Heeft je webwinkel Europese klanten? Dan moet Strong Customer Authentication geregeld zijn

Strong Customer Authentication (SCA) is de nieuwste vereiste in betalingen van de EU-wetgeving en werd in september 2019 aangekondigd. De deadline voor voldoen aan de richtlijn, oorspronkelijk 31 december van dit jaar, wordt naar verwachting uitgesteld. Toch zal ook dat uitstel eindig zijn. Bedien je dus klanten uit heel Europa in je webwinkel, dan is het aan te raden er toch echt even in te duiken. Hoe groter het aandeel Europese klanten hoe groter de impact van SCA op je bedrijfsvoering.

SCA

SCA is een nieuwe vorm van tweestapsverificatie die bedoeld is om consumenten een extra beveiligingslaag te bieden bij het doen van online betalingen. Zodra SCA is ingevoerd, zullen zij worden gevraagd om de meeste online transacties twee keer te verifiëren (op basis van iets wat zij weten, hebben of zijn). Binnen iDEAL is al een vorm van tweestapsverificatie toegepast, waardoor iDEAL-betalingen al aan de wetgeving voldoen. 

SCA werd al een paar maanden geleden ingevoerd, maar voor Europese consumenten veranderde er nog helemaal niets. Dat kwam omdat de Europese Bankautoriteit (EBA) in juni 2019 opriep tot uitstel en daarna bekend maakte dat 31 december 2020 de nieuwe deadline werd voor alle lidstaten van de EU. Op dit moment gaan er weer diverse stemmen op voor verder uitstel.  

Wat nu?

Het is fijn dat toezichthoudende instanties e-commerce bedrijven een adempauze gunnen, maar veel tijd is er niet. Zeker niet als je in het achterhoofd houdt wat er voor de Europese economie op het spel staat. Als aan de oorspronkelijke deadline voor SCA was vastgehouden, zou de Europese economie in de twaalf daaropvolgende maanden voor in totaal €57 miljard aan schade hebben geleden. Vooral kleine bedrijven zouden een klap hebben gekregen: drie op de vijf bedrijven met minder dan 100 werknemers zijn nog steeds niet bekend met SCA, laat staan dat ze zich erop voorbereiden.

Zware opgave

Hoewel de EBA met het uitstel de kans op een crisis in de Europese e-commerce sector als gevolg van de nieuwe verplichting verkleinde, staan bedrijven nu voor de opgave om zich ondanks de huidige ontwikkelingen nog steeds voor te bereiden op de meest ingrijpende verandering in online betalingen van de afgelopen decennia.

Zodra SCA van kracht wordt, zullen banken namelijk botweg alle transacties afwijzen die niet op de juiste wijze zijn geverifieerd. Bedrijven die nalaten de nodige wijzigingen aan te brengen in aanloop naar de invoering van SCA zullen daarmee omzet mislopen.

Hoe kun je dit voorkomen?

Een manier waarop e-commerce bedrijven zich kunnen voorbereiden is door het integreren en activeren van 3DS2 voor transacties die mogelijk onder de nieuwe regelgeving vallen. Dit is een binnen de betalingsindustrie gebruikelijke, gebruiksvriendelijke authenticatiemethode die voldoet aan de SCA vereiste.

De meeste Europese banken die creditcards verstrekken moeten 3DS2 echter nog implementeren. Ze zullen daarom terugvallen op de oudere standaard 3DS1, die echter niet is geoptimaliseerd voor mobile commerce. Dit zal volgens schattingen van brancheorganisaties resulteren in een lagere conversie en dus omzet. Deze route kan voor e-commerce bedrijven dus niet de enige optie zijn.

Biometrische verificatie

Een andere mogelijkheid is om betaalmethoden te accepteren die al volledig klaar voor SCA zijn, zoals Apple Pay en Google Pay. Deze methoden voorzien in biometrische verificatie. Dat is een goede manier om aan de eisen van SCA te voldoen met behoud van hoge conversiepercentages. Maar niet alle Europese consumenten beschikken over een geschikte smartphone, en niet alle banken bieden ondersteuning voor deze betalingsmethoden.

Aantal uitzonderingen

Dan is er nog een derde mogelijkheid voor e-commerce bedrijven: aan de slag met uitzonderingen en geweigerde betalingen. De regelgeving van de EU is er namelijk nooit voor bedoeld geweest om alle betalingen via SCA te laten verlopen. Er is sprake van een aantal uitzonderingen, zoals betalingen van onder de €30 en periodieke betalingen van eenzelfde bedrag. Het is dus belangrijk om het feit dat SCA niet voor alle betalingen geldt te benutten.

Andere interpretatie

Het probleem is echter dat niet alle banken dezelfde interpretatie van SCA-uitzonderingen zullen hanteren. Sommige banken zullen met alle uitzonderingen rekening houden, terwijl andere banken uitzonderingen simpelweg zullen negeren, zonder daar vooraf heel transparant over te zijn. Dat betekent dat e-commerce bedrijven hun conversie in real-time moeten gaan volgen om dit adequaat te kunnen optimaliseren. Vanwege het grote aantal kaart uitgevende banken in Europa zullen grote e-commerce bedrijven daar speciale teams voor moeten aanstellen. Kleine en middelgrote bedrijven zullen hun data wekenlang moeten analyseren voordat ze in staat zijn om een duidelijk patroon te herkennen.

Wat te doen?

Klinkt ingewikkeld? Daarin ben je niet alleen. Het treffen van voorbereidingen voor SCA is voor alle spelers in de branche een flinke kluif. Toezichthouders, betalingsbedrijven, banken, e-commerce bedrijven… ze zullen allemaal de gevolgen van de nieuwe wetgeving voelen. Maar uiteindelijk hebben de e-commerce bedrijven het meeste te verliezen. Zij zullen namelijk door hun klanten worden beoordeeld op de kwaliteit van hun betalingservaring. 

Investeren in verificatiemethoden die aan de eisen van SCA voldoen en bijdragen aan een optimale klantenervaring vormt de sleutel tot succes. Want als betalen te ingewikkeld wordt of, erger nog, mislukt, doen klanten hun inkopen wel bij de concurrent, en komen misschien nooit meer terug.

 Voorwerk

Leveranciers van betalingssystemen hebben de afgelopen jaren overigens wel al het nodige voorwerk gedaan. Er is veel werk in de authenticatie-ervaring aan de kant van zowel webshops als banken gestoken, om klanten zo min mogelijk hinder te laten ondervinden. Binnen Stripe hebben we bijvoorbeeld een optimalisatie-engine ontwikkeld die online bedrijven helpt om te voldoen aan de nieuwe wetgeving. De verschillen in de aanpak van toezichthouders, banken en creditcard- netwerken voor wat betreft SCA zijn hierin ondervangen. Elke verandering in de toepassing van SCA in het betalingsproces wordt automatisch doorgevoerd. Bovendien wordt SCA alleen toegepast wanneer de transactie dat ook daadwerkelijk vereist. 

Uitdagende omstandigheden

Ondanks de discussies over SCA hebben nog te veel bedrijven geen weet van deze regelgeving, de bedreiging die dit kan vormen voor hun internationale online omzet en het verdere functioneren van hun betalingsomgeving. Buiten de al uitdagende omstandigheden moet de betalingsindustrie – en je onderneming – de komende maanden hier echt werk van maken. Anders kan  het uitstel zomaar voor niets geweest zijn.

Over de auteur: Rogier de Boer is head of Northern Europe bij Stripe.