Ce qui se passe vraiment dans un établissement de monnaie électronique

Un établissement de monnaie électronique est agréé pour émettre et rembourser de la monnaie électronique et fournir les services de paiement qui s'y rattachent. En France, cet agrément vient de l'ACPR, qui supervise ensuite l'établissement en continu. Ce que vous recevez tient moins du certificat que de l'ouverture d'une relation, dans laquelle on vous demandera périodiquement de démontrer que ce que vous avez décrit dans votre dossier est toujours ce que vous faites.

Ce seul fait réorganise les priorités d'ingénierie. Tout ce que vous avez affirmé dans le dossier devient une exigence système avec un public.

Tout le reste de l'établissement est du support pour ces quatre-là.

Une boucle qui ne se referme pas laisse un trou, et les trous s'accumulent. Quatre-vingt-dix écarts quotidiens inexpliqués de quelques euros ne sont pas un petit problème multiplié par quatre-vingt-dix. C'est un gros problème unique : l'établissement ne sait pas démontrer sa couverture, ce qui est l'obligation prudentielle centrale.

Un établissement de monnaie électronique détient un capital initial et doit maintenir des fonds propres permanents calculés, pour l'activité de monnaie électronique, en pourcentage de l'encours moyen. Le pourcentage est faible. Le mot qui travaille, c'est « moyen ».

L'encours moyen est une mesure glissante sur une période, ce qui suppose une série quotidienne qui doit exister, être juste, et être reproductible. Les équipes qui calculent l'encours une fois par mois pour le reporting découvrent que l'exigence prudentielle le demande quotidien, historisé, et cohérent avec le chiffre utilisé pour le cantonnement.

Calculez-le une fois, chaque jour, stockez-le, et faites lire la série stockée à tous les consommateurs. L'alternative, ce sont trois systèmes qui calculent le même chiffre réglementaire de trois façons, c'est-à-dire un constat en attente de rédaction.

Ce qui sépare les établissements aux audits calmes de ceux aux audits pénibles, c'est l'origine de la preuve. Dans la version pénible, un contrôle existe comme une procédure que quelqu'un suit, et la preuve est rassemblée après coup en demandant des captures d'écran à cette personne. Dans la version calme, le contrôle est du code, et son exécution écrit un enregistrement : la version de la règle, la population examinée, les exceptions levées, le sort de chacune, l'identité du relecteur, et l'heure.

La seconde version coûte plus cher à construire et presque rien à maintenir. La première ne coûte rien à construire et consomme une personne en permanence, puis échoue au pire moment parce que cette personne était en congés en mars.

Le test est simple. Prenez un contrôle. Demandez ce qu'il a fait à une date précise il y a huit mois. Si répondre suppose qu'un humain s'en souvienne, le contrôle n'est pas prouvé.

Livrer en continu est une pratique d'ingénierie normale et compatible avec la supervision, à condition que la trace du changement vaille celle de l'exploitation. Un établissement régulé doit pouvoir dire quelle version de quelle règle était en vigueur au traitement d'une transaction donnée, et montrer que le changement a été revu par quelqu'un ayant autorité pour l'approuver.

Cela suppose que les règles portent des versions et des dates d'effet, et que le traitement historique s'explique par la version alors en vigueur plutôt que par celle en production aujourd'hui. Retraiter rétroactivement l'historique sous les règles actuelles détruit la piste d'audit, même quand cela produit de plus jolis chiffres.

La supervision s'intéresse à la séparation entre ceux qui pilotent l'activité et ceux qui la contrôlent, et à la capacité de la fonction de contrôle à voir ce dont elle a besoin sans demander l'autorisation à la fonction qu'elle contrôle.

En pratique, c'est un problème de conception des accès. La conformité et l'audit interne ont besoin d'un accès en lecture aux données d'exploitation de plein droit, pas sur demande, et cet accès doit lui-même être journalisé. Le construire tôt prend une semaine. Le rétrofitter après une inspection est un projet.

L'agrément décrit un ensemble de propriétés que le système doit continuer d'avoir pendant que tout le reste change autour. Personne ne le termine jamais.

L'ingénierie qui l'accepte tôt construit moins de choses deux fois. La série quotidienne existe une fois. Le contrôle produit sa propre preuve. La règle porte sa version. Rien de cela n'est exotique. C'est simplement décidé au bon moment, c'est-à-dire avant le premier utilisateur.