Authentification forte du client en banque privée : trois contrôles
L’authentification forte du client en banque privée s’inscrit dans une logique précise de sécurisation des paiements et ne relève pas d’une exigence générale applicable à toute relation client. L’article 105-3 de la loi modifiée du 10 novembre 2009 relative aux services de paiement, à l’activité d’établissement de monnaie électronique et au caractère définitif du règlement dans les systèmes de paiement et les systèmes de règlement des opérations sur titres (ci-après, la « Loi de 2009 sur les Services de Paiement ») impose cette authentification lorsque le payeur accède à son compte de paiement en ligne, initie une opération de paiement électronique ou exécute à distance une action présentant un risque de fraude de paiement. Le must-know : le déclencheur est le parcours de paiement, pas le statut patrimonial du client.
Le règlement délégué (UE) 2018/389 de la Commission du 27 novembre 2017 complétant la directive (UE) 2015/2366 par des normes techniques relatives à l’authentification forte du client et aux normes ouvertes communes et sécurisées de communication (ci-après, le « Règlement Délégué SCA », SCA signifiant Strong Customer Authentication, ou authentification forte du client) précise la mécanique. L’authentification repose sur au moins deux éléments relevant de la connaissance, de la possession ou de l’inhérence. Pour un paiement électronique à distance, le code doit être lié dynamiquement au montant et au bénéficiaire.
Trois contrôles opérationnels
- (i) Cartographier les actes : accès au compte en ligne, initiation de virement, gestion des bénéficiaires, carte et canal mobile.
- (ii) Documenter les exemptions prévues par le Règlement Délégué SCA, notamment les bénéficiaires de confiance, opérations récurrentes, faibles montants, analyses de risque et protocoles corporate sécurisés.
- (iii) Vérifier que l’intervention du banquier privé ne contourne pas les exigences de la Loi de 2009 sur les Services de Paiement.
En pratique, la banque doit tester le portail client, l’application mobile, les ordres à distance, les cartes et les comptes de sociétés patrimoniales. Cela signifie qu’une dérogation aux règles d’authentification forte qui n’est pas correctement documentée et justifiée devient un risque de conformité, de fraude et de responsabilité.
Connectez-vous avec Bertrand Mariaux sur LinkedIn.
Vous pouvez écouter le podcast associé sur ApplePodcast, Spotify, YouTube ou sur votre plateforme d’écoute préférée.
Références :
- Loi modifiée du 10 novembre 2009 relative aux services de paiement, version consolidée Legilux (https://legilux.public.lu/eli/etat/leg/loi/2009/11/10/n1/consolide/20250411)
- Règlement délégué (UE) 2018/389 de la Commission du 27 novembre 2017, version consolidée EUR-Lex (https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A02018R0389-20230725)
