Fintech as a service

Un prestataire de fintech as a service découpe les produits financiers en modules qu'un développeur peut appeler un par un. Les modules habituels sont les comptes avec IBAN, les paiements SEPA et par carte, l'émission de cartes de débit ou prépayées, les contrôles d'identité à l'entrée en relation, le crédit, et le négoce ou la conservation de titres et de crypto-actifs. Un acheteur peut prendre un seul module, comme l'émission de cartes, ou en combiner plusieurs pour former un produit financier complet pour ses clients.

De grandes sociétés de paiement vendent ces modules aux plateformes et places de marché. Adyen propose aux plateformes des comptes professionnels et des cartes pour leurs utilisateurs, cite des agréments bancaires dans l'UE, au Royaume-Uni et aux États-Unis, et indique se charger des contrôles KYC et de la conformité. Avec Stripe Issuing, une plateforme peut remettre des cartes commerciales à ses utilisateurs professionnels dans l'Espace économique européen et les ajouter à Apple Pay ou Google Pay. Des groupes comme Ephelia à Londres combinent comptes, cartes et paiements avec les agréments de leurs propres sociétés de groupe.

Le fintech as a service ne crée aucun nouveau type d'agrément, car chaque fonction reste régie par les règles de son activité. Une entreprise qui fournit des services de paiement en Allemagne a besoin d'une autorisation de la BaFin au titre de la loi sur la surveillance des services de paiement, et les dépôts ou les crédits exigent un agrément bancaire selon le KWG. L'acheteur du service n'a en général pas d'agrément et agit comme partenaire, agent ou client d'externalisation d'un titulaire d'agrément, un montage aussi appelé license as a service. Selon la section 25 du ZAG, un établissement de paiement doit déclarer chaque agent à la BaFin et à la Deutsche Bundesbank, et l'agent ne peut commencer qu'après son inscription au registre des établissements de paiement.

Une entité agréée qui achète une fonction à un prestataire technologique doit gérer ce prestataire comme un tiers. Depuis le 17 janvier 2025, DORA oblige chaque entité financière à tenir un registre d'informations sur ses contrats avec des prestataires tiers de services TIC et à prévoir une sortie pour les services qui soutiennent des fonctions critiques ou importantes. Le 18 novembre 2025, les autorités européennes de surveillance ont désigné les premiers prestataires tiers critiques de services TIC, qu'elles surveillent désormais directement. Pour les services hors TIC, l'ABE a publié en septembre 2026 des orientations sur la gestion du risque lié aux tiers, qui remplaceront ses orientations de 2019 sur l'externalisation dès leur application.

Le règlement anti-blanchiment, applicable à partir du 10 juillet 2027, permet à une banque ou à une société de paiement d'externaliser des tâches KYC à des prestataires et la laisse entièrement responsable de ces tâches. L'article 18 du règlement réserve certaines décisions à l'entité elle-même, dont le profil de risque d'un client, la décision d'accepter le client et la déclaration d'opérations suspectes à la cellule de renseignement financier. Le KYC en Allemagne suit la loi sur le blanchiment d'argent jusqu'à cette date.

En Suisse, la FINMA accorde une autorisation fintech selon l'article 1b de la loi sur les banques. Une entreprise titulaire peut accepter des dépôts du public jusqu'à 100 millions de CHF ou des valeurs patrimoniales crypto, tant qu'elle ne les investit pas et ne verse pas d'intérêts, et ces dépôts n'ont pas de garantie des dépôts si l'entreprise fait faillite. Les banques suisses qui externalisent des fonctions suivent la circulaire FINMA 2018/3, en vigueur depuis le 1er avril 2018, qui leur impose un inventaire des fonctions essentielles externalisées.

Certaines banques suisses travaillent aussi du côté prestataire du modèle. Sygnum Bank à Zurich relie des banques partenaires par API aux comptes, aux paiements, à la conservation, au courtage et à la tokenisation, pour qu'une petite banque puisse offrir des actifs numériques à ses clients sans gérer elle-même l'exploitation.

Le modèle répartit un produit financier entre plusieurs entreprises, et chaque passage de relais est un point où des données, de l'argent ou des obligations peuvent se perdre. Synapse Financial Technologies, aux États-Unis, reliait des applications fintech à des banques partenaires; après sa faillite, la FDIC a décrit la difficulté de reconstituer les soldes des consommateurs et de rapprocher les registres de Synapse de ceux des banques. En septembre 2024, la FDIC a proposé une règle selon laquelle les banques devraient identifier le titulaire de chaque dépôt qu'un tiers place chez elles et rapprocher chaque solde chaque jour.

En Allemagne, les mesures de surveillance contre Solaris à Berlin ont montré le volet anti-blanchiment du même risque. La BaFin a envoyé un représentant spécial dans la banque après un audit de ses contrôles, puis a soumis les nouveaux programmes partenaires à son autorisation. La concentration est un autre risque, car une panne chez un prestataire touche au même moment toutes les marques qui en dépendent. La BaFin cite la concentration dans l'externalisation informatique (en allemand) parmi ses risques prioritaires, et l'Autorité bancaire européenne avertissait déjà dans son rapport sur les plateformes numériques de septembre 2021 que les superviseurs ne voient ces dépendances qu'en partie.

Le fintech as a service, ou FaaS, est la fourniture par API de fonctions financières comme les comptes, les paiements, les cartes, les contrôles KYC ou le négoce par un prestataire. L'entreprise cliente propose ces fonctions à ses propres clients sous sa propre marque, et un établissement agréé derrière le prestataire porte les obligations réglementaires de chaque fonction.

Le banking as a service est la partie du modèle qui requiert une banque, à savoir des comptes avec garantie des dépôts, des cartes et des crédits d'un établissement de crédit agréé. Le fintech as a service couvre aussi des fonctions relevant d'autres agréments, comme le brokerage as a service pour les titres ou le crypto as a service pour les crypto-actifs, et des fonctions comme les contrôles d'identité, qui n'exigent aucun agrément. Tous alimentent l'embedded finance, où une marque non financière vend le produit financier.

Une plateforme fintech en marque blanche (white label) est un logiciel fini, par exemple une application bancaire, un portail de cartes ou une interface de négoce, qu'un prestataire habille aux couleurs de chaque acheteur. Avec un modèle API, l'acheteur construit plutôt sa propre interface et ne prend au prestataire que le back-end réglementé; beaucoup de contrats combinent les deux approches pour différentes parties du produit.

Payments as a service signifie qu'un prestataire gère l'acceptation des paiements, les versements ou les virements d'une autre entreprise par API, sous son propre agrément de paiement ou de monnaie électronique. Stripe, par exemple, sert les commerçants de l'EEE par un établissement de monnaie électronique agréé par la Banque centrale d'Irlande. L'acheteur intègre le parcours de paiement à son tunnel d'achat ou à sa plateforme, un montage aussi appelé embedded payments.

Le KYC as a service est l'externalisation des contrôles d'identité, du filtrage des sanctions et des contrôles de propriété vers un prestataire spécialisé, en général par API avec vérification vidéo ou eID. La banque ou la société de paiement reste entièrement responsable du résultat, et à partir de juillet 2027 l'AMLR lui interdit de déléguer la décision sur le profil de risque et sur l'acceptation du client. Ces prestataires relèvent du domaine plus large de la regtech en Europe.