Como avaliar uma infraestrutura de Banking as a Service?

Última atualização: 28 de julho de 2026

Principais lições deste artigo

• A Resolução Conjunta nº 16/2025 exige segregação patrimonial, identificação visível da prestadora e proíbe contas-bolsão, com prazo de adequação até 31/12/2026.

• Uma avaliação estruturada em oito dimensões ponderadas, que incluem conformidade, APIs, segurança, Pix e Open Finance, compliance, escalabilidade, SLA e cobertura de produtos, apoia decisões objetivas.

• APIs REST com documentação pública, sandbox realista, versionamento retrocompatível e SLA igual ou superior a 99,5% reduzem tempo de integração e riscos operacionais.

• Automatizar relatórios regulatórios como DIMP, CADOC, SCR e BacenJud e manter certificações PCI-DSS, ISO 27001 e HSM FIPS 140-2 compõe o nível mínimo esperado de compliance e segurança.

• Para implementar uma infraestrutura de Banking as a Service completa e escalável, conheça a Celcoin.

Passo 1 – Contexto regulatório e pré-requisitos

O ponto de partida é mapear três dependências fundamentais antes de qualquer análise técnica.

1. Status de licença da sua empresa: empresas sem licença própria operam sob a licença da prestadora de Banking as a Service. Empresas já autorizadas pelo Banco Central integram sua licença ao Core Banking do provedor.

2. Prazo de adequação: instituições com contratos de Banking as a Service vigentes antes de 28 de novembro de 2025 têm até 31 de dezembro de 2026 para adaptar os contratos às exigências da Resolução Conjunta nº 16/2025.

3. Contratação de prestadoras: a norma da Resolução Conjunta nº 16/2025 define requisitos específicos para a contratação de prestadoras de Banking as a Service.

Essas três dependências exigem validação cruzada entre múltiplas áreas da empresa. Por isso, os stakeholders internos que devem participar da avaliação incluem jurídico, compliance, engenharia, produto e finanças. Cada área contribui com critérios distintos que compõem as oito dimensões abaixo.

Conheça a infraestrutura que atende todas as áreas envolvidas na avaliação de Banking as a Service.

Passo 2 – Dimensão 1: conformidade com a Resolução Conjunta nº 16/2025 (peso 20%)

Critérios objetivos: o provedor deve ser uma instituição autorizada pelo Banco Central. Deve garantir identificação visível da prestadora em todos os canais, contratos e instrumentos de pagamento. Também deve assumir formalmente a responsabilidade por KYC, PLD/FT, prevenção a fraudes e comunicação direta com o regulador.

O modelo white-label puro, em que o cliente final não vê a instituição autorizada por trás do serviço, não é mais permitido sob a Resolução Conjunta nº 16/2025.

Perguntas para RFP:

• A instituição está formalmente autorizada pelo Banco Central e figura no rol de prestadoras de Banking as a Service?

• Como a identificação da prestadora aparece nos canais digitais e físicos do cliente final?

• Qual é o processo documentado para encerramento compulsório de contas com irregularidades, conforme a Resolução BCB nº 518/2025?

Passo 3 – Dimensão 2: segregação patrimonial e ausência de contas-bolsão (peso 15%)

Critérios objetivos: cada conta deve ter um titular identificado que seja o único habilitado a movimentá-la. A Resolução Conjunta nº 16/2025 exige segregação patrimonial exata para cada participante da cadeia. O provedor deve documentar critérios próprios para identificação de contas irregulares, com aprovação formal do conselho e retenção de registros por dez anos.

Perguntas para RFP:

• Como a arquitetura de contas garante rastreabilidade individual de cada titular e beneficiário final?

• Qual é o processo de auditoria para identificar e encerrar contas irregulares?

• Os registros de encerramento de contas irregulares permanecem armazenados por pelo menos dez anos?

Passo 4 – Dimensão 3: qualidade e cobertura de APIs (peso 15%)

Critérios objetivos: as APIs devem seguir padrões REST com documentação pública, OpenAPI/Swagger, SDKs atualizados e sandbox com dados realistas que simulem erros como consentimento expirado ou banco offline. Documentação interativa, exemplos de código e históricos de versões reduzem o ciclo de integração para parceiros. O versionamento deve ser retrocompatível, com cronogramas claros de descontinuação.

Perguntas para RFP:

• Existe sandbox com simulação de falhas e dados sintéticos realistas disponível antes da contratação?

• Qual é a política de versionamento de APIs e o prazo mínimo de aviso antes de descontinuação?

• As APIs para Pix e Open Finance seguem os padrões mTLS, OAuth 2.0 e FAPI exigidos pelo Banco Central?

Passo 5 – Dimensão 4: integração com Pix e Open Finance (peso 10%)

Critérios objetivos: a integração deve suportar idempotência por chave única por operação, validação de assinaturas JWS em webhooks, rotação de certificados mTLS e jobs de conciliação periódicos. Em 2026, o Brasil registrou um elevado volume de consentimentos ativos no Open Finance, o que torna a cobertura e a estabilidade dos conectores um diferencial crítico.

Perguntas para RFP:

• O provedor oferece painel de status público com taxa de sucesso por conector nas últimas horas?

• Como ocorrem os tratamentos de falhas de webhook, e se existe job de reconciliação automático?

• O SLA declarado para APIs para Pix é de pelo menos 99,5%, com disponibilidade real medida e auditável?

Passo 6 – Dimensão 5: segurança, certificações e prevenção a fraudes (peso 15%)

Critérios objetivos: o provedor deve manter conformidade com LGPD, PCI-DSS com os 12 requisitos ativos, ISO 27001 e diretrizes do Banco Central, além das obrigações de PLD/FT descritas no Passo 2. O Hardware Security Module (HSM) é padrão no setor financeiro brasileiro por atender à certificação FIPS 140-2. Monitoramento antifraude baseado em IA e autenticação robusta compõem o mínimo esperado diante de 314,8 bilhões de tentativas de ataques cibernéticos registradas no Brasil no primeiro semestre de 2025.

Perguntas para RFP:

• Quais certificações de segurança estão ativas e com validade verificável, como PCI-DSS, ISO 27001 e ISO 27701?

• Como funciona o monitoramento de transações em tempo real exigido para prevenção à lavagem de dinheiro?

• Existe HSM dedicado ou HSM as a Service na arquitetura de segurança?

Passo 7 – Dimensão 6: relatórios regulatórios e compliance automatizado (peso 10%)

Critérios objetivos: o provedor deve automatizar o envio de DIMP, CADOCs, CCS, COSIF, SCR, DES-IF e BacenJud com conexão direta à RSFN e ao SPB. Boas práticas de compliance em Banking as a Service recomendam automação regulatória, auditorias internas periódicas e monitoramento contínuo de transações.

Perguntas para RFP:

• Quais relatórios regulatórios são gerados e enviados automaticamente, sem intervenção manual?

• Como o provedor lida com mudanças regulatórias e qual é o prazo médio de atualização dos layouts?

• Existe conexão direta com a RSFN e o SPB ou há intermediários no fluxo?

Passo 8 – Dimensão 7: escalabilidade, SLA e disponibilidade (peso 10%)

Critérios objetivos: operações financeiras críticas exigem SLA de 99,9% ou superior, com MTTR máximo de 4 horas e suporte 24×7. Um SLA de 99,99% equivale a menos de 5 minutos de indisponibilidade por mês. O custo por transação deve diminuir conforme o volume cresce, e CPT estável ou crescente sinaliza que a camada financeira não está escalando.

Perguntas para RFP:

• Qual é o SLA contratual de disponibilidade e qual foi a disponibilidade real medida nos últimos 12 meses?

• Existe suporte técnico 24×7 com acesso direto a decisores em incidentes críticos?

• Como a arquitetura garante escalabilidade em picos de volume sem degradação de performance?

Passo 9 – Dimensão 8: cobertura de produtos e jornada de crescimento (peso 5%)

Critérios objetivos: o provedor deve cobrir contas digitais PF e PJ, Pix, TED, cartões pré e pós-pagos, DDA, Open Finance e relatórios regulatórios em uma única plataforma. A capacidade de migrar do modelo Banking as a Service, usando a licença da prestadora, para Core Banking, usando licença própria, sem trocar de infraestrutura, diferencia empresas em crescimento.

Perguntas para RFP:

• É possível iniciar com a licença da prestadora e migrar para licença própria sem reescrever integrações?

• Quais produtos financeiros estão disponíveis nativamente, sem necessidade de fornecedores adicionais?

• Como funciona o processo de migração, qual é o prazo médio e quem lidera tecnicamente?

Veja como migrar do modelo Banking as a Service para Core Banking sem reescrever integrações.

Passo 10 – Erros comuns e pontos de atenção

Os erros mais frequentes na avaliação de infraestrutura de Banking as a Service no Brasil incluem decisões que ignoram prazos, custos recorrentes e complexidade operacional.

• Ignorar o prazo de adequação mencionado no Passo 1: empresas que não concluírem a adequação à Resolução Conjunta nº 16/2025 até o fim de 2026 ficam sujeitas a sanções administrativas que vão de multas à revogação de autorização.

• Avaliar apenas o custo de setup: o custo por transação e o índice de eficiência operacional são os indicadores que determinam a margem no longo prazo.

• Subestimar a complexidade de migração: empresas que operavam Banking as a Service antes de fevereiro de 2026 têm 270 dias para adequação, com auditoria externa, controles de risco, cibersegurança e revisão de contratos.

• Aceitar SLAs sem histórico auditável: SLA declarado sem disponibilidade real medida nos últimos 12 meses não é verificável.

• Fragmentar fornecedores por produto: múltiplos provedores aumentam o risco operacional, a complexidade de compliance e o custo de gestão.

Passo 11 – Critérios de sucesso e validação

Os indicadores abaixo validam uma infraestrutura de Banking as a Service bem implementada e em evolução saudável.

• Taxa de conformidade regulatória próxima de 100%, com KYC, PLD/FT e LGPD em linha, e qualquer desvio indicando risco regulatório.

• Tempo médio de conciliação medido em minutos, já que tempos superiores a 24 horas indicam processos manuais ou falhas de integração.

• Redução consistente de incidentes operacionais por volume de transações trimestre a trimestre.

• Tempo de implementação de novos produtos inferior ao planejado, com reutilização das integrações existentes.

• NRR, ou net revenue retention, em trajetória de crescimento, refletindo expansão de receita dentro da base de clientes existente.

Para consolidar todos os critérios apresentados nos passos anteriores em uma decisão objetiva, utilize o scorecard ponderado abaixo.

Passo 12 – Scorecard ponderado

Use o scorecard abaixo para consolidar a avaliação de cada provedor em uma pontuação final ponderada. Atribua uma nota de 0 a 10 para cada dimensão com base nas respostas do RFP, multiplique pelo peso correspondente e some as pontuações para obter a nota final.

Dimensão de avaliação	Peso	Nota do provedor (0–10)	Pontuação ponderada
Conformidade com Resolução Conjunta nº 16/2025	20%	___	___
Segregação patrimonial e ausência de contas irregulares	15%	___	___
Qualidade e cobertura de APIs	15%	___	___
Segurança, certificações e prevenção a fraudes	15%	___	___
Integração com Pix e Open Finance	10%	___	___
Relatórios regulatórios e compliance automatizado	10%	___	___
Escalabilidade, SLA e disponibilidade	10%	___	___
Cobertura de produtos e jornada de crescimento	5%	___	___
Total	100%	–	___/10

Para usar o scorecard, atribua uma nota de 0 a 10 a cada dimensão com base nas respostas do RFP e multiplique pelo peso. Some as pontuações ponderadas para obter a nota final do provedor.

Aplicando esse framework de avaliação ao mercado brasileiro, a Celcoin se destaca como uma solução que atende todas as oito dimensões do scorecard.

Passo 13 – A Celcoin como solução completa

A Celcoin opera com portfólio completo de licenças e tecnologia proprietária, atendendo empresas reguladas e não reguladas em todas as oito dimensões do scorecard. Fintechs e bancos digitais sem licença própria operam sob a licença da Celcoin no modelo Banking as a Service. Empresas já autorizadas pelo Banco Central integram sua licença ao Core Banking da Celcoin, mantendo a mesma base tecnológica ao longo de toda a jornada de crescimento. A Celcoin media mais de R$30 bilhões em transações mensalmente e atende mais de 6 mil clientes.

A Celcoin não oferece nenhum tipo de empréstimo para consumidores. A Celcoin fornece a infraestrutura tecnológica para que empresas consigam ofertar produtos de crédito aos seus clientes.

Funcionalidade da Celcoin	Benefício para sua empresa
APIs modulares	Integrações mais rápidas, com redução de custos e prazos de desenvolvimento.
Experiência e suporte ao desenvolvedor	Documentação, SDKs e sandboxes que reduzem ciclos de integração e custos de engenharia.
Capacidade de lançamento rápido	Módulos pré-construídos e entrega via SaaS aceleram lançamentos, encurtam o tempo para geração de receita e aumentam a competitividade.
Distribuição white-label e embutida (embedded)	Oferta de produtos financeiros integrados à jornada do cliente, com experiência personalizada e maior conversão.

Fale com a Celcoin e avalie como o banking da Celcoin pode apoiar a estratégia financeira da sua empresa.

Conclusão

Escolher um provedor de Banking as a Service no Brasil vai além de comparar preços ou funcionalidades isoladas. A decisão envolve conformidade regulatória, qualidade técnica de APIs, segurança certificada, escalabilidade operacional e capacidade de acompanhar o crescimento da empresa sem troca de infraestrutura.

O framework de 13 passos apresentado neste artigo organiza essa avaliação em critérios objetivos e ponderados, reduzindo o risco de decisões baseadas em percepções subjetivas ou em características superficiais. Aplicar o scorecard com rigor, envolver as áreas de jurídico, compliance, engenharia, produto e finanças desde o início e validar SLAs com histórico auditável são os três fatores que mais diferenciam processos de seleção bem-sucedidos.

Com o prazo de adequação à Resolução Conjunta nº 16/2025 em andamento, iniciar a avaliação agora reduz o risco de sanções e amplia o tempo disponível para uma migração estruturada. Conheça a Celcoin e veja como o banking da Celcoin atende cada uma das oito dimensões do scorecard.

Perguntas frequentes

O que são contas-bolsão e por que foram proibidas?

Contas-bolsão são contas coletivas que agregam recursos de múltiplos titulares sem identificação individual de cada beneficiário final. A Resolução Conjunta nº 16/2025 proibiu esse modelo porque impede a rastreabilidade das movimentações e dificulta a identificação de irregularidades, como lavagem de dinheiro e fraudes. Cada conta deve ter um titular único e identificado, que seja o único habilitado a movimentá-la.

Quais produtos financeiros um provedor de Banking as a Service deve cobrir nativamente?

Uma plataforma completa deve incluir contas digitais para pessoas físicas e jurídicas, Pix, TED, cartões pré e pós-pagos, DDA, Open Finance e relatórios regulatórios em uma única infraestrutura. Provedores que exigem fornecedores adicionais para cobrir produtos básicos aumentam a complexidade operacional, o custo de gestão e o risco de compliance.

O que é Banking as a Service?

Banking as a Service é um modelo em que uma instituição financeira autorizada disponibiliza sua infraestrutura regulatória e tecnológica para que outras empresas ofereçam produtos financeiros aos seus clientes. A empresa contratante opera sob a licença da prestadora, sem precisar obter autorização própria do Banco Central para iniciar as operações.

Qual é a diferença entre Banking as a Service e Core Banking?

No modelo Banking as a Service, a empresa usa a licença da prestadora para operar. No Core Banking, a empresa já possui licença própria e contrata apenas a infraestrutura tecnológica para processar suas operações. Alguns provedores, como a Celcoin, permitem migrar de um modelo para o outro sem reescrever integrações.

O que muda com a Resolução Conjunta nº 16/2025?

A norma proíbe o modelo white-label puro, exige identificação visível da instituição autorizada em todos os canais, impõe segregação patrimonial individual para cada titular de conta e define critérios documentados para encerramento de contas irregulares. Contratos vigentes antes de novembro de 2025 têm até 31 de dezembro de 2026 para adequação.

Quais certificações de segurança um provedor de Banking as a Service deve ter?

O nível mínimo esperado inclui PCI-DSS com os 12 requisitos ativos, ISO 27001, ISO 27701 e uso de Hardware Security Module com certificação FIPS 140-2. Provedores que atuam no mercado financeiro brasileiro também devem cumprir as diretrizes de segurança cibernética do Banco Central e as obrigações de PLD/FT.

Como avaliar o SLA de um provedor de Banking as a Service?

Solicite o histórico de disponibilidade real medida nos últimos 12 meses, não apenas o SLA declarado em contrato. Verifique o MTTR máximo em incidentes críticos, a existência de suporte técnico 24×7 com acesso a decisores e se há painel público de status com métricas por serviço. Um SLA de 99,9% equivale a menos de 9 horas de indisponibilidade por ano.

É possível migrar de Banking as a Service para licença própria sem trocar de provedor?

Sim, desde que o provedor ofereça suporte a ambos os modelos na mesma plataforma. Essa capacidade evita reescrita de integrações, reduz o risco operacional da migração e preserva o histórico de dados. É um dos critérios avaliados na Dimensão 8 do scorecard apresentado neste artigo.