Wyzwania niesione przez dyrektywę PSD2
Unijna dyrektywa PSD2 otwiera banki, zobowiązując je do udostępnienia Małym Instytucjom Płatniczym (MIP), dostawcom świadczącym wyłącznie usługę dostępu do informacji o rachunku oraz usługodawcom z branży cyfrowej informacji o rachunkach i historiach transakcji.
By nie zostać w tyle za konkurencją, zarówno banki, jak i TPP (Third Party Provider, zaufane strony trzecie) muszą pilnować harmonogramu. Banki zobowiązane są udostępnić TPP dane z rachunków swoich klientów do 14 września 2019, środowiska testowe i dokumentacja muszą jednak zostać udostępnione już do połowy marca 2019 roku.
Z wdrażaniem dyrektywy wiązać się będą usprawnienia technologiczne, które umożliwią powstanie zupełnie nowych usług i produktów, przy uwzględnieniu interesów klientów.
Podmioty starające się wprowadzić nowe typy usług płatniczych i uzyskać status zaufanej strony trzeciej , mogą wyjątkowo skorzystać na aktualnych zmianach prawnych, ale muszą także sprostać szeregowi wyzwań.
Wybór standardu
Zakres operowania TPP, jak również intencję prawodawcy oraz prawa i obowiązki stron definiuje szereg regulacji. Sugerują one lub narzucają pewne standardy. Nie wskazują jednak specyfikacji technicznej warunkującej implementację. Aby uniknąć sytuacji, w której każdy europejski bank implementowałby PSD2 na swój własny sposób, powstało kilka inicjatyw standaryzacyjnych. Standardy te skupiają się na aspektach technicznych. Definiują modele danych, przepływy biznesowe i protokoły komunikacyjne. Standaryzacja ułatwia TPP integrację, dla banków wiąże się z koniecznością wykonania mniejszej ilości pracy, a także z łatwiejszym wykazaniem zgodności poszczególnych implementacji z wymogami regulacji.
Pośród najważniejszych standardów europejskich znajduje się także, opracowany przez Związek Banków Polskich i dynamicznie rozwijający się od stycznia 2018 roku, Polish API.
Status TPP
W Polsce obowiązek rejestracji firm starających się o status TPP spoczywa na Komisji Nadzoru Finansowego. Rejestracja wymaga spełnienia określonych wymogów, nie wiąże się jednak z obowiązkiem uzyskania licencji. Może dotyczyć jednego z trzech rodzajów działalności TPP:
- świadczenie usług dostępu do informacji o rachunku;
- świadczenie usług zlecania płatności;
- potwierdzanie dostępności środków na koncie.
Sama rejestracja i status TPP nie wystarczą, by uzyskać dostęp do danych bankowych, konieczne jest pokonanie licznych wyzwań natury technicznej, związanych z niejednorodnością i zmiennością standardów, jak również o uwarunkowaniach czasowych.
Niejednorodność
Rozbieżności dotyczyć mogą także zakresu udostępnianych danych i usług poszczególnych banków, a nawet niektórych aspektów samych standardów, np. w przypadku Polish API obszar technicznej rejestracji i onboardingu TPP zostały wyłączone.
Brak jednego obowiązującego standardu oznacza, że bank może zarówno wybrać istniejący standard, wybrać tylko elementy odpowiadające mu, a pozostałe interpretować na własny sposób, jak i zdecydować się na całkowicie nowe rozwiązanie. Ograniczenie wolności wyboru banków w tym zakresie, stanowi jedynie zdolność udowodnienia zgodności własnej implementacji z dyrektywą, rozporządzeniami delegowanymi oraz ustawą o usługach płatniczych.
Ponadto, o ile nawet Polish API w pełni przyjmie się na polskim rynku, nie jest powiedziane, że podobne uznanie zyska za granicą. TPP rozważające zagraniczną ekspansję muszą być przygotowane na równoczesną obsługę wielu standardów.
Zmienność
Przy liczbie banków obecnych na rynku, można spodziewać się nawet kilku nowych wersji interfejsów wchodzących w życie tygodniowo. Oznacza to konieczność każdorazowego dostosowania interfejsów do każdego z banków, z którym TPP jest zintegrowany.
Zmiany w interfejsach dostępowych PSD2 generuje również wykrywanie przez TPP błędów i sugerowanie udoskonaleń, mające na celu przyszłą poprawę jakości i stabilności interfejsów.
Wynikające z regulacji prawnych i z wprowadzania nowych produktów zmiany wymuszą z czasem na bankach udostępnienie nowych funkcjonalności poprzez interfejs PSD2.
Również wypieranie jednych standardów przez inne czy łączenie standardów oznaczać będzie duże zmiany w interfejsach banków. Same standardy także będą podlegać ewolucji.
Wypracowanie wspólnego europejskiego standardu jest wskazane i mocno pożądane.
Czas
TPP na testy i integrację z interfejsami banków mają sześć miesięcy, przy czym integracja pozostaje czystą teorią, dopóki banki nie udostępnią na potrzeby TPP swoich środowisk testowych.
Można się spodziewać dwóch głównych strategii działania TPP w zaistniałych okolicznościach – przeczekania aż standardy i zalecenia odnośnie do implementacji wyklarują się, by czerpać z doświadczeń innych firm oraz przystąpienia do integracji możliwie wcześnie, by zdobywać własne, cenne doświadczenia. Pierwsza strategia zadziała w przypadku podmiotów, dla których PSD2 stanowi jedynie wzbogacenie istniejącej funkcjonalności (np. chcących oferować nowy wariant płatności za swoje usługi). Druga zaś sprawdzi się w ramach firm, których produkt oparty jest głównie na PSD2 (takich jak np. agregatorzy kont).
Niedaleka przyszłość
W niedalekiej przyszłości można spodziewać się pojawienia się produktów i usług ułatwiających działanie TPP, jak np. zapowiadany przez KIR — HUB PSD2. Także doświadczenia i wiedza, zdobyte przez kolejne firmy wdrażające dyrektywę, z czasem pozwolą ujednolicić standardy, co znacznie ułatwi wszystkim podmiotom uzyskanie, a następnie dowodzenie zgodności z regulacjami.
Szerzej o dyrektywie PSD2 i wyzwaniach, jakie za sobą niesie jej implementacja przeczytasz w artykule Grzegorza Abramczyka na: https://geek.justjoin.it/wyzwania-dla-it-niesie-soba-dyrektywa-psd2/
