La Banque du Canada donne des précisions sur les exigences de déclaration annuelle des FSP enregistrés

La Banque du Canada (la « Banque ») a récemment tenu une séance d’information et publié un guide détaillé à l’approche de la date limite à laquelle les fournisseurs de services de paiement (les « FSP ») sont tenus de présenter leur premier rapport annuel en vertu de la Loi sur les activités associées aux paiements de détail (la « LAAPD »).

En effet, conformément à la LAAPD et à son Règlement sur les activités associées aux paiements de détail, les FSP enregistrés doivent présenter un rapport annuel dans lequel, notamment, ils font état de leur conformité quant aux cadres de gestion des risques opérationnels et de protection des fonds; fournissent des renseignements exhaustifs sur les indicateurs liés au volume de certaines opérations; et décrivent les changements importants ou les incidents survenus au cours de l’année visée.

La Banque a fixé les dates limites suivantes pour l’année visée, soit 2025 :

• tous les FSP enregistrés avant le 9 mars 2026 doivent présenter leur rapport annuel au plus tard le 31 mars 2026;
• les FSP enregistrés entre le 9 et le 30 mars 2026 bénéficient d’une prolongation, jusqu’au 28 avril 2026;
• les entités qui en sont toujours à l’étape de la demande le 31 mars 2026 sont dispensées de présenter un rapport pour 2025.

Éléments du rapport 

Le formulaire de rapport qui se trouve sur le portail Connexion FSP est divisé en cinq sections principales :

1. Gestion des risques opérationnels et des incidents

Les FSP enregistrés doivent fournir des données exhaustives sur l’efficacité et la surveillance de leurs cadres de gestion des risques, puis identifier des catégories spécifiques de risques qui ont été surveillés au cours de l’année visée, comme ceux liés à la cybersécurité, à la fraude ou aux tiers. Le rapport doit également comprendre une divulgation détaillée des objectifs de fiabilité opérationnelle relativement à la disponibilité et à la confidentialité des systèmes, ainsi qu’une ventilation des ressources humaines et financières (y compris le nombre d’équivalents temps plein) consacrées à l’atténuation des risques. En outre, les FSP doivent confirmer les éléments clés de leurs plans de réponse aux incidents, en particulier leur capacité à gérer les incidents survenus ou décelés à l’interne ou à l’externe (p. ex., fournisseurs de services tiers) et à se rétablir de ces incidents. 

2. Protection des fonds des utilisateurs finaux 

Cette section est obligatoire pour tout FSP qui exécute la fonction de paiement de détention de fonds au nom d’un utilisateur final. La Banque exige une déclaration détaillée des cadres utilisés afin de protéger les fonds des utilisateurs finaux. Les FSP doivent préciser s’ils ont recours à un compte en fiducie ou en fidéicommis ou à un compte assorti d’une assurance ou d’une garantie. Les FSP doivent également indiquer chaque cas où des insuffisances ont été relevées dans les fonds protégés, y compris la date, la cause première (p. ex., une défaillance du système ou des contraintes de traitement), le montant de l’insuffisance quotidienne maximale et les mesures prises pour prévenir d’autres cas semblables.

3. Changements importants et incidents 

Les FSP doivent noter tous les « changements importants » au cours de l’année visée. La LAAPD prévoit qu’un changement est important s’il peut vraisemblablement avoir des répercussions importantes sur les risques opérationnels ou la façon dont les fonds des utilisateurs finaux sont protégés. Le formulaire contient des exemples, comme de nouveaux arrangements de sous-traitance, une expansion géographique ou des changements technologiques qui ont un effet important sur les risques. En outre, le rapport doit contenir une liste complète de tous les incidents, y compris ceux qui n’ont pas été signalés précédemment à la Banque, tels que les cyberattaques ou les pannes de système.

4. Ubiquité et interconnexion

La Banque exige de chaque FSP qu’il soumette des données quantitatives détaillées pour évaluer l’incidence de ce FSP sur l’écosystème financier canadien :

• le nombre et le volume de transferts électroniques de fonds, ventilés par monnaie;
• le nombre total d’utilisateurs finaux et le montant des fonds détenus en leur nom;
• les services fournis à d’autres FSP.

5. Renseignements financiers et tenue de documents

Les FSP doivent déclarer les principales mesures financières, y compris le revenu total, les charges d’exploitation et le total des capitaux propres. Les mesures financières peuvent suivre l’exercice du FSP, mais la plupart des autres données déclarées doivent suivre l’année civile.

Préparation en vue de la présentation du rapport

Le formulaire de rapport annuel sur le portail Connexion FSP sera accessible le 2 février 2026. Les FSP peuvent commencer et modifier leur rapport à tout moment jusqu’à la date limite du 31 mars.

Compte tenu de la complexité des données requises, dont les mesures mensuelles sur les transferts électroniques de fonds et la liste détaillée des incidents, il est recommandé que les FSP commencent à recueillir ces données bien avant le 31 mars 2026.

Le défaut de soumettre un rapport complet dans le délai prescrit ou la déclaration de renseignements faux ou trompeurs est considéré comme une violation en vertu de la LAAPD et peut entraîner des sanctions administratives pécuniaires.

Si vous avez des questions sur le rapport annuel des FSP, n’hésitez pas à communiquer avec l’une des auteures de ce bulletin ou un membre du groupe Réglementation des services financiers.