Hva er betaling regulatorisk risiko? – Forklaring for investorer

Hva er betaling regulatorisk risiko?

Betaling regulatorisk risiko oppstår når myndigheter endrer spillereglene for betalingsformidling, kortnettverk, mobilbetaling eller andre finansielle infrastrukturer. For investorer som eier aksjer i selskaper som Vipps, Nets eller internasjonale betalingsgiganter som PayPal og Adyen, kan slike endringer bety alt fra økte kostnader til helt nye inntektsstrømmer.

Risikoen er todelt. På den ene siden kan strengere regler føre til at selskapet må investere tungt i nye systemer, ansette flere compliance-medarbeidere eller betale høye bøter. På den andre siden kan deregulering eller nye standarder åpne markeder og skape vekstmuligheter. Poenget er at utfallet er usikkert og ofte utenfor selskapets kontroll.

I Norge fører Finanstilsynet tilsyn med betalingsforetak og kan ilegge administrative sanksjoner. For eksempel fikk et norsk betalingsforetak i 2022 et overtredelsesgebyr på 5 millioner kroner for mangelfull hvitvaskingskontroll. Slike hendelser er konkrete eksempler på betaling regulatorisk risiko i praksis.

Forstå betaling regulatorisk risiko

For å forstå denne risikoen må man se på betalingsbransjens særtrekk. Betalingssystemer er ryggraden i økonomien, og myndigheter verden over ønsker å sikre stabilitet, konkurranse og forbrukerbeskyttelse. Derfor er sektoren sterkt regulert, og endringer skjer hyppig.

En viktig dimensjon er forskjellen mellom direkte og indirekte regulatorisk risiko. Direkte risiko oppstår når en ny lov direkte påvirker selskapets forretningsmodell – for eksempel et krav om at alle betalinger må behandles innen ett sekund. Indirekte risiko kan komme via endringer i skatteregler eller personvernlovgivning som påvirker kundeadferd.

For aksjeinvestorer er det avgjørende å skille mellom systematisk regulatorisk risiko (som rammer hele bransjen) og idiosynkratisk risiko (som rammer ett selskap). PSD2 var en systematisk endring som påvirket alle europeiske betalingsaktører, mens en bøtelagt enkeltbedrift er et eksempel på idiosynkratisk risiko.

Hvordan fungerer betaling regulatorisk risiko?

Mekanismen er enkel: en regulatorisk endring innføres, og selskaper må tilpasse seg. Tilpasningen koster tid og penger. Hvis kostnadene er høye, kan marginene krympe, og aksjekursen faller. Hvis endringen derimot gir konkurransefortrinn for de som er best forberedt, kan kursen stige.

Prosessen starter gjerne med et høringsnotat fra EU-kommisjonen eller norske myndigheter. Deretter følger en lovgivningsprosess som kan ta flere år. I denne perioden kan investorer analysere utkast og vurdere konsekvenser. Når loven er vedtatt, følger en implementeringsfase. Selskaper som allerede har investert i compliance, kan være i forkant.

Et konkret eksempel er EUs forordning om digitale operasjonelle resiliens (DORA), som trer i kraft i 2025. Den stiller krav til IKT-sikkerhet hos finansforetak, inkludert betalingsselskaper. Selskaper som ikke oppfyller kravene, risikerer bøter på opptil 2 % av årlig omsetning. Slike tall viser hvorfor regulatorisk risiko er en reell faktor i verdsettelsen.

Historisk bakgrunn

Betaling regulatorisk risiko har eksistert like lenge som betalingssystemer, men den ble særlig aktualisert etter finanskrisen i 2008. Da innså myndighetene at svake betalingsinfrastrukturer kunne forsterke systemrisiko. I EU førte dette til etableringen av det felles betalingsområdet (SEPA) og senere betalingstjenestedirektivet (PSD) i 2007.

PSD2, som ble innført i 2018, var en milepæl. Det åpnet for at tredjepartsaktører kunne få tilgang til bankkunders kontoinformasjon (såkalt åpen bank). Dette skapte både muligheter for nye aktører som Vipps og trusler for etablerte banker. Samtidig ble kravene til sterk kundeautentisering (SCA) skjerpet, noe som økte kostnadene for alle.

I Norge har Finanstilsynet gradvis strammet inn tilsynet med betalingsforetak. Etter hvitvaskingsskandaler i flere europeiske banker ble AML-regelverket betydelig utvidet. I 2023 ble det innført nye krav om redegjørelse for eierstruktur og risikovurdering. Historien viser at regulatorisk risiko ikke er en engangshendelse, men en kontinuerlig strøm av endringer.

Praktisk eksempel

La oss se på Vipps, Norges største mobile betalingsløsning. Da PSD2 ble implementert, måtte Vipps tilpasse seg krav om sterk kundeautentisering og åpne API-er for konkurrenter. Dette krevde betydelige IT-investeringer. Samtidig ga direktivet Vipps mulighet til å tilby nye tjenester som kontoinformasjonstjenester, noe som styrket deres posisjon.

I 2021 ble Vipps slått sammen med danske MobilePay og finske Pivo. En av grunnene var å oppnå stordriftsfordeler i møte med økende regulatoriske krav. Et felles nordisk selskap kunne fordele compliance-kostnadene over et større volum. Dette viser hvordan regulatorisk risiko kan drive konsolidering i bransjen.

For en investor som eide aksjer i Vipps’ eier (DNB, Sparebank 1 mfl.) før fusjonen, var det viktig å følge med på regulatoriske utspill. Da EU i 2022 foreslo ytterligere regulering av «superapper» (plattformer som kombinerer betaling, shopping og sosiale tjenester), falt aksjekursen til flere europeiske betalingsselskaper med 3–5 % på én dag. Slike bevegelser understreker hvor raskt regulatorisk risiko materialiserer seg.

Fordeler og ulemper

Fordeler:

• Regulatoriske endringer kan skape nye markeder. PSD2 åpnet for fintech-selskaper som ikke tidligere hadde tilgang til bankdata.
• Sterkere regulering øker tilliten til betalingssystemer, noe som kan øke bruken og dermed inntektene for seriøse aktører.
• Investorer som forstår regulatorisk risiko kan posisjonere seg i selskaper som er best rustet til å håndtere endringer.

Ulemper:

• Høye etterlevelseskostnader kan presse marginer og redusere konkurranseevnen for mindre aktører.
• Uforutsigbarhet gjør verdsettelse vanskelig. En ny forskrift kan plutselig endre inntjeningspotensialet.
• Regulatorisk risiko kan føre til at selskaper må legge ned produkter eller trekke seg ut av markeder, noe som gir tap for aksjonærene.

Vanlige misforståelser

Misforståelse 1: Regulatorisk risiko rammer kun banker. Sannheten er at alle selskaper i betalingskjeden – fra kortutstedere til mobilbetalingstjenester – er eksponert. Fintech-selskaper som Revolut og Klarna har måttet bruke store summer på å få lisenser og tilpasse seg lokale regler.

Misforståelse 2: Regulatorisk risiko er alltid negativ. Endringer kan også være positive. For eksempel åpnet PSD2 for at nye aktører kunne tilby betalingsinitieringstjenester, noe som ga vekst for selskaper som Trustly.

Misforståelse 3: Store selskaper er immune. Selv store aktører som Visa og Mastercard har blitt rammet av regulatoriske inngrep. EU-kommisjonen har flere ganger bøtelagt dem for brudd på konkurranseregler. I 2021 fikk Visa en bot på 2,4 milliarder kroner for å hindre konkurranse i kortmarkedet.

Oppsummering

Betaling regulatorisk risiko er en vesentlig faktor for investorer som eier aksjer i betalingsselskaper. Den oppstår når myndigheter endrer lover og forskrifter, og kan føre til både kostnader og muligheter. For å håndtere risikoen bør investorer følge med på regulatoriske høringer, vurdere selskapets compliance-kapasitet og diversifisere på tvers av markeder.

Historien viser at reguleringer som PSD2, AML5 og DORA har omformet bransjen. Selskaper som evner å tilpasse seg raskt, kan oppnå konkurransefortrinn, mens trege aktører risikerer bøter og tapt markedsandel. For norske investorer er det spesielt viktig å følge Finanstilsynets praksis og EUs direktiver, ettersom Norge gjennom EØS-avtalen implementerer de fleste relevante regler.

Ved å integrere regulatorisk risiko i investeringsanalysen kan man ta mer informerte beslutninger og unngå ubehagelige overraskelser. Husk at risiko ikke bare er trusler – det er også muligheter for den som er forberedt.