Comprendre le Rulebook FRIDA : comment fonctionnera le partage de données de fraude en Europe

La fraude aux paiements dépasse souvent les frontières. Un compte identifié comme suspect par un prestataire de services de paiement peut encore passer inaperçu chez un autre.

FRIDA — Fraud Information Distribution Arrangement — est le dispositif proposé par le Conseil européen des paiements (EPC) pour organiser le partage d’informations sur la fraude entre prestataires de services de paiement. Il définit des règles communes pour créer, diffuser et mettre à jour des alertes de fraude, afin d’enrichir la surveillance des transactions avec des informations provenant d’autres établissements.

Quelles données les établissements financiers pourront-ils partager ? Lesquelles seront obligatoires ? Et comment s’articulent les rôles de chaque acteur dans ce dispositif européen ?

Cet article présente les principaux concepts du FRIDA Rulebook version 0.1, référence EPC108-26, daté du 9 septembre 2026.

Qu’est-ce que FRIDA ?

FRIDA est un cadre de partage d’informations sur la fraude entre prestataires de services de paiement — Payment Service Providers, ou PSP.

Son objectif : fournir un langage commun et un mécanisme de diffusion des informations relatives à des activités potentiellement frauduleuses. Un PSP peut signaler un identifiant suspect, par exemple un IBAN. Les autres participants peuvent ensuite utiliser cette information dans leurs propres mécanismes de surveillance des transactions — Transaction Monitoring Mechanisms, ou TMM.

FRIDA repose sur trois composantes :

1. Des règles communes : qui peut partager des informations, quelles données peuvent être échangées et comment les alertes sont mises à jour.
2. Des alertes de fraude standardisées : une structure commune et une taxonomie permettant de catégoriser les fraudes.
3. Une plateforme centrale : une infrastructure qui conserve les alertes, diffuse leurs mises à jour et gère leur cycle de vie.

FRIDA n’exécute pas de paiements et ne remplace ni le moteur de détection de fraude ni les procédures d’investigation d’un PSP.

Une alerte FRIDA constitue un signal de risque. Elle ne déclenche pas automatiquement le blocage d’un compte ou d’un paiement. Le projet de rulebook précise que les informations partagées ne doivent pas constituer le seul fondement d’une décision concernant un client.

Quel est le calendrier de FRIDA ?

Le calendrier publié par l’EPC prévoit les étapes suivantes :

1. Consultation publique : Du 11 septembre au 10 décembre 2026
2. Publication de la version 1.0 du Rulebook : Objectif fin mai 2027
3. Publication des spécifications techniques : Objectif juin 2027
4. Entrée en application : Objectif Q4 2028

Quels paiements sont concernés par FRIDA ?

FRIDA porte sur le partage d’informations de fraude liées aux paiements de compte à compte.

Le projet couvre notamment les transactions traitées par les schémas de paiement de l’EPC :

1. SCT — SEPA Credit Transfer : virement SEPA.
2. SCT Inst — SEPA Instant Credit Transfer : virement SEPA instantané.
3. SDD Core — SEPA Direct Debit Core : prélèvement SEPA Core.
4. SDD B2B — SEPA Direct Debit Business-to-Business : prélèvement SEPA interentreprises.
5. OCT Inst — One-Leg Out Instant Credit Transfer : virement instantané dont une partie du parcours se situe hors de la zone SEPA.

Le déploiement initial vise les PSP de l’Espace économique européen (EEE). La participation des pays SEPA hors EEE dépend notamment de l’équivalence des cadres réglementaires, de la réciprocité et de décisions ultérieures de l’EPC.

PSP, FIP et FCP : quels sont les rôles de chaque acteur ?

Le projet repose sur une plateforme centrale à laquelle les établissements participants accèdent par l’intermédiaire de plateformes de partage d’informations.

Payment Service Provider (PSP) : Crée, reçoit et met à jour les informations de fraude ; les utilise dans la surveillance des transactions.

Fraud Information Platform (FIP) : Échange les alertes avec FRIDA pour le compte des PSP participants.

FRIDA Central Platform (FCP) : Centralise, conserve et diffuse les alertes ; gère leur cycle de vie.

European Payments Council (EPC) : Définit et gère le schéma FRIDA ; possède la plateforme centrale.

Les PSP : à l’origine des alertes et de leur utilisation

Un PSP peut intervenir à plusieurs titres :

1. Sending PSP — PSP émetteur de l’alerte : crée une alerte, puis peut la mettre à jour ou l’annuler.
2. Receiving PSP — PSP destinataire : reçoit les alertes des autres participants et peut ajouter des commentaires.
3. ASPSP — Account Servicing PSP : PSP teneur du compte concerné par l’alerte. Il peut enrichir les informations relatives à ce compte et communiquer sa propre évaluation, notamment pour confirmer la fraude ou signaler qu’il s’agit d’un compte légitime.

Un même PSP peut être à la fois l’émetteur de l’alerte et le teneur du compte concerné.

Les FIP : les intermédiaires de connexion à FRIDA

Une Fraud Information Platform transmet et reçoit les informations FRIDA pour le compte des PSP participants. C'est par exemple le cas de la Banque de France pour les PSP français.

Elle doit respecter les critères d’éligibilité : le projet prévoit plusieurs catégories d’organismes éligibles, dont certaines autorités publiques, des organismes supervisés, comme les CERT ou CSIRT, ainsi que les PSP agréés. Un PSP peut donc demander à exercer lui-même le rôle de FIP, sous réserve de satisfaire aux exigences requises.

La FCP : la plateforme centrale de FRIDA

La FRIDA Central Platform reçoit les alertes, les conserve et les met à disposition des plateformes connectées. L’EPC possède la FCP. Sa fourniture et son exploitation doivent être confiées à un prestataire externe.

Le modèle envisagé est le suivant : PSP émetteur → son FIP → FCP → autres FIP → PSP destinataires

La possibilité pour les PSP de se connecter directement à la FCP reste un sujet de consultation.

Comment fonctionne une alerte de fraude FRIDA ?

1. Un PSP identifie une activité suspecte

Un PSP soupçonne un comportement frauduleux et décide de partager une alerte sur son FIP. L’alerte identifie le compte concerné (IBAN), et contient les informations obligatoires nécessaires à son traitement.

2. L’alerte est transmise à la plateforme centrale

La FIP transmet l’alerte à la FCP, qui la met à disposition des autres FIP connectées. Deux modes de diffusion sont prévus :

1. Push : les alertes et leurs mises à jour sont transmises en temps réel.
2. Pull : une FIP récupère périodiquement les nouvelles alertes et leurs mises à jour.

Pour les participants utilisant le mode pull, le projet impose une récupération au moins quotidienne et recommande une fréquence plus élevée. La disponibilité d’une alerte en temps réel sur la plateforme centrale ne signifie donc pas que tous les PSP l’intègrent immédiatement.

3. L’alerte est confirmée ou rejetée par le PSP teneur de compte

L’ASPSP, ou établissement teneur du compte, peut ajouter des informations sur le compte, comme le nom de son titulaire, et communiquer son évaluation (confirmation ou rejet). Les autres PSP destinataires peuvent également ajouter des commentaires normés sur l'alerte, notamment s'ils ont également des soupçons sur ce compte.

4. Les PSP destinataires utilisent l’alerte dans leurs contrôles

Les PSP peuvent intégrer les informations reçues à leurs mécanismes de surveillance et à leurs investigations. Chaque PSP reste responsable de l’interprétation du signal et de la décision prise.

Quelles données sont obligatoires dans une déclaration FRIDA ?

Le rulebook parle de Fraud Alerts, ou "alertes de fraude". Pour créer une alerte, le jeu de données DS-01 prévoit un socle d’informations communes :

1. Identifiant de la requête
2. Identifiant unique de l’alerte
3. Horodatage de création
4. Catégorie de fraude
5. Identification du PSP émetteur
6. IBAN
7. Identification de l’ASPSP (PSP teneur du compte)
8. Statut de l’alerte 
9. Informations complémentaires (données optionnelles)

La catégorisation repose sur l’EBA Fraud Taxonomy de l’Euro Banking Association, afin que les participants utilisent une nomenclature commune.

Ces exigences concernent la création d’une alerte. Les mises à jour, annulations et demandes de récupération disposent de leurs propres jeux de données.

Quelles données sont optionnelles ?

Le projet autorise le partage d’informations complémentaires :

1. Informations sur le titulaire du compte : nom et pays de l’adresse.
2. Détails de la transaction : montant, devise, références, informations sur le payeur et le bénéficiaire, modalités d’autorisation.
3. Données de session : adresse IP et identifiants d’appareil.
4. Commentaires : informations structurées complémentaires sur l’alerte.

Les PSP émetteurs peuvent choisir de renseigner ces attributs. Les PSP destinataires reçoivent l’ensemble des données partagées, mais peuvent choisir de ne pas intégrer les éléments optionnels, sous réserve des exigences applicables.

Quels points restent à préciser dans le Rulebook FRIDA ?

L’alignement avec le cadre réglementaire définitif

Le projet repose sur le texte de compromis du PSR. Il précise qu’au moment de sa rédaction, le règlement n’avait pas encore été formellement adopté et publié. La revue juridique du rulebook par l’EPC n’était pas non plus achevée. La version définitive devra être alignée sur la législation adoptée.

Le modèle de connexion et le traitement des comptes de non-participants

L’EPC consulte le marché sur des alternatives au modèle de connexion reposant sur les FIP. Le partage d’alertes concernant des IBAN tenus par des PSP non participants constitue également une hypothèse de travail encore soumise à une analyse juridique.

Comment les PSP peuvent-ils se préparer à FRIDA ?

La valeur de FRIDA dépendra de la capacité des PSP à transformer les alertes reçues en informations utiles pour leurs contrôles. Le projet de rulebook permet déjà d’identifier plusieurs chantiers :

1. Cartographier les données obligatoires et leur disponibilité dans les systèmes existants.
2. Évaluer les modalités de connexion via une FIP.
3. Définir les responsabilités de création et réponse aux alertes.
4. Organiser l’intégration des informations reçues dans la surveillance des transactions.

L’architecture et les modalités techniques continuent d’évoluer. Le principe de fonctionnement est toutefois établi : FRIDA fournit aux PSP un cadre commun pour partager des signaux de fraude, chaque établissement restant responsable de leur interprétation et des actions qui en découlent.