Cos'è il
card issuing?
I programmi white-label spiegati.

Il ciclo di vita della carta

Ogni carta segue un ciclo di vita standard che il programma di issuing gestisce dalla prima all'ultima fase:

1. Richiesta e KYC. Il titolare invia i documenti d'identità, la prova di residenza e, talvolta, dati reddituali o di titolarità effettiva. L'emittente verifica i documenti (manualmente o tramite liveness detection), esegue lo screening su sanzioni e PEP e assegna un punteggio di rischio.
2. Creazione della carta. Viene generato un numero di conto primario (PAN) nell'ambito di uno dei range BIN dell'emittente; vengono definiti scadenza e CVV; il profilo del titolare viene registrato presso il circuito.
3. Produzione e consegna. Le carte virtuali vengono attivate immediatamente. Le carte fisiche vengono prodotte — in rilievo o stampate — e spedite al titolare.
4. Attivazione. Il titolare conferma la ricezione, imposta il PIN e abilita la carta all'utilizzo.
5. Autorizzazione. Ogni transazione genera una decisione in tempo reale basata su saldo, categoria merceologica, posizione geografica, controlli del circuito e regole antifrode dell'emittente.
6. Regolamento e compensazione. Le transazioni approvate si regolano giornalmente attraverso il circuito: l'emittente viene addebitato, l'acquirer dell'esercente viene accreditato e il saldo del titolare viene aggiornato.
7. Contestazioni e chargeback. Le controversie del titolare — frodi, mancata consegna, addebiti duplicati — seguono i processi di chargeback definiti dal circuito e gestiti dall'emittente.
8. Ri-emissione e chiusura. Alla scadenza la carta viene sostituita; in caso di compromissione viene bloccata e ri-emessa; al termine del programma, la carta viene disattivata.

Tipologie di carta

Circuiti di elaborazione e certificazione

Ogni programma di carte opera sui circuiti di uno o più network — Visa, Mastercard, American Express, Discover, JCB, UnionPay. Ciascun network richiede la certificazione del programma: un'analisi tecnica e operativa strutturata che copre autorizzazione, regolamento, processi di contestazione, controlli antifrode e resilienza operativa. La certificazione è in genere la fase più lunga nel lancio di un nuovo programma di carte ed è quella che i provider BaaS comprimono più efficacemente a vantaggio dei partner.

EMV — Europay, Mastercard, Visa — è lo standard per le carte a chip che definisce l'interazione tra carte fisiche e terminali. EMVCo, il consorzio titolare dello standard, certifica hardware e stack software. I programmi moderni supportano inoltre i pagamenti contactless (NFC) e tokenizzati tramite Apple Pay e Google Pay, che richiedono una certificazione aggiuntiva presso le reti di tokenizzazione dei circuiti (VTS per Visa, MDES per Mastercard).

Conformità e sicurezza

Il card issuing opera sotto diversi regimi di conformità sovrapposti:

1. PCI DSS. Il Payment Card Industry Data Security Standard disciplina le modalità di archiviazione, elaborazione e trasmissione dei dati delle carte. Emittenti e processor sono tipicamente classificati Level 1 — il livello più stringente — e sottoposti ad audit annuale.
2. 3D Secure 2. Autenticazione forte del cliente per le transazioni card-not-present, obbligatoria ai sensi della PSD2 nell'UE e in progressiva adozione a livello globale.
3. AML e sanzioni. Il flusso di onboarding del titolare prevede KYC completo, screening sulle sanzioni e verifica PEP; il monitoraggio continuativo delle transazioni prosegue per tutta la durata del rapporto.
4. Monitoraggio antifrode. Le regole antifrode lato emittente — controlli di velocity, geolocalizzazione, device fingerprinting, analisi comportamentale — bloccano in tempo reale le autorizzazioni sospette.
5. Regolamenti dei circuiti. Visa Core Rules, Mastercard Rules: centinaia di pagine di requisiti operativi e commerciali soggetti ad aggiornamento trimestrale.

Modalità di integrazione

Una moderna API di card issuing espone il ciclo di vita attraverso un insieme coerente di endpoint: creazione titolare, creazione carta, ricarica saldo, autorizzazione (sincrona e via webhook), blocco, sostituzione, chiusura. I flussi di eventi basati su webhook mantengono i sistemi del partner sincronizzati in tempo reale con il libro mastro dell'emittente. Chiavi di idempotenza, ambienti sandbox e risposte agli errori strutturate sono funzionalità standard.

Un'integrazione tipica comprende: onboarding del titolare (passaggio KYC), creazione e consegna della carta, webhook di autorizzazione e regolamento, notifiche di chargeback, riconciliazione del saldo e reportistica periodica. I partner che gestiscono già un libro mastro bancario integrano tramite gli eventi; quelli che non ne dispongono operano direttamente sul libro mastro dell'emittente.

Errori comuni nel lancio di un programma di carte

1. Sottovalutare la certificazione. La certificazione del circuito è il collo di bottiglia principale. I provider BaaS self-service come Codego pre-certificano i range BIN, consentendo al partner di ereditare la certificazione anziché avviarne una da zero.
2. Ignorare l'economia dei chargeback. I chargeback consumano risorse di supporto ed erodono i ricavi da interchange. I programmi devono pianificare la gestione dei chargeback fin dalle fasi iniziali.
3. KYC incoerente tra prodotti diversi. Se un programma emette sia carte che IBAN, il KYC deve essere allineato: un unico flusso di onboarding, una visione unitaria del rischio, un processo decisionale coerente.
4. Trascurare Apple Pay e Google Pay. Il tasso di attivazione da parte dei titolari è significativamente più elevato quando i wallet sono disponibili sin dal primo giorno. I programmi Codego attivano Apple Pay e Google Pay entro 24 ore.
5. Controlli antifrode inadeguati. Le regole antifrode predefinite sono conservative; i programmi operativi in segmenti ad alto rischio devono essere ottimizzati precocemente per evitare picchi di perdite.

Domande frequenti

Correlati