Banco Central regulamenta o Banking as a Service: o que muda para bancos, fintechs e plataformas digitais

O Banco Central do Brasil (BCB), em conjunto com o Conselho Monetário Nacional (CMN), estabeleceu, por meio da Resolução Conjunta nº 16/2025, um marco regulatório específico para o Banking as a Service (BaaS). A norma consolida o modelo em que instituições financeiras e de pagamento disponibilizam infraestrutura regulada para que empresas não financeiras ofereçam serviços de conta, pagamento, crédito e adquirência diretamente aos seus clientes.

A regulamentação surge com um duplo objetivo: mitigar riscos ao consumidor e às instituições envolvidas, e conferir segurança jurídica e padronização a um segmento que vinha se expandindo rapidamente. Ao mesmo tempo, preserva a competitividade, a inovação e o acesso a serviços financeiros integrados em plataformas digitais.

1. O que é BaaS na visão do regulador

A norma define de forma precisa os papéis envolvidos no modelo:

• Instituição prestadora de serviços de BaaS: instituição financeira, instituição de pagamento ou outra entidade autorizada a funcionar pelo Banco Central, responsável pela efetiva prestação dos serviços financeiros e de pagamento.

• Entidade tomadora de serviços de BaaS: a empresa que, integrada tecnologicamente à instituição prestadora, oferece esses serviços aos seus clientes finais.

• Cliente: pessoa física ou jurídica que mantém relação simultânea com a tomadora (pelos serviços não financeiros) e com a instituição prestadora (pelos serviços bancários e de pagamento).

A resolução também esclarece expressamente o que não é BaaS — como atividades de correspondentes, serviços de computação em nuvem, arranjos de pagamento e parcerias do Open Finance.

2. Quais serviços podem ser prestados via BaaS

Os contratos de BaaS devem abranger exclusivamente serviços financeiros e de pagamento, tais como:

• abertura, manutenção e encerramento de contas (à vista, poupança, pré-pagas e pós-pagas);

• serviços de pagamento vinculados a essas contas;

• credenciamento para aceitação de instrumentos de pagamento;

• operações de crédito;

• serviços adicionais que venham a ser regulamentados futuramente.

Pontos críticos estabelecidos pelo Banco Central:

• as contas devem ser, obrigatoriamente, de titularidade do cliente na instituição prestadora;

• transações de pagamento devem ter como origem ou destino essas mesmas contas;

• operações de crédito devem ter o cliente como devedor direto da instituição prestadora.

Essas diretrizes encerram práticas que se baseavam em estruturas informais, como contas consolidadas em nome de terceiros ou fluxos financeiros que não explicitavam o titular real.

3. Regras de contratação: governança, riscos e vedações

A Resolução exige que o BaaS seja incorporado às políticas de gerenciamento de riscos, governança e controles internos das instituições autorizadas, com aprovação formal de seus órgãos de administração.

Alguns destaques relevantes:

Due diligence da tomadora

A instituição prestadora deve avaliar, antes da contratação e de forma contínua, se a tomadora possui:

• capacidade técnica e financeira;

• controles de segurança e proteção de dados;

• processos compatíveis com PLD/FT e prevenção a fraudes;

• aderência às certificações e auditorias exigidas;

• estrutura adequada para cumprir obrigações contratuais.

Vedações específicas

A norma proíbe, entre outros pontos:

• o uso do BaaS como substituto irregular do modelo de correspondente bancário;

• a contratação de tomadora que já possua contrato ativo com outra prestadora para o mesmo tipo de conta, salvo em casos de pertencimento ao mesmo conglomerado;

• o uso, pela tomadora, de nomes ou expressões que induzam o consumidor a crer tratar-se de instituição autorizada pelo Banco Central, exceto quando isso for verdade.

Essas restrições reforçam a intenção do regulador de estabelecer fronteiras claras entre atividades tecnológicas e atividades tipicamente financeiras.

4. Responsabilidades regulatórias: PLD/FT, crédito e atendimento ao cliente

A instituição prestadora de serviços de BaaS continua sendo a responsável direta perante o Banco Central pelo cumprimento das normas aplicáveis, incluindo:

• identificação e qualificação de clientes;

• análise de perfil de risco;

• prevenção à lavagem de dinheiro e ao financiamento do terrorismo;

• prevenção e monitoramento de fraudes;

• cumprimento das regras relativas às operações de crédito;

• atendimento ao cliente final no âmbito dos serviços financeiros.

A tomadora pode executar tarefas acessórias, mas não substitui a instituição regulada. A responsabilidade regulatória permanece integralmente com a prestadora.

Além disso, a instituição deve designar um diretor responsável por assegurar o cumprimento da regulamentação específica do BaaS.

5. Transparência: fim da “instituição invisível”

A resolução estabelece regras rígidas de transparência ao cliente:

• a instituição prestadora deve estar claramente identificada nos aplicativos, interfaces, contratos, instrumentos de pagamento e documentos;

• a tomadora deve informar, de forma inequívoca, que não é instituição autorizada pelo Banco Central (quando aplicável);

• o relacionamento entre prestadora e tomadora não pode dificultar a portabilidade de operações de crédito nem o encerramento da relação pelo cliente.

O Banco Central reforça a obrigação de que o cliente saiba exatamente qual instituição financeira está por trás dos serviços utilizados, corrigindo práticas de mercado que deixavam o prestador financeiro “oculto”.

6. Acompanhamento e controles: auditorias, indicadores e qualidade do serviço

A norma exige mecanismos permanentes de monitoramento e controle, incluindo:

• processos e trilhas de auditoria;

• métricas e indicadores de desempenho;

• controle de qualidade do atendimento ao cliente;

• análise de reclamações e níveis de serviço de sistemas integrados;

• auditorias periódicas, no mínimo anuais.

A instituição prestadora pode suspender ou encerrar o contrato caso a tomadora descumpra padrões de qualidade ou gere riscos ao sistema financeiro.

7. Prazos de adequação

A Resolução entrou em vigor imediatamente, mas as instituições e empresas que já operam modelos compatíveis com BaaS terão até 31 de dezembro de 2026 para adequar contratos e procedimentos.

8. Impactos práticos: o que bancos, fintechs e empresas não financeiras precisam fazer agora

A regulamentação tem efeitos diretos sobre estratégias de produto, jurídico, tecnologia e compliance. Entre as medidas urgentes:

• Revisão de contratos: delimitação clara de escopo, responsabilidades, segurança da informação, obrigações de transparência e regras de auditoria.

• Revisão de fluxos financeiros: eliminação de contas consolidadas e modelos que não designem corretamente o titular da conta.

• Alinhamento técnico-regulatório: integração das áreas de compliance, jurídico e tecnologia para garantir aderência total à norma.

• Ajustes de branding e comunicação: identificação explícita da instituição prestadora nos canais digitais.

• Estruturação de governança e risco: implementação de mecanismos robustos de controle e monitoramento.

Conclusão

A regulamentação do Banking as a Service marca a consolidação de um modelo que já era essencial para a inovação financeira brasileira. Ao definir responsabilidades, disciplinar o escopo dos serviços, reforçar a transparência e impor padrões elevados de governança, o Banco Central cria as bases para uma segunda onda de crescimento do BaaS, mais sólida, segura e integrada.

Para bancos, fintechs e plataformas que oferecem — ou pretendem oferecer — serviços financeiros embutidos, o momento é de ajuste estratégico e técnico, garantindo aderência plena ao novo regime regulatório e aproveitando a oportunidade de desenvolvimento sustentável do setor.