Comment évaluer un partenariat entre un établissement financier et une fintech

Un partenariat entre un établissement financier et une fintech peut faciliter l’accès à de nouvelles technologies, à de nouveaux produits et à de nouvelles capacités. Il peut également contribuer à réduire les coûts ou à améliorer certains contrôles. Mais ces avantages dépendent de la compréhension, par les deux parties, des risques qu’elles partagent, de la responsabilité de chacune en cas de problème et des moyens de vérifier le bon fonctionnement des contrôles.

L’évaluation ne devrait donc pas se limiter à l’examen du produit ou de la plateforme. Elle doit porter sur le partenaire, la relation commerciale, les systèmes concernés et la capacité à maintenir le service en cas de changements ou d’interruptions. Uday Gulvadi et Scott Rosenbaum, de Stout, soulignent l’importance de la diligence raisonnable et du suivi continu des tiers ; Marissa Tartarini, d’Elliott Davis, met également en avant la gouvernance, la préparation opérationnelle, les contrats et la protection des consommateurs.

1. Vérifiez que le partenariat répond à un objectif précis

Avant de comparer les fournisseurs, définissez le problème que la collaboration vise à résoudre : par exemple, mettre en place une fonctionnalité numérique, améliorer un processus ou élargir l’offre de services. Précisez la contribution de chaque partie et la façon dont le projet s’inscrit dans la stratégie, la tolérance au risque et les ressources disponibles de l’établissement.

Évaluez également l’expérience et les capacités du partenaire : sa structure, sa gouvernance, son équipe dirigeante, son parcours et sa connaissance du produit. Une proposition attrayante ne remplace ni la capacité à exploiter le service ni la disponibilité de personnel compétent pour en gérer les risques. Vérifiez aussi que l’établissement dispose de ressources suffisantes pour intégrer la solution et en assurer le suivi.

2. Analysez la solvabilité et la continuité du partenaire

L’évaluation financière doit permettre de comprendre si le fournisseur peut soutenir ses activités et ce qui se passerait si sa situation évoluait. Parmi les éléments pouvant être examinés figurent les états financiers, les rapports annuels, les sources de financement, la clientèle et la position de l’entreprise.

La continuité compte autant que la viabilité initiale. Examinez comment les services seraient maintenus et les clients, les données et les processus protégés si la fintech subissait une interruption ou cessait ses activités. Étudiez ses plans de continuité, de reprise après sinistre et de réponse aux incidents ; vérifiez également ses pratiques de sauvegarde et les mesures prévues pour rétablir les systèmes.

3. Faites preuve de diligence raisonnable en matière de conformité et de contrôles

L’examen doit couvrir la situation juridique du fournisseur, les licences applicables à ses activités et à sa juridiction, ainsi que ses politiques et procédures de conformité. Lorsque le produit présente des risques de criminalité financière, il est important de comprendre comment la relation s’inscrit dans les contrôles BSA/AML — la réglementation américaine relative au secret bancaire et à la prévention du blanchiment de capitaux — et dans les politiques de l’institution.

Il ne suffit pas de recevoir une description des contrôles. Demandez des documents permettant d’évaluer leur mise en œuvre : évaluations des risques, audits antérieurs, indicateurs de performance et rapports destinés à la direction ou au conseil d’administration. Vérifiez qui examine les alertes, comment les problèmes sont transmis aux échelons supérieurs et quelle capacité chaque partie a d’assumer ses responsabilités à mesure que l’activité se développe.

Dans les partenariats portant sur des paiements ou des comptes de type FBO (for benefit of), il convient de préciser comment les mouvements sont enregistrés et rapprochés, qui peut consulter les livres ou registres pertinents et comment les écarts sont détectés. Tartarini souligne l’utilité des rapprochements quotidiens, des protocoles d’accès et de rapports clairs, ainsi que de plans de réponse aux interruptions de paiement ou aux incohérences comptables.

4. Examinez la sécurité de l’information et l’intégration technologique

Déterminez quelles données sont collectées, où elles sont stockées, qui peut y accéder et pendant combien de temps elles sont conservées. L’examen doit inclure les contrôles de sécurité, les rapports d’incidents, les évaluations disponibles et la procédure de suppression des informations lorsqu’elles ne doivent plus être conservées.

Sur le plan technique, identifiez les dépendances entre les plateformes, les systèmes qui doivent échanger des informations et les conséquences d’une défaillance ou d’un retard. L’intégration doit être réalisable pour les deux parties, et pas seulement pour le fournisseur. Il est également utile de définir la gestion des changements de produit, des vulnérabilités et des interruptions de service.

5. Attribuez les responsabilités dans le contrat

Le contrat doit traduire l’évaluation des risques en obligations vérifiables. Précisez les rôles, les livrables, les niveaux de service et les mécanismes de signalement et de remontée des incidents. Incluez des dispositions relatives à la sécurité et à la confidentialité des données, à la réponse aux violations, à l’accès des tiers, aux audits et à la gestion des sous-traitants.

Si la fintech participe à des communications ou à des promotions destinées aux clients, déterminez qui examine et approuve les supports avant leur publication et qui traite les réclamations ou corrige les informations ambiguës. Il est également utile de convenir de ce qui se passe à la fin de la relation, notamment du retour ou de la suppression des données et du retrait des références à l’établissement financier sur les canaux du partenaire.

Les clauses d’indemnisation et de répartition des pertes nécessitent une analyse juridique spécifique : leur portée dépend du contrat, du produit et des règles applicables. Elles ne remplacent pas les contrôles et ne suppriment pas les responsabilités incombant à chaque partie.

6. Assurez un suivi pendant toute la durée de la relation

La diligence raisonnable ne prend pas fin à la signature. Définissez une fréquence de révision et actualisez l’évaluation lorsque le produit, les processus, l’échelle ou le profil de risque évoluent. Conservez les preuves des décisions, des examens, des exceptions autorisées, des incidents et des mesures correctives ; la documentation permet de vérifier ce qui a fait l’objet d’un suivi et la manière dont il y a été répondu.

Le suivi peut associer des indicateurs opérationnels et de contrôle, les tendances des réclamations, les résultats des audits, les incidents de sécurité et le respect des engagements contractuels. Veillez à ce que les constatations aient des responsables et des échéances de résolution, et que les questions importantes soient portées au niveau de gouvernance approprié.

Périmètre réglementaire

Les références réglementaires des documents concernent les États-Unis. Le guide conjoint sur la diligence raisonnable à l’égard des entreprises de technologie financière mentionné par Gulvadi et Rosenbaum a été publié par la Réserve fédérale, la FDIC et l’OCC, et mis à jour en 2023. L’article de Tartarini fait également référence à des dispositions américaines relatives aux paiements, à la prévention de la fraude, à la protection des consommateurs et aux déclarations d’activités suspectes.

Ces références ne doivent pas être automatiquement extrapolées à d’autres pays ni interprétées comme une liste exhaustive d’obligations. Leur applicabilité dépend de la juridiction, du produit, du modèle de collaboration et des fonctions de chaque participant. Avant de formaliser un partenariat, l’établissement doit obtenir des conseils juridiques et de conformité adaptés à sa situation.