La Banque de Maurice encadre les activités des intermédiaires de paiement électronique

La Banque de Maurice a publié une nouvelle directive intitulée Guideline for Payment Aggregators, destinée à réglementer les activités des agrégateurs de paiements opérant dans le pays. Ce cadre réglementaire vise à protéger les intérêts des clients et des utilisateurs des services de paiement en ligne et dans les points de vente physiques, tout en contribuant à la stabilité et à l’intégrité du système financier. La directive entrera en vigueur le 31 août 2026.

Le document définit les exigences auxquelles devront se conformer les agrégateurs de paiements. Il s’adresse aux banques et aux prestataires de services de paiement qui proposent ces services, mais également à ceux qui font appel à des agrégateurs de paiements dans le cadre de leurs activités.

Parmi les principales dispositions figure l’introduction d’exigences financières. La Banque de Maurice impose un capital initial minimum de Rs 5 millions à tout agrégateur de paiements. Au-delà de cette exigence, ces opérateurs devront maintenir en permanence un capital libéré d’au moins Rs 5 millions ou l’équivalent de 10 % du solde moyen de leur compte fiduciaire, calculé sur les six mois précédents, selon le montant le plus élevé. Cette exigence pourra être revue tous les six mois, ou à tout autre moment si la Banque le juge nécessaire, en fonction du volume des transactions traitées et du profil de risque de chaque opérateur.

La directive accorde également une place importante aux relations contractuelles entre les différents acteurs du secteur. Les accords conclus entre les agrégateurs de paiements, les commerçants, les banques acquéreuses et les autres parties concernées devront définir clairement les responsabilités de chacun. Ces contrats devront notamment préciser les mécanismes de protection des clients, les procédures de traitement des réclamations, les modalités d’annulation des transactions échouées, la gestion des litiges et des rétrofacturations, ainsi que les dispositions relatives à la protection des données des clients.

La lutte contre le blanchiment d’argent, le financement du terrorisme et le financement de la prolifération occupe également une place centrale dans cette nouvelle réglementation. Chaque agrégateur de paiements devra mettre en œuvre une politique de lutte contre le blanchiment d’argent, le financement du terrorisme et le financement de la prolifération (AML/CFTP). Cette politique devra être approuvée par le conseil d’administration et faire l’objet d’une révision au moins une fois par an, ou chaque fois que les dispositions légales et réglementaires évolueront ou que la Banque de Maurice l’exigera.

La Banque de Maurice renforce, par ailleurs, les obligations en matière de contrôle des commerçants utilisant les plateformes des agrégateurs de paiements. Avant toute intégration, une procédure complète de vérification préalable devra être réalisée. Celle-ci devra être entièrement documentée et comprendre des évaluations techniques portant notamment sur le trafic Internet, les politiques de divulgation des informations et les politiques de confidentialité des commerçants. Une fois ces derniers intégrés, les agrégateurs devront assurer une surveillance continue de leurs activités et prendre les mesures appropriées en cas d’informations défavorables susceptibles d’affecter leur profil de risque.

La cybersécurité constitue un autre volet de cette directive. Les agrégateurs de paiements devront se conformer aux exigences de la Banque de Maurice en matière de gestion des risques technologiques et cybernétiques. Ils devront adopter des politiques de sécurité de l’information et de gestion des risques, approuvées par leur conseil d’administration, afin de protéger les utilisateurs contre les risques de fraude et les autres menaces numériques.

La directive prévoit également que les agrégateurs de paiements et les commerçants mettent en place des infrastructures et des systèmes de sécurité destinés à prévenir et à détecter les tentatives de fraude. En complément, un mécanisme formel de surveillance, de gestion et de suivi des incidents et des violations de cybersécurité devra être instauré afin de permettre une réaction rapide en cas d’incident