Réglementation à venir de la Loi sur les activités de paiements de détail—Mises à jour de la Banque du Canada

Comme nous l'avons souligné dans notre mise à jour trimestrielle sur la fintech en 2023, un développement significatif dans l'industrie canadienne des paiements de détail est attendu cette année—à savoir, la mise en œuvre d'un nouveau cadre réglementaire en vertu de la Loi sur les activités de paiements de détail (LAPD) qui affectera tous les fournisseurs de services de paiement de détail (FSP) opérant au Canada.

En novembre 2023, la LAPD a été mise en œuvre avec la publication des Règlements finaux sur les activités de paiements de détail (Règlements).

Plus récemment, la Banque du Canada (la Banque) a publié des lignes directrices de supervision provisoires pour aider les FSP à comprendre leurs obligations concernant les normes et pratiques dans les documents provisoires suivants (dont les copies peuvent être trouvées ici), dont les projets sont ouverts aux commentaires publics jusqu'au 21 mai 2024 :

• risque opérationnel et réponse aux incidents ;
• notification d'incident ;
• protection des fonds des utilisateurs finaux ; et
• avis de changement significatif ou nouvelle activité.

Contexte

La Banque sera responsable de la supervision des FSP dans le but de renforcer la confiance du public dans la sécurité et la fiabilité des services des FSP tout en protégeant les utilisateurs finaux contre certains risques. Les individus et entités qui offrent certaines fonctions de paiement peuvent être soumis à la LAPD et aux Règlements, nécessitant ainsi l'enregistrement auprès de la Banque. Cette approche proactive vise à atténuer les risques opérationnels et à protéger les fonds des utilisateurs finaux.

Une ligne directrice publiée par la Banque (la Ligne directrice) est destinée à aider les individus et entités à déterminer s'ils sont soumis à la LAPD et s'ils doivent s'enregistrer auprès de la Banque.

Ce billet de blog sera le premier d'une série de publications ultérieures qui suivront le développement de la LAPD, ses règlements et toute autre orientation de la Banque. Ce qui suit est un résumé du test en quatre étapes de la Ligne directrice utilisé pour évaluer si un fournisseur de services est un FSP soumis à la LAPD et à ses règlements. Une fois cette détermination faite, la deuxième partie du billet de blog décrit les exigences qui doivent être respectées par ces FSP.

Qui doit s'enregistrer auprès de la Banque du Canada ?

Pour déterminer si l'enregistrement est nécessaire, considérez le test d'application en quatre étapes décrit par la Banque. Si vous êtes une entité non exclue de la LAPD, effectuez une ou plusieurs des cinq fonctions de paiement spécifiées liées aux transferts de fonds électroniques (TFE), avec un lieu d'affaires ou fournissant des services au Canada, l'enregistrement est requis. Même les FSP étrangers, qui sont soumis à la LAPD, indépendamment de leur statut d'incorporation ou d'enregistrement auprès de FINTRAC, doivent s'enregistrer auprès de la Banque.

Le test en quatre étapes :

1. Êtes-vous un fournisseur de services de paiement ? Oui—passez à l'étape #2 ; Non—pas besoin de s'enregistrer.
   
   La LAPD définit un FSP comme « un individu ou une entité qui effectue des fonctions de paiement en tant que service ou activité commerciale qui n'est pas accessoire à un autre service ou activité commerciale. » Si votre entreprise fournit l'une des cinq fonctions de paiement telles que (1) fournir/maintenir des comptes de paiement, (2) détenir des fonds, (3) initier des TFE, (4) autoriser/transmettre/recevoir des instructions de TFE, et (5) fournir des services de compensation/règlement, vous êtes probablement un fournisseur de services de paiement.
   
   La Ligne directrice note qu'une entité n'est probablement pas un FSP si la fonction de paiement est effectuée pour soutenir directement un service ou une activité commerciale non liée au paiement. En d'autres termes, la fonction de paiement fournie est « accessoire » à votre activité principale. La Ligne directrice fournit plus d'exemples détaillés et d'explications sur les activités qui constituent des fonctions de paiement.
2. Effectuez-vous une activité de paiement de détail ? Oui—passez à l'étape #3 ; Non—pas besoin de s'enregistrer.
   
   Une activité de paiement de détail est une fonction de paiement effectuée en relation avec un TFE qui est effectué en monnaie canadienne ou d'un autre pays (à l'exclusion des monnaies numériques). L'article 2 de la LAPD définit un TFE comme « un placement, transfert ou retrait de fonds par voie électronique qui est initié par ou au nom d'un individu ou d'une entité. » Si votre service de paiement implique le transfert d'argent entre un payeur et un bénéficiaire par tout moyen électronique, vous effectuez probablement une activité de paiement de détail.
3. Où est votre lieu d'affaires ?
   
   Si vous effectuez votre activité de paiement de détail dans un lieu d'affaires au Canada, effectuez des activités de paiement de détail pour des utilisateurs finaux canadiens ou prévoyez étendre vos activités au Canada, alors vous êtes probablement inclus dans le champ géographique des articles 4 et 5 de la LAPD.
4. Êtes-vous ou vos activités exclues de la LAPD ?
   
   La LAPD comporte des exclusions basées sur les entités et les activités qui excluent certains FSP effectuant des activités de paiement de détail. Les Lignes directrices fournissent des exemples plus détaillés des exclusions, mais généralement, les entités telles que les banques des annexes I, II, III, les banques étrangères autorisées, les compagnies d'assurance, les institutions financières réglementées au niveau provincial, y compris les coopératives de crédit, sont exclues de la LAPD. Les activités qui posent des risques limités pour les utilisateurs finaux et les activités qui sont prudemment réglementées ou non considérées comme des paiements de détail sont également exclues de la LAPD. Des exemples de ces transactions incluent les transactions utilisant des guichets automatiques bancaires, les transactions internes entre entités affiliées et les transactions de valeurs mobilières effectuées par un individu ou une entité qui est réglementée ou exemptée de réglementation en vertu de la législation canadienne sur les valeurs mobilières.

Quelles sont les prochaines étapes pour les FSP

Si, sur la base du test ci-dessus, vous arrivez à la conclusion que vous êtes un FSP, les Règlements auront presque certainement un impact sur vos pratiques commerciales en introduisant certaines exigences de conformité opérationnelle et réglementaire requises.

Exigence d'enregistrement des FSP

L'exigence pour les FSP de s'enregistrer auprès de la Banque est fondamentale pour l'exercice par la Banque de ce rôle de supervision et de réglementation. La LAPD inclut une période de transition pour que les FSP demandent l'enregistrement et pour que la Banque examine les demandes. La période de transition commencera le 1er novembre 2024 et se poursuivra jusqu'au 7 septembre 2025. Les demandes d'enregistrement en vertu de la LAPD doivent être faites entre le 1er novembre 2024 et le 15 novembre 2024. Les FSP fournissant actuellement des services de paiement de détail peuvent continuer à fournir des services pendant la période de transition, mais uniquement s'ils ont soumis une demande pendant cette fenêtre de demande de 15 jours.

Les individus ou entités qui souhaitent commencer à opérer en tant que FSP après la fenêtre de demande de 15 jours mais n'ont pas soumis de demande pendant cette période pourront toujours demander à s'enregistrer auprès de la Banque mais seront soumis à des retards potentiels dans le début de leurs activités de paiement de détail, car la demande d'enregistrement doit être soumise au moins 60 jours avant le début des activités de paiement de détail. Les entités qui opèrent en tant que FSP pendant cette période de transition sans soumettre leur demande d'enregistrement seront en contravention de l'article 104 de la LAPD et peuvent être sujettes à un avis de violation et/ou à une pénalité monétaire.

Supervision de la Banque et exigences de rapport des FSP

Pour que la Banque ait une surveillance réglementaire, les FSP devront faire rapport à la Banque par plusieurs canaux. Cela inclut le dépôt d'un rapport annuel et le dépôt de rapports d'incident/changement significatif, le cas échéant. La LAPD donne également à la Banque l'autorité de demander des informations à un FSP concernant sa conformité au régime de gestion des risques ; à la réception de cette demande d'information, les FSP auront une fenêtre de 15 jours pour répondre, sauf s'ils ont des raisons de croire que les informations demandées auront un impact négatif significatif sur les utilisateurs finaux ou d'autres FSP.

Normes pour la gestion des risques opérationnels

Le 8 septembre 2025, l'exigence pour la Banque d'enregistrer les FSP et de publier un registre des FSP sera en vigueur, ainsi que les sections restantes de la LAPD et des Règlements concernant les risques opérationnels et la protection des fonds des utilisateurs finaux. Les Règlements exigent qu'un FSP établisse des objectifs en relation avec son cadre de gestion des risques. Plus précisément, le FSP devrait chercher à préserver l'intégrité, la confidentialité et la disponibilité de ses activités de paiement de détail et des systèmes, données ou informations impliqués dans la fourniture de ces activités.

Pour atteindre ces objectifs, les FSP doivent identifier leurs risques opérationnels dans les rapports annuels, protéger leurs activités de paiement de détail contre ces risques, détecter les incidents et les défaillances de contrôle et répondre et se remettre des incidents. Les Règlements exigent que les FSP :

• examiner et tester en interne leur cadre de gestion des risques ;
• établir des rôles et des responsabilités pour la gestion des risques opérationnels et des incidents ;
• avoir accès à des ressources humaines et financières suffisantes pour établir, mettre en œuvre et maintenir leur cadre de gestion des risques ; et
• gérer leurs risques provenant de prestataires de services tiers, d'agents et de mandataires.

Exigences pour protéger les fonds des utilisateurs finaux

Cette exigence vise à protéger les fonds des consommateurs et des entreprises lorsque le FSP devient insolvable et à garantir que les utilisateurs finaux ont un accès fiable et rapide à leurs fonds. La LAPD exige que les FSP détiennent des fonds dans un compte en fiducie ou dans un compte séparé avec une assurance ou une garantie et qu'ils développent un cadre écrit de protection des fonds décrivant les systèmes, politiques, processus, procédures, contrôles et autres moyens du FSP pour atteindre les objectifs de protection des fonds des utilisateurs finaux.

Exigences de sécurité nationale

La Loi donne également au ministre des Finances le pouvoir de traiter les risques liés à la sécurité nationale qui pourraient être posés par les FSP. Cela inclut la capacité de refuser les demandes des FSP, de révoquer les enregistrements, d'ordonner des engagements ou des conditions, ainsi que d'émettre des ordres de sécurité nationale pour qu'un FSP prenne ou s'abstienne de toute action.

Pénalités pour violation des exigences

La Loi donne à la Banque des pouvoirs pour traiter les non-conformités à la Loi ou les violations de la Loi. Ces pouvoirs incluent :

• conclure des accords de conformité ;
• émettre des avis de violation (AV) avec ou sans pénalité administrative monétaire (PAM)—notez que seules les violations désignées seraient sujettes à un AV et à une PAM accompagnante.
• émettre des AV avec une PAM et une offre de conclure un accord de conformité ;
• émettre des ordres de conformité ;
• demander au tribunal une ordonnance (c'est-à-dire une exécution judiciaire) ; et
• refuser ou révoquer un enregistrement.

Lorsqu'un FSP conclut un accord de conformité avec la Banque après avoir reçu un AV et ne respecte pas les termes de cet accord, la Banque émettrait un Avis de défaut au FSP. Le FSP ayant reçu l'Avis de défaut devrait payer une pénalité supplémentaire. L'article 48 des Règlements établit des plages de pénalités pour les violations « graves » ou « très graves », allant de 1 million de dollars par chaque violation grave, jusqu'à 10 millions de dollars par chaque violation très grave.

Conclusion

Le paysage réglementaire à venir, en particulier le cadre strict proposé par la LAPD et les Règlements, peut soulever des préoccupations quant à la durabilité des petits FSP. Il est crucial d'utiliser la période entre maintenant et novembre de cette année pour évaluer si la LAPD s'applique à vous et pour vous préparer de manière proactive à répondre à ces exigences réglementaires afin d'assurer une transition en douceur lorsque les Règlements entreront en vigueur. Le groupe des services financiers de Bennett Jones peut soutenir les clients dans la navigation de ce cadre complexe.

Pour discuter de la manière dont notre équipe des services financiers peut vous aider, veuillez contacter l'un des auteurs.