Open Banking nos Estados Unidos: você está pronto para se atualizar?
Você já ouviu falar sobre o Open Banking? É um conceito bastante popular no momento! O Open Banking faz parte de um movimento global mais amplo pelos direitos de dados do consumidor, chamado Open Data. O Open Banking também pode se referir às regulamentações e tecnologias que permitem que esses direitos sejam exercidos no setor de serviços bancários e financeiros.
Este artigo se concentra em como as tendências e mudanças recentes no Open Banking em todo o mundo, especialmente as mudanças regulatórias na UE e no Reino Unido, provavelmente afetarão bancos, fintechs e outras empresas nos EUA. Concluímos que a globalização está forçando bancos, fintechs e outras empresas dos EUA a fazerem mudanças internas para cumprir as regulamentações da UE e do Reino Unido, mas essas mesmas mudanças também os preparam para se juntarem à comunidade Open Banking.
Boas práticas de programação levam inevitavelmente ao Open Banking
O conceito de open banking não é novo. Na verdade, ele é baseado em princípios sólidos de arquitetura de software que podem ser aplicados a qualquer setor. O setor bancário, no entanto, é conservador e altamente consciente da segurança. Além disso, o setor precisa lidar com várias infraestruturas de TI complexas, arcaicas e legadas que dificultam a implementação de novas arquiteturas. Portanto, sem prazos impostos pelas regulamentações legais, os bancos não têm incentivo para adotar rapidamente os princípios do Open Banking.
O Open Banking é baseado em princípios de programação existentes
O open banking é baseado em um “primeiro modelo de negócios digital” onde o software interno de um banco é construído de forma modular e cada módulo se comunica com os outros módulos por meio de interfaces de programas de aplicativos (APIs). Como todos os dados são transmitidos por meio de APIs, é fácil para os bancos abrirem APIs selecionadas para terceiros para que eles possam agregar ou manipular dados financeiros em nome dos consumidores. Também é fácil para os bancos manter a segurança limitando o número e o tipo de APIs abertas a terceiros.
O Open Banking precisa de APIs padronizadas para funcionar com eficiência
Embora os bancos possam optar por seguir bons princípios de programação e usar APIs para transferência de dados interna e externa, essas APIs podem ser desenvolvidas internamente e, portanto, exclusivas e proprietárias. É difícil para um desenvolvedor terceirizado, como uma fintech, interagir com vários bancos se todos os bancos usarem suas próprias APIs exclusivas.
É por isso que, em todo o mundo, várias organizações iniciaram projetos para padronizar as APIs que normalmente interagem com desenvolvedores terceirizados. Uma organização, o Open Bank Project, oferece pelo menos dez categorias de APIs padronizadas. Essas categorias incluem:
- Contas, que permitem o acesso às informações da conta de um usuário, como saldo atual em uma conta
- Pagamentos e solicitações de transações, que permitem o início de transferências
- Transações, que permitem o acesso ao histórico de transações de um usuário
Nos EUA, a Nacha iniciou um grupo de padrões chamado Afinis. Atualmente, o grupo tem o seguinte nove APIs relacionadas a pagamentos ao vivo e disponível para uso:
- Validação de conta ACH (AAV) para uso com Phixius
- Validação da conta
- Iniciação do pagamento ACH
- Informações de contato bancário
- Contato bancário v2
- Pague-me
- Perfil do beneficiário
- Validação da conta de cobrança em tempo real
- Status da transação
Na Europa e desde 2016, o Rede de Arquitetura do Setor Bancário (BIAN) definiu 30 APIs padronizadas e as implementou tanto do lado dos consumidores quanto do lado dos fornecedores. Embora a BAIN tenha começado na Europa, ela também está bem conectada nos EUA.
Por fim, o grupo industrial the Centro de Análise e Compartilhamento de Informações de Serviços Financeiros (FS-ISAC), por meio de sua subsidiária, a Troca de dados financeiros (FDX), também está desenvolvendo APIs relevantes para o Open Banking.
Com tantas organizações desenvolvendo APIs padronizadas para Open Banking e processamento de pagamentos, bancos e fintechs nos EUA e em outros lugares já têm as ferramentas de software necessárias para adotar o modelo Open Banking. A questão então é se eles têm o incentivo para fazer isso.
Fique por dentro
Obtenha informações e atualizações exclusivas sobre tudo o que diz respeito ao Open Banking e aos Pagamentos.
Regulamentos de Open Banking na UE e no Reino Unido estão forçando mudanças nos EUA
Os bancos geralmente relutam em compartilhar as informações financeiras de seus clientes. Eles veem as informações como seu ativo comercial e acreditam que, por motivos de segurança, precisam restringir o acesso às informações. Para que os bancos compartilhassem as informações, teria que haver algum motivo regulatório ou um incentivo financeiro.
Na UE e no Reino Unido, várias regulamentações impulsionaram com sucesso a rápida adoção do Open Banking. Os EUA não têm essa regulamentação nacional, então a adoção é mais lenta. No entanto, devido à globalização, até mesmo os bancos e fintechs dos EUA devem, em última instância, cumprir os regulamentos da UE e do Reino Unido se quiserem fazer negócios na UE.
A Segunda Diretiva de Serviços de Pagamentos (PSD2) e regulamentos similares do Reino Unido exigem que os bancos compartilhem dados do cliente quando o cliente dá permissão
Na UE, o PSD2 exige que os bancos compartilhem dados financeiros dos clientes e define as medidas de segurança necessárias para esse compartilhamento. O PSD2 foi implementado pela primeira vez em janeiro de 2018, mas alguns elementos do regulamento não entraram em vigor até setembro de 2019. O regulamento principalmente:
- Esclarece que os dados financeiros de um cliente pertencem ao cliente e não ao banco, portanto, é o cliente que tem o direito de permitir que terceiros acessem seus dados.
- Exige que os bancos implementem determinadas APIs para permitir que terceiros acessem os dados financeiros.
- Exige que bancos e fornecedores terceirizados implementem medidas de segurança, incluindo métodos robustos de autenticação do cliente (por exemplo, autenticação de dois fatores, biometria) para proteger os dados do cliente e monitorar e mitigar os riscos de violações de dados.
A legislação recente do Reino Unido exigiu que os nove maiores provedores de contas de varejo e pequenas e médias empresas usassem APIs abertas. O mesmo regulamento concedeu aos clientes o direito de autorizar fornecedores terceirizados a iniciar pagamentos em seu nome.
Além disso, e também no Reino Unido, a Autoridade de Concorrência e Mercados criou a Entidade de implementação do Open Banking (OBIE) em 2016. O OBIE tem a tarefa de ajudar bancos, fintechs, fornecedores terceirizados, grupos de consumidores e similares a implementar APIs de Open Banking e fornecer um ambiente para promover a adoção do Open Banking.
Os EUA não têm regulamentação equivalente à do Reino Unido ou à PSD2. Isso significa que não há esclarecimento de que o cliente, em vez do banco, possui as informações financeiras do cliente. Também não há um prazo semelhante ao da PSD2 para implementar os requisitos de compartilhamento e segurança de dados. É por isso que, atualmente, bancos, fintechs e outros negócios financeiros dos EUA estão atrasados nos bancos da UE na implementação e, mais importante, no benefício do Open Banking.
O Regulamento Geral Europeu de Proteção de Dados (GDPR) também afeta o Open Banking, tanto na UE quanto nos EUA
Além do PSD2, na UE, o GDPR também rege os dados financeiros de um cliente. O GDPR, portanto, também é relevante para o Open Banking.
De acordo com o GDPR, a transferência de dados das informações de um cliente é considerada segura e é permitida automaticamente se a transferência for para países aprovados como seguros pela UE. Como os EUA não têm regulamentações nacionais de segurança de dados, são considerados um país inseguro. No entanto, por vários anos, houve um argumento de porto seguro para tratar os EUA como um país seguro.
Infelizmente, o Tribunal de Justiça Europeu decidiu em julho de 2020 que o argumento do porto seguro é inválido. Como resultado, a transferência de dados entre a UE e os EUA exigiria que cada empresa dos EUA concordasse com um conjunto de regras de proteção de dados, seja por meio de obrigações contratuais ou por meio de regras de governança corporativa.
Portanto, para que os bancos e fintechs dos EUA continuem fazendo negócios com empresas sediadas na UE, eles devem implementar rapidamente procedimentos de segurança de dados para cumprir o GDPR.
Como resultado da globalização, as regras de Open Banking da UE e do Reino Unido estão forçando a conformidade dos bancos e fintechs dos EUA
Embora o PSD2 e o GDPR sejam regulamentações centradas na UE, seus efeitos abrangem todo o mundo. Bancos e fintechs sediados nos EUA são forçados a fazer mudanças para cumprir essas leis para que possam fazer negócios com empresas sediadas na UE.
A maioria das empresas, ao lidar com padrões operacionais e regulamentações legais fragmentados, prefere escolher uma melhor prática e implementá-la em toda a empresa. Com o Open Banking, a lógica sugere que os bancos operariam mais ou menos dessa maneira. Na verdade, há evidências de que é assim que alguns dos maiores bancos do mundo estão abordando o Open Banking.
O HSBC, o BNP Paribas, o Royal Bank of Scotland e muitos outros bancos são membros do Open Bank Project. Eles usam as APIs do Open Bank Project para transferir dados para terceiros.
Nos EUA, Bank of America, Citi, Wells Fargo, JP Morgan Chase, vários bancos da reserva federal, vários processadores de cartões de pagamento, Mastercard e Discover e muitas empresas de tecnologia são todos membros do grupo de padronização de API da Nacha, o Afinis. Essas entidades estão trabalhando juntas para desenvolver APIs padronizadas relacionadas a pagamentos.
Com as principais instituições financeiras participando da padronização da API, mesmo sem uma regulamentação rígida, os bancos e fintechs dos EUA estão seguindo o exemplo de seus colegas da UE. Os bancos e fintechs dos EUA podem implementar APIs abertas e vários procedimentos de segurança um pouco mais lentos do que os da UE, e pode levar algum tempo para que todos os bancos e fintechs dos EUA entrem em total conformidade, mas a necessidade de fazer negócios globalmente significa que eles não podem ficar muito para trás.
Quanto aos requisitos de segurança de dados do PSD2 e do GDPR, desde que os bancos e fintechs sediados nos EUA desejem fazer negócios na UE, eles devem cumprir esses regulamentos. Como os EUA não têm mais um porto seguro de acordo com o GDPR, cada banco ou fintech que deseje fazer negócios — ou que deseje continuar fazendo negócios — na Europa terá que implementar individualmente os procedimentos de segurança que podem atender aos requisitos do PSD2 e do GDPR. A necessidade de fazer negócios globalmente, portanto, força as empresas sediadas nos EUA a implementar medidas de segurança de dados e a serem protegidas da mesma forma que suas contrapartes da UE.
Como Trustly se encaixa no movimento Open Banking
Muito cedo, a Trustly decidiu construir sua arquitetura de programação usando APIs para comunicações internas e externas. Essa arquitetura se encaixa perfeitamente na estrutura do Open Banking. Trustly também já se comunica com um grande número de seus parceiros bancários por meio de APIs. Além disso, como a Trustly opera na UE e nos EUA, ela já emprega padrões de segurança de dados que estão em conformidade com o PSD2 e o GDPR.
Trustly tem impulsionado o movimento Open Banking desde seu início na Europa. Na verdade, nosso CEO Oscar Berglund faz parte do grupo de avaliação de API da UE. Com nossa tecnologia baseada nos EUA e nossa posição de liderança em Open Banking na Europa, a Trustly já está na vanguarda do Open Banking. Deixe a Trusly ajudá-lo a crescer globalmente com o Open Banking. Entre em contato conosco e descubra como.
Espero que você tenha gostado de ler este artigo. Se você quiser saber mais sobre como a Trustly está liderando a iniciativa Open Banking nos EUA, envie um e-mail para sales.us@trustly.com com “Open Banking in the US” na linha de assunto.
