RÈGLEMENT (UE) 2025/1355 DE LA BANQUE CENTRALE EUROPÉENNE du 2 juillet 2025 concernant les exigences de surveillance applicables aux systèmes de paiement d’importance systémique (BCE/2025/22) (refonte)

(1)

Le règlement (UE) no 795/2014 de la Banque centrale européenne (BCE/2014/28) (1) a été substantiellement modifié à plusieurs reprises (2). De nouvelles modifications doivent être apportées à la suite du réexamen, par le conseil des gouverneurs, de l’application du règlement en vertu de son article 24. Par conséquent, il convient de procéder à la refonte du règlement dans un souci de clarté.

(2)

L’article 127, paragraphe 2, quatrième tiret, du traité et l’article 3.1, quatrième tiret, des statuts du Système européen de banques centrales et de la Banque centrale européenne (ci-après les «statuts du SEBC») donnent compétence à l’Eurosystème pour promouvoir le bon fonctionnement des systèmes de paiement.

(3)

L’Eurosystème promeut le bon fonctionnement des systèmes de paiement, entre autres, en exerçant une surveillance.

(4)

Le Comité sur les paiements et les infrastructures de marché (CPIM), précédemment connu sous le nom de Comité sur les systèmes de paiement et de règlement (CSPR), et le comité technique de l’Organisation internationale des commissions des valeurs mobilières (OICV) ont publié des principes pour les infrastructures de marchés financiers. Le CPIM-OICV recommande la mise en œuvre de ces principes dans toute la mesure autorisée par les cadres juridiques et réglementaires nationaux. Afin de garantir l’efficacité de la surveillance des systèmes de paiement, la Banque centrale européenne (BCE) a mis en œuvre ces principes, au moyen du règlement (UE) no 795/2014 (BCE/2014/28), qui s’applique tant aux systèmes de paiement de montant élevé qu’aux systèmes de paiement de détail d’importance systémique.

(5)

Le présent règlement s’applique aux systèmes de paiement exploités par des banques centrales et par des opérateurs privés. Cela étant, les principes du CPIM-OICV reconnaissent que, dans certains cas exceptionnels, ils s’appliquent différemment aux systèmes de paiement exploités par des banques centrales en raison des exigences imposées par la loi, la réglementation ou la politique applicable. Étant donné que l’Eurosystème s’est doté d’objectifs et de responsabilités de politique publique ainsi que d’un cadre institutionnel définis dans le traité et les statuts du SEBC, les systèmes de paiement d’importance systémique (SPIS) de l’Eurosystème peuvent être dispensés de certaines exigences du présent règlement. En particulier, les SPIS de l’Eurosystème devraient être dispensés d’exigences particulières concernant la gouvernance, les plans de cessation des activités, les fonds propres et les actifs liquides, les risques afférents aux garanties et aux investissements, qui concernent les mêmes domaines que les exigences correspondantes adoptées formellement par le conseil des gouverneurs. Ces exemptions sont précisées dans plusieurs dispositions du règlement.

(6)

Conformément au principe de proportionnalité, le conseil des gouverneurs identifie un système de paiement en tant que SPIS s’il remplit les critères particuliers énoncés dans le présent règlement. En outre, un système de paiement peut être identifié en tant que SPIS à l’aide d’une méthode souple tenant compte d’aspects qualitatifs tels que la taille du système de paiement, sa complexité et sa substituabilité.

(7)

Le conseil des gouverneurs désigne un opérateur de SPIS pour chaque SPIS. L’opérateur de SPIS désigné est responsable, à l’égard de l’autorité compétente, de la conformité du SPIS avec les exigences de surveillance prévues par le présent règlement. Un opérateur de SPIS devrait être une entité juridique de la zone euro qui est responsable de l’exploitation d’un SPIS. À titre exceptionnel, le conseil des gouverneurs peut, au cas par cas, également désigner en tant qu’opérateur de SPIS une succursale établie dans la zone euro et qui est une partie juridiquement dépendante d’une entité juridique établie en dehors de la zone euro. Compte tenu de ce qui précède, la définition d’«opérateur de SPIS» devrait être élargie en conséquence.

(8)

À la suite de la désignation exceptionnelle d’une succursale en tant qu’opérateur de SPIS, les exigences applicables du présent règlement relatives à la composition, aux rôles, aux compétences et aux responsabilités de la direction d’une entité juridique désignée en tant qu’opérateur de SPIS devraient également s’appliquer à la direction d’une succursale désignée en tant qu’opérateur de SPIS, et les directeurs généraux qui constituent la direction de la succursale devraient également être membres de la direction, telle que définie à l’article 9, paragraphe 11, b). En outre, dans le cas où une succursale est désignée en tant qu’opérateur de SPIS, l’autorité compétente concernée, lorsqu’elle évalue la conformité du SPIS avec les exigences du présent règlement, peut tenir compte, le cas échéant, de toute action et de tout cadre mis en place au niveau de l’entité juridique et liés au SPIS et/ou à l’opérateur de SPIS.

(9)

Lorsque cela est nécessaire, l’autorité compétente devrait coopérer avec d’autres autorités aux fins d’une surveillance efficace, y compris la limitation au maximum des doubles emplois et la réduction de la charge pesant sur le SPIS et les autorités concernées. Lorsqu’une succursale est désignée en tant qu’opérateur de SPIS, l’autorité compétente concernée devrait également coopérer avec l’autorité chargée de la surveillance ou de la surveillance prudentielle de l’entité juridique dont la succursale est une partie juridiquement dépendante.

(10)

L’activité économique d’un SPIS peut évoluer dans le temps. Afin de garantir l’intégrité du cadre de d’identification des SPIS mais en même temps, dans la mesure du possible, de maintenir la continuité et d’éviter des reclassements fréquents des systèmes de paiement, un système de paiement n’est plus identifié en tant que SPIS s’il ne remplit plus les critères en la matière lors de deux réexamens consécutifs à des fins de vérification. Toutefois, il peut ne pas être judicieux de maintenir le statut de SPIS durant un tel laps de temps s’il est peu probable que le système remplisse les critères permettant de le qualifier de SPIS lors de la prochaine vérification. Par conséquent, il est également possible de procéder à un reclassement anticipé sur la base d’une évaluation au cas par cas.

(11)

Le présent règlement établit des procédures clairement définies visant à s’assurer du respect des garanties de procédure régulière, tant avant qu’après l’adoption par le conseil des gouverneurs d’une décision identifiant un système de paiement en tant que SPIS.

(12)

La BCE recourt aux banques centrales nationales pour accomplir les missions du SEBC dans la mesure où cela est jugé possible et adéquat. Dans le cas de chaque SPIS, la banque centrale de l’Eurosystème concernée est désignée comme l’autorité compétente pour évaluer la conformité de ce SPIS avec les exigences de surveillance prévues par le présent règlement. Dans le cas d’un SPIS d’importance paneuropéenne, la surveillance est exercée par la BCE en tant qu’autorité compétente désignée. Toutefois, dans le cas d’un tel SPIS, lorsqu’il s’avère que celui-ci a établi avec une banque centrale nationale une relation de surveillance de longue durée, s’étendant sur les cinq années précédentes, deux banques centrales de l’Eurosystème, à savoir la banque centrale nationale avec laquelle s’est établie la relation de surveillance de longue durée et la BCE, sont désignées en tant qu’autorités compétentes.

(13)

Les exigences prévues dans le présent règlement sont proportionnées aux risques et aux expositions particuliers des SPIS. Les dispositions du présent règlement tiennent également compte de l’expérience acquise et des conclusions émises à la suite des évaluations en matière de surveillance réalisées au cours des dernières années sur le fondement du règlement (UE) no 795/2014 (BCE/2014/28), ainsi que des évolutions technologiques et réglementaires récentes observées dans l’Union européenne, y compris l’adoption du règlement (UE) 2022/2554 du Parlement européen et du Conseil (3).

(14)

L’efficacité et la solidité d’un SPIS requièrent le respect des législations nationales applicables, ainsi que des règles, procédures et contrats clairs régissant son fonctionnement. Par respect de la législation, il est fait référence aux systèmes juridiques de tous les pays où un opérateur de SPIS est établi et/ou exerce ses activités et où les participants au SPIS sont établis et/ou exercent leurs activités.

(15)

L’efficacité et la solidité d’un SPIS dépendent également de la clarté et du caractère approprié de ses dispositifs de gouvernance, qui doivent être clairement formalisés par écrit. Les dispositifs de gouvernance d’un SPIS devraient garantir que le conseil d’administration ou le conseil de surveillance, ou un conseil équivalent, bénéficie des conseils d’un comité des risques objectif et indépendant concernant ses responsabilités en matière de risques. En outre, afin de garantir l’intégrité des membres dudit conseil et de la direction, et, le cas échéant, de la direction de la succursale, un opérateur de SPIS devrait examiner si ces membres ont fait l’objet de condamnations ou de sanctions pour des infractions à des dispositions applicables du droit commercial, du droit de l’insolvabilité, du droit des services financiers, du droit de la lutte contre le blanchiment de capitaux et le financement du terrorisme ou en raison de manquements aux obligations professionnelles ou de fraude.

(16)

En outre, un cadre solide et évolutif destiné à gérer de façon exhaustive les risques juridiques, de crédit, de liquidité, opérationnels, d’activité générale, de conservation, d’investissement et d’autres risques est indispensable pour détecter, mesurer, suivre et gérer l’ensemble des risques encourus lors de l’exploitation d’un SPIS ou supportés par un opérateur de SPIS. Cela vaut également pour la solidité et la résistance du cadre des garanties d’un opérateur de SPIS, ainsi que de ses règles et procédures en cas de défaillance d’un participant et de ses plans de continuité d’exploitation.

(17)

Aux fins de la gestion globale des risques opérationnels et compte tenu de la mise en œuvre et de l’utilisation croissantes de moyens technologiques lors de l’exploitation d’un SPIS, ainsi que de la menace accrue que représentent les cyberattaques et les dommages qu’une cyberattaque réussie pourrait causer au fonctionnement d’un SPIS, un opérateur de SPIS devrait mettre en place une stratégie et un cadre de cyberrésilience dotés de procédures, de processus et de contrôles adéquats pour gérer efficacement les cyberrisques et garantir un niveau élevé de cyberrésilience. Les exigences relatives à cette stratégie et ce cadre de cyberrésilience devraient se fonder sur les Cyber resilience oversight expectations for financial market infrastructures («attentes en matière de surveillance de la cyberrésilience destinées aux infrastructures de marché financier») (4), afin de rendre certaines attentes principales juridiquement contraignantes pour les opérateurs de SPIS. Il est par ailleurs essentiel qu’un opérateur de SPIS teste régulièrement l’efficacité des contrôles et des systèmes des SPIS en effectuant des tests d’intrusion fondés sur la menace, conformément au cadre européen de tests pour un cyberpiratage éthique fondé sur les renseignements sur les menaces (5) (European Framework for Threat Intelligence-based Ethical Red Teaming, TIBER-UE) (ci-après le «cadre TIBER-UE»). Lorsqu’un opérateur de SPIS est une succursale, l’autorité compétente peut accepter un test effectué par l’entité juridique dont la succursale est une partie juridiquement dépendante, s’il peut être considéré comme un exercice comparable à un test TIBER-UE et s’il rend également bien compte de l’efficacité des contrôles et systèmes concernés de la succursale.

(18)

De plus, étant donné le recours accru à l’externalisation et les risques que de telles pratiques pourraient créer pour l’efficacité et la sécurité d’un SPIS, un opérateur de SPIS devrait toujours conserver la responsabilité des fonctions, opérations et/ou services externalisés. De surcroît, avant de conclure un tel accord et pendant toute la durée de l’externalisation, un opérateur de SPIS devrait mettre en place des dispositions et cadres contractuels garantissant qu’il évalue et atténue correctement tout risque découlant de l’externalisation. Par ailleurs, en cas d’externalisation de fonctions, opérations et/ou services critiques, des plans de sortie devraient exister pour garantir la poursuite du bon fonctionnement du SPIS au cas où il est mis fin à un accord d’externalisation. Les accords intragroupe ne sont pas fondamentalement moins risqués que l’externalisation à des tiers. En conséquence, tout en reconnaissant les avantages potentiels découlant d’accords intragroupe, les exigences relatives à l’externalisation devraient également s’appliquer aux accords intragroupe qui constituent des externalisations.

(19)

La réduction du risque systémique nécessite, entre autres, le caractère définitif du règlement, de sorte qu’un opérateur de SPIS devrait tout mettre en œuvre pour parvenir à une désignation du SPIS conformément à la directive 98/26/CE du Parlement européen et du Conseil (6). Un règlement intrajournalier ou en temps réel est également souhaitable s’il est compatible avec le modèle économique général du SPIS et s’il est nécessaire pour permettre à l’opérateur et aux participants du SPIS de gérer leurs risques de crédit et de liquidité respectifs.

(20)

Des critères objectifs de participation à un SPIS, fondés sur les risques et rendus publics, permettant un accès équitable et libre (sous réserve de normes de contrôle des risques acceptables) à un SPIS, favorisent la sécurité et l’efficacité du SPIS et des marchés qu’il dessert, tout en ne restreignant pas de façon disproportionnée la libre fourniture des services.

(21)

Les dispositions du présent règlement exigeant la collecte, le traitement et la transmission de données par un opérateur de SPIS sont sans préjudice des règles applicables en matière de protection des données des participants ou des clients.

(22)

Un SPIS globalement efficace et disposant d’objectifs clairement définis, mesurables et réalisables est mieux à même de répondre aux besoins de ses participants et des marchés qu’il dessert.

(23)

La possibilité, pour les autorités compétentes, de demander des mesures correctives afin de remédier à des cas de non-respect du présent règlement ou d’éviter que ceux-ci ne se reproduisent, ainsi que la possibilité pour la BCE d’infliger des sanctions efficaces, proportionnées et dissuasives en cas de violation du présent règlement, constituent des éléments essentiels de la mise en œuvre des principes du CPIM-OICV dans toute la mesure autorisée par le traité et les statuts du SEBC. Bien que l’imposition de mesures correctives soit uniquement possible en cas de violation du présent règlement, il pourrait y avoir des cas justifiant d’engager la procédure d’imposition de telles mesures en raison d’un non-respect présumé, donnant ainsi à un opérateur de SPIS la possibilité d’être entendu et de fournir des explications avant qu’une violation ne soit établie. Dans les cas où l’opérateur de SPIS est une succursale, les mesures correctives ou les sanctions devraient être imposées à la succursale.

(24)

Il ne devrait pas être exigé d’un opérateur de SPIS nouvellement désigné en tant que tel par une décision prise en vertu du présent règlement qu’il se conforme aux exigences de surveillance énoncées dans le présent règlement pendant une période d’un an à compter de la date à laquelle cette décision lui est notifiée. Cela permettra à cet opérateur de se familiariser avec lesdites exigences de surveillance et de les mettre en œuvre,