Verification of Payee (VoP) Czyli jak mądrze wykorzystać Platformę Atom do cyfrowej rewolucji w bezpieczeństwie płatności
Jarosław Mazurek
eSourcing S.A.
Bezpieczeństwo transakcji bankowych, w obliczu rosnącej liczby płatności natychmiastowych, stało się priorytetem dla Unii Europejskiej, w tym Polski. Poważnym zagrożeniem finansowym i wizerunkowym dla banków stały się oszustwa typu Authorised Push Payment (APP) Fraud, polegające na manipulacji klienta tak, aby sam autoryzował przelew na konto oszusta.
W odpowiedzi na to wyzwanie UE wprowadziła mechanizm VoP w ramach Rozporządzenia o płatnościach natychmiastowych (IPR). Harmonogram wdrożenia jest jednak zróżnicowany. Podczas gdy kraje strefy euro musiały dostosować się już do 5 października 2025 r., Polska (będąca poza strefą euro) ma czas do lipca 2027 r. na implementację VoP dla wszystkich przelewów SEPA (zarówno natychmiastowych, jak i standardowych). Należy jednak mieć tu na uwadze istotny wyjątek: polskie banki posiadające oddziały w strefie euro, również podlegają terminowi z 5 października 2025 r.
W praktyce mechanizm VoP to usługa weryfikacji danych odbiorcy w czasie rzeczywistym. W momencie gdy płatnik (klient banku zlecający przelew) wprowadza numer rachunku (IBAN) oraz nazwę odbiorcy (imię i nazwisko lub nazwę firmy / identyfikator), bank nadawcy natychmiast wysyła zapytanie do banku odbiorcy. Ten z kolei sprawdza zgodność danych ze swoimi systemami i odsyła jedną z czterech odpowiedzi:
- Pełne dopasowanie (Match/MTCH): Dane są zgodne z tymi widniejącymi w kartotece klienta.
- Bliskie dopasowanie (Close Match/CMTC): Występują niewielkie różnice (np. literówki, odwrócone kolejności słów etc.), ale dane są prawdopodobnie poprawne z tymi w kartotece klienta. Bank odbiorcy płatności w informacji zwrotnej przekazuje poprawną nazwę przypisaną do rachunku odbiorcy.
- Brak dopasowania (No Match/NMTC): Dane są niezgodne z kartoteką klienta.
- Weryfikacja nie jest możliwa (Not Applicable/NOAP): Usługa VoP w ogóle nie jest dostępna dla danego rachunku.
Kluczowym wymogiem VoP jest szybkość. Cały proces wymiany informacji musi odbyć się błyskawicznie, w czasie krótszym niż 3-5 sekund, aby nie spowalniać płatności, zwłaszcza tych natychmiastowych (SEPA Instant Credit Transfer). Po otrzymaniu wyniku weryfikacji, zlecający przelew, ma możliwość podjęcia świadomej decyzji o kontynuowaniu lub anulowaniu przelewu, biorąc na siebie pełną odpowiedzialność za tę operację. Rolą banku jest natomiast precyzyjne poinformowanie klienta o ewentualnych niezgodnościach, zgodnie z wytycznymi regulatora.
Ogromnym wyzwaniem staje się jakość danych posiadanych przez banki oraz ich odpowiednia „higiena” w kartotekach klienta. Przy tej usłudze kluczowe jest precyzyjne formatowanie danych (np. pełne imię i nazwisko vs inicjały, skrótowe lub potoczne nazwy vs pełne nazwy spółek z formą prawną). Algorytmy matchingowe muszą uwzględniać wszelkie specyficzne dla danego języka oraz regionu uproszczenia oraz dopuszczalne nazwy (np. Sp. z o.o. vs Spółka z ograniczoną odpowiedzialnością). Regulacja dopuszcza także weryfikację na podstawie identyfikatorów LEI, co oznacza, że banki będą musiały zaktualizować i utrzymywać w bazach klientów parametry, które dotąd często nie były wykorzystywane.
Kolejnym istotnym obszarem jest User Experience. Informacje zwrotne o wyniku weryfikacji muszą być przedstawione klientowi w sposób wygodny, bezpieczny i zrozumiały dla każdego, niezależnie od wieku. Wiąże się z tym konieczność edukacji klientów i pracowników banku, a także prawdopodobnie wdrożenie klauzul prawnych, które określą odpowiedzialność w sytuacji, gdy klient zignoruje ostrzeżenie VoP i autoryzuje przelew. Należy pamiętać, że z perspektywy UX, VoP to nie tylko mechanizm dopasowujący dane. To także aplikacje (bankowość mobilna i internetowa), które muszą te informacje wyświetlić, co z kolei generuje potrzebę dalszych złożonych integracji systemów po stronie banku.
Wdrożenie VoP to jednak nie tylko kwestia nowych interfejsów w bankowości elektronicznej czy mobilnej, ale przede wszystkim ingerencja w systemy transakcyjne, architekturę IT i procesy bezpieczeństwa. Niezbędne jest zintegrowanie odpowiednich źródeł danych, zapewnienie dostępności 24/7 oraz gwarancja niskiego czasu odpowiedzi. Właśnie w tym miejscu z pomocą przychodzi Platforma Atom. Jest to nowoczesny, zwinny i mikrousługowy system, zaprojektowany do obsługi wysoko wolumenowych, skalowalnych, a przy okazji krytycznych operacji w czasie rzeczywistym, z możliwością integracji dowolnych źródeł danych. Platforma wspiera zarówno bezpośrednią komunikację między bankami, które jej używają, jak i działanie przy użyciu RVM (Routing Verification Mechanism) – czyli pośrednika w komunikacji VoP, takiego jak np. KIR w Polsce.
Tradycyjne systemy bankowe (w tym core systemy) często borykają się z problemami skalowalności i długimi cyklami wdrażania zmian. W przypadku projektu VoP, gdzie wolumen zapytań będzie sięgał milionów dziennie, kluczowa jest odpowiednia architektura. Platforma Atom umożliwia stworzenie dedykowanej mikrousługi VoP (zarówno dla strony nadawcy zapytania VoP, jak i odbiorcy), która może być niezależnie skalowana i optymalizowana bez obciążania głównego systemu. Dzięki wbudowanym mechanizmom obsługi komunikatów i kolejek Atom potrafi efektywnie zarządzać ruchem zapytań VoP. Może również pełnić funkcję Enterprise Data Bus (EDB), sprawnie łącząc interfejs użytkownika (bankowość internetowa i mobilna) z wewnętrznymi systemami przechowującymi dane klientów, takimi jak hurtownia danych czy core system.
Po stronie banku odbiorcy zapytania VoP Platforma Atom może błyskawicznie przeszukiwać bazę danych klienta, stosując odpowiednie algorytmy matchingu. Co więcej, może być wyposażona w zaawansowane algorytmy, które nie tylko przekazują prostą odpowiedź (Match/No Match), ale też inteligentnie interpretują bliskie dopasowanie (Close Match). Przykładowo, jeśli klient wpisze „Jan Kowalski” zamiast „Jan Krzysztof Kowalski”, Platforma może wydać ostrzeżenie, ale z sugestią, że to prawdopodobnie ten sam odbiorca, minimalizując tym samym frustrację zlecającego przelew. Minimalizuje to frustrację płatnika, co jest kluczowe, ponieważ usługa VoP wpływa na obie strony transakcji. Banki stają tu przed wyzwaniem strategicznym: muszą znaleźć złoty środek między 100-procentowym bezpieczeństwem (ryzykując irytację klienta częstymi odpowiedziami No Match) a 100-procentową wygodą (ryzykując ułatwienie oszustwa).
Przy okazji projektu VoP warto pochylić się nad dodatkowymi możliwościami analityki związanej z uzyskiwanymi odpowiedziami. Każde zapytanie VoP, zwłaszcza te zakończone wynikiem No Match lub Close Match, to cenna informacja i być może przyczynek do kontaktu z klientem lub lepszej higieny księgi głównej lub hurtowni danych. Platforma Atom może zasilać te dane do silników analitycznych i Machine Learning. Przykładowo, nagły wzrost liczby nieudanych weryfikacji dla danego IBAN w krótkim czasie może sugerować próbę oszustwa, co pozwoli na uruchomienie dodatkowych mechanizmów weryfikacji jeszcze przed autoryzacją przelewu.
Zachęcamy do kontaktu w celu bliższej analizy VoP w Państwa banku. Zdecydowanie odradzamy czekanie ze startem projektu do 2027 r. Jak widać, proces ten nie jest trywialny i dotyka co najmniej kilku kluczowych systemów w organizacji, które będą wymagały modyfikacji. Wykorzystajmy wspólnie sprawdzone, a jednocześnie nowoczesne narzędzia, zamieniając regulacyjny obowiązek w strategiczną przewagę rynkową.
