Établir les fondements pour les paiements mobiles au point de service Préparé par L ACP Le 10 février 2011

Transcription

1 Amélioration du cadre de l ACP pour les paiements de débit PS sans NIP Établir les fondements pour les paiements mobiles au point de service Préparé par L ACP Le 10 février 2011

2 Table des matières Copyright 2011 Association canadienne des paiements 180 rue Elgin, 12e étage, Ottawa, Ontario K2P 2K3 Sommaire 1 I. Contexte 2 II. Objet de l examen 3 III. Consultation 3 IV. Facilitation des nouveaux produits de paiement 4 1. Écart sur le marché du débit ps sans contact 4 2. Questions concernant les règles de l acp 6 3. Implications pour le marché 6 V. Exemple d autorisation en temps réel avec retard de report 7 VI. Modèle de responsabilité partagée 8 VII. Révisions proposées aux exigences de la Règle E Exigences de haut niveau du cadre existant de la Règle E Révisions proposées à la Règle e Souplesse accrue pour l autorisation des paiements PS sans NIP Recommandation Justification Implications des modifications à la Règle E Émission de reçus Recommandation Justification 12 VIII. Mot de la fin 13 Annexes 14 Annexe I 14 Annexe II 15 Annexe III 16

3 Sommaire En examinant le plan d action dont disposaient les autres pays qui ont lancé avec succès des produits mobiles de communication en champ proche (NFC) pour le circuit point de service (PS), l Association canadienne des paiements (ACP) a appris qu un facteur clé de succès était l établissement de paiements sans contact pour les environnements où la commodité et la rapidité de passage sont essentielles. Aujourd hui, les produits de crédit et produits prépayés peuvent, dans un cas comme dans l autre, offrir les fonctionnalités du sans contact qui conviennent le mieux à ce marché. L ACP a un mandat qui l engage à favoriser le développement de nouvelles technologies et méthodes de paiement. Conformément à ce mandat et pour être à l écoute des besoins du marché, l ACP cherche à assurer aux exploitants de systèmes PS l environnement souple dont ils ont besoin pour offrir des produits de débit concurrentiels à la même vitesse et avec toute la commodité auxquelles le marché s est habitué. La Règle E4 de l ACP pour les paiements PS sans NIP situe le cadre pour les paiements de débit sans contact effectués au point de service. Le cadre peut aussi servir à faciliter les paiements PS sans NIP avec contact. Sur la foi de sa revue, l ACP a isolé deux domaines où il serait possible d améliorer les Règles de l ACP pour offrir une plus vaste gamme de produits de paiement de débit PS (dans certains environnements, p. ex., les transports en commun), à savoir : i. La Règle E4 de l ACP oblige à l heure actuelle à faire autoriser chaque opération PS par l IF payeuse, en ligne et en temps réel. a. Cette contrainte ne permet pas le recours à quelque autre type d autorisation en temps réel pour les paiements de débit PS (p. ex., autorisation sur terminal, où l IF payeuse donne son autorisation au moment de la vente via la puce intégrée dans le dispositif PS; par conséquent, l envoi en ligne immédiat des données à l IF payeuse aux fins de l autorisation ne serait pas requis au moment de l opération); et ii. b. Là où l envoi des données (pour la conciliation et le règlement) à l IF payeuse n est pas immédiat, le report de l opération au compte du client ne le sera pas non plus. La Règle E4 de l ACP exige que le marchand ait la capacité d émettre au payeur, sur demande, un reçu de l opération PS sans NIP 1. C est une difficulté, particulièrement dans certains environnements où l impression n est pas pratique ou la rapidité de passage est cruciale. Note : La Règle E1 n impose pas d obligation correspondante de remettre des reçus du système pour les paiements de débit PS avec NIP traditionnels. L ACP demande donc des commentaires sur sa proposition de modifier la Règle E4, Échange d effets de paiement de débit PS sans NIP aux fins de la compensation et du règlement, pour (i) modifier les exigences de la règle en ce qui a trait à l autorisation afin d élargir la gamme des produits de débit PS, et (ii) offrir une approche plus souple pour mettre le payeur au courant de la valeur de l opération. Dans l évaluation de ces enjeux, les considérations clés pour l ACP sont notamment : Déterminer si certaines des exigences de la règle sont nécessaires au regard de l obligation faite à l ACP de promouvoir l efficacité, la sécurité et la viabilité du système de paiement et de tenir compte des intérêts des usagers; et Exploiter un modèle de responsabilité partagée, où l ACP fait la distinction entre son rôle et ses responsabilités et ceux des autres intervenants au système de paiement, p. ex., les exploitants de système, les membres et/ou le gouvernement. 1 Le reçu de l opération PS sans NIP n est pas un reçu de vente, mais plutôt le reçu PS d accompagnement fourni par l exploitant du système. Les règles de l ACP ne parlent pas des reçus de vente, qui peuvent servir pour la comptabilité, les taxes et les retours et à d autres fins. 1

4 Contexte Sans-contact Pilotes NFC Solide collaboration de l industrie NFC dans transports en commun Poursuite d une norme et stratégie NFC dominantes Produits NFC commerciaux Adoption réussie par l utilisateur final Japon Corée du S. Singapour Royaume-Uni France Chine Turquie États-Unis Canada Australie 2 Une recherche internationale sur les pays qui élaborent des produits de paiement par communication en champ proche (NFC) révèle un plan d action international pour les paiements mobiles effectués au point de service (PS) à l aide d un dispositif mobile pour enclencher le paiement, comme un «tap» sur un lecteur PS. La technologie qui sous-tend les paiements PS mobiles, la NFC, exploite la technologie du sans-contact, en y ajoutant un niveau de normes pour permettre une plus riche interaction entre dispositifs et une plus grande sécurité. L expérience internationale a révélé que la première étape du développement de la NFC consiste à favoriser un écosystème varié de paiements sans contact. Une robuste adoption du sans contact est facilitée par l offre de paiements sans contact dans des environnements qui exploitent à fond toutes les possibilités de la technologie du sans-contact pour sa rapidité et sa commodité comme dans les transports en commun et les péages autoroutiers en régions urbaines denses. Ces environnements de paiement exigent le passage rapide des opérations et une vaste utilisation de lecteurs que la logistique ne permet pas d autoriser en ligne 2 (une contrainte qui ralentirait sensiblement le passage de toutes les opérations). Parce que la NFC s appuie sur la technologie du sanscontact, plus grande est la souplesse pour l utilisation accrue des paiements sans contact en particulier dans un environnement de transports en commun meilleures sont les perspectives pour les futurs paiements NFC mobiles. La Règle E4 de l ACP pour les paiements PS sans NIP fixe un cadre pour les paiements de débit sans contact effectués au point de service au Canada. Le cadre peut également servir à faciliter les paiements PS sans NIP avec contact. Dans la modernisation de sa règle pour permettre une plus vaste gamme de paiements PS sans NIP, l ACP fait un pas en avant pour jeter les bases des paiements mobiles éventuels dans le circuit PS. 2 Là où les données sont transmises à l IF payeuse aux fins de l autorisation et où le message de retour en revient au moment même de la vente.

5 II. Objet de l examen III. Consultation L ACP a un mandat qui l engage à favoriser le développement de nouvelles technologies et méthodes de paiement. Conformément à ce mandat, et pour être à l écoute des besoins du marché, l ACP cherche à assurer aux exploitants de systèmes PS et aux autres intervenants la souplesse dont ils ont besoin pour permettre une plus vaste gamme de produits de paiement de débit PS sans NIP avec puce en vertu de la Règle E4 de l ACP 3, à savoir : Permettre d autres méthodes d autorisation pour appuyer l utilisation de divers processus d autorisation en temps réel des paiements de débit PS sans NIP; et Offrir une plus grande souplesse pour informer le payeur de la valeur de l opération afin d écarter les difficultés dans certains environnements où la remise de reçus n est pas pratique ou la rapidité de passage est cruciale. Portée Le présent document de consultation porte sur les opérations de débit PS sans NIP à base de puce, dont traite la Règle E4 de l ACP; ces paiements sont effectués dans l environnement de détail (c. à d. ils ne sont pas virtuels) à l aide d un dispositif ou d une application de paiement fourni par un membre de l ACP (comme une carte bancaire, un porte-clés, un téléphone cellulaire, etc.) qui donne lieu à un débit au compte que le payeur détient auprès d une institution financière (IF) membre de l ACP. Aux fins de ces effets de paiement, l IF payeuse doit autoriser chaque opération en temps réel. L authentification du client n est pas exigée en vertu de la Règle E4 de l ACP. 3 Règle E4 de l ACP Échange d effets de paiement de débit point de service sans NIP aux fins de la compensation et du règlement Un ingrédient clé de l élaboration des règles applicables à la compensation et au règlement des paiements est l effort que fait l ACP pour consulter ses membres et ses divers intervenants pendant leur élaboration, surtout lorsqu elles portent sur de nouvelles méthodes et technologies de paiement comme les paiements mobiles. Au cours de l été 2010, l ACP a eu des discussions préliminaires avec 16 intervenants clés des secteurs des paiements mobiles et de débit PS. Les participants à la consultation formaient un échantillon représentatif du secteur; ils comptaient des IF, des groupes de consommateurs, des marchands, un exploitant de système PS, des exploitants de systèmes de paiements mobiles et un expert-conseil en sécurité des télécommunications. Tout au long de l automne, l ACP a travaillé avec ses membres et divers intervenants ciblés à améliorer sa Règle E4 pour faciliter de nouvelles fonctionnalités de l environnement de débit PS sans contact. Un document cadre de politique et un projet de modifications à la règle ont été élaborés pour une grande consultation publique au T Pour les paiements mobiles à distance (p. ex., paiements de téléphone à téléphone), l ACP a jugé qu il n était pas nécessaire de prendre des mesures immédiates vu qu on ne sait pas encore avec certitude si naîtront des types de paiements mobiles à compenser et à régler via ses systèmes, qui devraient donc s appuyer sur des règles. C est pourquoi elle a reporté ces travaux à juin 2011 pour s attacher aux priorités plus immédiates du circuit PS. 3

6 IV. Facilitation des nouveaux produits de paiement 1. Écart sur le marché du débit PS sans contact 4 avantages des produits sans contact Avantages pour le titulaire de carte/consommateur Passage plus rapide à la caisse Plus commode pas besoin de compter la monnaie ou d avoir de l argent comptant outes les opérations figureront sur le relevé bancaire cela facilite le contrôle et l établissement du budget Participation facultative Avantages pour le marchand Plus grande rapidité de passage au point de service Réduction des ventes perdues Amélioration de l expérience du client Réduction des frais de manutention de l argent comptant Bon modèle de paiement irrévocabilité 4 Les paiements de débit PS sans contact qui seront compensés et réglés via le Système automatisé de compensation et de règlement (SACR) tombent sous le coup de la Règle E4 de l ACP. La Règle E4 facilite également les paiements de débit PS sans NIP avec contact. 4

7 IV. Facilitation des nouveaux produits de paiement (cont.) Les produits de débit sans contact augmentent l utilité du circuit PS, mais il reste d autres occasions à exploiter. Selon les règles actuelles de l ACP, les produits de débit PS ne peuvent pas être traités au contraire des produits de crédit et prépayés à de nombreux emplacements généralement de faible valeur, sans personnel où le comptant est la monnaie courante, comme : Transports en commun Stationnement Distributeurs automatiques Les retards d approbation en ligne et les reçus du système pourraient ralentir le traitement désiré dans les transports en commun Les parcomètres pourraient ne pas pouvoir être systématiquement en ligne 24/7 Les appareils pourraient ne pas pouvoir être systématiquement en ligne 24/7, et ils ne remettent pas de reçus du système à l heure actuelle Livraison à domicile Compagnies aériennes Péages Les vendeurs peuvent ne pas toujours avoir accès à un circuit en ligne lorsqu ils se rendent à différents endroits pour des livraisons à domicile Pour les achats en vol (p. ex., aliments et boissons), les compagnies aériennes pourraient ne pas avoir accès à un circuit en ligne Les appareils pourraient ne pas pouvoir être systématiquement en ligne 24/7, et ils ne remettent pas de reçus du système à l heure actuelle L utilisation des paiements de débit PS n est généralisée au Canada. Dans certains environnements, les Canadiens peuvent utiliser d autres modes de paiement (p. ex., crédit, prépaiement ou argent comptant) parce que les exigences actuelles de débit PS ne permettent pas aux marchands d effectuer le traitement aussi rapidement et avec la même commodité que pour les autres produits de paiement à base de carte. Par exemple : L ACP a un mandat qui l engage à favoriser le développement de nouvelles technologies et méthodes de paiement. Conformément à ce mandat et pour être à l écoute des besoins du marché, l ACP cherche à assurer aux exploitants de systèmes PS l environnement souple dont ils ont besoin pour offrir des produits de débit concurrentiels aussi rapidement et avec la même commodité auxquelles le marché s est habitué. Les retards d approbation et les reçus du système pourraient empêcher de réaliser la rapidité de passage désirée dans les transports en commun; Il peut être peu pratique de garder certains terminaux PS en ligne tout le temps; et/ou Certains environnements pourraient empêcher les terminaux d accéder à un circuit en ligne. 5

8 IV. Facilitation des nouveaux produits de paiement (cont.) 2. Questions concernant les règles de l ACP 3. Implications pour le marché 5 Le reçu de l opération PS sans NIP n est pas un reçu de vente, mais plutôt le reçu PS d accompagnement fourni par l exploitant du système. Les règles de La Règle E4 de l ACP pour les paiements PS sans NIP fixe le cadre pour les paiements de débit sans contact effectués au point de service. Le cadre peut également servir à faciliter les paiements PS avec contact. Sur la foi de sa revue, l ACP a isolé deux domaines où il serait possible d améliorer la Règle E4 de l ACP pour offrir une plus vaste gamme de paiements de débit PS sans NIP dans certains environnements, à savoir : i. Permettre d autres méthodes d autorisation La Règle E4 de l ACP oblige à l heure actuelle à faire autoriser par l IF payeuse chaque opération PS en ligne et en temps réel. Cette contrainte ne permet pas le recours à quelque autre type d autorisation en temps réel pour les paiements de débit PS (p. ex., autorisation sur terminal, où l IF payeuse donne son autorisation au moment de la vente via la puce intégrée dans le dispositif PS; par conséquent, l envoi en ligne immédiat des données à l IF payeuse aux fins de l autorisation ne serait pas requis au moment de l opération). ii. Offrir une plus grande souplesse pour informer le payeur de la valeur de l opération La Règle E4 de l ACP exige que le marchand ait la capacité d émettre au payeur, sur demande, un reçu du système PS sans NIP 5. C est une difficulté, particulièrement dans certains environnements où l impression n est pas pratique ou la rapidité de passage est importante. Note : La Règle E1 n impose pas d obligation corr spondante de remettre des reçus du système pour les paiements de débit PS avec NIP traditionnels. l ACP ne traitent pas des reçus de vente, qui peuvent servir pour la comptabilité, les taxes et les retours et à d autres fins. k k Retard de report des opérations Permettre l utilisation d autres méthodes d autorisation signifie que, lorsqu on n utilise pas une méthode en ligne (c. à d. l envoi immédiat en ligne des données de paiement à l IF payeuse aux fins du traitement), le report de l opération au compte du client peut être retardé. Selon les commentaires recueillis, l ACP comprend que, pour la majorité des environnements où l autorisation peut être donnée sur terminal (p. ex., transports en commun, distributeurs automatiques, parcomètres et péages), les opérations seraient généralement reportées au compte du client le jour même de l opération, selon l heure du paiement. Bien sûr, les marchands seront motivés à envoyer les certificats d opération par le réseau de l exploitant du système afin d accélérer le plus tôt possible le règlement des opérations. Néanmoins, pour certains environnements de différé (p. ex., l achat d aliments à bord d un avion à l étranger via un terminal PS canadien), il pourrait falloir une période prolongée pour télécharger et traiter le paiement, peut être jusqu au jour ouvrable suivant. Perte ou vol du dispositif PS La modification de la procédure d autorisation des paiements de débit PS n expose les payeurs (c. à d. les consommateurs) et les bénéficiaires (p. ex., les marchands) à aucun nouveau risque (au delà de ceux cernés dans l élaboration d un cadre pour les paiements de débit PS sans NIP) en cas de perte ou de vol d un dispositif PS. Les règles des systèmes PS visent à atténuer la responsabilité du consommateur. Par exemple, Interac offre aux consommateurs une protection contre toute responsabilité en cas d utilisation non autorisée d un dispositif PS. Pour les bénéficiaires (p. ex., les marchands), les opérations PS sont irrévocables dès lors qu elles sont autorisées. 6

9 V. Exemple d autorisation en temps réel avec retard de report Autorisation L opération est autorisée entre le dispositif PS à puce et le terminal. Payeur Marchand/ accepteur 1. Le consommateur effectue un achat chez un marchand à l aide d un dispositif PS avec puce (p. ex., une carte de débit, un jeton, un porte-clés ou un téléphone cellulaire) et le terminal PS du marchand. Le terminal valide l application de paiement du client (p. ex., puce conforme à la norme EMV ou l équivalent de l industrie) et autorise l opération en fonction d une interaction entre le dispositif et le terminal qui évalue le paiement demandé au regard des conditions d utilisation établies par l IF du payeur (adhérent A). Si toutes les conditions de l IF payeuse (p. ex., limite de valeur, fréquence d utilisation, etc.) sont satisfaites, l opération est approuvée et le paiement est effectué. TRAITEMENT AU COMPTE DU PAYEUR Plus tard, pendant la connexion en ligne, le certificat d opération et envoyé à l émetteur (l IF du payeur) pour report. Marchand/ accepteur Acquéreur marchand (adhérent B) Fournisseur de services de connexion Exploitant du système Fournisseur de services de connexion Compte du payeur (adhérent A) Compensation et règlement à l ACP Adhérent B SACR Adhérent A Règlement à la Banque du Canada 2. Le terminal envoie les certificats d opération individuels à l IF du marchand acquéreur, chaque jour ou plusieurs fois par jour, pour traitement et report. 3. L IF du marchand acquéreur achemine l information (par les fournisseurs de services de connexion et l exploitant du système) vers l IF du payeur (adhérent A). 4. L adhérent A, qui détient le compte du client, reçoit le fichier et porte un débit au compte du payeur. 5. Plus tard, l IF du marchand acquéreur remet les fonds au marchand pour la valeur des opérations. 6. Par suite de cet échange de paiement, l IF du client (adhérent A) est redevable des fonds envers l IF du marchand acquéreur (adhérent B). Pour effectuer le règlement, l adhérent B crée des livraisons SACR pour l adhérent A pour tous les débits PS qu elle a envoyés à l adhérent B pendant la journée. Cette opération est englobée dans le solde SACR multilatéral global de la journée, et les comptes de règlement des adhérents détenus à la Banque du Canada sont ajustés en conséquence. 7

10 VI. Modèle de responsabilité partagée Le lancement de produits et de services innovateurs a ouvert le paysage des paiements à toute une gamme de nouveaux intervenants (autres que les institutions financières de dépôt). Ainsi, les systèmes de compensation et de règlement de l ACP ne fonctionnent pas en silo; ses règles sont à lire de concert avec les règles et les règlements des autres organismes qui concernent le marché des paiements. Dans l environnement PS, l ACP exploite déjà un modèle de responsabilité partagée, où il existe d autres règles et règlements sous forme de codes du gouvernement, de règles d exploitants de système, et d accords contractuels avec les IF. Dans l élaboration de ses Règles, l ACP doit faire la distinction entre ses rôles et responsabilités et, partant, les éléments qui figureront dans ses Règles et ceux des autres intervenants au système de paiement, comme les exploitants de système, le gouvernement et les membres. k Gouvernement Établir des codes et règlements (là où il y a lieu) visant les objectifs de politique publique particuliers (p. ex., protection du consommateur et préservation d un marché concurrentiel). Parmi les exemples de codes et règlements, on peut citer : CodE de PrATIquE CANAdIEN des SErvICES de CArTES de débit CodE de CoNduITE destiné à L INduSTrIE CANAdIENNE des CArTES de débit k k k Association canadienne des paiements Établir un cadre commun de règles régissant la compensation et le règlement quotidien des effets de paiements PS entre institutions financières membres. Les règles : Assurent la sécurité, la viabilité et l efficacité des systèmes de paiement Tiennent compte des intérêts des usagers Déterminer les critères d admissibilité des effets de paiement introduits dans le SACR pour la compensation et le règlement Exploitant de système Établir un ensemble commun de règles de procédures régissant l enclenchement, la validation et éventuellement l échange d effets PS entre émetteurs et acquéreurs dans les réseaux des exploitants de système. Institutions financières Par des conventions de compte et d autres accords contractuels avec les clients, les marchands et d autres parties, les IF établissent le cadre des accords volontaires qui définissent les responsabilités et les droits individuels relativement aux produits/services de paiement (p. ex., limites de découvert, limites de crédit, frais, etc.) et en font la promotion. L annexe I donne des exemples de la façon dont un modèle de responsabilité partagée déjà en place facilite les paiements de débit PS sans NIP au Canada. LoI Sur LES réseaux de CArTES de PAIEmENT 8

11 VII. Révisions proposées aux exigences de la Règle E4 1. Exigences de haut niveau du cadre existant de la Règle E4 La Règle E4 fixe déjà un cadre pour l admissibilité des opérations de débit PS sans NIP dans le Système automatisé de compensation et de règlement (SACR) de l ACP, ainsi que pour la compensation et le règlement de ces opérations. Pour l amélioration de la règle afin de permettre une plus vaste gamme de produits de paiement de débit PS qui sont compensés et réglés par l intermédiaire de l ACP, seulement deux domaines nécessiteraient des changements à ce stade ci : (i) (ii) Modification de l exigence du direct; Suppression des exigences de reçus. On trouvera à l annexe II une vue d ensemble des exigences existantes de la Règle E4, qui sont énumérées ci dessus. ÉmISSIoN des dispositifs NEuTrALITÉ des FACTEurS de FormE SÉCurITÉ ProTECTIoN des renseignements PErSoNNELS ET CoNFIdENTIALITÉ INTÉgrITÉ des données validation de L APPLICATIoN de PAIEmENT divulgation (CoNdITIoNS, CAPACITÉ d ENTrEr ou de SorTIr, ProCÉdurES de règlement des différends ENrEgISTrEmENT de L ACquÉrEur AuPrèS du SySTèmE CoNFormITÉ AvEC LES règlements AdmINISTrATIFS ET règles de L ACP vérification du respect PAr LES TIErS du CAdrE des règles de PAIEmENT ÉLECTroNIquE de L ACP réparation/ remboursement Pour LES CoNSommATEurS PISTE de vérification ET repérage IrrÉvoCAbILITÉ AuTorISATIoN EN TEmPS réel ExIgENCE du direct ÉmISSIoN des reçus 9 ChANgEmENTS NÉCESSAIrES

12 IV. Révisions proposées aux exigences de la Règle E4 (cont.) 6 Les normes de cartes à puce EMV sont une série reconnue internationalement de procédures et de spécifications pour assurer l interopérabilité et l acceptation des applications de paiement à base de puce à l échelle du monde Révisions proposées à la Règle E4 2.1 Souplesse accrue pour l autorisation des paiements PS sans NIP Recommandation L obligation que fait la Règle E4 de faire autoriser chaque opération PS en ligne par l institution financière (IF) payeuse ne permet pas le recours à quelque autre type de paiements de débit PS en temps réel (p. ex., autorisation sur terminal, où le paiement peut être autorisé en fonction des critères programmés dans la puce EMV ou son équivalent dans l industrie). Par conséquent, l ACP recommande de modifier les exigences existantes pour l autorisation dans la règle afin de donner une plus grande souplesse pour les produits de débit PS Justification k Besoin du marché Divers membres et intervenants ont fait valoir que, pour les paiements effectués dans des environnements sans personnel (p. ex., distributeurs automatiques, parcomètres) ou dans des environnements où la rapidité de passage est cruciale (p. ex., dans les transports en commun), un processus d autorisation en ligne est peu pratique et parfois impossible. Les normes EMV pour l autorisation sur terminal des opérations ont déjà été adoptées avec succès dans des environnements de cartes de crédit et de prépayé et offrent donc aux marchands des occasions de rapidité de passage et de commodité. L ACP cherche à fournir aux exploitants de système PS la souplesse dont ils ont besoin pour offrir des produits de débit avec la même rapidité et la même commodité auxquelles le marché s est habitué, tout en maintenant la sécurité et le bien-fondé. 7 Le terminal valide l application de paiement du client (p. ex., puce conforme à la norme EMV) et autorise l opération en fonction de l interaction entre le dispositif et le terminal qui évalue le paiement demandé au regard des conditions d utilisation établies par l IF du payeur (p. ex., limite de valeur, fréquence d utilisation, etc.). k La technologie puce EMV En 2007, une migration panindustrielle à la technologie puce a permis d améliorer la sécurité des opérations. Le passage à une technologie puce qui est basée sur les normes EMV 6 a aussi permis de nouvelles fonctionnalités pour l environnement PS; aujourd hui, l authentification (là où il y a lieu) et l autorisation d un paiement de débit PS peuvent s effectuer en toute sécurité à l aide des seules données chiffrées stockées dans la puce intégrée dans le produit de débit. k Autorisation Dans l environnement de direct d aujourd hui, l IF payeuse autorise un paiement en fonction des données qu elle reçoit en ligne au moment de l opération. Avec la technologie puce et les normes du sans-contact EMV (ou leur équivalent dans l industrie), l autorisation peut être donnée en toute sécurité au moyen d une autorisation permanente intégrée dans la puce et fixée par l IF payeuse. Les caractéristiques d une autorisation permanente particulière seraient déterminées avant une opération par l IF payeuse. k Décision de payer ou de ne pas payer Selon les Règles de l ACP, la décision de payer ou de ne pas payer appartient à l IF payeuse. Dans l environnement de direct d aujourd hui, l IF payeuse prend cette décision en s appuyant sur un ensemble de critères qui lui sont propres une fois que les données lui ont été transmises depuis le terminal au moment de la vente. À l avenir, là où l autorisation sur terminal 7 sera permise, l IF payeuse continuera de prendre la décision de payer ou de ne pas payer en fonction des critères d autorisation qu elle intègre dans la puce EMV (ou son équivalent dans l industrie) d un dispositif PS sans NIP. À cet égard, la seule modification du processus opérationnel n enlève pas à l IF la capacité de fixer les critères qui guident sa décision de payer ou de ne pas payer. k Irrévocabilité Tant que les paiements continuent d être autorisés au point de service, toutes les opérations de débit PS sans NIP traitées par l intermédiaire de l ACP demeureraient irrévocables une caractéristique qui distingue le circuit PS. k Responsabilité de l IF payeuse Un principe directeur dans l élaboration des règles de l ACP est que le risque doit être assumé par la partie qui est en mesure de l atténuer. Comme les critères dans la puce EMV (ou l équivalent de l industrie) seraient déterminés par l IF payeuse (p. ex., le montant/ les limites de l opération, les facilités de protection de découvert, etc.), l IF payeuse continuerait d assumer la responsabilité de l opération effectuée sur le dispositif PS sans NIP.

13 IV. Révisions proposées aux exigences de la Règle E4 (cont.) Implications des modifications à la Règle E4 Permettre divers processus pour l autorisation d un paiement de débit PS signifie que, là où il n est pas utilisé de méthode en ligne, les fonds au compte du payeur ne seront pas vérifiés au moment de la vente. L élimination de l étape en ligne dans le processus facilitera un traitement plus rapide des opérations et permettra aux consommateurs de garder moins de comptant avec eux. Il y a toutefois un compromis à faire entre la plus grande rapidité et la plus grande commodité qu obtiendront les clients et les marchands au passage à la caisse et le risque de : k Utilisation de la norme EMV La validation du dispositif via la puce EMV intégrée (ou l équivalent de l industrie) donnera l assurance que le dispositif de débit PS est authentique et n a pas été modifié depuis son émission. k Irrévocabilité des paiements Tous les paiements de débit PS sont irrévocables une fois autorisés. Par conséquent, le règlement s effectuera et le bénéficiaire (p. ex., le marchand) recevra les fonds qui lui sont dus. 8 8 L irrévocabilité des opérations de débit n exclut pas la possibilité de retours (p. ex., en cas de retour de marchandises) à la demande du payeur via une opération de crédit PS séparée. (a) Découvert ou passage à un solde créditeur au compte à cause du retard de report des opérations; et/ou b) Opérations non autorisées en cas de perte ou de vol du dispositif qui ne serait pas signalé tout de suite. La valeur de ce produit est qu il appuie les besoins de paiement des environnements de paiement de faible valeur (p. ex., transports en commun, distributeurs automatiques, parcomètres, etc.). On s attend que les risques éventuels par titulaire de carte demeureront minimes, mais il faut quand même songer au moyen de limiter/atténuer ces difficultés. Il existe déjà plusieurs outils dans la Règle E4 de l ACP, comme : k Choix de l IF payeuse L IF payeuse a la capacité de choisir si elle participe ou pas à l offre d un service de débit PS. k Choix du consommateur Il incombe à l IF payeuse qui décide d offrir des services de débit PS d informer le consommateur qu il a la possibilité de choisir de participer ou pas au service ou à certains aspects du service de débit PS, ainsi que des dispositions et des implications du service (p. ex., dispositions pour la génération d un solde créditeur et incidences connexes). k Échéancier pour la compensation et le règlement Les échéanciers pour la compensation et le règlement des opérations PS exigent que les entrées dans le Système automatisé de compensation et de règlement (SACR) se fassent le plus tôt possible et au plus tard à l heure de fermeture du SACR applicable au jour ouvrable suivant l autorisation. Par conséquent, le retard de remise des certificats d opération PS à l IF et de report des opérations au compte du client sera limité par cette exigence. Il existe aussi plusieurs autres outils. Bien qu il s agisse dans tous les cas d outils valides d atténuation, il importe de noter que les Règles de l ACP pourraient ne pas être l endroit idéal pour les codifier; certains ont plutôt leur place dans les règles et les procédures de gestion des risques d autres organismes. Ces outils comprennent : k Limites de valeur/d opération Au niveau de l opération, l autorisation a pour but de faire en sorte que les paiements effectués à l aide du dispositif de débit PS respectent les limites de valeur et/ou d opération établies par les règles de l exploitant du système et les limites qui peuvent être mutuellement convenues entre l IF payeuse et le consommateur. Dans certaines circonstances, le dispositif PS peut déclencher le traitement de l opération en ligne pour autoriser les montants dépassant le seuil maximal ainsi qu après un certain nombre d opérations. k Solde créditeur L IF payeuse peut décider d offrir à ses clients des facilités de découvert ou une ligne de crédit pour atténuer le risque d opérations sans provisions. 11 k Responsabilité du consommateur Les règles du système PS visent à atténuer la responsabilité du consommateur. Par exemple, Interac offre aux consommateurs une protection de responsabilité nulle pour les cartes PS sans NIP.

14 IV. Révisions proposées aux exigences de la Règle E4 (cont.) 9 Le reçu du système PS sans NIP n est pas un reçu de vente, mais plutôt un reçu PS remis par l exploitant du système. Les Règles de l ACP ne traitent pas des reçus de vente, qui peuvent servir pour la comptabilité, les taxes et les retours et à d autres fins. 10 Les Règles de l ACP 2.2 Émission de reçus Recommandation L exigence de la Règle E4 qui oblige le marchand à avoir la capacité d émettre au payeur, sur demande, un reçu de l opération PS sans NIP 9 est un obstacle à l innovation de ce service de paiement dans certains environnements. Par conséquent, l ACP recommande d éliminer cette exigence et de s en remettre à d autres moyens existants pour obtenir l information sur l opération (voir la section «Disponibilité de l information» ci après). pourraient toujours traiter de l émission de reçus du système, mais il a été proposé que leur disponibilité soit traitée dans les règles de l exploitant de système, qui pourraient adapter les exigences à certains marchés et mieux contrôler la conformité Justification k Reçus peu pratiques dans certains marchés Exiger la remise de reçus du système sur demande signifie que tous les marchands doivent avoir des capacités de production de reçus même si le consommateur ne demande pas de reçu du système. Les exploitants de système PS ont fait valoir que l émission universelle de reçus du système est peu pratique dans certains environnements, car soit elle ralentirait considérablement le passage (p. ex., les tourniquets d accès aux transports en commun) soit elle constituerait une exigence supplémentaire qui n existe pas aujourd hui dans certains environnements sans personnel (p. ex., distributeurs automatiques). Les reçus de système ne sont pas universellement requis dans le marché du sans-contact de crédit et de prépayé d aujourd hui, et ne sont pas non plus une exigence là où l argent comptant est la monnaie courante. k Environnements avec NIP traditionnelles La Règle E1 de l ACP n impose pas d exigence correspondante pour la remise de reçus du système pour les paiements de débit PS avec NIP traditionnels. k Disponibilité de l information sur les opérations Même si les Règles de l ACP n exigent pas de reçus du système, l information concernant les opérations peuvent peut être communiquée aux clients par d autres moyens, p. ex. : Les Règles de l ACP et les exploitants de système obligeront les marchands à afficher bien en vue le montant d une opération avant l achat. Les IF peuvent indiquer les détails de l opération sur les relevés bancaires. L ACP oblige les membres à maintenir une piste de vérification et des capacités de repérage. Dans ses consultations avec ses membres et ses intervenants, l ACP a pu constater que la plupart des participants croient que ses Règles ne devraient pas traiter de l émission de reçus (électroniques ou papier) du système vu qu elle n a rien à voir avec la compensation et le règlement de ces paiements 10. Les Règles de l ACP exigeront quand même que le montant de l opération soit communiqué aux consommateurs avant l achat. 12

15 VIII. Mot de la fin Avec l émergence continue de l innovation en matière de paiements, les Règles existantes de l ACP créent parfois des exigences qui pourraient avoir des conséquences non désirées à mesure que progresse la technologie. L ACP a un mandat qui l engage à favoriser le développement de nouvelles technologies et méthodes de paiement. Conformément à ce mandat et pour être à l écoute des besoins du marché, l ACP cherche à fournir aux exploitants de système PS le cadre souple qu il leur faut pour répondre aux besoins actuels et futurs des intervenants. En outre, il importe de reconnaître que les systèmes de compensation et de règlement de l ACP ne fonctionnent pas en silo; ces règles doivent être lues de pair avec les règles et les règlements des autres intervenants qui pourraient mieux traiter de certains critères de paiement. Les orientations stratégiques établies dans le présent document reposent sur les commentaires des institutions membres de l ACP, des membres de notre Comité consultatif des intervenants et d autres intervenants intéressés, et elles serviront de base pour les révisions à la Règle E4 de l ACP pour les débits PS sans NIP. À cette fin, l ACP demande des commentaires sur sa proposition de mettre en œuvre les recommandations suivantes : Permettre d autres méthodes d autorisation pour appuyer l utilisation de divers processus d autorisation en temps réel des paiements de débit PS sans NIP; et Offrir une plus grande souplesse pour informer le payeur de la valeur de l opération afin d écarter les difficultés dans certains environnements où la remise de reçus n est pas pratique ou la rapidité de passage est cruciale. La période de consultation sur le cadre stratégique et le projet de Règle prendra fin le 15 avril Les commentaires et autres documents devraient être envoyés à l adresse électronique consultation@cdnpay.ca. 13

16 Appendix I Modèle de responsabilité partagée pour les débits PS sans NIP Les produits de débit PS sans NIP augmentent l utilité du circuit PS. Là où il peut y avoir des préoccupations, il existe déjà divers moyens d atténuer et/ou limiter les difficultés éventuelles : k Limites de valeur k Limites d opération k Légers découverts permis k Utilisation de la norme et des protocoles EMV k Choix du consommateur : capacité de choisir d utiliser ou pas le service k Choix de l IF : capacité de choisir d utiliser ou pas le service k Responsabilité nulle pour les consommateurs k Irrévocabilité des paiements k Limite l échéancier pour la compensation et le règlement Ce sont là autant d outils d atténuation valides, mais il importe de signaler que les Règles de l ACP pourraient ne pas être l endroit idéal pour les codifier; certains auraient davantage leur place dans les règles et les procédures de gestion des risques d autres organismes. Pendant que l ACP cherche, par ses règles, à faciliter la compensation et le règlement de produits innovateurs dans l environnement PS de proximité, il importe de faire la distinction entre le rôle de l Association (dans une perspective de compensation et de règlement) et celui des autres parties (p. ex., gouvernement, exploitants de système, institutions financières membres) par un modèle de responsabilité partagée. Outils d atténuation des risques ACP Exploitant de système IF payeuse/émettrice IF acquéreuse Limites de valeur/ d opération (au comptoir) p. ex., peut fixer les limites min/max dans ses règles p. ex, peut fixer des limites qui lui sont propres conformément aux règles de l exploitant du système Petits découverts permis p. ex., peut offrir des facilités de découvert aux clients Capacité de choisir de participer ou pas La Règle E4 oblige l IF payeuse à informer le consommateur de la possibilité de choisir de participer ou pas p. ex,. donne l assurance que le service offre aux membres et aux utilisateurs la capacité de prendre le produit ou pas choix d utiliser ou pas le service et informer le consommateur de son choix d utiliser ou pas le service Utilisation de la norme et des protocoles EMV pour les paiements hors ligne La Règle E4 exige les spéc. de puce EMV ou une technologie équivalente p. ex., exige des spéc. de puce EMV ou une technologie équivalente p. ex., émettre des applications de paiement qui répondent aux spéc. EMV ou l équivalent p. ex., veiller à ce que les terminaux soient compatibles avec les spéc. EMV ou l équivalent Irrévocabilité des paiements En vertu de la Règle E4, les paiements sont irrévocables En vertu des règles du système PS, les paiements sont irrévocables Responsabilité nulle des consommateurs En vertu des règles du système PS, les paiements sans NIP et sans contact offrent une responsabilité nulle au consommateur Échéancier pour la compensation et le règlement p. ex., les Règles de l ACP limitent la compensation et le règlement des opérations à la clôture du jour ouvrable suivant

17 Annexe II Exigences existantes de la Règle E4 L élimination des exigences du direct et d émission de reçus donnerait une plus grande marge de manœuvre aux exploitants de systèmes PS qui choisissent de faire compenser et régler leurs opérations par l intermédiaire de l ACP, mais un grand nombre des exigences existantes de la Règle E4 demeureraient inchangées. En voici les points saillants : Règle E4 de l ACP pour les paiements de débit PS sans NIP et sans contact Émission des dispositifs Facteur de forme Sécurité de l information et technologie Protection des renseignements personnels et confidentialité des renseignements Intégrité des données Autorisation Irrévocabilité Validation de l application de paiement Divulgation de l IF payeuse Responsabilité de l IF acquéreuse L IF payeuse est responsable de l émission de l application de paiement, et de la convention de titulaire de carte L IF payeuse doit veiller à ce que la convention précise clairement que l IF payeuse est l émetteur Facteur de forme neutre La règle permet les opérations avec ou sans contact La technologie de la bande magnétique n est pas permise Les spécifications EMV MC pour les cartes à puce ou une technologie équivalente sont permises Le membre respecte le caractère personnel des renseignements et la confidentialité du payeur et de l accepteur conformément aux lois canadiennes applicables Le membre assure l intégrité et l authenticité des données Paiements autorisés en temps réel Les paiements sont irrévocables après l autorisation Pas d authentification du client validation de l application de paiement seulement (c. à d. les techniques, les procédures et les processus qu utilise l acquéreur/le système pour prouver l intégrité du dispositif PS et de l application de paiement) Il incombe à l IF payeuse de divulguer au payeur : Les conditions et les risques associés au produit de débit sans NIP La capacité du payeur de choisir d utiliser ou pas le produit ou le service Les procédures de règlement des différends exposées dans la Règle de l ACP Enregistrement de l acquéreur auprès du système Enquête rapide sur les cas de non respect des Règles de l ACP Respect des règlements administratifs et des règles de l ACP, et vérification que les tiers intervenants acceptent également par écrit de s y conformer 15

18 Annexe II Exigences existantes de la Règle E4 (cont.) Recours du consommateur/ remboursements Piste de vérification, repérage Règlement La partie C renferme les procédures qui s appliquent aux membres si le client dit qu une opération approuvée a été enclenchée par suite d un acte de fraude ou d un vol Chaque membre doit maintenir une piste de vérification de chaque opération pendant un minimum de 12 mois Les entrées dans le SACR doivent être effectuées le plus tôt possible et au plus tard à l heure de fermeture du SACR applicable au jour ouvrable suivant l autorisation Annexe III Glossaire Application de paiement Authentification Autorisation Dispositif PS Exploitant de système Irrévocabilité Normes EMV Logiciel émis par les institutions financières, qui est intégré dans les dispositifs de paiement (p. ex., carte, porte-clés, téléphone ou étiquette) pour l enclenchement de paiements au PS. Techniques, procédures et processus qu utilise l institution financière pour vérifier l identité ou les attributs de sécurité du titulaire de carte ou de l autre dispositif de paiement (p. ex., l utilisation de son numéro d identification personnel (NIP) ou d un code code secret). Techniques, procédures et processus qu utilise l institution financière pour approuver une opération PS. Se dit d un dispositif de paiement qui est porteur d applications de paiement pour l enclenchement de paiements. Très souvent de nos jours, ce dispositif est une carte, mais il peut aussi être un porte-clés, un téléphone, une étiquette, etc. Réseau national ou régional de paiement qui permet aux clients de régler leurs achats de biens et services ou d accéder à leurs fonds par l intermédiaire de guichets automatiques (GAB) et de terminaux PS à l échelle du Canada. Se dit d un paiement qui, une fois autorisé, ne peut plus être refusé, retourné ou réacheminé par l institution financière qui l a l autorisé. Normes établies par Europay MasterCard Visa (EMV), qui fixe les protocoles et les exigences de matériel conçues pour limiter la possibilité d activités frauduleuses et la perte des données privées du client pour les opérations PS effectuées à l aide de cartes de paiement. «EMV» est un terme général souvent appliqué aux cartes à mémoire intégrées dans les dispositifs de paiement qui permettent les paiements par dispositif à puce, avec NIP, sans NIP et sans contact. 16

19 Annexe III Glossaire Paiement par communication en champ proche (NFC) Paiements sans contact Point de service (PS) Reçu de système Report Responsabilité Sans NIP Une technologie conforme à ISO qui peut servir à effectuer des paiements sans contact, ou à assurer la communication dans les deux sens entre les dispositifs et les lecteurs à l aide d ISO On prévoit que la NFC modifiera les futurs achats PS par une meilleure interaction entre le marchand et le consommateur. Selon la norme ISO 14443, un paiement sans contact exécuté au PS par déplacement d une puce conforme à la norme, logée dans un dispositif de paiement (p. ex., une carte, un porte-clés, un téléphone, une étiquette), tout proche (mais généralement sans contact physique) d un dispositif de lecture de puce conforme à la norme. Se dit d un comptoir de sortie, ou d un terminal de paiement, muni d un lecteur de paiement capable d accepter les dispositifs de paiement par carte pour l exécution de ventes ou d opérations à partir des comptes des clients. Aussi appelé «point de vente PV». Reçu de système PS fourni par l exploitant du système et détaillant les renseignements propres à l opération. Le reçu de système peut être en sus ou distinct du reçu de vente fourni par le marchand. Les règles de l ACP ne traitent pas des reçus de système, qui peuvent savoir pour la comptabilité, les taxes et les retours et à d autres fins. Le moment où les opérations sont portées au débit ou au crédit du compte du client et conciliées avec leurs soldes précédents. Attribution des rôles et des responsabilités aux parties intervenant aux divers stades d une opération et au traitement connexe. Paiements enclenchés au PS, qui tirent parti de mesures de sécurité qui n obligent pas les utilisateurs à introduire un numéro d identification personnel (NIP) ou un autre type de code secret. 17