Ce que les équipes techniques comprennent mal à l’agrément

Un dossier d'agrément décrit le modèle d'affaires, la gouvernance, le dispositif de risque, le cantonnement, le plan de contrôle, l'externalisation, la continuité et les systèmes. Une bonne partie est écrite par des gens qui ne vont pas la construire, à un moment où le système n'existe pas encore.

Chaque engagement de ce dossier devient une exigence. Si le dossier dit que le rapprochement est quotidien, alors le rapprochement est quotidien, et l'absence d'exécution un jour férié est un constat. S'il dit que le double regard s'applique à une catégorie de changements, le système doit l'imposer et l'enregistrer.

La correction est procédurale et peu coûteuse : l'ingénierie lit le dossier avant sa soumission et signale chaque phrase qui décrit un comportement du système. Chacune de ces phrases est un ticket.

La supervision est proportionnée à la taille, à la complexité et au risque. Un petit établissement n'est pas censé porter l'appareil de contrôle d'une grande banque. C'est réellement utile, et c'est régulièrement lu comme une autorisation de reporter.

La proportionnalité change la profondeur d'un contrôle, pas son existence. Une fonction de surveillance peut tenir en une personne plutôt qu'en un département, mais la fonction existe, a un mandat, et produit des enregistrements. L'échelle porte sur le combien, pas sur le si.

L'essentiel des briques intéressantes d'une pile de paiement moderne est fourni par quelqu'un d'autre : traitement carte, comptes chez un établissement partenaire, vérification d'identité, criblage, infrastructure cloud. Les utiliser est normal et attendu. Croire qu'ils portent l'obligation est l'erreur.

L'établissement reste responsable du résultat, ce qui a une conséquence concrète en ingénierie : il vous faut votre propre vue de ce que le prestataire a fait. Son tableau de bord est son enregistrement, pas le vôtre. Si un prestataire de criblage renvoie une décision, stockez la requête, la réponse, la version de sa liste ou de son modèle quand il l'expose, et l'heure. S'il change quelque chose en silence et que les résultats bougent, vous voulez voir le décalage dans vos propres données plutôt que l'apprendre d'un superviseur.

La même logique vaut pour la sortie. Un dispositif que vous ne pouvez pas quitter dans un délai raisonnable est une concentration que vous devez savoir décrire et justifier.

Les établissements échouent rarement en supervision parce qu'un contrôle manquait dès le départ. Ils échouent parce que l'activité a changé et pas le contrôle. Un nouveau corridor de paiement, un nouveau segment de clientèle, un produit monté vite pour un partenaire : chacun arrive avec une population pour laquelle les règles existantes n'ont jamais été écrites.

La défense est une habitude plutôt qu'une technologie. Tout changement de ce que l'établissement vend, à qui, ou par quel prestataire, déclenche une revue des règles applicables à la nouvelle population et de la question de savoir si leurs requêtes l'incluent réellement. Faire cette revue au lancement coûte peu. La faire après une inspection est un programme de remédiation.

La supervision est périodique, documentaire et précise, et rarement conflictuelle. La plupart des échanges sont des demandes d'information. Un établissement bien instrumenté y répond en lançant une requête. Un établissement mal instrumenté mobilise une équipe pendant deux semaines.

Cette différence de coût se décide des années plus tôt, selon que la série quotidienne existe, que les contrôles stockent leurs populations, et que les règles portent leurs versions. Rien de tout cela n'apparaît dans une feuille de route produit, ce qui est précisément pourquoi il faut un sponsor qui comprenne ce que cela achète.

L'agrément se comprend mieux comme un accord sur ce que vous avez dit que vous feriez que comme une permission de commencer. L'ingénierie qui lit le dossier comme une spécification, et construit la version productrice de preuve de chacune de ses affirmations, arrive à la première inspection avec des réponses plutôt qu'avec un projet.