決済サービス指令2

Payment Services Directive 2（PSD2）は、2015年にEUで制定、2018年に施行された第2次決済サービス指令です。銀行や金融機関に対し、顧客の決済データへのアクセスを第三者金融機関（FinTech企業など）に開放することを義務付ける「オープンバンキング」を推進しています。GDPR（EU一般データ保護規則）第6条に基づき、顧客の明示的な同意を得た上でのデータ共有が前提となります。また、DORA（デジタル・オペレーショナル・レジリエンス法）とも密接に関連しており、金融機関には決済システムの可用性とセキュリティを確保するための事業継続管理（BCM）体制が求められます。ISO 22301のビジネス継続管理の考え方に基づき、決済停止リスクを最小化するためのシナリオ策定が不可欠です。日本企業がEU市場で決済サービスを提供する際、このPSD2への準拠は法的義務となります。

実務における導入は、以下の3ステップが基本です。第一に「SCA（強固な顧客認証）の実装」です。PSD2第97条に基づき、知識・所持・固有情報のうち2要素以上を用いた認証を全決済に適用します。第二に「APIセキュリティ管理」です。第三者金融機関とのデータ連携において、OAuth 2.0等の標準プロトコルを採用し、GDPR第25条の「設計によるデータ保護」を実現します。第三に「インシデントレスポンス体制の構築」です。DORAの要求に基づき、決済障害発生時のRTO（目標復旧時間）を定義し、実効性のあるBCP（事業継続計画）を策定します。実際に欧州のFinTech企業では、PSD2導入後に不正取引率が30%低下し、顧客満足度が15%向上した事例があります。一方で、API連携の脆弱性を突いた攻撃リスクは20%増加したため、継続的なペネトレーションテストが必須となっています。

台湾企業がPSD2に準拠する際、以下の3つの課題に直面します。第一は「二重規制への対応」です。台湾金融監督管理委員會（金管會）の規制とEUのPSD2を同時に満たすための二重管理コストが発生します。対策として、ISO 27701をベースとした統合的なプライバシー管理フレームワークを構築し、一次的なコンプライ waypoints を共通化することが有効です。第二は「技術的適応」です。SCAの実装には既存の決済プラットフォームの改修が必要であり、RTO/RPOの設定も再定義となります。第三は「サプライヤー管理」です。PSD2では決済サービスプロバイダーの委託先管理も厳格化されています。対策として、委託先選定基準にDORA準拠要件を組み込み、定期的な監査を実施する体制を90日以内に構築すべきです。台湾企業は、まずEUでの売上比率に基づき、優先順位を明確にすることが重要です。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注台灣企業Payment Services Directive 2相關議題，擁有豐富實戰輔導經驗，協助企業在90天內建立符合國際標準的管理機制，已服務超過100家台灣企業。申請免費機制診斷：https://winners.com.tw/contact