Établissements de paiement : La BCT ouvre grand les vannes… et resserre la bride

Plafonds relevés, eKYC encadré, comptes commerçants, partenariats, reporting complet : la Banque Centrale de Tunisie réécrit les règles du jeu des établissements de paiement. Décryptage d'un texte qui fait passer ces acteurs du statut de niche à celui de concurrents crédibles des banques, sous une supervision nettement plus serrée. Contexte : de la régulation à l'action La Banque Centrale de Tunisie (BCT) a publié le 25 septembre 2026 la circulaire n°2026-10 relative aux règles régissant l'activité et le fonctionnement des établissements de paiement. Le texte abroge et remplace la circulaire n°2018-16 du 31 décembre 2018. Il entrera en vigueur trois mois après sa publication, soit autour du 25 décembre 2026. Le signal politique est assumé. En partageant la circulaire, Nizar Chaddad, Managing Director Paiements et Inclusion financière à la BCT, a présenté un nouveau cadre qui tient compte « des leçons tirées des dernières licences depuis 2021 ». Il invite les prestataires de services de paiement non bancaires à passer « de la régulation à l'action ». Sur la forme, le changement d'échelle est net. Le texte passe de 40 à 51 articles, s'accompagne de six annexes et crée une annexe dédiée au reporting. Sur le fond, trois lignes de force se dégagent : Élargir le modèle économique des établissements de paiement (EdP) : plafonds relevés, comptes commerçants, acquisition, transferts internationaux entrants, partenariats. Rapprocher l'EdP d'un établissement financier pleinement supervisé : gouvernance, fonctions de contrôle, contrôle des nominations, reporting. Déplacer l'exigence de sécurité des plafonds bas vers la qualité de l'identification et de la vigilance. Le cadre légal en vigueur L'établissement de paiement trouve son fondement dans la loi n°2016-48 du 11 juillet 2016 relative aux banques et aux établissements financiers. Ses articles 20 et 21 en posent le principe. L'EdP est un établissement agréé dont l'activité se limite aux services de paiement : il ne collecte pas de dépôts et n'octroie pas de crédit. L'article 21 organise la protection des fonds de la clientèle, pierre angulaire du dispositif : un compte de paiement individuel est ouvert au nom de chaque utilisateur ; les fonds sont logés dans un compte global ouvert auprès d'une banque, séparé des comptes propres de l'EdP ; une assurance ou une caution bancaire garantit ces avoirs ; le solde est insaisissable par les créanciers de l'EdP et, en cas de liquidation, réservé aux titulaires des comptes. L'article 32 de la même loi fixe le capital minimum des EdP à 5 millions de dinars, entièrement libéré à la création. Autour de ce socle gravitent plusieurs textes de la BCT, que la nouvelle circulaire vise ou articule : la circulaire n°2020-11 du 18 mai 2020 sur le paiement mobile domestique, commune aux banques, aux EdP et à l'Office National des Postes ; la circulaire n°2017-08 du 19 septembre 2017 sur la lutte contre le blanchiment d'argent et le financement du terrorisme (LBA/FT), modifiée notamment par la circulaire n°2025-17 ; la circulaire n°2017-06 du 31 juillet 2017 sur le reporting comptable, prudentiel et statistique ; la circulaire n°2006-19 sur le contrôle interne. Le décret-loi n°2023-17 relatif à la cybersécurité fait, lui, son entrée dans les visas. Le nouveau cadre légal 1. Un champ de services largement ouvert La circulaire élargit sensiblement ce que peut faire un établissement de paiement (art. 1 à 3). Le principe cardinal ne change pas : les services sont fournis exclusivement en dinar et sur le territoire tunisien. L'EdP devient un acteur complet de la chaîne de valeur. Il peut désormais émettre, acquérir et encaisser des flux internationaux entrants. Il se positionne ainsi frontalement face aux banques sur trois terrains : la monétique-commerçant, les cartes et les transferts de la diaspora. 2. Des plafonds relevés, une identification durcie Les plafonds des comptes de paiement sont multipliés par trois à quatre (art. 14, 16 et 17). Un détail change tout. La limite journalière ne porte plus sur l'ensemble des sorties, mais uniquement sur les retraits en espèces. Les paiements et transferts numériques échappent donc à tout plafond quotidien. Le texte favorise ouvertement le digital et freine le cash, conformément à l'objectif de réduction de la monnaie fiduciaire. En contrepartie, l'identification des clients se renforce nettement : Niveau 1 : on passe d'un numéro de mobile et d'une copie de pièce d'identité à une fiche complète, qui inclut la profession et le revenu mensuel estimé (annexe 1). Niveau 2 : la fiche ajoute la profession et le revenu. Pour les personnes morales, elle ajoute l'extrait du registre national des entreprises (RNE) et le bénéficiaire effectif. Niveau 3 : le client doit déclarer la source de ses revenus, et le bénéficiaire effectif doit être identifié. La circulaire l'affirme sans ambiguïté (art. 13) : respecter les plafonds ne dispense pas des obligations de vigilance LBA/FT. C'est une rupture avec la logique implicite de 2018, où la faiblesse des plafonds justifiait une identification minimale. 3. L'entrée en relation à distance, désormais encadrée En 2018, seuls les comptes de niveaux 1 et 2 pouvaient être ouverts à distance. Le niveau 3 exigeait la présence physique du client. Le nouvel article 17 vise les « comptes de paiement client » sans distinction de niveau. Le compte de niveau 3 semble donc désormais accessible à distance. La contrepartie est exigeante. Le procédé doit garantir une vérification d'identité au moins équivalente au présentiel, grâce à : la vérification des pièces, si possible par interconnexion avec les bases de données officielles ; une preuve de vie par reconnaissance faciale ou dispositif audiovisuel ; une authentification à au moins deux facteurs ; le consentement explicite du client et le chiffrement de ses données ; la génération automatique de la fiche d'identification (KYC). Le dispositif est lui-même contrôlé : des tests en préproduction, consignés dans un registre qui mesure notamment le taux de fausses acceptations ; des tests d'intrusion menés par des organismes homologués par l'Agence Nationale de la Cybersécurité (ANCS) ; un audit au moins tous les deux ans, et à chaque évolution technologique ou réglementaire. C'est l'un des cadres d'eKYC les plus détaillés de la réglementation tunisienne. À noter : l'interdiction faite aux agents d'ouvrir des comptes à distance, prévue par l'ancienne circulaire, n'est plus reprise. 4. Le compte commerçant et un cantonnement renforcé La circulaire crée le compte commerçant (art. 22 à 25). C'est un compte de transition sans plafond, crédité exclusivement par les encaissements du commerçant. Son ouverture repose sur une fiche dédiée (annexe 4), qui inclut le profil transactionnel attendu sur douze mois. Le modèle de convention est transmis à la BCT. C'est la brique qui rend possible l'activité d'acquisition. Le texte impose aussi une séparation stricte des rôles. Une personne à la fois agent de paiement et commerçant doit tenir deux comptes distincts, avec des flux traçables séparément. Le compte global, lui, voit son encadrement se durcir : il intègre désormais les comptes commerçants ; le rapprochement avec la somme des comptes doit être « régulier et documenté » ; la procédure de cantonnement est approuvée par le conseil d'administration et vérifiée par les commissaires aux comptes ; la convention du compte global, la procédure de cantonnement et la police d'assurance sont transmises chaque année à la BCT. Les formulations se resserrent également. L'interdiction ne vise plus les « facilités de crédit », mais « toute forme de concours ». L'alimentation des comptes est limitée à la « monnaie ayant cours légal et valeur libératoire ». La convention peut désormais être conclue en ligne. Elle doit être téléchargeable avant acceptation, recueillir un consentement exprès et ouvrir un droit de rétractation au sens de la loi n°2000-83 sur le commerce électronique. 5. Un réseau physique obligatoire et des agents mieux encadrés Première nouveauté : tout EdP doit ouvrir au moins une agence (art. 26). Un cahier des charges précis l'encadre (annexe 5) : une surface d'au moins 20 m² ; au moins deux personnes, dont le responsable ; un coffre-fort et une liaison permanente avec le poste de police ; un audit de sécurité externe avant l'ouverture ; une déclaration à la BCT 15 jours ouvrables avant toute ouverture, fermeture ou transfert ; une information des clients 45 jours avant une fermeture. Les agents voient leurs services s'étendre (art. 28) : les agents principaux peuvent désormais aussi réaliser des paiements à distance, vendre les moyens de paiement de l'EdP et verser les fonds reçus via les sociétés de transfert d'argent ; les agents détaillants peuvent désormais aussi effectuer des transferts par remise d'espèces et des paiements à distance. Leur encadrement se renforce en parallèle (art. 31 à 36 et 45) : Le contrôle change de nature. En 2018, l'EdP notifiait chaque mandat. Désormais, il soumet les modèles types de contrat à la BCT, qui dispose d'un mois pour s'y opposer. Une liste des agences et agents lui est transmise chaque trimestre. La formation des agents devient obligatoire et continue. Un programme d'audit des agents, fondé sur les risques, donne lieu à un rapport annuel approuvé par le conseil d'administration et transmis à la BCT. En cas de manquement grave, l'EdP résilie le mandat, redirige les clients vers d'autres agents et informe la BCT. La responsabilité de l'EdP est étendue. Elle vaut désormais vis-à-vis des clients, de la BCT et des tiers, et non plus de la seule BCT. 6. La grande nouveauté : les partenariats C'est sans doute l'apport le plus stratégique du texte. L'EdP peut conclure des partenariats commerciaux ou techniques avec des entités qui disposent d'un réseau de distribution, d'une expertise ou d'une infrastructure technologique (art. 29). Opérateurs télécoms, grande distribution, fintechs et plateformes numériques sont naturellement concernés. Chaque partenariat est soumis à une autorisation préalable de la BCT (art. 47). Le dossier comprend notamment l'actionnariat du partenaire, un plan d'affaires sur trois ans, une cartographie des risques et le projet de convention. Les garde-fous sont stricts : cloisonnement des systèmes d'information de l'EdP et du partenaire ; protection des fonds des clients contre toute saisie ou compensation liée aux activités du partenaire ; interdiction de toute confusion avec une activité bancaire ; irresponsabilité des clients pour les manquements du partenaire ; continuité des services en cas de défaillance du partenaire. Deux dispositifs complètent l'ensemble : Les cartes co-brandées sont autorisées (art. 30). L'EdP reste seul émetteur et seul responsable, et sa communication doit être loyale. Les conventions avec les sociétés de transfert d'argent transfrontalier exigent une autorisation préalable (art. 44). L'EdP doit avoir accès à toutes les informations sur le donneur d'ordre. C'est très probablement là que se lisent les « leçons » évoquées par la BCT. Le texte ouvre la porte aux modèles de distribution adossés à des partenaires, tout en verrouillant les risques de confusion et de contagion. 7. Une gouvernance alignée sur celle des établissements financiers La gouvernance des EdP change d'échelle (art. 5 à 9 et 46). Le conseil d'administration voit ses missions détaillées. Il définit notamment : la stratégie de l'établissement, en cohérence avec l'appétence pour le risque et les objectifs d'inclusion financière ; une politique de gestion des conflits d'intérêts et une politique de nomination et de rémunération ; la protection des données des usagers ; l'approbation du dispositif LBA/FT et de la procédure de cantonnement. Le comité d'audit et des risques se dote d'une charte. Il approuve le plan de continuité d'activité, qui doit couvrir la fraude, la cybersécurité, le recours aux prestataires et la résilience des systèmes. Il intervient aussi dans la désignation des responsables des risques, de l'audit et de la conformité. Trois fonctions de contrôle deviennent obligatoires : audit, gestion des risques et conformité. Elles doivent être indépendantes et dotées de moyens suffisants, y compris pour couvrir le réseau d'agents. Les nominations sont désormais contrôlées. Le texte vise le président, les administrateurs, le directeur général, le directeur général adjoint et les membres du directoire. Toute nomination est notifiée à la BCT sous 7 jours ouvrables, et la BCT dispose d'un droit d'opposition d'un mois. Le dossier comprend un CV, un extrait de casier judiciaire de moins de trois mois, une déclaration sur l'honneur (annexe 6) et une attestation d'absence de conflit d'intérêts. Seule souplesse maintenue : le cumul des fonctions de président et de directeur général reste autorisé. 8. LBA/FT et cybersécurité : une exigence étendue L'assujettissement des EdP à la circulaire n°2017-08 est confirmé (art. 13), dans sa version modifiée. Il couvre désormais expressément le financement de la prolifération des armes de destruction massive. Le dispositif doit reposer sur une approche fondée sur les risques et couvrir un périmètre élargi : tous les produits, services, canaux et technologies, y compris l'activité des agents, des partenaires et des prestataires ; une évaluation des risques actualisée à chaque changement significatif ; les risques émergents, en particulier l'enrôlement à distance, les solutions innovantes et l'externalisation ; une formation continue étendue aux agents ; une documentation de toutes les décisions prises dans le cadre de l'approche par les risques. Côté cybersécurité, l'audit annuel des systèmes d'information doit être réalisé par un cabinet indépendant certifié par l'ANCS (art. 12). L'ANCS remplace l'ancienne ANSI dans le texte, conformément au décret-loi n°2023-17. Toute attaque ou intrusion est signalée immédiatement à la BCT et à l'ANCS. 9. Protection de la clientèle et relation avec la BCT La protection de la clientèle gagne en substance (art. 37 à 41) : une politique de commercialisation et de tarification équitable, proportionnée aux coûts et à la valeur ajoutée des services ; des documents accessibles aux personnes à besoins spécifiques et aux personnes illettrées ; un justificatif pour toute opération, et non plus seulement pour les transferts et remises de fonds ; un préavis d'un mois avant la suspension d'un produit ou d'un service. La relation avec le superviseur devient plus étroite (art. 43 et 48) : Avant tout lancement de produit ou toute révision tarifaire, l'EdP adresse un dossier à la BCT. Ce dossier comprend une évaluation des risques, le rapport LBA/FT sur les nouvelles technologies, une attestation du responsable conformité et une note justifiant la tarification. Les commissaires aux comptes remettent, un mois avant l'assemblée générale, un rapport sur le contrôle interne. Il porte sur le cantonnement des fonds, la LBA/FT, le risque opérationnel et le traitement des réclamations. Enfin, la BCT publiera sur son site l'identité des partenaires de chaque EdP, en plus de ses agences et de ses agents. 10. Reporting : l'entrée dans la circulaire 2017-06 C'est l'un des changements les plus structurants. Les EdP étaient jusqu'ici soumis à un reporting « spécifique » dont les modalités restaient à définir. Ils sont désormais explicitement assujettis à la circulaire n°2017-06 (art. 49), via une nouvelle annexe 1 bis qui leur est dédiée. Ce reporting s'organise en plusieurs volets : Comptable : bilan et état de résultat, chaque trimestre. Activité : indicateurs commerciaux et opérations par canal chaque mois, liste des agences et agents chaque trimestre, réclamations et barème tarifaire chaque année. Gouvernance et contrôle interne : procès-verbaux du conseil et du comité chaque trimestre. Chaque année : contrat du compte global, procédure de cantonnement, assurance, et rapports sur les risques, la conformité et l'audit. Risque opérationnel : déclaration d'un incident grave le jour même, puis fiche de clôture sous dix jours. S'y ajoutent un état trimestriel des incidents et un rapport semestriel. LBA/FT : statistiques sur les déclarations de soupçon, questionnaire, rapport d'évaluation des risques et état trimestriel des avoirs gelés. Rapports des commissaires aux comptes : rapport général, rapport spécial et rapport sur le contrôle interne. Les déclarations passent par le Système d'Échange des Données (SED). Une adresse électronique de secours est prévue en cas d'indisponibilité. 11. Ce qui disparaît ou s'assouplit Plusieurs dispositions de la circulaire 2018-16 ne sont pas reprises : L'adhésion « directe » aux systèmes de paiement n'est plus exigée. L'EdP peut passer par une banque partenaire pour l'acquisition. Les comptes dormants, le gel et la réactivation ne figurent plus dans le contenu obligatoire de la convention ni dans les procédures de réclamation. Seuls les comptes des personnes décédées restent mentionnés. L'interdiction pour les agents d'ouvrir des comptes à distance n'est plus mentionnée. L'article 39 relatif aux fonds propres disparaît, un point examiné plus bas. Par ailleurs, le texte ne prévoit aucune disposition transitoire. Les EdP en activité disposent donc des trois mois précédant l'entrée en vigueur pour mettre à niveau le KYC de leurs clients, leurs contrats d'agents et leur dispositif de reporting. 12. Au-delà des EdP : un écosystème recomposé La circulaire concerne aussi plusieurs autres acteurs : Les banques gagnent un rôle de banque partenaire pour l'acquisition, en plus de celui de dépositaire du compte global. Elles font en revanche face à une concurrence accrue sur la monétique commerçant, les cartes et les transferts de la diaspora. Les sociétés de transfert d'argent transfrontalier disposent d'un nouveau canal de distribution, sous autorisation de la BCT et avec une exigence de transparence sur le donneur d'ordre. Les partenaires non financiers (opérateurs télécoms, distribution, fintechs) obtiennent un cadre légal pour distribuer des services de paiement via un EdP, sans licence propre. Les commerçants peuvent ouvrir des comptes dédiés, sans plafond, auprès des EdP. Les commissaires aux comptes et les auditeurs en cybersécurité voient leurs missions élargies : contrôle interne, cantonnement, eKYC, sécurité des systèmes. Une articulation reste à clarifier avec le paiement mobile. L'article 15 de la circulaire n°2020-11 renvoie aux plafonds de la circulaire 2018-16, désormais abrogée. Les nouveaux plafonds devraient logiquement s'y substituer, mais aucun texte ne le précise à ce stade. 13. La disparition de l'article 39 : capital minimum et fonds propres, deux notions à ne pas confondre L'ancienne circulaire contenait un article 39, bref mais lourd de sens. Il imposait aux EdP de « disposer en permanence, sur une base individuelle et/ou consolidée, de fonds propres calculés selon les modalités déterminées par la BCT ». La nouvelle circulaire ne le reprend pas. Cette disparition ne touche pas au capital minimum. Fixé à 5 millions de dinars par l'article 32 de la loi n°2016-48, il doit être entièrement libéré à la création. C'est une condition d'entrée, de niveau législatif, qu'aucune circulaire ne saurait modifier. L'article 39 relevait d'une autre logique : une exigence de maintien dans le temps. Les fonds propres évoluent avec les résultats, contrairement au capital social. Un EdP qui a libéré 5 MDT mais accumule des pertes au démarrage, ce qui est fréquent dans ce métier, peut voir ses fonds propres fondre à 2 ou 3 MDT tout en affichant toujours un capital de 5 MDT. L'article 39 annonçait donc une norme prudentielle permanente, sur le modèle d'un ratio de solvabilité simplifié. Concrètement, la nouvelle circulaire ne comporte plus d'engagement explicite à maintenir un niveau de fonds propres calculé selon une méthode de la BCT. Les fonds propres ne sortent pas pour autant du paysage : l'article 4 exige toujours une assurance ou une caution « en adéquation avec leurs fonds propres », en écho à l'article 21 de la loi ; la BCT suivra leur niveau grâce au bilan trimestriel désormais prévu par l'annexe 1 bis ; le droit commun des sociétés s'applique : lorsque les pertes ramènent les capitaux propres d'une SA sous la moitié du capital, une assemblée générale extraordinaire doit statuer sur la continuité de l'exploitation (art. 388 du Code des sociétés commerciales). Le choix se comprend au regard du modèle de l'EdP. L'argent des clients y est cantonné dans un compte global garanti et insaisissable. Les fonds propres ne protègent donc pas les avoirs des clients comme dans une banque : ils financent l'exploitation et absorbent les pertes. La BCT a manifestement préféré renforcer le cantonnement plutôt que d'instaurer un ratio de fonds propres. Une question demeure toutefois ouverte : que se passe-t-il si les fonds propres d'un EdP tombent très en deçà du capital minimum légal ? Le nouveau texte ne le dit pas, et une clarification de la BCT serait bienvenue. Conclusion : de l'agrément à l'adoption La circulaire 2026-10 fait un pari clair. Pour réduire la dépendance au cash et élargir l'inclusion financière, il faut des établissements de paiement plus libres dans ce qu'ils font, mais plus rigoureux dans la manière de le faire. Des plafonds relevés, l'eKYC, le compte commerçant et les partenariats leur donnent enfin les moyens d'un modèle économique viable. En contrepartie, la gouvernance, les fonctions de contrôle, le reporting et la surveillance des agents les rapprochent des standards des établissements financiers. Le défi se déplace désormais du régulateur vers le marché. Les EdP devront absorber en trois mois un coût de conformité significatif : mise à niveau du KYC, agence physique, fonctions de contrôle, audits, reporting. Ils devront ensuite convaincre commerçants et particuliers. Les banques, de leur côté, devront choisir entre concurrence frontale et partenariat, en tant que banque dépositaire ou banque d'acquisition. C'est précisément le sens de l'appel de la BCT : passer « de l'innovation à l'adoption ». Les prochains mois diront si l'écosystème saisit l'opportunité. Post-scriptum : une note sur la rédaction Une lecture attentive révèle quelques imperfections formelles, qui n'affectent pas la portée du texte mais pourraient appeler un rectificatif. Le dispositif s'ouvre sur un « article premier » suivi d'un « article 1 », ce qui décale la numérotation. Plusieurs renvois internes pointent ainsi vers l'article voisin de celui visé. Cela concerne notamment : la liste des services (article 1), citée comme article 2 ; les plafonds (article 16), cités comme articles 3 et 17 ; l'ouverture à distance (article 17), citée comme article 18 ; les services des agents (article 28), cités comme article 29 ; les partenariats (article 29), cités comme article 30 ; les pièces de nomination (article 46), citées comme article 47 ; le rapport des commissaires aux comptes (article 48), cité comme article 49 dans l'annexe 1 bis.