Comment fonctionne réellement la régulation fintech, licence par licence

En 2021, Revolut pouvait permettre à un client en Lituanie d'ouvrir un compte en quelques minutes. Ce même client, s'il déménageait aux États-Unis, découvrirait un Revolut opérant sous un règlement entièrement différent, avec d'autres protections, d'autres produits et une autre entité juridique derrière l'application. Même marque, même icône bleue, squelette réglementaire totalement différent en dessous. C'est ce squelette, et non l'UX, qui détermine si une fintech peut proposer du crcrLe pourcentage de visiteurs ou de prospects qui réalisent une action attendue (achat, inscription, formulaire de contact), calculé en divisant les conversions par le nombre total d'opportunités.Voir la définition complète →édit, détenir des dépôts ou émettre des cartes dans un pays donné, et à quelle vitesse elle peut s'étendre.

Cette leçon explique pourquoi.

La distinction fondamentale : détenir une licence vs. en louer une

Toute fintech se retrouve devant le même embranchement : obtenir sa propre licence, ou s'associer à un établissement qui en détient déjà une.

Obtenir sa propre licence signifie déposer une demande directement auprès d'un régulateur pour être autorisé à détenir l'argent des clients, prêter ou transférer des fonds. Dans l'UE, cela passe souvent par une licence EMI (Electronic Money Institution) ou une licence bancaire complète délivrée par un régulateur national et « passeportée » dans l'UE/EEE au titre de la Payment Services Directive 2 (PSD2). Aux États-Unis, il n'existe pas de charte fintech nationale unique ; les entreprises ont généralement besoin de money transmitter licenses État par État (les 50, séparément) ou doivent s'associer à une banque agréée.

Louer une licence (le « bank-partnership model ») signifie que la fintech est la marque en contact avec le client, mais qu'une banque agréée se trouve derrière elle, détenant effectivement les dépôts et rendant compte aux régulateurs.

Chime est l'exemple américain le plus net. Chime n'est pas une banque. C'est une société de technologie financière qui s'associe à The Bancorp Bank et Stride Bank, deux établissements assurés par la FDIC, pour détenir effectivement les dépôts des clients. L'assurance FDIC (Federal Deposit Insurance Corporation), jusqu'à 250 000 $ par déposant en 2026 (estimation, vérifiez la limite en vigueur sur fdic.gov), s'applique grâce à ces banques partenaires, et non grâce à Chime elle-même.

Revolut a emprunté la voie la plus difficile et la plus lente dans l'UE et au Royaume-Uni : l'entreprise a obtenu sa propre licence bancaire européenne (via la Lituanie, passeportée dans l'UE) et a poursuivi séparément une licence bancaire britannique, accordée en 2024 après plusieurs années d'examen. Aux États-Unis, Revolut opère toujours avec des money transmitter licenses et une structure de banque partenaire, car une charte bancaire américaine est un processus distinct et bien plus long.

Pourquoi ce choix dicte la gamme de produits

C'est le point qui échappe aux non-spécialistes : la licence n'est pas de la paperasse, c'est le menu produit.

• Pas de licence bancaire = pas de crédit direct depuis votre propre bilan dans la plupart des juridictions. D'où le fait que beaucoup de fintechs originent des prêts via une banque partenaire, puis cèdent ou titrisent les créances.
• Pas de licence bancaire = les dépôts ne sont techniquement pas « les vôtres ». Chime ne peut pas légalement qualifier les fonds de ses clients de « dépôts bancaires » en son nom propre ; c'est la relation avec Bancorp/Stride qui rend l'assurance FDIC possible.
• La licence EMI (UE) permet de détenir de la monnaie électronique et de déplacer des paiements, mais pas de prêter ni de verser des intérêts comme une banque. C'est pourquoi certaines fintechs européennes exploitent une EMI puis demandent, plus tard, une licence bancaire complète lorsqu'elles veulent proposer de l'épargne ou du crédit.
• Une licence bancaire complète débloque les comptes rémunérés, le crédit direct et souvent un traitement plus favorable du capital réglementaire, mais impose de respecter les règles de capital adequacy (capital minimum qu'une banque doit détenir face à ses actifs pondérés par les risques, défini par le framework Basel III) et une supervision continue.

Voilà pourquoi Revolut a consacré des années et des coûts juridiques significatifs à la conquête de licences bancaires complètes en Europe : l'entreprise voulait vendre des crédits immobiliers, du crédit à la consommation et de l'épargne rémunérée, des produits qu'une licence EMI ne permet pas.

Les régulateurs qu'il faut vraiment connaître

• États-Unis : pas de régulateur fintech unique. Parmi les organismes concernés : l'OCC (Office of the Comptroller of the Currency, qui délivre les chartes des banques nationales), la FDIC (assurance des dépôts), le CFPB (Consumer Financial Protection Bureau, application de la protection des consommateurs) et les régulateurs bancaires / money transmitter au niveau des États.
• UE : les autorités nationales compétentes (par ex. Banque de Lituanie, BaFin en Allemagne) délivrent les licences, mais PSD2 et, à partir de 2025, le Digital Operational Resilience Act (DORA) (règles européennes sur la résilience cyber et le risque informatique des acteurs financiers) fixent des standards communs. L'European Banking Authority (EBA) assure la coordination.
• Royaume-Uni : la FCA (Financial Conduct Authority) traite la conduite et les licences, la PRA (Prudential Regulation Authority) la supervision prudentielle au niveau bancaire depuis le Brexit, indépendamment du passporting européen.

Le passporting est le principal avantage structurel de l'UE : une licence ouvre, en théorie, 27 États membres. Les États-Unis n'ont pas d'équivalent, ce qui explique précisément pourquoi le licensing money transmitter État par État est l'une des raisons les plus citées du fait que le scaling des fintechs américaines est plus lent et plus coûteux juridiquement que celui des fintechs européennes.

Les principaux risques créés par cette structure

1. Risque de contrepartie / banque partenaire. Si une banque partenaire fait faillite ou est fermée par les régulateurs (c'est arrivé avec Synapse, fournisseur de middleware banking-as-a-service, dont l'effondrement en 2024 a gelé les fonds des clients de plusieurs fintechs dont Yotta), les utilisateurs finaux peuvent perdre l'accès à leur argent pendant des semaines, même si l'assurance FDIC s'appliquait nominalement. Plus d'informations sur la page d'alertes consommateurs de la FDIC : fdic.gov/consumer-resource-center.
2. Risque d'arbitrage réglementaire. Opérer avec une licence plus légère (EMI plutôt que banque complète) pour éviter des règles de capital plus strictes peut fonctionner jusqu'au jour où un régulateur décide que votre activité relève en réalité de la licence la plus lourde, imposant une restructuration coûteuse.
3. Risque de décalage de licence. S'étendre dans un nouveau pays sans autorisation locale (ou avant son obtention) peut retarder des lancements produits de 12 à 24 mois (estimation ; très variable selon la juridiction et le type de licence).
4. Risque de coût de conformité. Les obligations AML (Anti-Money Laundering) et KYC (Know Your Customer, le processus de vérification de l'identité du client) croissent avec le type de licence et la géographie ; les fintechs multi-licences font tourner des stacks de conformité parallèles, ce qui est coûteux et une source fréquente d'amendes.

La checklist de due diligence : comment lire l'empreinte réglementaire d'une fintech

Si vous évaluez une fintech (comme investisseur, partenaire ou candidat), ces vérifications vous en disent plus que le pitch deck :

• Qui détient réellement l'argent ? Consultez les conditions générales ou la page « nos partenaires ». Cherchez le nom de la banque partenaire, ou la confirmation d'une licence bancaire directe.
• Quelles licences détient-elle, et dans quels pays ? Une société qui affirme être « live sur 30 marchés » peut signifier 30 marchés d'activité paiements seulement sous une unique licence EMI, pas 30 agréments bancaires complets.
• L'assurance des dépôts est-elle réelle et explicite ? Les mentions « FDIC-insured » doivent renvoyer à une banque partenaire nommée ; une formulation « assuré jusqu'à X $ » sans nommer la banque est un signal d'alerte.
• Historique des actions réglementaires. Cherchez dans la base publique du régulateur (par ex. le registre public de la FCA, la base de réclamations consommateurs du CFPB) les amendes, consent orders ou restrictions de licence.
• Position en capital, s'il s'agit d'une banque. Pour les banques pleinement agréées, comparez les ratios de capital publiés aux minima Basel III (une banque mondiale doit généralement détenir un ratio Common Equity Tier 1 d'au moins 4,5 %, plus les coussins, dans le cadre actuel, estimation ; à confirmer au regard de la transposition nationale en vigueur).

🎬 [VIDEO: "How Banking-as-a-Service Actually Works" - youtube.com/@BankingAsAService (terme de recherche) - un parcours du stack fintech / banque partenaire, utile pour visualiser où se situe la responsabilité]

Points clés

• Le type de licence d'une fintech (charte bancaire complète, EMI, money transmitter ou bank-partnership) détermine directement les produits qu'elle peut légalement vendre, pas seulement son branding.
• Le parcours de Revolut (licences bancaires propres dans l'UE/UK, modèle partenaire aux États-Unis) montre qu'une même entreprise fait tourner des structures réglementaires différentes selon le marché.
• L'assurance FDIC de Chime vient de ses banques partenaires (Bancorp, Stride), pas de Chime elle-même : une distinction qui compte énormément en cas de faillite d'une banque partenaire, comme l'a montré l'effondrement de Synapse en 2024.
• Le système de passporting de l'UE sous PSD2 donne un avantage structurel de vitesse d'expansion face au licensing fragmenté État par État aux États-Unis.
• Une vraie due diligence consiste à remonter le flux d'argent : identifier l'entité agréée qui détient réellement les dépôts, vérifier l'historique de sanctions du régulateur, et ne jamais prendre au pied de la lettre les mentions « assuré » ou « agréé » sans nommer l'établissement qui se trouve derrière.