Agent de PSP et PSP : qui fait quoi ?

La directive (UE) 2015/2366 concernant les services de paiement dans le marché intérieur (dite « DSP2 ») permet à des mandataires non agréés, appelés « agents », de fournir, dans le cadre d’un mandat confié par un établissement de paiement, des services de paiement au nom et pour le compte du mandant. Cette disposition européenne a été reprise en droit français et étendue à l’ensemble des prestataires de services de paiement (« PSP », La notion de PSP vise les établissements de paiement, les établissements de monnaie électronique, les établissements de crédit et les prestataires de services d’information sur les comptes) à l’article L. 523-1 du Code monétaire et financier qui dispose que les PSP peuvent « recourir aux services d’un ou plusieurs agents pour exercer pour leur compte, dans les limites de leur agrément, les activités de services de paiement ».

En ce sens, il s’agit d’une externalisation de la fourniture des services de paiement (voir la question 3 de cette FAQ), et la participation de l’agent à la fourniture desdits services relève donc de la pleine responsabilité du PSP mandant (article L. 523-3 du Code monétaire et financier). Ce mandant veille notamment à ce que la clientèle en soit informée et l’agent doit obligatoirement mentionner sa qualité de mandataire dans ses relations avec le public conformément à l’article 39 de l’arrêté du 29 octobre 2009 portant sur la réglementation prudentielle des établissements de paiement.

L’agent ne peut exercer que des activités pour lesquelles il a dûment été mandaté et dans les limites de l’agrément du PSP mandant.  

Il peut être le mandataire d’un PSP de droit français ou relevant d’un autre État membre de l’Union européenne.

Il peut également être mandaté par plusieurs PSP.

Nota bene : Une société agréée en tant que PSP, ou enregistrée en tant que PSIC, peut également être agent d’un ou plusieurs PSP dès lors que l’activité en tant qu’agent est distincte de celle pour laquelle elle a sollicité un agrément, ou un enregistrement en tant que PSIC.

S’il s’agit d'un PSP de droit français, celui-ci adresse une déclaration d’enregistrement à l’ACPR en complétant un dossier de déclaration d’agent qu’il transmet via le portail ACPR. Aucune opération ne doit être effectuée par l’agent tant que l’enregistrement n’a pas été saisi dans REGAFI (Registre des agents financiers). En effet, l'Article 37 de l’arrêté du 29 octobre 2009 stipule que « Dès son inscription dans la liste prévue à l'article L. 612-21 du Code monétaire et financier, l'agent peut commencer à fournir des services de paiement ».

Le PSP mandant communique notamment les informations suivantes concernant les personnes mandatées :

Il appartient au PSP de vérifier que l’agent qu’il veut mandater répond aux conditions fixées à l’article 36, I, de l’arrêté du 29 octobre 2009 portant sur la réglementation prudentielle des PSP, notamment en matière d’honorabilité et de compétences.

Nota bene : Si le PSP mandant relève d’un autre État membre de l’Union européenne, il convient de se rapprocher de son superviseur national.

Nota bene : L’ACPR n’a de relation qu’avec le PSP et n’a pas vocation à échanger avec les sociétés souhaitant devenir agents PSP.

Nota bene : Cas particulier des prestataires de service d’informations sur les comptes (« PSIC ») : Les agents de PSIC sont soumis aux mêmes exigences que les agents des autres PSP. Cependant, ils n’ont pas à être enregistrés auprès de l’ACPR. Ils n’apparaissent donc pas dans le registre des agents financiers « REGAFI ». L'agent d'un EP mandaté pour fournir le service d'information sur les comptes (service 8) doit quant à lui être enregistré. Il apparaît donc dans « REGAFI ».

Description de l’activité de l’agent et des services de paiement

L’ACPR s’assure que le PSP a vérifié la conformité réglementaire de l’activité de l’agent et la compatibilité de cette activité avec le statut d’agent de services de paiement.

Pour décrire les services de paiement fournis par l’agent, le PSP fournit pour chaque service un schéma des flux en indiquant toutes les parties prenantes (par exemple : les clients, l’agent, le PSP mandant, les autres PSP impliqués, etc.) avec l’indication des comptes de paiement ou bancaires mouvementés. Ce schéma permet d’appréhender le rôle des différents intervenants dans la gestion du compte de paiement, l’exécution des paiements et dans le dispositif de LCB-FT.

L’ACPR vérifie l’existence d’un contrat-cadre de services de paiement dont le contenu est conforme à l’arrêté du 29 juillet 2009 relatif aux relations entre les PSP et leurs clients, en matière d'obligations d'information des utilisateurs de services de paiement.

Dispositif de contrôle du PSP mandant

Pour l’analyse du dispositif de contrôle, il convient de noter que l’activité des agents répond à la définition des prestations de services essentiels externalisées (PSEE) visée à l’article 10 r) de l’arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque, des services de paiement et des services d'investissement. L’ACPR s’assure notamment :

• De l’existence d’un contrat écrit entre le PSP mandant et l’agent incluant notamment une clause sur le droit d’audit dont dispose l’ACPR (voir la question 5 de cette FAQ) ;

• Que la politique de contrôle interne du PSP mandant inclut l’activité de l’agent ;

• Que la politique LCB-FT et de gel des avoirs du PSP mandant inclut l’activité de l’agent (notamment en termes de formation et de procédures mises en place) ;

• De l’absence d’externalisation du dispositif de déclaration de soupçon à Tracfin (article. R. 561-38-2 du code monétaire et financier) ;

• Que l’ensemble des risques liés à l’activité de l’agent soit bien pris en compte dans la cartographie des risques du PSP mandant.

Lorsque le PSP déclare un agent à l’ACPR, les formalités peuvent être plus ou moins allégées. L’ACPR a décliné son niveau d’exigence notamment en fonction de l’existence d’autres agents déjà mandatés par le PSP et enregistrés auprès de l’ACPR mais aussi de l’activité exercée par ces agents :

Régime « complet » :

Ce régime est appliqué lorsque le PSP recourt pour la première fois à un agent ou que ses autres agents exercent des activités différentes de celles qui seront exercées par l’agent pour lequel un enregistrement est sollicité (en termes de nature, de volume, de secteur et de clientèle, etc.). Dans ce cas, le PSP doit fournir l’intégralité des informations listées à l’annexe 4 de l’instruction 2019-I-22.

Régime « allégé » :

• Régime allégé avec procédure « simplifiée » :

Lorsque le PSP mandate des agents qui relèvent d’une même catégorie (place de marché, intermédiaire en financement participatif – « IFP », cagnottes, etc.) que ceux précédemment mandatés et enregistrés auprès de l’ACPR (depuis moins de 6 mois), une procédure simplifiée est appliquée après accord de l’ACPR.

Dans le cadre de cette procédure simplifiée, le PSP mandant ne devra fournir la description du dispositif de contrôle interne et du dispositif de LCB-FT qu'en cas de changement substantiel.

•  Régime allégé avec procédure « standardisée » :

Si un prestataire de services de paiement enregistre un nombre important d’agents et de façon régulière, une procédure standardisée peut être mise en place avec l’accord de l’ACPR.

Les relations entre l’agent et son PSP donne lieu à la conclusion d’un contrat écrit (article 238 de l’arrêté du 3 novembre 2014  relatif au contrôle interne des entreprises du secteur de la banque, des services de paiement et des services d'investissement et article 10 de l’arrêté du 6 janvier 2021 relatif au dispositif et au contrôle interne en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme et de gel des avoirs et d'interdiction de mise à disposition ou d'utilisation des fonds ou ressources économiques).

Le contrat doit être conforme aux orientations publiées par l’EBA le 25 février 2019 en matière d’externalisation. Il doit contenir notamment tous les éléments prévus et listés au point 13 « Phase contractuelle » de ces orientations.

Voici une liste des éléments devant a minima figurer dans le mandat (outre les éléments figurant classiquement dans un contrat tels que la durée, les conditions de résiliation ou les conditions financières) :

• Description des services pour lesquels l’agent est mandaté
  Après la description desdits services, préciser que la prestation ne peut être modifiée sans l’accord préalable du PSP, y compris pour le recours à la sous-traitance.

• Suivi de la prestation et maîtrise des risques
  Lister les engagements de l’agent relatifs au respect des procédures et des politiques internes.
  À noter que l’agent doit s’engager à informer le PSP de tout évènement susceptible d’avoir un impact sensible sur sa capacité à exercer les tâches externalisées de manière efficace et conforme à la réglementation.
  Mentionner l’obligation des parties d’assurer un suivi permanent de leur niveau de maîtrise des risques, de leur respect des règles de sécurité et de conformité applicable au contrat, y compris auprès de leurs propres sous-traitants. Indiquer les modalités d’échanges d’informations entre les parties.

• Audit et contrôle (droit d’accès d’informations et d’audit) du PSP
  Rappeler que l’agent autorise expressément le PSP à réaliser des audits, afin de vérifier que les obligations à la charge de l’agent au titre du contrat sont respectées et contrôler effectivement les fonctions externalisées.

• Confidentialité
  Rappeler que toutes les informations concernant l’activité ainsi que le fonctionnement de chacune parties sont confidentielles.

• Sécurité
  Préciser les obligations des parties de mettre en place les mesures techniques et organisationnelles nécessaires à la sécurité des données et de leur système d’information.

• Responsabilité
  Mentionner que le PSP est responsable des activités réalisées par l’agent au titre de son agrément délivré par l'ACPR.

• Données personnelles
  Rappeler que les parties s’engagent à respecter scrupuleusement toutes les dispositions législatives et réglementaires en vigueur relatives à la protection des données à caractère personnel, et notamment les dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée, relative à l’informatique, aux fichiers et aux libertés et du règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (« RGPD »).

• LCB-FT, fraude et corruption
  Rappeler que chaque partie attend de l’autre qu’elle respecte ses engagements et obligations au regard des lois, règlements et normes conventionnelles, françaises ou internationales, relatifs à la lutte contre la fraude, la corruption, le blanchiment de capitaux et le financement du terrorisme. 

• Sous-traitance (lorsque celle-ci est autorisée)
  Rappeler que la sous-traitance par l’agent n’a pas d’effet sur la responsabilité du PSP à l’égard des activités de l’agent à l’égard de ses utilisateurs.

• Assurance
  Préciser si une police d’assurance responsabilité civile et professionnelle est souscrite par l’agent, son niveau de couverture et sa durée.

• Audit de l’ACPR ou de toute autre autorité étrangère équivalente
  L’agent a l’obligation de coopérer et accepte expressément que des missions de contrôle destinées à vérifier le respect de ses obligations règlementaires soient menées par l’ACPR ou toute autre autorité étrangère équivalente.

En tant que PSP, les établissements de monnaie électronique, lorsqu’ils sont agréés pour fournir des services de paiement, peuvent recourir à des agents pour fournir, en leur nom et pour leur compte, des services de paiement non liés à la monnaie électronique qu’ils émettent.

Ils peuvent également recourir, dans les limites de leur agrément, aux services d'une ou de plusieurs personnes (physiques ou morales) en vue de distribuer, en leur nom et pour leur compte, de la monnaie électronique et effectuer, dans ce cadre, les activités suivantes (article L. 525-8 du Code monétaire et financier) :

• La mise en circulation de monnaie électronique, y compris le rechargement de monnaie électronique ;

• Le remboursement de monnaie électronique.

Dans ce dernier cas, les émetteurs de monnaie électronique :

• Respectent les dispositions réglementaires relatives à l’externalisation (article L. 525-9 du Code monétaire et financier) ; un mandat conclu entre l’EME et le distributeur comporte les éléments listés dans la question 5 (cf supra).

• Veillent à ce que les personnes chargées de distribuer, en leur nom et pour leur compte, de la monnaie électronique apportent à la clientèle et au public, par tout moyen approprié et de manière visible et lisible, les informations relatives à la dénomination sociale, à l’adresse et au nom commercial de l’émetteur de monnaie électronique (article L. 525-10 du Code monétaire et financier) ;

• Demeurent responsables à l’égard des détenteurs de monnaie électronique de la monnaie électronique distribuée par les personnes mentionnées ci-dessus (article L. 525-11 du Code monétaire et financier).

À la différence des agents, les distributeurs de monnaie électronique mandatés en France par des émetteurs de monnaie électronique agréés en France ne doivent pas être enregistrés auprès de l’ACPR.

Ils doivent toutefois faire l’objet d’une déclaration de passeport par l’émetteur mandant qui est établi dans un État membre différent des distributeurs mandatés. Le formulaire à utiliser pour ces distributeurs est disponible sur le site de l’ACPR. Voir aussi les « instructions pour constituer votre dossier ».

C’est le prestataire de services de paiement (« PSP » - définis à l’article L. 521-1 du Code monétaire et financier) qui est assujetti à la réglementation LCB-FT française lorsqu’il fournit ses services en France (en application de l’article L. 561-2 du Code monétaire et financier).

À cet égard, le PSP mandant met en place :

• Un dispositif « LCB-FT » et de gel des avoirs adapté aux risques de blanchiment de capitaux et de financement du terrorisme auxquels il est exposé et que les agents ou les distributeurs mandatés doivent respecter ;

• Un dispositif de contrôle interne (articles L. 561-1 et suivants du Code monétaire et financier ainsi que l’arrêté du 6 janvier 2021) intégrant ses agents ou ses distributeurs conformément aux dispositions des articles R. 561-38-2 et R. 561-38-5 du Code monétaire et financier. L’article 10 de l’arrêté du 6 janvier 2021 précise les clauses obligatoires du contrat devant être conclu entre l’organisme assujetti et le prestataire externe.

Les porteurs de projet sont invités à consulter les documents de nature explicative publiés par l’ACPR et notamment :

• Les lignes directrices relatives à l'identification, la vérification de l'identité et la connaissance de la clientèle ;
• Les lignes directrices conjointes de l'ACPR et de Tracfin sur les obligations de déclaration et d’information à Tracfin ;
• Les lignes directrices conjointes de la Direction Générale du Trésor et de l’ACPR sur la mise en œuvre des mesures de gel des avoirs. 

Nota bene : La Direction général du Trésor met régulièrement à jour la liste unique de gels des avoirs. Les porteurs de projet peuvent s’abonner au « Flash Info gel » en envoyant un message à l’adresse mail suivante : info-gelsubscribe@listes.finances.gouv.fr, avec en objet « abonnement à la liste info-gel ».