Prawdopodobnie słyszałeś już o nowej dyrektywie w sprawie usług płatniczych kartą kredytową i jej potencjalnych konsekwencjach dla naszej branży. Możesz jednak nie wiedzieć, że PSD2 nie jest niczym nowym, w rzeczywistości została po raz pierwszy wdrożona w 2015 roku, chociaż nie wszystkie jej części zostały wprowadzone jednocześnie. Silne Uwierzytelnianie Klienta, w szczególności, miało wejść w życie dopiero 14 września 2019 roku, cztery lata po zatwierdzeniu dyrektywy. Można więc sobie wyobrazić, że branża jest gotowa, prawda? Cóż, nie do końca…
Wiedza, posiadanie i inherencja
Czym więc jest PSD2? Zasadniczo jest to jedynie zaktualizowana wersja obecnej dyrektywy w sprawie usług płatniczych. Wraz z wprowadzeniem PSD2, aby kupujący mogli robić zakupy online za pomocą kart kredytowych (lub dokonywać transakcji bankowych), będą musieli zapewnić dwa różne sposoby uwierzytelniania w momencie zakupu. “Aby zakup został autoryzowany, zgodnie z PSD2”, HospitalityNet podkreśla w artykule na ten temat, “potrzebne są dwa z trzech różnych rodzajów metod uwierzytelniania, a mianowicie wiedza (hasło lub PIN), posiadanie (telefon lub karta kredytowa) i dziedziczenie (biometria: skan twarzy lub odcisk palca)”. Ta dwuskładnikowa metoda uwierzytelniania jest znana jako silne uwierzytelnianie klienta (SCA), a jej głównym celem jest zwiększenie bezpieczeństwa transakcji online oraz ograniczenie oszustw i obciążeń zwrotnych. Dyrektywa PSD2 będzie miała wpływ na wszystkie transakcje z udziałem wydawców kart z UE (w tym na razie z Wielkiej Brytanii).
Jak będzie wyglądać branża po wprowadzeniu PSD2?
Dzięki tej dodatkowej, drugiej warstwie zabezpieczeń, SCA może potencjalnie sprawić, że transakcje online kartą kredytową będą znacznie bezpieczniejsze, a nawet mogą mieć pozytywny wpływ na UX kupującego. Obecnie po wprowadzeniu danych karty kredytowej użytkownicy są przekierowywani na tak zwaną stronę 3D Secure. Problem polega na tym, że te pośrednie strony nie zostały zaprojektowane z myślą o telefonach komórkowych, co dramatycznie zwiększa wskaźnik rezygnacji (od 5% do 15%, według Worldpay). Z drugiej strony, zgodnie z PSD2, doświadczenie będzie bardziej przyjazne dla urządzeń mobilnych, teoretycznie zwiększając współczynniki konwersji. Mimo to niektóre implikacje mogą (i najprawdopodobniej będą) negatywnie wpływać na codzienne operacje hoteli. Dobrą wiadomością jest to, że ze względu na brak gotowości sprzedawców przyznano opóźnienie w stosunku do oryginału: W czerwcu 2019 r., na zaledwie 3 miesiące przed upływem terminu 14 września, banki były zobowiązane do opublikowania swoich interfejsów API; tylko jedna trzecia z nich to zrobiła, a we wrześniu 2019 r. ponad jedna trzecia tych interfejsów API nadal nie działa prawidłowo, tworząc trudne środowisko dla zewnętrznych dostawców próbujących się zintegrować. Niedawno platforma bankowa i dostawca danych Tink przetestował interfejsy API z ponad 2000 banków. Rezultat? Żaden z nich nie spełniał nowych standardów regulacyjnych. Wielka Brytania zgodziła się już na 18 dodatkowych miesięcy, a w październiku Komisja Europejska ogłosi nową datę zgodności dla pozostałych krajów. Europejski Urząd Nadzoru Bankowego w oficjalnym dokumencie stwierdził, że “Europejski Urząd Nadzoru Bankowego (…) akceptuje, że w wyjątkowych przypadkach i w celu uniknięcia niezamierzonych negatywnych konsekwencji dla niektórych użytkowników usług płatniczych po 14 września 2019 r., (…) może podjąć decyzję (…) o zapewnieniu ograniczonego dodatkowego czasu, aby umożliwić emitentom migrację do metod uwierzytelniania zgodnych z SCA”. Podobnie, brytyjski Financial Conduct Authority oświadczył, że nie podejmie “żadnych działań przeciwko firmom, które nie są gotowe do przestrzegania zasad we wrześniu, o ile istnieją dowody na to, że podjęły one niezbędne kroki w celu spełnienia dłuższego planu przejściowego, który będzie wymagał od firm pełnej zgodności do marca 2021 r.”, więc nie jest tak daleko idące, aby sądzić, że nowa data zgodności UE będzie gdzieś pod koniec 2020 r. / na początku 2021 r. “.
Pan Smith rezerwuje pokój w hotelu: Kiedy ma zastosowanie SCA?
Pan Smith rezerwuje pokój hotelowy przez Internet. W momencie płatności wprowadza numer swojej karty kredytowej i przechodzi do kasy. Po wprowadzeniu danych karty kredytowej transakcja będzie musiała przejść test zwany analizą ryzyka transakcji (TRA), aby ocenić, czy SCA jest potrzebna, czy nie. Nawet w ramach PS2D niektóre transakcje będą nadal wyłączone z SCA: na przykład płatności zbliżeniowe i wszystkie transakcje, w których właściciel karty kredytowej jest fizycznie obecny w momencie płatności, nie będą objęte rozporządzeniem; więc jeśli pan Smith przyjedzie do hotelu, aby zarezerwować pokój, i będzie obecny podczas transakcji, uwierzytelnianie nie będzie potrzebne. Zakupy dokonane przez telefon lub e-mail będą przebiegać zgodnie z tą samą logiką, więc jeśli pan Smith zadzwoni do hotelu i poda dane swojej karty kredytowej przez telefon, nie będzie potrzeby stosowania SCA. Należy pamiętać, że wyjątki są liczne i wiele zmiennych może mieć zastosowanie nawet w podobnych przypadkach, ale na potrzeby tego artykułu omówimy tylko główne z nich.
Wracając do pana Smitha: test TRA polega teraz na podjęciu decyzji, czy konieczne jest podwójne uwierzytelnienie. Test ocenia ryzyko oszustwa w zakresie od niskiego do wysokiego. Jeśli na przykład transakcja opiewa na kwotę poniżej 30 euro, uwierzytelnienie nie jest wymagane, pod warunkiem, że ta sama karta nie została użyta do więcej niż pięciu transakcji (lub na łączną kwotę ponad 100 euro) w ciągu ostatnich 24 godzin. Jeśli więc pokój lub podwyższenie klasy kosztuje 29 euro, a pan Smith nie kupił niczego innego tego samego dnia, uwierzytelnienie nie jest konieczne. Należy pamiętać, że nawet w przypadku zwolnionych transakcji bank zawsze będzie miał ostateczne zdanie, więc może zdecydować, że SCA jest wymagane nawet w przypadku zakupów o niskim ryzyku.
Teraz pan Smith musi jeszcze dokonać płatności za pokój, który chce zarezerwować na początku przykładu. Całkowita kwota wynosi 500 €, a on nigdy wcześniej nie rezerwował tego hotelu. Test TRA decyduje, że jest to – potencjalnie – ryzykowna transakcja i wymaga od pana Smitha podwójnego uwierzytelnienia. W związku z tym będzie musiał dostarczyć dwa z trzech akceptowanych rodzajów uwierzytelnienia. Oto dwa przykłady:
- Odblokowując swój telefon (“posiadanie” = coś, co “posiada”) za pomocą odcisku palca (“inherencja” = coś, czym “jest”).
- Wprowadzając hasło (“wiedza” = coś, co “wie”) i rozpoznając zaufane urządzenie mobilne (“posiadanie” = coś, co “posiada”).
Zgodnie z PSD2, sam jednorazowy kod PIN poprzez uwierzytelnianie SMS na odblokowanym telefonie nie będzie już wystarczający, ponieważ złodziej może mieć dostęp do obu, po prostu kradnąc telefon, co sprawia, że oba czynniki należą do tej samej kategorii (dowód “posiadania”), a oni nadal będą w stanie zapewnić co najmniej jeden dodatkowy rodzaj uwierzytelniania.
PSD2 w hotelarstwie
Niektórzy już określili PSD2 jako “RODO na sterydach”. Być może. Pewne jest to, że temat jest rozległy i pełen konsekwencji, więc jeśli szukasz wyczerpującej lektury na ten temat, proponuję zapoznać się z tym artykułem autorstwa Pablo Delgado i Daniela Badenasa z Mirai. Ten artykuł koncentruje się mniej na teorii, ale skutecznie dekonstruuje możliwe scenariusze hotelowe “co jeśli?”, aby zilustrować, jak PSD2 może wyglądać w rzeczywistości. Po pierwsze, zacznijmy od uspokojenia: w przeciwieństwie do RODO, hotele nie mogą zostać ukarane grzywną za nieprzestrzeganie dyrektywy. Jedynie końcowa platforma płatnicza i firmy zajmujące się modelem handlowym mogą zostać pociągnięte do odpowiedzialności za naruszenia. W każdym razie nie oznacza to, że wprowadzenie PSD2 należy traktować lekko, ponieważ istnieje (wiele) przypadków, w których codzienne operacje będą musiały zostać odpowiednio dostosowane.
Oto kilka najbardziej prawdopodobnych scenariuszy:
Pan Smith rezerwuje elastyczną lub bezzwrotną stawkę w OTA (model sprzedawcy)
W przypadku rezerwacji otrzymanych za pośrednictwem OTA w modelu handlowym (OTA pobiera pieniądze w imieniu hotelu), istniejące procesy nie ulegną zmianie. W tym przypadku to OTA pobiera pieniądze od gościa końcowego i dostarcza hotelom wirtualną kartę, więc hotele nie będą potrzebowały podwójnego uwierzytelniania w celu przetworzenia płatności.
Pan Smith rezerwuje stawkę bezzwrotną w OTA (model agencyjny)
Jeśli chodzi o rezerwacje bezzwrotne otrzymane za pośrednictwem OTA w modelu agencyjnym, hotel będzie musiał (dość drastycznie) zmienić swoje wewnętrzne procesy i systemy, aby zapewnić walidację płatności: przede wszystkim hotel musi przetwarzać te płatności za pośrednictwem bramki płatności online, która jest zgodna z PSD2. Jeśli nie masz bramki z taką zgodnością zabezpieczeń, alternatywa nie jest idealna: nie autoryzujesz karty za żadną część stawki i trzymasz kciuki, że goście w końcu przybędą. Jeśli i kiedy gość przybędzie, płatność może być traktowana jako “obecna karta”, z pominięciem SCA.
POWIĄZANE:
Niemniej jednak hotele nie będą w stanie naliczać żadnych opłat za niepojawienie się gości lub kar za późne anulowanie rezerwacji: ręczne opłaty na fizycznych czytnikach kart nie będą działać, ponieważ pojedynczy numer karty kredytowej może nie wystarczyć do przetworzenia płatności, a goście mogą nadal kwestionować opłatę i prowadzić do potencjalnego obciążenia zwrotnego dla hotelu. Aby rozwiązać ten problem, Expedia uruchomiła niedawno bezpłatne narzędzie do zarządzania opłatami za anulowanie rezerwacji: “Gdy podróżny dokonuje rezerwacji Hotel Collect, Expedia Group weryfikuje kartę klienta i przechwytuje niezbędne informacje uwierzytelniające. Otrzymasz numer wirtualnej karty Expedia (EVC), więc nie będziesz już widzieć numeru karty gościa. [If Expedia is not able], aby obciążyć kartę, ponieważ nie ma wystarczających środków lub stała się nieważna, [it will] usuń opłatę i prowizję za rezerwację.
Mr. Smith rezerwuje 4-miesięczną elastyczną stawkę Early-Bird na Brand.com
Mimo że okna rezerwacyjne podróżnych skracają się z każdym rokiem, wczesne rezerwacje są nadal częste w określonych przypadkach (kurorty plażowe, hotele MICE…). Rezerwacje te zazwyczaj wiążą się z dużymi korzyściami dla gości, takimi jak znacznie obniżone stawki, ale zgodnie z PSD2 przetwarzanie płatności może stanowić wyzwanie, ponieważ SCA ma datę ważności: podwójne uwierzytelnienie trwa tylko przez 90 dni, więc hotele będą musiały uzyskać wiele uwierzytelnień dla tej samej rezerwacji. Obejściem jest wykorzystanie transakcji inicjowanych przez sprzedawcę (MIT), o ile warunki są jasne w systemie rezerwacji, ponieważ informacje o płatności gościa będą musiały być już obecne (i autoryzowane) w hotelowym PMS, systemie rezerwacji lub CRS. Nawet jeśli każdy początkowy zakup będzie musiał zostać uwierzytelniony za pomocą SCA, przyszłe transakcje przy użyciu tej samej karty mogą zostać uznane za MIT, a tym samym zwolnione z wymogów SCA. Jest to szczególnie korzystny scenariusz na przykład dla członków programów lojalnościowych.
Pan Smith rezerwuje elastyczną stawkę na Brand.com, ale się nie pojawia
Według badania VISA, średni wskaźnik niepojawienia się gości w hotelach wynosi “od jednego do dwóch procent wszystkich rezerwacji”, co oznacza “szacunkowy koszt dla branży hotelarskiej w wysokości od 50 do 100 milionów dolarów rocznie”. Zgodnie z PSD2 nie będzie można przetwarzać kart kredytowych gości, jeśli nie znajdują się oni fizycznie w hotelu (card-present) lub jeśli nie dokonają podwójnego uwierzytelnienia transakcji (card not present). Jest mało prawdopodobne, że gość zgodzi się zapłacić za coś, z czego nie korzystał, więc hotel jest w trudnej sytuacji. O ile kara za niepojawienie się w obiekcie nie została naliczona podczas procesu rezerwacji (co zdarza się rzadko), jest mało prawdopodobne, że gość, który nie pojawił się w obiekcie, dokona podwójnej autoryzacji. Rozwiązaniem jest użycie obejścia MIT.
Wnioski:
To tylko kilka z możliwych scenariuszy, a po wprowadzeniu dyrektywy w życie pojawi się ich jeszcze więcej. Na pierwszy rzut oka wydaje się, że – z perspektywy hotelarzy – wady przeważają nad zaletami. Naszą sugestią jest wdrożenie następującej strategii:
- Zaimplementuj bramkę płatności nieprezentowanych kartą, aby codzienne operacje były mniej obciążające. Jeśli posiadasz system PMS, prawdopodobnie masz już bramkę, ale nie będzie ona pomocna, jeśli nie masz dostępu do fizycznej karty gościa;
- Zaoferuj gościom opcję przechowywania ich metod płatności do wykorzystania w przyszłości, zwalniając transakcję z SCA;
- Zintegruj alternatywne formy płatności w swoim ekosystemie, ponieważ nie podlegają one dyrektywie PSD2. Metody płatności, takie jak Apple Pay, Google Pay, Amazon Pay, WeChat i AliPay, choć nie są w pełni wykorzystywane w naszej branży, zyskują na popularności.
Ten artykuł został pierwotnie napisany przez zespół MyCheck. Została przeniesiona tutaj jako część rodziny marek technologii hotelarskich Shiji Group.
