PSD3 и PSR: новые правила платёжных услуг загоняют в угол мошенничество, скрытые комиссии и слабый open banking

Систему регулирования платежных услуг в ЕС ожидает масштабная переработка. Новая директива о платежных услугах PSD3 и сопутствующий ей регламент о платежных услугах PSR изменят повседневную деятельность банков, поставщиков платежных услуг (PSP), финтех-компаний и торговых предприятий. Euroopa Komisjon представила предложение по этому пакету еще в июне 2023 года, Euroopa Parlament принял свою позицию весной 2024 года, а в течение 2025 года параллельно продвигались как позиция Nõukogu, так и так называемые трилоги.

По состоянию на конец года институты ЕС достигли политического соглашения по основным направлениям PSD3/PSR — в центре внимания находятся сокращение платёжного мошенничества, IBAN/name-check, то есть проверка имени получателя, полная прозрачность комиссий, а также унификация и усиление правил open banking. Работа над окончательной юридической редакцией текстов продолжается, однако направление уже достаточно ясно для участников рынка, чтобы начать системную подготовку.

Ниже мы рассмотрим, что по существу означают PSD3 и PSR и что PSP/финтех-компаниям и продавцам следует делать уже сейчас.

Что такое PSD3 и PSR — и почему о них так много говорят?

PSD3 — это новая директива о платёжных услугах и услугах электронных денег, сосредоточенная прежде всего на лицензировании, разрешениях на деятельность и системе надзора. Она объединяет под одной нормативной базой поставщиков платёжных услуг и учреждения электронных денег, а также обновляет определения и перечень услуг, подпадающих под регулирование.

PSR в свою очередь является регламентом прямого действия, регулирующим правила предоставления платёжных услуг:

• защита клиента и распределение ответственности,

• предотвращение платёжного мошенничества (включая SCA — строгую аутентификацию клиента),

• прозрачность комиссий,

• стандартизация открытого банкинга, то есть услуг доступа к счетам и инициирования платежей.

Важное отличие от эпохи PSD2 состоит в том, что значительная часть повседневных правил переносится непосредственно в регламент — это означает унифицированную нормативную базу во всём ЕС, меньше «национальных особенностей» и сложных толкований в трансграничных бизнес-моделях.

Эту тему подробнее рассматривали и такие международные юридические фирмы, как Taylor Wessing и, в контексте стран Балтии, Ellex, подчёркивая, что PSD3/PSR — одна из важнейших реформ финансового сектора текущего десятилетия.

Борьба с мошенничеством: проверка IBAN/имени и новая логика ответственности

Одно из наиболее заметных изменений PSD3/PSR — обязательная проверка IBAN/имени — то есть проверка имени получателя и номера счета при так называемых push-платежах (кредитных и мгновенных переводах SEPA). Перед инициированием платежа поставщик платежных услуг должен сопоставить имя получателя платежа и IBAN и четко предупредить клиента, если они не совпадают.

Кроме того:

• Предотвращение мошенничества становится обязательством «by design». PSP должны внедрить комплексную систему управления рисками мошенничества, охватывающую усиленную аутентификацию клиентов, оценку рисков в режиме реального времени, замораживание подозрительных транзакций и предупреждающие сообщения клиентам перед рискованными переводами.

• Мошенничество с APP-платежами (authorised push payment fraud) и кража идентификационных данных больше не останутся лишь «уроком» для клиента. Новая нормативная база перекладывает часть ответственности на PSP, прежде всего в случаях, когда банк/PSP не применил надлежащим образом предусмотренные меры противодействия мошенничеству (например, name-check, своевременное предупреждение, выявление подозрительных закономерностей).

• Спуфинг — ситуация, когда мошенники выдают себя за банк или платёжную платформу, — становится отдельным направлением внимания; в определённых случаях PSP должен возместить клиенту ущерб от мошенничества, даже если клиент сам «авторизовал» платёж.

Практический посыл для PSP и финтех-компаний ясен: меры по противодействию мошенничеству — это уже не «хорошая практика», а строгое нормативное требование с чёткими правилами ответственности.

Прозрачность комиссий: конец скрытым обменным курсам и неожиданностям при оплате

PSR также усиливает правила прозрачности сборов и комиссий. Цель состоит в том, чтобы уже в момент инициирования платежа клиент точно видел:

• сколько он платит за обмен валюты,

• какие комиссии за снятие наличных в банкомате или «сервисные сборы» применяются,

• какие посредники участвуют в платёжной цепочке и сколько они получают.

Это непосредственно касается также торговцев и интернет-магазинов:

• нельзя создавать у клиента впечатление, что платёж «бесплатный», если в действительности возникают скрытые расходы из-за курсовой разницы;

• для разных способов оплаты нельзя применять дискриминационные или скрытые доплаты, которые искажали бы выбор клиента;

• информация о ценообразовании должна быть понятна и на мобильных устройствах, а не находиться только где-то в длинном PDF-файле.

Согласно исследованиям, именно скрытые комиссии и «дополнительные расходы, возникающие на последнем этапе» являются одной из основных причин, по которым клиенты отказываются от покупки, — поэтому прозрачность является требованием, которое одновременно снижает регуляторный риск и повышает конверсию.

Открытый банкинг 2.0: усиленный открытый банкинг и новые требования к API

PSD2 принесла в Европу первую волну открытого банкинга; PSD3/PSR стремятся превратить его в зрелый стандарт, а не в «минимальное соответствие требованиям». Основные направления:

• Унифицированные API и улучшенный доступ к данным. Правила предоставления услуг доступа к информации о счетах и инициирования платежей (AIS/PIS) будут уточнены; банкам больше не будет разрешено «косвенно препятствовать» предоставлению услуг третьими сторонами посредством нестабильных или неудобных API.

• «Панель управления разрешениями» для управления доступом. Пользователю должен быть предоставлен чёткий обзор того, какие приложения и поставщики услуг получили доступ к его счёту/данным, а также простая возможность отозвать разрешение. Такое решение описывается как один из ключевых элементов PSR для повышения доверия к открытому банкингу.

• Более равная конкуренция между банками и финтех-компаниями. Цель состоит в том, чтобы новые участники рынка могли получать доступ к данным и платежной инфраструктуре на основании четких и выполнимых правил, без скрытых технических барьеров или дискриминационного ценообразования.

Для финтех-компаний это одновременно означает возможность и обязанность:
ни один серьезный участник рынка больше не может позволить себе недоработанное API-решение или нечеткую логику предоставления согласия.

Что означают PSD3/PSR для PSP и финтех-компаний?

Если рассматривать вопрос непосредственно с точки зрения «что делать», то посыл PSD3/PSR для PSP и финтех-компаний вполне конкретен.

1. Приведите в порядок процессы KYC/AML и управления рисками мошенничества

• Обновите процессы идентификации клиентов (KYC), чтобы они основывались на оценке рисков, отслеживались в цифровом формате и допускали документальное подтверждение.

• Интегрируйте инструменты выявления мошенничества в режиме реального времени в платёжные потоки (в том числе для мгновенных платежей), включая поведенческие паттерны и идентификаторы устройств.

• Убедитесь, что AML-мониторинг работает в комплексе с новыми требованиями по противодействию мошенничеству — PSD3/PSR предполагает, что управление риском мошенничества будет не отдельным «островком», а частью более широкой системы управления рисками.

2. Критически оцените SCA и UX

PSD3/PSR означают не просто добавление дополнительных уровней безопасности — речь идет о более продуманной SCA, которая не сводила бы клиентов с ума, но соответствовала бы более строгим требованиям.

• Составьте схему существующих процессов строгой аутентификации клиентов (SCA) — когда вы запрашиваете PIN-код, SMS-код или биометрические данные и в каких случаях применяете исключения.

• Проверьте, не станет ли в свете новых правил доля отклонённых транзакций (decline) слишком высокой — особенно в случае мобильных и мгновенных платежей.

• Обновите UX цифровых каналов, чтобы предупреждения (например, о несовпадении при проверке IBAN/name-check) были понятными, краткими и легко читались на мобильных устройствах, а не представляли собой просто блок юридического текста.

3. Инвестируйте в API и инфраструктуру открытого банкинга

• Убедитесь, что ваши API соответствуют новым стандартам и документированы таким образом, чтобы третьи стороны действительно могли ими пользоваться, а не просто «поставить галочку».

• Запланируй создание панели управления разрешениями (или переработку существующей), где клиент сможет просматривать свои разрешения и управлять ими.

• Определите, какие партнёры (финтех-компании, платформы) используют ваши API и готовы ли они к миру после вступления в силу PSD3/PSR.

Продавцы и интернет-магазины: что изменится в отношении платежей, SCA и отображения комиссий?

Для продавцов PSD3/PSR может казаться «банковской темой», однако на самом деле изменения самым непосредственным образом затронут кассовые и платёжные решения, которыми клиенты пользуются в вашем интернет-магазине или физическом магазине.

1. SCA и денежные потоки: потерянные платежи = потерянный оборот

• Согласно новым правилам, PSP должны обеспечивать эффективную SCA — если ваше кассовое решение «чувствительно», могут появиться дополнительные этапы аутентификации или исчезнуть действующие исключения (например, для транзакций на небольшие суммы).

• Это означает, что продавцу необходимо совместно со своим поставщиком платежных услуг проверить:

  • сколько шагов предусмотрено в процессе оформления заказа;

  • добавляются ли экраны аутентификации;

  • как они интегрированы в мобильные и настольные версии.

Каждый дополнительный шаг может снизить конверсию, поэтому стоит протестировать различные сценарии оформления оплаты ещё до того, как новые правила вступят в силу в полном объёме.

2. Отображение комиссий и курсовой разницы

• Если вы продаёте клиентам в валютах других стран или используете динамическую конвертацию валюты (DCC), вы должны вместе с PSP обеспечить, чтобы информация о курсе и плата за услугу были хорошо видны до подтверждения платежа.

• Если вы используете различные способы оплаты (карта, «оплатить позже», международные цифровые кошельки), убедитесь, что нигде нет «доплат по умолчанию», которые могут противоречить требованиям PSR к прозрачности.

3. Договоры с PSP и распределение рисков

PSD3/PSR частично изменяет распределение ответственности в случаях мошенничества. Продавцам стоит пересмотреть свои договоры с PSP:

• кто несёт ответственность в случае APP-мошенничества;

• когда PSP может приостановить или отменить транзакцию;

• как распределяется ущерб, если банк не выполнил проверку имени или другие обязательные действия.

Это не просто юридическая формальность — это напрямую связано с тем, каковы твои финансовый риск и репутация брендав случае мошенничества.

График: когда PSD3 и PSR, как ожидается, действительно начнут «кусаться»?

Поскольку в течение 2025. года институты ЕС продвигались к трёхсторонним переговорам и политическому соглашению, ожидается, что окончательные правовые акты будут официально приняты и опубликованы в Официальном журнале ЕС примерно в 2026. году, после чего последует переходный период (обычно 18–24 месяца в зависимости от требования).

Это означает:

• У PSP и финтех-компаний есть время на планирование и реализацию, но оно не безгранично;

• продавцам разумно уже сейчас запросить у своих партнёров по платёжным решениям конкретный план действий по PSD3/PSR, а не ждать «до последней минуты».

5 практических шагов, с которых можно начать уже сейчас

1. Гэп-анализ PSD3/PSR
   Вместе с юридической командой и командой комплаенса (или внешним консультантом) проведите быстрое сравнение: что у вас уже есть со времён PSD2, что соответствует новым требованиям и где находятся самые большие пробелы (системы противодействия мошенничеству, API, SCA, отображение комиссий).

2. Отобразите процессы KYC/AML и противодействия мошенничеству «на карте»
   Опишите весь путь клиента — от онбординга до платёжных споров — и отметьте, где из-за PSD3/PSR необходимо что-то усилить (например, интеграцию проверки имени, автоматическую приостановку подозрительных транзакций, предупреждения клиентам в реальном времени).

3. Технический план действий для UX и API
   Согласуйте с командой разработчиков график, в

   • соответствии с которым: будет обновлен кассовый поток в соответствии с SCA,

   • будут добавлены понятные решения для отображения комиссий,

   • будет запущена панель управления разрешениями.

4. Пересмотр договоров и работы с партнёрами
   Торговцы: обсудите со своим PSP, как новая модель ответственности повлияет на вас.
   PSP/финтех-компании: определите, как отразить требования PSD3/PSR в договорах с клиентами и партнёрами.

5. Информирование и обучение
   Новые правила не должны стать неожиданностью ни для клиентов, ни для сотрудников. Подготовьте внутреннее обучение (риски, обслуживание клиентов, IT) и коммуникацию с клиентами: почему на экране появилось новое предупреждение, почему запрашивается дополнительное подтверждение, почему информация о комиссиях стала более подробной.

PSD3 и PSR — это не «небольшое техническое обновление», а новая версия рынка платёжных услуг, которая устанавливает более строгий контроль над мошенничеством, скрытыми комиссиями и разрозненными трактовками открытого банкинга.
Те поставщики платёжных услуг (PSP), финтех-компании и продавцы, которые проактивно используют переходный период, помимо соблюдения нормативных требований, также добьются успеха в бизнесе: большего доверия клиентов, более высокой конверсии и более простого трансграничного роста.