Lancez des produits financiers réglementés sans mettre l'entreprise en jeu.

Au Canada, les entreprises assujetties à la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes, comme les entreprises de services monétaires et les courtiers en valeurs mobilières, s'inscrivent auprès du CANAFE et doivent identifier leurs clients, tenir des registres, appliquer un programme de conformité et produire les déclarations d'opérations douteuses et les autres déclarations prescrites. Aux États-Unis, la Bank Secrecy Act et le FinCEN imposent l'identification des clients, la déclaration des activités suspectes et l'inscription des MSB (entreprises de services monétaires); des permis d'État de transmetteur de fonds peuvent s'appliquer, et le filtrage des sanctions de l'OFAC s'applique de façon générale. Le fait que votre produit fasse de vous une entité déclarante dépend de ce qu'il fait, alors validez-le avec vos conseillers juridiques; une plateforme bien conçue soutient le programme dont vous avez besoin avec la vérification d'identité, le filtrage, la gestion des dossiers et la production des déclarations.

PCI DSS est la norme de sécurité de l'industrie des cartes de paiement pour toute entreprise qui stocke, traite ou transmet des données de titulaires de carte, avec des exigences de validation qui augmentent selon le volume d'opérations et selon la part du flux de carte que vous contrôlez. Un produit qui émet des cartes ou traite directement des paiements a une portée bien plus large qu'un produit qui segmente les cartes en jetons chez un processeur, et PCI DSS v4.0 a relevé les attentes en matière d'authentification, de journalisation et de scripts sur les pages de paiement. Une plateforme bien conçue garde les données brutes de carte hors de ses propres systèmes chaque fois que le produit le permet et documente la limite de la portée pour l'évaluateur.

Un grand livre doit être en partie double, avec un journal en ajout seulement, des soldes calculés à partir des écritures plutôt que modifiés directement, une comptabilisation idempotente pour qu'un paiement relancé ne soit jamais inscrit deux fois, et une gestion explicite des dates d'effet, des dates de comptabilisation et des devises. Les grands livres auxiliaires par produit se rapprochent du grand livre général et des relevés externes des processeurs, des banques et des dépositaires. Un grand livre bien conçu peut reproduire n'importe quel solde à n'importe quel moment passé, ce que les auditeurs, les partenaires et votre propre fermeture de fin de mois vous demanderont.

Les services bancaires ouverts permettent à un client d'autoriser un tiers à accéder aux données de son compte, et parfois à lancer des paiements, au moyen d'API normalisées plutôt que par extraction d'écran. Le Canada a adopté une loi-cadre sur les services bancaires axés sur les consommateurs et met le régime en place par étapes, tandis qu'aux États-Unis une règle sur les droits relatifs aux données financières personnelles a été finalisée en vertu de la Section 1033 du Dodd-Frank Act et sa mise en œuvre a été contestée; la plupart des produits s'appuient donc encore sur des agrégateurs comme Plaid ou Flinks en attendant. Une intégration bien conçue recueille le consentement par finalité, limite les données extraites et surveille chaque connexion aux institutions, car la fiabilité des agrégateurs varie d'une banque à l'autre.

Pour chaque changement touchant l'argent ou un dossier : qui l'a fait, quand, d'où, quelle était la valeur avant et après, et en vertu de quelle autorisation, le tout consigné dans un stockage qui ne peut plus être modifié par la suite, avec des horloges synchronisées. Les examinateurs s'attendent aussi à des preuves de revues des accès, d'une séparation des tâches entre ceux qui initient et ceux qui approuvent, et d'une conservation pendant les périodes fixées par votre organisme de réglementation. Un système bien conçu consigne ces événements automatiquement au niveau des données, et non à partir d'un code applicatif que quelqu'un pourrait oublier d'appeler.

Une banque répond de ses partenaires fintech devant ses propres organismes de réglementation, et les lignes directrices de surveillance sur la gestion du risque lié aux tiers, aux États-Unis comme au Canada, y compris celles du BSIF pour les institutions fédérales, orientent la vérification diligente. Attendez-vous à fournir un rapport SOC 2 ou l'équivalent, des résultats de tests d'intrusion, des diagrammes de flux de données, des plans de continuité des affaires et de réponse aux incidents, un programme de conformité, un processus de traitement des plaintes et la preuve que les fonds des clients détenus pour votre compte se rapprochent chaque jour. Les organismes de réglementation ont accru leur surveillance des ententes de banque en tant que service (banking-as-a-service); une plateforme bien conçue produit donc ces preuves à partir du système plutôt que de les assembler à chaque examen.

Chaque réseau se comporte différemment : les réseaux de cartes règlent par l'intermédiaire des processeurs avec des droits de rétrofacturation, l'ACH aux États-Unis et le TEF au Canada sont des systèmes par lots dont les codes de retour arrivent des jours plus tard, le Virement Interac et les réseaux américains en temps réel règlent en quelques secondes, et les virements télégraphiques sont définitifs mais manuels. Orchestrer, c'est choisir le réseau pour chaque opération, gérer les relances et les retours, et suivre les règlements pour que le grand livre reflète ce que la banque a réellement reçu. Une couche bien conçue utilise des clés d'idempotence pour chaque requête, traite chaque webhook une seule fois et rapproche chaque réseau de son propre relevé.

Aux États-Unis, le Truth in Lending Act encadre la divulgation du coût du crédit, l'Equal Credit Opportunity Act exige des avis de refus motivés et le Fair Credit Reporting Act encadre l'utilisation des données des agences d'évaluation du crédit. Au Canada, la divulgation du coût d'emprunt découle des lois fédérales et provinciales de protection du consommateur, le Code criminel plafonne le taux d'intérêt effectif et le Québec applique son propre régime de protection du consommateur. Un système d'octroi bien conçu gère des versions de ses divulgations et de ses règles de décision par territoire et consigne les données à l'origine de chaque décision, pour qu'un motif puisse être fourni et qu'un auditeur puisse la rejouer.

ISO 20022 est la norme de messagerie que les systèmes de paiement adoptent pour des données plus riches et structurées dans les instructions de paiement, notamment les messages transfrontaliers SWIFT, le système Lynx de paiements de grande valeur au Canada et les systèmes de virement américains. Elle compte si votre produit envoie ou reçoit des messages de paiement par l'intermédiaire d'une banque ou se connecte directement à un système de paiement, car des champs comme les données de remise structurées et les identifiants des parties remplacent les formats en texte libre. Une intégration bien conçue associe son modèle interne aux types de messages ISO 20022 qu'elle utilise et valide les messages avant qu'ils n'atteignent la banque.

Le commerce des valeurs mobilières entraîne une inscription auprès des autorités en valeurs mobilières, comme les commissions provinciales et l'OCRI au Canada ou la SEC et la FINRA aux États-Unis, et avec elle des règles de connaissance du client et de convenance, le traitement des opérations avec les dépositaires, un registre officiel, des relevés clients et des feuillets fiscaux. Les rentes et les produits semblables liés à l'assurance ajoutent des définitions de produits, des illustrations et des moteurs de calcul dont les règles doivent être conservées pendant toute la durée de chaque contrat. Un système bien conçu gère des versions de chaque règle et de chaque calcul de produit, pour qu'un contrat émis il y a des années se calcule encore selon les règles en vigueur au moment de sa vente.

Aux États-Unis, les courtiers doivent conserver et superviser leurs communications d'affaires selon les règles de la SEC et de la FINRA, les conseillers en placement ont des obligations de tenue de livres et de registres, et les organismes de réglementation ont poursuivi des sociétés pour des affaires menées sur des messageries non approuvées; les courtiers canadiens sont soumis à des règles semblables de conservation et de supervision de l'OCRI. Concrètement, il faut saisir les courriels, le clavardage, les textos et la voix, les archiver dans un stockage inaltérable et offrir aux superviseurs un processus de révision et une recherche qui répondent rapidement à une demande. Une archive bien conçue consigne la chaîne de possession de chaque message et applique la conservation par canal et par territoire.

Les autorités de surveillance s'attendent à ce que les modèles qui touchent les clients soient documentés, validés, surveillés pour détecter toute dérive et explicables, selon des cadres comme les lignes directrices interagences américaines sur le risque de modèle et les lignes directrices du BSIF au Canada, et les règles sur l'équité en matière de prêt exigent que les décisions de crédit puissent être expliquées et testées pour détecter les effets discriminatoires. En pratique, un modèle peut prioriser et recommander, mais les données, la version et la règle à l'origine d'une décision doivent être consignées. Une couche de décision bien conçue conserve chaque version de modèle et ses données d'entrée, pour qu'un motif de refus puisse être produit et qu'un organisme de réglementation puisse rejouer la décision.