Chargement...

3D-Secure v2 : Quels changements pour vous ?

14 janvier 2021

Business insight

Dans la continuité de la DSP2 et de l’uniformisation des opérations de paiement à l’échelle européenne, le système 3D-Secure Version 2 deviendra obligatoire pour tous d’ici avril 2021. L’authentification, – auparavant optionnelle ou contrôlée par les marchands, les PSP ou les banques, – sera ainsi obligatoire et contrôlée à l’échelle de l’UE. Si le 3DS garantit davantage de sécurité pour les paiements en ligne, il inquiète les marchands qui s’interrogent quant à son déploiement et son impact sur leur activité. Que va changer le 3D-Secure Version 2 ? De quelle manière les banques et les établissements de paiement doivent-ils se préparer ? Quels changements pour les opérateurs de marketplaces ? Décryptage.

 

3DS Version 2 : De quoi parle-t-on ?

Protocole sécurisé de paiement en ligne, le 3D-Secure Version 2 a pour objectif de limiter les risques de fraude et de protéger les informations bancaires, en imposant la Strong Customer Authentification ou SCA aux internautes lors des transactions effectuées en ligne.

En septembre 2019, les Regulatory Technical Standards ou RTS, cadrées par l’Autorité Bancaire Européenne, définissent la Strong Customer Authentification par la combinaison d’au moins deux facteurs d’authentification. Ces facteurs peuvent être :

  • De connaissance : mot de passe, question secrète, code secret…
  • De possession: téléphone mobile, appareil connecté, carte à puce…
  • D’inhérence: empreinte digitale, reconnaissance faciale, reconnaissance vocale

Tous les nouveaux outils de validation et d’authentification sont développés par les banques et non par les prestataires de service de paiement. A noter, le SMS comme facteur d’authentification devrait disparaître d’ici octobre 2021, pour être remplacé par la Digital Key.

Les RTS concernent ainsi tous les paiements en ligne par carte initiés par l’acheteur. Elles ne concernent cependant pas :

  • Les transactions initiées par le marchand, notamment les transactions de Rebill
  • Les transactions impliquant un acheteur ou marchand situé hors de l’Union Européenne
  • Les transactions de ventes à distance ou Mail Order Telephone Orders (MOTO)

Dans le cadre des RTS, la Strong Customer Authentification devient ainsi obligatoire pour :

  • Toutes les transactions de plus de 2000€ depuis Octobre 2020
  • Toutes les transactions de plus de 1000€ depuis le 5 Janvier 2021
  • Toutes les transactions de plus de 500€ dès le 15 Février 2021
  • Toutes les transactions à partir du 1er avril 2021

 

Des exemptions possibles grâce à un protocole plus « smart »

Si le 3DS-v2 a vocation à rendre la Strong Customer Authentification obligatoire pour tous les paiements en ligne (hormis les transactions précédemment citées et non concernées par les RTS), il s’avère plus « smart » que sa première version, puisqu’il prévoit des règles permettant des exemptions d’authentification. Les demandes d’exemption sont en effet possibles si :

  • L’opération de paiement est d’un montant inférieur à 30€ (jusqu’à 5 transactions ou jusqu’à un montant total de 100€)
  • L’opération est sujette à une analyse de risque réalisée en temps réel, et le taux de fraude de la banque acquéreur ou émetteur ne dépasse pas les seuils imposés par la DSP2. Une demande d’exemption peut ainsi être faite :
    • Si la transaction est de moins de 100€ avec un taux de fraude de moins de 0,13%
    • Si la transaction est de moins de 250€ avec un taux de fraude de moins de 0,06%
    • Si la transaction est de moins de 500€ avec un taux de fraude de moins de 0,01%

Dans le cas d’une transaction ayant lieu sur une marketplace, la demande d’exemption et donc de la finalisation d’achat sans 3DS, est effectuée par Lemonway.

Suite à une demande d’exemption, c’est seulement la banque émettrice qui aura le dernier mot et qui décidera si la transaction peut avoir lieu sans SCA, et ce grâce à un algorithme qu’elle aura développée pour identifier le niveau de risque d’une transaction. On parlera alors de paiement frictionless.

Pour évaluer le niveau de risque d’une transaction, la banque émettrice basera sa décision sur un score calculé et généré par les schemes (CB, MasterCard, Visa, etc…), qui leur sera partagé, ainsi que sur un score qu’elle calculera elle-même.

Pour améliorer le score défini par les schemes, le marchand, et donc Lemonway par conséquent, devront fournir un maximum d’informations au moment de la transaction : nom du payeur, ID, adresse de livraison, infos sur le matériel utilisé, etc…

Chaine de paiement - 3DSV2

NB : à ce jour, la liste complète des informations requises par les schemes et les PSP n’a pas encore dévoilée. Dès que ces informations seront connues par Lemonway, une mise à jour de nos API sera effectuée pour garantir un meilleur scoring et une maximisation des exemptions.

 

L’impact pour Lemonway et ses partenaires ?

Pour beaucoup, le déploiement progressif du 3DS-v2 suscite certaines appréhensions quant au parcours d’achat des utilisateurs. En effet, une authentification plus stricte semble aller de pair avec un risque d’abandon plus élevé pour valider une transaction, et donc une baisse des taux de conversion sur les sites marchands.

Cela étant, ce passage au 3DS-v2 est inévitable puisqu’il rentre dans le cadre d’une directive européenne. Il faut ainsi surtout retenir que la finalité première de l’authentification forte est d’apporter davantage de sécurité dans les paiements. Parallèlement, cette version 2, plus « smart », élargira les possibilités de demandes d’exemptions permettant d’éviter la SCA.

A ce jour, Lemonway applique déjà la Strong Customer Authentification sur l’ensemble des transactions réalisées, empêchant ainsi que des transactions soient refusées par des banques émettrices. Dès que les PSP et les banques seront prêts pour la mise en place du 3DS-v2, Lemonway améliorera automatiquement le taux de succès des transactions avec son système intelligent de gestion des exemptions.

Pour augmenter votre taux de transactions frictionless, sans authentification, nous vous recommandons de bien transmettre les informations optionnelles que nous vous demanderons lors de la mise à jour de l’API pour l’implémentation du 3DS-v2.

En tant que prestataire de service de paiement, Lemonway accueille ces nouvelles règlementations de manière positive, puisqu’elles contribuent à une augmentation du niveau de sécurité des paiements, mais également à une amélioration de l’expérience de paiement. Conscient des enjeux liés au déploiement du 3DS-v2, Lemonway œuvre déjà pour accompagner ses partenaires dans cette transition.

 

 

Président de Lemonway, Damien Guermonprez est également Business Angel dans une trentaine de start-ups. De la phase d’amorçage à la série B, ce passionné des services financiers livre dans cette tribune de précieux conseils aux start-ups pour réussir leurs différentes levées de fonds, au fil de leur croissance.

 

Love Money : lancez-vous de façon réaliste

Commencez par choisir vos associés pour former une équipe d’entrepreneurs complémentaires : un CEO, un CTO, un CCO, c’est le minimum. Assurez-vous que leurs personnalités sont compatibles avec l’aventure entrepreneuriale. Il faudra naviguer dans un environnement incertain. Obtenez un prêt d’honneur et levez des fonds auprès de vos « friends & family », la « Love Money », c’est l’assurance pour les prochains investisseurs que vos proches reconnaissent vos talents d’entrepreneur.

Même si vos priorités sont à court terme, ayez bien conscience que vous vous embarquez dans une aventure qui va durer une dizaine d’années. Signez un pacte d’actionnaires qui facilitera la résolution des conflits éventuels, comme le départ d’un associé.

Une valoration raisonnable en amorçage ou « seed » facilitera les tours suivants. Avec un chiffre d’affaires inférieur à 200K€mais en forte croissance, votre valorisation pre-money sera de l’ordre de 2M€, car tout reste à démontrer. À commencer par le Minimum Viable Product (MVP) à lancer au plus vite pour tester le marché.

Choisissez votre marché : se lancer dans le B2C réclame certainement dix fois plus de moyens financiers que dans le B2B. Cela ne doit pas vous freiner mais vous faire prendre les bonnes décisions. Chaque tour vous diluant de 25%, évitez de vous diluer de 10% dès le départ, – en échange d’un accompagnement par un incubateur -, sans l’assurance d’une levée en contrepartie.

 

Seed : Concentrez-vous sur votre produit et gagnez du temps

 

Démontrer une forte traction est la condition nécessaire pour lever le prochain tour. Préparez un pitch deck de vingt pages et envoyez-le aux investisseurs sans exiger un « Non Disclosure Agreeement » ou NDA, ce serait une perte de temps. Seule l’exécution de votre idée prime, n’ayez donc pas peur de la partager. À ce stade, prendre un avocat d’affaires qui joue aussi le rôle de négociateur avec les fonds, c’est économiser les frais du leveur ou de la banque d’affaires (3% à 5% de la levée).

Votre temps est précieux. Adressez-vous aux investisseurs qui vous conviennent. Ne perdez pas de temps à rencontrer des fonds de capital risque (VC) dont le ticket moyen est de 3M€ si vous levez 500K€. Ils ne vous refuseront jamais un rendez-vous, mais vous aurez perdu une demi-journée. Adressez-vous plutôt à des réseaux de Business Angels ou des fonds en amorçage. Évitez de trop nombreux actionnaires, fixez la barre à 20K€ minimum.

Descendez dans l’arène le plus tôt possible pour vous confronter au marché et pivotez tant que vous le pouvez encore si le succès n’est pas au rendez-vous. « Speed is more important than quality ». On peut toujours améliorer un produit au contact des clients, mais il est difficile de rattraper son retard. Une équipe qui voudrait lever pour développer une deuxième version de sa solution, – sans avoir démontré de traction sur sa première version -, risque de ne pas lever.

A propos d’IT, ne développez que votre produit et pour le reste, optez pour les autres outils disponibles sur le marché (CRM, gestion de la paie, …).

Suivez votre cash burn mensuel et n’attendez pas qu’il soit trop tard pour lever votre prochain tour qui prendra six mois. Allez chercher des fonds auprès de BPI France le plus tôt possible, avant d’avoir épuisé vos fonds propres.

 

Série A : Soyez optimiste et adaptez votre organisation aux nouveaux enjeux

Affichez un optimisme à toute épreuve. On reconnaît un entrepreneur à son enthousiasme communicatif qui emmène les équipes, les clients et les investisseurs. Faites grandir la notoriété de votre marque à moindre coût sur les réseaux sociaux « Branding is less expensive than marketing ». Communiquez auprès de votre réseau et faites de vos clients des ambassadeurs.

Démarrez l’international avec des collaborateurs natifs des pays visés, parfois des stagiaires.

La taille et la nationalité de vos clients évoluent. Il vous faut de nouveaux talents immédiatement opérationnels qui répondent aux nouveaux enjeux. Vos premiers managers, s’ils ne grandissent pas aussi vite que votre scale-up, se verront « coiffés » par de nouveaux directeurs qu’il faudra attirer avec des BSPCE (6 à 10% du capital). Évitez de servir des BSPCE aux dirigeants fondateurs afin de privilégier les personnes clés qui ont peu, voire pas d’actions.

Pour éviter les silos dans l’entreprise, appuyez-vous sur un système d’information transverse (ERP) et sur un vrai Comité de Direction. C’est le moment de vous assurer que votre organisation et votre IT sont « scalable » et pourront absorber la croissance à venir. N’oubliez pas de fêter vos victoires.

Le succès amène le succès. Affichez-vous avec vos trophées et les investisseurs vous contacteront. Attention, ce n’est pas gagné pour autant.. Ils restent très sélectifs et ne réalisent qu’une demi-douzaine d’opérations par an. Assurez-vous quand vous leur parlez qu’ils n’ont pas déjà investi chez votre concurrent. À ce stade, vous lèverez 10M€ qui seront entièrement investis dans l’entreprise (cash-in) à travers une augmentation de capital. Pas un euro de cette levée ne servira à racheter des actions détenues par les premiers investisseurs (cash-out).

 

Série B : Maximisez votre croissance et visez le podium

 

Alors que vous étiez « orienté produit » au lancement de la start-up et que vous vous étiez transformé en développeur manageur avec l’arrivée des équipes, vous voilà contraint de devenir aussi  gestionnaire. Mesurez vos progrès à travers vos KPIs (Key Performance Indicators), NPS (Net Promoter Score) et OKR (Objectives and Key Results). Concentrez-vous sur vos succès et stoppez vos initiatives qui ont échoué, choisissez vos priorités. L’enjeu est de devenir un leader reconnu sur votre marché. Cela ne sert donc à rien de viser une part de marché trop faible sur un marché trop large. Vos investisseurs attendent une exécution parfaite, la garantie pour eux de voir leur investissement porter ses fruits dans le temps qui leur est imparti (5 à 7 ans maximum selon la maturité de leur fonds).

 

Si tout va bien, vous lèverez donc au moins le double de votre levée précédente pour financer la croissance et atteindre le podium européen. Cette deuxième levée vous semblera plus facile. Les Business Angels comme les co-fondateurs auront sans doute l’occasion de vendre un peu d’actions (cash-out). Les investisseurs seront désormais majoritaires et ce sera le moment de délivrer vos promesses en déroulant une stratégie maintes fois répétée lors de séances de « pitch» bien rodées.

 

Exit : Pilotez votre sortie

La croissance ralentit mais les résultats s’envolent. C’est le moment d’être la cible ou de trouver des cibles à racheter pour grossir plus vite.

Restez concentré, ce n’est pas l’exercice le plus facile. Selon Avolta Partners, il n’y a que 200 cessions de start-ups françaises par an et leur valeur moyenne se situe entre 11M€ et 50M€ selon les trimestres. Nous sommes loin de la valorisation minimum pour accéder au rang de licorne (1 milliard$) … Par ailleurs, le taux de survie de 22 cohortes de start-ups suivies par l’administration américaine est identique, quelles que soient les crises. Il est de 35% au bout de 10 ans et de 20% au bout de 20 ans, soit le double du ratio largement répandu de 10%. Cela reste très faible.

Enfin, contrairement à leurs homologues américains, le TRI (taux de rendement interne) des fonds de capital risque (VC) en Europe est proche de zéro et les Business Angels perdent souvent de l’argent. Autant de raisons qui expliquent pourquoi les VC exigent des actions de préférence. Lors de la cession, les investisseurs qui en bénéficient seront servis avant vous et votre part sera nulle, tant que leur multiple minimum ne sera pas atteint (1 à 3).

Autant de raisons qui expliquent pourquoi à ce stade, ce n’est pas encore gagné.

Identifiez et frottez-vous aux acquéreurs potentiels. Un partenariat qui fonctionne peut aiguiser l’appétit de votre partenaire. Mandatez une banque d’affaires de renom et confiez-lui la cession. Elle saura créer les conditions pour faire monter les prix en créant une tension concurrentielle entre plusieurs offres.

Après la cession qui pourrait intervenir au bout de 7 ans en moyenne (15 ans selon Avolta Partners pour les start-ups qui n’ont pas levé), il faudra sans doute accompagner l’acquéreur un à deux ans en contrepartie d’un versement d’un complément de prix si les objectifs sont atteints (earn-out).

Vous pourrez alors souffler ! Mais rassurez-vous, ce n’est pas la destination qui importe, c’est le chemin.

Damien Guermonprez
Président de Lemonway
Business Angel dans une trentaine de start-ups
Membre des Conseils d’Administration de l’ACSEL, Association de l’économie numérique et de Financement Participatif France
Membre du Comex de Finance Innovation