Paiements en ligne

Le choix des méthodes de paiement à proposer semble simple. En pratique, c’est l’une des décisions que la plupart des commerçants prennent mal, car les données sur lesquelles ils s’appuient sont structurellement biaisées. Plus précisément, un PSP gagne de l’argent différemment selon les méthodes de paiement. Les transactions par carte traitées par leur infrastructure d’acquisition génèrent des revenus d’interchange et de frais de système en plus de leur marge de traitement. Les méthodes de paiement locales telles que iDEAL, Bancontact, SOFORT ou Swish sont souvent acheminées par des connexions tierces où la marge du PSP est plus faible. Cela ne signifie pas que votre prestataire de services de paiement vous induira activement en erreur, mais cela signifie que vous devez valider ses recommandations de manière indépendante.

Le bon point de départ est votre marché cible, et non le catalogue de produits de votre fournisseur. Les données relatives aux préférences de paiement varient considérablement d’un pays à l’autre. Aux Pays-Bas, iDEAL représente la majorité des transactions en ligne. En Allemagne, le prélèvement SEPA et le paiement sur facture occupent une place importante aux côtés des cartes. Dans les pays nordiques, les portefeuilles locaux et les virements bancaires dominent des segments que les réseaux de cartes revendiqueraient sur d’autres marchés. Proposer uniquement des cartes sur ces marchés n’est pas une décision neutre. Il s’agit d’un problème de conversion, et le coût de sa résolution ultérieure, en termes de pertes de revenus déjà réalisées par les concurrents locaux, est réel.

Au-delà de la couverture du marché, modélisez soigneusement la structure des coûts de chaque méthode de paiement. Les cartes sont soumises à des frais d’interchange (0,2 % pour les cartes de débit et 0,3 % pour les cartes de crédit au sein de l’UE dans le cadre du RIF, mais beaucoup plus élevés pour les cartes commerciales et les émetteurs non européens), à des frais de système et à la marge des prestataires de services de paiement. Les autres méthodes de paiement sont souvent assorties d’une commission forfaitaire par transaction qui est moins chère que les cartes au-delà d’un certain montant moyen de commande et plus chère en deçà. Les deux côtés de cette équation sont importants. Une méthode de paiement qui améliore la conversion mais coûte plus cher par transaction doit être évaluée en fonction de l’impact sur le revenu net, et non du seul taux de conversion.

La surtaxe sur les transactions mérite une attention particulière. Elle est légale dans certaines juridictions et interdite dans d’autres. Au sein de l’UE, la surtaxe sur les cartes de consommateurs n’est généralement pas autorisée dans le cadre de la DSP2. Pour les cartes commerciales et certains modes de paiement alternatifs, les règles diffèrent selon les marchés. Si vous envisagez de facturer des frais supplémentaires pour compenser les coûts élevés des méthodes de paiement, demandez un avis juridique pour chaque marché avant de les mettre en œuvre. Dans la plupart des cas, le risque de non-conformité et d’atteinte à la réputation l’emporte sur les économies réalisées.

Le choix des méthodes de paiement pour les ventes transfrontalières est un domaine qui est souvent négligé. Si vous vendez sur des marchés sans acquéreur local, vos taux d’autorisation sur les transactions par carte seront plus faibles et vos coûts plus élevés que ceux d’un concurrent présent localement. L’ajout de méthodes de paiement locales qui ne dépendent pas de l’acquisition de cartes, telles que les virements bancaires ou les portefeuilles locaux, peut améliorer la conversion et réduire les coûts simultanément. Il ne s’agit pas d’une optimisation de niche. Il s’agit d’un avantage structurel que la plupart des commerçants négligent pendant des années. Pour une vue détaillée des méthodes de paiement disponibles par marché, voir Modes de paiement.

La gestion de la fraude est l’un des domaines où les intérêts du commerçant et ceux du PSP sont le plus visiblement désalignés. Votre PSP a intérêt à minimiser sa propre exposition aux pertes liées à la fraude et aux rétrocessions. Ce n’est pas la même chose que de minimiser votre taux de fraude à un taux d’approbation acceptable. Des règles de fraude trop agressives protègent le ratio de rétrofacturation du PSP tout en générant des faux positifs qui refusent des clients légitimes. Vous absorbez la perte de revenus. Ils absorbent moins de risques.

Le bon calibrage est votre taux de fraude par rapport à votre taux de faux positifs, évalué dans le contexte de votre activité. Un taux de fraude de 0,05 % semble excellent jusqu’à ce que vous réalisiez que votre taux de faux positifs est de 3 %, ce qui signifie que vous refusez 60 transactions légitimes pour chaque transaction frauduleuse que vous bloquez. Les revenus détruits par les faux positifs sont presque toujours plus importants que les pertes dues à la fraude qu’ils permettent d’éviter, en particulier sur les marchés dotés d’une réglementation stricte en matière de protection des consommateurs, où la responsabilité en matière de rétrofacturation est déjà plafonnée.

Comprenez exactement comment fonctionne l’outil de lutte contre la fraude de votre PSP. La plupart des PSP proposent un système basé sur des règles, un modèle d’apprentissage automatique ou une combinaison des deux. Les systèmes basés sur des règles sont transparents et vérifiables, mais statiques. Ils ne s’adaptent pas à l’évolution des schémas de fraude et appliquent une logique générale qui ne tient pas compte du contexte spécifique du client. Les modèles d’apprentissage automatique s’adaptent de manière plus dynamique mais sont souvent des boîtes noires. Demandez à votre PSP une ventilation des motifs de refus par règle de fraude ou par résultat de modèle. S’il ne peut pas le faire, vous ne pouvez pas l’optimiser.

3DS et SCA ajoutent une couche d’authentification qui transfère la responsabilité de la rétrofacturation à l’émetteur pour les transactions authentifiées. Il s’agit d’un élément précieux, mais la mise en œuvre est très nuancée. L’application universelle du 3DS augmente les frictions et réduit la conversion. La bonne stratégie consiste à utiliser les exemptions SCA, en particulier les exemptions TRA (Transaction Risk Analysis), de manière sélective pour les transactions à faible risque, lorsque l’avantage en termes de conversion l’emporte sur le transfert de responsabilité. L’éligibilité à l’exemption TRA est liée à vos seuils de taux de fraude (moins de 0,13 % pour les transactions jusqu’à 100 €, moins de 0,06 % pour les transactions jusqu’à 250 €, et moins de 0,01 % pour les transactions jusqu’à 500 € selon les règles de la DSP2). Si votre PSP gère votre stratégie d’exemption TRA, vérifiez qu’il surveille effectivement vos taux de fraude par rapport à ces seuils par acquéreur, et qu’il ne se contente pas d’appliquer une politique d’exemption par défaut à l’ensemble de votre volume de transactions. Les erreurs de configuration sont fréquentes et les conséquences vont de l’annulation de vos exemptions par l’émetteur à l’exposition à la réglementation.

La gestion des rétrocessions est une discipline distincte de la prévention de la fraude. Les rétrocessions arrivent après la fin de la transaction, souvent des semaines plus tard, et leur gestion efficace nécessite une bonne documentation de la transaction, des processus de réponse rapide et une compréhension des codes de motif de contestation spécifiques. Certaines rétrocessions sont de véritables fraudes. D’autres sont des fraudes amicales, lorsqu’un client conteste une transaction légitime. D’autres encore sont des erreurs de traitement. Chaque catégorie nécessite une réponse différente. Mettre toutes les rétrocessions dans le même sac et les traiter comme un seul problème opérationnel est coûteux. Le suivi des codes de motif de rétrofacturation au fil du temps vous donne également un signal d’alerte précoce lorsqu’un vecteur de fraude émerge avant qu’il n’atteigne le seuil qui déclenche les programmes de surveillance des systèmes.

Un risque souvent négligé : les programmes de surveillance des systèmes. Visa et Mastercard gèrent toutes deux des programmes qui contrôlent les taux de fraude et de rétrofacturation des commerçants. Le dépassement des seuils, qui sont plus bas que la plupart des commerçants ne le pensent, entraîne une augmentation des frais et, dans les cas les plus graves, la perte des droits d’acceptation des cartes. Votre PSP devrait signaler votre statut par rapport à ces programmes de manière proactive. Si ce n’est pas le cas, demandez un rapport mensuel indiquant vos ratios de rétrofacturation et de fraude par rapport aux seuils du programme, par BIN de l’acquéreur.

L’orchestration des paiements est un terme qui couvre un large éventail de capacités, de la redondance de base du PSP au routage sophistiqué en temps réel entre plusieurs acquéreurs, outils de fraude et méthodes de paiement sur une seule API. Comprendre ce dont vous avez réellement besoin, et ce qu’on vous vend, demande une certaine précision.

Dans sa forme la plus fondamentale, l’orchestration des paiements répond à un problème unique : la dépendance à l’égard d’un seul prestataire de paiement crée un risque de concentration et vous prive de la possibilité d’optimiser l’acheminement. Si votre prestataire de services de paiement subit une panne, vous cessez de recevoir des paiements. Si ses taux d’autorisation sont médiocres pour un type de carte ou une zone géographique spécifique, vous n’avez pas d’alternative. Si sa tarification n’est pas compétitive, les coûts de changement sont élevés car l’ensemble de votre système de paiement est intégré dans son infrastructure. L’orchestration résout ces trois problèmes en isolant votre logique de paiement de celle d’un seul fournisseur.

La question pratique est de savoir à quel stade cet investissement se justifie. Pour les commerçants dont le volume annuel de cartes est inférieur à environ 20 millions d’euros, une configuration bien négociée d’un seul fournisseur de services de paiement avec une redondance appropriée intégrée dans le contrat est souvent suffisante. L’avantage supplémentaire en termes de taux d’autorisation du routage multi-acquéreurs pour un faible volume ne justifie généralement pas l’intégration et les frais généraux d’exploitation d’une couche d’orchestration complète. Pour les commerçants qui dépassent ce seuil, en particulier ceux qui opèrent sur plusieurs marchés avec différentes méthodes de paiement, le calcul change de manière significative.

Le routage en cascade, parfois appelé routage de basculement, est la forme la plus élémentaire d’orchestration. Lorsqu’une transaction est refusée par l’acquéreur principal, elle est automatiquement retentée auprès d’un acquéreur secondaire. Cela permet de récupérer un sous-ensemble de refus qui sont spécifiques à l’acquéreur plutôt qu’à l’émetteur. Le taux de récupération varie, mais pour les commerçants qui traitent sur des marchés où la qualité de l’infrastructure de l’acquéreur varie, ou pour les transactions transfrontalières où l’acquisition locale n’est pas disponible, le routage en cascade peut produire des améliorations significatives du taux d’autorisation à un coût de mise en œuvre relativement faible.

Le routage intelligent, la version la plus sophistiquée, utilise des données au niveau de la transaction telles que le BIN de la carte, le pays d’émission, le montant de la transaction et l’historique des autorisations pour acheminer chaque transaction vers l’acquéreur le plus susceptible de l’approuver, en temps réel. Cela nécessite soit une plateforme d’orchestration dédiée, soit un PSP doté d’une véritable capacité de routage multi-acquéreurs, ce qui est plus rare que ne le suggère le langage marketing. De nombreux PSP se décrivent comme des plateformes d’orchestration alors qu’ils routent exclusivement via leur propre infrastructure d’acquisition. Posez des questions précises : combien d’acquéreurs indépendants la plateforme achemine-t-elle, pouvez-vous consulter les données relatives au taux d’autorisation au niveau de l’acquéreur par gamme de BIN, et la logique d’acheminement optimise-t-elle votre taux d’autorisation ou la marge de la plateforme ?

L’optimisation des coûts grâce à l’orchestration est le deuxième avantage majeur. Au-delà de l’amélioration du taux d’autorisation, le routage intelligent peut diriger les transactions vers l’acquéreur le moins cher pour un type de carte donné, ce qui peut entraîner une réduction significative des coûts de traitement pour les types de cartes à fort volume. Cela nécessite une modélisation détaillée des coûts entre les barèmes de frais de l’acquéreur et les structures de frais du système, mais pour les commerçants dont le volume le justifie, les économies sont importantes.

Une réalité commerciale mérite d’être énoncée clairement : si votre PSP actuel est également votre fournisseur d’orchestration, vous devez être sceptique quant à la neutralité réelle de son routage. Un PSP qui réalise une marge d’acquisition a intérêt à acheminer les données via sa propre infrastructure d’acquisition plutôt que par l’intermédiaire d’un acquéreur externe moins cher ou plus performant. Une véritable indépendance de l’orchestration nécessite soit une couche d’orchestration dédiée et agnostique à l’acquisition, soit un engagement contractuel de la part de votre PSP à fournir un routage véritablement neutre, avec des données vérifiables pour le prouver.

L’octroi de licences et la conformité dans le domaine des paiements en ligne est un domaine où les conséquences d’une erreur sont graves, où les règles changent régulièrement et où les conseils des prestataires de services de paiement ne sont pas toujours complets ou désintéressés. Votre prestataire de services de paiement a intérêt à ce que vous continuiez à traiter vos transactions par l’intermédiaire de son infrastructure. Si un problème de licence ou de conformité vous oblige à changer de modèle ou à trouver une autre infrastructure, il ne le fera peut-être pas de manière proactive.

La conformité à la norme PCI DSS constitue la base de référence. La norme de sécurité des données de l’industrie des cartes de paiement s’applique à toute entreprise qui accepte, traite, stocke ou transmet des données de cartes. Le niveau de conformité applicable dépend de votre volume annuel de transactions par carte et de la manière dont les données de carte circulent dans vos systèmes. La plupart des commerçants qui traitent par l’intermédiaire d’une page de paiement hébergée par un PSP ou d’un flux de paiement entièrement externalisé peuvent prétendre au SAQ A, le questionnaire d’auto-évaluation le plus simple, parce qu’ils ne touchent jamais directement aux données des cartes. Mais si vous utilisez un formulaire de paiement personnalisé dans lequel les données de la carte sont saisies sur votre propre domaine, même brièvement avant d’être transmises à l’API de votre PSP, votre champ d’application s’élargit considérablement et vos obligations en matière de conformité augmentent. Il s’agit d’une question d’architecture technique qui a de sérieuses implications en matière de conformité et qui doit être évaluée de manière explicite plutôt que supposée.

La tokenisation, qu’il s’agisse de la tokenisation du réseau ou de la tokenisation au niveau du PSP, réduit votre champ d’application PCI car les données de la carte sont remplacées par un jeton avant qu’elles n’entrent dans vos systèmes. Il s’agit de l’un des avantages pratiques de la tokenisation en termes de conformité, au même titre que l’augmentation du taux d’autorisation évoquée plus haut.

La DSP2 et l’authentification forte du client représentent le changement réglementaire le plus important pour les paiements en ligne européens depuis une décennie. L’ACS impose l’authentification multifactorielle pour les transactions électroniques initiées par les clients au sein de l’UE et de l’EEE, avec des exemptions spécifiques qui doivent être correctement configurées pour s’appliquer. Pour les commerçants, cela signifie que le système 3DS2 doit être correctement mis en œuvre, que les exemptions doivent être demandées par la voie technique correcte et que le cadre de responsabilité qui accompagne chaque exemption doit être compris. Une exemption demandée de manière incorrecte ne vous protège pas de la responsabilité en matière de rétrofacturation. Une exemption qui n’est pas invoquée lorsqu’elle pourrait l’être crée des frictions inutiles dans votre caisse.

La dimension « place de marché » de la DSP2 est plus complexe et plus conséquente que ne le reconnaissent actuellement la plupart des commerçants qui exploitent des modèles de place de marché ou de plateforme. La DSP2 a introduit des restrictions à l’exemption d' »agent commercial » sur laquelle de nombreuses places de marché s’appuyaient historiquement pour éviter d’avoir à obtenir une licence d’établissement de paiement. Si votre modèle commercial implique la collecte de paiements de clients pour le compte de vendeurs tiers, la détention de fonds avant décaissement ou la compensation de paiements entre plusieurs parties, il se peut que vous opériez dans un espace qui nécessite une licence d’établissement de paiement en vertu de la DSP2. Les seuils et les conditions sont spécifiques et dépendent des faits, mais les conséquences d’une activité sans la licence requise, y compris les mesures réglementaires, les amendes et la suspension potentielle du traitement des paiements, font de cette question une question à laquelle il convient de répondre par un conseil juridique qualifié plutôt que de la laisser à l’état de supposition.

Le GDPR recoupe les données de paiement d’une manière qui n’est pas toujours évidente. Les données de transaction sont des données personnelles. Les données comportementales relatives aux paiements, l’historique des achats et les références de paiement enregistrées entrent toutes dans le champ d’application du règlement. Si votre PSP fournit des services d’analyse, d’évaluation de la fraude ou de données comportementales qui impliquent le traitement de données de transaction à travers leur base de marchands, les accords de partage de données et les mécanismes de consentement nécessitent un examen minutieux. Cela vaut en particulier pour l’évaluation de nouveaux fournisseurs de services de paiement ou d’outils de lutte contre la fraude fondés sur des modèles de données de consortium, dans lesquels les données de transaction de vos clients contribuent à un ensemble plus large de données provenant des clients d’autres commerçants et sont alimentées par ces données.