PSD3 og PSR: Hverju söluaðilar þurfa raunverulega að breyta

Undir PSD2 voru daglegar hegðunarreglur — tímasetning endurgreiðslna, svikaábyrgð, meðhöndlun kvartana — settar með tilskipun. Tilskipanir gilda ekki milliliðalaust. Hvert af 27 aðildarríkjunum þurfti að lögleiða PSD2 í eigin landsrétt, og hvert og eitt gerði það á sínum tíma, með sínum eigin götum og sinni eigin staðbundnu túlkun. Söluaðili sem starfaði í fimm ESB-löndum var í reynd að starfa eftir fimm örlítið mismunandi reglubókum, jafnvel þótt allar þeirra hafi þóst innleiða „sömu" tilskipunina.

Nýi pakkinn skiptir verkefninu öðruvísi. PSD3 er áfram tilskipun og fjallar aðallega um starfsleyfi, eftirlit og markaðsaðgang fyrir greiðslustofnanir — það sem hefur áhrif á regluvarðarstöðu PSP-fyrirtækisins þíns, ekki greiðsluferlið þitt. Hegðunarreglurnar sem raunverulega snerta söluaðila — svikaábyrgð, endurgreiðslukröfur, kröfur um staðfestingu og meðhöndlun kvartana — færast yfir í PSR, sem er reglugerð. Reglugerðir gilda milliliðalaust og með sama hætti í öllum aðildarríkjum, án nokkurs landslögleiðingarskrefs og án svigrúms fyrir staðbundnar sérkenni í lagasetningu.

Samkvæmt lögfræðilegri greiningu á samþykktum textum er þetta markviss viðbrögð við þeirri sundrun sem PSD2 skapaði — PSR er hannað til að gefa söluaðilum og PSP-fyrirtækjum eina samræmda reglubók í stað 27 staðbundinna útgáfa (yfirlit Freshfields yfir samþykkta textana). Fyrir söluaðila þýðir þetta að reglufylgnisúttektin sem þú framkvæmir fyrir þýska einingu þína ætti, þegar PSR gildir, að skila sömu niðurstöðum og úttektin fyrir írsku eða portúgölsku eininguna þína. Það er raunveruleg einföldun, en það þýðir einnig að ekki er lengur til röksemdin „staðbundna eftirlitsstofnunin er slök á þessu" til að grípa til.

Ábyrgðarreglur PSD2 voru byggðar á fremur þröngri hugmynd um „óheimila" færslu — eina sem viðskiptavinurinn samþykkti ekki. Svik hafa þróast frá því. Félagsleg verkfræði (social engineering), þar sem svikari þykist vera bankastarfsmaður eða fær viðskiptavin til að heimila millifærslu beint, framleiðir tæknilega séð „heimila" færslu undir gamla rammanum, sem hefur í gegnum tíðina veitt viðskiptavininum (og þar með söluaðilanum sem reiðir sig á þá greiðslu) minni möguleika á úrræðum.

PSR víkkar ábyrgð í nokkrar áttir sem skipta söluaðila máli:

• Svik byggð á fölsun (spoofing) — þar sem svikari þykist vera starfsmaður eða vörumerki PSP-fyrirtækis — færir meiri ábyrgð yfir á greiðsluþjónustuveitendur, í stað þess að láta viðskiptavininn bera tapið.
• Vanræksla á að bjóða upp á eða beita réttilega sterkri auðkenningu viðskiptavina (SCA) setur ábyrgð á þann aðila í keðjunni sem beitti henni ekki réttilega, þar á meðal kortaviðtökuaðila (acquirer) og, í ákveðnum ferlum, söluaðila sem sneiða hjá auðkenningu.
• Hæg meðhöndlun svikatilkynninga af hálfu PSP-fyrirtækis getur sjálf skapað ábyrgð, sem er ætlað að þrýsta bönkum og PSP-fyrirtækjum í átt að hraðari afgreiðslu svikatilkynninga í stað þess að meðhöndla hverja kröfu sem langvinna rannsókn.

Fyrir söluaðila er hagnýt afleiðing þessa að svikadeilur munu í auknum mæli snúast um sönnunargögn um hvað gerðist í auðkenningarferlinu, ekki bara um hvort viðskiptavinurinn segist ekki hafa heimilað greiðsluna. Það gerir auðkenningarskrár þínar og SCA-niðurstöðugögn að hluta af sönnunargögnum þínum í deilumálum, ekki einungis regluvörslugögnum sem þú safnar og gleymir.

Ein af áþreifanlegustu breytingunum fyrir greiðsluferli snýst um að staðfesta að nafnið á reikningi passi raunverulega við þann sem greiðandinn telur sig senda peninga til. Þetta byggir á staðfestingu greiðsluþega (Verification of Payee, VoP), sem nú er þegar krafist fyrir samstundis millifærslur samkvæmt reglugerð ESB um samstundisgreiðslur, og nýi greiðslupakkinn víkkar þá rökfræði enn frekar yfir í greiðsluþjónustu almennt.

Í reynd þýðir VoP að banki greiðandans athugar nafn reikningshafa gegn IBAN áður en millifærslan lýkur, og gefur til kynna misræmi — „ekkert samræmi" eða „nálægt samræmi" — til greiðandans áður en hann staðfestir greiðsluna. Þetta er beinlínis ætlað að takast á við svik með heimilaðri þrýstigreiðslu (authorized push payment fraud), þar sem viðskiptavini er blekkt til að millifæra peninga á reikning sem er ekki sá sem viðkomandi heldur.

Fyrir söluaðila hefur þetta áhrif á hvert það ferli þar sem viðskiptavinur hefur frumkvæði að bankamillifærslu til að greiða þér — reikning-til-reiknings greiðslumáta, greiðslur sem hafnar eru í opnum bankaviðskiptum, eða hvert það greiðsluferlisskref þar sem þú birtir eigin greiðsluþegaupplýsingar fyrir viðskiptavin til að ljúka millifærslu:

• Lögheiti sem skráð er á söluaðilabankareikningi þínum þarf að vera nákvæmlega í samræmi við verslunarheitið sem viðskiptavinir sjá á greiðslusíðunni þinni, annars munu viðskiptavinir sjá misræmisviðvaranir sem líta út eins og svikamerki jafnvel þótt allt sé í lagi.
• Ef þú starfar undir verslunarheiti sem er ólíkt lögheiti einingar þinnar er nú rétti tíminn til að samræma þau eða tryggja að greiðsluferlið þitt útskýri misræmið skýrt áður en viðskiptavinur fær VoP-viðvörun í miðri greiðslu.
• Öll innri skjöl sem lista uppgjörsreikningsupplýsingar þínar til afstemmingar ættu að vera könnuð gegn því sem raunverulega er skráð hjá bankanum þínum, því úreltar upplýsingar munu birtast sem misræmi hjá öllum viðskiptavinum sem nota millifærslutengda greiðsluaðferð.

Þetta er tilvik þar sem fimm mínútna stjórnsýslueftirlit — að staðfesta að skráð nafn bankareikningsins þíns passi við verslunarvörumerkið — kemur í veg fyrir bylgju rugls hjá viðskiptavinum þegar VoP-líkt eftirlit verður víðtækt í gildi.

PSD2 gaf reikningsþjónustubönkum tvo valkosti til að opna reikningsupplýsingar fyrir þriðja aðila: sérstakt API-viðmót, eða varaviðmót byggt á núverandi netbankaskjáum þeirra fyrir viðskiptavini. Í reynd voru varaviðmót oft hægari, óáreiðanlegri og misjafnlega vel viðhaldið, sem gerði greiðsluferli byggð á opnum bankaviðskiptum — greiðslu-í-gegnum-banka valkosti, reikningsupplýsingar til áhættumats og svipaða eiginleika — óáreiðanlegri en kortagreiðslur.

Nýi rammagerðin þrengir þetta. Bankar munu standa frammi fyrir skýrari, framkvæmanlegri skyldum varðandi afkastagetu sérstakra viðmóta — nær því að vera á pari með áreiðanleika eigin viðskiptavinaskjáa, með skýrum kröfum varðandi rekstrartíma og svartíma í stað hins lauslega framfylgda „viðráðanlega viðleitni" viðmiðs sem einkenndi hluta af innleiðingu PSD2 (greining MoFo á PSD3/PSR þróuninni).

Fyrir söluaðila sem bjóða upp á eða eru að íhuga greiðslu-í-gegnum-banka eða aðra reikning-til-reiknings greiðslumáta í greiðsluferlinu skiptir þetta máli á tvo vegu:

• Færri misheppnaðar eða tímaútrunnar heimildarbeiðnir ættu að þýða færri yfirgefnar körfur á millifærslutengdum greiðslumátum, sem hafa í gegnum tíðina staðið kortagreiðslum að baki í lokahlutfalli, að hluta til vegna áreiðanleika viðmótsins.
• Ef þú reiðir þig á reikningsupplýsingaþjónustur fyrir áhættuákvarðanir — að staðfesta eignarhald reiknings eða athuga innistæður áður en háar pantanir eru sendar — ættu þessar gagnaveitur að verða áreiðanlegri til að byggja verkferla utan um, í stað þess að þú þurfir að byggja upp endurtekningarrökfræði og varaúrræði.

Engin af þessu fjarlægir þörfina á að prófa samþættingu þína gegn raunverulegri hegðun banka þegar reglurnar taka gildi. Það þýðir að grunnáreiðanleikinn sem þú prófar gegn eigi að batna.

Þetta er hlutinn sem oft er sleppt í flestum lögfræðilegum yfirlitum. Hér er það sem breytist á þinni hlið borðsins.

PSP- og kortaviðtökuaðilasamningar þínir. Farið yfir ábyrgðarskiptingarákvæði í núverandi greiðsluþjónustusamningum þínum. Í samningum frá PSD2-tímabilinu var ábyrgðarorðalag oft byggt á gömlu, þrengri skilgreiningunni á „óheimilli færslu" og gömlu SCA-undanþágureglunum. Þegar ábyrgðarákvæði PSR taka gildi geta samningar sem hafa ekki verið uppfærðir vísað til viðmiða sem passa ekki lengur við lögin, sem skapar tvíræðni nákvæmlega þegar þú þarft skýrleika — í miðri deilu. Spyrðu PSP-fyrirtækið þitt beint hvort staðlaðir söluaðilaskilmálar þess verði uppfærðir til að endurspegla ábyrgðarskiptingu PSR, og fáðu svarið skriflega í stað þess að gera ráð fyrir að því hafi verið sinnt.

• Greiðsluferlið þitt. Þrjár áþreifanlegar breytingar sem þarf að athuga:
• Staðfestu að lögheitið sem tengist uppgjörsreikningi þínum passi við verslunarvörumerkið þitt, til að forðast óþarfa VoP-misræmisviðvaranir á millifærslutengdum greiðslumátum.
• Gakktu úr skugga um að SCA-áskorunarferlið þitt (3DS eða jafngildi) mistakist á náðugan hátt — viðskiptavinur sem hættir við kaup vegna þess að auðkenningarskref mistókst tæknilega, í stað þess að hafna kaupunum, er nákvæmlega það atvik sem nýju ábyrgðarreglurnar eru hannaðar til að fanga, og þú vilt ekki vera á rangri hlið þess þegar deila er tekin til skoðunar.
• Ef þú býður upp á greiðslu-í-gegnum-banka eða aðra reikning-til-reiknings valkosti, skaltu áætla að endurprófa lokahlutföll þegar nýju kröfurnar um afkastagetu API-viðmóta taka gildi — áreiðanleikaforsendurnar sem þú byggðir varalausnarökfræði þína á eru kannski ekki lengur bindandi þröskuldur.

• Deilumálaferlið þitt. Sönnunargögnin sem ráða úrslitum svika- eða bakfærsludeilna eru að breytast. Þar sem deilur frá PSD2-tímabilinu snúust oft um hvort SCA hafi verið beitt yfirhöfuð, munu deilur á PSR-tímabilinu í meiri mæli snúast um hvernig henni var beitt, hvort VoP-athugun fór fram og hvaða niðurstöðu hún gaf, og hversu hratt svikatilkynning var stigmögnuð. Það þýðir:
• Þjónustuteymi þitt þarf aðgang að skrám um niðurstöður auðkenninga, ekki bara stöðu færslu, þegar brugðist er við deilu.
• Skjölun þín fyrir framlagningu sönnunargagna ætti að vera uppfærð til að taka VoP samræmi/misræmi-niðurstöður inn sem staðlaðan reit, þegar þau gögn eru til í færsluskrám þínum.
• Innri viðmiðunartímar (SLA) fyrir að stigmagna grunaðar svikatilkynningar til PSP-fyrirtækisins þíns ættu að styttast, því dráttur er sjálfur að verða ábyrgðarþáttur í stað hlutlauss stjórnsýsluskrefs.

Umbreytingin frá PSD2 til PSR snýst minna um að nýjar skyldur birtist úr engu og meira um að núverandi glufur lokist.

Söluaðilar sem meðhöndluðu svikaábyrgð, SCA og sönnunargögn í deilumálum sem „hvað staðbundinn banki segir hverju sinni" munu sjá að það svar heldur ekki lengur vatni þegar sami reglugerðartexti gildir í öllum aðildarríkjum. Vinnan er stjórnsýslulegs eðlis — uppfærsla samninga, greiðsluferlistexta og sönnunargagnasniðmáta — en hún þarf að fara fram fyrir almenna gildistöku, ekki eftir að fyrsta deilan samkvæmt nýju reglunum afhjúpar gluggann.

Engin af þessu krefst þess að þú endurbyggir greiðslupallinn þinn frá grunni. Það krefst þess að þú líti á PSP-samninginn þinn, skráðar reikningsupplýsingar og sönnunargagnasniðmát fyrir deilumál sem lifandi skjöl sem þurfa yfirferð á ákveðnu tímaáætlun — sem er tilgangur gátlistans hér fyrir neðan.

Nákvæm dagsetning almennrar gildistöku fer eftir því hvenær Stjórnartíðindi ESB birta lokatextann, en röðin er fast ákveðin. Notaðu þetta sem vinnutímaáætlun frekar en fastan frest, og staðfestu dagsetningar þegar birtingin í Stjórnartíðindum er staðfest.

• Fyrir lok 4. ársfjórðungs 2026 — Von er á birtingu í Stjórnartíðindum (júní–júlí 2026). Þegar birtingin hefur átt sér stað, reiknaðu út þína endanlegu 21 mánaða almennu gildistökudagsetningu og settu hana á regluvörslualmanakið þitt. Byrjaðu yfirferð PSP-samningsins núna í stað þess að bíða eftir fresti.
• Í gegnum árið 2027 — Staðfestu áætlun PSP-fyrirtækisins þíns um að uppfæra söluaðilaskilmála til að endurspegla ábyrgðarskiptingu PSR. Yfirfarið skráð lögheiti uppgjörsreiknings þíns gegn greiðsluferlisvörumerkinu þínu. Kortleggið hvaða greiðsluferli þín nota SCA og skjalfestu núverandi undanþágurökfræði svo þú getir borið hana saman við fullbúnar PSR-kröfur.
• Í byrjun 2028 — Prófaðu sönnunargagnaferli þitt fyrir deilumál frá enda til enda: getur þjónustuteymi þitt raunverulega náð í SCA-niðurstöður og VoP-samræmisgögn fyrir færslu samkvæmt beiðni, eða krefst það hugbúnaðarþróunarbeiðni? Lagaðu þann glugga áður en hann er prófaður í lifandi deilu.
• Við almenna gildistöku (áætlað mars–apríl 2028) — Staðfestu að uppfærðir PSP-samningar hafi verið undirritaðir, greiðsluferlistexti endurspegli allar kröfur um nafn greiðsluþega, og deilumálaskjölun þín innihaldi nýju sönnunargagnareitina. Líttu á almennu gildistökudagsetninguna sem punktinn þar sem allt ofangreint ætti að vera komið í gang, ekki punktinn þar sem þú byrjar.

Cost+ starfar samkvæmt IC++ (Interchange Plus Plus) verðlagningu nákvæmlega vegna þess að við teljum að söluaðilar taki betri ákvarðanir þegar hlutar greiðslu — interchange, scheme fee og álagning okkar — eru sýnilegir í stað þess að vera samanpakkaðir. Sama meginregla gildir um lagabreytingar: því fyrr sem þú getur séð hvað raunverulega er að breytast í ábyrgðar- og sönnunargagnakröfum, þeim mun minna truflandi verður umbreytingin. Ef þú vilt fara yfir hvernig núverandi greiðsluferli og deilumálauppsetning þín standast samanburð við PSR-tímaáætlunina, hafðu samband við teymið okkar eða skoðaðu núverandi gjaldskrá þína gegn birtri lágáhættuverðlagningu á síðunni okkar meðan þú fer yfir samninga.