Polskie banki mają nieco ponad rok na dostosowanie się IPR

„W ubiegłym roku weszły w życie nowe regulacje unijne (IPR), które dotyczą przelewów SEPA Instant. W Polsce bezpośrednio do tych przepisów musiały się już dostosować dwa banki z uwagi na ich obecność w strefie euro” – mówił Jarosław Mazurek.

Jak wskazał są to PKO Bank Polski, który ma swoje oddziały korporacyjne w Niemczech i na Słowacji oraz mBank posiadający oddział zagraniczny na Słowacji.

Pozostałe banki w krajach UE, które nie są w strefie euro muszą być gotowe do wdrożenia  mechanizmu weryfikacji odbiorcy płatności po numerze IBAN do lipca 2027 roku.

„Do tej pory robiąc przelewy zagraniczne można było sprawdzić czy istnieje rachunek bankowy, na który chcemy przelać pieniądze. Teraz będziemy wiedzieć czy dany rachunek bankowy należy do określonej firmy lub osoby” – wyjaśniał Jarosław Mazurek.

Jak było, jak będzie

Jak wskazywał, jeśli numer rachunku bankowego był poprawny, a nazwa odbiorcy nie, to przelew mimo to był realizowany bez większej analizy.

„Teraz, co już jest wdrożone w strefie euro,  dokonując tego typu przelewu, jako zlecający przelew dostaniemy w kilka sekund feedback z banku odbiorcy płatności, czy numer IBAN, który podaliśmy na pewno przynależy do wpisanej przez nas w zleceniu przelewu osoby lub firmy” – stwierdził.

Następnie wyjaśnił, że odpowiedzi banku odbiorcy płatności mogą mieć różne statusy, od skrajnego, w którym stwierdza się, że rachunek nie należy do podmiotu wpisanego w zleceniu przelewu, po status pośredni gdzie mogą być drobne literówki w nazwisku czy nazwie firmy i innego rodzaju większe lub mniejsze nieścisłości ale mieszczące się w granicach błędu ludzkiego czy też zastosowanego skrótu w danym wyrazie czy nazwie.

„Czyli ja jako użytkownik, zanim wyślę przelew, powinienem dostać ostrzeżenie, że ‘drogi użytkowniku, pod tym nr IBAN nie jest Jarek Mazurek tylko jest Jarosław Mazurek’ i to ode mnie zależy czy kliknę ‘wyślij przelew’ czy też zadzwonię do swojego kontrahenta Jarka Mazurka i zapytam czy dany rachunek naprawdę należy do niego”- wyjaśniał.

Dodał, że informacja zwrotna banku w przypadku statusu ‘no match’ nie zawiera informacji o tym kto jest faktycznym posiadaczem danego rachunku, a tylko informację że dane podane przez zlecającego przelew są niezgodne z tymi posiadanymi przez bank odbiorcy płatności.

Chodzi o to aby nie ułatwiać przestępcom zdobywania informacji o właścicielach rachunków bankowych.

Banki same określą poziom ryzyka, który mogą zaakceptować

„Cała ta konstrukcja jest o tyle istotna, że zwiększy bezpieczeństwo nas wszystkich, jako osób dokonujących przelewy” – podkreślił.

Jak zaznaczył dla banków jest istotne to, że w razie fraudu będzie mógł wykazać klientowi zlecającemu przelew, że ostrzegał go o braku zgodności w danych do przelewu, bo to ostatecznie klient zadecyduje o tym czy przelew, mimo otrzymania zwrotnych informacji o zauważonych nieścisłościach w nazwie obiorcy przelewu, zlecić czy też wstrzymać.

Dodał, że regulacja nie wymusza określonych zasad postępowania po stronie banków w zakresie matchingu danych. Ustawodawca jedynie wskazuje rekomendacje. Banki same muszą zdecydować jakie wybiorą procedury matchowania danych w celu zapewnienie bezpieczeństwa przelewów przy jednoczesnym zachowaniu zadowolenia swoich klientów. Czyli to banki będą określać poziom ryzyka, który mogą zaakceptować.

Jak stwierdził jest możliwe, że bank przyjmie odmienne procedury w odniesieniu do osób fizycznych, inne dla małych firm, a jeszcze inne dla ważnych z punktu widzenia banku klientów korporacyjnych. Chodzi o to aby nie wydłużać procedur związanych z przelewami, ale jednocześnie zachować określone poziomy bezpieczeństwa.

Jak zauważył banki już od dawna weryfikują informacje podawane przez zlecających przelewy w różnych procesach antyfraudowych.

W jego opinii nowością w obecnej regulacji unijnej jest to, że bank odbiorca przelewu ma obowiązek odpowiedzieć drugiemu bankowi w przeciągu kilku sekund i to jeszcze przed dokonaniem transakcji czy dane w zleceniu są poprawne, a jeśli nie – to przy statusie „close match” w jakim stopniu są niepoprawne (np. przy literówce w nazwisku itd.).

„Moim zdaniem wdrożenie regulacji IPR nie jest dla polskich banków kłopotliwe, to jest po prostu kolejny temat regulacyjny, który trzeba zrobić i na który jest określony deadline, tym bardziej, że  dwa duże banki w Polsce już się do nowych przepisów dostosowały. My jako dostawca i partner technologiczny dla banków widzimy, że  wyzwań regulacyjnych i projektów z konkretnymi deadline’ami jest stosunkowo dużo, więc bank oczywiście musi zaprojektować sobie ścieżkę wdrożeniową z odpowiednim wyprzedzeniem” – podsumował Jarosław Mazurek.