Como escalar Banking as a Service com compliance robusto

Última atualização: 24 de julho de 2026

Principais lições deste artigo

• Escalar Banking as a Service exige ter compliance estruturado desde a concepção, pois a Resolução Conjunta nº 16/2025 impõe responsabilidade integral ao provedor e prazo de adequação até 31/12/2026.

• Adotar uma arquitetura em três camadas, com núcleo, plataforma e experiência, e incluir automação RegTech, KYC/AML com IA e policy-as-code é essencial para sustentar crescimento sem gerar passivos regulatórios.

• Evitar contas-bolsão, garantir segregação patrimonial e monitorar AML em tempo real são requisitos críticos para manter conformidade e facilitar auditorias.

• Automatizar relatórios como CCS, CADOCs, COSIF, DIMP e BacenJud reduz custos, elimina erros manuais e libera equipes para atividades estratégicas.

• Para implementar uma solução completa de Banking as a Service com compliance robusto, conheça a plataforma da Celcoin.

Contexto regulatório brasileiro em 2026 e a Resolução Conjunta 16 do Bacen

A Resolução Conjunta BCB/CMN nº 16/2025, publicada em novembro de 2025, institui o marco regulatório dedicado ao Banking as a Service no Brasil. Essa norma atribui responsabilidade regulatória integral ao provedor de Banking as a Service e exige ter governança corporativa robusta, gestão de riscos adequada, controles internos e medidas de segurança operacional e da informação compatíveis com a natureza dos serviços prestados. O prazo de adequação é 31 de dezembro de 2026.

Esse cenário torna o compliance by design uma obrigação operacional. Provedores que não automatizam KYC, AML e relatórios regulatórios passam a enfrentar gargalos à medida que o volume de parceiros e transações cresce. Os serviços de KYC, AML, prevenção a fraudes e reporte regulatório no mercado de Banking as a Service da América do Sul tendem a crescer de forma relevante até 2031, o que reflete a pressão crescente por automação.

Veja como a Celcoin automatiza KYC, AML e relatórios regulatórios para atender à Resolução 16/2025.

Conceitos essenciais: Banking as a Service, Core Banking, RegTech, KYC/AML/PLD, policy-as-code e maturidade de compliance

Banking as a Service (BaaS) é o modelo em que uma instituição autorizada disponibiliza sua infraestrutura regulatória e tecnológica para que terceiros ofereçam produtos financeiros sob licença do provedor. Core Banking é a evolução desse modelo, com uma infraestrutura bancária completa que atende empresas que operam sob licença de terceiros e empresas que já possuem licença própria, sem necessidade de trocar de plataforma.

RegTech designa tecnologias que automatizam obrigações regulatórias, como monitoramento de transações, geração de relatórios e gestão de riscos. Dentro desse universo, KYC (Know Your Customer) e AML/PLD (Anti-Money Laundering/Prevenção à Lavagem de Dinheiro) são processos fundamentais de identificação de clientes e detecção de operações suspeitas. Para aplicar essas regras de forma consistente e auditável, as equipes adotam policy-as-code, que é a prática de codificar regras regulatórias diretamente nos sistemas e tornar o cumprimento automático. A eficácia dessa abordagem é medida pela maturidade de compliance, que avalia o grau de evolução do programa de conformidade de uma organização, do estágio reativo ao estágio otimizado.

Arquitetura prática em camadas para escalar Banking as a Service

Uma arquitetura escalável de Banking as a Service com compliance robusto se organiza em três camadas interdependentes.

A camada de núcleo concentra o sistema de registro de contas, saldos, transações, ledger e relatórios regulatórios. Essa camada exige consistência forte e desempenho determinístico, pois qualquer inconsistência se propaga para toda a operação.

A camada de plataforma coordena APIs modulares, gateways, barramento de eventos, gestão de identidade, trilhos de pagamento e lógica de orquestração. Nessa camada, o compliance by design se materializa com KYC e AML automatizados com IA, integração com Open Finance para acesso e transmissão de dados com consentimento e geração automática de relatórios como CCS, CADOCs, COSIF, DIMP e BacenJud.

A camada de experiência abrange canais digitais, carteiras e portais para desenvolvedores, aplicando políticas de consentimento, privacidade e segurança de ponta a ponta.

A automação de KYC reduz o custo de verificação de R$ 85–190, em um processo manual, para cerca de R$ 12–30 por verificação, com queda relevante nos custos e no tempo de onboarding. Com cerca de 5,3 bilhões de transações Pix processadas mensalmente em 2024, o monitoramento AML em tempo real tornou-se tecnicamente indispensável.

Panorama regulatório atual: obrigações do Banco Central, Receita Federal e SUSEP

Em 2026, provedores de Banking as a Service no Brasil respondem a múltiplos reguladores simultaneamente. As principais obrigações incluem:

• Banco Central do Brasil: Resolução Conjunta nº 16/2025 sobre governança e risco em Banking as a Service, conexão à RSFN e ao SPB, envio de CADOCs, CCS, COSIF e BacenJud, além de participação no Pix e no Open Finance.

• Receita Federal: envio de DIMP, Declaração de Informações de Meios de Pagamento, e cumprimento de obrigações acessórias fiscais para Instituições de Pagamento e Sociedades de Crédito Direto.

• SUSEP: para operações com seguros e Open Insurance, atendimento às resoluções da Superintendência de Seguros Privados, incluindo aplicação da LGPD ao setor.

• COAF: comunicação de operações suspeitas. O órgão recebeu 2.566.713 comunicações de operações suspeitas em 2024, volume que só se torna gerenciável com sistemas automatizados.

Os custos de compliance para instituições financeiras têm aumentado nos últimos anos. Diante desse cenário de múltiplas obrigações regulatórias e custos crescentes, a estruturação de um programa de compliance robusto exige uma abordagem sistemática.

Cinco pilares de boas práticas para compliance robusto

Para atender às exigências da Resolução Conjunta nº 16/2025 e escalar com segurança, provedores de Banking as a Service precisam estruturar seus programas de compliance em torno de cinco pilares interdependentes. Cada pilar aborda uma dimensão crítica da conformidade regulatória.

1. Compliance by design: as regras regulatórias são incorporadas à arquitetura desde o início, não adicionadas após o lançamento. Cada funcionalidade nasce com critérios de aceitação que incluem requisitos de conformidade e se apoia em policy-as-code para aplicar essas regras de forma automática.

2. Automação RegTech: KYC e AML com IA, monitoramento de transações em tempo real e geração automática de relatórios eliminam processos manuais que não escalam. Plataformas de IA podem reduzir falsos positivos em até 90%, o que diminui custos operacionais.

3. Governança de identidade e auditoria: controle de acesso baseado em privilégio mínimo, logs imutáveis de todas as ações críticas e trilhas de auditoria que respondem quem, o que, quando, onde e por que de cada evento.

4. Gestão de risco de terceiros: classificação de fornecedores por criticidade, diligência contínua com SLAs definidos em contrato e planos de saída documentados. Em 2024, 35,5% das violações de dados tiveram origem em fornecedores terceiros.

5. Policy-as-code: regras de classificação, retenção e ciclo de vida de dados, além de limites operacionais, codificadas nos sistemas, com aplicação automática e versionamento auditável.

Implemente esses cinco pilares de compliance com a infraestrutura completa da Celcoin.

Tabela de maturidade de compliance em quatro estágios

A tabela a seguir permite identificar em qual estágio de maturidade de compliance a operação se encontra e quais ações concretas devem ser priorizadas para avançar ao próximo nível. Use os checkpoints acionáveis como um roteiro prático de implementação.

Estágio	Características	Riscos típicos	Checkpoints acionáveis
Inicial	Processos ad hoc, KYC manual, relatórios em planilhas, sem política formal de gestão de terceiros	Multas regulatórias, falhas de onboarding, exposição a fraudes	Mapear fluxo de dados, inventariar fornecedores críticos, definir responsável pelo compliance
Em desenvolvimento	Políticas documentadas, KYC semi-automatizado, relatórios gerados com intervenção humana, gestão de terceiros básica	Escalabilidade limitada, erros manuais em relatórios, SLAs de fornecedores não monitorados	Automatizar KYC e AML, definir SLAs contratuais com fornecedores, implementar logs de auditoria
Avançado	KYC e AML automatizados com IA, relatórios regulatórios automáticos, gestão de terceiros com monitoramento contínuo, Open Finance integrado	Dependência de múltiplos fornecedores, policy-as-code ainda parcial	Consolidar infraestrutura em plataforma única, implementar policy-as-code, realizar auditorias independentes anuais
Otimizado	Compliance embarcado em toda a jornada, relatórios em tempo real, gestão de terceiros preditiva, policy-as-code completo, governança integrada à estratégia	Risco residual mínimo, foco em melhoria contínua	Realizar benchmarking externo, revisar maturidade trimestralmente, expandir produtos com compliance by design

Erros comuns que impedem o crescimento seguro

Contas-bolsão: estruturas em que recursos de múltiplos clientes são administrados em uma conta única, sem individualização. Esse modelo mistura o patrimônio do cliente com o patrimônio da instituição, é irregular e tende a ser vedado pelas novas normativas do Banco Central. A ausência de segregação patrimonial expõe o provedor a sanções e impede a escalabilidade regulatória.

Falta de segregação patrimonial: mesmo fora do modelo de contas-bolsão, a ausência de controles claros de separação entre recursos próprios e recursos de terceiros gera risco sistêmico e dificulta auditorias regulatórias.

Ausência de SLAs de risco de fornecedores: contratos com fornecedores sem cláusulas de risco operacional, planos de saída e monitoramento contínuo criam dependências ocultas. Em Banking as a Service, a responsabilidade regulatória não é transferível por indemnidades contratuais, e o provedor responde integralmente pelas falhas na cadeia.

Monitoramento AML reativo: detectar operações suspeitas apenas em auditorias periódicas é incompatível com o volume do Pix. O monitoramento precisa ser contínuo e em tempo real, com escalação estruturada de alertas.

Aplicações por perfil: fintechs em fase de licença, ERPs e varejistas

Evitar esses erros é essencial para qualquer provedor de Banking as a Service, mas a aplicação prática das boas práticas varia conforme o perfil do cliente.

Fintechs e bancos digitais em fase pré-licença operam sob a licença do provedor de Banking as a Service e concentram esforços no desenvolvimento de produto e na experiência do cliente. Ao obter licença própria, essas empresas migram para o Core Banking sem trocar de infraestrutura, o que elimina o risco de descontinuidade operacional e o custo de reconstrução tecnológica.

ERPs integram serviços financeiros diretamente em suas plataformas de gestão, criam uma nova linha de receita e aumentam a retenção de clientes. A infraestrutura de Banking as a Service elimina a necessidade de obter licenças próprias e de desenvolver integrações com o SPB do zero.

Varejistas de grande porte lançam produtos financeiros com marca própria, como contas digitais, cartões pré e pós-pagos e Pix, sem construir estrutura regulatória interna. A consolidação de múltiplos fornecedores em uma única plataforma reduz complexidade operacional e acelera o time-to-market.

A Celcoin não oferece nenhum tipo de empréstimo para consumidores. A Celcoin fornece a infraestrutura tecnológica para que empresas consigam ofertar produtos de crédito aos seus clientes.

A solução da Celcoin

A Celcoin opera com portfólio completo de licenças e tecnologia proprietária, mediando mais de R$ 30 bilhões em transações mensalmente e atendendo mais de 6 mil clientes, entre fintechs como Neon e Magie, bancos como BTG Pactual e Banco Pan, varejistas como Sky e ERPs como PipeImob. A plataforma cobre toda a jornada, do Banking as a Service com licença Celcoin ao Core Banking com licença própria, sem troca de infraestrutura.

A tabela abaixo detalha como cada funcionalidade da Celcoin se traduz em benefícios operacionais e financeiros concretos para sua empresa.

Funcionalidade da Celcoin	Benefício para sua empresa
APIs modulares	Integrações mais rápidas, com redução de custos e prazos de desenvolvimento.
Experiência e suporte ao desenvolvedor	Documentação, SDKs e sandboxes reduzem ciclos de integração e custos de engenharia.
Capacidade de lançamento rápido	Módulos pré-construídos e entrega via SaaS aceleram lançamentos, melhorando o tempo para geração de receita e a competitividade.
Distribuição white-label e embutida	Suporte a produtos financeiros com marca própria.
Escalabilidade com confiabilidade	Solução com alta disponibilidade e escalável na nuvem mantém serviços funcionando mesmo com altos volumes, protegendo sua receita.
Cobertura de diversas possibilidades de pagamentos, incluindo crédito	Oferecer pagamentos e emissão de crédito aumenta conversão, receita média por usuário e fidelização.
Acesso a dados e personalização	Dados e análises via Open Finance permitem ofertas personalizadas, com impacto direto em conversão e retenção.
Compliance e conformidade como princípio	KYC, AML e relatórios integrados reduzem risco regulatório e aceleram ciclos de vendas.
Prevenção de fraude e controles de risco	Monitoramento baseado em IA e autenticação robusta reduzem estornos, perdas e exposição regulatória.
Força do ecossistema de parceiros da Celcoin	Parcerias e integrações com bancos, redes e fintechs garantem melhor cobertura, mais recursos e maior velocidade de entrada no mercado.

Perguntas frequentes

O que muda para provedores de BaaS com a Resolução Conjunta nº 16/2025?

A Resolução 16/2025 muda o cenário ao tornar o provedor de Banking as a Service integralmente responsável por compliance, mesmo quando a falha ocorre na cadeia de terceiros. Na prática, o provedor não pode terceirizar KYC ou AML sem manter controles internos robustos sobre esses fornecedores. Até 31 de dezembro de 2026, o provedor precisa ter governança, gestão de riscos e controles internos documentados e auditáveis, ou ficará sujeito a sanções do Banco Central.

O que é compliance by design e por que ele é necessário para escalar BaaS?

Compliance by design é a prática de incorporar requisitos regulatórios à arquitetura do sistema desde o início do desenvolvimento, em vez de adicioná-los após o lançamento. Em Banking as a Service, em que o volume de parceiros e transações cresce rapidamente, processos manuais de compliance não escalam. A automação de KYC, o monitoramento AML em tempo real e a geração automática de relatórios regulatórios são componentes técnicos indispensáveis para crescer sem gerar passivos regulatórios.

Por que operar com contas-bolsão é um risco regulatório grave?

Contas-bolsão são estruturas em que recursos de múltiplos clientes são mantidos em uma conta única, sem individualização de saldos. Esse modelo mistura o patrimônio dos clientes com o patrimônio da instituição, o que é irregular e tende a ser vedado pelas normativas do Banco Central. Além do risco de sanções, a ausência de segregação patrimonial impede auditorias regulatórias eficazes e compromete a proteção dos recursos dos usuários finais.

Como uma empresa pode migrar do modelo BaaS para licença própria sem trocar de infraestrutura?

A migração se torna viável quando a plataforma de Banking as a Service oferece também um Core Banking compatível com licenças próprias. Nesse modelo, a empresa inicia a operação sob a licença do provedor e, ao obter sua própria licença de Instituição de Pagamento ou Instituição Financeira, integra essa licença à mesma infraestrutura tecnológica já em uso. Esse arranjo elimina o custo e o risco de uma migração de plataforma e mantém a continuidade operacional, os relatórios regulatórios automatizados e a base de clientes sem interrupção.

Quais relatórios regulatórios precisam ser automatizados por provedores de BaaS no Brasil?

Os principais relatórios exigidos pelo Banco Central e pela Receita Federal incluem CCS, Cadastro de Clientes do Sistema Financeiro Nacional, CADOCs, Documentos de Captação, COSIF, Plano Contábil das Instituições do Sistema Financeiro Nacional, DIMP, Declaração de Informações de Meios de Pagamento, DES-IF, SCR, PR e BacenJud. Instituições de Pagamento sediadas em São Paulo também respondem a obrigações da SEFAZ-SP. A automação desses relatórios reduz erros manuais, garante envio dentro dos prazos e libera equipes para atividades estratégicas.

Conclusão: o caminho para escalar com segurança

Escalar Banking as a Service no Brasil em 2026 sem compliance robusto gera risco regulatório, com a Resolução Conjunta nº 16/2025 impondo responsabilidades integrais e prazos rígidos, e risco operacional, com a incapacidade de escalar processos manuais de KYC, AML e relatórios. A automação por meio de RegTech, policy-as-code e arquitetura em camadas permite que provedores cresçam com governança embutida, reduzindo custos e passivos. A Celcoin oferece a infraestrutura completa para atender a esse cenário, do Banking as a Service ao Core Banking, com compliance by design e automação regulatória integrada.

Escale seu Banking as a Service com compliance robusto: conheça a solução da Celcoin.