Passa al contenuto principale

Introduzione alla PSD2

La PSD2 è un regolamento europeo per i servizi di pagamento elettronico. Mira a rendere i pagamenti più sicuri in Europa, a stimolare l'innovazione e ad aiutare i servizi bancari ad adattarsi alle nuove tecnologie. La PSD2 è la dimostrazione della crescente importanza che le Application Program Interface (API) stanno acquisendo in diversi settori finanziari.

Le banche devono aprire i propri servizi ad altre aziende, i cosiddetti Third Party Payment Services Providers (TPP). I TPP dovranno rispettare le stesse regole dei tradizionali prestatori di servizi di pagamento: registrazione, autorizzazione e supervisione da parte delle autorità competenti.

L'altro grande sviluppo introdotto dalla PSD2 è l'introduzione di nuovi requisiti di sicurezza, la cosiddetta Strong Customer Authentication (SCA): questa prevede l'utilizzo di due fattori di autenticazione per le operazioni bancarie.

La PSD2 disciplina e armonizza due tipologie di servizi:

  • Payment Initiation Services (PIS);
  • Account Information Services (AIS);

I Payment Initiation Services (PIS) consentono ad altri provider di facilitare l'utilizzo dell'online banking per effettuare pagamenti online.

Gli Account Information Services (AIS) comprendono invece la raccolta e la conservazione delle informazioni provenienti dai diversi conti bancari di un cliente in un unico luogo.

La PSD2 ha iniziato gradualmente ad entrare in vigore nel gennaio 2018; tuttavia, la principale scadenza normativa è stata l'entrata in vigore dei requisiti di autenticazione e di accesso da parte di terzi il 14 settembre 2019.

Banche esposte da Fabrick​

Fabrick espone tutte le banche italiane più le banche di latri nazioni europee, questa lista è in continua evoluzione. Puoi verificare la lista completa qui

Prodotti PSD2 offerti da Fabrick​

Fabrick PSD2 Gateway​

Fabrick Gateway è una soluzione software che consente alle banche e agli ASPSP di essere conformi alla PSD2, offrendo loro un'interfaccia API per i TPP (Third Party Provider) che fornisce accesso al conto corrente del cliente finale, permettendo loro di offrire servizi e prodotti innovativi e più personalizzati. Questo prodotto richiede che si sia un TPP PSD2 (Third Party Provider).

Per tutti i dettagli si veda la seguente pagina: https://www.fabrick.com/psd2/gateway

Fabrick Active Engine​

Fabrick Active Engine consente, grazie a un insieme di API, di accedere facilmente ai conti e di inizializzare pagamenti verso tutte le banche italiane e alcuni altri paesi europei. Questo prodotto richiede che si sia un TPP PSD2.

Per tutti i dettagli si veda la seguente pagina: https://www.fabrick.com/psd2/active-engine

Fabrick Pass​

Il tipico schema tripartito, abilitato dalla PSD2, lascia spazio alle quarte parti, ovvero a tutti coloro che non hanno i servizi finanziari come core business, ma vogliono sfruttare le opportunità offerte dall'open banking. In questo caso non è necessario essere un TPP PSD2, poiché si sfrutterà la licenza Fabrick. In questo caso si sarà definiti FPP (Fourth Party Provider) anziché TPP.

Per tutti i dettagli si veda la seguente pagina: https://www.fabrick.com/psd2/fabrick-pass

AIS: Account Information​

Standard​

Il prodotto standard consente all'FPP di avere accesso continuativo ai dati del proprio cliente per tutta la durata del consenso, ovvero per 180 giorni, a meno che ovviamente il PSU non decida di revocare il consenso anticipatamente. I dati vengono aggiornati 4 volte al giorno da Fabrick (si veda il doc scheduler).

È invece richiesta una fase di onboarding per ogni PSU per ragioni regolamentari. L'onboarding consiste principalmente in 3 fasi: verifica e riconoscimento del PSU, questionario AML, aggregazione dei conti e autorizzazione verso l'FPP (si vedano i dettagli nel capitolo specifico).

Il prodotto Fabrick Pass è disponibile esclusivamente per persone fisiche maggiorenni residenti in Italia e Spagna (al momento della stesura del presente documento, ma con l'aggiunta di nuovi paesi in futuro, a breve Portogallo e Francia). Si tratta di un vincolo di prodotto derivante da ragioni regolamentari. Il quadro normativo/di trasparenza è stato progettato per essere conforme all'ambiente regolamentare di questi paesi e si applica agli utenti ivi residenti (e non ai cittadini di tali paesi). Pertanto, ad esempio, un soggetto residente a San Marino non può effettuare il processo di onboarding.

One Shot​

In questo caso non è richiesta alcuna fase di onboarding: l'utente procederà direttamente alla fase di aggregazione dei conti.

L'FPP avrà la possibilità di accedere alle informazioni del conto (dettagli, saldi e movimenti) per soli 30 minuti. Può quindi essere immaginato come una fotografia del conto o dei conti in un determinato momento.

A differenza del prodotto Pass AIS standard, non vi è alcun limite normativo sul cliente, che può quindi avere qualsiasi residenza.

Smart Scoring​

Lo Smart Scoring è un servizio aggiuntivo offerto insieme al Pass AIS One Shot. Tramite API, l'FPP avrà la possibilità di ottenere uno scoring sul proprio cliente (persona fisica o giuridica).

PIS​

I prodotti PIS (Payment Initiation Services) facilitano l'utilizzo dell'online banking per effettuare pagamenti tramite API da un unico punto, indipendentemente dalla banca.

A differenza del TPP, per ragioni regolamentari l'FPP non può effettuare pagamenti tra due IBAN qualsiasi, ma uno dei due (IBAN di accredito o di addebito) deve essere stabilito a priori (ad esempio durante la fase di setup e/o aggiornato tramite il portale aziendale dell'FPP) e deve essere intestato all'FPP stesso.

Ovviamente entrambi i prodotti possono essere abilitati.

Pay by Bank​

In questo caso l'FPP è autorizzato a ricevere bonifici su uno o più conti a proprio nome.

Al momento è possibile eseguire l'onboarding solo di FPP con sede in Italia, Francia, Spagna, Portogallo e Regno Unito (senza ovviamente alcun limite per quanto riguarda il debitore).

Servizi AIS & PIS per aziende​

In questo caso l'FPP è autorizzato ad effettuare bonifici da uno o più conti a proprio nome. È inoltre incluso il servizio AIS per i conti debitori (debtorAccounts).

Al momento è possibile eseguire l'onboarding solo di FPP con sede in Italia (senza ovviamente alcun limite per quanto riguarda il creditore).

Active Engine o Pass?​

Entrambi i prodotti sfruttano la normativa PSD2, consentendo così l'accesso ai conti bancari e la possibilità di inizializzare pagamenti. Mentre per utilizzare il prodotto Active Engine è necessario essere un TPP PSD2 (si veda la sezione Prerequisiti di Active Engine) e quindi disporre di una propria licenza, per Fabrick Pass l'FPP sfrutterà la licenza Fabrick, senza dover ottenere autorizzazioni né richiedere certificati.

Questa sostanziale differenza implica ovviamente che i due prodotti abbiano caratteristiche diverse, principalmente a causa degli obblighi normativi che Fabrick deve rispettare.

Di seguito elenchiamo i principali vantaggi e svantaggi di entrambi i prodotti:

Active Engine​

Pro:

  • Fabrick agisce esclusivamente come provider tecnico, risultando quindi totalmente invisibile al cliente finale che utilizza i servizi del TPP.
  • Totale libertà di personalizzazione del prodotto, in quanto Fabrick espone solo le API.
  • Nel mondo PISP, è possibile selezionare sia l'IBAN di addebito che quello di accredito senza alcuna limitazione.
  • È possibile richiedere l'aggiornamento dei dati del conto tutte le volte che si desidera, purché sia il cliente finale a farne esplicita richiesta (anche tramite la UI dell'FPP).

Contro:

  • È necessario ottenere l'autorizzazione per essere un TPP e richiedere i certificati richiesti dallo standard eIDAS.
  • L'implementazione potrebbe richiedere più tempo se si desidera utilizzare le API native; tuttavia, per ridurre questa complessità, Fabrick ha creato una soluzione white label che accelera e facilita lo sviluppo.

Pass​

Pro:

  • Non è necessario essere un TPP, quindi non sono richieste autorizzazioni né certificati.
  • Implementazione più semplice, poiché la gestione dei flussi di consenso e di autorizzazione dei pagamenti è gestita interamente dall'applicazione Fabrick.

Contro:

  • Il cliente finale deve autorizzare le proprie operazioni sull'applicazione Fabrick per obblighi normativi. È pertanto prevista una fase di redirect e redirect back tra la UI dell'FPP e la UI di Fabrick.
  • In caso di accesso ai conti (escluso il caso one-shot), è richiesta una fase di onboarding del cliente finale su Fabrick.
  • I dati del conto vengono aggiornati automaticamente da Fabrick 4 volte al giorno; non è possibile richiedere un aggiornamento esplicito.
  • Nel mondo PISP, uno degli IBAN di accredito e quello di addebito devono essere preimpostati durante la fase di setup.

Date le sostanziali differenze di implementazione, non è possibile riutilizzare parte dello sviluppo nel caso in cui si desideri cambiare prodotto. Ciò potrebbe verificarsi se un FPP dovesse successivamente diventare TPP, nel qual caso si raccomanda un nuovo sviluppo. Un TPP dovrà infatti utilizzare la propria licenza e non potrà più sfruttare quella di Fabrick.