Échanges interbancaires de flux de paiement en XPF

Le titulaire prend en charge et traite les remises de paiements émises par la CDC pour leur échange sur les réseaux interbancaires locaux, ainsi que les remises reçues de ces systèmes pour les restituer à la CDC. Le service couvre les virements, les prélèvements et les chèques encaissés par les clients de la CDC en francs pacifiques (XPF), dans le cadre du système de compensation COPS.

Les échanges de fichiers respectent la norme ISO 20022 et les standards COPS. En cas d’évolution des formats, le titulaire doit pouvoir échanger les nouveaux formats dans un environnement de recette au plus tard trois mois avant leur entrée en vigueur. Les accusés de réception peuvent être au format CSV ; ils indiquent au minimum le nombre d’opérations, le montant total et, si possible, la référence du fichier. En cas de rejet de flux émis, les informations et détails des opérations rejetées sont communiqués par courriel.

Contrôles, comptes et disponibilité

Le titulaire vérifie la conformité des fichiers et de leur contenu, et décrit les contrôles de prise en charge, les restitutions d’informations, la gestion des rejets et les possibilités de recyclage. Il fournit quotidiennement les extraits des comptes ouverts dans ses livres, détaillant les opérations comptabilisées au format standard de place, et propose à la CDC des moyens de suivre et gérer ces comptes.

Le service prend en charge les flux entrants et sortants tous les jours ouvrés. Le taux mensuel minimal de disponibilité est de 90 %, hors maintenance planifiée, pendant la plage d’ouverture définie par l’IOEM, actuellement de 7 h 30 à 15 h 30, heure locale. L’assistance doit faire prendre en charge une demande par une personne experte dans un délai maximal de 11 heures ouvrées, sur la plage 9 h–17 h. Le délai maximal d’interruption admissible est de 33 heures ouvrées à compter de l’alerte. Les interruptions ne doivent pas dépasser deux par trimestre ni cinq par an, dans la limite de ce délai. Une maintenance entraînant l’arrêt total du service requiert l’accord écrit exprès de la CDC et ne peut dépasser deux jours cumulés par an.

Sécurité, hébergement et mise en place

La liaison entre la CDC et le prestataire s’effectue par Pesit-CFT ou SFTP sur internet, sans VPN, avec sécurisation par pare-feu ; les fichiers sont échangés dans une archive ou un tar. Le titulaire maintient une politique et une organisation formalisées de sécurité, protège l’intégrité et la confidentialité des flux et données, réalise les sauvegardes, actualise ses solutions antivirales et applique une politique de correctifs. La solution doit tracer au minimum les actions des utilisateurs. En cas d’atteinte à la confidentialité des données de la CDC, celle-ci peut demander un test d’intrusion et de détection des vulnérabilités effectué à la charge du titulaire par un opérateur agréé ANSSI. Les services sont hébergés dans l’EEE ou sur des territoires français.

La mise en place comprend l’établissement des liaisons et les recettes techniques bilatérales. Deux environnements sont prévus, production et recette ; les parties s’informent au moins un mois avant le démarrage d’une recette bilatérale. La vérification de service régulier dure une semaine à compter des premiers échanges de flux. Un comité de suivi est organisé par la CDC au minimum une fois par an ; le titulaire fournit notamment un reporting mensuel des volumes traités et des incidents. À la demande de l’acheteur, il assure la réversibilité technique des données et éléments conservés, fournit les informations et documents utiles à la reprise et maintient la continuité du service pendant cette phase.