PSD2 en wat kunnen accountants ermee?

PSD2 Stellingen

Onderstaande poll is recent gedaan bij SRA-Accountantskantoren in het kader van een PSD2 / Bizcuit presentatie voor de SRA IT Management Kring. De poll heeft interessante antwoorden opgeleverd op verschillende PSD2 stellingen.

Hebben de IT managers van de SRA kantoren de stellingen goed beantwoord? Weet jij de juiste antwoorden?

Dit is hoe het zit:

1. PSD2 verplicht banken om toegang te geven tot rekeninginformatie en/of betalingsinitiatie, dus generiek is de stelling inderdaad waar. Maar de toegang hoeft niet per se via API’s gegeven te worden. PSD2 (RTS) is technologie agnostisch. Banken kiezen er wel overwegend voor om via (REST) API’s te communiceren. Maar bijvoorbeeld screenscraping mag ook, als er maar aan de PSD2 (RTS) vereisten wordt voldaan. Bijvoorbeeld dat de Third Party Provider (TPP) zich kan identificeren op een manier dat de bank kan valideren dat die TPP een actieve PSD2 vergunning heeft voor rekeninginformatie en/of betalingsinitiatie. Die vergunning is namelijk wel nodig, net als expliciete toestemming van de rekeninghouder. Interessant weetje: Er zijn banken waarvoor API’s bouwen een zodanige uitdaging is, dat er speciale screenscraping portals gebouwd worden zodat TPP’s de data vanuit de user interface kunnen ophalen.

2. PSD2 maakt het niet makkelijker voor softwareleveranciers om bankrekeningen te koppelen. Dit lijkt wellicht zo, maar door de PSD2 regulering worden er allerlei zaken van kracht die het koppelen lastiger maken (maar wel veel robuuster, sneller en veiliger!). Ook verschillen de koppelmethoden per bank (hoewel vrijwel allemaal via API en steeds meer ook conform Berlin Group standaarden, zijn er nog steeds grote verschillen). De ‘ouderwetse’ manier van koppelen middels het uitwisselen van bestandjes was/is makkelijker, maar in onze optiek niet beter. NB. koppelen via Bizcuit maakt het wel makkelijker voor softwareleveranciers om te koppelen, want Bizcuit zorgt ervoor dat er een uniforme set API endpoints beschikbaar is; wij nemen dus de complexiteit op ons.

3. Voor rekeninghouders wordt het wel veel makkelijker om te koppelen. Dit gaat bij vrijwel alle banken via een 100% digitale onboarding. Soms met een e-dentifier of random reader apparaat (dus gelijkend op iDeal of iDIN), bij mobiel vaak via de bankapp en in andere gevallen middels bijvoorbeeld een QR code scan. Koppelen is over het algemeen binnen een minuut gedaan.

4. Strong Customer Authentication (SCA) is nodig voor het ophalen van bankgegevens, maar verplicht is slechts 1x per 90 dagen. Voor betalingsintiatie is SCA ook vereist, maar er zijn uitzonderingen (zoals lage bedragen, periodieke betalingen of betalingen naar ’trusted beneficiaries’).

5. De Fintech mag niet zomaar rekeninginformatie delen. Maar met expliciete toestemming van de rekeninghouder mag het onder bepaalde voorwaarden wel. Belangrijk is dat de TPP een eigen bestaansrecht heeft, dus toegevoegde waarde voor de eindklant en een eigen business case.

6. PSD2 is niet specifiek voor zakelijke of particuliere klanten. Beiden profiteren van PSD2. De oorspronkelijke opzet leek meer op consumenten gericht, maar inmiddels zijn veel vragen die vanuit de zakelijke markt gesteld zijn ook beantwoord.

Voor meer informatie, download hier de presentatie. Mocht je nog vragen hebben, wil je de antwoorden challengen, of denk je dat Bizcuit een mooie oplossing kan zijn voor jou als ondernemer, kantoor of softwareleverancier? Neem dan contact met ons op via info@bizcuit.nl!

Door Hessel Kuik

Volg Hessel op Linkedin