Une précaution avant toute chose : le paquet DSP3 / PSR est encore dans le processus législatif européen et n'est pas applicable. Aucun plan de conformité, aucune échéance interne, aucune clause contractuelle ne peut aujourd'hui s'appuyer sur son contenu. Ce qu'un établissement bancaire peut faire, en revanche, c'est se préparer à une trajectoire qui se dessine — antifraude renforcée, responsabilités mieux réparties, attention portée aux opérations validées par le client sous manipulation — en engageant des chantiers dont la valeur ne dépend pas du texte final. La lecture transverse de cette direction est développée dans DSP3 : ce qui se prépare pour l'authentification ; cette page traite de la préparation d'un établissement.
Cet article propose une lecture opérationnelle et ne constitue pas un avis juridique. Les orientations évoquées ici décrivent l'état d'une discussion en cours et non des obligations ; leur portée éventuelle devra être appréciée avec vos conseils, sous réserve du texte final.
Cartographier les parcours de paiement avant de choisir des contrôles
La tentation naturelle est de commencer par la technologie. L'ordre inverse donne de meilleurs résultats : établir d'abord la carte des chemins par lesquels de l'argent peut sortir, en incluant ceux qui ne ressemblent pas à des paiements.
Cette carte doit couvrir la banque en ligne et l'application mobile, mais aussi les canaux moins visibles : opérations passées en agence, ordres reçus par le centre de relation client, flux d'initiation de paiement par des tiers, virements traités en back-office, prélèvements et mandats, outils de gestion internes disposant de droits sur les comptes clients. Pour chaque chemin, trois informations suffisent à démarrer : qui peut déclencher l'opération, quelle preuve est recueillie, et ce qu'il reste de cette preuve des mois plus tard.
Télémétrie de fraude : savoir mesurer avant de devoir démontrer
Si la répartition des responsabilités devait évoluer, la capacité à documenter un dossier deviendrait un actif défensif. Or beaucoup de dispositifs journalisent l'authentification sans journaliser le contexte de la validation. On sait que le client a validé ; on ne sait pas ce qui lui était affiché, dans quel canal, ni combien de temps s'est écoulé entre l'affichage et le geste.
Constituer cette télémétrie ne demande d'attendre personne. Elle sert immédiatement à instruire les réclamations, calibrer les règles antifraude et objectiver les arbitrages entre sécurité et taux d'aboutissement. Elle permet surtout de distinguer une fraude par prise de contrôle de compte d'une fraude par manipulation, distinction que beaucoup d'indicateurs internes ne font pas encore.
Friction ciblée plutôt que friction générale
Renforcer partout n'est pas une stratégie : c'est une dégradation uniforme des parcours qui finit par provoquer des contournements, y compris internes. L'approche qui tient consiste à réserver la friction supplémentaire aux situations qui la justifient — bénéficiaire jamais utilisé, terminal inconnu, comportement de saisie inhabituel, opération déclenchée pendant un appel entrant, montant sans rapport avec l'historique du compte.
Le point délicat est le suivant : une friction ciblée n'a d'intérêt que si l'étape ajoutée apporte une preuve d'une autre nature, et non une répétition du même contrôle. Redemander un code déjà transmis par le même canal n'ajoute rien face à quelqu'un qui guide la victime au téléphone. Ce qui change la donne, c'est une étape qui rend l'opération lisible et dont l'exécution est difficile à obtenir sous dictée. Le sujet rejoint directement les scénarios décrits dans l'AiTM appliqué à la banque.
Chantiers d'anticipation, dans l'ordre
| Chantier | Livrable concret | Portage naturel | Utilité si le texte final diverge |
|---|---|---|---|
| Carte des chemins de sortie de fonds | Inventaire des parcours, canal par canal, avec la preuve recueillie | Sécurité et direction des opérations | Reste la base de toute analyse de risque paiement |
| Enrichissement de la télémétrie | Journalisation du contexte affiché au moment de la validation | Équipes fraude et ingénierie | Sert d'abord à instruire les réclamations en cours |
| Règles de friction ciblée | Politique documentée de déclenchement d'une étape supplémentaire | Fraude, avec arbitrage produit | Améliore le taux de détection indépendamment du cadre |
| Revue des scripts de relation client | Interdiction formelle de toute demande de code au client | Direction du réseau et conformité | Réduit immédiatement la fraude au faux conseiller |
| Revue contractuelle des prestataires | Clarification des rôles sur l'authentification et la conservation des preuves | Achats, juridique, sécurité | Utile pour la gestion du risque tiers en général |
L'ordre compte. Les deux premiers chantiers produisent la matière dont les trois suivants ont besoin. Commencer par la revue contractuelle sans disposer de la carte des parcours conduit à négocier des clauses détachées des flux réels.
Contrats, prestataires et coût d'un remboursement non prévu
Un établissement bancaire ne maîtrise pas seul la chaîne de validation. Éditeurs de solutions d'authentification, prestataires de services de paiement partenaires, sous-traitants d'hébergement et fournisseurs de canaux de notification interviennent tous dans la production de la preuve. Si les règles de responsabilité évoluent, la question « qui détient quoi, et pendant combien de temps » se posera dans des termes contractuels.
Deux questions méritent d'être posées dès maintenant aux prestataires, sans invoquer une obligation qui n'existe pas : quelles données de contexte sont conservées lors d'une validation, et sous quelle forme peuvent-elles être restituées en cas de contestation ? Ces réponses ont une valeur immédiate pour la gestion du risque tiers, déjà encadrée par les textes en vigueur dans le secteur financier.
Reste l'argument qui pèse en comité : un remboursement non anticipé n'est pas seulement une perte, c'est une perte non provisionnée. Les modèles de risque construits sur l'hypothèse d'une responsabilité limitée aux prises de contrôle de compte ne couvrent pas les scénarios de manipulation du client. Recalculer l'exposition sous plusieurs hypothèses — sans en présenter aucune comme probable — donne une base de décision plus honnête qu'une projection unique.
FAQ
Peut-on inscrire DSP3 dans un plan de conformité daté ?
Non, et il vaut mieux le formuler explicitement en interne. Le paquet n'étant pas adopté, aucune date ni aucune obligation ne peuvent être avancées. Les chantiers décrits ici se justifient par la réduction d'un risque de fraude actuel, ce qui les rend défendables sans référence à une échéance.
Comment arbitrer entre sécurité et taux d'aboutissement des parcours ?
En cessant de traiter la question globalement. Une friction appliquée à toutes les opérations coûte cher et protège mal ; une friction déclenchée sur des signaux précis coûte peu et protège là où la perte se produit. La télémétrie est ce qui permet de passer d'un arbitrage d'opinion à un arbitrage mesuré.
Que demander aux prestataires d'authentification aujourd'hui ?
La nature exacte des données de contexte conservées lors d'une validation, leur durée de conservation, le format de restitution en cas de litige, et la localisation des traitements. Ces éléments sont utiles quel que soit le devenir du texte, notamment pour les revues de risque tiers déjà en place.
Les équipes fraude et les équipes sécurité doivent-elles fusionner ?
Rien ne l'impose, mais leurs objets se recouvrent de plus en plus : la fraude par manipulation se joue à l'intersection du parcours technique et du comportement humain. Un rituel de travail commun, avec des indicateurs partagés sur les opérations contestées, produit généralement plus d'effet qu'une réorganisation.
Aller plus loin : pilier : authentification cognitive · validation de virement par le facteur cognitif · la fraude au faux conseiller