La gestion du risque est une tâche à laquelle aucune entreprise en ligne ne peut échapper. Du risque de réputation (par ex., l'image que l'on a de votre marque) au risque opérationnel (par ex., les interruptions), cette réalité couvre de nombreux domaines.

Dans ce guide, nous avons choisi de nous concentrer sur trois types de risques liés aux paiements : le risque de crédit, le risque de fraude et les prises de contrôle de comptes. S'il est impossible d'éradiquer les risques en matière de paiement, il existe toutefois des solutions pour les réduire. Ce guide passe en revue les stratégies permettant d'évaluer et de gérer votre niveau de risque tout en assurant une prise de décision éclairée.

Présentation du risque de crédit et du risque de fraude

En ajoutant la facilitation des paiements à leurs offres de services, les plateformes logicielles se retrouvent confrontées à trois types distincts et complexes de risques, et ce en raison de leur modèle économique tripartite (constitué de la plateforme, des marchands ou fournisseurs de services qui se font payer via la plateforme en question et des titulaires de carte qui effectuent leurs paiements au profit des marchands ou fournisseurs de services) :

• Risque de crédit : Le risque de crédit se manifeste généralement lorsque des marchands ont bien l’intention d’exécuter des commandes de biens ou de services, mais n’ont pas les ressources financières nécessaires, accumulent davantage de remboursements et de rétrofacturations qu’ils ne peuvent couvrir, et peuvent potentiellement cesser leur activité. Les titulaires de la carte peuvent demander une rétrofacturation si les biens ou services n’ont pas été fournis. Vous devriez de l’argent à ces clients car, de manière générale, les plateformes qui facilitent les paiements acceptent d’être responsables de l’activité de leurs marchands.

• Risque de fraude : Les plateformes doivent également gérer le risque lié à des marchands et des comptes frauduleux. Par exemple, une même personne peut agir à la fois comme marchand frauduleux et comme titulaire de la carte frauduleux : cette personne dispose d’informations de carte volées, crée un compte sur votre plateforme, puis se paie elle-même avec la carte volée. Autre cas : un marchand frauduleux et un titulaire de la carte légitime, où le marchand trompe le titulaire de la carte pour obtenir de l’argent (par exemple en vendant des biens qu’il n’a pas l’intention de livrer). Les plateformes peuvent aussi être confrontées à un type de fraude appelé abus de première partie (first-party misuse) ou fraude amicale (friendly fraud). Cela se produit lorsqu’un titulaire de la carte légitime effectue un achat, puis le conteste ultérieurement. Cela peut être involontaire, parce qu’il n’a pas reconnu la transaction sur son relevé, ou volontaire (par exemple en raison d’un regret d’achat, ou pour tenter d’obtenir frauduleusement des marchandises sans payer).

• Prises de contrôle de compte : Avoir un marchand légitime et un titulaire de la carte légitime ne suffit pas à éliminer complètement les risques liés aux paiements. Les plateformes doivent également gérer les prises de contrôle de compte, lorsqu’un tiers malveillant accède aux identifiants de compte d’un marchand et vole ses fonds.

Stratégies de gestion des risques pour le risque de crédit

La plupart des marchands sont régulièrement exposés au crédit (sous la forme de rétrofacturations et de remboursements qu’ils doivent couvrir), mais disposent de la trésorerie nécessaire pour le faire. Cela devient risqué pour vous lorsque vos marchands enregistrent moins de ventes et davantage de demandes de remboursement, ce qui peut conduire à une incapacité à restituer l’argent aux clients.

Par exemple, imaginons que vous exploitiez une plateforme sur laquelle des organisateurs d’événements vendent des billets et que vous versiez l’organisateur avant la tenue de l’événement. Si l’événement en présentiel est annulé, les organisateurs doivent émettre des remboursements aux clients. Mais si les organisateurs n’ont pas suffisamment d’argent pour effectuer ces remboursements, vous, en tant que plateforme, pourriez devoir assumer cette perte. Vous prenez donc un risque de crédit important pour le compte de vos marchands, ce qui pourrait vous exposer à des pertes.

Il existe plusieurs manières de gérer le risque de crédit, et nous avons organisé ces stratégies en trois sections : onboarding, monitoring et mitigation.

Onboarding

Les nouveaux comptes sont intrinsèquement risqués lorsqu’ils rejoignent votre plateforme, tout simplement parce qu’ils n’ont aucun historique ni antécédents de traitement avec vous. Plus vous collectez d’informations à leur sujet, mieux vous pouvez évaluer votre propre risque et préserver la santé de votre plateforme. Par exemple, à partir de leur activité financière, vous pouvez identifier les comptes les plus susceptibles de rencontrer des problèmes de trésorerie et d’afficher des soldes négatifs avant que cela ne se produise.

• Évaluer le risque : Évaluez le risque des comptes potentiels pendant l’onboarding, avant de les autoriser sur votre plateforme. Assurez-vous de collecter suffisamment d’informations sur les services proposés afin de déterminer s’ils relèvent d’une catégorie à haut risque. Vous pouvez vous renseigner sur leur politique de remboursement ou sur le volume brut de paiements attendu, et étudier leur historique d’exploitation sur des plateformes similaires à la vôtre. Pour les marchands plus importants, envisagez une évaluation plus manuelle, incluant une analyse financière et des contrôles de solvabilité des propriétaires ou dirigeants de l’entreprise.

• Limiter temporairement les transactions : Pour les comptes nouveaux ou à haut risque, vous pouvez souhaiter mettre en place plusieurs contrôles temporaires jusqu’à mieux comprendre leur activité sur votre plateforme. Par exemple, envisagez de limiter leur volume total de transactions sur une seule journée ou un seul mois. S’ils dépassent ces limites, vous pouvez mettre en pause leurs virements afin de pouvoir examiner les transactions.

• Collecter des réserves : Réservez un certain montant en garantie pour des marchands potentiellement risqués à l’aide de Reserves API, composant de Radar for Platforms. Vous pouvez libérer la réserve au fil du temps, à mesure que les marchands établissent un historique positif avec vous.

Monitoring

Les entreprises sont rarement simples et statiques, et à mesure qu’elles évoluent, leur profil de risque évolue aussi. Surveillez en continu l’activité des litiges, les soldes négatifs, le volume de traitement et les réclamations clients afin d’identifier des comportements frauduleux et de prendre des mesures immédiates.

• Configurer des alertes : Créez des alertes pour surveiller les marchands les plus risqués afin d’ajuster rapidement votre stratégie de gestion des risques. Les marchands les plus risqués présentent une baisse marquée des volumes, des soldes négatifs ou des taux de litige plus élevés (une activité de litige supérieure à 0,75 % est généralement considérée comme excessive).

• Réaliser des revues périodiques : Si la mise en place d’alertes peut vous aider à surveiller les marchands au quotidien, il est également important de réaliser des revues périodiques et approfondies. Vous devez vérifier les taux de remboursement et de litige d’un marchand, son volume de traitement et les réclamations clients.

• Former les marchands : Créez des ressources pour aider vos marchands à se préparer à l’imprévu. Par exemple : des ressources COVID-19 de Shopify et Xero, ou des informations sur l’ouragan Harvey pour les entreprises de Mindbody.

Mitigation

Une fois que vous comprenez les profils de risque de vos marchands nouveaux et existants, vous pouvez commencer à gérer proactivement votre exposition. Par exemple, pour les marchands qui semblent plus susceptibles de présenter un risque pour votre plateforme, vous pouvez modifier votre calendrier de virements et les encourager à changer la manière dont les remboursements et les rétrofacturations sont traités.

• Retarder les virements : Retardez les virements jusqu’à ce que vous soyez familiarisé avec les volumes moyens des marchands et leurs taux de rétrofacturation. Vous pouvez même associer le calendrier de virements à la catégorie de risque du marchand : par exemple, plus la catégorie de risque est élevée, plus le calendrier de virements est long. Pour les biens et services qui ne sont pas fournis immédiatement, retenez les virements jusqu’à leur livraison. Cela réduit la probabilité de rétrofacturations et de remboursements, car vous pouvez confirmer que les clients ont reçu ce qu’ils ont payé avant de libérer les fonds.

• Gérer les soldes négatifs : Mettez en place un processus pour recouvrer des fonds auprès des marchands qui passent à des soldes fortement négatifs (les marchands ayant un solde négatif ne pourront pas traiter les rétrofacturations et les remboursements, le risque reposera donc sur votre plateforme). Selon l’emplacement de vos marchands, vous pourrez peut-être mettre en place des prélèvements automatiques afin de prélever des fonds depuis leur compte bancaire et résorber les soldes négatifs.

• Définir votre concentration de risque : Envisagez de définir un seuil maximal d’exposition au risque pour certaines zones géographiques (par exemple, seulement X % de votre exposition totale au risque doit provenir d’un seul pays) ou pour certains marchands (par exemple, seulement X % de vos expositions totales doit provenir d’un seul marchand). Si vos expositions dépassent ce seuil, vous pouvez durcir vos politiques de gestion des risques.

• Capturer les fonds à la date de livraison : Réduisez l’écart entre la date de paiement et la date d’exécution afin de réduire l’exposition au risque. C’est particulièrement important pour les marchands à haut risque qui traitent des paiements longtemps avant la livraison de biens ou de services (par exemple, des organisateurs d’événements vendant des billets pour un événement sportif ou un concert). Pour capturer les fonds à la date de livraison (ou au plus près), créez un débit pour placer une autorisation sur les fonds du titulaire de la carte, puis capturez les fonds une fois que le marchand a livré les biens ou services.

Stratégies de gestion des risques pour le risque de fraude

Au niveau le plus élémentaire, un paiement est considéré comme frauduleux lorsque le titulaire de la carte n’autorise pas le débit. Cela peut résulter de cartes volées ou d’attaques de test de cartes. Un exemple courant est celui d’un fraudeur qui effectue un achat avec une carte volée. Ce type de risque de fraude peut être évité et géré à l’aide d’un logiciel de lutte contre la fraude (comme Stripe Radar).

En plus des titulaires de la carte frauduleux, les plateformes doivent également gérer le risque lié à des marchands frauduleux. Il existe plusieurs manières de gérer le risque de fraude, et nous avons organisé ces stratégies en trois sections : onboarding, monitoring et mitigation.

Onboarding

L’onboarding des comptes ou des marchands est l’occasion de collecter autant d’informations que possible afin de vérifier la légitimité d’une entreprise. Toutefois, pour prévenir le risque de fraude, vous devez prendre en compte des facteurs supplémentaires, comme le recoupement des comptes existants et des comptes précédemment rejetés afin d’identifier des doublons.

• Évaluer le risque : Confirmez l’identité d’un marchand pendant l’onboarding et assurez-vous que son entreprise est légitime. Examinez les profils du marchand sur les réseaux sociaux, collectez les licences d’exploitation appropriées, vérifiez son site Web (recherchez des signaux d’alerte comme des sites modèles, du texte copié depuis d’autres sites, etc.) et vérifiez des informations pertinentes pour votre plateforme, comme une adresse physique, une liste des articles en stock ou un historique de vente.

• Vérifier les comptes en double : Des acteurs frauduleux peuvent ouvrir plusieurs comptes sur votre plateforme. Pour éviter cela, effectuez des contrôles sur les informations de compte en double associées à des comptes précédemment rejetés (comme des informations de compte bancaire, des informations fiscales, ou le nom et la date de naissance). Vous pouvez également envisager des liens entre des comptes, comme plusieurs comptes provenant de la même adresse IP ou du même domaine d’e-mail.

• Collecter des réserves : Réservez un certain montant en garantie pour des marchands potentiellement risqués. Vous pouvez libérer la réserve au fil du temps, à mesure que les marchands établissent un historique de traitement positif avec vous.

Monitoring

Les marchands frauduleux peuvent prendre le temps d’établir un historique positif sur votre plateforme avant de commettre une fraude, ce qui souligne l’importance d’un monitoring continu. Comprenez à quoi ressemble l’activité normale d’un marchand, mettez en place des alertes de détection d’anomalies pour faire remonter toute variation ou tout pic important, et soyez prêt à demander des informations supplémentaires si vous observez une activité suspecte.

• Identifier le comportement normal : Surveillez l’activité de vos marchands afin de comprendre leur comportement habituel. Quel est leur volume moyen mensuel de transactions ? Quels sont leurs taux moyens de rétrofacturation et de litige ? Cela fournit un point de référence à partir duquel vous pouvez rechercher des comportements suspects (comme le montant et la fréquence des débits) et prendre les mesures appropriées.

• Personnaliser vos alertes : Créez des alertes basées sur des règles pour surveiller les marchands les plus risqués afin d’ajuster rapidement votre stratégie de gestion des risques. Examinez les marchands frauduleux confirmés afin d’identifier des schémas dans leur activité, pour vous aider à ajuster et personnaliser vos alertes.

• Demander des informations supplémentaires : Si vous observez un comportement de transaction suspect, contactez le marchand pour obtenir plus d’informations. Vous pouvez demander des factures, des photos du stock ou des numéros de suivi.

Mitigation

Une fois que vous comprenez les profils de risque de vos marchands nouveaux et existants, vous pouvez commencer à gérer proactivement votre exposition. Par exemple, pour les marchands qui semblent plus susceptibles de présenter un risque pour votre plateforme, vous pouvez modifier votre calendrier de virements et les encourager à changer la manière dont les remboursements et les rétrofacturations sont traités.

• Retarder les virements : Retardez les virements jusqu’à ce que vous soyez familiarisé avec les volumes moyens des marchands et leurs taux de rétrofacturation. Vous pouvez même associer le calendrier de virements à la catégorie de risque du marchand : par exemple, plus la catégorie de risque est élevée, plus le calendrier de virements est long. Pour les biens et services qui ne sont pas fournis immédiatement, retenez les virements jusqu’à leur livraison. Cela réduit la probabilité de rétrofacturations et de remboursements, car vous pouvez confirmer que les clients ont reçu ce qu’ils ont payé avant de libérer les fonds.

• Empêcher les attaques de test de cartes : Vous pouvez identifier la plupart des activités de test de cartes par une hausse significative des refus (ces refus sont classés comme des erreurs 402 dans vos logs de requêtes échouées). Pour empêcher ces attaques, mettez en place des mesures de sécurité supplémentaires lors du tunnel de paiement, comme un CAPTCHA.

Stratégies de gestion des risques pour les prises de contrôle de compte

Vous pourriez confirmer personnellement la légitimité de chaque marchand utilisant votre plateforme et rester malgré tout exposé à la fraude aux paiements sous la forme de prises de contrôle de compte. Si des tiers malveillants existeront toujours sur Internet, vous pouvez investir dans des efforts stricts de sécurité et d’identification afin d’empêcher des acteurs malveillants de pirater le compte de vos marchands.

• Appliquer des mesures de vérification d’identité : L’un des meilleurs moyens d’empêcher les prises de contrôle de compte est d’appliquer des mesures strictes de sécurité et de vérification d’identité. Par exemple, imposez des politiques de mot de passe uniques et mettez en œuvre une authentification à deux facteurs lors de la connexion.

• Surveiller l’activité suspecte : Il est important de reconnaître les signes d’une prise de contrôle de compte afin de pouvoir immédiatement mettre en pause Payouts. Les signes courants d’une prise de contrôle de compte incluent un pic important du volume de traitement ou de la taille moyenne des commandes, ou des connexions depuis de nouveaux appareils ou des adresses IP non locales.

Vos options de gestion des risques avec Stripe

Les plateformes qui utilisent Stripe ont deux options pour gérer le risque : 1) demander à Stripe de vous aider à gérer le risque lié aux paiements, ou 2) prendre en charge vous-même la gestion des risques. L’approche la plus courante consiste à demander à Stripe de vous aider à gérer le risque lié aux paiements, ce qui réduit la charge opérationnelle et diminue votre exposition. Avec Stripe Managed Risk, vous bénéficiez de notre solution de gestion des risques de bout en bout, incluant un monitoring continu et la mitigation des risques de crédit et de fraude. Stripe surveille et gère activement les risques en votre nom, notamment en couvrant les soldes négatifs irrécouvrables attribués aux entreprises sur votre plateforme. Cette option est idéale pour déléguer la gestion des risques et vous concentrer sur vos priorités, quel que soit votre niveau d’expertise en la matière.

Si vous disposez d’une expertise en matière de risque et comprenez bien qui sont vos marchands, vous pouvez prendre en charge vous-même la gestion des risques. Les plateformes qui choisissent de gérer les risques en interne disposent généralement de ressources dédiées en opérations et en ingénierie pour concevoir et maintenir une solution de lutte contre la fraude développée en interne, allouer suffisamment de Capital pour les pertes potentielles, intégrer des outils tiers, et surveiller ainsi que reporter les pertes liées à la fraude.

En plus de mobiliser des équipes dédiées à la gestion des risques, vous devrez collaborer avec d’autres départements internes susceptibles d’être affectés par le risque, notamment :

• Équipes juridiques : Un juriste généraliste en interne ou un/une spécialiste juridique des produits de paiements devra se tenir informé des lois, réglementations et règles sectorielles pertinentes, et collaborer avec des équipes transverses pour répondre aux audits et aux demandes d’information.

• Équipes de support : Les équipes de service client internes ou prestataires devront être prêtes à répondre aux questions des utilisateurs concernant les activités de gestion des risques, notamment les rétrofacturations, les litiges et les virements retardés.

Lorsque vous gérez vous-même le risque, vous pouvez personnaliser votre approche avec la suite d’outils puissants de prévention et de monitoring de Stripe, notamment :

Prévenir la fraude liée aux comptes et aux transactions : Stripe Radar for platforms offre une protection contre le risque financier conçue pour les plateformes, en s’appuyant sur une intelligence artificielle (IA) entraînée sur le réseau Stripe afin de prévenir la fraude sur les paiements et les comptes. Les plateformes peuvent utiliser cet outil pour détecter et bloquer des comptes potentiellement risqués, définir des règles personnalisées au niveau du compte et accéder à des analyses avancées. Le moteur de règles de Radar est configurable pour agir à la fois au niveau du compte et de la transaction, et aide les plateformes à adapter leur protection contre la fraude aux besoins de leur entreprise. Stripe assure un filtrage continu des comptes afin de bloquer les comptes connectés frauduleux lors de l’onboarding et de fournir une protection contre d’éventuelles prises de contrôle de compte.

Onboarding des comptes : Inscrivez des comptes rapidement et en toute sécurité grâce à des interfaces utilisateur prêtes à l’emploi, optimisées pour la conversion, qui collectent de manière sécurisée les informations personnelles sensibles et les documents d’identité nécessaires à la vérification. Stripe s’appuie sur son expérience acquise en ayant vérifié des millions de comptes et utilise des systèmes propriétaires pour approuver davantage d’entreprises avec moins de friction. les parcours d’onboarding de Stripe se mettent à jour dynamiquement en fonction de l’évolution des réglementations et de la localisation internationale, offrant des expériences d’onboarding fluides à mesure que vous grandissez et entrez sur de nouveaux marchés.

Vérifier les identités : Les plateformes particulièrement exposées à des fraudeurs professionnels peuvent prévenir les pertes liées à la fraude provenant de faux comptes grâce à Stripe Identity, qui confirme par programmation l’identité de marchands à l’échelle mondiale tout en minimisant la friction pour les clients légitimes.

Faire remonter les informations sur les litiges et les remboursements : Surveillez la santé (et le risque) de vos marchands grâce au Stripe Dashboard prêt à l’emploi, qui fournit un ensemble d’analyses et de graphiques en temps réel sur la performance de votre plateforme, ou utilisez Stripe Sigma pour analyser rapidement vos données Stripe en écrivant des requêtes SQL directement dans le Dashboard. Grâce à un accès structuré à vos données, vous pouvez identifier les comptes qui traitent le plus de litiges et de remboursements et repérer des tendances dans le temps. Créez des webhooks pour mettre en place des alertes sur des comportements potentiellement frauduleux, et enquêter sur les comptes présentant des soldes négatifs ou des taux de remboursement et de rétrofacturation élevés.

Activer des calendriers de virements flexibles : Stripe Connect propose plusieurs options de calendrier de virements que vous pouvez utiliser, selon les profils de risque de vos marchands. Vous pouvez choisir de verser automatiquement des fonds instantanément ou quotidiennement pour des marchands établis, ou définir un calendrier de virements personnalisé afin de ralentir ou différer les virements pour des comptes plus risqués.

Pour en savoir plus sur les offres de gestion des risques de Stripe, contactez notre équipe commerciale.