Les pertes mondiales dues à la fraude en ligne dans le secteur du commerce électronique ont été estimées à environ 44 milliards de dollars en 2024. Mais qui assume la perte lorsque qu'une transaction s'avère frauduleuse ? Cela dépend du mode de traitement du paiement, des outils de sécurité utilisés et des règles qui s'appliquent en arrière-plan. Ce déplacement de la responsabilité, nommé « transfert de responsabilité », constitue un élément important du système de paiement. Malheureusement, de nombreuses entreprises n'y pensent pas avant d'en subir les conséquences.

Ci-dessous, nous examinerons en détail le mode de fonctionnement du transfert de responsabilité, les circonstances dans lesquelles il se produit et comment l'utiliser à votre avantage.

Sommaire de cet article

• Qu'est-ce qu'un transfert de responsabilité dans le contexte des paiements par carte ?
  
• Quand un transfert de responsabilité se produit-il et qui devient responsable ?
  
• Comment le transfert de responsabilité affecte-t-il votre stratégie de prévention de la fraude ?
  

Qu'est-ce qu'un transfert de responsabilité dans le contexte des paiements par carte ?

Un transfert de responsabilité définit qui est responsable lorsqu'un paiement est identifié comme frauduleux. La responsabilité peut être transférée en fonction de la partie de la chaîne de paiement qui a utilisé les outils de sécurité adéquats. Cela revient à déterminer quelle partie n'a pas assuré la sécurité de la transaction.

Si une entreprise utilise des protocoles de sécurité à jour, tels que des lecteurs de cartes à puce EMV (Europay, Mastercard et Visa) et 3D Secure (3DS), et que la fraude se produit malgré tout, la responsabilité est généralement transférée vers l'émetteur de la carte. Si l'entreprise omet ces protections, l'émetteur n'est plus responsable. L'entreprise (ou sa banque acquéreuse) devient financièrement responsable de la contestation de paiement.

Ce changement de responsabilité est intentionnel. Les réseaux de cartes l'utilisent pour inciter à l'adoption de meilleures mesures de sécurité. Le message est clair : mettez en œuvre une authentification plus forte et vous n’aurez pas à couvrir les pertes dues à la fraude.

Les règles des réseaux de cartes suivent une logique stricte pour évaluer la responsabilité :

• L'entreprise a-t-elle mis en œuvre la méthode d'authentification disponible ?

• La transaction a-t-elle été traitée par le canal approprié ?

Si la réponse à ces deux questions est « oui », l'entreprise est protégée. Sinon, elle est exposée.

Quand un transfert de responsabilité se produit-il et qui devient responsable ?

Le transfert de responsabilité ne s'applique pas à chaque transaction. Il se produit uniquement lorsque certaines technologies ou protocoles sont (ou ne sont pas) utilisés pour détecter et prévenir la fraude. Si ces conditions sont remplies, le risque de fraude passe de l'entreprise à l'émetteur. Sinon, l'entreprise est responsable.

Voici un aperçu plus détaillé des cas dans lesquels le transfert de responsabilité s'applique pour différents types de transactions.

Transactions par carte à puce EMV

Si un client présente une carte à puce EMV pour le paiement mais que l'entreprise ne la traite pas avec un lecteur de carte à puce, l'entreprise devient responsable de toute fraude liée à cette transaction. Autrement dit :

• Si l'entreprise ne prend pas en charge la norme EMV mais que la carte a une puce, l'entreprise (ou son acquéreur) subit la perte

• Si l'entreprise utilise un lecteur EMV pour la carte à puce, l'émetteur est probablement responsable

Les litiges non liés à la fraude par carte, tels que les réclamations pour « produit endommagé » ne sont pas concernés. Dans ces cas, l'entreprise est toujours responsable.

Transactions en ligne

Le transfert de responsabilité pour les paiements en ligne ou les paiements mobiles dépend généralement de l'utilisation de 3DS et de la réussite de l'authentification :

• Si une transaction est authentifiée par 3DS, la responsabilité est transférée vers la banque du titulaire de la carte.

• Si 3DS n'est pas utilisé, échoue ou n’est pas disponible, l'entreprise est responsable.

Si le titulaire de la carte prétend plus tard qu'il n'a pas autorisé le paiement, l'émetteur n'est responsable que si l'authentification a été effectuée. Même si la transaction n'a pas été authentifiée parce que l'émetteur ne participe pas à 3DS ou qu'une erreur se produit, la responsabilité ne sera généralement pas transférée à l'émetteur.

Transactions sans contact et par wallet

De nombreux wallets (par exemple, Apple Pay, Google Pay) sont éligibles au transfert de responsabilité en raison de leur mode de tokenisation et d'authentification. Ces transactions comprennent souvent une preuve cryptographique que le titulaire de la carte a été vérifié à l'aide de données biométriques ou d'identifiants basés sur l'appareil. Lorsque cette preuve est présente, la responsabilité est généralement transférée à l'émetteur.

Transactions sans options d'authentification

L’authentification n’est pas disponible pour tous les canaux, notamment pour les paiements de commandes par courrier ou téléphone (MOTO). Dans ces cas, l’entreprise reste responsable, car la transaction ne peut pas être vérifiée en temps réel.

Comment le transfert de responsabilité affecte-t-il votre stratégie de prévention de la fraude ?

Le transfert de responsabilité est un outil de prise de décision. Il influence la manière dont vous gérez le risque, les étapes de sécurité que vous prenez lors du paiement et comment vous conciliez la prévention de la fraude avec l'expérience client.

Il aide à la décision quant à l’opportunité d’ajouter l’authentification

Le système 3DS vous procure un avantage que la plupart des outils de lutte contre la fraude ne peuvent offrir : une protection contre la responsabilité financière. Il constitue donc une solution de secours efficace, en particulier pour les transactions qui déclenchent des signaux de risque, telles que les commandes de grande valeur, les cartes internationales et les nouveaux clients.

Certaines entreprises utilisent 3DS de manière sélective. Par exemple, elles l'utiliseront pour les transactions à risque afin de se décharger de toute responsabilité, mais l’omettront pour les transactions à faible risque afin de minimiser les frictions lors du paiement et de préserver les taux de conversion. Elles ne considèrent pas tous les clients comme une menace, mais ont recours au transfert de responsabilité dans les situations qui le justifient le plus.

Cependant, dans certaines régions, la conformité réglementaire exige l'utilisation de 3DS pour toutes les transactions en ligne.

Il change la manière dont vous interprétez les scores de risque

Lorsque vous savez qu'une transaction implique un transfert de responsabilité (parce que le protocole 3DS a été accepté ou que la puce a été utilisée), vous pouvez décider de l'approuver même si des indicateurs de fraude sont présents. À l'inverse, si une transaction ne remplit pas les conditions requises pour un transfert de responsabilité, il peut être préférable de la soumettre à un contrôle plus approfondi, sous la forme de vérifications supplémentaires, d’un contrôle manuel ou d’un blocage de la transaction.

Il redéfinit le coût de la fraude

Un transfert de responsabilité réussi signifie que l'émetteur, et non votre entreprise, absorbe la perte. Votre exposition financière directe en est ainsi réduite, mais la fraude a toujours des coûts indirects, notamment les suivants :

• Perte d'inventaire

• Gestion des litiges

• Être signalé par les réseaux pour des taux de fraude élevés

Bien que le transfert de responsabilité réduise l'impact de la fraude, il n'élimine pas les dommages causés. Il est toujours préférable de la prévenir lorsque cela est possible.

Votre stratégie globale dépend de votre modèle économique, de votre profil de risque et de votre région. L'UE, par exemple, exige une authentification forte du client (SCA) pour tous les paiements en ligne, et l'authentification 3DS actualisée répond à cette exigence. Aux États-Unis et dans d'autres régions, 3DS est facultatif. Cela vous offre davantage de flexibilité, mais implique également davantage de décisions à prendre. Si vous exercez vos activités à l'international, vous opterez probablement pour une stratégie hybride : 3DS partout où son usage est obligatoire et une approche basée sur les risques dans les autres cas.