Banking-as-a-Service e Finanza Inclusa: Strategia e Rischio

Cosa significano realmente embedded banking e BaaS

L'embedded finance è la pratica di offrire prodotti finanziari all'interno di un prodotto non finanziario, come un conto di pagamento in un'app di ride-hailing o un prestito al momento del pagamento in un negozio online. Il Banking-as-a-Service (BaaS) costituisce l'infrastruttura alla base di gran parte di queste soluzioni: una banca autorizzata, o una piattaforma che collabora con essa, rende accessibili conti, carte e pagamenti tramite API, consentendo a un'altra società di offrirli con il proprio marchio.

I vantaggi sono evidenti. Una società di software o un rivenditore può incrementare i ricavi e la fidelizzazione dei clienti senza dover diventare una banca. Una banca ottiene invece visibilità e distribuzione attraverso la clientela dei partner. I rischi sono altrettanto evidenti: il marchio visibile ai clienti non è quello che detiene la licenza e, quando qualcosa va storto, non è sempre chiaro chi sia il vero responsabile.

I principali modelli di realizzazione

Da dove arrivano i ricavi

• Interchange (commissioni d'interscambio). Le commissioni sulle carte pagate dagli esercenti rappresentano una fonte primaria di ricavo. Negli Stati Uniti, l'emendamento Durbin limita l'interscambio sulle carte di debito per le banche con oltre 10 miliardi di dollari di asset, ma esenta gli istituti più piccoli, il che spiega in gran parte perché le banche minori siano così ricercate come banche sponsor.
• Margini sui depositi. I saldi della clientela depositati presso la banca generano interessi attivi, una parte dei quali può essere condivisa con il partner.
• Commissioni per software e piattaforma. Compensi basati sull'utilizzo o corrispettivi in abbonamento pagati al fornitore dell'infrastruttura.
• Margini sui prestiti. Credito embedded, in cui il partner fornisce i dati di underwriting e la banca o il finanziatore mettono a disposizione il capitale.

Questi flussi di ricavo possono variare rapidamente in base alle modifiche normative e dei tassi d'interesse. Un modello di business che dipende da uno di questi fattori, ad esempio l'esenzione sul tetto delle commissioni d'interscambio, dovrebbe essere sottoposto a stress test per valutare l'impatto di un'eventuale rimozione di tale beneficio.

Cosa è andato storto nel 2024 e perché è importante

Le vulnerabilità del modello a strati sono emerse chiaramente nel 2024. Synapse, una società di middleware BaaS statunitense, ha presentato istanza di fallimento nell'aprile di quell'anno. I clienti delle app fintech nate sulla tecnologia di Synapse si sono accorti che i saldi depositati presso le banche partner, tra cui Evolve Bank & Trust, non coincidevano con le registrazioni mostrate dalle app, e molti di loro non sono riusciti ad accedere ai propri fondi per un lungo periodo. La vicenda ha evidenziato una debolezza strutturale: quando più aziende tengono registri dello stesso denaro, il fallimento di una di esse può impedire a chiunque di stabilire con esattezza a chi spetti cosa.

Le autorità di regolamentazione avevano già messo in guardia le banche sponsor. I provvedimenti sanzionatori adottati nei confronti di diversi istituti, tra cui Blue Ridge Bank ed Evolve, si sono concentrati su carenze nella supervisione dei partner fintech, su programmi di compliance non allineati alla crescita e su controlli inadeguati sui fondi della clientela. Nel settembre 2024, la Federal Deposit Insurance Corporation ha proposto nuove regole che imporrebbero alle banche di mantenere registri dettagliati dei titolari effettivi dei conti di custodia, affrontando direttamente questo problema.

Una checklist di due diligence per le aziende che utilizzano il BaaS

1. Chi detiene il denaro? È fondamentale conoscere il nome dell'istituto autorizzato che custodisce i fondi dei clienti e indicare chiaramente agli utenti dove trovar questa informazione.
2. Chi gestisce il registro contabile (ledger)? È necessario pretendere una riconciliazione giornaliera tra le registrazioni della banca e quelle della piattaforma, supportata da procedure scritte e report periodici.
3. Chi è responsabile della conformità? Di norma la banca rimane responsabile del programma antiriciclaggio (AML), anche quando è il partner a raccogliere i dati dei clienti. Occorre formalizzare e sottoporre ad audit i ruoli di ciascuna parte.
4. Cosa succede in caso di fallimento di un partner? È indispensabile disporre di un piano per trasferire i clienti verso un'altra banca o piattaforma, verificando che i contratti garantiscano l'accesso ai propri dati.
5. Come funziona l'assicurazione? L'assicurazione sui depositi protegge dal fallimento della banca, non dalle perdite subite dalla fintech o dalla piattaforma. La copertura pass-through dipende dall'accuratezza dei registri relativi alla proprietà effettiva dei fondi.
6. I ricavi sono sostenibili? Il business plan deve essere testato escludendo le ipotesi normative o sui tassi d'interesse più favorevoli.

Aspetti da considerare per le banche

Le banche che scelgono di operare nel BaaS come sponsor dovrebbero valutare se i propri team di risk management e compliance siano in grado di crescere con la stessa rapidità dei programmi intrapresi. Un altro elemento di attenzione è la concentrazione: un numero ristretto di grandi partner può rappresentare la maggior parte dei depositi di una banca, complicando la pianificazione della liquidità. Inoltre, la gestione dei reclami dei consumatori e il monitoraggio delle frodi devono estendersi all'intera base di clienti del partner, e non limitarsi alle filiali della banca.

La regolamentazione al di fuori degli Stati Uniti

Nell'Unione Europea, la normativa sui servizi di pagamento (PSD2, con una direttiva successiva in fase di proposta) e il Digital Operational Resilience Act (DORA), in vigore da gennaio 2025, impongono requisiti stringenti alle aziende che si affidano a fornitori di tecnologia esterni, definendo aspettative chiare in materia di supervisione, testing e piani di uscita. Nel Regno Unito, la Financial Conduct Authority si è concentrata sulle modalità con cui le società tutelano i fondi dei clienti. Sebbene i dettagli varino, la direzione è univoca: le autorità di regolamentazione si aspettano che il soggetto che intrattiene il rapporto con i clienti comprenda e controlli l'intera catena operativa.

Domande frequenti

Un'azienda qualsiasi può offrire prodotti bancari senza disporre di una licenza bancaria?

Può farlo stringendo una partnership con un istituto autorizzato, che detiene i fondi e si assume la responsabilità regolamentare. L'azienda deve comunicare chiaramente ai clienti quale sia la banca e quale l'app, evitando che il marketing lasci intendere diversamente.

I fondi depositati su un'app fintech sono protetti dall'assicurazione sui depositi?

L'assicurazione sui depositi copre il fallimento di una banca assicurata. La copertura per il denaro detenuto tramite un'app dipende da come è strutturato il conto e dall'accuratezza della tenuta dei registri. Tale copertura non protegge tuttavia dal fallimento della fintech stessa.

Qual è la differenza tra BaaS e embedded finance?

Il BaaS è l'infrastruttura fornita da una banca o da una piattaforma. L'embedded finance è l'esperienza di prodotto vissuta dal cliente all'interno di un'app non finanziaria. Il primo rappresenta gli impianti idraulici; il secondo il rubinetto.

Il modello BaaS è giunto al capolinea dopo i fallimenti del 2024?

No, ma è diventato più prudente. È lecito attendersi relazioni bancarie più dirette, una supervisione più rigorosa dei partner, controlli contabili più efficaci e un minor numero di intermediari tra il cliente e l'istituto autorizzato.

Fonti e approfondimenti

• Federal Deposit Insurance Corporation, proposta di regolamentazione sulla tenuta dei registri per i conti di custodia con funzionalità transazionali (2024), disponibile su fdic.gov.
• Board of Governors of the Federal Reserve System, Regulation II (Debit Card Interchange Fees and Routing), disponibile su federalreserve.gov.
• Office of the Comptroller of the Currency, bollettini sui rapporti con terze parti e risk management, disponibili su occ.gov.
• Unione Europea, Regolamento (UE) 2022/2554 (DORA), disponibile su eur-lex.europa.eu.

Le normative, i provvedimenti sanzionatori e le informazioni sulle aziende sono tratti da fonti pubbliche e potrebbero subire variazioni; si consiglia di verificarli presso le fonti indicate. Questo articolo ha finalità puramente informative e non costituisce una consulenza finanziaria o legale.