Article 27. Gestion des risques opérationnels et de sécurité

Article 27. Gestion des risques opérationnels et de sécurité

1. Les prestataires de services de paiement doivent disposer de mesures d'atténuation et de mécanismes de contrôle appropriés pour gérer les risques opérationnels et de sécurité liés aux services de paiement qu'ils fournissent. Dans le cadre de ces mesures et mécanismes, les prestataires de services de paiement doivent établir et maintenir des procédures efficaces de gestion des incidents, notamment pour la détection et la classification des incidents opérationnels et de sécurité majeurs.

2. Les prestataires de services de paiement doivent fournir à l'AFA, au moins une fois par an et selon les modalités déterminées par l'AFA, une évaluation actualisée et complète des risques opérationnels et de sécurité liés aux services de paiement qu'ils fournissent, ainsi que de l'adéquation des mesures d'atténuation et des mécanismes de contrôle mis en œuvre en réponse à ces risques.

3. Compte tenu des pratiques et des usages du marché, l'AFA est habilitée à régir par voie de communiqué technique les questions relatives à l'établissement, à l'application et à la supervision des mesures de sécurité, y compris les mesures d'atténuation et les mécanismes de contrôle ainsi que, le cas échéant, les processus de certification. Ce communiqué technique doit être révisé périodiquement et, en tout état de cause, tous les deux ans.