Réglementation des cartes de paiement et des agrégateurs : capital minimum, risque et cybersécurité

La Junta de Política y Regulación Financiera y Monetaria a publié la résolution JPRFM-2026-048-T, qui réforme la Codification des Résolutions Monétaires, Financières, des Valeurs et des Assurances et incorpore une norme unique pour l’opération des cartes de paiement en Équateur. La décision a été adoptée lors de la session ordinaire Nro. 023-2026 du 6 novembre 2026 et publiée dans le Cinquième Supplément du Registro Oficial Nº 405 du lundi 9 novembre 2026. Le nouveau cadre s’applique aux émetteurs, acquéreurs financiers et non financiers, établissements affiliés et agrégateurs de paiement.

La résolution a abrogé le Chapitre III du Titre II du Livre I de la Codification, qui régulait les cartes de crédit, de débit et de paiement émises par des entités sous le contrôle de la Superintendencia de Bancos, ainsi que la Section X du Chapitre XXXVI relative au Secteur Financier Populaire et Solidaire. En lieu et place, elle a incorporé le Titre V « Norme régulant l’opération des cartes de paiement en Équateur », comprenant six chapitres et 61 articles couvrant l’émission, l’acquisition, l’acceptation, le traitement, la compensation et le règlement. La Banco Central del Ecuador assume le contrôle, l’enregistrement, la vigilance et la supervision opérationnelle et technologique du système.

La norme s’est appuyée sur le Rapport Technique Nro. BCE-GSIMP-2026-047, du 29 octobre 2026, et le Rapport Juridique Nro. BCE-GJ-020-2026, transmis via le Mémorandum Nro. BCE-BCE-2026-0515-M. L’instrument a été signé par le président de la Junta, Gustavo Estuardo Camacho Dávila, et certifié par la secrétaire technique, Ninoska Geovanna Ceballos Pin. Le même bulletin contient la résolution JPRFM-2026-049-M, qui a pris connaissance du rapport trimestriel sur les réserves de liquidité, les réserves obligatoires et le coefficient de liquidité domestique du deuxième trimestre 2026.

Agrégateurs avec capital minimum et comptes ségrégués

L’article 58 exige que les personnes morales non financières demandant l’autorisation en tant qu’agrégateurs de paiement respectent, outre les exigences générales :

• Être constitués en sociétés anonymes ou sociétés à responsabilité limitée en Équateur, avec un capital souscrit et libéré en numéraire égal ou supérieur à 250 000,00 USD, intégralement payé au moment de la demande.
• Maintenir un capital non inférieur à 2 % du montant mensuel moyen des opérations traitées et réglées au cours du dernier exercice fiscal, avec un minimum de 250 000,00 USD.
• Conserver les fonds destinés au règlement des opérations aux établissements affiliés dans des comptes ségrégués au sein d’entités financières autorisées.

Pour les acquéreurs non financiers, l’article 8 porte le capital souscrit et libéré à 500 000,00 USD ; à partir de la deuxième année, ils devront justifier d’au moins 5 % de la moyenne mensuelle des opérations traitées et liquidées, avec le même plancher de 500 000,00 USD. On leur exige également un objet social et une activité économique enregistrés auprès du Servicio de Rentas Internas liés aux paiements ou transferts, une gouvernance d’entreprise avec un conseil d’administration, une certification PCI DSS, un Manuel Opérationnel d’Acquisition et une licence valide d’au moins une marque de carte.

Risques, cybersécurité et authentification

L’article 59 oblige les agrégateurs à mettre en œuvre un cadre global de gestion des risques proportionnel à leur volume d’opérations, avec une couverture explicite du risque opérationnel, de liquidité, juridique, de fraude, de cybersécurité et systémique. Les émetteurs, pour leur part, devront appliquer une authentification multifactorielle adaptative pour toutes les transactions, avec au moins deux facteurs indépendants : l’un lors de l’activation de la carte et l’autre lors de son utilisation. L’enrôlement des cartes dans des applications et les paiements en ligne sans liaison préalable devront également être authentifiés, sans frais pour le titulaire.

Les notifications au titulaire de la carte devront être envoyées en temps réel et simultanément par au moins deux moyens électroniques indépendants, avec une option de blocage immédiat si l’opération n’est pas reconnue. Le service client devra fonctionner 24 heures sur 24, sept jours sur sept. L’émetteur sera responsable des transactions postérieures au signalement de vol ou de perte et des fraudes informatiques découlant de défaillances de ses systèmes.

Interopérabilité et protection des commerces

Les acquéreurs devront traiter, transmettre et compenser les ordres de paiement dans un délai ne dépassant pas un jour, et liquider les fonds aux commerces affiliés dans un maximum de cinq jours ouvrables ; pour les consommations différées, le délai court à partir du moment où l’échéance devient exigible. Les points d’acceptation, les terminaux et les canaux électroniques devront accepter des cartes de différentes marques et émetteurs, et les agrégateurs, passerelles et processeurs ne pourront imposer de restrictions techniques injustifiées.

La norme interdit les clauses d’exclusivité dans les contrats avec les établissements affiliés et oblige à maintenir, pour les paiements par carte, le même prix et les mêmes remises applicables au comptant. Il est également interdit de forcer la migration individuelle ou massive des cartes, sauf mises à jour technologiques de sécurité autorisées.

Délais d’adaptation

• Six mois pour que la Superintendencia de Bancos, la Superintendencia de Economía Popular y Solidaria et la Banque Centrale de l’Équateur ajustent leur réglementation.
• Un an, à compter de la publication, pour que les agrégateurs de paiement constituent le capital souscrit et libéré de 250 000,00 USD.
• Les tarifs en vigueur sont maintenus jusqu’à ce que la Junta statue à ce sujet.
• La résolution entre en vigueur dès son émission le 6 novembre 2026, sans préjudice de sa publication.

L’impact repose directement sur les banques, les coopératives, les néobanques, les fintech d’acquisition et d’agrégation, ainsi que sur les commerces acceptant les cartes : les nouveaux seuils de capital et les exigences de comptes ségrégués organisent un segment jusqu’alors sans règles propres, tandis que l’obligation d’interopérabilité et l’interdiction d’exclusivité visent à réduire les barrières d’acceptation et à proposer aux utilisateurs une offre de paiements plus ouverte et concurrentielle.

Source : Registro Oficial, Quinto Suplemento Nº 405, 9 novembre 2026, Section I (Fonction Exécutive), pág. 2 (référence officielle : JPRFM-2026-048-T).