⚖️ Les licences et agréments de paiement dans le monde

Le fait générateur : entrer en possession des fonds

Une licence de paiement est l'autorisation par laquelle une autorité publique admet qu'un acteur entre en possession de fonds appartenant à quelqu'un d'autre. Le fait générateur de l'agrément est cette détention. La technologie employée n'entre pas dans la qualification. Le régulateur poursuit deux objectifs. Il protège le client contre la faillite de l'intermédiaire qui détient son argent, et il protège le système contre le blanchiment et le financement du terrorisme. Les catégories d'agrément, les exigences de capital et les obligations de reporting découlent de ces deux objectifs, selon un ordre qui varie d'un pays à l'autre.

La qualification d'un projet d'encaissement repose d'abord sur un fait matériel, la durée pendant laquelle les fonds s'arrêtent sur un compte contrôlé par le prestataire. Celui qui se borne à router un message reste hors du champ dans la plupart des juridictions. Celui qui conserve un solde, même une nuit, y entre presque partout. Entre ces deux positions s'étend la zone grise des délais de reversement, où se concentrent les contentieux d'agrément.

Union européenne : EP, EME et le passeport

Le passeport européen désigne le mécanisme par lequel un agrément délivré par une seule autorité nationale vaut dans l'ensemble de l'Espace économique européen. Un agrément unique y ouvre trente marchés, en libre établissement comme en libre prestation de services. Deux statuts non bancaires en relèvent. La DSP2 crée l'établissement de paiement (EP), la DME2 l'établissement de monnaie électronique (EME). Une autorité nationale instruit la demande, délivre l'agrément et exerce ensuite la supervision. Aucun autre ensemble régional ne connaît ce mécanisme, qui commande la géographie réelle de l'industrie européenne du paiement.

Le passeport ouvre une concurrence entre régulateurs. Le demandeur choisit l'autorité auprès de laquelle il dépose son dossier, et l'agrément qu'elle délivre vaut ensuite partout. La Lituanie a construit sa position sur une décision d'infrastructure plutôt que sur une souplesse prudentielle. CENTROlink, ouvert par la Lietuvos bankas en 2016, donne aux EP et aux EME un accès direct au SEPA, sans banque sponsor. L'autorité qui délivre l'agrément exploite ainsi elle-même le rail auquel l'établissement se raccorde. Cent dix-neuf établissements y étaient en activité fin 2024. Ceux dont les opérations dépassaient 1 Md€ concentraient 92 % du chiffre d'affaires du secteur (Lietuvos bankas, 2024).

L'Irlande occupe l'autre pôle d'attraction du passeport. Elle cumule la langue anglaise et l'euro. La Central Bank of Ireland vise une phase d'évaluation de 90 jours ouvrables dans 90 % des cas. La lettre d'agrément définitive suit dans les dix jours ouvrés, après des réponses satisfaisantes à la lettre Minded to Authorise. Le même régulateur écrit qu'il faut souvent plus de douze mois aux candidats pour réunir l'ensemble des informations demandées. Les deux durées portent sur des périodes différentes, le délai réglementaire ne courant que sur un dossier complet.

• Agents et distributeurs : un EP distribue par des agents, un EME par des distributeurs, les uns et les autres déclarés auprès du régulateur national. C'est le socle juridique du banking-as-a-service européen, et la porte d'entrée la plus rapide pour un acteur qui ne veut pas porter l'agrément.
• Exemptions d'interprétation stricte : réseaux limités, agent commercial agissant pour une seule des deux parties, opérations intragroupe. Les régulateurs nationaux les surveillent et les requalifient.
• DORA (règlement (UE) 2022/2554) s'applique aux EME et EP depuis le 17 janvier 2025 : registre des prestataires informatiques, tests de résilience, déclaration d'incidents. À intégrer dès la demande d'agrément, pas après.
• MiCA, titres III et IV, encadre les jetons de monnaie électronique depuis le 30 juin 2024. L'Irlande a raccourci de dix-huit à douze mois la période transitoire, imposant l'agrément CASP au 29 décembre 2025.
• DSP3 et RSP : la Commission a présenté le 28 juin 2023 un paquet scindant l'agrément et la supervision (directive) des règles de conduite (règlement directement applicable). L'architecture EP/EME reste, la charge de conformité se déplace.

États-Unis : la licence État par État

Le régime américain du paiement non bancaire est organisé en deux étages superposés, sans équivalent fédéral de l'établissement de paiement européen. Un prestataire non bancaire qui déplace les fonds d'un tiers relève des deux étages à la fois. Au niveau fédéral, il procède à un enregistrement auprès du FinCEN comme money services business, assorti d'un programme de conformité au Bank Secrecy Act et d'obligations déclaratives. Au niveau des États, il obtient une licence d'exercice délivrée par le département bancaire de chaque État où résident ses clients. L'enregistrement fédéral ne remplace jamais la licence d'État.

La money transmitter license est cette autorisation d'exercice, délivrée État par État à qui transmet les fonds d'autrui. Elle forme la barrière à l'entrée du marché américain, chaque État fixant ses propres exigences de fonds propres, de cautionnement et d'investissements admissibles. L'instruction passe par le NMLS, guichet commun qui mutualise le dépôt des demandes sans mutualiser la décision. Cinquante décisions distinctes restent possibles sur un même dossier. Le délai se compte en trimestres. La couverture nationale se construit par vagues successives d'États plutôt qu'en une seule fois.

La Money Transmission Modernization Act est une loi modèle portée depuis 2021 par la Conference of State Bank Supervisors. Elle harmonise progressivement les régimes des États par des définitions communes, des exigences de fonds propres alignées et la reconnaissance mutuelle des examens. Trente-et-un États l'avaient adoptée en tout ou partie au 26 février 2026, la Louisiane rejoignant la liste dans l'année et la Virginie appliquant son texte au 1er juillet 2026 (CSBS, 2026). L'harmonisation progresse sans être achevée ni uniforme. Un calendrier de lancement produit doit intégrer ce décalage, l'adoption pouvant n'être que partielle dans un État donné.

Inde : PA-O, PA-P, PA-CB et le compte escrow

L'agrégateur de paiement est en Inde l'entité qui collecte les fonds des payeurs pour le compte de plusieurs marchands, puis les leur reverse. Il occupe le maillon juridiquement déterminant d'une chaîne qui va du marchand à la banque du payeur. Cette chaîne s'écrit marchand → agrégateur de paiement ou banque acquéreuse → PSP bank → NPCI → banque du payeur. Un marchand étranger n'y accède jamais en direct. Le statut de l'agrégateur a été refondu par les Reserve Bank of India (Regulation of Payment Aggregators) Directions, 2025, publiées le 15 septembre 2025, qui remplacent les lignes directrices de 2020. Le régime scinde désormais l'activité en trois catégories soumises à autorisation distincte.

• Fonds propres : ₹15 crore au dépôt de la demande, ₹25 crore au terme du troisième exercice, à maintenir ensuite. Les banques exercent l'activité d'agrégation sans autorisation distincte.
• Cantonnement : les sommes collectées pour le compte des marchands transitent par un *compte escrow ouvert auprès d'une Scheduled Commercial Bank en Inde*. Ce compte ne reçoit aucun autre flux, et les fonds propres de l'agrégateur n'y ont pas leur place.
• Diligence marchand : contrôle selon la Master Direction on KYC de 2016, consultation du registre central, vérifications de fond et surveillance des transactions ultérieures.
• Reporting : statistiques mensuelles à la RBI, attestation trimestrielle d'auditeur sur le fonctionnement de l'escrow, certificat annuel de fonds propres, rapport d'audit de cybersécurité.
• Calendrier de bascule : dépôt de la demande au plus tard le 31 décembre 2025, cessation de l'activité d'agrégation au 28 février 2026 pour les non-déposants.

Les délais de reversement sont normés. Cette normalisation distingue le régime indien d'un simple cantonnement. Sous les lignes directrices de 2020, les fonds collectés étaient créditables à l'escrow en Tp+0 ou Tp+1 selon le mode de collecte. Le règlement au marchand suivait ensuite un calendrier fonction de qui portait la livraison. Il intervenait en Ts+1 lorsque l'agrégateur répondait de la livraison, en Td+1 lorsque le marchand en répondait, et en Tr+1 lorsque les sommes étaient conservées jusqu'à l'expiration du délai de remboursement. Ce calendrier relève du régulateur. L'agrégateur ne l'arbitre pas, il l'exécute.

Asie du Sud-Est : MAS, BSP, SBV, Bank Indonesia

La réglementation du paiement en Asie du Sud-Est est exclusivement nationale, la coopération régionale prenant la forme de protocoles d'accord entre banques centrales. Chaque pays impose son opérateur national, son régime de licence et son standard d'API, souvent aussi son routage domestique. Les rails de détail restent pourtant homogènes dans leur principe. La Thaïlande a ouvert PromptPay en 2017, exploité par National ITMX sous mandat de la Bank of Thailand. Bank Indonesia a imposé QRIS en 2019 avec l'ASPI, mettant fin d'autorité à la guerre des QR privés. La Malaisie fait passer DuitNow et DuitNow QR par PayNet, et Singapour opère PayNow depuis 2017 sur FAST. L'ouverture d'un marchand se fait pays par pays, chaque raccordement supposant un dossier de licence et une intégration technique propres.

• Vérifier la licence, pas la marque régionale. L'entité singapourienne Grablink Pte. Ltd. détient la licence Major Payment Institution de la MAS ; la présence de la marque Grab sur les autres marchés repose sur des entités et des licences distinctes, à contrôler pays par pays.
• Un portefeuille n'est pas une banque. GCash, exploité par G-Xchange, Inc., est un émetteur de monnaie électronique supervisé par la BSP, sans statut bancaire : les soldes qui y dorment ne relèvent pas de l'assurance des dépôts philippine. Le balayage quotidien vers un compte bancaire est le réflexe correct. Maya se distingue. Le groupe porte deux agréments, Maya Philippines, Inc. pour les paiements et Maya Bank, Inc. pour la banque numérique.
• Le barème peut être administré. Bank Indonesia fixe le MDR QRIS par catégorie de marchand, le met à la charge du marchand et interdit de le répercuter sur le consommateur. Facturer un supplément QRIS est une infraction, pas une pratique commerciale. Vérifier que le prestataire ne le fait pas au nom du marchand.
• Le rail instantané ne connaît pas le chargeback. Sur PromptPay, BI-FAST, DuitNow, InstaPay ou NAPAS 247, le paiement est final et irrévocable. Un remboursement est un nouveau virement, à l'initiative du marchand, avec ses frais et son délai. Toute logique de litige se construit dans l'application, pas dans le rail.

Golfe, Égypte et Levant : SAMA, CBUAE, CBK, CBE

Les régimes de licence du Golfe, de l'Égypte et du Levant sont strictement nationaux. Aucun passeport n'y existe, ni au sein du Conseil de coopération du Golfe, ni entre le Golfe et l'Égypte ou le Levant. Chaque juridiction délivre ses propres agréments et exige le plus souvent une entité locale. Les catégories de services qu'elle définit ne se recouvrent pas d'un pays à l'autre. Un prestataire présent en Arabie saoudite et aux Émirats détient deux licences, obtenues auprès de deux régulateurs, avec deux jeux d'obligations de reporting. Cette duplication forme la première ligne du budget d'expansion régionale, et les plans d'entrée la sous-estiment.

Un trait d'organisation distingue la zone de l'Europe et de l'Amérique du Nord. La banque centrale est très souvent l'exploitant du rail autant que l'autorité d'agrément. Saudi Payments, qui opère mada, est une filiale de la SAMA, et Al Etihad Payments, qui opère Aani et Jaywan, une filiale à 100 % de la CBUAE. Au Qatar et à Oman, la banque centrale exploite directement les systèmes. La licence et le raccordement relèvent alors du même interlocuteur. Le calendrier s'en trouve rarement accéléré, et aucune stratégie de contournement n'est disponible, faute d'un exploitant alternatif auprès duquel se raccorder.

La distinction égyptienne PSO / PSP sépare l'exploitation d'un système de la prestation d'un service, sans équivalent direct dans le vocabulaire européen. Le Payment System Operator exploite un système de paiement. Le Payment Service Provider rend un service à des clients. Un même groupe peut relever des deux qualifications. Il dépose alors deux dossiers séparés. Le périmètre couvert est large, avec le dépôt et le retrait d'espèces sur compte de paiement, l'exécution d'opérations et transferts, l'émission d'instruments et de canaux d'acceptation électroniques. S'y ajoutent l'acceptation, l'envoi et la réception de remises en monnaie locale, et l'initiation d'ordres.

• Séquencer par marché, pas par région. L'Arabie saoudite et les Émirats portent la plus grande part du volume du Golfe, l'Égypte celle du volume hors Golfe. Les quatre petits marchés du CCG s'ouvrent plus vite via un acquéreur local déjà raccordé que via une licence propre.
• Vérifier le statut du partenaire sur le registre du régulateur, pas sur son site commercial. Plusieurs opérateurs de la zone ont changé de raison sociale, de statut ou de propriétaire récemment.
• Budgéter le reporting. Les obligations périodiques de la SAMA et de la CBUAE mobilisent une fonction conformité locale à temps plein bien avant que les volumes ne la financent.
• Le routage domestique s'impose. En Arabie saoudite, les transactions des boutiques en ligne établies dans le Royaume doivent être traitées via le système national selon les exigences de la SAMA. Une licence acquéreur européenne encaissera les cartes des touristes et manquera la quasi-totalité du volume local.

Afrique : CBN, Bank of Ghana, BCEAO, SARB

Les agréments de paiement africains sont délivrés à l'échelle nationale, à une exception près. Aucun passeport ne traverse le continent, ni à l'échelle de la CEDEAO, ni à celle de la SADC, ni à celle de la Communauté d'Afrique de l'Est. L'UEMOA fait exception, et seulement en son sein. Une instruction unique de la BCEAO y vaut pour huit pays. Ailleurs, un émetteur agréé par la Central Bank of Kenya n'a aucun droit d'exercer en Tanzanie ou en Ouganda. Le dossier se dépose auprès de chaque banque centrale, avec son texte de référence, son barème et son calendrier d'instruction.

• Kenya : le cadre repose sur le National Payment System Act de 2011, décliné par des règlements de 2014 qui organisent l'autorisation des prestataires et la surveillance des systèmes. La National Payments Strategy 2022-2025 de la CBK en fixe le cap.
• Afrique de l'Est : cinq marchés, cinq banques centrales, aucun agrément régional. Un émetteur de monnaie électronique kényan doit redéposer un dossier complet en Tanzanie et en Ouganda.
• Le risque réglementaire ne prend pas la forme d'un retrait de licence. En avril 2024, la CBN a interdit à OPay, PalmPay, Kuda et Moniepoint d'ouvrir de nouveaux comptes pendant un audit de leurs procédures KYC. La mesure a duré environ deux mois. Elle a gelé l'acquisition client de quatre acteurs simultanément.
• L'identité est nationale et non substituable : BVN au Nigéria, Ghana Card au Ghana, agréments par État en UEMOA. Aucun référentiel de connaissance client ne traverse une frontière. Le parcours d'entrée en relation se conçoit par pays, pas en variantes d'un parcours régional.

Cantonnement des fonds et localisation des données

Le cantonnement (safeguarding dans le vocabulaire anglo-saxon) est le dispositif qui isole les fonds de tiers du patrimoine du prestataire. Il se distingue du capital réglementaire, qui absorbe les pertes d'exploitation sans protéger l'argent des clients. Sa logique est identique partout. Les fonds des clients doivent rester hors d'atteinte en cas de défaillance de l'établissement. Ses modalités divergent en revanche d'une juridiction à l'autre, au point de commander l'architecture de trésorerie d'un groupe présent dans plusieurs pays.

L'Inde offre le cas le plus documenté de localisation obligatoire, parmi plusieurs régimes comparables. Plusieurs juridictions du Golfe exigent la résidence des données et l'hébergement des systèmes de traitement sur leur territoire, en plus de l'entité locale. L'Indonésie procède autrement. La contrainte porte sur le capital et sur la norme technique. Elle impose un actionnariat majoritairement indonésien pour un prestataire non bancaire, ainsi que l'interconnexion obligatoire au standard SNAP maintenu par l'ASPI. La logique est la même dans les deux cas, le régulateur cherchant à pouvoir saisir, auditer et arrêter sans passer par une juridiction étrangère.

• Cartographier les flux avant de choisir le prestataire : lieu de collecte, lieu de stockage, lieu de traitement, lieu de sauvegarde. Le quatrième est celui qu'on oublie, et c'est souvent celui qui sort du territoire.
• Distinguer localisation et souveraineté : un centre de données situé dans le pays mais exploité par une entité étrangère satisfait certains régimes et pas d'autres. La question se pose texte par texte.
• Vérifier la tokenisation et l'authentification là où elles sont opposables : en Inde, la tokenisation des données carte et l'authentification à deux facteurs dont un facteur dynamique s'ajoutent à PCI DSS. Elles ne s'y substituent pas.
• Traiter le cantonnement comme un sujet de trésorerie, pas de conformité : un compte dédié non rémunéré, une obligation de placement en titres d'État courts et un délai de reversement normé modifient le besoin en fonds de roulement d'un groupe multi-pays.

Les délais réels d'agrément, et ce qui les allonge

Le délai d'agrément se décompose en deux périodes que les textes traitent différemment, la préparation du dossier et son instruction par l'autorité. Les textes annoncent des délais courts, la pratique en produit d'autres. L'écart tient à une règle constante, et non à un dysfonctionnement des autorités. Le délai réglementaire ne commence à courir qu'à réception d'un dossier complet. L'autorité apprécie elle-même le caractère complet du dossier. Un demandeur peut rester dix-huit mois en amont d'une horloge de trois mois, sans jamais être en retard au sens du droit. Un plan de lancement budgète la phase amont, non la phase d'instruction.

• Ouvrir le dossier bancaire le même jour que le dossier réglementaire. Les deux instructions sont indépendantes et de durée comparable. Les séquencer double le délai.
• Vérifier la date de la période transitoire, pas seulement la date du texte. L'Égypte a ouvert douze mois aux acteurs en place à compter de juin 2025 ; l'UEMOA a prorogé la sienne au 1er mai 2025 ; l'Inde a fixé la cessation d'activité au 28 février 2026. Ces dates éteignent des droits acquis.
• Prévoir le cas du refus. Le projet Synch Payments, constitué en 2020 par AIB, Bank of Ireland, Permanent TSB et KBC Ireland pour lancer un service compte-à-compte, a été abandonné en novembre 2023 après un blocage sur ses agréments AISP et PISP auprès de la Central Bank of Ireland. Un marché national est resté sans solution de paiement mobile bancaire.
• Ne pas confondre agrément et accès. Au Canada, l'enregistrement RPAA conditionne l'accès aux rails de Paiements Canada ; en Lituanie, l'accès direct au SEPA passe par CENTROlink ; au Nigéria, aucun chemin ne contourne NIBSS. La licence ouvre un droit, pas une connexion.
• Séquencer les États-Unis par volume de clientèle, pas par ordre alphabétique. La couverture nationale se construit en plusieurs vagues, et la Money Transmission Modernization Act ne rend pas encore les instructions interchangeables.