改訂された決済サービス指令 (PSD2) は、金融サービスにおける競争を後押ししながら、オンライン決済の安全性を高めるための欧州の規制です。2007 年に最初に施行された PSD の更新版として、PSD2 は 2016 年に施行されました。PSD2 は、オンライン取引における不正からの保護を目的に、より強力な顧客認証を義務化しました。銀行に対して、決済サービスと顧客データをサードパーティプロバイダー(TPP) に公開することを義務付けています。これにより新しい金融商品やサービスの作成が促進される可能性があります。

PSD2 は、ヨーロッパにおけるデジタル決済の仕組みを再構築する主要な法律です。以下では、この法律に含まれる内容、金融業界への影響、PSD2 への準拠を維持するために企業が知っておくべきことについて説明します。

この記事の内容

• PSD2 の主な目的
  
• PSD2 の主な構成要素
  
• PSD2 が金融業界に与える影響
  
• 顧客と企業にとっての PSD2 のメリット
  
• PSD2 に関連する課題と懸念
  
• PSD2 への準拠を維持する方法
  

PSD2 の主な目的

PSD2 は、金融サービスのセキュリティ強化と競争力向上により、小売決済市場を改善することに重点を置いています。この最新の EU 規格の主な目的は次のとおりです。

• 市場競争: PSD2 は、顧客データへのアクセスを開放することで、新しいプレーヤー (フィンテック企業など) が市場に参入し、革新的な金融サービスを提供することを奨励しています。このため、競争の促進と、製品・サービスの向上を期待できます。

• セキュリティ: PSD2 では、強力な顧客認証 (SCA) など、オンライン決済に対してより厳しいセキュリティ要件が導入されています。これにより、不正利用を最小限に抑え、顧客の財務データを保護できます。

• 消費者保護: PSD2 は、顧客に付与する財務データの管理権限を拡大し、さらに、苦情を処理する際の手順を強化することで、解決のスピードアップと効率化を図ります。

• 統合決済市場: PSD2 は、EU 全体の決済規制を標準化することにより、統合的かつ効率的な欧州決済市場を創出します。これにより、企業や顧客は、これまでよりも簡単に国境を越えて支払いをやり取りできるようになります。

PSD2 の主な構成要素

PSD2 は、ヨーロッパにおける決済サービスの運営方法を再構築するため、いくつかの重要な分野に影響を及ぼします。PSD2 の構成要素は主に次のとおりです。

• SCA: SCA では、デジタル決済における不正利用を最小限に抑えるために、ほとんどのオンライン取引に多要素認証を義務付けています。これには、顧客が知っている情報 (パスワードなど)、顧客が所有するデバイス (電話など)、顧客の身体的特徴 (指紋など) による認証が含まれる場合があります。

• オープンバンキング: PSD2 では、銀行は顧客の同意を得て TPP に顧客の銀行口座へのアクセスを許可する必要があります。アカウントへのアクセス (XS2A) サービスにより、顧客はフィンテック企業のサービスを使用して、財務管理、請求書の支払い、さらには投資をすべて銀行口座から直接行うことができるオープンバンキングを利用できるようになります。

• TPP:顧客は、支払い開始サービスプロバイダー (PISP) および口座情報サービスプロバイダー (AISP) を使用する権利を得ます。PISP はユーザーに代わって支払いを開始することができ、AISP は異なる銀行口座の情報をまとめてユーザーに提供することができます。

• 透明性: PSD2 により、手数料の透明性が高まります。この規制は、ユーザーへの手数料の通知方法に厳しい要件を設け、特にクロスボーダー決済において、ユーザーが予期しない手数料を請求されないようにします。

• 責任と返金: PSD2 は、支払い取引に関与するすべての当事者の責任と義務を明確にします。これには、不正取引などの問題が発生した場合に、顧客が返金を受ける方法とタイミングに関するより明確なルールが含まれます。

• 追加料金の禁止: PSD2 では、カード支払いの追加料金は禁止されています。このため、EU 内の企業は、クレジットカードやデビットカードの使用に追加料金を請求することはできません。

PSD2 が金融業界に与える影響

PSD2 は、追加の規制要件を導入して、競争を促しています。また、顧客の権限を拡大するために、データをより詳細に制御できるようにしました。PSD2 によるヨーロッパの金融業界への影響を、以下にまとめました。

• 競争の活性化: PSD2 は、フィンテック企業の参入障壁を下げ、かつては銀行の独占領域であったサービスを提供できるようにしました。PSD2 は、銀行に顧客データの共有を義務付けることで、より公平な競争の場を生み出し、小規模でも俊敏性のある企業が既存の金融機関と競争できるようにしました。これにより、特定の顧客ニーズに応える革新的な金融商品やサービスが増加しています。

• オープンバンキングへの移行: PSD2 は、TPP による顧客口座へのアクセスを可能にするアプリケーションプログラミングインターフェイス (API) の提供を銀行に要求することで、オープンバンキングの採用を加速させました。この結果、顧客は単一のインターフェイスを使用して、複数の銀行やプラットフォームにまたがって資金を管理できるようになりました。

• セキュリティ対策の強化: PSD2 の SCA 要件により、金融業界はオンライン取引に対してより強力なセキュリティ対策を採用せざるを得なくなりました。この結果、ヨーロッパでは多要素認証の採用が増加しました。

• 規制上の負担: PSD2 は、金融機関に大きな規制負担を課しています。銀行や決済サービスプロバイダーは、準拠を確保するために、IT インフラストラクチャーのアップグレードや新しいセキュリティプロトコルの実装などの措置を講じる必要があります。

• 顧客の権限強化: PSD2 は、顧客の権限を強化するために、財務データをより詳細に管理したり、選択肢を自由に選択したりできるようにしました。PSD2 では、顧客はサードパーティーのサービスを使用して財務を管理でき、すべての金融ニーズに対してひとつの銀行に縛られる必要がありません。

• 戦略上の方向転換: PSD2 によって、従来の銀行は戦略の再考を余儀なくされました。急速に変化する金融セクターにおいて重要な存在であり続けるために、銀行はフィンテック企業と協力して、サードパーティーのサービスを自社のサービスに統合するか、独自のソリューションを開発する必要があります。

顧客と企業にとっての PSD2 のメリット

PSD2 は、より多くの金融オプションを作成し、顧客と企業の取引コストを改善します。PSD2 が両者にもたらすメリットは次のとおりです。

顧客のメリット

• セキュリティ: PSD2 の SCA 要件は、オンライン取引における顧客情報の保護を強化します。

• 金融サービス: PSD2 は、顧客が包括的な概要とデータ主導型インサイトを活用して、お金をより適切に管理できるようにするために、金融ツールとサービスの積極的な構築を奨励しています。

• 透明性: PSD2 は、特に海外決済において、顧客が隠れた手数料を請求されることを防ぎます。

• データの制御: 顧客は、自身の財務データを利用できる対象を決められるだけでなく、必要に応じていつでもアクセスを取り消すことが可能です。

企業のメリット

• イノベーション: PSD2 により、企業は新機能やサービスを活用して、内部プロセスを改善し、顧客体験を向上させ、新しい収益源を生み出すことが可能になります。

• 決済オプション: PSD2 が利用可能な決済手段の数を増やすことで、企業は顧客により高い柔軟性を提供し、取引をより迅速かつ安全に、低コストで実行することができます。

• 競争: 企業は、最新の決済ソリューションを開発したり、新しいテクノロジーを使用することで、より強力な顧客関係とロイヤルティを構築できます。

• 戦略的決定: 企業は、AISP を通じてより詳細な財務データにアクセスできます。このデータを使用して、顧客に対してよりパーソナライズされたサービスを作成することが可能です。

• 費用: PSD2は、従来の決済ネットワークからカード手数料や取引手数料をなくすことで、企業がコストを削減できるよう支援します。

PSD2 に関連する課題と懸念

PSD2 には多くのメリットがありますが、課題も伴います。ここでは、PSD2 の下で顧客や企業が直面する一般的なハードルをいくつか紹介します。

顧客のメリット

• 膨大な選択肢: 市場に新しいサービスやアプリであふれていると、ユーザーは信頼できる TPP を見つけるのに苦労するかもしれません。

• データプライバシーの懸念: より多くのプロバイダーが PSD2 に基づいてユーザーデータにアクセスできます。これにより、データセキュリティに関する懸念が生じる可能性があります。

• ユーザー体験の問題: SCA 要件では、コード入力や指紋の使用といった追加手順の導入が必要になるため、ユーザーが面倒に感じる可能性があります。

企業のメリット

• 法規制対応コスト: 企業は、システムをアップグレードし、PSD2 基準に合わせてデータを保護する際に大きなコストに直面する可能性があります。これは、特にリソースが限られている企業にとって大きな負担になることがあります。

• 競争: 従来の銀行や既存の金融機関は、迅速に適応しなければ、俊敏性のある新規のフィンテック企業に顧客を奪われるリスクがあります。したがって、最も適応力のある企業だけが生き残る、厳しい環境が作り出されることになります。

• 統合の課題:企業には、業務を中断することなく、サードパーティーのサービスを既存のシステムに統合するための技術的な専門知識が必要となります。

• セキュリティリスク: 企業は、顧客データの保護に常に注意を払う必要があります。また、財務データを共有する TPP が、自社と同様にセキュリティに努めていることを確認する必要もあります。

• 顧客教育: 企業は、支払い時に追加の手順を実行するよう求められる理由や、新しいアプリが金融エコシステムの一部になった理由など、PSD2 に関連する変更を顧客が理解できるように支援する必要があります。そのためには、明確に情報を伝え、効果的にカスタマーサポートを行う必要があります。

PSD2 への準拠を維持する方法

PSD2 への準拠の維持は、継続的かつ多面的な課題であり、戦略的アプローチが必要です。ここでは、企業が準拠を管理・維持する方法をご紹介します。

SCA の要件

• コンテキスト認証: 取引ごとに対応方法を調整できるリスクベースの認証を実装することを検討します。これにより、通常の取引と異なる場合は追加のセキュリティチェックを実施することができます。

• 行動バイオメトリクス: SCA ツールキットに行動的生体認証を追加することを検討します。これは、ユーザーがウェブサイトやアプリとどのようにやり取りするかを追跡し (入力方法、サイト内移動方法など)、ユーザーに気付かれずに本人確認を行うものです。顧客の手間を軽減しながら、より強力なセキュリティを実現できます。

API とセキュリティ

• 適応型 API ゲートウェイ: セキュリティ対策をリアルタイムで調整できる API ゲートウェイを使用します。これらのゲートウェイには、アクセスされるデータの種類に応じて保護レベルを調整する能力が必要です。

• ゼロトラストモデル: ゼロトラストモデルを使用して、自社のネットワーク内にいる場合でも、他者を自動的に信頼することがないようにします。すべてのリクエストに認証と承認を要求し、厳格なセグメンテーションを行うことで、ユーザーが必要なものだけにアクセスできるようにします。

データガバナンス

• 自動監視: PSD2 への準拠を自動的に監視するソフトウェアに投資します。このシステムは、データ処理の慣行を監視し、潜在的な問題が深刻になる前に警告を出します。また、監査プロセスも効率化します。

• データの匿名化とトークン化: 機密性の高い顧客情報を匿名化してトークン化します。これにより、保護が強化され、データが共有されている場合でも、変換することで、万が一傍受されてもデータを使えない状態にします。

テクノロジーの活用

• レギュラトリーテクノロジー (RegTech): PSD2 要件を処理するように設計された RegTech ソリューションを検討します。これらのプラットフォームは、レポートやリスク管理など、複数のタスクの管理に役立ちます。

• サービスとしてのコンプライアンス (CaaS): 準拠への取り組みが困難な場合は、CaaS プロバイダーとの提携を検討してください。これらのサービスプロバイダーは、規制の変更に対応する既製のソリューションを提供するため、社内で構築することなく準拠を維持できます。

適応力と俊敏性

• 規制への素早い対応: PSD2 の変更や新しいセキュリティの脅威に迅速に対応できるアジャイルなコンプライアンスフレームワークを構築します。これには、チームが最近の更新を評価し、ポリシーや技術スタックに必要な調整を行うための定期的なスプリントが含まれる場合があります。

• 業界内での協力: 業界団体やフォーラムに参加して、PSD2 のベストプラクティスや変更点を把握します。同業他社と協力することで、トレンドを常に把握し、規制環境の発展に合わせて準拠を維持するための戦略を共有することができます。

顧客とのコミュニケーション

• 積極的な顧客教育: 顧客とのやり取りをカスタマイズして、顧客との関係を強化します。データインサイトを使用して対象顧客をセグメント化し、パーソナライズされたアプリ内メッセージ、ターゲットを絞ったウェビナー、または詳細な FAQ を通じて具体的な教育活動を行います。

• ユーザー体験の向上: PSD2 要件をユーザー体験 (UX) 設計に統合して、顧客体験を細かく調整します。さまざまな認証方法をテストして、セキュリティと利便性の適切なバランスを見つけ、分析情報を使用してユーザージャーニーを改善し続けます。

リスクマネジメント

• 動的リスクスコアリング: リアルタイムで適応できるリスクスコアリングモデルを開発し、最新のデータを使用してコンプライアンスリスクを予測および防止します。機械学習を導入して、事後対応型のアプローチから予測型のアプローチに移行し、問題がエスカレートする前に発見します。

• 継続的な第三者評価: TPP の規制準拠とセキュリティ慣行を長期にわたって継続的に監視します。自動化されたツールは、リスクプロファイルの変化を常に把握するのに役立ちます。