Banking as a Service : qui est derrière votre fintech ?

L’appli où votre salaire atterrit n’est peut-être pas une banque. Derrière des centaines de fintechs européennes se tient une entreprise dont la plupart des utilisateurs n’ont jamais entendu parler : celle qui détient réellement la licence, émet l’IBAN et répond devant le régulateur. Cette couche a un nom, le Banking as a Service, et 2026 est l’année où elle a cessé d’être invisible.

Qu’est-ce que le Banking as a Service ?

Le Banking as a Service (BaaS) est un modèle où un établissement financier agréé loue ses autorisations réglementaires et sa tuyauterie technique, comptes, cartes, paiements, via une API, pour qu’une autre entreprise offre ces services sous sa propre marque. La fintech construit l’interface ; le fournisseur BaaS détient l’agrément.

Le droit européen rend cette séparation explicite. Deux directives portent l’essentiel : la directive sur les services de paiement (DSP2), qui permet à un établissement agréé d’opérer via des agents tout en restant pleinement responsable de leurs actes, et la directive sur la monnaie électronique, qui a créé l’établissement de monnaie électronique (EME), un agrément plus léger qu’une licence bancaire complète, avec un capital initial de 350 000 euros, qui autorise l’émission de soldes de compte et de cartes mais pas le crédit sur dépôts. Un agrément obtenu dans un pays de l’UE peut être « passeporté » dans toute l’Union, ce qui explique qu’un fournisseur français ou luxembourgeois puisse alimenter des applis dans trente pays.

Qui sont Treezor, Swan et Mangopay ?

Trois entreprises incarnent trois versions du modèle. Treezor, immatriculée à Paris en 2014 et agréée EME par l’ACPR en 2016, a été le moteur discret de la première vague de la fintech française : Lydia, Qonto et Shine ont tous démarré sur ses rails. Qonto a fini par s’en émanciper, en décrochant son propre agrément d’établissement de paiement en 2018 puis en rapatriant les comptes sur ses propres systèmes, le risque du métier tout entier : les clients qui réussissent le mieux finissent par partir. Société Générale l’a rachetée dans une opération annoncée en 2018. Elle revendique aujourd’hui plus de 130 milliards d’euros de flux traités et plus de 8 millions de cartes émises. En janvier 2026, Société Générale est entrée en négociations exclusives pour la céder à Shares, une fintech fondée en 2021 ; à l’heure où nous écrivons, l’opération n’est pas finalisée.

Swan, fondée en 2019 au sein du startup studio eFounders, est la génération API-first : des éditeurs de logiciels intègrent comptes, cartes et IBAN directement dans leur produit, si bien qu’un outil de comptabilité comme Pennylane peut loger de l’argent sans jamais montrer une banque à l’utilisateur. Elle détient un agrément EME français, a levé environ 95 millions d’euros, dont un tour de 42 millions en janvier 2025, et déclare plus de 1,5 milliard d’euros de transactions mensuelles dans 30 pays.

Mangopay, née en 2013 d’une scission de la cagnotte en ligne Leetchi et agréée au Luxembourg, s’est spécialisée dans les marketplaces : elle détient et fait circuler l’argent entre acheteurs et vendeurs sur des plateformes comme Vinted, Leboncoin et Chrono24. Crédit Mutuel Arkéa l’a rachetée en 2015 ; le fonds Advent International en a pris le contrôle majoritaire en 2022, avec une injection de 75 millions d’euros de capital.

Où est votre argent, concrètement ?

Pas au bilan de la fintech, si les règles sont respectées. Le droit européen impose le cantonnement : les fonds des clients doivent être séparés de l’argent propre du fournisseur, déposés sur des comptes dédiés ou placés en actifs à faible risque, afin de pouvoir être restitués si l’entreprise fait faillite. Les soldes de monnaie électronique sont protégés par ce mécanisme de ségrégation, une construction différente de la garantie des dépôts qui couvre un compte bancaire classique.

Les petites lignes comptent sur un autre plan : l’éligibilité. Les fournisseurs BaaS publient des listes d’activités qu’ils refusent de servir, et elles sont longues. La documentation publique de Swan, par exemple, exclut les plateformes d’échange et de garde de crypto-actifs, aux côtés des jeux d’argent et de plusieurs autres secteurs. Les entreprises qui font circuler des stablecoins accèdent en général aux coordonnées bancaires par une autre voie, des fournisseurs spécialisés de comptes virtuels, précisément parce que le BaaS classique s’en tient à l’écart.

Que se passe-t-il quand un fournisseur BaaS déraille ?

Les trois dernières années ont fourni des réponses réelles. En avril 2024, la commission des sanctions de l’ACPR a infligé à Treezor un blâme et une sanction d’un million d’euros pour des manquements en matière de lutte anti-blanchiment relevés lors d’un contrôle de 2021 : des profils de risque classant 99 % des clients en risque faible, une surveillance des opérations défaillante, des déclarations de soupçon tardives ou absentes. Le régulateur a noté les remédiations importantes engagées depuis.

L’allemand Solaris, longtemps vitrine du BaaS européen, a passé des années sous supervision renforcée du régulateur BaFin, qui lui a imposé un contrôleur spécial et restreint les nouveaux partenariats. En février 2025, un tour d’urgence de 140 millions d’euros a fait du japonais SBI Group son actionnaire majoritaire, et en juin 2025 la BaFin l’a de nouveau sanctionné, 500 000 euros, pour dépassements répétés des limites de grands risques. Au Royaume-Uni, Railsr est passé par une vente de sauvetage en mars 2023. Le schéma est constant : le mode de défaillance du BaaS est rarement une base de données perdue, c’est une dette de conformité qui arrive à échéance.

Les États-Unis offrent le contraste le plus brutal. Quand l’intermédiaire américain Synapse a déposé le bilan en avril 2024, plus de 200 millions de dollars de fonds de clients finaux ont été gelés, et la mandataire nommée par le tribunal, une ancienne présidente de la FDIC, a estimé entre 65 et 95 millions de dollars le trou qui pourrait ne jamais être comblé. Les règles européennes de cantonnement existent précisément pour rendre ce scénario plus difficile, et les défaillances européennes ont jusqu’ici touché les investisseurs et les partenaires plutôt que bloqué les soldes des clients.

Où va le secteur ?

Dans deux directions à la fois : consolidation et règles plus strictes. Chaque grande histoire du BaaS européen de ces quatre dernières années se termine par un changement de propriétaire : Mangopay au private equity, Railsr à un consortium de sauvetage, Solaris à SBI, Treezor en discussions avec Shares. Pendant ce temps, le plancher réglementaire monte. Le règlement européen sur les virements instantanés a rendu leur réception obligatoire en janvier 2025 et leur émission, avec une vérification gratuite du nom du bénéficiaire, en octobre 2025. Depuis octobre 2025, les établissements de monnaie électronique et de paiement qui remplissent les conditions peuvent aussi accéder aux systèmes de paiement de l’Eurosystème, ce qui desserre leur dépendance historique aux banques partenaires. Une troisième directive sur les services de paiement, la DSP3, a fait l’objet d’un accord politique en novembre 2025 et suit son adoption formelle, pour une application attendue vers 2028.

Pour l’utilisateur, la leçon pratique est plus simple et vaut d’être retenue : la marque sur l’appli et l’institution qui détient l’argent sont souvent deux entreprises différentes, et savoir qui détient réellement la licence est la question la plus utile à poser à n’importe quelle appli financière.

Dans la finance embarquée, le logo que vous voyez est rarement l’entreprise qui détient votre argent.

Sources

• EUR-Lex, directive sur les services de paiement (DSP2) : cantonnement, agents et passeport européen.
• EUR-Lex, directive monnaie électronique (EMD2) : l’agrément EME et la protection des fonds.
• ACPR, décision de la commission des sanctions concernant Treezor (avril 2024).
• Shares, négociations exclusives pour l’acquisition de Treezor auprès de Société Générale (29 janvier 2026).
• Bpifrance, extension de série B de 42 millions d’euros de Swan et chiffres d’activité (30 janvier 2025).
• Mangopay, prise de participation majoritaire d’Advent International (7 avril 2022).
• Banque centrale européenne, échéances du règlement sur les virements instantanés et accès aux systèmes de paiement.
• BaFin, sanction contre Solaris SE (13 juin 2025).
• CNBC, la faillite de Synapse et les fonds clients gelés (juin 2024).
• Swan, documentation publique sur les activités restreintes.