PSD3 și PSR: ce trebuie să schimbe efectiv comercianții

Sub PSD2, regulile zilnice de conduită — momentul rambursării, răspunderea pentru fraudă, gestionarea reclamațiilor — erau stabilite printr-o directivă. Directivele nu se aplică direct. Fiecare dintre cele 27 de state membre a trebuit să transpună PSD2 în legislația națională proprie, fiecare cu propriul calendar, propriile lacune și propria interpretare locală. Un comerciant care opera în cinci țări din UE opera, în practică, sub cinci seturi de reguli ușor diferite, chiar dacă toate pretindeau că implementează „aceeași" directivă.

Noul pachet împarte lucrurile diferit. PSD3 rămâne o directivă și acoperă în principal autorizarea, supravegherea și accesul pe piață pentru instituțiile de plată — lucruri care afectează statutul de reglementare al PSP-ului dumneavoastră, nu checkout-ul propriu-zis. Regulile de conduită care afectează efectiv comercianții — răspunderea pentru fraudă, obligațiile de rambursare, cerințele de autentificare, gestionarea reclamațiilor — trec în PSR, un regulament. Regulamentele se aplică direct și identic în fiecare stat membru, fără o etapă de transpunere națională și fără loc pentru particularități locale de redactare.

Conform analizelor juridice ale textelor convenite, aceasta este un răspuns deliberat la problema fragmentării creată de PSD2 — PSR este conceput să ofere comercianților și PSP-urilor un set unic și uniform de reguli, în loc de 27 de variante locale (analiza Freshfields asupra textelor convenite). Pentru comercianți, asta înseamnă că revizuirea de conformitate pe care o faceți pentru entitatea din Germania ar trebui, odată ce PSR se aplică, să producă aceleași răspunsuri ca revizuirea pentru entitatea din Irlanda sau Portugalia. Este o simplificare reală, dar înseamnă și că nu mai există argumentul „autoritatea locală e mai permisivă în privința asta" pe care să vă puteți baza.

Regulile de răspundere din PSD2 erau construite în jurul unei idei relativ înguste despre ce înseamnă o tranzacție „neautorizată" — una pe care clientul nu a aprobat-o. Frauda a evoluat de atunci. Escrocheriile bazate pe inginerie socială, în care un fraudator se dă drept angajat al băncii sau convinge clientul să autorizeze direct un transfer, produc din punct de vedere tehnic o tranzacție „autorizată" conform vechiului cadru legal, ceea ce, istoric, lăsa clientul (și, implicit, comerciantul care se baza pe acea plată) cu mai puține opțiuni de recurs.

PSR extinde răspunderea în câteva direcții relevante pentru comercianți:

• Frauda bazată pe spoofing — în care un fraudator se dă drept angajat sau brand al unui PSP — deplasează mai multă răspundere către furnizorii de servicii de plată, în loc să lase clientul să absoarbă pierderea.
• Neaplicarea sau aplicarea incorectă a autentificării forte a clientului (SCA) plasează răspunderea pe partea din lanț care nu a aplicat-o corect, ceea ce include acquirer-ii și, în anumite fluxuri, comercianții care eludează autentificarea.
• Gestionarea lentă a raportărilor de fraudă de către un PSP poate genera ea însăși răspundere, ceea ce este menit să împingă băncile și PSP-urile spre un timp de răspuns mai rapid la raportările de fraudă, în loc să trateze fiecare reclamație ca pe o investigație de durată.

Pentru un comerciant, efectul practic este că disputele de fraudă se vor decide tot mai mult pe baza dovezilor despre ce s-a întâmplat în timpul autentificării, nu doar pe afirmația clientului că nu a autorizat plata. Asta transformă jurnalele de autentificare și datele privind rezultatele SCA în parte a probelor din dispute, nu doar într-o evidență de conformitate pe care o păstrați și o uitați.

Una dintre cele mai concrete schimbări pentru fluxurile de checkout implică verificarea faptului că numele titularului unui cont corespunde efectiv cu cel căruia plătitorul crede că îi trimite banii. Aceasta se bazează pe mecanismul de Verificare a Beneficiarului (VoP), deja obligatoriu pentru transferurile de credit instant conform Regulamentului UE privind plățile instant, iar noul pachet de plăți extinde această logică și la alte servicii de plată.

În practică, VoP înseamnă că banca plătitorului verifică numele titularului contului față de IBAN înainte de finalizarea transferului și semnalează o nepotrivire — „fără corespondență" sau „corespondență parțială" — plătitorului, înainte ca acesta să confirme plata. Măsura vizează direct frauda de tip „authorized push payment", în care un client este păcălit să transfere bani către un cont care nu este cel pe care îl crede.

Pentru comercianți, acest lucru afectează orice flux în care un client inițiază un transfer bancar pentru a vă plăti — metode de plată de tip cont-la-cont, plăți inițiate prin open banking sau orice pas de checkout în care afișați propriile date de beneficiar pentru ca clientul să finalizeze un transfer:

• Numele legal înregistrat la contul dumneavoastră bancar de comerciant trebuie să corespundă exact cu numele comercial pe care clienții îl văd pe pagina de checkout, altfel clienții vor începe să vadă avertismente de nepotrivire care par semnale de fraudă, chiar dacă nu este nimic greșit.
• Dacă operați sub un nume comercial diferit de numele entității legale, acum este momentul să le alineați sau să vă asigurați că checkout-ul explică clar discrepanța, înainte ca un client să întâlnească un avertisment VoP în mijlocul plății.
• Orice documentație internă care listează detaliile contului de decontare pentru scopuri de reconciliere ar trebui verificată față de ceea ce este efectiv înregistrat la bancă, întrucât o evidență neactualizată va apărea ca nepotrivire pentru fiecare client care folosește o metodă bazată pe transfer.

Acesta este un caz în care o verificare administrativă de cinci minute — confirmarea că numele înregistrat la contul bancar corespunde brandingului magazinului dumneavoastră online — evită un val de confuzie în fața clienților odată ce verificările de tip VoP vor fi aplicate pe scară largă.

PSD2 a oferit băncilor care deservesc conturi două opțiuni pentru expunerea datelor de cont către terți: un API dedicat sau o interfață alternativă construită pe ecranele existente de online banking destinate clienților. În practică, interfețele alternative au fost frecvent mai lente, mai puțin fiabile și întreținute inconsecvent, ceea ce a făcut ca fluxurile de checkout bazate pe open banking — opțiunile de plată directă din cont, informațiile de cont pentru scoringul de risc și funcții similare — să fie mai puțin de încredere decât plățile cu card.

Noul cadru legal întărește acest aspect. Băncile vor avea obligații mai clare și mai ușor de aplicat privind performanța interfețelor dedicate — mai apropiate de paritatea cu fiabilitatea propriilor canale destinate clienților, cu așteptări definite privind disponibilitatea și timpii de răspuns, în locul standardului vag de „efort rezonabil" care a caracterizat o parte din implementarea PSD2 (analiza MoFo privind evoluțiile PSD3/PSR).

Pentru comercianții care oferă sau consideră opțiuni de checkout de tip plată directă din cont bancar sau alte opțiuni cont-la-cont, acest lucru este relevant în două moduri:

• Mai puține tentative de autorizare eșuate sau expirate ar trebui să însemne mai puține coșuri abandonate pe metodele de plată bazate pe transfer, care istoric au avut performanțe mai slabe decât cardurile în ceea ce privește rata de finalizare, parțial din cauza fiabilității interfețelor.
• Dacă vă bazați pe servicii de informații despre cont pentru decizii de risc — verificarea titularului contului sau a soldului înainte de a expedia comenzi de valoare ridicată — aceste fluxuri de date ar trebui să devină mai consistente, permițându-vă să construiți fluxuri de lucru în jurul lor, în loc să fie ceva pentru care trebuie să construiți logică de reîncercare și gestionare a erorilor.

Nimic din toate acestea nu elimină nevoia de a testa integrarea dumneavoastră față de comportamentul real al băncilor, odată ce regulile intră în vigoare. Înseamnă însă că nivelul de bază al fiabilității pe care îl testați ar trebui să se îmbunătățească.

Aceasta este partea omisă în majoritatea rezumatelor juridice. Iată ce se schimbă de partea dumneavoastră.

Contractele cu PSP-ul și cu acquirer-ul. Revizuiți clauzele de alocare a răspunderii din acordurile actuale privind serviciile de plată. În contractele din era PSD2, limbajul privind răspunderea presupunea deseori vechea definiție, mai restrânsă, a „tranzacției neautorizate" și vechile reguli de exceptare de la SCA. Odată ce dispozițiile PSR privind răspunderea se vor aplica, contractele neactualizate pot face trimitere la standarde care nu mai corespund legii, ceea ce creează ambiguitate exact atunci când aveți nevoie de claritate — în mijlocul unei dispute. Întrebați-vă direct PSP-ul dacă termenii standard pentru comercianți vor fi actualizați pentru a reflecta alocarea răspunderii conform PSR, și obțineți răspunsul în scris, în loc să presupuneți că este deja gestionat.

• Fluxul dumneavoastră de checkout. Trei schimbări concrete de verificat:
• Confirmați că numele legal asociat contului de decontare corespunde brandingului magazinului dumneavoastră, pentru a evita avertismentele de nepotrivire VoP inutile pe metodele de plată bazate pe transfer.
• Asigurați-vă că fluxul de autentificare SCA (3DS sau echivalent) degradează grațios — un client care abandonează o achiziție pentru că un pas de autentificare a eșuat tehnic, nu pentru că l-a refuzat, este exact scenariul pe care noile reguli de răspundere sunt concepute să îl detecteze, și nu vreți să fiți de partea greșită atunci când o dispută este analizată.
• Dacă oferiți opțiuni de plată directă din cont bancar sau alte opțiuni cont-la-cont, planificați să retestați ratele de finalizare odată ce noile obligații privind performanța API intră în vigoare — presupunerile de fiabilitate pe care ați construit logica dumneavoastră de rezervă s-ar putea să nu mai fie constrângerea determinantă.

• Procesul de dispute. Dovezile care decid o dispută de fraudă sau un chargeback se schimbă. Acolo unde disputele din era PSD2 se decideau frecvent pe baza faptului dacă SCA a fost aplicată sau nu, disputele din era PSR se vor decide mai des pe baza modului în care a fost aplicată, dacă o verificare VoP a fost efectuată și ce rezultat a returnat, și cât de rapid a fost escaladată o raportare de fraudă. Asta înseamnă:
• Echipa dumneavoastră de suport are nevoie de acces la jurnalele de rezultate ale autentificării, nu doar la statusul tranzacției, atunci când răspunde la o dispută.
• Documentația pentru transmiterea probelor ar trebui actualizată pentru a include rezultatele de corespondență/necorespondență VoP ca un câmp standard, odată ce aceste date există în evidențele dumneavoastră de tranzacții.
• SLA-urile interne pentru escaladarea raportărilor suspecte de fraudă către PSP ar trebui înăsprite, întrucât întârzierea devine ea însăși un factor de răspundere, nu un pas administrativ neutru.

Trecerea de la PSD2 la PSR este mai puțin despre obligații noi care apar din neant și mai mult despre lacune existente care se închid.

Comercianții care au tratat răspunderea pentru fraudă, SCA și probele din dispute drept „orice spune banca locală" vor descoperi că acel răspuns nu mai este valid odată ce același text de regulament se aplică în fiecare stat membru. Munca este de natură administrativă — actualizarea contractelor, a textelor de checkout și a șabloanelor de probe — dar trebuie făcută înainte de aplicarea generală, nu după ce prima dispută sub noile reguli expune lacuna.

Nimic din toate acestea nu necesită reconstruirea checkout-ului pe o platformă nouă. Necesită tratarea contractului cu PSP-ul, a detaliilor contului înregistrat și a șabloanelor de probe pentru dispute ca documente vii, care au nevoie de o revizuire pe un calendar precis — acesta este scopul listei de verificare de mai jos.

Data exactă a aplicării generale depinde de momentul publicării textului final în Jurnalul Oficial, dar succesiunea etapelor este fixă. Folosiți acest calendar ca reper de lucru, nu ca termen fix, și confirmați datele odată ce publicarea în Jurnalul Oficial este confirmată.

• Până în T4 2026 — publicarea în Jurnalul Oficial este estimată (iunie–iulie 2026). Odată publicat textul, calculați data fermă de aplicare generală la 21 de luni distanță și introduceți-o în calendarul dumneavoastră de conformitate. Începeți revizuirea contractului cu PSP-ul acum, nu în ultimul moment.
• De-a lungul anului 2027 — Confirmați planul PSP-ului dumneavoastră de actualizare a termenilor pentru comercianți, pentru a reflecta alocarea răspunderii conform PSR. Verificați numele legal înregistrat la contul de decontare față de brandingul checkout-ului. Cartografiați care dintre fluxurile dumneavoastră de checkout folosesc SCA și documentați logica actuală de exceptare, pentru a o putea compara cu cerințele finale ale PSR.
• Începutul anului 2028 — Testați procesul de probe pentru dispute de la un cap la altul: poate echipa dumneavoastră de suport să obțină efectiv rezultatul SCA și datele de corespondență VoP pentru o tranzacție, la cerere, sau necesită acest lucru un tichet către departamentul tehnic? Remediați această lacună înainte să fie testată de o dispută reală.
• La aplicarea generală (estimat martie–aprilie 2028) — Confirmați că contractele actualizate cu PSP-ul sunt semnate, că textul de checkout reflectă orice cerințe privind numele beneficiarului și că documentația pentru dispute include noile câmpuri de probe. Tratați data aplicării generale ca momentul până la care toate acestea ar trebui deja să funcționeze, nu momentul în care începeți.

Cost+ funcționează pe baza prețurilor IC++ (Interchange Plus Plus) exact pentru că credem că comercianții iau decizii mai bune atunci când componentele unei plăți — interchange, scheme fee și marja noastră — sunt vizibile, nu grupate. Același principiu se aplică și schimbărilor de reglementare: cu cât vedeți mai din timp ce se schimbă efectiv în privința răspunderii și a cerințelor de probe, cu atât mai puțin disruptivă va fi tranziția. Dacă doriți să discutați cum se aliniază configurația actuală a checkout-ului și a procesului de dispute cu calendarul PSR, contactați echipa noastră sau verificați structura actuală de taxe față de prețurile publicate pentru risc scăzut de pe site-ul nostru, în timp ce revizuiți contractele.