Rapport d activité

Transcription

1 Rapport d activité

2 Sommaire 3 Chiffres clés 4 Rapport du Conseil de Direction. Composition du Conseil de Direction. Equipe de Direction 7 Rapport de l Administrateur 23

3 Chiffres Clés Evolution 10/09 Montant total d opérations (en milliards d euros) Paiements 203,9 219,6 236,8 257,3 283,3 303,8 312,9 336,2 +7,4% Retraits 80,5 85,2 88,6 92,2 98,5 109,1 113,2 115,0 +1,6% Total 284,4 304,8 325,4 349,5 381,8 412,9 426,1 451,2 +5,9% Nombre d opérations (en milliards) Paiements 4,34 4,65 4,98 5,34 5,85 6,24 6,61 7,06 +6,9% Retraits 1,25 1,26 1,29 1,33 1,41 1,52 1,53 1,51-1,0% Total 5,59 5,91 6,27 6,67 7,26 7,76 8,14 8,57 +5,4% Paiement moyen (en euros) 47,0 47,2 47,6 48,2 48,4 48,7 47,9 47,6-0,6% Retrait moyen (en euros) 64,7 67,6 68,5 69,5 70,1 71,9 74,2 76,2 +2,6% Nombre de cartes et de transactions par carte CB Parc de cartes CB (en millions) 47,6 49,1 51,2 53,6 55,7 57,5 58,4 59,8 +2,3% Nombre de paiements/carte/an 97,8 101,1 103,5 105,3 110,5 108,6 113,1 118,2 +4,5% Nombre de retraits/carte/an 26,1 25,7 25,3 24,8 25,2 26,4 26,1 25,3-3,2% Evolution des paiements et des retraits (en milliards d opérations) ,51 1,53 1,52 1,41 1,33 1,29 1,26 4,98 4,65 5,34 5,85 5,91 6,24 6,61 6,67 6,27 7,06 7,26 7,76 Retraits 8,14 Paiements 8,57 Total transactions Nombre de points d acceptatiton CB au 31 décembre ventes à distance dont 47% sur internet retraits (distributeurs automatiques de billets) paiements de proximité dont : automates de paiement terminaux intégrés terminaux autonomes Les transactions CB progressent de +5,9% en 2010 (451,2 milliards d euros) 3

4 Rapport du Conseil de Direction Mesdames, Messieurs, "L enfer est souvent pavé de bonnes intentions" dit la sagesse populaire. Et l intention de réduire le coût des paiements par carte bancaire, notamment pour les commerçants, est à première vue aussi compréhensible que louable. Mais pour autant, il ne faudrait pas qu elle ait pour conséquence de faire disparaître des avantages essentiels que les systèmes de cartes de paiement à "quatre coins" 2 apportent à leurs utilisateurs. Ou, comme le dit encore la sagesse populaire, que "le mieux devienne l ennemi du bien". Pour faire simple, les systèmes "quatre coins" sont, pour la plupart, fondés sur l existence d un interchange par lequel les banques 1 de commerçants rémunèrent les prestations que leur assurent les banques de porteurs de cartes. Cet interchange est le gage de l interbancarité, c està-dire d une coopération provoquée entre des banques qui non seulement ne se sont pas choisies, mais qui sont en concurrence directe. Et de ce point de vue, l exemple du système "Cartes Bancaires" (CB) illustre la densité de cette interbancarité "suscitée" puisqu il réunit 130 banques, commerçants et plus de distributeurs de billets, à la satisfaction de tous. L interchange est aussi le gage d un niveau élevé de sécurité dans la mesure où il incite simultanément banques de porteurs et banques de commerçants à investir dans une lutte commune contre la fraude. Il a enfin l avantage de la transparence puisque le montant des interchanges est public et qu il est de surcroît contrôlé par les Autorités de la Concurrence. En un mot, comme en cent, l interchange est la clé de voûte d un système de paiement par cartes à quatre coins et le gage de son bon fonctionnement pour l ensemble des parties prenantes. Un niveau d interchange mal adapté, par exemple inférieur aux coûts engagés pour les prestations fournies par les banques de porteurs ou à l inverse excessif pour les services rendus aux banques de commerçants, aboutit mécaniquement, à coup sûr, à moins d interbancarité et, sans doute, à moins de sécurité. Dès lors, faute d un niveau adéquat d interchange qui assure l équilibre entre les différentes parties prenantes, la tentation sera forte d aller vers d autres modèles moins contraints. Par exemple les systèmes "trois coins" 3 dans lesquels l émetteur de cartes traite directement avec les commerçants à des conditions qu il détermine librement. Certains systèmes, pour le moment à quatre coins et non des moindres, réfléchissent d ores et déjà à cette adaptation qui les affranchirait de contraintes qu ils ressentent comme excessives. Le paiement par carte y perdrait évidemment en transparence et en efficacité puisqu il n aurait plus le caractère universel qu on lui connaît aujourd hui. 1 Par facilité de langage, le mot "banque" est ici employé pour désigner aussi bien les établissements de crédit que les établissements de paiement membres d un système cartes. 2 Système 4 coins : Système de paiement reliant entre eux quatre pôles : le porteur de carte, le commerçant où le porteur va acheter, la banque du porteur (dite "émetteur") et la banque du commerçant (dite "acquéreur"). Le système cartes définit les règles, notamment techniques et juridiques, qui vont permettre l interconnexion de ces quatre pôles. 3 Système 3 coins : Système de paiement qui met en relation trois pôles : le porteur de carte, le commerçant et le système cartes qui assure à la fois les fonctions d émission de la carte et d acquisition des transactions faites chez le commerçant. 45

5 "Un train peut en cacher un autre", autre formule qui n est pas sans rapport avec le développement précédent. Car tandis que les débats, théoriques ou pratiques, sur les interchanges occupent le devant de la scène, d autres acteurs s apprêtent à y rentrer en force. Non seulement les opérateurs de mobiles ou les établissements de paiement, attendus depuis longtemps, mais les géants de la génération Internet qui ont compris que pour vendre le maximum de produits ou de services, il fallait intégrer acte d achat et acte de paiement en rendant ce dernier le plus indolore possible (la facturation "kiosque" du Minitel en fut un bon exemple). Et les modèles "trois coins" sont de ce point de vue fort intéressants pour eux qui recherchent une relation directe avec les acheteurs comme avec les vendeurs (qu ils sont au demeurant souvent euxmêmes). A prolonger un peu en prospective, pourrait ainsi se dessiner un monde de systèmes de paiements privatifs, juxtaposés, presque "balkanisés", avec quelques plateformes interconnectant les uns et les autres presque à l opposé de l universalité et de la transparence que nous connaissons aujourd hui. Tout ceci n est ni illusion, ni utopie. Il suffit pour s en convaincre de lire attentivement les journaux dont les échos, souvent épars, finissent, une fois rassemblés, par faire apparaître un paysage des paiements bien différent de celui que nous vivons actuellement avec de fortes tendances "gravitationnelles" vers le "low cost" et le niveau de sécurité qui s y accorde. C est en intégrant ces nouvelles dimensions de son environnement que le Groupement CB doit mettre en valeur ses acquis de propriété intellectuelle, d expertise et surtout d expérience. D une part, avec une ardente obligation de réactivité et de créativité pour intégrer les multiples évolutions technologiques et sociologiques qui modifient en profondeur le monde des paiements : sans contact, mobile, smartphone C est là une condition sine qua non pour affronter une compétition plus vive que jamais avec les autres systèmes de cartes et notamment les plus puissants d entre eux. D autre part, avec une souplesse et des capacités d adaptation qui permettent par exemple de créer des services "à la carte", au choix de ses membres, et non plus seulement des services obligatoires pour tous. Les modalités de facturation, revues en 2010, doivent précisément y contribuer. C est à un moment où le monde des paiements changeait que le Groupement est né en L occasion est à nouveau là pour lui d affirmer ses talents et de pleinement justifier la réputation qu il a alors acquise et qui en fait, aujourd hui comme hier, une référence que bien des pays étrangers nous envient au point de le prendre pour modèle. J ai bon espoir que le système CB relève avec brio ce défi, assuré du soutien à la fois de ses membres que je remercie vivement de leur participation à la vie et à la gouvernance du Groupement, et de ses collaborateurs qui mettent à son service travail, compétence et dévouement. Gilles Guitton Président du Conseil de Direction 5

6 Conseil de Direction du Groupement des Cartes Bancaires CB au 31 décembre 2010 Président Gilles Guitton Vice Présidents Jean-Claude Perchet Yves Blavet Observateur Geoffroy Goffinet (Banque de France) Administrateur Jean-Marc Bornet Secrétaire Martine Briat Crédit Agricole Banque Accord BNP Paribas BPCE HSBC France La Banque Postale CM - CIC Société Générale Société des Paiements PASS - S2P Eric Gonce Jean-Claude Perchet Hervé Ketelers Willy Dubost Fabrice Denèle Lionel Capra Jean-Marie Dragon Patrice Hertzog Michel Lucas Yves Blavet Frédéric Mazurier Equipe de Direction du Groupement des Cartes Bancaires CB au 31 décembre 2010 Administrateur Administration et Finances Affaires Juridiques et Bancaires Développement et Stratégie Risk Management et Audit Jean-Marc Bornet Muriel Monetti Martine Briat Cédric Sarazin Pierre Chassigneux 67

7 Rapport de l Administrateur Mesdames, Messieurs, L année 2010 a été marquée par de nombreux évènements qui ont requis de la part des équipes du Groupement CB des initiatives et des réponses adaptées. Malgré tout cela, la croissance de l instrument de paiement CB se poursuit, indifférente semble-t-il à la crise économique et financière qui impacte parfois durement la vie de nos concitoyens. 1. UNE CROISSANCE "TOUS AZIMUTS" Les données chiffrées Les données chiffrées font apparaître pour l année 2010 une nouvelle progression des opérations par cartes bancaires CB. Le nombre de cartes CB a augmenté de 2 % (59,8 millions de cartes) alors que le nombre total d opérations a progressé de 7 % (7,06 milliards d opérations de paiement) et que le chiffre d affaires paiement s est accru de 7,4 % (336,2 milliards d euros). En outre, il y a eu 1,5 milliard d opérations de retraits d espèces sur les DAB pour un montant de 115 milliards d euros. Le parc de Distributeurs Automatiques de Billets CB est composé de appareils et on dénombre 1,22 million de contrats d acceptation à fin La croissance des flux traités par le service e-rsb ne s est pas démentie en 2010 : 3,424 milliards d autorisations ont été routées, ce qui représente une augmentation de 7 % par rapport à 2009, résultant notamment d une forte utilisation de la carte CB sur Internet. A ce propos, il convient de signaler que le service e-rsb est depuis le début de l année 2010 filialisé dans la société SER2S (Société d Exploitation de Réseaux et de Services Sécurisés). En 2010, la fraude hélas poursuit également sa progression. Le volume de la fraude sur les opérations de paiement CB a augmenté d environ 14 % par rapport à 2009, son taux s établit donc à 0,042 % pour un montant de 130 millions d euros. Cette augmentation est due à la fraude en vente à distance qui représente 74 % de la fraude en paiement dans le système CB et dont le taux s élève à environ 0,27 % en Pourtant, les Emetteurs CB ont activement déployé des dispositifs d authentification du porteur (authentification forte, dite "non rejouable") pour sécuriser les transactions dans les e-commerces CB 3D Secure. Cette architecture 3D Secure est en place dans 47 % des e-commerces CB. Les flux 3D Secure ne représentent néanmoins que 10 % des transactions VAD, ceci étant dû aux réticences de certains acteurs importants du commerce électronique vis-à-vis de cette architecture pourtant destinée à les protéger. L effort s est poursuivi par ailleurs sur l équipement des DAB CB avec divers dispositifs spécifiques destinés à prévenir la compromission de la piste magnétique et du code secret, en conformité avec les règles AFAS (anti-fishing, anti-skimming). La fraude en paiement des cartes CB à l étranger baisse sensiblement, s établissant à 81 millions d euros, soit un taux de 0,52 % (contre 0,71 % en 2009 et 0,53 % en 2007). En effet, en 2008 et 2009, 7

8 les émetteurs CB avaient subi une forte augmentation de la fraude du fait du e-commerce et de la contrefaçon piste dans les pays non EMV. Cette baisse s est poursuivie et s explique par le déploiement de 3D Secure sur des sites à risque à l étranger et par l efficacité d outils de détection de fraude sur les serveurs des Emetteurs CB. La fraude en retrait domestique des cartes CB augmente fortement à 26 millions d euros (contre 19 millions d euros en 2009) et son taux atteint 0,022 % (contre 0,018 % en 2009). La fraude en retrait des cartes CB à l étranger poursuit sa baisse initiée depuis Elle est estimée à 22 millions d euros. Le taux de fraude (0,44 %) suit cette baisse grâce aux systèmes développés par le Groupement visant à détecter des points de compromission et à adresser, 2 fois/ jour via un portail sécurisé, aux Membres CB des alertes précoces relatives à leurs cartes. A partir des données disponibles dans le SICB et l infocentre e-rsb, le Groupement a lancé, en novembre 2010, une expérimentation de scoring "on line" des demandes d autorisation portant sur des transactions à risque. Tous les paramètres concernant la volumétrie et la typologie des scores sont à la main des Émetteurs CB qui peuvent ensuite les traiter comme ils l entendent sur leurs serveurs d autorisation. Activité contentieuse En 2010, 55 nouveaux dossiers ont été ouverts par le Groupement, 51 au pénal et 4 au civil (contre 68 en 2009, dont 15 au civil) : 1 affaire de "yescards" 8 affaires de contrefaçon ou falsification de cartes CB 28 affaires de contrefaçon ou falsification de cartes agréées CB 3 affaires de commerçants acceptant des cartes contrefaites 3 affaires de cartes volées 6 affaires de vente à distance 1 affaire d accès non autorisé dans un système de traitement automatisé de données 1 affaire de contrefaçon en matière de propriété intellectuelle 4 affaires devant le Tribunal de Commerce. S agissant du contentieux pénal, le nombre d affaires de contrefaçon ou falsification de cartes CB a diminué, tandis que le nombre de dossiers de contrefaçon ou falsification de cartes agréées CB demeure stable. A cet égard, l année 2010 a été marquée par le démantèlement de plusieurs officines de contrefaçon de cartes, dont deux en provenance d Asie situées aux Pays-Bas, et d un réseau extrêmement structuré composé d un commanditaire achetant des données carte sur Internet, de contrefacteurs, d usagers de cartes contrefaites et de commerçants à tout le moins suspects. Par ailleurs, il est à noter une recrudescence des cas de commerçants acceptant des cartes contrefaites. Bien que le nombre de dossiers ouverts par le Groupement soit stable, le nombre de commerçants impliqués dans les fraudes est en augmentation. Les affaires de vente à distance, quant à elles, demeurent comme en 2009 peu nombreuses, le "transfert de responsabilité" vers la banque émettrice de la carte n étant que peu effectif et l intérêt à agir du Groupement dans ce type de contentieux étant de ce fait limité. Parallèlement, un dossier "d accès non autorisé dans un système de traitement automatisé de données" a été ouvert en 2010, suite au piratage d un site de réservations hôtelières. Enfin, un dossier de contrefaçon en matière de propriété intellectuelle a été ouvert par le Groupement suite à la diffusion sur Internet d un fichier contenant le protocole CB2A dont le Groupement est propriétaire. 55 affaires de fraude ont été jugées en 2010 (50 en première instance, 5 en appel) : 7 affaires de "yescards" 22 affaires de contrefaçon ou falsification de cartes CB 20 affaires de contrefaçon ou falsification de cartes agréées CB 1 affaire de commerçants acceptant des cartes volées ou contrefaites 2 affaires de vente à distance 3 affaires d accès non autorisé dans un système de traitement automatisé de données Les peines prononcées en 2010 à l encontre des prévenus sont conformes à celles habituellement prononcées et ne révèlent pas une évolution notable des politiques pénales des Parquets et Tribunaux. 89

9 S agissant des intérêts civils, les montants alloués au Groupement continuent d être extrêmement variables d une juridiction à l autre, s échelonnant entre 1 et euros. Enfin, l année 2010 a été marquée par le jugement de deux affaires revêtant une importance particulière. D une part, l affaire dite des "factures crédit", ouverte en 2007, a été jugée le 28 janvier A l issue de débats houleux (du fait de la médiatisation dans les jours précédents des publications de Ross Anderson), la Chambre Correctionnelle du Tribunal de Grande Instance de Carpentras a condamné les 4 prévenus, dont le principal instigateur de la fraude, notamment pour avoir accédé frauduleusement à tout ou partie d un système de traitement automatisé de données avec cette circonstance qu il en est résulté la modification de données, en l espèce des données bancaires notamment dans le système de traitement mis en place par le Groupement. Les peines allaient de 6 mois d emprisonnement avec sursis et euros d amende à 18 mois d emprisonnement dont 12 mois avec sursis et euros d amende. Cette décision vient compléter la jurisprudence désormais bien établie confirmant le fait que les TPE font partie intégrante du système de traitement automatisé de données CB. D autre part, 21 prévenus ayant été à l origine en 2001 de la conception et la diffusion sur Internet des premiers logiciels de contrefaçon de type "yescard" ont été jugés en octobre 2010 devant la 12ème Chambre Correctionnelle du Tribunal de Grande Instance de Paris. Suivant jugement en date du 16 novembre 2010, les mis en cause, majoritairement renvoyés pour fraude informatique, ont été, en dépit de leur demande de dispense de peine, condamnés à des peines d emprisonnement, pour l essentiel assorties de sursis. Sur l action civile, le Groupement a été reçu en sa constitution de partie civile et le Tribunal a fait droit à ses demandes. Il faut noter la charge importante que le traitement de plus de réquisitions judiciaires a représenté pour le Groupement en 2010 (il y en (*) avait en 2009). Au cours de cette même année, le Groupement a également reçu 248 avis à victime (contre 286 en 2009) : 185 avis d audience, contre 202 en 2009, 63 avis d ouverture d information judiciaire ou d enquête, contre 84 en La diminution du nombre d avis à victime reçus par le Groupement constatée en 2009 se poursuit, ce qui peut notamment s expliquer par l éradication des "yescards", qui étaient à l origine d un contentieux particulièrement volumineux. Activité recouvrement Les sommes recouvrées par le Groupement ont été réparties en fonction des dommages et intérêts obtenus par les différentes parties civiles dans chaque affaire détaillées dans le tableau en bas de page (*). L agrément L Agrément CB délivré par le Groupement des Cartes Bancaires couvre à fin 2010 les activités Emission et Acceptation. Il est organisé selon un schéma de certification conforme au SEPA, schéma qui sépare de façon effective les activités d évaluation, de certification et d agrément proprement dit. L Agrément Emission concerne les activités des sites industriels, les cartes et les produits sécuritaires. En ce qui concerne les sites industriels, 16 ont obtenu le renouvellement de leur agrément, 2 nouveaux sites ont été agréés tandis que 3 sites étaient en cours d agrément à fin Par ailleurs, ont été agréés en produits carte, 1 produit sécuritaire HSM et 7 firmwares. L Agrément Acceptation concerne les terminaux autonomes, les systèmes intégrés et répartis, les automates. Des "accords d exploitation" sont également délivrés suite à l intégration de systèmes agréés. Globalement, 752 Identifiants Terminaux de Paiement (ITP) ont été agréés en 2010 contre 524 en Sommes versées en bénéfice De CB Des établissements de crédit et de paiement Dont Membres CB

10 L année 2010 a également vu les premiers terminaux sans contact (conformes au Bulletin 12) entamer leur processus d agrément tandis que 6 nouveaux constructeurs demandaient à être référencés en vue de la présentation de leurs produits à l Agrément CB. Le Groupement est également chargé d agréer les visuels cartes. Pour ce faire, il continue de mettre en place des règles, recommandations et procédures permettant aux Emetteurs CB de proposer des visuels de plus en plus diversifiés. Ces émetteurs ont la possibilité d utiliser des technologies innovantes qualifiées par le Groupement telles que les cartes Dual sans contact, les cartes transparentes ou avec des reflets métalliques ou encore des produits teintés dans la masse. En 2010, 865 visuels de cartes CB ont été soumis au Groupement, 807 ont été validés totalement et 58 l ont été avec réserve ; on constate donc une augmentation notable du nombre d homologations de visuels par rapport à 2009 (713). 2. UNE SUITE D EVENEMENTS SIGNIFICATIFS 2.1. Ross Andersen En début d année 2010, un chercheur anglais de l Université de Cambridge a publié les résultats de ses travaux visant à élaborer et à mettre en œuvre un scénario d attaque à l encontre du dispositif EMV. Cette affaire a été reprise assez abondamment dans les médias de sorte que le Groupement a dû gérer une campagne de presse afin d expliquer à la fois le scénario lui-même, et le risque limité que représenterait pour le système CB son implémentation par des fraudeurs. Le Groupement a poursuivi tout au long de cette année sa veille technologique dans le domaine de la cryptologie, des analyses de risques concernant les algorithmes et les clés cryptographiques ont été menées, et le niveau élevé de sécurité du système a été maintenu Innovations et nouveaux produits La technologie NFC a été introduite sur des cartes CB et des téléphones mobiles et développée pour être acceptée en mode "sans contact" sur des terminaux de paiement CB. Des mises à jour des spécifications appelées "bulletins" ont été émises par le Groupement pour permettre aux industriels de présenter leurs matériels à l agrément. Par ailleurs, c est au Groupement qu a incombé la tâche de suivre l expérimentation de Nice sur le paiement par mobile et de centraliser les informations et renseignements qui pouvaient en être tirés. Il convient de rappeler que le Groupement avait l année dernière rédigé l ensemble des addenda aux contrats porteur et d acceptation permettant à ses Membres d émettre du sans contact CB et d affilier des commerçants au système CB pour accepter des paiements effectués par des cartes sans contact et par des téléphones mobiles : les règles d impayés ont été également adaptées. La durée de l expérimentation de Nice a été prolongée afin de disposer de plus de recul sur ces innovations. Un déploiement sur d autres villes françaises est prévu pour Une analyse stratégique de produits et services (Benchmark des Schemes) européens a été réalisée au cours du deuxième semestre 2010 et livrée au Comité de Coordination du 15 mars Une étude d opportunité sur le P2P CB (paiement de personne à personne) a été livrée au Comité Métier Produits et Services (CMPS) de septembre 2010 et sera développée en Une attention forte a également été portée aux paiements de petits montants parce qu ils constituent à la fois une part de marché actuelle non négligeable qu il convient de prendre en compte et un potentiel de développement important pour CB. Des études économiques ont été effectuées, et il s agit maintenant, en particulier dans le cadre du déploiement du "sans contact", d affiner des mesures d accompagnement notamment vis-à-vis du Commerce et de favoriser la pénétration de la carte sur ces paiements de petits montants. Certaines adaptations du paiement CB, pour répondre aux besoins de secteurs spécifiques (autoroutes, location de biens et services sur Internet) ont été effectuées et une coopération a été mise en œuvre dans le cadre de la définition d une offre de portefeuille numérique pour le paiement à distance sécurisé sur le web et le mobile qui fait suite au projet de recherche et développement FC². Dans le cadre de la réglementation Bâle II et de l analyse des risques opérationnels, l évaluation des Risques Majeurs liés à la monétique a donné lieu à la poursuite des travaux de modélisation susceptible d être utilisée par les établissements CB en "méthode avancée" au sens de Bâle II. Une large action d information sur la nécessaire sécurisation des données sensibles a par ailleurs été poursuivie tant par le Groupement que par les Acquéreurs CB en direction des commerces et prestataires de services

11 Les principaux sites de e-commerce et une majorité de grands commerces ont poursuivi la mise en œuvre des référentiels sur la sécurité des données "PCI DSS" (Payment Card Industry Data Security Standards), établis par le PCI SSCouncil. Le Groupement a le statut d "organisation participante" de PCI SSC, ce qui lui permet de contribuer par ses commentaires et propositions à l élaboration et à l évolution des standards PCI. Le déploiement des standards PCI a fait ressortir la nécessité d une grande homogénéité dans la "chaîne de protection". Ainsi, le contrat d acceptation, que ce soit en paiement de proximité ou en paiement à distance sécurisé CB stipule que "l accepteur" CB doit s assurer que les tiers tels que les prestataires de services techniques ou sous-traitants intervenant dans le traitement et le stockage des données liées à l utilisation des cartes, respectent le référentiel de sécurité PCI DSS. Il rend donc obligatoire pour l accepteur de contrôler ses prestataires de services techniques et ses sous-traitants. Certains incidents ont démontré que cette obligation n était pas toujours respectée montrant ainsi la voie à suivre, dans le sens d une meilleure sécurisation du système. Coopération européenne Le Groupement a continué à participer activement aux travaux visant à coordonner la mise en place d un processus de standardisation et d échanges d informations sur la sécurité des paiements par carte dans la perspective du SEPA. En matière de standardisation, les travaux se sont poursuivis au sein du groupe de travail CAS (Common Approval Scheme) réunissant des représentants émanant d une quinzaine de pays européens. Des exigences minimales de sécurité ont été définies pour les systèmes d acceptation et les systèmes d échanges. Pour mettre en place une méthodologie commune d évaluation sécuritaire, les membres de CAS ont créé l OSeC (Open Standards for Security and Certification) en étroite concertation avec les industriels des terminaux et les organismes de certification européens tels que l ANSSI. La viabilité économique des évaluations des terminaux selon la méthodologie internationale des "Critères Communs" y a été spécialement prise en compte. Des propositions concrètes ont été élaborées pour la mise en place au niveau européen d une structure chargée d organiser les conditions de reconnaissance mutuelle des certificats fonctionnels et sécuritaires. Le Groupement a poursuivi sa participation au Groupe de travail de l EPC, "European Card Fraud Prevention Task Force", destiné à échanger des informations sur les différentes typologies de fraude et à préparer des résolutions à l approbation des instances de l EPC. Une forte préoccupation a été exprimée concernant la migration de la fraude hors de la zone Europe vers les régions non EMV ; cette question a été le principal thème du forum dédié à la fraude organisé par l EPC à Paris en juin Le Groupement a joué un rôle important dans le groupe d experts EAST (European ATM Security Team) sous l égide d Europol dont l objectif est de recenser l ensemble des attaques sur les DAB, d identifier et promouvoir les solutions techniques les mieux adaptées pour les contrer. Ce groupe a constaté que les attaques visant à compromettre les données piste et code confidentiel, initialement concentrées sur les DAB se déplacent actuellement sur des automates de paiement (toujours aux fins d utilisation hors zone EMV, principalement aux USA). Enfin, le Groupement participe activement au projet OSCar visant à développer les premiers terminaux de paiement conformes aux nouveaux standards SEPA (SEPA FAST et le protocole EPAS/ ISO 2022), et à les tester dans plusieurs pays dont la France avec les différents systèmes. Projets réglementaires Les projets réglementaires ont été nombreux. Ils ont porté tout d abord sur le projet BIN CB. Le Groupement a en effet demandé à l ISO et obtenu une plage de BIN pour l usage de ses Membres, indépendamment de Visa et MasterCard. Il a été mis en place à cette occasion une coordination transverse du projet ; des règles CB, des référentiels et des processus liés à l attribution et la gestion par le Groupement de ces BIN CB ont été établis ou adaptés. Des travaux d analyse réglementaire (impacts sur les règles et la gestion des litiges interbancaires, construction de règles spécifiques le cas échéant) ont été menés sur les évolutions suivantes : dématérialisation du ticket CB de l accepteur, service de demande de renseignement, carte virtuelle, P2P, second identifiant carte, mise en œuvre de PCI DSS dans le système CB et réception de fonds. 11

12 Les règles du paiement à distance sécurisé dans le cadre 3D Secure ont fait l objet d une adaptation en matière de paiement à distance d une location ; l encadrement réglementaire et juridique du service a été mis en œuvre par les établissements CB à partir d avril En matière de paiement à distance agrégé d achats multiples, l encadrement réglementaire et juridique du service est disponible et seulement conditionné aux travaux du Conseil de Direction sur le dossier des paiements de petits montants. La mise à jour de la réglementation pour intégrer notamment les évolutions liées aux nouveaux produits et services CB, mais aussi pour optimiser les processus monétiques (Réglementation du Paiement, du Retrait, des Impayés et Opérations de Remboursement Paiement, des Impayés Retrait, Notices explicatives, Manuel des Commissions et Tarifications, etc.) a été finalisée en décembre Le Règlement Intérieur du Groupement et ses annexes ont été mis à jour pour intégrer les changements liés à l évolution du Contrat Constitutif (contribution aux frais et charges d exploitation et aux frais et charges d investissement), à la gestion des BIN d émission CB, à la composition du Conseil de Direction (modalités de l élection des Membres Principaux élus). Dans le domaine des Commissions interbancaires, le Groupement a assuré, comme chaque année, la gestion de son système de déversement des commissions interbancaires CB sur la plateforme de gros montants TARGET2 - Banque de France : suivi de la Convention de Système Exogène TARGET2, mise à jour des référentiels des participants au règlement CB et gestion des évolutions, en coordination étroite avec sa filiale prestataire SER2S. De même, le suivi de la convention de services avec la société STET, gestionnaire du système de compensation CORE utilisé par les Membres pour l échange d opérations par carte CB a été mis en place en renforçant la coopération avec cet organisme sur les sujets suivants : échanges d informations, désignation de contacts qualifiés, instauration d une coopération commerciale, réflexions sur les règles d autoprotection et la gestion des défaillances. Les spécificités liées aux Etablissements de paiement ont été étudiées pour permettre l échange des opérations par carte CB de ces établissements sur CORE. Le travail de dématérialisation des dossiers sur l extranet sécurisé CB (GED) s est poursuivi. Ont ainsi été dématérialisés en 2010 les dossiers de la Commission de Conciliation des Impayés (CCI) contribuant ainsi à alléger les charges de traitement et délais du Groupement et des établissements. Des travaux de rénovation de l outil "juge de paix" pour le recalcul du numéro d autorisation ont été entrepris. Le nombre de dossiers traités en CCI s élève à 144 dossiers en 2010 (contre 206 dossiers en 2009). Le Groupement a établi plusieurs plans de prévention et de secours, et plans de continuité d activité dans différents domaines du système (émission, acceptation, système d information, transport d autorisations, gestion des clés ). Travaux parlementaires En mai 2010, trois députés ont lancé le débat sur les commissions commerçants et le bien-fondé de leur niveau. Lors des débats parlementaires sur le projet de loi sur la régulation financière et bancaire, et sur le projet de loi de finance à l automne 2010, le député Richard Mallié a soumis des amendements tendant à plafonner les commissions payées par les commerçants à leur établissement acquéreur, tout en créant dans l exposé des motifs des confusions entre les commissions interbancaires rémunérant les seuls services rendus par les émetteurs aux acquéreurs, et les commissions commerçants négociées entre les commerçants et leurs établissements acquéreur. Le Groupement a été auditionné par une mission UMP chargée d enquêter sur le niveau des commissions interbancaires et des commissions commerçants, il a exposé les principes de fonctionnement de la coopération interbancaire et la nécessité des commissions interbancaires pour pouvoir rendre un service de paiement sûr et universel. Le Groupement a suivi très naturellement les travaux parlementaires menés sur ces amendements, comme d ailleurs il suit en 2011 les travaux d une nouvelle mission Mallié menée cette fois-ci à l initiative du Ministère de l Economie et des Finances. De nombreux autres travaux parlementaires ont été consacrés aux paiements par cartes, qu il s agisse de la mise en place de la nouvelle législation sur les jeux en ligne ou de la loi sur le crédit à la consommation. Par ailleurs, le Groupement a modifié l article 18.5 du contrat porteur pour le mettre en conformité avec l autorisation donnée par la CNIL pour le traitement du fichier retrait cartes géré par la Banque de France

13 MasterCard et Visa D importantes études ont été conduites avec les établissements dans la perspective du futur raccordement direct de ces derniers aux systèmes internationaux de MasterCard et de Visa. Il s agit dans ce contexte de garantir la continuité des services CB en matière d efficacité de la lutte communautaire contre la fraude ainsi que la fiabilité des référentiels indispensables à la qualité de l acceptation des cartes. MasterCard a été contacté sur deux sujets en 2010, l un était de maintenir le routage des transactions MasterCard effectuées dans le système CB vers les émetteurs concernés dans le cadre de la fermeture annoncée de la passerelle "Europay France", l autre était d organiser les relations avec ce système pour appliquer ses règles PCI DSS en évitant de créer des problèmes juridiques aux Membres MasterCard utilisant le système CB. Visa a été également contacté pour mettre au point les modalités d application de ses règles spécifiques PCI DSS au sein du système CB, notamment lors de la découverte d une compromission de données dans des systèmes de réservation d hôtels. Par ailleurs, des cartes "MasterCard only" ont été émises en France utilisant principalement le système CB. Cette utilisation fait aujourd hui l objet d une tarification spécifique par transaction utilisant le système CB dès lors que cette carte est utilisée à plus de 50 % dans le système CB. L ensemble des Membres CB ou autres entités qui ont émis de telles cartes doivent si leurs cartes sont utilisées de façon majoritaire dans le système CB, soit émettre des cartes CB et donc être Membre CB soit s ils ne le sont pas, régler des frais au Groupement. Il convient de noter également que le Groupement dispose actuellement d une délégation de MasterCard pour délivrer des "AOS" (agrément terminaux) et des LOA (agrément acquéreur) paiement et retrait. L exercice de cette délégation implique le paiement de fees importants par le Groupement à MasterCard. Enfin, le Groupement a conclu avec des systèmes de paiement étrangers ou privatifs des conventions leur permettant d utiliser des transactions CB pour être rechargés (comme Moneo) ou d apposer leurs marques avec celle de CB (BNP Paribas Personal Finance) ou d utiliser le système CB (JCB). L autorité de la concurrence Comme suite à la plainte de la Fédération du Commerce et de la Distribution à laquelle s est ajoutée en 2010 la plainte du Conseil du Commerce de France, l Autorité française de la concurrence a envoyé plusieurs demandes de renseignements au Groupement, notamment en juin et en octobre 2010 ; elle a demandé la production d études de coûts justifiant le montant de la commission interbancaire de paiement et a fait savoir au début décembre 2010 qu elle était prête à accepter une proposition d engagements sur les commissions interbancaires CB. Le Groupement a également engagé une étude de coûts permettant de justifier le niveau de l avance de trésorerie dans la commission interbancaire de retrait qui a été rebaptisée "la commission DAB". Cette procédure a abouti à la publication le 5 avril 2011 d une proposition d engagements du Groupement, cette date marquant le début du test du marché qui s est achevé le 5 mai. Les Membres du Groupement Au 31 décembre 2010, le Groupement comptait 131 Membres dont 36 de droit étranger. Au cours de l année, 2 ont adhéré, 5 ont démissionné et 4 ont cessé leur activité, enfin 6 ont changé de Membre Principal. Le Groupement comptait également 154 Entités de Groupe CB. Treize Membres CB ont le statut de Membre Principal et ont siégé à ce titre dans les réunions des Comités Métier du Groupement. Quatre réunions d information ont été organisées pour permettre à l ensemble des Membres CB d être tenus informés des derniers développements de l activité CB, de la sécurité et des travaux européens ainsi que de l innovation et les nouveaux produits. De même, le Groupement a poursuivi sa campagne de signature des contrats de licences par ses Membres. Arrivée des établissements de paiement Le Groupement avait dès 2008 modifié ses statuts de façon à ce que les établissements de paiement puissent devenir Membres CB. Il s est avéré en 2010 que ces derniers ne pouvant devenir participants au système de compensation notifié, se trouvaient dans l incapacité d exercer les activités d un Membre CB normal ; ainsi, il a été admis à titre provisoire qu ils pouvaient devenir accepteurs ; le Groupement a donc rédigé un "contrat d acceptation en réception de fonds" spécifique afin de leur permettre d avoir des activités CB en attendant qu une solution soit trouvée pour leur participation au système de compensation notifié et en conséquence leur 13

14 adhésion au Groupement en tant que Membre CB. Le Groupement a reçu plusieurs établissements de paiement qui, pour certains n ayant pas obtenu leur agrément auprès de l ACP n ont pas pu poursuivre leur plan d émission de cartes CB ou de services CB. Coopération du Groupement avec les organismes intéressés ("stakeholders") Les Conseils CB composés des organismes intéressés ont été très actifs en Le Conseil CB-Consommateurs (CCBC) s est réuni deux fois, en juin et en novembre Lors de ces réunions, il a été fait un retour des différents sondages auprès des porteurs de cartes bancaires, quant à leurs modes d utilisation. Par ailleurs, une présentation relative à la sécurité des opérations par carte bancaire CB a retenu toute l attention des associations de consommateurs. Le Conseil CB-Accepteurs (CCBA) s est réuni deux fois, en mai et en novembre Ont été évoqués lors de ces réunions la gouvernance européenne, l avancement des standards européens, la sécurisation du paiement sur Internet et le paiement CB sans contact. Des études économiques sur l acceptation du paiement par carte ont été présentées. Par ailleurs, certains membres du tour de table ont été sollicités pour faire un point de leurs projets en cours (avancée des administrations publiques dans la migration de leurs moyens de paiement à SEPA, déploiement du paiement sans contact par une enseigne de la distribution). Le Conseil CB-Industriels (CCBI) s est également réuni deux fois, en avril et novembre Ces réunions ont été l occasion : de revenir sur les phénomènes susceptibles de perturber le fonctionnement ou la sécurité du système CB (ex. leçons du "bug" des cartes allemandes de début janvier 2010), de faire le point sur les modalités de l agrément CB, dans une perspective européenne, suite à une enquête réalisée auprès des industriels fin 2009, d évoquer les travaux de standardisation en cours en particulier au niveau européen, d envisager les enjeux et les conditions du déploiement du paiement CB sans contact (carte et mobile), en tirant profit de l expérience acquise à Nice. Deux groupes de travail complémentaires ont été créés en 2010 afin de traiter les questions à caractère opérationnel en concertation avec les industriels, et pour répondre à leur demande : l un sur le domaine de l émission et l autre sur l acceptation. Ils se réunissent également deux fois par an, sauf besoin exceptionnel sur un sujet particulier. La filiale du Groupement CB Investissements filiale à 99,99% du Groupement est société mère des filiales SER2S, Elitt, PayCert qui ont repris les activités opérationnelles du Groupement et qui, depuis cette année, ont été intégrées fiscalement. En 2010, s est ajoutée à ce groupe une quatrième filiale, CBI International, dont l objet est de fournir des prestations de conseil à l international dans le domaine de la monétique. Situation financière du Groupement Les comptes, qui vous sont remis, appellent les deux commentaires suivants : Comptes sociaux Le total du bilan s établit à 58 millions d euros contre 121,68 millions d euros fin Pour rappel, cette diminution est due à la filialisation du réseau e-rsb intervenue le 31 décembre Conformément aux dispositions des articles L et D441-4 du Code de Commerce, nous vous présentons dans le tableau ci-dessous la décomposition du solde des dettes à l égard des fournisseurs par date d échéance à la clôture de l exercice Groupe Hors Groupe Total en euros Dettes fournisseurs , , , , , ,64 Total non échues 5 740, , , , , ,43 Total échues , , , , , ,21 Echues (0-30 jours) , , , , ,90 Echues (31-60 jours) , , , , , ,99 Echues > 61 jours , , , ,32 Les chiffres présentés dans le tableau ne comprennent pas les factures non parvenues

15 Frais de fonctionnement Les frais de fonctionnement du Groupement s élèvent à 24,249 millions d euros, à rapprocher d un budget de 24,707 millions d euros, soit une économie budgétaire de 0,458 million d euros. Gestion du Groupement L effectif à fin décembre 2010 était de 89 salariés et 2 détachés de banque. Il y a eu 4 embauches en 2010 ; le nombre de sortants est de 5, dont 2 départs à la retraite. Le montant de l intéressement brut 2010 est de ,37 euros. Plusieurs évènements internes ont été organisés pour le personnel, dont deux matinées d information réunissant l ensemble des collaborateurs. Le plan de formation a été établi autour des axes suivants : Bureautique : Formation proposée à l ensemble du personnel Anglais : Formation nécessaire aujourd hui pour la majorité du personnel (cours collectifs - téléphoniques) Communication Orale et écrite / PAO / Site Web Technique : SAS - JAVA - ORACLE - GLOBAL PLATFORM - Architectures mobiles - Architectures des SI - Audit - Contrôle Interne - PCA - Sécurité sans contact Management : Gestion de projets - Gestion des Hommes En conclusion Le lecteur de ce rapport aura forcément observé le contraste saisissant entre d une part les changements importants et les évolutions structurantes qui se profilent à l extérieur, et d autre part l intense activité déployée au quotidien dans le Groupement, pour faire fonctionner le système de paiement CB qui représente près du tiers des paiements par carte de la zone Euro. On peut en tirer immédiatement la conclusion suivante : une recomposition du paysage monétique européen est assez probable, à une échéance et sous une forme non encore prévisibles aujourd hui, ET le Groupement CB jouera forcément dans ce mouvement un rôle important. C est dans cette perspective, et avec le souci constant que le Groupement réponde bien aux attentes de ses Membres que j ai accompli mon mandat. Ce dernier n a pu être exercé qu avec le soutien des Membres Principaux et des Membres du Conseil de Direction. Je tiens à les remercier de leur confiance. Je ne peux pas oublier bien entendu, dans les remerciements qui servent de conclusion à ce rapport, l ensemble des collaborateurs du Groupement qui, par leur travail ont contribué à cette belle réalisation qu est le système CB. Jean-Marc Bornet Administrateur 15