Banking-as-a-Service et finance embarquée : stratégie et risques

Ce que signifient réellement la banque embarquée et le BaaS

La finance embarquée consiste à proposer des produits financiers au sein d'un service non financier, à l'instar d'un compte de paiement dans une application de VTC ou d'un crédit lors du paiement en ligne sur un site e-commerce. Le Banking-as-as-Service (BaaS) constitue l'infrastructure sous-jacente d'une grande partie de ces offres : une banque agréée, ou une plateforme partenaire, met à disposition des comptes, des cartes et des solutions de paiement par le biais d'API afin qu'une autre entreprise puisse les distribuer sous sa propre marque.

L'attrait est évident. Une entreprise de logiciels ou un distributeur peut générer des revenus supplémentaires et renforcer la fidélité client sans pour autant devenir une banque. De son côté, la banque élargit sa distribution grâce à la clientèle de ses partenaires. Les risques sont tout aussi manifestes : la marque avec laquelle le client interagit n'est pas celle qui détient l'agrément, et lorsqu'un incident survient, il n'est pas toujours simple d'identifier les responsabilités.

Les principaux modèles de mise en œuvre

D'où proviennent les revenus

• L'interchange. Les commissions perçues sur les transactions par carte auprès des commerçants constituent une source de revenus essentielle. Aux États-Unis, l'amendement Durbin plafonne les commissions d'interchange sur les cartes de débit pour les banques dont les actifs dépassent 10 milliards de dollars, tout en exemptant les établissements de plus petite taille, ce qui explique en grande partie l'attrait de ces derniers en tant que banques partenaires.
• Les marges sur les dépôts. Les soldes des clients conservés auprès de la banque génèrent des revenus d'intérêts, dont une partie peut être reversée au partenaire.
• Les frais de logiciels et de plateforme. Il s'agit de redevances facturées par le fournisseur d'infrastructure en fonction de l'utilisation ou sous forme d'abonnement.
• Les marges sur le crédit. Dans le cadre du crédit embarqué, le partenaire apporte les données de souscription tandis que la banque ou l'organisme de prêt fournit les capitaux.

Ces flux de revenus peuvent évoluer rapidement en fonction de la régulation et des taux d'intérêt. Un modèle économique qui repose sur l'un d'entre eux, par exemple une exemption de plafond d'interchange, doit faire l'objet de tests de résistance en simulant la suppression de cet avantage.

Les défaillances de 2024 et leurs enseignements

Les failles du modèle à plusieurs niveaux se sont révélées au grand jour en 2024. Synapse, une entreprise américaine spécialisée dans le middleware BaaS, a déposé le bilan en avril de la même année. Les utilisateurs d'applications fintech adossées à Synapse ont constaté que les soldes conservés auprès des banques partenaires, telles que Evolve Bank & Trust, ne correspondaient pas aux montants affichés dans les applications, et nombre d'entre eux se sont retrouvés dans l'incapacité d'accéder à leurs fonds pendant une période prolongée. Cet épisode a mis en lumière une vulnérabilité fondamentale : lorsque plusieurs entités tiennent des registres pour une même somme d'argent, la défaillance de l'une d'elles peut empêcher quiconque de déterminer avec certitude qui doit quoi à qui.

Les régulateurs mettaient déjà en garde les banques partenaires. Des mesures coercitives prises à l'encontre de plusieurs d'entre elles, notamment Blue Ridge Bank et Evolve, ont pointé du doigt l'insuffisance du contrôle exercé sur les partenaires fintech, des programmes de conformité incapables de suivre le rythme de la croissance, ainsi que des dispositifs de surveillance défaillants concernant les fonds des clients. En septembre 2024, la Federal Deposit Insurance Corporation a ainsi soumis un projet de réglementation obligeant les banques à tenir des registres précis identifiant les propriétaires effectifs des comptes de gestion, afin de répondre directement à cette problématique.

Check-list de due diligence pour les entreprises utilisant le BaaS

1. Qui détient les fonds ? Identifiez clairement l'établissement titulaire de la licence qui détient l'argent des clients et indiquez à ces derniers où trouver cette information.
2. Qui tient le grand livre (ledger) ? Exigez une réconciliation quotidienne entre les registres de la banque et ceux de la plateforme, adossée à une procédure formalisée et à des rapports réguliers.
3. Qui est responsable de la conformité ? La banque conserve généralement la responsabilité de son programme anti-blanchiment (AML), même si c'est le partenaire qui collecte les données des clients. Veillez à ce que les rôles soient consignés par écrit et audités.
4. Que se passe-t-il en cas de défaillance d'un partenaire ? Prévoyez un plan de migration des clients vers une autre banque ou plateforme, et assurez-vous que les contrats vous garantissent un accès complet à vos propres données.
5. Quel est le fonctionnement de l'assurance ? L'assurance des dépôts protège contre la défaillance de la banque, et non contre les pertes subies par la fintech ou la plateforme. La couverture par transit (pass-through) dépend de l'exactitude des registres identifiant les ayants droit des fonds.
6. Les revenus sont-ils pérennes ? Testez la viabilité du modèle économique en faisant abstraction des hypothèses réglementaires ou de taux d'intérêt trop favorables.

Points de vigilance pour les banques

Les banques qui s'engagent dans le BaaS en tant que sponsors doivent s'assurer que leurs équipes chargées des risques et de la conformité disposent d'une capacité de croissance proportionnelle à celle des programmes qu'elles lancent. La concentration des risques représente un autre enjeu : un nombre restreint de grands partenaires peut représenter la majorité des dépôts d'une banque, ce qui complique la planification de la liquidité. De plus, le traitement des réclamations des consommateurs et la surveillance des fraudes doivent s'étendre à l'ensemble de la base de clients du partenaire, et non se limiter aux propres agences de la banque.

La régulation en dehors des États-Unis

Dans l'Union européenne, le cadre sur les services de paiement (DSP2, dont une révision est en préparation) ainsi que le règlement sur la résilience opérationnelle numérique (DORA), entré en application en janvier 2025, imposent des exigences strictes aux entreprises qui s'appuient sur des prestataires technologiques externes, notamment en matière de supervision, de tests et de plans de sortie. Au Royaume-Uni, la Financial Conduct Authority (FCA) a particulièrement veillé à la manière dont les entreprises sécurisent les fonds des clients. Si les spécificités diffèrent, la trajectoire réglementaire demeure constante : les autorités attendent de l'entité en contact avec les clients qu'elle comprenne et maîtrise l'ensemble de la chaîne.

Foire aux questions

Une entreprise peut-elle proposer des services bancaires sans disposer d'un agrément bancaire ?

Elle peut le faire en s'associant à un établissement agréé, qui détient les fonds et assume la responsabilité réglementaire. L'entreprise doit toutefois indiquer clairement à ses clients quelle entité est la banque et laquelle est l'application, et sa communication ne doit pas induire en erreur.

Les fonds placés sur une application fintech sont-ils protégés par une assurance des dépôts ?

L'assurance des dépôts couvre la défaillance d'un établissement bancaire agréé. La protection des fonds détenus via une application dépend de la structuration juridique du compte et de la rigueur de la tenue des registres. Elle ne protège pas contre la faillite de la fintech elle-même.

Quelle est la différence entre le BaaS et la finance embarquée ?

Le BaaS désigne l'infrastructure fournie par une banque ou une plateforme. La finance embarquée correspond à l'expérience produit perçue par le client au sein d'une application non financière. L'un représente la plomberie, l'autre le robinet.

Le modèle du BaaS est-il condamné suite aux défaillances de 2024 ?

Non, mais il s'oriente vers davantage de prudence. Il faut s'attendre à des relations bancaires plus directes, à un contrôle renforcé des partenaires, à une meilleure maîtrise de la comptabilité auxiliaire et à une réduction du nombre d'intermédiaires entre le client et l'établissement titulaire de la licence.

Sources et lectures complémentaires

• Federal Deposit Insurance Corporation, projet de réglementation sur la tenue des registres pour les comptes de gestion dotés de fonctionnalités transactionnelles (2024), disponible sur fdic.gov.
• Board of Governors of the Federal Reserve System, Regulation II (frais d'interchange et routage des cartes de débit), disponible sur federalreserve.gov.
• Office of the Comptroller of the Currency, bulletins sur les relations avec les tiers et la gestion des risques, disponibles sur occ.gov.
• Union européenne, Règlement (UE) 2022/2554 (DORA), disponible sur eur-lex.europa.eu.

Les règles, mesures coercitives et informations relatives aux entreprises sont issues de données publiques et sont susceptibles d'évoluer ; veuillez les vérifier auprès des sources citées ci-dessus. Cet article est fourni à titre d'information générale et ne constitue en aucun cas un conseil financier ou juridique.