit demander directement une autorisation sans restrictions de mobilisation lorsqu’elles disposent de toutes les capacités opérationnelles, soit recourir à un plan de mobilisation accepté par le régulateur pour achever leur mise en place. Les banques numériques peuvent intégrer à ce plan l’intégration des systèmes, le recrutement et la mise en place des prestataires ; ce dispositif n’est toutefois ni un délai de grâce pour développer une application à partir de zéro, ni une garantie d’approbation rapide.[6]

• Les dépôts bancaires éligibles bénéficient de la garantie FSCS, avec un plafond général de £120,000 par déposant et par établissement agréé par PRA, et non par application, compte ou marque partenaire. La banque doit indiquer clairement, sur ses propres canaux et ceux des tiers, la personne morale qui fournit effectivement le dépôt et la protection applicable ; la réputation ou la certification d’une plateforme technologique ne remplace pas l’évaluation de l’éligibilité du dépôt.[5] [6]

• Les conditions minimales d’agrément des banques ordinaires s’appliquent en permanence. Un demandeur constitué en personne morale au UK doit démontrer une forme juridique appropriée, un siège de direction et un siège statutaire au UK, des ressources financières et non financières suffisantes et une accessibilité permettant une surveillance efficace. Une équipe à distance, des fondateurs établis à l’étranger ou l’achat de services en nuage ne peuvent remplacer la gouvernance et les contrôles propres à la banque.[3] [6]

• Le plan d’affaires réglementaire RBP doit relier les canaux numériques, les clients cibles, les produits, la tarification et la trajectoire de rentabilité. Il doit exposer les fondements de l’acquisition, les hypothèses de clients actifs et de croissance des dépôts, intégrer les coûts de maintenance technique, de lutte contre la fraude, de service client et de contrôle, et tester les effets d’une acquisition insuffisante, d’une hausse des coûts ou d’un échec de financement. Le conseil doit conserver les traces de son examen critique et assurer la cohérence de RBP avec ICAAP, ILAAP et les plans de rétablissement et de sortie, plutôt que de présenter uniquement des téléchargements ou des documents promotionnels pour investisseurs.[6] [7]

• L’ouverture de compte à distance doit reposer sur un processus opérationnel allant de la demande, de la vérification de l’identité et des bénéficiaires effectifs et de la classification des risques jusqu’à la surveillance continue des transactions. L’évaluation globale des risques de criminalité financière doit couvrir l’acquisition de clients sans contact physique et les produits envisagés ; pour les risques d’usurpation d’identité, de prise de contrôle de comptes ou de mules financières, par exemple, les modalités de vérification, de réexamen renforcé et d’enquête doivent être expliquées en fonction des risques de l’activité. Les technologies peuvent être choisies selon les risques, mais ni un autoportrait, ni une technique biométrique particulière, ni une notation de prestataire ne peuvent être présentés comme une solution légale uniforme pour toutes les banques ; la vérification automatisée ne peut pas non plus se substituer directement à la responsabilité de contrôle de la banque.[6] [7]

• Les contrôles antifraude et de lutte contre le blanchiment doivent être conçus parallèlement au parcours client, en précisant les responsabilités de traitement des anomalies à l’ouverture de compte, des transactions suspectes et des restrictions de compte. Le filtrage ou blocage automatisé doit être suivi d’un réexamen approprié, d’une assistance aux clients et de voies de réclamation ; les préjudices prévisibles liés aux blocages erronés ou aux gels prolongés doivent être surveillés. Un canal entièrement en ligne ne permet pas de se limiter à des réponses automatisées ni de priver du soutien nécessaire les clients incapables d’utiliser l’application.[6] [7]

• La solution technique doit démontrer que la comptabilité centrale, les services d’identification à l’ouverture de compte, les connexions de paiement, l’assistance clients et les données réglementaires fonctionnent ensemble. Des tests de mise en œuvre, d’intégration, de capacité et de reprise doivent être préparés selon l’activité envisagée, en évaluant notamment les cyberattaques, l’altération des données et l’évolution rapide des technologies ; les tests doivent partir de la capacité des clients à accomplir les services essentiels, et non simplement démontrer la mise en ligne de l’application ou l’absence d’erreurs dans un système isolé.[6] [7]

• L’informatique en nuage et les autres externalisations doivent relever de la stratégie et de la gouvernance d’externalisation de la banque. Le demandeur doit identifier les fournisseurs, les services partagés du groupe et les dépendances en aval dont dépendent les services importants, expliquer les risques liés aux dispositifs transfrontaliers d’informatique en nuage, à la capacité des fournisseurs et à la concentration des dépendances, et démontrer la capacité de la banque à obtenir en permanence les informations nécessaires, à surveiller les services et à faire face à leur cessation. L’informatique en nuage peut améliorer la résilience, mais crée aussi de nouveaux risques ; l’externalisation ne saurait constituer un transfert de responsabilité réglementaire.[6] [7]

• Les services opérationnels importants et les seuils de tolérance aux perturbations doivent être identifiés et définis au stade de l’autorisation, sous la responsabilité du conseil d’administration pour leur approbation et leur surveillance. Avant une autorisation directe sans restrictions de mobilisation ou la sortie de mobilisation, remettre l’autoévaluation applicable de résilience opérationnelle, décrivant la cartographie des dépendances, les tests de scénarios graves mais plausibles, les mesures de rétablissement et la correction des lacunes. Pour les comptes numériques, envisager les services réels tels que les paiements, les dépôts et retraits ou l’accès essentiel au compte ; chaque composant IT ne doit pas être classé comme service opérationnel important sans analyse.[7]

• ICAAP et ILAAP doivent refléter les risques de bilan et opérationnels du modèle numérique. La distribution numérique et les canaux intermédiaires peuvent influer sur la concentration des financements et les sorties de dépôts ; il convient d'analyser les tensions de financement causées par l'acquisition de clients sur une même plateforme, les changements tarifaires ou les incidents de service, et de présenter des dispositifs d'urgence de liquidité réalisables. Les produits de détail doivent également respecter le Consumer Duty, les obligations d'information FSCS et les exigences relatives aux données SCV ; les exigences de redressement, de résolution et de sortie solvable s'appliquent selon le périmètre effectif du régime.[5] [6] [7] [9]

Les détenteurs du contrôle doivent déclarer la chaîne complète de participations, les propriétaires ultimes, les relations de groupe et l’origine des fonds. Les équipes de jeunes entreprises numériques et les investisseurs technologiques étrangers ne bénéficient d’aucune exemption automatique ; expliquer les relations décisionnelles et de services entre la société mère technologique, la société de marque et la banque, afin d’éviter que les transactions liées ou les objectifs de croissance des fondateurs ne prennent le pas sur la maîtrise des risques bancaires.[6] [7] [10]

Le conseil d’administration et l’équipe exécutive doivent posséder des compétences collectives proportionnées aux activités bancaires et aux dépendances technologiques, et être capables de remettre en question le capital, la liquidité, les résultats pour les clients et les risques opérationnels. Les instructions actuelles relatives aux demandes des nouvelles banques exigent au minimum CEO, le président du conseil et un autre titulaire exécutif de SMR ; lors de l’ouverture complète, l’équipe et le conseil doivent être pleinement opérationnels. Il s’agit d’exigences ordinaires de phase de création, et non d’un effectif réduit fixe réservé aux banques numériques ou d’une règle imposant à chaque administrateur de résider à Londres. Les dossiers d’aptitude, de responsabilités et d’approbation des SMF concernés doivent être soumis parallèlement.[6] [7] [8]

La banque doit préciser les responsabilités, les ressources et les dispositifs de suppléance pour les risques, la conformité, la lutte contre le blanchiment et la fraude, la sécurité de l’information, les opérations technologiques et l’assistance clientèle, et déterminer l’application de SMF et des autres règles relatives au personnel selon les fonctions réellement exercées. Si elle dispose d’un SMF24, les responsabilités de résilience opérationnelle doivent être attribuées selon les fonctions applicables ; il ne faut pas présumer que chaque CTO correspond nécessairement au même SMF. Les prestataires peuvent exécuter des services, mais la banque doit conserver en interne des personnes capables de comprendre les systèmes et les données, de remettre en question les prestataires et de décider du traitement des incidents. Le conseil d’administration doit également surveiller en permanence l’audit externalisé et les autres fonctions de contrôle.[6] [7]

L’utilisation d’une application, d’une architecture en nuage ou d’un modèle sans agences ne crée pas de tranche distincte de capital réduit. Le minimum actuel de ressources en capital de base d’une banque ordinaire constituée en personne morale britannique est l’équivalent monétaire de €5,000,000, et non £5,000,000 ; ce n’est pas non plus le budget complet du projet. Une petite banque spécialisée doit satisfaire indépendamment à la définition des règles de capital, et SDDT aux conditions de son régime prudentiel ; l’appellation numérique ne prouve à elle seule aucune de ces qualités.[13] [14]

Le capital effectif dépend également des exigences applicables du pilier 1, du pilier 2A, des coussins et, si nécessaire, de MREL. La demande doit identifier, au moyen de ICAAP, les risques de crédit, opérationnels et autres risques significatifs, et démontrer, lors de l'autorisation sans restrictions de mobilisation ou à la sortie de cette phase, la capacité à respecter les exigences pertinentes pendant au moins les douze premiers mois d'activité. Les prévisions d'un modèle numérique doivent intégrer les postes liés à l'activité réelle, notamment la construction et la maintenance continue des systèmes, le service client, les pertes dues à la fraude et les coûts de remédiation ; la suffisance du capital ne peut être déduite uniquement de la réduction des dépenses d'agences physiques.[6] [7]

Le coussin PRA d’une nouvelle banque est généralement calibré sur six mois de dépenses courantes prévisionnelles, et non selon un pourcentage uniforme des revenus de l’application ou du nombre d’utilisateurs. Les exigences progressives de mobilisation sont fixées au cas par cas en fonction des activités restreintes et doivent être respectées en permanence après l’agrément ; les fonds nécessaires au maintien du capital réglementaire minimal ne peuvent être consommés en dépenses de développement jusqu’à passer sous ce seuil. Les liquidités et le financement des préparatifs doivent être planifiés séparément ; une intention de financement au prochain tour ne constitue pas un capital déjà disponible.[6] [7]

Les informations sont établies au 2026-11-07. Les phases de capital de Bâle 3.1 et de SDDT sont principalement mises en œuvre le 2027-01-01, tandis que l’approche par modèles internes pour le risque de marché est mise en œuvre séparément le 2028-01-01 ; il faut se fonder sur les dates d’effet réelles et les critères d’éligibilité, sans présenter des réformes futures comme des allégements actuels de capital pour les banques numériques. Le présent point ne garantit ni approbation ni budget de financement.[14] [16]

Le siège de direction et le siège statutaire d’une banque constituée en personne morale enregistrée au Royaume-Uni doivent s’y trouver ; une activité numérique ne dispense pas de cette condition. Les modalités de décision effective, de gestion des activités et de liaison réglementaire doivent être expliquées, en démontrant que PRA et FCA peuvent accéder efficacement aux responsables, documents et systèmes. Le simple achat d’une boîte postale, d’une adresse de correspondance ou de services d’administrateurs de façade ne prouve pas que la gestion effective de la banque est au Royaume-Uni.[3] [6]

Le travail à distance et les services d’informatique en nuage à l’étranger doivent s’articuler avec la gouvernance britannique, en expliquant comment la direction maîtrise les équipes dispersées et les dépendances aux services, accède aux informations et maintient les communications et l’exercice de ses fonctions lors d’incidents. L’exigence d’un siège au Royaume-Uni ne signifie pas que tous les serveurs doivent s’y trouver ; cette rubrique ne permet pas non plus de promettre une surface universelle de bureaux à Londres ou un effectif fixe sur place. Le demandeur doit démontrer la disponibilité réelle de toute adresse envisagée et les modalités effectives de travail ; cette rubrique ne prouve pas l’existence de bureaux bancaires à un endroit donné.[6] [7]

• Formulaire de demande bancaire, liste des activités et restrictions demandées, informations sur les frais de demande et réponses aux observations préalables à la demande. Préciser les liens entre la personne morale fournissant les services bancaires, l’application et les marques partenaires, ainsi que le choix entre une ouverture complète directe et un parcours de mobilisation. Les frais de demande doivent être vérifiés selon les barèmes applicables de PRA et de FCA au moment du dépôt ; le devis d’un prestataire ne doit pas être présenté comme une redevance réglementaire ou une exigence de capital.[6] [17] [18]

• RBP examiné par le conseil et comptes rendus des questions correspondantes. Préciser les produits, les canaux numériques et intermédiés, le marché cible et les fondements des prévisions de rentabilité et financières ; articuler les investissements technologiques, les fonctions de contrôle, la lutte antifraude, le service client et les adaptations de l’activité en situation de tension avec ICAAP et ILAAP.[6] [7]

• Versions définitives de ICAAP et de ILAAP, conditions des instruments de capital et demandes d’approbation des classifications applicables, preuves de la mise à disposition et de la disponibilité du capital. Fournir des hypothèses de sorties de fonds et une analyse des mesures d’urgence en matière de liquidité pour la distribution numérique et la concentration des fonds sur les plateformes, en distinguant les exigences de financement de la mobilisation sous restrictions de celles du démarrage complet des activités.[6] [7] [13]

• Structure de l’actionnariat, documents sur les détenteurs du contrôle et les propriétaires ultimes, origine des fonds et relations de services intragroupe ; parcours des administrateurs et des SMF concernés, évaluations de leur aptitude et honorabilité, déclarations de responsabilités et documents de gouvernance. Compléter ces éléments par des preuves des compétences de l’équipe en matière bancaire, technologique et de risques de criminalité financière, ainsi que par les dispositions de remplacement des personnes clés ; l’expérience de projets technologiques ne remplace pas automatiquement les compétences bancaires.[6] [7] [8]

• Parcours client complet, conditions des comptes et de tarification, vérifications à l’ouverture et évaluation globale des risques de criminalité financière de l’activité. Expliquer le fonctionnement de la vérification de l’identité et des bénéficiaires effectifs, de la remontée des risques, de la lutte contre la fraude et de la surveillance continue, et fournir les procédures d’assistance clientèle, de réexamen des restrictions de compte et de réclamation ; les outils automatisés utilisés doivent reposer sur des contrôles opérationnels explicables et des éléments de test.[6] [7]

• Architecture des systèmes centraux et des canaux numériques, plans de mise en œuvre et de tests, et preuves de tests requises au stade de la demande. Les informations sur les externalisations importantes doivent préciser le périmètre des services, les responsabilités du prestataire et de la banque, ainsi que les modalités de supervision et d’accès aux données nécessaires ; sur la base des contrats et des caractéristiques effectives des systèmes, expliquer la migration et la continuité en cas de remplacement, de résiliation ou d’indisponibilité du prestataire, plutôt que de fournir uniquement une brochure de services en nuage ou une certification du prestataire.[6] [7]

• Informations sur les services d’activité importants et les tolérances d’impact en matière de résilience opérationnelle, cartographie des dépendances et programme de tests de scénarios ; joindre les autoévaluations et preuves de remédiation applicables pour un agrément direct sans restrictions de mobilisation ou avant la sortie de mobilisation. À partir de scénarios pertinents pour la banque, tels qu’une défaillance du prestataire de services en nuage ou d’identité, une interruption des connexions de paiement ou un incident cyber, expliquer le rétablissement du service aux clients et la communication en cas d’incident, et obtenir l’approbation du conseil d’administration.[6] [7]

• Dispositions de mise en œuvre du Consumer Duty et de suivi des résultats clients pour les activités de détail, ainsi que preuves de production et de validation des informations FSCS, du SCV et des fichiers d’exclusion. Il faut identifier un même déposant et la personne morale fournissant effectivement le service à travers les applications et marques partenaires, et vérifier que des informations exactes sur les clients et les soldes restent accessibles en cas d’interruption du système ou de la plateforme.[5] [6] [7]

• Documents applicables de préparation au rétablissement, à la cessation d’activité et à la résolution, approuvés par le conseil d’administration. Les établissements couverts par le régime de sortie solvable des établissements non systémiques doivent préparer SEA, en précisant les effectifs, les fonds, les systèmes, les services de tiers et les communications aux clients nécessaires au remboursement ou au transfert des dépôts ; ceux qui recourent à la mobilisation doivent également soumettre un plan de mobilisation précisant les jalons, la mise en place des fournisseurs, les tests et leur validation, le financement et les marges prévues pour l’examen de sortie de cette phase.[6] [7] [9]

Ces éléments servent de référence pour organiser le projet ; ils ne remplacent pas les formulaires officiels en vigueur ni les demandes de pièces complémentaires propres au dossier. N’envoyez pas de pièces d’identité ni de dossiers clients via le formulaire du site.

• Analyser d’abord si les activités réelles constituent une réception de dépôts et déterminer la personne morale prestataire, les autorisations relatives aux produits et la clientèle visée. Expliquer le choix du modèle bancaire plutôt que d’un modèle de paiement ou de monnaie électronique ; distinguer précisément les responsabilités de l’exploitant de l’application, des marques partenaires et de la banque elle-même, sans fonder l’autorisation sur une dénomination technologique.[1] [2] [6]

• Des échanges préalables à la demande peuvent être menés avec la New Bank Start-up Unit : échange initial, retour d'information et examen technique contradictoire. L'échange initial présente le modèle commercial numérique et le financement ; ensuite, RBP présente le parcours client, les canaux de distribution, l'externalisation, la lutte contre la fraude et la gouvernance ; l'examen technique relie la démonstration des risques à ICAAP, à ILAAP et au plan de développement des systèmes. Il faut répondre à tous les retours ; la réunion de clôture ne vaut ni autorisation ni garantie préalable d'approbation.[6] [7]

• Une fois les formulaires et justificatifs d’une qualité acceptable, transmettre électroniquement la demande et les pièces à NewFirmAuthorisation@bankofengland.co.uk selon la procédure de PRA pour les nouvelles banques, et régler les frais de demande conformément aux exigences des deux régulateurs. Préparer simultanément les documents relatifs aux contrôleurs et à SMF ; le premier agrément bancaire ne se résume pas à remplir un formulaire dans Connect.[6]

• PRA et FCA évaluent la complétude, les conditions minimales et la capacité de conformité continue. Le demandeur doit expliquer les vérifications à distance et les contrôles antifraude, les risques liés aux fonds via les canaux numériques, les dépendances aux services essentiels et les capacités réelles de gestion, répondre aux demandes de pièces complémentaires et prouver que le capital est effectivement disponible. PRA ne peut accorder l’agrément qu’avec le consentement de FCA ; le principe de proportionnalité appliqué par les deux autorités ne signifie pas que les risques numériques peuvent échapper à l’examen.[6] [7]

• Les candidats choisissant une ouverture directement complète doivent disposer de toutes les capacités opérationnelles lors de l’autorisation sans restrictions de mobilisation. Ceux qui choisissent une phase de mobilisation doivent déjà remplir les conditions minimales et terminer les derniers travaux conformément aux limites de dépôts et aux conditions de mise en place de la lettre d’approbation. Pendant cette phase, continuer à transmettre les données réglementaires applicables et les justificatifs d’avancement, et achever les parcours clients, les fonctions de contrôle, les tests des systèmes, les accords avec les prestataires ainsi que les dispositifs de rétablissement et de continuité. Il est interdit de commencer par recueillir des dépôts à grande échelle puis de compléter les systèmes.[6]

• Avant de sortir de la phase de mobilisation, soumettre, selon la procédure VoP, une demande de levée des restrictions approuvée par les organes de gouvernance de la banque, accompagnée des preuves de réalisation de chaque condition et des éléments applicables de résilience opérationnelle. La disponibilité des systèmes numériques, les données clients, les dispositifs fournisseurs et les tests de service de bout en bout doivent démontrer une capacité adaptée au volume prévu au lancement ; la seule mise en ligne dans une boutique d’applications ne prouve pas la préparation. L’activité ne peut être étendue dans le périmètre approuvé qu’après réception de la levée écrite des restrictions et sa prise d’effet ; après le lancement, les contrôles doivent continuer à être testés et améliorés à partir des données réelles.[6] [7]

Les banques numériques ne bénéficient d’aucun délai d’approbation accéléré distinct du fait de leur activité en ligne. Pour une nouvelle banque, le délai légal de décision est de six mois à compter de la reconnaissance du caractère complet de la demande, ou de douze mois à compter du dépôt si elle est incomplète ; la décision peut être une approbation ou un refus. La préparation préalable du modèle commercial, du personnel, du financement et de la technologie n’est pas comprise dans les six mois d’une demande complète et ne bénéficie d’aucun engagement uniforme d’achèvement.[6]

Le calendrier d’un modèle numérique doit intégrer comme conditions de préparation l’intégration des systèmes centraux, la mise en place des prestataires d’ouverture de comptes et de paiement, les tests propres à la banque, la correction de la qualité des données et l’exercice effectif des fonctions par l’équipe. PRA précise que les nouvelles banques sous-estiment souvent le temps nécessaire à la construction, aux tests et à la mise en œuvre de IT. Le cycle de développement d’une application ne peut remplacer l’ensemble du cycle de préparation bancaire ni garantir un lancement à un mois donné.[6]

La mobilisation dure généralement douze mois au maximum ; la restriction typique porte sur un total des dépôts de toute la banque de £50,000, et non sur un plafond par client ou un plafond permanent pour une banque numérique. La demande de sortie VoP doit être présentée au moins trois mois avant l’expiration de cette période de douze mois, afin de permettre l’examen et la correction des problèmes. Les indications officielles précisent que l’évaluation de sortie prend généralement au moins trois mois, mais les délais légaux de décision de six mois pour un dossier VoP complet et de douze mois pour un dossier VoP incomplet restent applicables ; cela ne constitue pas un engagement de lever les restrictions dans le délai prévu.[6]

Lors d’un financement ou d’une cession de participations, il faut d’abord déterminer si une notification et une approbation du contrôle bancaire sont déclenchées. Pour les banques constituées en personnes morales britanniques, l’analyse repose généralement sur les seuils de contrôle 10%, 20%, 30% et 50%, en tenant compte des participations indirectes, de l’action de concert et de l’influence notable ; l’interposition d’une société holding peut également déclencher ces exigences même si le contrôleur ultime reste inchangé. Les opérations nécessitant l’approbation au titre de la section 178 doivent être traitées avant leur réalisation ; un financement technologique ou l’acquisition d’une marque d’application ne justifie pas de se limiter à un enregistrement auprès de Companies House. Le délai d’évaluation de soixante jours ouvrables d’une notification complète de contrôle doit également tenir compte des suspensions légales pour demandes de compléments.[10] [19] [20]

Lors du remplacement d’administrateurs, de CEO ou de personnes exerçant effectivement des fonctions de direction, notamment dans les opérations technologiques, il convient d’évaluer les besoins d’approbation SMF, de réattribution des responsabilités et de suppléance. Le départ de personnes clés d’une banque numérique peut aussi affecter la surveillance de l’externalisation, la réponse aux incidents et l’accès aux systèmes : les modalités d’exercice des fonctions doivent être actualisées, et non simplement la présentation de l’équipe sur le site internet. L’inscription ordinaire d’un administrateur au registre des sociétés ne saurait remplacer l’approbation réglementaire de sa nomination.[6] [7] [8]

L’élargissement du marché de clientèle, l’introduction de nouveaux produits ou de partenariats de distribution, la migration du nuage informatique et des systèmes centraux, ainsi que le remplacement majeur de prestataires d’identification ou de paiement doivent donner lieu à une évaluation des changements concernant les autorisations, le capital et la liquidité, les contrôles contre la criminalité financière et les résultats pour les clients, puis aux notifications préalables, approbations ou VoP requis par les règles applicables. Chaque mise à jour de l’application ne nécessite pas un nouvel agrément, mais les changements importants d’activité ou d’exploitation ne peuvent pas être traités comme de simples mises à jour techniques internes. Des changements majeurs de stratégie ou de personnel pendant la mobilisation peuvent aussi affecter les fondements de l’approbation initiale et les conditions de sortie de cette phase ; il convient d’en informer rapidement les autorités de supervision.[6] [7]

Dès l’octroi de l’agrément, y compris pendant la mobilisation, la banque doit maintenir les fonds propres et la liquidité applicables et soumettre les données réglementaires correspondant à l’entité juridique et à ses activités. Après le démarrage, RBP, ICAAP et ILAAP doivent être recalibrés en continu à partir des données réelles d’activité ; il convient notamment de réexaminer la croissance des dépôts issus des canaux numériques et des intermédiaires, la concentration des financements, les hypothèses de sorties de fonds et les coûts d’acquisition des clients. Les fonctions de contrôle et la capacité des systèmes doivent suivre la croissance de l’activité ; il n’est pas acceptable d’accroître d’abord le nombre d’utilisateurs puis de mettre à niveau la maîtrise des risques.[6] [7]

L’efficacité des contrôles d’ouverture de compte à distance doit être vérifiée en permanence ; les informations sur l’identité des clients et les bénéficiaires effectifs, la classification des risques, la surveillance des transactions, les enquêtes sur les anomalies, les remontées d’activités suspectes et la formation doivent rester opérationnelles. La lutte contre la fraude peut surveiller, selon les risques réels, l’usurpation d’identité, la prise de contrôle de comptes, les mules financières, les faux positifs et les enquêtes en attente, et intégrer les constats aux règles de vérification et de transaction. Toute modification des algorithmes ou des sources de données d’un prestataire nécessite également d’évaluer une éventuelle défaillance des contrôles ; le nombre de téléchargements ou de blocages ne prouve pas, à lui seul, une gestion adéquate des risques.[6] [7]

Le conseil d’administration doit superviser les services opérationnels importants et les seuils de tolérance aux perturbations, examiner leur liste au moins annuellement et anticiper ce réexamen en cas de changement majeur. Il doit maintenir une cartographie des dépendances, une autoévaluation, des tests de scénarios graves mais plausibles et des plans correctifs, en intégrant aux tests réels les cyberrisques, les défaillances du nuage informatique, le vieillissement des systèmes et les changements technologiques rapides. Il doit également maintenir les dispositifs de remontée des incidents, de communication interne et externe, d’assistance aux clients et de reprise ; même en cas d’indisponibilité d’un fournisseur technologique, la banque reste responsable de ses services aux clients et de ses obligations réglementaires.[7]

Les relations d’externalisation et de distribution numérique doivent être surveillées en continu. Il faut obtenir des informations permettant de vérifier la capacité de service, les défaillances, la qualité des données nécessaires et la faisabilité d’une migration, et actualiser l’analyse des risques liés aux dépendances concentrées et aux changements importants. Lorsque des clients ouvrent un compte via une plateforme partenaire, il faut identifier clairement la personne morale dépositaire effective, les conditions du produit et les informations de protection, garantir à la banque l’accès aux données clients sous-jacentes nécessaires à son activité et traiter les problèmes de soutien aux clients ou d’accès aux comptes causés par la plateforme, sans supposer que le partenaire assume toute la responsabilité.[5] [6] [7]

Pour la clientèle de détail, il faut suivre en permanence les résultats pour les clients en matière de frais, de refus d’ouverture ou de restrictions de compte, de service client et de réclamations, y compris pour les clients ayant des difficultés à utiliser les canaux numériques. Les informations FSCS, SCV et le fichier des exclusions doivent rester exacts et pouvoir être produits rapidement selon les exigences applicables ; la protection générale est calculée à hauteur de £120,000 par déposant et par établissement PRA. Les dépôts ordinaires constituent une obligation de remboursement de la banque, et non des fonds de clients intégralement séparés en trust selon CASS ; les règles doivent être vérifiées séparément si des activités d’investissement ou relatives aux actifs de clients sont également exercées.[5] [6] [7] [22]

Le plan de redressement doit rester exécutable au regard des activités réelles et être régulièrement actualisé. Les banques britanniques relevant du régime non systémique de sortie solvable doivent maintenir en permanence SEA et préparer un plan d’exécution lorsqu’une sortie devient raisonnablement probable. Les modèles numériques doivent notamment intégrer dans l’évaluation des ressources la rétention du personnel clé, les coûts continus des services en nuage et de paiement, l’extraction des données, le remboursement ou le transfert des dépôts et la communication aux clients. La sortie d’un prestataire et celle de la banque sont deux choses différentes : fermer une application ou résilier un contrat d’informatique en nuage n’éteint pas la dette de dépôts. La préparation à la résolution et la continuité des services importants s’appliquent selon la stratégie réelle de résolution ; il est impossible de promettre l’absence d’interruption de tous les comptes lors de toute défaillance ou sortie.[6] [7] [9]

Avant l’acquisition, vérifier d’abord la véritable personne morale bancaire, l’autorisation, le périmètre de clientèle et les restrictions dans le registre des services financiers, et obtenir la lettre d’agrément et les échanges réglementaires. Acheter une marque, une application, du code ou des contrats de fournisseurs ne confère pas l’autorisation de recevoir des dépôts ; une opération sur actions nécessite toujours l’analyse des conditions préalables, notamment celles de la section 178. La durée restante de la phase de mobilisation de la cible, les tests non achevés et la consommation de capital doivent être vérifiés séparément ; la réalisation ne lève ni ne réinitialise automatiquement les restrictions.[6] [10]

L'audit d'acquisition prudentiel doit toujours examiner la qualité des prêts, les dépréciations, la structure des dépôts, les instruments de capital et les exigences individuelles, les tensions de liquidité et la pérennité du financement. Pour un modèle numérique, les prévisions de croissance et de rentabilité doivent également être confrontées à l'activité réelle des clients, à la rétention des dépôts et à la concentration des plateformes ; il faut vérifier les pertes dues à la fraude, les dépenses de réparation et les investissements à long terme dans la technologie et le service client. Le nombre d'utilisateurs ou la prétendue valeur d'une coquille agréée ne peut remplacer l'analyse du bilan et de la viabilité.[6] [7] [13]

Les vérifications techniques et opérationnelles doivent examiner le contrôle effectif et la transférabilité des systèmes et des données, les dispositions assurant la continuité des contrats essentiels après un changement de contrôle, les dépendances envers les fournisseurs et les services du groupe, ainsi que la capacité de la banque à continuer d’obtenir des informations complètes sur les clients et leurs soldes. Il faut examiner les incidents cybernétiques, les interruptions majeures, les défaillances de vérification d’identité et les preuves de correction en matière de lutte contre la fraude et de réclamations clients, puis apprécier la résilience opérationnelle à partir de tests réels et des dossiers de gestion de la banque, plutôt que des seules certifications des fournisseurs ou démonstrations du vendeur.[6] [7]

Le plan d’intégration doit expliquer comment assurer la continuité sécurisée des données d’identité des clients, des comptes, des paiements et de SCV, afin d’éviter que la migration n’empêche l’accès des clients à leurs fonds, ne crée des dossiers en double ou erronés, ou ne brouille les informations de protection. Il faut aussi vérifier si la fidélisation des équipes clés, la répartition des responsabilités, le rétablissement, SEA et la préparation à la résolution restent exécutables après l’opération. Les transferts d’activité, changements de permissions ou événements de contrôle nécessitant une approbation doivent être organisés séparément ; il ne faut pas promettre un changement immédiat de marque et un déploiement complet après l’acquisition.[5] [6] [7] [9] [10]

Voici les autorisations spécifiques, modèles organisationnels ou catégories légales abordés dans ce dossier. Ils ne constituent pas nécessairement chacun un agrément financier distinct.

Les principales références sont FCA, PRA / Bank of England, GOV.UK et la réglementation en vigueur. Les anciens guides de tiers fournis par l’utilisateur servent à organiser les informations sur l’activité et ne prévalent pas sur les exigences officielles les plus récentes.

Documentation compilée par : Rengang Yongsheng (Hong Kong) Limited

Tang Shangyong (Monsieur Tang / Drew) · Responsable commercial
Services de demande d’agréments financiers, de transactions et de conformité continue à l’échelle mondiale

Contacter l’auteur et consulter sur un projet