Menaces réglementaires sur la banque mobile ?

Face aux attaques de plus en plus nombreuses sur la banque en ligne (qui ont coûté, selon le FBI, plus de 100 millions de dollars aux seules PME), la FFIEC (le "conseil de surveillance" américain des institutions financières) prépare une mise à jour de ses recommandations aux banques pour protéger l'accès à leurs services sur internet.

Si leur teneur n'est pas encore connue, certains observateurs estiment qu'une des nouveautés à venir sera une "forte incitation" à adopter des moyens d'authentification forte, à deux facteurs, au moins pour les transactions sensibles, bien que les spécialistes de la sécurité considèrent qu'ils sont déjà susceptibles d'être contournés par des pirates déterminés.

Cette approche rappellera certainement une "directive" (de 2009) de la Banque de France, demandant aux établissement financiers de mettre en place (au plus tard en juin 2010) une "authentification non rejouable" pour les transactions bancaires et les paiements en ligne, qui faisait suite au transfert (en 2008) de responsabilité à la banque (et non plus au commerçant) en cas de fraude.

Quels sont les effets de cette pression réglementaire ? Dans le secteur du e-commerce, les premières implémentations ("simplistes") du système 3D-Secure des émetteurs de cartes sont maintenant remplacées par un code secret à usage unique, transmis par SMS. Dans le domaine de la banque en ligne, outre cette même méthode par SMS, quelques clients "privilégiés" ont reçu un "token" ou un lecteur de carte bancaire générant aussi un code à usage unique. Sur de nombreux sites de banque en ligne, la réponse a été encore plus simple (et beaucoup moins coûteuse) : vous ne pouvez, par exemple, réaliser un virement que vers un compte pré-enregistré (en agence !), les transactions sur ces comptes n'étant alors plus considérées comme sensibles ! Et vous n'avez plus alors accès à tous les services que vous attendez de votre banque.

Maintenant, envisageons les conséquences sur la banque (et le paiement) mobile (qui est soigneusement ignorée par les recommandations émises)... Difficile de demander au client de transporter en permanence et d'utiliser un token ou un lecteur de carte pour saisir un code unique sur son mobile, à chaque connexion. L'envoi de SMS ? Outre les problèmes d'ergonomie (tous les téléphones ne permettent pas de passer aisément d'une application ou d'un site à la lecture de SMS et vice-versa), leur niveau de sécurité se trouve réduit car le message arrive sur le terminal où est réalisée la transaction...

Que reste-t-il alors ? Deux options : la solution de facilité consistant à interdire les transactions sensibles sur mobile (au risque de tuer un canal émergent) ou, si cela est possible (?), un report de la responsabilité de l'utilisation de la banque mobile sur le consommateur (ce qui n'est pas acceptable, mais avez-vous lu en détail les conditions d'utilisation de l'application iPhone de votre établissement ?).

Il pourrait tout de même exister une troisième voie : l'innovation ! En effet, devant ce dilemme, il doit être possible d'imaginer de nouvelles solutions de sécurisation, spécifiques au mobile, efficaces et conformes aux exigences réglementaires. Nul doute que de nouvelles offres voient le jour sous peu...

En attendant, espérons que les systèmes de détection de fraude des banques soient parfaitement opérationnels !

La deuxième génération de PFM arrive

Ce début d'année marque une évolution notable dans le domaine du PFM ("Personal Finance Management", gestion de finances personnelles), comme ont pu le démontrer 4 sociétés présentes au récent FinovateEurope 2011.

Principale tendance des nouvelles offres dévoilées, les données accumulées via les comptes bancaires des utilisateurs sont analysées et utilisées pour démultiplier la valeur du PFM et ouvrir de nouveaux champs d'application.

Commençons par la française du lot, Linxo, le premier "aggrégateur" de données bancaires de l'hexagone. Contrairement aux autres acteurs cités ici, qui ciblent les banques, la startup veut développer une solution indépendante, sur un modèle proche de celui de Mint.com ou de feu Wesabe aux Etats-Unis.

La plate-forme de Linxo propose [lien PDF] (gratuitement) une connexion aux sites de banque en ligne de la plupart des établissements français, pour automatiquement en extraire les transactions, les catégoriser et les présenter sur un tableau de bord composé de différents widgets facilitant le suivi des comptes et la gestion de budget.

Mais ce n'est pas tout : les concepteurs du système sont conscients de ne pouvoir tout inventer eux-mêmes et ils l'ont donc "ouvert" pour permettre aux partenaires intéressés de créer leurs propres applications (sous forme de widgets additionnels), exploitant (de manière anonyme, espérons) les informations disponibles sur les comptes des utilisateurs. Ils imaginent ainsi l'intégration de programmes de fidélité, d'offres promotionnelles, de fonctions de réseau social... au coeur de la gestion de comptes. Une approche qui rappelle celle de Yodlee et son FinAppStore.

Strands Personal Finance est un autre fournisseur qui a déjà conquis quelques banques européennes (dont BBVA en Espagne et ING aux Pays-Bas).

La jeune société américaine a profité de FinovateEurope pour annoncer une nouvelle application de Business Intelligence, destinée à offrir à ses banques clientes les moyens d'analyser les informations gérées (encore une fois, espérons que celles-ci soit anonymisées) et de donner ainsi aux décisionnaires une vue unique sur leurs clients, leurs comportements et leurs habitudes, et ce à travers tous les comptes qu'ils détiennent et non seulement ceux de la banque...

Lodo Software, autre fournisseur basé au Colorado, présente une solution similaire, baptisée "FI Dashboard", adossée à sa propre plate-forme de PFM.

Dans ce cas, l'éditeur cible des objectifs de marketing et de développement de ventes croisées en incluant des outils qui permettent à ses utilisateurs de définir des campagnes (délivrées sur le site ou par messagerie) basées sur les profils des utilisateurs, eux-mêmes déterminés par de multiples paramètres (avoirs, comptes, transactions, habitudes de dépenses, budget, objectifs financiers...).

Enfin, Meniga, société islandaise visant le marché européen, a été distinguée par un "Best of Show" avec sa solution à mon avis relativement classique, mais qui met tout de même l'accent sur ses fonctions "sociales" et "ludiques", illustrées, par exemple, par les possibilités de comparaison des finances personnelles d'un utilisateur avec celles de ses pairs.

La multiplication des acteurs et, surtout, l'évolution des offres démontrent, à mon sens, que le PFM a franchi une étape dans son développement et que le marché est sur la voie de la maturité. Pourtant, malgré des arguments toujours plus convaincants, il semble que nos banques restent majoritairement sourdes aux attentes de leurs clients et aux propositions des fournisseurs. Au risque de passer à côté d'opportunités que n'hésiteront pas à saisir les acteurs indépendants (comme Linxo)...

AtypicStore, portail de services en ligne pour consommateurs atypiques

LaSer (filiale commune de BNP Paribas et des Galeries Lafayette) vient d'ouvrir l'AtypicStore, un site qui mérite bien son nom, fédérant un ensemble de services en ligne pour les particuliers, accompagnés d'une touche de réseau social. Une sorte de portail du consommateur 2.0…

L'AtypicStore, ouvert en mode "beta", se compose actuellement d'un tableau de bord et de 4 espaces : "Life" pour les services qui facilitent la vie (dont un coffre-fort numérique basé sur l'offre de CDC Arkhinéo), "Jobs" pour ceux qui proposent ou recherchent des missions professionnelles ponctuelles, "Deals" pour trouver de bonnes affaires et des produits originaux, et "Money".

Ce dernier est en réalité une version en marque blanche de la solution de financement P2P (pair à pair) bien connue FriendsClear Pro. Parmi les services financiers, on trouve également un comparateur d'offres bancaires et les concepteurs du projet promettent pour avril une véritable solution de prêts-emprunts entre particuliers.

Autre volet du site, l'AtypicStore veut également créer une communauté de consommateurs "atypiques". Pour ce faire, il embarque une composante de micro-blogging, qui permet à tous les inscrits de partager leurs avis, laisser des commentaires, poser des questions... Par ailleurs, tous les services et tous les participants peuvent être notés, les seconds se voyant attribuer une "Personal Value", mixant des évaluations de leur activité, de leur réputation et de leur implication, qui pourra être prise en compte, par exemple, lors d'une demande de prêt ou d'une candidature à un "job".

Les services proposés sur l'AtypicStore ne sont pas nouveaux mais l'idée de les rassembler sur une plate-forme unifiée, avec une composante "sociale", est plus innovante. En ce sens, le site a des chances de séduire une population, encore réduite mais en croissance permanente, de consommateurs familiers d'internet et des réseaux sociaux, à la recherche de produits et service alternatifs souvent dispersés et méconnus. Il offre ainsi également une opportunité aux acteurs de ce secteur de développer leur visibilité et "perturber" un peu plus les modèles établis…

Mobino, paiement en ligne low-tech mais sécurisé

Et une solution de paiement en ligne supplémentaire ! Au rythme auquel les annonces se succèdent, on peut imaginer les futures pages de paiement des commerçants en ligne, offrant des dizaines (centaines ?) de choix où le consommateur risque bien de se perdre...

Mobino, jeune entreprise suisse, présente malgré tout une approche tellement originale qu'elle mérite bien de s'y attarder un peu, ne serait-ce que par curiosité.

Le client doit s'inscrire sur la plate-forme, où il fournit ses informations d'identité, son numéro de téléphone (fixe ou mobile) et les références (IBAN) de son compte bancaire. Au moment de régler un achat, le widget de Mobino fournit un token (un identifiant numérique) à l'utilisateur qui doit alors appeler le service par téléphone, auquel il fournit ce token, puis son code secret, pour valider la transaction (dont les détails lui sont également rappelés lors de l'appel). Les fonds sont ensuite transférés au vendeur par virement bancaire.

Si le processus de paiement est complexe (et "coûte" un appel téléphonique), on ne peut nier qu'il est bien sécurisé : les informations bancaires ne sont jamais transmises au commerçant, le paiement utilise un canal différent de celui de l'achat, la transaction est protégée (par un code PIN, l'identification du numéro de téléphone de l'appelant et le rappel des caractéristiques de l'achat)... et Mobino fait aussi valoir la "qualité" suisse en termes de confidentialité des données personnelles.

Pour les commerçants, ce sera peut-être le coût du service qui sera le plus convaincant puisqu'il se réduit à une commission sur les ventes, de 2% (avec un minimum de 0,50 € par transaction) pour les biens matériels (il passe, étonamment, à 10 à 15% sur les biens virtuels). Autre avantage, le système est d'ores et déjà disponible pour 32 pays (dont la France) et en 4 langues. L'implémentation de la solution risque pourtant, malgré la présentation favorable qui en est faite, d'être assez délicate car le paiement via Mobino est asynchrone, ce qui peut créer des difficultés dans les plates-formes de e-commerce standards.

Comme le sous-entendait mon introduction, je ne crois pas que Mobino va révolutionner le paiement en ligne. Mais le mode de fonctionnement adopté me paraît suffisamment innovant pour imaginer qu'il puisse susciter d'autres idées (dans des domaines différents) qui pourraient, elles, avoir plus de succès.

Information repérée via l'Atelier.

Ericsson se lance dans le paiement mobile

Après deux ans de préparation, d'expérimentations et de mise au point, Ericsson annonce la création d'une nouvelle ligne métier, "Ericsson Money Services", dont l'activité consistera à proposer aux opérateurs de télécommunication et aux établissements financiers une solution "clés en main" de paiements sur mobile.

Le constructeur suédois ne précise pas la teneur de son offre mais indique avoir déjà mis en place, outre les modèles économiques et opérationnels de sa nouvelle structure, une plate-forme gérant de bout en bout des paiements "classiques" (de commerce) et "P2P" (de pair à pair), transfrontaliers, multi-devises et en temps réel.

Ericsson justifie son engagement dans le secteur par sa vision du paiement comme l'application mobile la plus utilisée dans le monde, à moyen terme. Son objectif est de développer une solution modulaire et flexible répondant aux attentes des marchés émergents et des pays développés, soulignant néanmoins les opportunités offertes par l'accès à des fonctions bancaires essentielles, à coût raisonnable, pour l'immense population aujourd'hui non bancarisée.

On devra probablement attendre le prochain Mobile World Congress (à Barcelone, du 14 au 17 février prochains) pour en savoir un peu plus sur cette offre qui constitue une surprise (en tous cas pour moi).

BNP Paribas Backstage : les candidats au recrutement dialoguent avec les collaborateurs

BNP Paribas annonce l'ouverture d'un nouveau site web, "BNP Paribas Backstage", où les candidats au recrutement sont invités à dialoguer avec une poignée de collaborateurs de la banque sur les emplois, les métiers et les carrières qu'elle propose.

Le site est ouvert à tous les internautes envisageant de postuler à un poste ou simplement désireux de s'informer sur les métiers de la banque. Une inscription leur est demandée pour pouvoir participer et commencer à poser des questions, soit sur un des thèmes proposés (métiers de la banque, métiers de l'assurance, culture d'entreprise...), soit à un interlocuteur spécifique, parmi les 20 managers, "opérationnels" et représentants des ressources humaines disponibles, issus des différents métiers de BNP Paribas et présentés individuellement via une page de "profil".

En pratique, le site est conçu comme un forum de discussion, sur lequel chacun peut poser ses questions et commenter les échanges en cours. Une fonction de "notation" permet également aux internautes de signaler les sujets qu'ils apprécient, ce qui permet de proposer une liste des questions les plus populaires sur chaque thème.

"Backstage" a apparemment été lancé depuis deux ou trois semaines et le contenu est déjà relativement riche, démontrant déjà un certain succès pour cette initiative. Quoiqu'il en soit, saluons cette démarche originale (une première en Europe, selon la banque) même si on peut regretter que la plate-forme ne soit pas ouverte plus largement aux collaborateurs. Quelle richesse apporteraient en effet dans cet espace les plus de 200 000 personnes travaillant pour le groupe !

Où est la "killer app" de la banque mobile ?

Un article de Bank Systems & Technology nous offre un aperçu de l'avis d'Emmett Higdon, analyste de Forrester Research, sur la banque mobile actuelle, notamment à travers les résultats d'une enquête réalisée auprès de consommateurs (aux Etats-Unis).

Les constats de l'étude sont mitigés : aujourd'hui, 10 millions d'américains utilisent un service de banque mobile, et ce chiffre devrait grimper à 50 millions d'ici 2015, mais, dans le même temps, 37% des personnes interrogées disent ne pas en percevoir la valeur. Et on peut les comprendre ! Quel est en effet l'intérêt pour les clients, hormis la minorité qui utilisent leurs services bancaires à grande fréquence et ceux qui adoptent une application mobile simplement parce qu'elle existe, de choisir un canal mobile qui offre, au mieux, l'accès aux mêmes produits et services que les autres canaux, avec un moindre confort et un surcoût (de communication) ? Pourtant les banques auraient intérêt à convaincre ces sceptiques car ils comprennent (par exemple) les clients qui n'utilisent pas internet, pour lesquels l'adoption du self-service leur permettrait de réduire leurs coûts.

Pour cela, il faudra offrir de nouveaux services dont la proposition de valeur pour le client est indiscutable. Les options de dépôt de chèque par mobile qui se développent actuellement aux Etats-Unis (par exemple chez USAA ou Chase) entrent dans cette logique : éviter un déplacement en agence ou un envoi postal pour déposer un chèque présente un intérêt immédiat pour tous.

Malgré tout, ce qui fait encore défaut aujourd'hui c'est une "killer app" qui profiterait des caractéristiques uniques du téléphone pour rendre l'utilisation de la banque mobile "évidente". Pour l'analyste de Forrester, le paiement pourrait bien être cette "killer app" mais il observe que, pour l'instant, les banques sont en position de se faire court-circuiter sur ce marché...

De plus, les efforts ne devront pas s'arrêter là puisque, pour Emmett Higdon, les tablettes vont émerger comme un support à part entière, dont il est convaincu de l'intérêt qu'il peut représenter pour les banques, mais qui est encore différent, notamment par ses usages, des supports "purement" mobiles.

Et si c'était une banque française qui inventait ces futures killer apps ?

Les opérateurs mobiles lancent (encore) une solution de paiement

Profitant de l'entrée en vigueur des directives européennes SEPA, qui favorise la création de nouveaux acteurs du paiement, les 3 principaux opérateurs mobiles français (Bouygues Telecom, Orange et SFR), associés à Atos Worldline (spécialiste des plates-formes de paiement), annoncent la création d'une entreprise commune, Buyster, qui proposera une nouvelle solution de paiement en ligne d'ici quelques mois.

Pour la plupart des journalistes qui se sont empressés de relayer l'information, l'objectif serait de créer un "PayPal à la française". Autant le dire tout de suite, je suis, pour ma part, sceptique face à ce projet...

D'un point de vue opérationnel, Buyster adopte effectivement un modèle proche de celui de PayPal. Les clients des opérateurs devront en effet ouvrir un compte et associer à celui-ci, de manière totalement sécurisée, les informations de leur carte bancaire. Lorsqu'ils souhaiteront payer, il leur suffira de saisir leur numéro de mobile (au lieu de leur adresse de messagerie, dans le cas de PayPal) et leur code secret pour valider la transaction sur leur carte.

Dans la SA porteuse du projet (détenue à parts égales par les 4 entreprises associées), les opérateurs apportent leur clientèle (et on peut supposer que celle-ci sera fortement incitée à adopter leur moyen de paiement) alors qu'Atos fournit la plate-forme technique (d'intermédiation), ainsi que l'intégration du paiement Buyster dans sa solution de paiement en ligne (soit 30 000 commerçants en ligne sur son offre SIPS et sur Merc@net de BNP Paribas).

Les avantages mis en avant par les promoteurs de Buyster rappellent également la communication de PayPal : meilleure ergonomie et plus grande facilité de paiement, renforcement de la sécurité du e-commerce... Mais les choses commencent à se gâter quand le communiqué insiste sur sa cible privilégiée des paiements sur mobile tout en mettant en avant la sécurisation des paiements en ligne grâce au mobile de l'utilisateur, ce qui manque singulièrement de cohérence (le mobile comme facteur supplémentaire d'authentification n'a pas de sens s'il sert également de support du paiement)...

Par ailleurs, rien n'est dit des coûts du service, qui seront un critère important pour séduire les commerçants (et faire face à la concurrence), mais dont on peut craindre qu'ils resteront élevés en raison du support du paiement (la carte bancaire) et de la cupidité à laquelle nous ont habitués les opérateurs.

Après leurs multiples expérimentations de paiement sans contact sur mobile, leurs solutions de type kiosque (SMS surtaxés), leur initiative MPME pour les micro-paiements (qui l'utilise ?), et maintenant avec Buyster, les opérateurs veulent couvrir tous les secteurs du marché. Mais ont-ils une réelle stratégie pour convaincre les consommateurs et les commerçants de l'adopter et pour différencier leur offre de celles qui sont déjà bien établies (PayPal en tête) ou de la multitude de solutions émergentes ? Ce n'est pas l'impression que donne cette annonce...

Détail "amusant" : à l'heure où j'écris ces lignes, mon navigateur Firefox m'informe que le site www.buyster.fr a été signalé comme "page contrefaite" (l'adresse buyster.fr, aboutissant, elle, à une page d'information) !

ING mise sur le cloud

Une longue interview accordée à Bank Systems & Technology par Tony Kerrison, directeur technique (CTO) du groupe ING, nous permet de découvrir quelques éléments de la stratégie de la banque dans le domaine du cloud computing et une vision de l'évolution du rôle du DSI face à cette nouvelle approche de l'informatique.

Comme on peut s'y attendre dans une grande institution financière, ses efforts portent actuellement sur le "cloud interne", que Tony Kerrison prend cependant soin de distinguer de la politique de virtualisation qui était précédemment en vigueur, avec la mise en place d'outils d'"allocation" en self-service. Ceux-ci permettent en effet dès aujourd'hui aux équipes projet de réserver et obtenir simplement et rapidement les ressources dont elles ont besoin pour les développements et tests d'applications.

Côté production, cette infrastructure est pour l'instant réservée aux projets les moins critiques (qui comprennent tout de même aussi des applications bancaires). Mais, avec un objectif de passer en 2011 de 5% à 20% du parc applicatif déployé sur le "cloud interne", il est probable que le filtre de sélection va progressivement s'élargir. Cette forte croissance marque également la fin d'une étape de mise en place de l'offre (en 2010) et la transtion vers une phase d'industrialisation.

Les avantages de cette approche sont doubles : la généralisation de la virtualisation permet de réduire sensiblement les coûts d'infrastructure (il aurait également pu être question des bénéfices environnementaux liés à la moindre consommation énergétique), alors que les outils self-service ont un effet positif sur la productivité des équipes en charge des applications.

L'étape suivante, déjà à l'étude, visera le "cloud public", en passant par les approches hybrides. Naturellement, les craintes pour la sécurité des données restent présentes dans cette réflexion mais Tony Kerrison est convaincu que l'évolution des offres, des contrats de service, de la réglementation... offrira de plus en plus d'opportunités de profiter des coûts optimisés des infrastructures dans les nuages.

C'est d'ailleurs à partir de ce constat qu'il évoque l'évolution du rôle du DSI dans une grande entreprise. Celui-ci devra en effet devenir fournisseur de conseil à ses clients (business) pour leur proposer le meilleur compromis entre des coûts faibles et des exigences diverses (de disponibilité, de sécurité, de conformité...), qui se concrétisera par la sélection d'une option d'hébergement optimale (dédiée classique, sur le cloud interne, sur un cloud hybride ou sur un cloud public).

En conclusion, la stratégie d'ING n'est pas extraordinairement innovante mais elle constitue un exemple de plus pour les (nombreux) DSI de banques qui hésitent encore à s'intéresser au cloud computing.

"Le Réseau", social, pour les entrepreneurs, par le Crédit Agricole

Il y a un an, le Crédit Agricole lançait "Je suis entrepreneur.fr", un site web d'informations pratiques pour les créateurs et chefs d'entreprise, leur apportant outils, conseils, guides... pour les aider à construire et développer leurs projets. Aujourd'hui, la banque, en partenariat avec le Salon des Entrepreneurs, aborde une deuxième étape en annonçant le lancement d'un réseau social complémentaire du site, baptisé "Le Réseau".

"Le Réseau" est ouvert non seulement aux entrepreneurs mais, plus largement, à tous ceux qui s'intéressent à l'entrepreunariat : porteurs de projets, créateurs d'entreprise, professionnels spécialisés, investisseurs... Conçu sur un modèle proche de celui de LinkedIn (plus que de Facebook), il offre des fonctions "classiques" de mise en relation et de constitution de réseau, de messagerie, de partage d'information (via un "mur" et un "statut"), de questions / réponses (avec la participation d'experts)...

Des "groupes", avec leurs propres murs, sont également proposés pour organiser les échanges autour de thèmes spécifiques (par exemple la reprise d'entreprise, l'expatriation ou la franchise). Et si vous ne trouvez pas le groupe qui vous convient, vous pouvez le créer !

Deux jours après son lancement, "Le Réseau" accueille déjà plusieurs centaines d'inscrits (près de 600 ont rejoint à cette heure le groupe "Dirigeants d'entreprise"). Il est vrai que dans l'océan du web social, un tel espace, ciblant un public (national) en forte attente de conseils et d'échanges (cf. le succès des pépinières d'entreprises), faisait un peu défaut jusqu'à maintenant.

Pour le Crédit Agricole, première banque des entrepreneurs français, l'initiative n'aura probablement pas d'effet direct à court terme sur son activité, mais elle démontre un véritable engagement et une attention particulière aux attentes d'une partie de ses clients (650 000 professionnels, tout de même), qui ne peut qu'être bénéfique pour son image dans ce segment.