Assurance prestataire de services de paiement

Les risques propres à l’activité de prestataire de services de paiement

Le PSP opère à l’intersection de la technologie, du droit bancaire et de la relation client. Ses risques découlent directement de cette position.

Le risque d’erreur opérationnelle est central : un virement mal acheminé, un double débit, un retard dans l’exécution d’une opération de paiement peuvent causer un préjudice financier direct au client. La responsabilité du prestataire est alors engagée dès lors que la faute ou la négligence est établie.

Le risque cyber est structurel pour cette activité. Les systèmes informatiques du PSP hébergent des données de paiement, des identifiants bancaires et des informations personnelles. Une atteinte à ces données, qu’elle résulte d’une intrusion externe ou d’une défaillance interne, expose à des réclamations de clients et à des frais de remédiation considérables.

Le risque lié au conseil est fréquent chez les agents et mandataires de PSP. Un client qui conteste une recommandation sur le choix d’un service de paiement ou sur les conditions d’une opération peut engager une procédure. La documentation des échanges et des conseils fournis constitue la première ligne de défense, mais elle ne suffit pas à absorber le coût d’une mise en cause.

Enfin, si le PSP dispose de locaux (serveurs, matériel informatique, postes de travail), un incendie, un dégât des eaux ou un vol peut interrompre l’activité et provoquer une perte d’exploitation.

Comment choisir son assurance prestataire de services de paiement ?

Le premier critère est la précision de la déclaration d’activité. Les contrats de responsabilité civile professionnelle couvrent les dommages causés dans le cadre des activités déclarées. Un PSP qui exerce à la fois comme agent d’un établissement de paiement et comme distributeur de services complémentaires doit déclarer les deux volets : un contrat qui ne mentionne que l’une des activités laisse l’autre sans couverture.

Le plafond de garantie doit être calibré sur la valeur des opérations traitées. Un PSP qui exécute des paiements pour des clients professionnels ou des e-commerçants peut voir sa responsabilité engagée pour des montants bien supérieurs à ceux d’une activité de conseil classique. Un plafond trop bas laisse une partie du risque à la charge du professionnel.

La franchise (la part du sinistre restant à la charge de l’assuré) mérite une attention particulière : une franchise élevée réduit la cotisation mais peut rendre la garantie inopérante pour les sinistres fréquents de faible montant, typiques des erreurs d’exécution.

Pour les contrats en base réclamation (déclenchés par la date à laquelle le client formule sa réclamation), la reprise du passé inconnu permet de couvrir des faits antérieurs à la souscription dont le professionnel n’avait pas connaissance au moment de signer. La garantie subséquente (qui prolonge la couverture après la fin du contrat pour les réclamations tardives) doit être d’au moins cinq ans après résiliation, et dix ans en cas de cessation d’activité.

Les exclusions fréquentes dans ce secteur concernent les dommages causés intentionnellement, les sanctions prononcées par l’ACPR, les amendes administratives et les pénalités contractuelles. Un contrat cyber peut prendre en charge les frais de notification et de défense liés à une violation de données, mais pas les amendes prononcées par la CNIL.

Points de vigilance à la souscription

Déclarer une activité générique de « conseil financier » sans mentionner l’agrément ou l’enregistrement ORIAS du PSP est une erreur courante. Les assureurs spécialisés dans le secteur financier tarifent différemment un agent de PSP enregistré auprès de l’ACPR et un prestataire non agréé : la déclaration inexacte peut entraîner une réduction d’indemnisation, voire une nullité du contrat.

Certains professionnels confondent la RC Pro et la garantie cyber. La RC Pro couvre les dommages causés à un tiers par une erreur professionnelle. La garantie cyber couvre les frais propres du PSP (remédiation, notification, frais juridiques) consécutifs à une atteinte à ses systèmes. Les deux risques sont distincts et nécessitent deux contrats séparés.

Oublier de déclarer une activité d’agent mandataire exercée pour plusieurs mandants est une autre source de litige. Si le PSP agit pour le compte de plusieurs établissements de paiement, chaque relation de mandant doit figurer dans le contrat.

Enfin, un PSP qui recrute des salariés doit souscrire une mutuelle collective et, pour les cadres, une cotisation de prévoyance obligatoire dès le premier salarié concerné. Ces obligations sont souvent découvertes lors d’un contrôle, pas à la souscription.

Assurances obligatoires pour exercer comme prestataire de services de paiement

Aucune assurance professionnelle spécifique n’est imposée par la loi pour l’activité de prestataire de services de paiement. Il n’existe pas, pour ce métier, d’obligation légale de RC Pro comparable à celle des professions réglementées de santé ou du droit.

Cependant, plusieurs obligations s’imposent dans les faits. Les partenaires bancaires et les mandants exigent systématiquement une attestation d’assurance RC Pro avant de signer un contrat de distribution ou d’agent. L’enregistrement à l’ORIAS pour certaines catégories d’intermédiaires peut également supposer la production d’une garantie financière ou d’une assurance selon le statut exercé.

Si le PSP emploie des salariés dans le secteur privé, la complémentaire santé collective est obligatoire depuis le 1er janvier 2016 (article L911-7 du Code de la sécurité sociale), avec une participation employeur d’au moins 50 %. Pour les salariés cadres, une cotisation de prévoyance d’au moins 1,50 % de la tranche A est obligatoire depuis l’ANI du 17 novembre 2017.

Le véhicule utilisé à titre professionnel doit être assuré au titre de la responsabilité civile automobile, obligation qui s’applique à tout véhicule terrestre à moteur.

Coût d’une assurance prestataire de services de paiement

La prime d’un contrat de responsabilité civile professionnelle pour un PSP dépend de plusieurs facteurs.

• Le chiffre d’affaires et le volume des opérations traitées : plus les flux sont importants, plus l’exposition potentielle est élevée.
• Le statut exercé : agent de PSP enregistré, mandataire, distributeur ou opérateur direct n’ont pas le même profil de risque aux yeux des assureurs.
• Les activités déclarées : un PSP qui combine paiements, conseil en services bancaires et distribution de produits complémentaires présente un risque plus large qu’un prestataire mono-activité.
• Le plafond de garantie choisi et le niveau de franchise : un plafond élevé avec une franchise basse augmente la prime.
• L’antécédent sinistre : un dossier sans réclamation depuis plusieurs années améliore les conditions proposées par les assureurs.
• La présence de salariés : elle ouvre des obligations en matière de mutuelle et de prévoyance collective, qui s’ajoutent au budget assurance.

Sinistres fréquents dans l’activité de prestataire de services de paiement

Un agent de PSP exécute un virement pour un client e-commerçant avec une référence bancaire erronée. Les fonds sont crédités sur un compte tiers et ne peuvent être récupérés immédiatement. Le client réclame le remboursement du montant et les frais financiers causés par le retard. La RC Pro prend en charge les dommages immatériels causés au client après établissement de la responsabilité du prestataire.

Un PSP stockant des données de paiement subit une intrusion sur ses serveurs. Plusieurs milliers de références de cartes sont compromises. Les frais de notification aux clients concernés, d’analyse forensique et de défense juridique sont pris en charge par la garantie cyber, distincte de la RC Pro.

Un mandataire de PSP conseille un distributeur sur le choix d’un service de paiement intégré. Le service se révèle incompatible avec le système informatique du client, entraînant plusieurs jours d’interruption de ses ventes en ligne. Le client engage une réclamation pour dommages immatériels consécutifs à une erreur de conseil. La RC Pro intervient si la négligence du mandataire est établie.

Un incendie dans les locaux du PSP détruit les serveurs de production. L’activité est interrompue plusieurs jours. La multirisque professionnelle couvre les dommages matériels et la perte d’exploitation (la perte de marge subie pendant l’interruption d’activité consécutive au sinistre).

Les contrats à prévoir pour exercer comme prestataire de services de paiement

RC Pro

La responsabilité civile professionnelle est le socle du dispositif. Elle couvre les dommages corporels, matériels et immatériels causés à un client ou à un tiers par une erreur, une négligence ou un manquement dans l’exécution des services de paiement ou dans le conseil fourni. Sans ce contrat, les réclamations sont supportées directement par le professionnel.

Cyber

La garantie cyber couvre les frais propres du PSP en cas d’atteinte à ses systèmes informatiques : analyse de l’incident, notification des personnes concernées, frais de défense face aux réclamations de clients, restauration des données. Elle ne se substitue pas à la RC Pro mais couvre des frais que celle-ci ne prend pas en charge.

Protection Données Personnelles / RGPD

La protection données personnelles complète la garantie cyber sur le volet réglementaire. Elle prend en charge les frais liés à une procédure devant la CNIL ou à une réclamation fondée sur une violation du RGPD. Les amendes administratives restent en principe non assurables, mais les frais de défense et d’assistance sont couverts.

Multirisque Professionnelle

La multirisque professionnelle couvre les locaux, le matériel informatique et les équipements du PSP contre les dommages matériels (incendie, dégât des eaux, vol). Elle inclut souvent une garantie perte d’exploitation qui indemnise la baisse de marge pendant l’interruption d’activité consécutive à un sinistre garanti.

Responsabilité des Dirigeants (D&O)

La responsabilité des dirigeants couvre les fautes de gestion reprochées personnellement au dirigeant du PSP par des actionnaires, des créanciers ou des tiers. Dans un secteur surveillé par l’ACPR, où les décisions stratégiques peuvent être contestées, cette garantie protège le patrimoine professionnel du dirigeant.

Garantie Financière

Certains statuts d’intermédiaires en opérations bancaires et services de paiement (IOBSP) supposent la souscription d’une garantie financière couvrant les fonds reçus des clients. Cette garantie est souvent exigée par les mandants ou par les conditions d’enregistrement à l’ORIAS selon la catégorie exercée.

Mutuelle Entreprise et Prévoyance Entreprise

Dès le premier salarié, la mutuelle entreprise et la prévoyance entreprise sont à prévoir pour respecter les obligations issues de l’ANI de 2013 et de l’ANI du 17 novembre 2017. Pour le dirigeant non salarié, la prévoyance TNS et la mutuelle TNS couvrent les arrêts d’activité et les frais de santé non remboursés par le régime général.