BANKING AS A SERVICE: funzionalità , normativa e rischi

Di Michele Trifiletti – Senior Officer and MLRO

Profilo ORCID autore (identificativo internazionale dei contributori scientifici e professionali)

 

Il Banking as a Service (BaaS) è un modello di business in cui banche o istituti finanziari autorizzati concedono l’accesso alle proprie funzionalità  e infrastrutture bancarie a terze parti (solitamente aziende non bancarie, come fintech, startup o grandi brand) tramite API (Application Programming Interfaces).

In pratica, le banche “aprono” i loro sistemi e permettono ad altre aziende di integrare servizi finanziari direttamente nelle proprie piattaforme o applicazioni, senza che queste ultime debbano ottenere una licenza bancaria completa o costruire da zero l’intera infrastruttura tecnologica e normativa necessaria.

Possiamo vederlo come un modello “a strati”:

1. La banca licenziata (Provider BaaS): Fornisce l’infrastruttura regolamentata e le API.
2. L’azienda cliente (Cliente BaaS): Utilizza le API per offrire servizi finanziari ai propri clienti finali.
3. Il cliente finale: Utilizza i servizi finanziari integrati nell’app o piattaforma dell’azienda cliente.

Attraverso le API BaaS, un’azienda cliente può offrire una vasta gamma di servizi finanziari, tra cui:

1. Servizi di Pagamento: Elaborazione di pagamenti, bonifici SEPA, pagamenti istantanei, addebiti diretti.
2. Apertura e Gestione Conti: Creazione di conti correnti con IBAN (spesso conti virtuali collegati a un conto “master” della banca), gestione saldi e movimenti.
3. Emissione di Carte: Emissione di carte di debito, credito o prepagate (sia fisiche che virtuali) personalizzate con il brand dell’azienda cliente.
4. Verifica dell’Identità  (KYC/AML): Integrazione di processi per la verifica dell’identità  dei clienti e l’antiriciclaggio, sfruttando le procedure già  in uso dalla banca provider.
5. Servizi di Credito/Finanziamento: Alcuni provider BaaS offrono API per integrare soluzioni di prestito o “Buy Now Pay Later” (BNPL).
6. Servizi di Cambio Valuta (FX): Possibilità  di effettuare transazioni in diverse valute.
7. Aggregazione Dati: Accesso (con consenso del cliente) a informazioni aggregate sui conti detenuti presso altre banche (in linea con la PSD2).

L’obiettivo è permettere a qualsiasi azienda di “incorporare” la finanza (embedded finance) nella propria offerta principale, migliorando l’esperienza utente e creando nuove fonti di ricavo.

La normativa chiave che ha abilitato e regola il BaaS, soprattutto in Europa, è la Direttiva sui Servizi di Pagamento 2 (PSD2). Questa direttiva ha introdotto il concetto di “Open Banking”, obbligando le banche a fornire accesso ai dati dei conti (con il consenso del cliente) e a permettere l’iniziazione di pagamenti tramite API sicure a terze parti autorizzate (TPP – Third Party Providers).

I TPP si dividono principalmente in:

• AISP (Account Information Service Provider): Fornitori di servizi di informazione sui conti.
• PISP (Payment Initiation Service Provider): Fornitori di servizi di disposizione di ordini di pagamento.

Sebbene la PSD2 riguardi principalmente pagamenti e informazioni sui conti, ha creato il contesto tecnologico e normativo per modelli più ampi come il BaaS.

Altre normative rilevanti includono:

• Regolamento Generale sulla Protezione dei Dati (GDPR): Essenziale per la gestione dei dati personali dei clienti.
• Normative Antiriciclaggio (AML) e Conosci il Tuo Cliente (KYC): La banca provider BaaS è responsabile della conformità  normativa primaria, ma l’azienda cliente deve assicurarsi che i processi implementati rispettino queste regole.
• Normative Nazionali: Le autorità  di vigilanza nazionali (come la Banca d’Italia e la CONSOB in Italia) supervisionano le banche licenziate e il mercato. I contratti tra provider BaaS e cliente BaaS devono definire chiaramente le responsabilità  normative.

Il modello BaaS, pur offrendo grandi opportunità , comporta diversi rischi sia per il provider che per l’azienda cliente:

1. Rischio Normativo e di Conformità : La responsabilità  ultima della conformità  (licenza bancaria, AML/KYC, salvaguardia fondi) ricade sul provider BaaS, ma un’implementazione errata da parte del cliente o lacune nei controlli possono portare a violazioni. La complessità  normativa richiede una chiara definizione delle responsabilità  contrattuali.
2. Rischio Operativo: Dipendenza dall’infrastruttura tecnologica del provider BaaS. Malfunzionamenti delle API, downtime dei sistemi o errori nell’elaborazione possono causare interruzioni del servizio per i clienti finali, con impatti negativi sull’azienda cliente.
3. Rischio di Cybersecurity: Le API sono potenziali punti di ingresso per attacchi informatici. Violazioni dei dati, accessi non autorizzati o frodi possono verificarsi se le misure di sicurezza non sono adeguate sia lato provider che lato cliente.
4. Rischio Reputazionale: Problemi operativi, di sicurezza o di conformità  del provider BaaS possono danneggiare la reputazione dell’azienda cliente che offre i servizi finanziari. Viceversa, comportamenti scorretti dell’azienda cliente possono ledere la reputazione della banca provider.
5. Rischio di Terza Parte (Vendor Risk): L’azienda cliente si affida pesantemente a un fornitore esterno (il provider BaaS). È fondamentale una rigorosa due diligence sulla stabilità  finanziaria, sulla sicurezza e sulla conformità  del provider.
6. Rischio Finanziario: Insolvenza del provider BaaS o problemi nella gestione dei fondi dei clienti finali. Se vengono offerti servizi di credito, emerge anche il rischio di credito.
7. Rischio di Scalabilità : L’infrastruttura del provider BaaS potrebbe non essere in grado di supportare la crescita esponenziale dell’azienda cliente.

In sintesi, il BaaS è un potente abilitatore di innovazione finanziaria che permette a molte aziende di offrire servizi bancari integrati. Tuttavia, richiede una gestione attenta della tecnologia, della conformità  normativa e dei rischi operativi e reputazionali attraverso una solida partnership tra la banca provider e l’azienda cliente.

 

---

Le informazioni contenute in questo sito web e nella rivista "Magistra Banca e Finanza" sono fornite solo a scopo informativo e non possono essere ritenute sostitutive di una consulenza legale. Nessun destinatario del contenuto di questo sito, cliente o visitatore, dovrebbe agire o astenersi dall'agire sulla base di qualsiasi contenuto incluso in questo sito senza richiedere una appropriata consulenza legale professionale, da un avvocato autorizzato, con studio dei fatti e delle circostanze del proprio specifico caso legale.