Définition
Le BaaS (Banking-as-a-Service) permet à un établissement régulé (EC, EP ou EME) d'exposer ses agréments et son infrastructure bancaire via API à des acteurs qui en ont besoin.
Comptes, cartes, virements SEPA, IBAN, KYC, conformité : tout est consommé sous forme d'API par une fintech, une marque ou une plateforme. Le client final est en relation avec la marque ; le BaaS fournit la mécanique réglementée, invisible, qui tourne derrière.
Pourquoi le BaaS existe
Sans BaaS, tout acteur voulant proposer un compte ou une carte devrait :
- demander un agrément EP ou EME à l'ACPR (12 à 18 mois, 200 à 500 K€) ;
- bâtir toute sa compliance (LCB-FT, monitoring fraude, screening sanctions) ;
- adhérer aux réseaux carte comme principal member (~1 M€ de droits, plus le setup technique) ;
- intégrer les systèmes SEPA (STEP2, EBA RT1) ou passer par un correspondant.
Avec le BaaS, tout cela est déjà fait : on consomme une API.
Les briques d'une offre BaaS
- Comptes de paiement avec IBAN dédiés (français, européens).
- Émission de cartes physiques et virtuelles, via le BIN sponsor du BaaS.
- Virements SEPA SCT et SCT Inst, entrants et sortants.
- Prélèvements SDD Core et B2B.
- Wallets rechargeables (e-money) pour marketplaces et Merchant of Record.
- KYC / KYB intégré (souvent Onfido, Veriff ou Sumsub embarqués).
- Monitoring fraude transactionnel.
- Reporting réglementaire : en pratique, c'est le BaaS qui répond à l'ACPR.
Le tout via une API REST (ou GraphQL chez les plus modernes).
BaaS, Open Banking, embedded finance
Trois concepts proches mais distincts :
| BaaS | Open Banking | Embedded finance | |
|---|---|---|---|
| Sens du flux | Banque → fintech (B2B) | Banque → TPP (B2B2C) | Finance dans un produit non financier |
| Déclenché par | Contrat commercial | Régulation (DSP2) | Stratégie produit |
| Exemple | Treezor → Qonto | Bridge lit votre compte BNP | Uber paie ses chauffeurs via wallet intégré |
Le BaaS est souvent le moyen technique par lequel l'embedded finance se réalise.
Les modèles juridiques
Deux grands modèles coexistent :
- Agent PSP — le BaaS est principal, la fintech est agent inscrite à l'ACPR. Comptes ouverts au nom du BaaS. Démarrage rapide, mais forte dépendance.
- Distribution — la fintech est agréée en propre (EP / EME / EC) et n'utilise le BaaS que pour des briques (émission carte, accès SEPA). Plus coûteux à monter, moins dépendant.
Beaucoup commencent en agent puis migrent en propre (Qonto, N26, Lydia).
Ce que le BaaS n'est pas
- Pas un produit grand public : personne ne « va sur Treezor », le BaaS est invisible.
- Pas de l'Open Banking : l'Open Banking est régulé (DSP2, gratuité, périmètre AIS/PIS) ; le BaaS est commercial (tarifs, contrat, SLA).
- Pas exempté de DORA / LCB-FT : le BaaS reste responsable de la compliance face à l'ACPR, et la fintech agent garde ses propres obligations.
- Pas un partenariat sans risque : une défaillance (Wirecard en 2020, gel de Railsr en 2023) gèle les comptes des partenaires. Le plan de continuité est une obligation DORA depuis 2025.
Les modèles économiques
- Setup fee initial : 5 à 50 K€ selon les briques.
- Frais par compte ouvert : 0,5 à 5 € par mois.
- Frais par carte émise : 1 à 3 € par mois, plus l'émission.
- Frais par transaction : quelques centimes à quelques dizaines de centimes.
- Revenue share sur l'interchange des cartes (souvent 30 à 50 % pour la fintech).
- Float sur les fonds cantonnés chez l'EC tiers.
Dans l'écosystème PSD2
Le BaaS est à la fois client et complément de la DSP2 : il permet à des centaines de fintechs d'opérer sans agrément propre, dans un cadre régulé porté par le principal. Quand le compte client est ouvert dans ses livres, le BaaS est lui-même ASPSP au sens DSP2, et donc soumis aux obligations d'API XS2A.
Exemples concrets
- BaaS français : Treezor (filiale Société Générale, leader FR), Swan (API-first, B2B européen), Sumeria for Business (issu de Lydia).
- BaaS européens : Solaris (Allemagne, en difficulté en 2024), Modulr (UK/Irlande), Railsr (UK, restructuré en 2023), Bankable (UK), ConnectPay (Lituanie), Hype (Italie).
- BaaS US : Unit, Synapse (faillite en 2024), Marqeta, Galileo.
- Cas Pixpay (compte ado) : opère sur Treezor — chaque carte ado est techniquement émise par Treezor, l'IBAN parent y est hébergé.
- Crise BaaS 2023-2024 : la faillite de Synapse a gelé des millions de dollars de clients fintech ; Solaris a connu de lourds problèmes de conformité. D'où un durcissement réglementaire et des exigences accrues de plan de continuité.
- Tarification : un BaaS européen facture 2 à 10 € par compte et par an, plus l'interchange share et le setup — soit un break-even autour de 5 000 à 10 000 clients actifs.
- Évolution : la DSP3 ne crée pas de statut BaaS. Elle revoit le capital initial des établissements de paiement, entre 40 000 et 250 000 euros selon les services (art. 5), et demande aux établissements déjà agréés de prouver leur conformité avant 27 mois après l'entrée en vigueur (art. 44). Le PSR impose un contrat d'externalisation aux prestataires techniques qui fournissent la SCA (art. 87). Les deux textes ne sont pas encore adoptés (numérotation provisoire du compromis d'avril 2026).