Un mega hackathon pour DBS

Si l'organisation de hackathons dans les institutions financières n'est désormais plus une incongruité, lorsque la banque singapourienne DBS en fait un instrument à grande échelle de sensibilisation et de formation de ses collaborateurs à la transformation numérique, il reste encore matière à s'inspirer de son expérience…

En l'occurrence, l'événement, premier du genre dans la cité-état, s'est même vu attribuer un qualificatif de « MegaHackathon », parfaitement justifié tant il a atteint des proportions rarement vues dans sa catégorie. Il a ainsi rassemblé plus de 150 collaborateurs de DBS, pour une durée totale de 5 jours : 2 consacrés à des ateliers de mise en condition (autant dans l'acculturation « digitale » que dans l'adoption d'une perspective centrée sur le client) et 3 au développement d'applications proprement dit.

Autre particularité notable de la manifestation, une deuxième catégorie de participants était conviée, constituée de représentants de startups locales. L'objectif pour la banque était ici d'expliciter et de diffuser rapidement et concrètement parmi ses employés les valeurs des jeunes pousses technologiques, à travers des rencontres et des collaborations étroites, le temps d'un projet. En contrepartie, la promesse faite à ces intervenants externes était de découvrir et appréhender des besoins susceptibles de leur donner des idées de nouveaux produits et services.

Au final, les groupes mixtes qui se sont constitués au fil de cette semaine intense ont produit 19 applications mobiles, dont un certain nombre sont considérés comme viables par les organisateurs. Mais là n'était pas le résultat essentiel attendu par DBS. La raison d'être de ce « MegaHackathon » est en effet, d'abord et avant tout, de transformer l'organisation de l'intérieur, en faisant toucher du doigt aux participants une vision différente du monde, numérique et agile, qui dessine la banque de demain.

Il est vrai qu'une telle ambition est relativement classique parmi les établissements qui s'essaient à l'exercice du hackathon. Cependant, dans le cas de DBS, il semblerait que le sentiment d'urgence face aux mutations en cours motive un investissement conséquent (mobiliser 150 personnes pendant 5 jours n'est pas rien !) afin de faire adhérer une part significative de ses effectifs. Par cet engagement fort, l'impact de la démarche (et, par conséquent, l'effet d'accélération) sera ensuite démultiplié lorsque les premiers adeptes deviendront ses ambassadeurs naturels auprès du reste de la population.

UBS investit dans la co-innovation

Face à la transformation des comportements de leurs clients et son inévitable impact sur leurs métiers, les institutions financières se mettent progressivement à collaborer avec les nouveaux acteurs de la « FinTech ». Partenariat, incubation, acquisition… deviennent ainsi monnaie courante. Pour UBS, la prochaine étape est la co-création.

Fort logiquement, du fait de l'extraordinaire dynamisme entrepreneurial qui y règne, c'est Londres qui a été choisie afin d'accueillir cette initiative. Celle-ci consiste en la création d'un premier laboratoire d'innovation, au sein de l'espace d'accélération Level39. Là, contrairement aux structures équivalentes qu'elle cultive en interne et en complément de sa participation à plusieurs accélérateurs, la banque suisse veut coopérer étroitement avec les startups et autres entreprises de l'écosystème local des technologies.

L'un des premiers thèmes retenus par UBS dans le cadre de son dispositif concerne les crypto-devises (pour ne pas dire bitcoin) et le concept associé de « blockchain », pour lesquels les opportunités d'usages nouveaux seront plus particulièrement explorées. Les réflexions porteront par exemple sur leur potentiel en matière de gestion transparente et sécurisée des contrats financiers, à coûts réduits. Par sa position en profonde rupture avec la « tradition bancaire », le sujet se prête naturellement à la collaboration avec des acteurs externes, plus prompts à y adhérer.

Plus largement, le laboratoire devrait permettre à UBS d'appréhender des problématiques importantes pour l'ensemble du secteur (analyse de données, gestion des risques…) avec une approche différente, plus ouverte et plus efficace. Au-delà du mélange de compétences et d'expertises qu'il favorise, les équipes qui s'y installeront profiteront également de la proximité avec des jeunes pousses « digitales » pour s'inspirer de leurs méthodes de travail agiles, indispensables dans une démarche d'innovation.

Nombreuses sont les banques vantant les mérites de l'ouverture et de la collaboration, lorsqu'elles se lancent dans l'invention et la création des produits et services de demain. Bien plus rares sont celles qui dépassent le stade de la promesse et de l'action ponctuelle. UBS fait donc désormais partie de ce club fermé, qui représente pourtant la seule voie possible pour les transformations les plus disruptives. Il lui reste tout de même à transformer l'essai et à démontrer, le moment venu, sa capacité à absorber les idées qui émergeront de son laboratoire…

Cetelem contribue à la recherche d'emploi

Malgré la mauvaise image qu'ont les consommateurs des institutions financières, il arrive parfois que leurs intérêts commerciaux concordent avec le bien-être (réel) de leurs clients. Ainsi, que Cetelem œuvre pour l'emploi des détenteurs de CDD (contrat à durée déterminée) n'est pas si étrange qu'il peut sembler au premier abord.

Depuis 2011 déjà, la filiale de crédit à la consommation du groupe BNP Paribas a adopté une démarche de non discrimination vis-à-vis des travailleurs précaires, avec sa solution de prêt destinée aux intérimaires et autres personnes en CDD. S'inscrivant dans une politique qui s'affirme responsable, cette offre est désormais assortie d'un service d'accompagnement à ses clients en quête d'un nouveau poste, mis en place en collaboration avec Mondial Assistance, via son pôle d'expertise dédié.

Concrètement, le bénéficiaire d'un crédit approchant de l'échéance de son contrat à durée déterminée se verra proposer une aide à la recherche d'emploi, personnalisée et entièrement gratuite. La demi-douzaine de spécialistes accessibles par téléphone, par internet ou dans les concessions associées lui prêtera main forte, s'il le souhaite, en lui délivrant des informations utiles, en lui prodiguant des conseils – voire une véritable formation – et, au besoin, en le préparant aux entretiens qu'il décroche.

Naturellement, la logique de Cetelem dans cette initiative est relativement transparente : une fois un prêt accordé, il vaut mieux éviter que le bénéficiaire se retrouve dans une situation difficile et ne fasse défaut. En conséquence, lui offrir un service permettant de réduire de moitié le temps de recherche d'un travail (selon Mondial Assistance) tient du bon sens. Aux États-Unis, la même réflexion a conduit Fifth Third à développer un programme similaire à destination des titulaires de prêts hypothécaires.

Plus profondément, l'établissement est peut-être aussi en train d'inventer son avenir. Entre les réglementations de plus en plus restrictives pour le crédit à la consommation et la généralisation des contrats de travail précaires – les CDD représenteraient presque 85% des embauches en France, en 2014, selon les statistiques ministérielles – qui réduit la pertinence de ses modèles traditionnels, Cetelem ne peut continuer longtemps à ignorer les transformations qui affectent durablement son environnement.

Et, encore une fois, la réponse passe probablement – au-delà de la gestion de la seule demande de financement – par une prise en compte des besoins fondamentaux des clients et de leur contexte global.

Une Banque Pop' se lance dans le crowdfunding

Complémentaires de leurs activités traditionnelles de crédit, les plates-formes de finance participative attirent de plus en plus les banques, qui n'hésitent pas à engager des partenariats ou investir dans les plus prometteuses d'entre elles. Plus rare est l'approche adoptée par la Banque Populaire Atlantique, qui crée sa propre solution.

Conçue en association avec une autre filiale du groupe BPCE, le Crédit Maritime Atlantique, Proximea est en attente de l'agrément de l'Autorité des Marchés Financiers (AMF) avant d'ouvrir officiellement ses portes. La formule retenue est celle de l'investissement en capital (par les particuliers), beaucoup moins répandue, dans l'univers du crowdfunding, que les modèles basés sur le don (de type Kickstarter ou KissKissBankBank) ou sur le crédit (tels que ceux de Lending Club ou Unilend).

Autre particularité de la nouvelle venue, elle s'attache à ses racines territoriales et n'aura donc vocation à accompagner que des entreprises de la région de ses deux parentes (5 départements de l'ouest français). En revanche, pas de spécialisation sectorielle au menu : toutes les jeunes pousses et autres PME en phase de croissance – dans le transport, l'énergie, la santé, l'immobilier, les loisirs… – pourront soumettre leurs projets, pour des levées de fonds comprises entre 150 000 et un million d'euros.

La promesse faite aux entrepreneurs sélectionnés est non seulement de les aider à rassembler les capitaux nécessaires à leur développement mais également de leur apporter un soutien plus large, en leur offrant visibilité et conseils. En perspective, il est facile d'imaginer que les banques actionnaires pourront ensuite prendre le relais dans les phases ultérieures de leur expansion. En attendant, Proximea est elle-même constituée à l'image d'une startup, avec une petite équipe agile et passionnée, ce qui devrait faciliter la proximité et stimuler la confiance avec les candidats au financement.

Le démarrage se fera en douceur. Ainsi, Proximea a prévu de ne porter que 3 campagnes en 2015, pour un investissement total de l'ordre de 1,5 millions d'euros. Une première entreprise est déjà dans les starting blocks pour le prochain lancement : la nantaise « 10-vins » – qui propose une machine à déguster le vin – tentera de lever 800 000 euros, après un premier amorçage de 15 000 euros, déjà collectés sur une autre plate-forme de crowdfunding (en l'occurrence Ulule, sur un principe de dons).

Sans surprise, le point de vue des banquiers ayant conçu le projet est que – quelle que soit leur envie et leur intérêt pour des entrepreneurs innovants et audacieux – leurs établissements ne sont structurellement pas en mesure de saisir les opportunités que présentent des startups, aux modèles économiques originaux, positionnées sur des marchés naissants ou à inventer. Alors, afin de concilier cette réalité avec leur désir d'accompagner le développement économique régional, ils estiment que la finance participative est la meilleure solution à laquelle ils peuvent contribuer.

Information repérée sur cBanque et FinYear (merci !)

Le scoring s'ouvre aux nouvelles données

Tandis que les solutions alternatives de crédit se développent grâce à l'exploitation des masses de données générées par l'économie numérique, les acteurs historiques continuent à s'appuyer sur des scores établis selon des méthodes en vigueur depuis des dizaines d'années. La situation est cependant en train d'évoluer, doucement.

Aujourd'hui, lorsqu'un client souhaite réaliser un emprunt ou souscrire une carte de crédit auprès de sa banque, celle-ci interroge les bases de données d'un établissement de scoring afin de déterminer sa « fiabilité » (c'est-à-dire son risque de défaut). Cette information est estimée principalement sur l'historique de l'activité financière du demandeur, dont, par exemple, la régularité de ses remboursements de crédits antérieurs. Problème, les consommateurs qui n'ont aucun antécédent ne peuvent être évalués de cette manière et se trouvent, de fait, écartés du système.

Afin de combler ce vide, qui concernerait tout de même 50 millions d'américains, un des spécialistes du secteur, FICO, expérimente actuellement une nouvelle approche du scoring, fondée sur l'utilisation de données non financières. En collaboration avec Equifax, qui lui fournit des informations sur le paiement de factures (de télécommunications, d'électricité…), et LexisNexis, qui lui donne accès aux registres de propriétés, l'entreprise affirme pouvoir offrir ses services pour 15 millions de personnes supplémentaires aux États-Unis, tout en maintenant ses standards de qualité.

En pratique, les institutions financières clientes de FICO (notamment les émetteurs de cartes de crédit, dont une douzaine participent à l'expérience pilote en cours) pourront adopter la nouvelle solution en toute transparence, à travers les interfaces qu'elles ont déjà mises en œuvre et avec des résultats qui restent basés sur les mêmes échelles de score. Simplement, moyennant la souscription d'un abonnement supplémentaire, elles obtiendront des informations sur des individus qui n'étaient pas référencés jusqu'alors.

En comparaison des solutions émergentes telles que celles de Hello Soda, Alibaba ou encore Kreditech, qui mettent en œuvre l'analyse de données issues d'une myriade de sources différentes (dont, par exemple, l'activité des internautes sur les médias sociaux), ces premiers pas vers les « big data » des établissements traditionnels – dont FICO n'est qu'un représentant parmi d'autres – sont encore relativement timides. Pourtant, le besoin de cibler les populations sous-bancarisées ne va aller qu'en croissant.

En effet, l'objectif n'est pas – comme semble le croire, naïvement, Andrew White de Gartner – d'« abaisser les standards de qualité » dans l'attribution des crédits. Il s'agit au contraire de permettre à des personnes dont la qualification ne peut être mesurée par des outils classiques de bénéficier des mêmes opportunités que leurs pairs. À une ère où de plus en plus de jeunes (pas nécessairement démunis) se détournent des banques et font appel à des acteurs alternatifs de la finance, une catégorie entière de clientèle ne pourra ainsi être atteinte sans changer de méthodes.

La CNIL crée une faille dans la sécurité du web

Dans l'univers numérique, la protection de la vie privée et la sécurité engendrent des exigences souvent contradictoires, qui imposent des compromis parfois délicats. La Commission Nationale Informatique et Libertés (CNIL), dont la tâche quotidienne est de définir les bonnes pratiques en la matière, n'est pas toujours à l'abri des erreurs.

Ainsi, sa récente prise de position sur un sujet particulièrement sensible – l'analyse de flux HTTPS – pourrait ouvrir une boîte de Pandore, dont les ramifications ne semblent pas avoir été analysées avec tout le soin nécessaire. Certes, la question posée est légitime : l'utilisation de plus en plus massive du web dans l'environnement professionnel combinée à une généralisation progressive de la sécurisation des échanges (via le protocole HTTPS, donc) induit des risques non négligeables de fuite de données ou d'introduction de contenus illicites et autres logiciels malveillants dans l'entreprise.

Les réponses apportées à ces dangers sont généralement de deux ordres. Dans les organisations les plus (légitimement ou non) paranoïaques, l'accès aux sites web sécurisés est prohibé par défaut, quelques exceptions étant acceptées pour des fournisseurs de services dûment vérifiés et validés (notamment ceux dont l'usage est strictement professionnel). Dans d'autres cas, un mécanisme de décryptage est mis en place aux frontières de l'entreprise, qui permet de vérifier et, le cas échéant, filtrer le contenu des échanges avant qu'il n'entre ou ne sorte des murs.

Or, cette deuxième solution existait jusqu'à maintenant dans une zone grise de droit, que la CNIL vient justement de clarifier (en partie). Moyennant quelques précautions d'information des salariés et de protection des données concernées, elle légitime explicitement cette pratique, admettant la primauté de la sécurité de l'entreprise sur la vie privée de ses collaborateurs. Ce faisant, elle reconnaît cependant une possible contradiction avec les articles du code pénal qui interdisent de « fausser le fonctionnement » d'un système automatisé de traitement des données.

Plutôt que de se poser des questions par rapport à la loi, peut-être aurait-elle dû commencer par s'interroger sur les motivations de celle-ci ? Car il n'y va pas seulement de la préservation de la confidentialité, l'enjeu est aussi, et surtout, celui de la protection d'informations critiques. En effet, quelles que soient les mesures conservatoires mises en œuvre, le simple fait de décrypter les flux chiffrés avant leur arrivée dans le navigateur de l'utilisateur (même s'ils sont immédiatement re-chiffrés) ouvre une brèche béante dans la sécurité du web, susceptible d'être exploitée par des collaborateurs malveillants ou des criminels infiltrés dans les réseaux de l'entreprise.

Que penseront donc les fournisseurs de services sensibles – tels que les banques – lorsqu'ils découvriront que les mesures de protection qu'ils déploient à grand frais sont contournées par les entreprises où travaillent leurs clients, remplacées par des mécanismes internes plus ou moins sûrs, sur lesquels ils n'ont aucune prise ? Qui sera alors responsable des incidents qui ne manqueront pas de se produire (et des dommages associés) : détournement et prise de contrôle de compte, vol d'identifiants et mots de passe… ? Autant de questions que la CNIL ignore avec beaucoup de désinvolture…

Aviva porte la prévention météo sur mobile

Si la prévention des risques climatiques commence à être largement intégrée par les compagnies d'assurance, l'application mobile thématique que vient de lancer Aviva représente tout de même une approche assez nouvelle, entre solution intégrée pour ses clients et instrument de marketing actif pour les autres personnes.

Disponible pour iPhone et pour les téléphones Android, « Aviva Risques Météo » peut donc être installée et utilisée (au moins pendant un an) par tous les consommateurs. Après une étape d'inscription très rapide (encore plus simple pour les détenteurs d'un contrat, qui n'ont qu'à fournir sa référence), le mobinaute dispose d'un assistant contextuel et interactif en cas d'événement météo important, depuis les alertes préliminaires jusqu'à la constatation des éventuels dégâts causés.

En pratique, les services de la société spécialisée Predict, partenaire d'Aviva dans cette opération, émettent une notification sur le téléphone de l'utilisateur lorsqu'un phénomène météo dangereux est prévu à l'une des adresses qu'il a associées à son profil (domicile, résidence secondaire, lieu de villégiature…). En fonction de la nature du danger (notamment les menaces de submersion et d'inondation), des conseils spécifiques sont émis afin de protéger au mieux les personnes et les biens concernés.

Les recommandations continuent à être prodigués pendant le déroulement de l'événement (suivi de sa progression en temps réel, consignes de prudence…) et une fois qu'il est passé. En particulier, l'application propose d'accompagner l'utilisateur dans l'inventaire des dommages qu'il a subis et, s'il est client d'Aviva, dans les démarches à effectuer auprès de l'assureur. Naturellement, ces bonnes pratiques sont aussi accessibles à tout moment, pour les personnes qui souhaitent se préparer à l'avance.

Outre les bénéfices directs que peut espérer obtenir la compagnie grâce à la prévention, l'application « Aviva Risques Météo » constitue également un excellent exemple d'intégration de l'assurance dans des moments de vie : une fois installée et même si elle est oubliée, elle se réveillera automatiquement au moment opportun, prête à prendre l'utilisateur par la main pendant une épreuve difficile à traverser. Il reste à regretter qu'elle soit focalisée sur les risques d'inondation et de submersion, ce qui limite singulièrement les opportunités de mise en œuvre effective.

Cette limitation pourrait d'ailleurs se révéler particulièrement gênante dans la tentative sous-jacente de séduction de nouveaux clients. Car l'utilisation de l'application est limitée à un an pour tous ceux qui n'ont pas souscrit de protection auprès d'Aviva. Or, la plupart de ces « invités » n'auront jamais l'occasion – du moins peut-on l'espérer – de profiter pleinement des services qu'elle offre et de percevoir les avantages que pourrait leur apporter l'assureur en cas d'événement climatique exceptionnel.

Le concept prendrait en fait tout son intérêt s'il était généralisé à toutes sortes de risques, d'abord en restant dans le domaine météorologique (incluant les autres phénomènes dangereux) puis, pourquoi pas, dans d'autres secteurs, où la même approche d'accompagnement de bout en bout (avant – pendant – après) pourrait être déployée : protection contre les cambriolages (via la maison connectée), dans la santé, pour les professionnels… Mais peut-être Aviva envisage-t-elle déjà de telles extensions…

Albert, terminal de paiement mobile 2.0

Avec un retard hélas caractéristique des institutions financières, l'australienne Commonwealth Bank of Australia (CommBank) vient enfin de lancer la solution d'encaissement mobile Albert qu'elle annonçait dès l'été 2012 (!). L'attente en valait tout de même la peine puisque son concept reste inédit à ce jour dans le monde.

En fait, et cela souligne justement l'originalité du produit, il se murmure dans certains médias que les délais de déploiement seraient plus la conséquence de difficultés administratives et réglementaires liées aux nouveautés introduites que de quelconques problèmes techniques. Car, sous les apparences d'une simple tablette capable d'accepter les paiements par carte, comme le propose Square depuis des années (pour ne citer qu'un exemple), Albert recèle plusieurs avancées majeures.

La première de celles-ci est l'intégration du lecteur de carte dans l'appareil. Cette idée peut certes être perçue comme une régression par rapport aux accessoires (plus ou moins légers) fournis avec les systèmes concurrents, puisqu'elle impose l'utilisation d'un matériel spécialisé. Cependant, en contrepartie, elle apporte l'immense avantage de supporter les paiements EMV et sans contact (NFC), directement et sans requérir aucun autre matériel, avec lecture de la puce et saisie du code PIN sur l'écran de la tablette.

La différence par rapport aux dispositifs existants (notamment ceux qui imposent un lecteur séparé, avec clavier, connecté par Bluetooth) peut sembler mince, elle est pourtant absolument primordiale pour la qualité de l'expérience utilisateur. C'est elle qui fera que, par exemple, un des cas d'usage les plus fréquemment envisagés – de donner la possibilité aux consommateurs de payer leurs achats dans les allées des grands magasins – pourra être effectivement mis en œuvre.

L'autre particularité d'Albert est qu'il s'agit d'une véritable plate-forme, développée sur la base de l'environnement « Pi » de CommBank (fondé sur un socle Android). À ce titre, elle est en mesure d'offrir une myriade d'options complémentaires aux commerçants qui l'utilisent, au-delà de sa simple fonction de paiement. D'origine, la tablette est équipée, entre autres, d'applications de gestion d'ardoise (pour les clients fidèles), de partage d'addition ou encore d'analyse des ventes. En sus, la nature ouverte du système permet à toute entreprise qualifiée d'ajouter ses propres logiciels à l'AppStore dédié.

La stratégie est attractive autant pour les petits marchands – qui disposent avec Albert d'une solution intégrée de pilotage de leur activité, configurable à volonté grâce aux diverses applications disponibles – que pour les grandes chaînes de distribution – qui y trouveront la liberté de personnaliser elles-mêmes la plate-forme, avec leurs outils internes (gestion des stocks, du réapprovisionnement, des programmes de fidélité…), connectés à leur système d'information.

En prenant un peu de recul, CommBank nous fournit avec cette initiative une belle démonstration du nécessaire changement de point de vue dans la conception des offres des banques. La fameuse vision « centrée client » dont beaucoup se réclament impose en effet de ne plus penser en termes de produit (ici le service de paiement) mais de réponse globale à un besoin (gérer les ventes). Cette nouvelle réalité, encore timidement abordée sur le marché des particuliers, est tout aussi importante pour les professionnels.

La FBF joue sur la peur face à la modernité

Depuis que le projet en a émergé en 2013, la prochaine révision ^[PDF] de la directive européenne des services de paiement (« DSP2 ») – qui devrait être adoptée en 2015, pour une transposition prévue en France vers 2017 – fait grincer les dents des banquiers. A l'approche de l'échéance, leurs arguments se font de plus en plus spécieux.

L'objet du litige est bien connu : selon le texte proposé, les banques auraient l'obligation de mettre à disposition des établissements de paiement – dûment accrédités – un certain nombre d'informations sur les comptes de leurs clients (par exemple la disponibilité des fonds nécessaires à l'exécution d'une opération), sur demande de ces derniers. Naturellement, il est facile de comprendre la nervosité des banques à ouvrir ainsi au monde extérieur le « trésor » que constituent les données de leurs clients.

D'une part, il s'agit d'une vraie brèche ouverte dans leur monopole, alors qu'elles possèdent aujourd'hui un avantage exclusif, notamment dans la gestion de moyens de paiement autres que la carte bancaire (dont les virements). Par ailleurs, la mise en œuvre de dispositifs offrant un accès aux comptes des clients est plus ou moins « contre nature » dans un secteur qui, historiquement, cultive le secret et l'opacité. Enfin, accessoirement (ou pas ?), tout cela représentera une charge nette pour les banques.

Cependant, les institutions financières ne peuvent admettre trop clairement qu'elles souhaitent protéger leur pré carré ni, pire encore, qu'elles pourraient avoir des difficultés techniques à répondre à ces exigences réglementaires additionnelles. Alors, par la voix de la FBF (Fédération Bancaire Française), elles affirment accueillir la concurrence à bras ouvert mais craindre pour la sécurité des données qu'elles devront partager. Voilà le prétexte imparable, qui justifie de se méfier de tout, de la technologie, des nouveaux entrants, des idées originales…

La stratégie « FUD » (« Fear, Uncertainty and Doubt ») déployée ici est classique, et, comme toujours, elle n'est soutenue par aucune réalité. Non seulement la directive DSP2 inclut les garde-fous nécessaires pour protéger l'argent des consommateurs, mais, de plus, les données concernées ne sont pas les plus sensibles. En réalité, s'il existe effectivement un risque de sécurité, c'est peut-être plutôt du côté des systèmes des banques qu'il sera le plus critique, en raison de leur nouvelle ouverture sur l'extérieur.

Finalement, là réside probablement la véritable raison du rejet de la directive, effrayante par la responsabilité qu'elle fait porter sur des établissements incapables de se projeter dans le monde moderne où règnent la collaboration et le partage d'information. Qu'adviendra-t-il donc quand la réglementation leur imposera de mettre des APIs à disposition des développeurs (comme l'envisage le Royaume-Uni) au lieu de faire comme si les outils de PFM actuels n'existaient pas, alors qu'ils collectent les identifiants d'accès aux services en ligne de leurs utilisateurs ?

Plutôt que de s'épuiser en arguments stériles, les banques feraient beaucoup mieux de se préparer concrètement à l'inévitable, qui arrive déjà via les concurrents qu'elles disent accepter. Qui sait, elles y trouveraient peut-être même des opportunités insoupçonnées (suivez mon regard vers le CA Store…) ?

Final crée une carte de paiement anti-fraude

Pour les fondateurs de Final, la lutte contre la fraude a une saveur particulièrement amère puisque, à la suite du vol massif de données chez Target en 2013, les désactivations brutales de leurs cartes bancaires les ont laissés, l'un dans l'impossibilité de payer son café, l'autre sans aucun accès à son argent pendant un voyage en Europe.

De cet incident est née leur idée de créer une solution différente, qui éviterait que la défaillance d'un commerçant quelconque n'ait, sur la vie entière de ses clients, un impact aussi dramatique que celui qu'ils ont vécu. Pour ce faire, ils se sont simplement emparés du concept de (numéro de) carte à usage unique, qu'ils ont ensuite complété pour mieux l'adapter aux exigences du consommateur moderne, notamment en termes d'expérience utilisateur et de richesse fonctionnelle.

Sa première originalité est de ne pas se limiter aux paiements en ligne, ce qui était évidemment un impératif dans le contexte de sa création. L'offre comprend donc une vraie carte en plastique – au standard EMV, qui plus est – produisant un nouveau numéro, jetable, pour chaque transaction exécutée. De la sorte, dans le cas d'un piratage dans les systèmes informatiques du marchand, le porteur ne court aucun risque, les données enregistrées ne sont absolument pas réutilisables. L'intégration dans un porte-monnaie mobile (Apple Pay, peut-être ?) est aussi prise en charge.

D'autre part, la protection des opérations réalisées en ligne ou sur mobile est elle-même enrichie par rapport à ce que l'on connaît jusqu'à maintenant. Classiquement, un greffon pour les principaux navigateurs web ainsi qu'une application mobile permettent de générer (et, souvent, de remplir automatiquement) un numéro de carte temporaire, pour un montant plafonné, si nécessaire. Mais il est également possible, avec les mêmes outils, d'associer une carte virtuelle à un commerçant spécifique.

Grâce à ce mécanisme, plus pratique que la génération systématique d'un numéro (en particulier sur les sites qui permettent l'enregistrement des coordonnées bancaires), la protection de la carte devient un jeu d'enfant. Tout d'abord, l'émetteur peut procéder à une annulation lorsqu'il est notifié d'un incident chez un marchand, sans frais et sans affecter globalement la capacité de paiement de ses clients. Et ces derniers peuvent révoquer eux-mêmes, d'un geste, la carte associée à une marque, d'autant qu'ils reçoivent une notification « actionnable » dès qu'une transaction est réalisée.

Les concepteurs de Final sont conscients qu'il n'est pas facile de convaincre les consommateurs de prendre soin de leur sécurité, surtout avec des outils qui restent, malgré tout, contraignants. Ils comptent cependant sur les effets des multiples affaires récentes de vol de données, dont la large couverture médiatique devrait avoir contribué à changer les mentalités. Pour le reste, c'est la qualité de l'expérience offerte qui devra faire la différence et la startup est plutôt bien dotée, sur ce plan.

Bien que le concept soit séduisant, le positionnement de la carte Final est tout de même à contre-courant des tendances actuelles, qui visent à remplacer – au moins dans les porte-monnaie mobiles – la transmission des références de paiement par une solution standardisée d'envoi de jeton (« token ») à usage unique. Elle répond donc bien à un problème immédiat (et sensible), mais son espérance de vie sera intimement liée aux progrès de ces approches de sécurité émergentes.