PSD3 un PSR: kas tirgotājiem tiešām jāmaina

PSD2 ietvaros ikdienas uzvedības noteikumus — atmaksu termiņus, atbildību par krāpšanu, sūdzību izskatīšanu — noteica direktīva. Direktīvas nav tieši piemērojamas. Katrai no 27 dalībvalstīm bija jāievieš PSD2 savā nacionālajā likumdošanā, un katra to darīja ar savu laika grafiku, savām nepilnībām un savu lokālo interpretāciju. Tirgotājs, kas darbojās piecās ES valstīs, faktiski darbojās pēc piecām nedaudz atšķirīgām noteikumu kopām, kaut arī visas apgalvoja, ka ievieš "to pašu" direktīvu.

Jaunā pakete šo darbu sadala citādi. PSD3 paliek direktīva un pārsvarā aptver licencēšanu, uzraudzību un tirgus piekļuvi maksājumu iestādēm — tas ir tas, kas ietekmē jūsu PSP regulatīvo statusu, nevis jūsu apmaksas procesu. Uzvedības noteikumi, kas faktiski skar tirgotājus — atbildība par krāpšanu, atmaksas pienākumi, autentifikācijas prasības, sūdzību izskatīšana — pāriet uz PSR — regulu. Regulas ir tieši un identiski piemērojamas visās dalībvalstīs, bez nacionālās transponēšanas soļa un bez vietas lokālām interpretācijas īpatnībām.

Saskaņā ar saskaņoto tekstu juridisko analīzi, tā ir apzināta atbilde uz fragmentācijas problēmu, ko radīja PSD2 — PSR ir izstrādāta, lai tirgotājiem un PSP nodrošinātu vienu vienotu noteikumu kopu, nevis 27 vietējos variantus (Freshfields pārskats par saskaņotajiem tekstiem). Tirgotājiem tas nozīmē, ka atbilstības pārbaudei, ko veicat savai Vācijas struktūrai, pēc PSR piemērošanas sākuma vajadzētu dot tādas pašas atbildes kā pārbaudei jūsu Īrijas vai Portugāles struktūrai. Tā ir patiesa vienkāršošana, bet tas nozīmē arī to, ka vairs nevar atsaukties uz argumentu "vietējais regulators pret to izturas iecietīgi".

PSD2 atbildības noteikumi balstījās uz samērā šauru neautorizēta darījuma jēdzienu — darījumu, kuru klients nav apstiprinājis. Kopš tā laika krāpšanas paņēmieni ir mainījušies. Sociālās inženierijas gadījumos krāpnieks var izlikties par bankas darbinieku vai pārliecināt klientu pašam apstiprināt maksājumu. Vecā regulējuma izpratnē šāds darījums tehniski ir autorizēts, tāpēc klientam un tirgotājam, kas uz to paļāvies, bija mazāk aizsardzības iespēju.

PSR paplašina atbildību vairākos virzienos, kas ir svarīgi tirgotājiem:

• Krāpšana, kas balstīta uz identitātes viltošanu (spoofing) — kad krāpnieks izliekas par PSP darbinieku vai zīmolu — vairāk atbildības uzkrauj maksājumu pakalpojumu sniedzējiem, nevis atstāj klientu segt zaudējumus.
• Stingrās klienta autentifikācijas (SCA) nenodrošināšana vai nepareiza piemērošana rada atbildību tai maksājumu ķēdes pusei, kura nav pareizi piemērojusi autentifikāciju, tostarp karšu maksājumu pieņēmējam un atsevišķos gadījumos tirgotājam, kas autentifikāciju apiet.
• Lēna krāpšanas ziņojumu apstrāde no PSP puses pati var radīt atbildību, kas paredzēta, lai virzītu bankas un PSP uz ātrāku krāpšanas ziņojumu apstrādi, nevis katru sūdzību uztvertu kā ilgu izmeklēšanu.

Tirgotājam praktiskā ietekme ir tāda, ka krāpšanas strīdi arvien vairāk balstīsies uz pierādījumiem par to, kas notika autentifikācijas laikā, nevis tikai uz to, vai klients apgalvo, ka nav autorizējis maksājumu. Tas nozīmē, ka jūsu autentifikācijas žurnāli un SCA rezultātu dati kļūst par daļu no jūsu strīda pierādījumiem, nevis tikai par atbilstības ierakstu, kuru glabājat un aizmirstat.

Viena no konkrētākajām izmaiņām apmaksas plūsmām ir pārbaude, ka konta turētāja vārds vai nosaukums tiešām sakrīt ar to, kam maksātājs domā, ka nosūta naudu. Šī prasība balstās uz Verification of Payee (VoP) mehānismu, kas jau tagad ir obligāts tūlītējiem kredīta pārvedumiem saskaņā ar ES Tūlītējo maksājumu regulu, un jaunā maksājumu pakete šo loģiku attiecina plašāk uz maksājumu pakalpojumiem kopumā.

Praksē VoP nozīmē, ka maksātāja banka pirms pārveduma pabeigšanas salīdzina konta turētāja vārdu ar IBAN un, konstatējot neatbilstību — "nesakrīt" vai "daļēji sakrīt" —, brīdina maksātāju, pirms tas apstiprina maksājumu. Tas ir mērķēts tieši pret autorizēto maksājumu krāpšanu (authorized push payment fraud), kad klientu ar viltu pārliecina pārskaitīt naudu uz kontu, kas nav tas, par ko viņš to uztver.

Tirgotājiem tas ietekmē katru plūsmu, kurā klients pats iniciē bankas pārvedumu, lai jums samaksātu — maksājumus no konta uz kontu, atvērtās banku darbības iniciētus maksājumus vai jebkuru apmaksas soli, kurā jūs uzrādāt savus maksājuma saņēmēja datus, lai klients veiktu pārvedumu:

• Juridiskajam nosaukumam, kas reģistrēts jūsu tirgotāja bankas kontā, precīzi jāsakrīt ar tirdzniecības nosaukumu, ko klienti redz jūsu apmaksas lapā, jo pretējā gadījumā klienti sāks redzēt neatbilstības brīdinājumus, kas izskatās pēc krāpšanas signāliem, kaut arī viss ir kārtībā.
• Ja darbojaties ar tirdzniecības nosaukumu, kas atšķiras no jūsu juridiskās vienības nosaukuma, tagad ir laiks tos saskaņot vai vismaz padarīt skaidru šo atšķirību apmaksas procesā, pirms klients sastopas ar VoP brīdinājumu maksājuma vidū.
• Jebkura iekšējā dokumentācija, kas uzskaita jūsu izmaksu konta datus salīdzināšanas vajadzībām, jāpārbauda pret to, kas patiesībā ir reģistrēts jūsu bankā, jo novecojis ieraksts izpaudīsies kā neatbilstība katram klientam, kas izmanto uz pārvedumu balstītu metodi.

Šis ir gadījums, kad piecu minūšu administratīva pārbaude — apstiprinot, ka jūsu bankas konta turētāja reģistrētais nosaukums sakrīt ar jūsu veikala zīmolu — novērš klientu apjukuma vilni, kad VoP tipa pārbaudes stāsies spēkā plaši.

PSD2 deva kontu apkalpojošajām bankām divas iespējas datu par kontiem sniegšanai trešajām pusēm: specializētu API vai rezerves saskarni, kas balstīta uz to esošajiem klientiem redzamajiem tiešsaistes banku ekrāniem. Praksē rezerves saskarnes bieži bija lēnākas, mazāk uzticamas un neregulāri uzturētas, kas padarīja atvērtās banku darbības apmaksas plūsmas — maksājumus tieši no bankas konta, konta informāciju risku vērtēšanai un līdzīgas funkcijas — mazāk uzticamas nekā karšu maksājumus.

Jaunais regulējums nosaka stingrākas prasības. Bankām būs skaidrāki, izpildāmāki pienākumi attiecībā uz specializētās saskarnes veiktspēju — tuvāk to pašu klientiem redzamo kanālu uzticamības līmenim, ar noteiktām gaidām attiecībā uz darbspēju un atbildes laikiem, nevis brīvi izpildāmo "pieņemamu pūliņu" standartu, kas raksturoja daļu no PSD2 ieviešanas (MoFo analīze par PSD3/PSR attīstību).

Tirgotājiem, kas piedāvā vai apsver maksājumus tieši no bankas konta vai citas maksājumu iespējas no konta uz kontu, tas ir svarīgi divējādi:

• Mazāk neveiksmīgu autorizācijas mēģinājumu un noilgušu pieprasījumu nozīmētu mazāk pamestu iepirkumu grozu. Uz pārvedumiem balstīti maksājumu veidi vēsturiski ir pabeigti retāk nekā karšu maksājumi, daļēji saskarņu uzticamības dēļ.
• Ja riska izvērtēšanai izmantojat konta informācijas pakalpojumus, piemēram, pārbaudāt konta piederību vai atlikumu pirms liela pasūtījuma nosūtīšanas, šīm datu plūsmām vajadzētu kļūt uzticamākām. Uz tām varēs drošāk balstīt darba procesus, mazinot vajadzību pēc atkārtotiem pieprasījumiem un rezerves risinājumiem.

Nekas no tā neatceļ nepieciešamību pārbaudīt savu integrāciju pret reālu banku darbību, kad noteikumi stāsies spēkā. Tas nozīmē, ka bāzes uzticamības līmenim, pret kuru testējat, vajadzētu uzlaboties.

Šī ir daļa, kas parasti tiek izlaista lielākajā daļā juridisko kopsavilkumu. Šeit ir tas, kas mainās jūsu pusē.

Jūsu līgumi ar PSP un karšu maksājumu pieņēmējiem. Pārskatiet atbildības sadales klauzulas savos esošajos maksājumu pakalpojumu līgumos. PSD2 laika līgumos atbildības formulējumi bieži pieņēma veco, šaurāko "neautorizētas darījuma" definīciju un vecos SCA izņēmuma noteikumus. Kad PSR atbildības noteikumi stāsies spēkā, līgumi, kas nav atjaunināti, var atsaukties uz standartiem, kas vairs nesakrīt ar likumu, radot neskaidrību tieši tad, kad jums nepieciešama skaidrība — strīda vidū. Pajautājiet savam PSP tieši, vai viņu standarta tirgotāja noteikumi tiks atjaunināti, lai atspoguļotu PSR atbildības sadalījumu, un iegūstiet atbildi rakstveidā, nevis pieņemiet, ka tas ir sakārtots.

• Jūsu apmaksas plūsma. Trīs konkrētas izmaiņas, kuras pārbaudīt:
• Pārbaudiet, ka juridiskais nosaukums, kas piesaistīts jūsu izmaksu kontam, sakrīt ar jūsu veikala zīmolu, lai izvairītos no nevajadzīgiem VoP neatbilstības brīdinājumiem uz pārvedumiem balstītām maksājumu metodēm.
• Pārliecinieties, ka SCA autentifikācijas plūsma (3DS vai līdzvērtīga) tehniskas kļūmes gadījumā klientam piedāvā saprotamu turpmāko rīcību. Situācija, kurā klients pamet pirkumu neveiksmīga autentifikācijas soļa dēļ, lai gan pats maksājumu nav noraidījis, ir tieši viens no jauno atbildības noteikumu aptvertajiem scenārijiem. Izskatot strīdu, būs svarīgi, kā šādu kļūmi apstrādājāt.
• Ja piedāvājat maksājumus tieši no bankas konta vai citus maksājumus no konta uz kontu, ieplānojiet atkārtoti pārbaudīt to pabeigšanas rādītājus pēc jauno API veiktspējas prasību stāšanās spēkā. Agrākie uzticamības ierobežojumi, kuru dēļ izveidojāt rezerves risinājumus, var būt mainījušies.

• Jūsu strīdu process. Pierādījumi, kas nosaka krāpšanas vai maksājuma apstrīdēšanas rezultātu, maina raksturu. Kur PSD2 laika strīdi bieži balstījās uz jautājumu, vai SCA tika piemērota vispār, PSR laika strīdi biežāk balstīsies uz to, kā tā tika piemērota, vai VoP pārbaude tika veikta un kādu rezultātu tā uzrādīja, un cik ātri krāpšanas ziņojums tika eskalēts. Tas nozīmē:
• Jūsu atbalsta komandai jāpiekļūst autentifikācijas rezultātu žurnāliem, ne tikai darījuma statusam, atbildot uz strīdu.
• Jūsu pierādījumu iesniegšanas dokumentācija jāatjaunina, lai iekļautu VoP sakritības vai neatbilstības rezultātus kā standarta lauku, tiklīdz šie dati būs pieejami jūsu darījumu ierakstos.
• Jāsaīsina iekšējos SLA noteiktie termiņi aizdomīgu krāpšanas ziņojumu nodošanai PSP. Kavēšanās pati kļūst par atbildības faktoru, nevis tikai administratīvu darbību.

Pāreja no PSD2 uz PSR mazāk ir par jaunu pienākumu radīšanu no nekurienes, un vairāk par esošo nepilnību aizvēršanu.

Tirgotāji, kas atbildību par krāpšanu, SCA un strīdu pierādījumus uztvēra kā "kā vietējā banka to saka", atklās, ka šī atbilde vairs nedarbojas, kad viens un tas pats regulas teksts tiek piemērots visās dalībvalstīs. Darbs ir administratīvs — līgumu, apmaksas procesa tekstu un pierādījumu veidņu atjaunināšana — bet tam jānotiek pirms vispārējās piemērošanas, nevis pēc tam, kad pirmais strīds jaunajos noteikumos atklāj nepilnību.

Nekas no tā neprasa jūsu apmaksas procesa pilnīgu pārbūvi. Tas prasa attiekties pret jūsu PSP līgumu, reģistrētajiem konta datiem un strīdu pierādījumu veidnēm kā pret dzīviem dokumentiem, kuriem nepieciešama pārskatīšana pēc konkrēta laika grafika — tas ir tālāk sniegtā saraksta mērķis.

Precīzais vispārējās piemērošanas datums ir atkarīgs no tā, kad Oficiālais Vēstnesis publicēs galīgo tekstu, bet secība ir fiksēta. Uztveriet šo kā darba grafiku, nevis fiksētu termiņu, un pārbaudiet datumus, kad Oficiālā Vēstneša publikācija tiks apstiprināta.

• Līdz 2026. gada 4. ceturksnim — gaidāma publikācija Oficiālajā Vēstnesī (2026. gada jūnijs–jūlijs). Pēc publikācijas aprēķiniet savu precīzo 21 mēneša vispārējās piemērošanas datumu un ievietojiet to savā atbilstības kalendārā. Sāciet PSP līguma pārskatīšanu tagad, nevis gaidiet termiņu.
• 2027. gada laikā — apstipriniet sava PSP plānu par tirgotāja noteikumu atjaunināšanu, lai atspoguļotu PSR atbildības sadalījumu. Pārbaudiet savu izmaksu konta reģistrēto juridisko nosaukumu pret savu apmaksas procesa zīmolu. Kartējiet, kuras no jūsu apmaksas plūsmām izmanto SCA, un dokumentējiet esošo izņēmuma loģiku, lai varētu to salīdzināt pret galīgajām PSR prasībām.
• 2028. gada sākumā — testējiet savu strīdu pierādījumu procesu no gala līdz galam: vai jūsu atbalsta komanda tiešām var izgūt SCA rezultātus un VoP sakrišanas datus par darījumu pēc pieprasījuma, vai tam nepieciešams izstrādes pieprasījums (ticket)? Novērsiet šo nepilnību, pirms to pārbauda reāls strīds.
• Vispārējās piemērošanas laikā (paredzams 2028. gada marts–aprīlis) — apstipriniet, ka atjauninātie PSP līgumi ir parakstīti, apmaksas procesa teksts atspoguļo jaunās maksājuma saņēmēja vārda prasības, un jūsu strīdu dokumentācija ietver jaunos pierādījumu laukus. Uztveriet vispārējās piemērošanas datumu kā punktu, līdz kuram visam iepriekš minētajam jau jādarbojas, ne kā punktu, kurā sākat.

Cost+ darbojas pēc IC++ (Interchange Plus Plus) cenu modeļa tieši tāpēc, ka mēs domājam, ka tirgotāji pieņem labākus lēmumus, kad maksājuma sastāvdaļas — starpbanku komisijas maksa, karšu tīkla maksa un mūsu uzcenojums — ir redzamas, nevis apvienotas kopā. Tas pats princips attiecas uz regulatīvajām izmaiņām: jo agrāk redzat, kas patiesībā mainās atbildības un pierādījumu prasībās, jo mazāk pāreja būs traucējoša. Ja vēlaties pārrunāt, kā jūsu pašreizējais apmaksas process un strīdu iestatījumi sakrīt ar PSR grafiku, sazinieties ar mūsu komandu vai salīdziniet savu pašreizējo maksu struktūru ar mūsu vietnē publicētajām zema riska cenām, kamēr pārskatāt līgumus.