Le cloud dans les systèmes de paiement

Pour discipliner ce paysage en évolution accélérée, des initiatives réglementaires se font jour partout dans le monde, souvent de façon peu harmonisée d’un pays ou d’une région à l’autre. Et pour répondre aux objectifs de ces régulateurs tant en matière de sécurité pour le consommateur que d’innovation, les PSP doivent adapter en permanence leurs offres, processus et solutions dans des délais très courts.

Les services de paiement doivent par conséquent s’appuyer sur des infrastructures qui soient, d’une part, performantes, résilientes, sécurisées et élastiques pour pouvoir soutenir durablement la charge et, d’autre part, ouvertes et agiles pour favoriser l’innovation.

Ces infrastructures doivent en particulier favoriser les indispensables collaborations entre les PSP et des éditeurs tiers, faciliter de nouvelles formes d’échange ou d’exploitation des données, et permettre d’en réduire les coûts opérationnels. Tout ceci, est très exactement le portrait-robot du cloud, à tel point qu’il semble désormais difficile d’imaginer qu’il soit possible pour un PSP de s’en passer pour concilier l’ensemble de ces exigences.

Une adoption retardée par 3 freins majeurs : la culture, la réglementation et la technologie 

Jusqu’ici, les solutions cloud ont surtout été utilisées de façon native par les nouveaux acteurs, généralement des fintechs familières des nouvelles technologies. Quant aux acteurs existants et plus traditionnels, plusieurs freins ont entravé la bascule de leurs systèmes historiques de paiement vers le cloud. 

• Le premier de ces freins est culturel. Pour beaucoup, le cloud a longtemps été synonyme de perte de contrôle sur ses données, de dépendance commerciale et d’exposition aux lois extraterritoriales, ce qui, dans un secteur aussi réfractaire au risque que le paiement, a souvent été rédhibitoire, surtout en France. Toutefois, les mentalités et les solutions évoluent, et même si l’adoption est encore inégale, une barrière psychologique est indiscutablement en train de tomber.  
• Le deuxième frein est l’instabilité réglementaire. Les PSP redoutent que le cloud ne complique leur mise en conformité, que le régulateur ne définisse un nouveau cadre pour l’exploitation des solutions Cloud, voire que son utilisation elle-même soit source de nouveaux risques juridiques. Et là encore, les avancées sont significatives. De ce point de vue, les clouds de confiance proposés par des acteurs européens (comme BLEU ou S3NS en France) peuvent constituer une réponse pertinente, au moins pour certains pans de l’activité, sous réserve de disponibilité des services recherchés. 
• Enfin, bien sûr, il y a l’obstacle de la technologie. Les plateformes de paiement sont complexes. Pour couvrir l’ensemble de la chaîne de valeur (acquisition, fraude, screening, exécution, routage, clearing, etc.), elles sont faites de multiples blocs logiciels qui sont souvent d’origines diverses , d’âge et de conception différents, et étroitement imbriqués avec le reste du système d’information. Aussi, les migrer en les transformant est longtemps apparu comme une tâche coûteuse, risquée et peu rentable. Aujourd’hui, comment les choses ont-elles évolué et quelles sont les bonnes pratiques ?

Deux stratégies pour passer au cloud : reconstruire ou moderniser l’existant 

Dans tous les cas, la stratégie de migration d’un SI paiements vers le cloud doit s’inscrire dans la roadmap pluriannuelle de transformation métier de l’organisation. Elle pourra ainsi l’accompagner ou la faciliter.  

• La première stratégie consiste à reconstruire le SI paiements dans son intégralité pour servir les objectifs métiers de demain. Il s’agit là de développer de nouvelles offres ou nouveaux services métiers qui ont vocation à prendre le pas sur l’existant. Banco Santander, par exemple, développe les nouvelles offres de paiement de sa fintech PagoNxt (services aux commerçants et aux entreprises internationales) sur un SI entièrement basé sur les nouvelles technologies et hébergé dans le cloud. La migration de ses métiers et de ses plateformes actuelles n’interviendra que dans un second temps. 
• La seconde stratégie, à l’instar de ce qu’a réalisé Payplug (fintech de services aux commerçants du groupe BPCE), consiste à moderniser progressivement sa plateforme de paiement historique et monolithique en procédant à une réarchitecture à base de containers et de micro-services. Cette modernisation cloud native, qui se focalise d’abord sur le traitement des transactions avant d’adresser la migration des solutions tierces, permet de commencer rapidement à tirer parti de l’élasticité des solutions Cloud tout en assurant la conformité avec la réglementation et ses certifications (PCI-DSS, par exemple). Dans cette approche, il faut avancer pas à pas, avec beaucoup de méthode et de prudence, en coordonnant les nombreuses parties-prenantes afin de minimiser les risques et de ne toucher qu’en dernier lieu au « cœur du réacteur ».

Des facteurs de succès communs  

Il appartient donc à chaque PSP de définir sa propre trajectoire en fonction de sa situation métier et technologique, et de ses ambitions sur le marché. Quelle que soit l’option choisie, l’expérience révèle toutefois quelques invariants en ce qui concerne la méthodologie et les facteurs clés de succès : la maîtrise de l’écosystème historique existant, de ses fonctionnalités et de ses briques technologiques ; la synchronisation avec les équipes métiers et leur stratégie ; les relations avec les éditeurs et les partenaires

Il doit aussi s’agir d’un projet d’entreprise, suivi au plus haut niveau et où l’on vise davantage des bénéfices structurels qu’un ROI rapide. Il faut également obtenir du fournisseur de services cloud des garanties fortes en termes de sécurité, de conformité, de réversibilité, de chiffrement, etc. Enfin, une collaboration étroite entre les différents acteurs internes, les partenaires technologiques et les autorités de contrôle est incontournable. 

Les PSP doivent se défaire de leurs dernières réticences vis-à-vis du cloud et se montrer pragmatiques en adoptant ces solutions avec détermination, vigilance et rigueur pour réussir un tel programme. Hier largement perçu comme un risque, le cloud est à présent passé d’un statut d’opportunité à celui de nécessité. Car lui seul permettra aux PSP de se positionner – ou de se maintenir – parmi les leaders des systèmes de paiement les plus résilients et innovants du marché.