Paiements, monétique, flux SWIFT, fraude et actifs numériques : audit, conseil, formation et assistance technique pour la banque

Cadre réglementaire et normatif des paiements, de la monétique et de la fraude

La DSP2, les virements instantanés et la vérification du bénéficiaire

Les services de paiement en Europe reposent sur la directive (UE) 2015/2366, dite DSP2 (deuxième directive sur les services de paiement) ou PSD2 (Payment Services Directive 2, deuxième directive sur les services de paiement), transposée en France dans le code monétaire et financier. Elle impose l'authentification forte du client pour les paiements électroniques et l'accès aux comptes, organise le rôle des prestataires d'initiation de paiement et d'information sur les comptes, et fixe le régime des opérations non autorisées. Dans ce cas, le prestataire du payeur rembourse en principe au plus tard à la fin du premier jour ouvrable suivant, sauf soupçon de fraude de l'utilisateur communiqué par écrit à la Banque de France. L'ACPR agrée les établissements de paiement et de monnaie électronique et contrôle leurs pratiques.

Le règlement (UE) 2024/886, adopté le 13 mars 2024, a rendu le virement instantané en euros obligatoire et encadré les frais, le filtrage des sanctions et la vérification du bénéficiaire. Selon le calendrier publié par la BCE, les prestataires de la zone euro devaient recevoir des virements instantanés le 9 janvier 2025, puis en émettre et vérifier le bénéficiaire le 9 octobre 2025. Les établissements de paiement et de monnaie électronique de la zone euro disposent de dates propres, au 9 avril 2027 pour l'envoi et la réception ; il faut lire le règlement pour chaque obligation. Hors zone euro, la réception est attendue au 9 janvier 2027 et l'émission au 9 juillet 2027. En France, le service de vérification du bénéficiaire est en place depuis octobre 2025, selon le rapport 2025 de l'Observatoire de la sécurité des moyens de paiement.

PSD3 et le règlement sur les services de paiement : où en est-on

La Commission a proposé le 28 juin 2023 une directive PSD3 (Payment Services Directive 3, troisième directive sur les services de paiement) et un règlement sur les services de paiement (PSR). Parlement et Conseil ont conclu un accord provisoire le 27 novembre 2025 ; les textes de compromis ont été publiés le 23 avril 2026 et la commission des affaires économiques du Parlement les a approuvés le 5 mai 2026. À notre connaissance, l'adoption formelle et la publication au Journal officiel de l'Union européenne n'étaient pas confirmées lors de la dernière vérification de cette page, en octobre 2026, et les sources divergent sur le calendrier. Le PSR (Payment Services Regulation, règlement européen sur les services de paiement) s'appliquerait environ vingt et un mois après son entrée en vigueur, et la vérification du bénéficiaire qu'il organise pour les virements non couverts par le règlement 2024/886 environ vingt-sept mois après.

Le contenu annoncé retient quatre axes : des règles d'authentification forte plus précises, un droit au remboursement pour le client victime d'une usurpation d'identité de son prestataire de paiement, sous conditions, un suivi renforcé des transactions et des tableaux de bord pour gérer les accès des prestataires de services d'accès aux comptes. Ces points restent à confirmer sur le texte publié. Notre recommandation est de préparer l'organisation (suivi des transactions, parcours de signalement, partage d'informations de fraude) sans attendre, mais de ne figer ni calendrier ni budget avant la publication.

SWIFT, ISO 20022 et sécurité des données de cartes

Le format ISO 20022 structure désormais les messages de paiement entre banques. Le système de règlement TARGET est passé à ce format en mars 2023, et la période de coexistence entre les messages MT (Message Type, format de message SWIFT) et les messages ISO 20022 pour les paiements transfrontaliers du service CBPR (Cross-Border Payments and Reporting, messages de paiements transfrontaliers SWIFT)+ de Swift a pris fin le 22 novembre 2025, selon les annonces de Swift relayées par la presse spécialisée. La suppression des adresses postales non structurées, d'abord annoncée pour novembre 2026, a fait l'objet d'une demande de report acceptée par Swift ; la nouvelle échéance est à vérifier sur le site de Swift. Swift publie par ailleurs un référentiel de contrôles de sécurité pour ses utilisateurs, dont le statut exact doit être vérifié dans les conditions d'utilisation du réseau.

Pour les cartes, le référentiel PCI DSS, dans sa version 4.0.1, est édité par le PCI (Payment Card Industry, secteur des cartes de paiement) Security Standards Council, organisme privé. Les exigences de la version 4.0 qui étaient « futures » sont devenues obligatoires le 31 mars 2025. Seuls des assesseurs qualifiés par le PCI SSC (QSA) évaluent officiellement la conformité à ce référentiel. Nous cartographions le périmètre, réduisons le périmètre par la tokenisation et préparons l'audit ; nous ne signons aucun rapport PCI DSS.

Fraude et trésorerie

La fraude aux moyens de paiement en chiffres

Selon le rapport 2025 de l'Observatoire de la sécurité des moyens de paiement, publié en septembre 2026, la fraude aux moyens de paiement atteint 1,2 milliard d'euros (+3,8 %) pour 7,2 millions d'opérations frauduleuses (-8 %). La fraude à la carte, à 475 millions d'euros, est à son plus bas niveau historique, avec un taux de 47 euros pour 100 000 euros de paiements. La fraude par manipulation (faux conseiller, fraude au président, substitution d'IBAN) atteint 516 millions d'euros, soit un peu plus de 40 % du total, et sa part a doublé en quatre ans. Le virement instantané représente 17 % des virements en volume, avec un taux de fraude de 0,041 %.

Ces chiffres déplacent le sujet : la technique de paiement est mieux protégée, mais le client est devenu le maillon visé. La réponse d'un établissement combine détection en temps réel, parcours de signalement et de blocage rapides, information des clients, formation des conseillers et des équipes de relation client, et coopération avec les autres acteurs de la chaîne. Les règles de détection doivent être explicites, testées et documentées, y compris pour pouvoir expliquer une décision à un client ou à l'ACPR.

Trésorerie, cash management et plateformes

Pour une banque d'entreprises, un établissement de paiement ou le service financier d'un groupe, la trésorerie suppose de relier des comptes tenus dans plusieurs banques, de normaliser les formats, de prévoir les flux et de suivre le risque de contrepartie. Les plateformes du marché (progiciels de gestion intégrés, outils de gestion de trésorerie dédiés, solutions de connectivité bancaire) répondent à des besoins voisins mais pas identiques. Le choix se joue sur la couverture des formats et des canaux de connexion, la qualité du rapprochement, la sécurité des accès et le coût total de possession. Les éditeurs cités dans nos thèmes ne sont ni nos partenaires ni nos clients : leurs marques appartiennent à leurs titulaires.

Les portefeuilles de paiement évoluent aussi. Wero, porté par l'European Payments Initiative, remplace progressivement Paylib en France et vise le paiement marchand ; son calendrier précis dépend des établissements et est à vérifier auprès de l'initiative ou de votre banque. Le règlement sur l'euro numérique est en cours de négociation entre le Parlement et le Conseil et n'est pas adopté : il ne doit pas être présenté comme une obligation.

Crypto-actifs et tokenisation

MiCA, règlement sur les transferts de fonds et AMF

Le règlement (UE) 2023/1114, dit MiCA, encadre l'émission de crypto-actifs et les services sur crypto-actifs. En France, la période transitoire des prestataires de services sur actifs numériques (PSAN) a pris fin le 1er juillet 2026 : depuis cette date, seuls les prestataires de services sur crypto-actifs autorisés selon MiCA par l'AMF, ou notifiés selon l'article 60 du règlement, peuvent servir des clients en France. L'exercice sans autorisation est passible de deux ans d'emprisonnement et de 30 000 euros d'amende. Le règlement (UE) 2023/1113 sur les transferts de fonds, applicable aux crypto-actifs depuis le 30 décembre 2024 selon nos informations, impose la transmission des informations sur le donneur d'ordre et le bénéficiaire, dite règle de voyage.

La Commission a proposé en décembre 2025, dans son paquet d'intégration des marchés, de transférer à l'ESMA (European Securities and Markets Authority, Autorité européenne des marchés financiers) la supervision directe de nombreux prestataires ; c'est une proposition, non un texte adopté. Le règlement DORA (Digital Operational Resilience Act, règlement européen sur la résilience opérationnelle numérique) s'applique aux prestataires de services sur crypto-actifs comme aux établissements de paiement.

Tokenisation d'actifs et blockchain

La tokenisation consiste à représenter un droit ou un actif par un jeton enregistré sur un registre distribué. Le régime applicable dépend de la qualification juridique du jeton : instrument financier (règles des marchés financiers, dont le régime pilote européen pour les infrastructures de marché utilisant la technologie des registres distribués, règlement (UE) 2022/858), crypto-actif au sens de MiCA, ou ni l'un ni l'autre. Cette qualification se tranche au cas par cas avec un conseil juridique, avant toute conception technique. En France, l'ordonnance n° 2017-1674 du 8 décembre 2017 a ouvert l'inscription de certains titres financiers dans un dispositif d'enregistrement électronique partagé.

Pour un établissement de crédit qui étudie ces activités, les sujets de conformité sont la qualification du jeton, la conservation, la sécurité des clés, la lutte contre le blanchiment, la règle de voyage et la sécurité des contrats intelligents. Les services sur crypto-actifs (conservation, échange, exploitation d'une plateforme) relèvent d'un agrément de prestataire de services sur crypto-actifs au titre de MiCA, pour la France auprès de l'AMF (Autorité des marchés financiers). Optédif n'en fournit aucun : nous intervenons en audit, en conseil, en réalisation de livrables et en formation pour les établissements qui étudient ou exploitent ces activités.

Ce que nous faisons, et ce que nous ne faisons pas

Les prestations

Optédif conçoit, conseille, audite, déploie, apporte une assistance technique et forme, pour les banques de réseau et d'entreprises, les établissements de paiement et de monnaie électronique, les acquéreurs et les services financiers de grands groupes. Dans ce domaine, cela se traduit ainsi : audit documentaire et organisationnel des chaînes de paiement, des flux SWIFT et du dispositif antifraude, avec rapport d'écarts et plan d'actions ; conseil en stratégie de paiements, en cash management et en choix de plateforme ; conception d'architectures de flux, de formats d'échange ISO 20022 et de règles de détection ; déploiement ou migration d'une plateforme sur un périmètre pilote puis par vagues ; assistance technique au forfait ou en récurrent, sous la responsabilité et l'encadrement d'Optédif, avec des livrables définis ; formation pour que vos équipes tiennent le dispositif dans la durée.

Nos livrables sont traçables, argumentés et rédigés pour être présentés à la direction, à l'audit interne, à l'ACPR ou à la CNIL (Commission nationale de l'informatique et des libertés). Les cas d'usage décrits sur ce site sont des exemples construits, jamais un résultat obtenu chez un client. Une première réponse vous est apportée sous 48 heures ouvrées et un devis est établi après un échange sur votre besoin ; une formation peut être organisée au plus tôt sept jours après l'accord.

Ce que nous ne faisons pas

Optédif n'est pas prestataire de services de paiement : nous n'initions ni n'exécutons aucun paiement, nous ne détenons aucun fonds de clients et nous ne tenons aucun compte. Nous ne fournissons aucun service sur crypto-actifs et nous n'obtenons aucun agrément à la place d'un demandeur. Nous ne sommes pas assesseur PCI DSS et nous ne signons aucun rapport de conformité à ce référentiel. Optédif ne délivre aucun agrément, aucune certification ni aucune attestation à valeur réglementaire, et ne déclare aucun établissement conforme à une réglementation : la décision appartient à l'établissement et à son autorité de contrôle.

Les missions d'assistance sont réalisées par des intervenants d'Optédif, sous notre responsabilité et notre direction, dans le cadre d'un contrat de prestation de services portant sur un objectif, un livrable ou un périmètre défini avec le client. Nous ne mettons pas de personnel à disposition de nos clients. Le secret bancaire, la confidentialité et les accès définis par l'établissement s'appliquent : nous n'accédons pas, sans cadre contractuel préalable, aux flux réels ni aux données de clients, et nous ne traitons pas d'alertes nominatives. Une mission qui exécute des tâches opérationnelles peut relever, chez le client, du régime de l'externalisation et des prestataires de services TIC (technologies de l'information et de la communication) ; c'est à l'établissement de l'apprécier. Sur les points juridiques, nous recommandons de faire valider vos décisions par un conseil spécialisé.