Fintech et services financiers

La fintech est notre secteur phare. Nous développons des applications de banque en ligne et de portefeuille électronique, des services de paiement et de règlement, des plateformes de crédit, du reporting patrimonial et des parcours d’assurance, et nous les connectons aux banques, aux processeurs de cartes, aux fournisseurs KYC et aux ERP. Nous ne publions pas le nom de nos clients sans leur accord : nous montrons donc notre expérience par les systèmes et les standards avec lesquels nous travaillons, et lors d’échanges techniques avec vos architectes.

Oui. Nous travaillons dans le cadre de vos politiques : vos règles d’accès, vos environnements, votre processus de gestion des changements et vos exigences d’audit. Avant le début des travaux, nous convenons du traitement des données, des environnements accessibles aux ingénieurs et des preuves attendues par vos équipes risques et conformité. Nous décrivons clairement les contrôles que nous appliquons, afin que vos évaluateurs puissent les examiner.

En général, non. La plupart des banques ont davantage à gagner en encapsulant le core banking dans des API bien définies et en construisant de nouveaux produits et canaux sous forme de services autour de lui. Le système de référence reste ainsi stable, tandis que les parties visibles par les clients évoluent plus vite. Lorsqu’un core banking doit réellement être remplacé, nous planifions la migration par étapes, les deux systèmes étant rapprochés jusqu’à l’arrêt de l’ancien.

Nous concevons les systèmes de sorte que le moins possible d’entre eux voient un numéro de carte complet. Les champs de paiement hébergés, la tokenisation et les jetons réseau laissent les données de carte chez le processeur, ce qui réduit votre périmètre PCI DSS. Lorsqu’un système doit traiter des données de carte, nous le construisons selon les contrôles PCI DSS applicables et les documentons pour votre évaluateur.

Oui. Nous développons des services qui créent, valident et lisent les messages ISO 20022, tant pour les paiements et le reporting des entreprises, comme pain.001 et camt.053, que pour les messages interbancaires utilisés par les systèmes de paiements instantanés et de paiements de montant élevé. Chaque schéma et chaque banque a ses propres règles : nous travaillons donc à partir de leurs guides de mise en œuvre et testons dans leurs environnements de test.

Oui. Nous combinons des règles que vos analystes peuvent lire et modifier avec des modèles d’apprentissage automatique entraînés sur vos propres données, et nous expliquons pourquoi chaque alerte a été levée. Les alertes rejoignent une file de dossiers où les analystes décident, et leurs décisions alimentent en retour les règles et les modèles. Si vous faites déjà appel à des fournisseurs spécialisés de filtrage, nous les connectons.

Le nombre de systèmes et de partenaires concernés, les contrôles réglementaires applicables, le volume et la vitesse que le système doit absorber, et l’ampleur des tests exigés par les partenaires avant la mise en production. L’intégration auprès des partenaires, comme la certification par une banque ou un processeur, dicte souvent le rythme davantage que le code. Nous établissons une estimation après le cadrage et découpons le travail en étapes que vous pouvez financer et approuver une à une.

Les accès sont accordés nominativement, limités aux besoins de chaque rôle et retirés lorsque la personne quitte le projet. Nous travaillons dans vos dépôts et vos environnements si vous le préférez, utilisons l’authentification multifacteur et conservons les secrets dans un coffre-fort numérique, jamais dans le code. Le code est relu avant d’être fusionné, les dépendances sont analysées, et les données de production ne sont jamais copiées dans les environnements de test sans masquage. Nous convenons de ces contrôles avec votre équipe sécurité dès le départ.

Là où vous le décidez. Nous convenons de la localisation des données avant le début des travaux et concevons en conséquence, qu’elles doivent rester dans un pays donné, dans votre propre compte cloud ou dans vos locaux. Lorsque des lois sur la protection des données telles que le RGPD s’appliquent, nous travaillons dans le cadre d’un accord de traitement des données et limitons les données personnelles à ce que le travail exige.