De wereldwijde verliezen als gevolg van online betalingsfraude in de e-commercesector werden geschat op ongeveer $44 miljard in 2024. Maar wie betaalt als een transactie frauduleus blijkt te zijn? Dat hangt af van hoe de betaling is verwerkt, welke beveiligingstools zijn gebruikt en welke regels er achter de schermen gelden. Die overdracht van verantwoordelijkheid wordt een aansprakelijkheidsverschuiving genoemd, en het is een belangrijk onderdeel van het betalingssysteem. Helaas denken veel bedrijven hier pas over na als ze aan de verkeerde kant staan.

Hieronder leggen we precies uit hoe de aansprakelijkheidsverschuiving werkt, wanneer deze plaatsvindt en hoe je deze in je voordeel kunt gebruiken.

Wat staat er in dit artikel?

• Wat is een aansprakelijkheidsverschuiving in het kader van kaartbetalingen?
  
• Wanneer vindt een aansprakelijkheidsverschuiving plaats en wie wordt verantwoordelijk?
  
• Welke invloed heeft een verschuiving van aansprakelijkheid op je fraudepreventiestrategie?
  

Wat is een aansprakelijkheidsverschuiving in het kader van kaartbetalingen?

Een verschuiving van aansprakelijkheid bepaalt wie verantwoordelijk is wanneer een betaling als frauduleus wordt aangemerkt. Die verantwoordelijkheid kan verschuiven, afhankelijk van wie in de betalingsketen de juiste beveiligingsinstrumenten heeft gebruikt. Het komt erop neer welke partij de transactie niet heeft beveiligd.

Als een bedrijf gebruik maakt van actuele beveiligingsprotocollen, zoals EMV-chiplezers (Europay, Mastercard en Visa) en 3D Secure (3DS), en er nog steeds fraude plaatsvindt, verschuift de aansprakelijkheid doorgaans naar de uitgever van de kaart. Als het bedrijf deze beveiligingen overslaat, is de emittent niet langer verantwoordelijk. Het bedrijf (of de overnemende bank) wordt financieel aansprakelijk voor de terugboeking.

Die verandering in verantwoordelijkheid is opzettelijk. Kaartnetwerken gebruiken het om de invoering van betere beveiliging te stimuleren. De boodschap is duidelijk: implementeer sterkere authenticatie en je bent niet degene die fraudeverliezen dekt.

De regels voor het kaartnetwerk volgen een strikte logica voor het beoordelen van de aansprakelijkheid:

• Heeft het bedrijf de beschikbare authenticatiemethode geïmplementeerd?

• Is de transactie via het juiste kanaal verwerkt?

Als het antwoord op beide “ja” is, is het bedrijf beschermd. Zo niet, dan is het kwetsbaar.

Wanneer vindt een aansprakelijkheidsverschuiving plaats en wie wordt verantwoordelijk?

De aansprakelijkheidsverschuiving is niet van toepassing op elke transactie. Dit gebeurt alleen wanneer bepaalde technologieën of protocollen (of niet) worden gebruikt om fraude op te sporen en te voorkomen. Als aan deze voorwaarden is voldaan, gaat het risico van fraude over van het bedrijf naar de emittent. Als dat niet het geval is, is het bedrijf verantwoordelijk.

Hier wordt nader bekeken wanneer en waarom de aansprakelijkheidsverschuiving plaatsvindt voor verschillende soorten transacties.

EMV-chipkaarttransacties

Als een klant een EMV-chipkaart voorlegt voor betaling, maar het bedrijf deze niet verwerkt met een chiplezer, wordt het bedrijf aansprakelijk voor eventuele fraude in verband met die transactie. Dit betekent:

• Als het bedrijf EMV niet ondersteunt maar de kaart wel een chip heeft, neemt het bedrijf (of de overnemende partij) het verlies

• Als het bedrijf een EMV-lezer op de chipkaart gebruikt, is de uitgever waarschijnlijk aansprakelijk

Dit heeft geen invloed op geschillen die geen verband houden met kaartfraude, zoals claims over „beschadigde producten”. Het bedrijf is daar nog steeds verantwoordelijk voor.

Online transacties

De aansprakelijkheidsverschuiving voor online of mobiele betalingen hangt meestal af van het feit of 3DS is gebruikt en of de authenticatie is geslaagd:

• Als een transactie via 3DS wordt geverifieerd, verschuift de aansprakelijkheid naar de bank van de kaarthouder.

• Als 3DS niet wordt gebruikt, uitvalt of niet beschikbaar is, is het bedrijf aansprakelijk.

Als de kaarthouder later beweert dat hij de betaling niet heeft geautoriseerd, is de uitgever alleen verantwoordelijk als de authenticatie is voltooid. Zelfs als de transactie niet is geverifieerd omdat de uitgever niet deelneemt aan 3DS of als er een fout optreedt, verschuift de aansprakelijkheid meestal niet naar de uitgever.

Contactloze en digitale portemonneetransacties

Veel digitale portemonnees (zoals Apple Pay, Google Pay) komen in aanmerking voor een verschuiving van aansprakelijkheid vanwege de manier waarop ze zijn getokeniseerd en geverifieerd. Deze transacties bevatten vaak cryptografisch bewijs dat de kaarthouder is geverifieerd met behulp van biometrische gegevens of op het apparaat gebaseerde inloggegevens. Als dat bewijs aanwezig is, verschuift de aansprakelijkheid doorgaans naar de emittent.

Transacties zonder authenticatie-opties

Niet elk kanaal maakt authenticatie mogelijk, waaronder betalingen via postorder/telefonische bestelling (MOTO). In deze gevallen blijft de aansprakelijkheid doorgaans bij het bedrijf, omdat de transactie niet in realtime kan worden geverifieerd.

Welke invloed heeft een verschuiving van aansprakelijkheid op je fraudepreventiestrategie?

Aansprakelijkheidsverschuiving is een besluitvormingsinstrument. Het bepaalt hoe je omgaat met risico's, welke beveiligingsmaatregelen je neemt bij het afrekenen en hoe je een evenwicht vindt tussen fraudepreventie en klantervaring.

Het helpt je te beslissen wanneer je authenticatie wilt toevoegen

3DS biedt je iets wat de meeste fraudehulpmiddelen niet kunnen: bescherming tegen financiële aansprakelijkheid. Dat maakt het een krachtige terugvaloplossing, vooral voor transacties die risicosignalen activeren, zoals bestellingen met een hoge waarde, internationale kaarten en nieuwe klanten.

Sommige bedrijven gebruiken 3DS selectief. Ze gebruiken 3DS bijvoorbeeld voor risicovolle transacties om de aansprakelijkheid van zichzelf af te schuiven, maar deze over te slaan bij transacties met een laag risico om wrijving bij het afrekenen te minimaliseren en de conversie -tarieven te behouden. Ze behandelen niet elke klant als een bedreiging, maar gebruiken aansprakelijkheidsverschuiving waar dat het belangrijkst is.

Maar in sommige regio's vereist naleving van de regelgeving het gebruik van 3DS voor alle online transacties.

Het verandert hoe je risicoscores interpreteert

Als je weet dat de aansprakelijkheid van een transactie is verschoven (omdat 3DS is geslaagd of de chip is gebruikt), kun je besluiten deze goed te keuren, zelfs als er fraude-indicatoren aanwezig zijn. Omgekeerd, als een transactie niet in aanmerking komt voor een verschuiving van aansprakelijkheid, wil je misschien meer aandacht besteden aan de controle. Dat kan betekenen dat er meer verificatie nodig is, deze handmatig moet worden beoordeeld of dat deze moet worden geblokkeerd.

Het herformuleert de kosten van fraude

Een succesvolle verschuiving van aansprakelijkheid betekent dat de emittent, en niet je bedrijf, het verlies opneemt. Dat vermindert je directe financiële blootstelling, maar fraude brengt nog steeds indirecte kosten met zich mee, zoals:

• Inventarisatie verliezen

• Omgaan met escalaties van geschillen

• Door netwerken worden gemarkeerd vanwege hoge fraudepercentages

Hoewel een verschuiving van aansprakelijkheid de impact van fraude vermindert, wordt de schade niet geëlimineerd. Je wilt het nog steeds voorkomen wanneer je kunt.

Uw algemene strategie is afhankelijk van je bedrijfsmodel, risicoprofiel en geografie. De EU vereist bijvoorbeeld Strong Customer Authentication (SCA) voor alle online betalingen, en up-to-date 3DS-authenticatie voldoet aan die vereiste. In de VS en andere regio's is 3DS optioneel. Dat geeft je meer flexibiliteit maar ook meer beslissingen om te nemen. Als je wereldwijd actief bent, zul je waarschijnlijk uiteindelijk een hybride strategie gebruiken: 3DS overal waar dat nodig is en een op risico gebaseerde aanpak elders.