Définition
Le BaaS (Banking-as-a-Service) permet à un établissement régulé (EC, EP ou EME) d'exposer ses agréments et son infrastructure bancaire via API à des acteurs qui en ont besoin.
Comptes, cartes, virements SEPA, IBAN, KYC, conformité : tout est consommé sous forme d'API par une fintech, une marque ou une plateforme. Le client final est en relation avec la marque ; le BaaS fournit la mécanique réglementée, invisible, qui tourne derrière.
Pourquoi le BaaS existe
Sans BaaS, tout acteur voulant proposer un compte ou une carte devrait :
- demander un agrément EP ou EME à l'ACPR (12 à 18 mois, 200 à 500 K€) ;
- bâtir toute sa compliance (LCB-FT, monitoring fraude, screening sanctions) ;
- adhérer aux réseaux carte comme principal member (~1 M€ de droits, plus le setup technique) ;
- intégrer les systèmes SEPA (STEP2, EBA RT1) ou passer par un correspondant.
Avec le BaaS, tout cela est déjà fait : on consomme une API.
Les briques d'une offre BaaS
- Comptes de paiement avec IBAN dédiés (français, européens).
- Émission de cartes physiques et virtuelles, via le BIN sponsor du BaaS.
- Virements SEPA SCT et SCT Inst, entrants et sortants.
- Prélèvements SDD Core et B2B.
- Wallets rechargeables (e-money) pour marketplaces et Merchant of Record.
- KYC / KYB intégré (souvent Onfido, Veriff ou Sumsub embarqués).
- Monitoring fraude transactionnel.
- Reporting réglementaire : en pratique, c'est le BaaS qui répond à l'ACPR.
Le tout via une API REST (ou GraphQL chez les plus modernes).
BaaS, Open Banking, embedded finance
Trois concepts proches mais distincts :
| BaaS | Open Banking | Embedded finance | |
|---|---|---|---|
| Sens du flux | Banque → fintech (B2B) | Banque → TPP (B2B2C) | Finance dans un produit non financier |
| Déclenché par | Contrat commercial | Régulation (DSP2) | Stratégie produit |
| Exemple | Treezor → Qonto | Bridge lit votre compte BNP | Uber paie ses chauffeurs via wallet intégré |
Le BaaS est souvent le moyen technique par lequel l'embedded finance se réalise.
Les modèles juridiques
Deux grands modèles coexistent :
- Agent PSP — le BaaS est principal, la fintech est agent inscrite à l'ACPR. Comptes ouverts au nom du BaaS. Démarrage rapide, mais forte dépendance.
- Distribution — la fintech est agréée en propre (EP / EME / EC) et n'utilise le BaaS que pour des briques (émission carte, accès SEPA). Plus coûteux à monter, moins dépendant.
Beaucoup commencent en agent puis migrent en propre (Qonto, N26, Lydia).
Ce que le BaaS n'est pas
- Pas un produit grand public : personne ne « va sur Treezor », le BaaS est invisible.
- Pas de l'Open Banking : l'Open Banking est régulé (DSP2, gratuité, périmètre AIS/PIS) ; le BaaS est commercial (tarifs, contrat, SLA).
- Pas exempté de DORA / LCB-FT : le BaaS reste responsable de la compliance face à l'ACPR, et la fintech agent garde ses propres obligations.
- Pas un partenariat sans risque : une défaillance (Wirecard en 2020, gel de Railsr en 2023) gèle les comptes des partenaires. Le plan de continuité est une obligation DORA depuis 2025.
Les modèles économiques
- Setup fee initial : 5 à 50 K€ selon les briques.
- Frais par compte ouvert : 0,5 à 5 € par mois.
- Frais par carte émise : 1 à 3 € par mois, plus l'émission.
- Frais par transaction : quelques centimes à quelques dizaines de centimes.
- Revenue share sur l'interchange des cartes (souvent 30 à 50 % pour la fintech).
- Float sur les fonds cantonnés chez l'EC tiers.
Dans l'écosystème PSD2
Le BaaS est à la fois client et complément de la DSP2 : il permet à des centaines de fintechs d'opérer sans agrément propre, dans un cadre régulé porté par le principal. Quand le compte client est ouvert dans ses livres, le BaaS est lui-même ASPSP au sens DSP2, et donc soumis aux obligations d'API XS2A.
Exemples concrets
- BaaS français : Treezor (filiale Société Générale, leader FR), Swan (API-first, B2B européen), Sumeria for Business (issu de Lydia).
- BaaS européens : Solaris (Allemagne, en difficulté en 2024), Modulr (UK/Irlande), Railsr (UK, restructuré en 2023), Bankable (UK), ConnectPay (Lituanie), Hype (Italie).
- BaaS US : Unit, Synapse (faillite en 2024), Marqeta, Galileo.
- Cas Pixpay (compte ado) : opère sur Treezor — chaque carte ado est techniquement émise par Treezor, l'IBAN parent y est hébergé.
- Crise BaaS 2023-2024 : la faillite de Synapse a gelé des millions de dollars de clients fintech ; Solaris a connu de lourds problèmes de conformité. D'où un durcissement réglementaire et des exigences accrues de plan de continuité.
- Tarification : un BaaS européen facture 2 à 10 € par compte et par an, plus l'interchange share et le setup — soit un break-even autour de 5 000 à 10 000 clients actifs.
- Évolution : la DSP3 (2026-2027) devrait clarifier le statut des acteurs d'infrastructure (BaaS, processeurs cartes), avec d'éventuelles obligations de fonds propres et une supervision renforcée.