Guide sur les signatures électroniques pour les prélèvements SEPA

Comme toutes les méthodes de paiement et de service bancaire en ligne, la mise en place d’un mandat de prélèvement nécessite une méthode d’autorisation juridiquement contraignante afin de réduire le risque d’usurpation d'identité.

Au cours des dix dernières années, un certain nombre de méthodes sécurisées de signature électronique (e-signature) se sont développées en France et à l'international, afin de référencer l’identité de la personne qui a mis en place le mandat.

La meilleure méthode n’a pas encore été déterminée. Tous les fournisseurs de prélèvement automatique utilisent des méthodes différentes. Au moment de choisir la signature électronique adaptée à votre entreprise, il est important de prendre en considération les points suivants :

• Le respect de la loi

• La sécurité et la prévention de la fraude

• Le risque d’opposition au paiement

• Les frais pour votre entreprise

• La conversion de clients

Dans cet article, nous abordons ces points et vous fournissons des explications qui, nous l’espérons, vous aideront à prendre une décision plus éclairée.

Qu’est ce que la signature électronique ?

Voici trois méthodes de signature électronique (toutes acceptées par SEPA) pouvant être utilisées pour la mise en place d’un prélèvement automatique :

Méthode n°1 : Authentification par SMS (et autres formes de solutions de signatures numériques fournies par des entreprises telles que Universign, YouSign et DocuSign). Pendant la configuration du mandat, le client est invité à entrer son numéro de téléphone sur lequel il reçoit un code numérique à entrer dans le formulaire en ligne afin de confirmer son identité.

Méthode n°2 : Confirmation par clic avec une adresse IP horodatée. Une fois ses coordonnées entrées, le client envoie le mandat. Il est alors redirigé vers une page de confirmation, sur laquelle il peut confirmer en cliquant sur un bouton. Le créditeur utilise ensuite l'adresse IP horodatée comme preuve contextuelle supplémentaire.

Méthode n°3 : Authentification via les services bancaires en ligne. Cette troisième méthode d'authentification consiste à confirmer l'identité du payeur lui envoyant une demande d'autorisation via sa banque en ligne. Il est nécessaire qu'il s'identifie pour accepter la demande ce qui permet au créditeur de confirmer l'identité du payeur.

Ce tableau compare ces 3 méthodes d’authentification pour les mandats SEPA en France sur des critères importants tels que la sécurité, les frais pour votre entreprise et la conversion des clients.

Respect de la loi

SEPA

Bien que le Conseil européen des paiements (EPC) exige une forme de signature contraignante, les signatures électroniques peuvent prendre différentes formes. L'authentification par SMS n'est pas la seule forme de signature électronique autorisée par SEPA.

Ahmed Badr, responsable du service juridique de GoCardless, nous explique : « La règlementation SEPA ne précise pas explicitement comment un mandat doit être signé par le payeur. Le Conseil européen des paiements a reconnu l’existence d’un certain degré d'incertitude concernant les règles relatives à la signature électronique et a, par conséquent, publié une lettre de clarification fournissant des indications supplémentaires.»

« La lettre explique que les méthodes de signature électronique, décrites dans la section 4.1 des livrets SDD Core et B2B, ne sont pas exhaustives. L’authentification par SMS n'est donc pas la seule méthode de signature électronique autorisée par SEPA. »

Il ajoute : « Les entreprises utilisant SEPA peuvent employer d'autres méthodes de signature juridiquement contraignantes, y compris celles qu’elles utilisaient auparavant au niveau national.

Cette orientation est réitérée dans le document de clarification de l'EPC sur SEPA SDD Core et B2B, publié en novembre 2017.

Les trois méthodes de signature électronique décrites dans le tableau ci-dessus sous toutes acceptées par SEPA.

eIDAS

Certaines solutions de signatures électroniques sont officiellement reconnues comme “QES” (Qualified Electronic Signatures) par l’eIDAS, le règlement en vigueur sur les transactions électroniques dans l’Union européenne (Réglement eIDAS n°910/2014).

Ces solutions prennent en compte les solutions de signatures numériques et par SMS offertes par des fournisseurs tels que Universign, YouSign et DocuSign. Elles sont aussi utilisées par certains fournisseurs de prélèvement automatique en France, en tant que méthode d'authentification pour les mandats, moyennant des frais supplémentaires pour le marchand.

Utiliser une solution reconnue par le règlement eIDAS pour signer un mandat de prélèvement permet d’avoir des données plus solides sur le payeur qui a autorisé la transaction en cas d’opposition ou de contestation du paiement. Toutefois, la décision finale pour chaque litige demeure à la discrétion de la banque du payeur (voir Risque d’opposition au paiement).

Bien que ces solutions sont mises à la disposition des marchands encaissant des paiements par prélèvement automatique, elles ne sont pas imposées par SEPA et présentent des inconvénients (voir Conversion de client et Frais pour votre entreprise).

La manière dont un mandat est signé est une décision commune prise entre le créancier et le débiteur. Proposer une méthode de signature électrique moins sécurisée qu’une “Qualified Electronic Signature” (Réglement eIDAS n°910/2014) est un risque à prendre côté créancier. Compte tenu des frais supplémentaires qu’une signature électronique engendre, le coût ne se justifie pas pour un prélèvement de 60 euros par exemple. En revanche, il peut se justifier pour un montant de 60 000€.

C’est la banque du débiteur qui aura la décision finale sur la validité du mandat. C’est un calcul à faire entre les risques de demande de remboursement et la valeur de chaque prélèvement.

Sécurité et prévention de la fraude

Méthode n°1 : Authentification par SMS (et signatures numériques fournies par des entreprises telles que Universign, YouSign et DocuSign)

Bien qu'il s'agisse d'une forme acceptable de signature électronique pour les mandats SEPA couramment utilisée en France, il est important de noter que l'authentification par SMS ne peut prouver l'identité. En effet, un fraudeur peut entrer son propre numéro de téléphone lorsqu'il y est invité et compléter la transaction. À l'heure actuelle, il n'existe pas de base de données ouverte et vérifiable permettant aux fournisseurs de prélèvement automatique ou de solutions de signatures électroniques de vérifier que le numéro de téléphone saisi correspond à la personne mettant en place le mandat.

Méthode n°2 : Confirmation par clic avec une adresse IP horodatée

Comme l'authentification de la méthode n°1 (via SMS), cette méthode ne permet pas de vérifier l'identité. Elle permet uniquement au processeur de paiement de réduire le risque de fraude. Par exemple, si le système détecte que vingt mandats ont été configurés en cinq minutes avec la même adresse IP, les transactions seront automatiquement bloquées. La confirmation par clic avec une adresse IP horodatée est donc une forme acceptable de signature contraignante selon SEPA (voir Respect de la loi) et peut être utilisée en France comme en Europe. Elle est, d’ailleurs, communément utilisée par les fournisseurs de paiement internationaux, y compris GoCardless.

Méthode n°3 : Authentification via les services bancaires en ligne

Cette méthode permet de vérifier l’identité de la personne signant le mandat. Il n'existe actuellement aucun fournisseur de prélèvement automatique en France offrant ce service. Cela est dû au fait qu’il nécessite une intégration technique avec chaque banque. La directive DSP 2 commence à prendre effet en Europe et les banques ouvrent petit à petit leurs API aux fournisseurs de paiement. Il est donc possible que les fournisseurs de prélèvement automatique commencent à développer cette méthode d'authentification.

Risque d’opposition au paiement

Avec SEPA, les clients ont droit à :

• Un remboursement sans réserve dans les huit semaines suivant le paiement par prélèvement automatique (appelé indemnisation ou « opposition au paiement »).

• Passé ce délai de huit semaines, les clients ont encore la possibilité de demander un remboursement dans un délai de 13 mois à condition de détenir un code SEPA valide.

• Si vous souhaitez contester une opposition à un paiement, il est possible que vous deviez contacter le payeur afin de gérer le litige en dehors de SEPA. Une demande d’opposition au paiement dans le cadre de SEPA n’a aucun impact sur les accords contractuels entre un marchand et son client.

La banque du client a le dernier mot pour juger les demandes de paiement et décider de la faiblesse ou de la force de l'authentification du payeur.

Après la période initiale de remboursement de 8 semaines « sans questions », si un payeur demande le remboursement d’un paiement qu'il considère comme non autorisé, la charge de la preuve incombe au bénéficiaire (marchand) pour prouver le contraire.

Ces règles et périodes de temps s'appliquent à toutes les transactions par prélèvement automatique sous SEPA, quelle que soit la méthode de signature électronique que vous utilisez.

La signature par SMS d'un fournisseur reconnu par eIDAS fournit des preuves légèrement plus solides de l'identité du payeur, mais il est toujours à la discrétion de la banque du client d'accepter ou de refuser une réclamation client.

Les règles de remboursement existent sous SEPA pour protéger le client, mais, en réalité, le pourcentage de paiements remboursés par le client est relativement faible.

Frais pour votre entreprise

La signature de mandats par le biais d'un fournisseur reconnu par eIDAS coûte entre 1 et 3 € pour chaque nouveau mandat.

GoCardless vous recommande de calculer le montant total des oppositions au paiement pour votre entreprise et de vérifier si la signature de mandats par l'intermédiaire d'un fournisseur reconnu par eIDAS réduirait le coût global lié aux oppositions au paiement.

Étant donné que, pour de nombreuses entreprises, les oppositions au paiement sont rares, il est peut-être préférable d'accepter un risque légèrement plus élevé d’opposition au paiement, plutôt que de payer le coût supplémentaire lié à l'utilisation d'une solution de signature électronique reconnue par eIDAS.

Conversion de client

Un autre point important avant de choisir une méthode d'authentification pour votre entreprise : l'expérience client et la conversion. Il faut souvent faire un compromis entre sécurité et conversion et c’est à vous de décider du bon équilibre entre les deux pour votre entreprise.

Il est possible que des méthodes d'authentification très sécurisées impliquant plusieurs étapes ou nécessitant plus d'informations de la part du client occasionnent des frictions dans le processus de paiement et réduisent la conversion sur votre page de paiement.

Avant GoCardless, Zenchef, outil clef-en-main pour gérer la communication de restaurants gérait leur prélèvement par l'intermédiaire d'un autre prestataire spécialisé. Le directeur technique explique :

« Le processus précédent était lourd. Le client devait valider le mandat par SMS ce qui lui faisait perdre du temps, et une fois le mandat validé, il nous fallait déposer et récupérer des fichiers techniques sur un serveur FTP. »

Zenchef a opté pour GoCardless en raison de la simplicité d’obtenir l'autorisation de prélèvement auprès de leurs clients, avec un mandat électronique intégré à même le formulaire d'inscription (méthode 2 d’authentification). (Pour plus de conseils sur la conversion des pages de paiement, consultez notre guide : 10 stratégies pour améliorer le taux de conversion de votre page de paiements).

Utilisation internationale

Bien que largement utilisée en France, l'authentification par SMS, n’est pas du tout utilisée dans de nombreux pays où l'industrie du prélèvement automatique est plus développée, comme, par exemple, le Royaume-Uni.

GoCardless est un fournisseur de prélèvement automatique qui uniformise ses process à travers la zone euro afin de garantir une expérience utilisateur fluide et homogène pour tous nos clients professionnels.

Avec GoCardless, vous pouvez collecter des fonds par prélèvement automatique en France et en Europe avec SEPA, au Royaume-Uni avec Bacs et en Suède avec Autogiro. Nous ajouterons d’autres systèmes de paiement l’année prochaine. Parce que nous comprenons la complexité des transferts de banque à banque au niveau local et international, nous faisons tout notre possible pour que vous soyez toujours en règle et pour que vos transactions soient sécurisées et optimisées.