Como garantir compliance em soluções BaaS no Brasil

Última atualização: 29 de julho de 2026

Principais lições deste artigo

• A Resolução Conjunta 16/2025 impõe governança, transparência e segregação patrimonial obrigatória em todas as operações de BaaS.

• A instituição licenciada responde integralmente perante o Banco Central, o que exige contratos claros e detalhados com o parceiro tomador.

• Ter contas individualizadas, KYC automatizado e monitoramento PLD-FT com IA compõe o conjunto mínimo de requisitos para conformidade regulatória.

• Automatizar relatórios como CCS, CADOC, DIMP e BacenJud e garantir segregação patrimonial reduz riscos e custos operacionais.

• Para implementar uma solução completa de BaaS em conformidade com a nova norma, conheça a infraestrutura da Celcoin.

A Resolução Conjunta 16/2025 do Banco Central e da CVM redefine o modelo de Banking as a Service no Brasil. A norma exige segregação patrimonial completa, rastreabilidade por titular e responsabilidade regulatória integral da instituição licenciada até o prazo de adequação estabelecido.

Empresas que operam ou planejam operar BaaS precisam revisar contratos, arquitetura de contas, fluxos de KYC e PLD-FT, além de automatizar relatórios regulatórios. Este conteúdo apresenta seis passos práticos para estruturar uma operação em conformidade e mostra como o banking da Celcoin apoia essa jornada.

Definição: conta individualizada em BaaS

Conta individualizada é o registro separado para cada cliente final com titularidade clara. Esse modelo permite rastreabilidade total do saldo e segregação de contas em soluções BaaS, evitando estruturas agregadas que dificultam a identificação do beneficiário final.

Para implementar essa segregação na prática, o primeiro passo é definir quem responde por cada obrigação regulatória, se a instituição prestadora licenciada ou a empresa tomadora do serviço. Sem essa divisão clara de responsabilidades, nenhuma arquitetura técnica de contas individualizadas será suficiente para atender o Banco Central.

Passo 1: mapeamento de responsabilidades entre instituição licenciada e cliente

Sob a Resolução Conjunta 16/2025, a instituição prestadora de serviços de BaaS, sempre uma entidade regulada, assume responsabilidade regulatória integral perante o Banco Central, incluindo todas as operações terceirizadas. A entidade tomadora, como um ERP, varejista ou fintech sem licença própria, não precisa de autorização do Banco Central, mas deve contratar uma única prestadora licenciada, que permanece como única responsável pelas obrigações regulatórias.

O contrato entre prestadora e tomadora deve detalhar:

• funções delegadas e limites operacionais;

• critérios de segurança da informação;

• responsabilidades de cada parte;

• remuneração e compartilhamento de dados;

• mecanismos de governança e gestão de riscos.

Cada um desses elementos precisa estar explicitamente descrito no instrumento contratual, porque em caso de auditoria ou incidente o Banco Central exigirá evidência documental de que a prestadora manteve controle efetivo sobre as funções reguladas. Contratos genéricos ou omissos quanto à alocação de responsabilidades impedem essa comprovação e representam risco imediato de não conformidade.

Passo 2: desenho de contas individualizadas em vez de contas-bolsão

As diretrizes para operações de BaaS enfatizam a segregação patrimonial para cada participante da cadeia em soluções BaaS no Brasil. Cada real e cada CNPJ em operações BaaS devem ter titular identificável e beneficiário final conhecido.

A implementação de contas segregadas exige revisão da arquitetura de produto para confirmar se a oferta opera como conta de pagamento, iniciação, facilitação, liquidação ou outro arranjo que reflita titularidade individual. Os contratos e fluxos operacionais devem identificar explicitamente:

• o titular dos recursos;

• as instituições participantes do fluxo;

• o processo de liquidação e os pontos de segregação;

• os limites de movimentação por conta.

Passo 3: fluxo de onboarding KYC e KYP automatizado

Os controles sob competência exclusiva da instituição prestadora incluem KYC, análise de perfil, prevenção a fraudes e PLD-FT. A prestadora licenciada assume responsabilidade direta pela aplicação de procedimentos KYC sobre toda a base de clientes finais, incluindo aqueles antes visíveis apenas de forma agregada.

O fluxo automatizado de onboarding deve contemplar:

• coleta e validação documental via API;

• verificação biométrica e checagem em listas restritivas;

• qualificação do parceiro tomador, com KYP, Know Your Partner;

• configuração de webhooks para captura de eventos de criação e atualização de contas;

• monitoramento do status cadastral até a liberação operacional completa.

Passo 4: arquitetura de PLD-FT com monitoramento baseado em IA

O provedor de BaaS passa a ter obrigação de aplicar políticas estritas de prevenção à lavagem de dinheiro e financiamento do terrorismo e de analisar o risco dos clientes conforme a Resolução Conjunta nº 16/2025. A Circular BCB nº 3.978/2020 exige políticas, procedimentos e controles internos para prevenir lavagem de dinheiro e financiamento ao terrorismo, que ficam comprometidos quando a arquitetura de contas reduz a visibilidade do usuário final.

Os controles mínimos de PLD-FT para operações BaaS incluem:

• monitoramento transacional em tempo real com classificação de risco por perfil;

• trilhas de auditoria imutáveis para cada operação;

• alertas automáticos para padrões atípicos;

• comunicação de operações suspeitas ao COAF dentro dos prazos legais;

• revisão periódica de políticas com base em atualizações normativas.

Conheça o banking da Celcoin para estruturar PLD-FT, KYC e monitoramento transacional em uma única infraestrutura.

Passo 5: automação de relatórios regulatórios, CCS, CADOC, DIMP e BacenJud

Instituições financeiras enfrentam desafios operacionais significativos no reporte regulatório por causa de custos elevados, processos manuais redundantes e sistemas legados que dificultam ajustes para novas regulamentações. A automação reduz esses gargalos ao integrar diretamente com a Rede do Sistema Financeiro Nacional, RSFN, e o Sistema de Pagamentos Brasileiro, SPB.

Uma arquitetura de automação robusta deve cobrir:

• geração e envio automático de arquivos CCS, CADOCs, DIMP e BacenJud;

• integração com sistemas contábeis para COSIF e obrigações tributárias;

• monitoramento de prazos e alertas de pendências;

• auditoria de envios com registro de confirmações do Banco Central;

• atualização automática de layouts quando o regulador publica novas versões.

A governança de dados para automação de relatórios regulatórios exige papéis e responsabilidades claramente definidos, políticas rigorosas e controles de risco eficientes.

Passo 6: checklist de segregação patrimonial e controles de risco

Revisões de cibersegurança e do ecossistema de terceiros são necessárias porque a segregação depende de controles técnicos e operacionais em toda a cadeia, conforme a Resolução BCB nº 85/2021 e a Resolução CMN nº 4.893/2021. O checklist de encerramento de implementação deve verificar se a operação cumpre os requisitos de segregação e de governança.

• segregação patrimonial confirmada por conta e por titular;

• políticas de KYC, PLD-FT e gestão de incidentes documentadas e aprovadas;

• separação de funções, segregation of duties, entre operação, compliance e tecnologia;

• testes de penetração e avaliação de vulnerabilidades concluídos;

• plano de resposta a incidentes com SLAs definidos;

• identificação da prestadora licenciada em todos os canais, interfaces, contratos e instrumentos de pagamento.

A instituição prestadora precisa estar claramente identificada ao cliente final em todos os canais para garantir transparência e aderência às exigências de comunicação com o usuário.

Erros comuns e pontos de atenção

Implementações BaaS que ignoram a nova norma tendem a repetir alguns erros recorrentes. Conhecer esses pontos de atenção ajuda a priorizar correções antes de uma auditoria ou de um incidente.

• manter estruturas de contas-bolsão sem migração para contas individualizadas dentro do prazo de adequação;

• não manter trilhas de auditoria completas, o que impede a rastreabilidade exigida pelo Banco Central;

• deixar contratos entre prestadora e tomadora omissos quanto à alocação de responsabilidades de KYC e PLD-FT;

• atrasar a atualização de políticas internas após publicação de novas normas ou circulares;

• falhar na integração entre sistemas legados e APIs da prestadora, gerando lacunas no monitoramento transacional;

• não configurar webhooks no momento da criação de subcontas, o que resulta em perda de eventos críticos.

Contratos e estruturas existentes devem alcançar adequação até o prazo regulatório estabelecido, com instituições avaliando seu portfólio e, quando necessário, concluindo planos de adequação em prazos definidos.

Critérios de sucesso e indicadores

Uma implementação BaaS em conformidade com a Resolução Conjunta 16/2025 pode ser acompanhada por indicadores objetivos. Esses dados mostram se a operação está madura o suficiente para suportar crescimento sem aumentar o risco regulatório.

• tempo de implementação do zero à operação, de uma semana a três meses, conforme a complexidade da estrutura existente;

• redução de retrabalho em relatórios regulatórios, com meta de eliminação de intervenção manual nos envios recorrentes;

• taxa de conformidade cadastral, com 100% das contas com titular identificável antes da liberação operacional;

• tempo médio de onboarding KYC, com redução mensurável por ciclo após automação do fluxo documental;

• zero notificações de não conformidade do Banco Central após a data-limite de adequação.

Funcionalidades e benefícios da Celcoin

A Celcoin opera com portfólio completo de licenças e tecnologia proprietária, oferecendo APIs modulares para que empresas provejam serviços bancários completos, de contas digitais e cartões a liquidação, compliance e relatórios regulatórios. Toda a complexidade de KYC, PLD-FT e reportes regulatórios é gerida pela Celcoin, que medeia mais de R$ 30 bilhões em transações mensalmente e atende mais de 6 mil clientes. A Celcoin não oferece nenhum tipo de empréstimo para consumidores. A Celcoin fornece a infraestrutura tecnológica para que empresas consigam ofertar produtos de crédito aos seus clientes.

A tabela a seguir resume as principais funcionalidades do banking da Celcoin e o benefício direto que cada uma entrega para empresas que buscam conformidade com a Resolução Conjunta 16/2025:

Funcionalidade da Celcoin	Benefício para sua empresa
APIs modulares	Integrações mais rápidas, com redução de custos e prazos de desenvolvimento.
Experiência e suporte ao desenvolvedor	Documentação, SDKs e sandboxes reduzem ciclos de integração e custos de engenharia.
Capacidade de lançamento rápido	Módulos pré-construídos e entrega via SaaS aceleram lançamentos, melhorando o tempo para geração de receita e competitividade.
Distribuição white-label e embutida	Suporte a produtos financeiros com marca própria.
Escalabilidade com confiabilidade	Solução com alta disponibilidade e escalável na nuvem mantém serviços funcionando mesmo com altos volumes, protegendo sua receita.
Cobertura de diversas possibilidades de pagamentos, incluindo crédito	Oferecer pagamentos e emissão de crédito aumenta conversão, ARPU e fidelização.
Acesso a dados e personalização	Dados e análises via Open Finance permitem ofertas personalizadas, com melhora de conversão e retenção.
Compliance e conformidade como princípio	KYC, AML e relatórios integrados reduzem risco regulatório e aceleram ciclos de vendas.
Prevenção de fraude e controles de risco	Monitoramento baseado em IA e autenticação robusta reduzem estornos, perdas e exposição regulatória.
Força do ecossistema de parceiros da Celcoin	Parcerias e integrações com bancos, redes e fintechs garantem melhor cobertura, recursos e velocidade de entrada no mercado.

Próximos passos

Após alcançar conformidade inicial com a Resolução Conjunta 16/2025, as empresas podem evoluir a operação em três frentes. A primeira frente é a expansão do portfólio de produtos financeiros sobre a mesma infraestrutura. A segunda frente é a migração para licença própria de Instituição de Pagamento, mantendo a base tecnológica já operacional. A terceira frente é o monitoramento contínuo de atualizações regulatórias do Banco Central, CMN e SUSEP.

A solução full stack da Celcoin abrange banking, pagamentos e crédito, acompanhando a empresa em cada etapa dessa jornada, do primeiro produto financeiro lançado sob licença da Celcoin até uma operação autônoma com Core Banking próprio.

Descubra o banking da Celcoin para estruturar sua operação BaaS com compliance desde o primeiro dia.

Perguntas frequentes

Qual o prazo para automação de relatórios regulatórios?

O prazo varia conforme a complexidade da operação e o volume de obrigações acessórias envolvidas. Empresas que partem do zero com o banking da Celcoin conseguem ativar a automação de relatórios como CCS, CADOCs, DIMP e BacenJud em poucas semanas, porque a integração com a RSFN e o SPB já está pré-construída. Operações que precisam migrar de sistemas legados podem levar até três meses, dependendo da qualidade dos dados históricos e da disponibilidade da equipe técnica interna para validação dos layouts. O prazo regulatório para adequação de contratos e estruturas existentes à Resolução Conjunta 16/2025 é 31 de dezembro de 2026, o que torna a automação dos relatórios uma prioridade imediata para qualquer operação BaaS ativa.

Qual o custo de setup para usar a infraestrutura da Celcoin?

A Celcoin adota um modelo de remuneração centrado em transações, em vez de um custo de setup inicial elevado. Esse modelo reduz as barreiras de entrada e permite que fintechs, ERPs e varejistas iniciem a operação sem comprometer capital significativo antes de gerar receita. Os detalhes de precificação são definidos conforme o perfil e o volume esperado de cada cliente e são discutidos diretamente com a equipe comercial da Celcoin durante o processo de onboarding.

Quanto tempo leva a migração de outra solução?

A Celcoin possui equipe dedicada para suporte ao processo de migração. Clientes com estruturas simples e dados bem organizados conseguem concluir a migração em aproximadamente uma semana. Operações mais complexas, com grande base de contas, múltiplos produtos financeiros ativos e integrações legadas, podem levar até três meses. O fator determinante é a qualidade da documentação técnica existente e a disponibilidade das equipes de produto e tecnologia do cliente para conduzir os testes de homologação em ambiente sandbox antes da entrada em produção.

Como funciona o suporte técnico durante a operação?

A Celcoin oferece suporte técnico especializado com acesso direto aos decisores, o que melhora o tempo de resposta e a capacidade de resolução de problemas críticos sem burocracia intermediária. Durante a operação, o cliente conta com documentação completa de APIs, SDKs e ambientes sandbox para testes contínuos. Em caso de incidentes, a equipe atua para minimizar o impacto sobre o cliente final. O suporte cobre tanto questões técnicas de integração quanto dúvidas regulatórias relacionadas às obrigações geridas pela Celcoin, como KYC, PLD-FT e relatórios ao Banco Central.