CaaS de crédito: compliance e regulação em 2026

setembro 3, 2026

Principais lições deste artigo

A Resolução Conjunta nº 16/2025 define que a instituição regulada mantém responsabilidade integral perante o Banco Central em operações CaaS.
A IN BCB nº 754/2026 detalha o registro das tomadoras no Unicad e operacionaliza as exigências da Resolução Conjunta nº 16/2025.
Empresas que oferecem crédito via CaaS precisam estruturar cinco pilares de compliance integrados: licenciamento e governança, KYC/PLD, LGPD, SCR e segurança cibernética.
Dados brutos do SCR permanecem restritos à instituição regulada, que pode repassar apenas informações consolidadas ou relatórios agregados à tomadora.
Matriz RACI e checklist de go/no-go ajudam a organizar responsabilidades e a preparar a operação para o cronograma regulatório de 2026.
Conheça a infraestrutura de crédito da Celcoin.

O novo marco regulatório do crédito embarcado

O crescimento do crédito embarcado no Brasil consolidou o modelo CaaS como alternativa para empresas que desejam oferecer produtos financeiros sem obter autorização própria do Banco Central. A Resolução Conjunta nº 16/2025 e a IN BCB nº 754/2026 criaram um ambiente regulatório mais rigoroso, com obrigações de registro, governança e divisão de responsabilidades.

Este guia apresenta esses requisitos normativos em ações práticas para 2026, com foco em profissionais de compliance, jurídico e produto que precisam lançar ou regularizar operações de crédito via CaaS.

A Celcoin não concede crédito diretamente a consumidores. A empresa fornece infraestrutura para que outras empresas ofertem crédito aos seus clientes.

O que é CaaS de crédito e por que compliance é crítico?

CaaS de crédito é o modelo em que uma empresa usa a infraestrutura e a licença de uma instituição regulada para oferecer crédito com marca própria. Assim, ela origina, formaliza e gere operações sem precisar de autorização do Banco Central. O modelo BaaS abrange também contas, pagamentos e outros serviços bancários.

No CaaS, a instituição regulada, como uma SCD ou IP, detém a licença e a responsabilidade final perante o Banco Central. A tomadora distribui o produto com sua marca e assume obrigações contratuais e de proteção de dados, mas não responde diretamente pela licença prudencial.

Compliance em CaaS gera quatro resultados principais:

Garante segurança jurídica para formalização de operações, como a emissão de CCBs.
Protege dados pessoais em ambiente de APIs compartilhadas.
Reduz riscos de sanções do Banco Central e da ANPD.
Facilita acesso a funding institucional, como gestoras e FIDCs.

A Resolução Conjunta nº 16/2025 e a IN BCB nº 754/2026: principais mudanças para CaaS

A Resolução Conjunta nº 16/2025 estabelece o marco regulatório do BaaS e do CaaS no Brasil e define regras para a contratação de serviços por instituições autorizadas. A terceirização não transfere responsabilidade regulatória. A instituição regulada permanece integralmente responsável perante o Banco Central pelos serviços prestados por terceiros. O art. 20, inciso I, da norma exige o registro das tomadoras de serviços no sistema Unicad.

A IN BCB nº 754/2026, publicada em 1º de julho de 2026, altera a IN BCB nº 330/2022 e implementa no Unicad as exigências da Resolução Conjunta nº 16/2025. O cronograma é escalonado:

1º de julho de 2026: entrada em vigor do art. 2º e do art. 10-F. Instituições em funcionamento em 30 de junho de 2026 devem revisar e encerrar no Unicad as atividades operacionais que não realizam. Novas atividades devem ser comunicadas ao Banco Central com 90 dias de antecedência.
1º de setembro de 2026: entrada em vigor do art. 10-G, que exige o registro das tomadoras de serviços de BaaS no módulo “Vínculos” do Unicad.
1º de outubro de 2026: entrada em vigor do art. 10-H, que exige o registro da possibilidade de transferência de liquidez no conglomerado prudencial.

O impacto sistêmico da IN BCB nº 754/2026 é classificado como alto, pois alcança todas as instituições autorizadas pelo Banco Central.

Pilares de compliance em CaaS de crédito

Licenciamento e governança

A operação de crédito via CaaS exige vínculo com uma instituição autorizada pelo Banco Central, como SCD, IP ou banco múltiplo. Essa instituição detém a licença e responde pela conformidade regulatória de toda a cadeia. Para garantir essa conformidade, a Resolução BCB nº 517/2025 estabelece requisitos de capital mínimo e exige o registro de atividades operacionais no Unicad, conforme o art. 10-F da IN BCB nº 754/2026.

KYC e PLD/FT

A Circular BCB nº 3.978/2020 exige identificação e verificação da identidade dos clientes antes do início da relação de negócio, com abordagem proporcional ao risco. O programa de PLD/FT deve incluir política de prevenção, avaliação interna de risco, procedimentos de diligência, monitoramento contínuo e comunicação ao COAF.

A due diligence opera em três camadas:

SDD (simplificada): para clientes de baixo risco, com requisitos de verificação reduzidos e monitoramento de atividades suspeitas.
CDD (padrão): para a maioria dos clientes, com coleta de dados cadastrais completos e validação de identidade.
EDD (reforçada): para PEPs, clientes de jurisdições de alto risco e estruturas acionárias complexas.

Em CaaS, o KYC deve ser centralizado na camada da instituição regulada, com validação de CPF ou CNPJ via API e rastreabilidade auditável. A tokenização do CPF após a validação reduz a exposição do dado bruto. A base legal principal para o tratamento de dados no CaaS é o cumprimento de obrigação regulatória, previsto no art. 7º, II, da LGPD.

LGPD e proteção de dados

Na arquitetura CaaS, a instituição regulada atua como controladora e a tomadora como operadora ou coparticipante, conforme o contrato. O art. 46 da LGPD exige medidas de segurança técnicas e administrativas desde a concepção do produto, com privacy by design. O princípio da minimização, previsto no art. 6º, III, limita a coleta ao estritamente necessário.

O compartilhamento de dados com terceiros exige base legal específica. Quando houver consentimento, o art. 7º, §5º, da LGPD exige consentimento destacado para o compartilhamento. A responsabilidade solidária do operador no art. 42, §1º, torna a diligência sobre a cadeia de fornecedores uma obrigação indelegável.

SCR, Sistema de Informações de Crédito

O SCR registra operações de crédito para supervisão do Banco Central e intercâmbio entre instituições. A obrigação de reporte das operações originadas via CaaS recai exclusivamente sobre a instituição regulada. A tomadora não tem acesso direto aos dados brutos do SCR. As restrições e alternativas operacionais aparecem na seção seguinte.

Segurança cibernética

A Resolução BCB nº 85/2021 exige política formal de segurança cibernética. Os controles essenciais incluem:

Criptografia em trânsito e em repouso.
Autenticação multifator.
Segregação de ambientes entre instituição regulada e tomadora.
Trilhas de auditoria imutáveis.
Testes de invasão periódicos.
Notificação de incidentes ao Banco Central e à ANPD.

A Resolução CMN nº 4.893/2021 exige que a instituição regulada verifique previamente a capacidade do prestador de serviços e monitore o fornecedor durante toda a vigência do contrato.

Quem é responsável pelo quê: matriz RACI

A matriz RACI organiza as responsabilidades entre a instituição regulada e a tomadora. A instituição regulada mantém a responsabilidade final perante o Banco Central. A tomadora responde contratualmente e perante a LGPD e a ANPD pelo tratamento de dados que realiza.

Atividade	Instituição regulada (SCD/IP)	Tomadora (empresa)
KYC do cliente final	R / A	C
Monitoramento de transações (PLD/FT)	R / A	C
Envio de dados ao SCR	R / A	I
Gestão de reclamações de clientes	A	R
Segurança da informação (infraestrutura)	R / A	C
Registro no Unicad (IN BCB nº 754/2026)	R / A	I
Comunicação ao COAF	R / A	I
Adequação à LGPD (políticas internas)	A	R

Legenda: R é responsável pela execução, A é aprovador com responsabilidade final, C é consultado e I é informado.

Restrições de acesso ao SCR e sigilo bancário

A regulamentação do SCR e a Resolução Conjunta nº 16/2025 vedam o compartilhamento de dados brutos do SCR com a tomadora de serviços. O SCR contém informações sobre operações de crédito e responsabilidades financeiras de pessoas físicas e jurídicas perante instituições financeiras autorizadas no Brasil. Esses dados são protegidos pelo sigilo bancário, previsto na LC 105/2001, e pela LGPD.

Se a instituição violar as obrigações de reporte ao SCR, ela estará sujeita a sanções administrativas do Banco Central, como multas, conforme a Lei 13.506/2017 e a Resolução CMN 5.037/2022. Além disso, pode haver responsabilização civil por danos, embora as fontes não confirmem expressamente responsabilização criminal.

As alternativas operacionais viáveis incluem:

Relatórios agregados e anonimizados fornecidos pela instituição regulada à tomadora.
Consultas ao SCR realizadas exclusivamente pela instituição regulada, com repasse de resultado consolidado, como um score de endividamento, à tomadora.
Uso de bureaus de crédito privados pela tomadora para decisão de crédito, sem acesso ao SCR.

Com base nesses pilares e restrições, o checklist a seguir consolida as ações necessárias antes e depois do lançamento da operação.

Checklist de go/no-go para 2026

Antes de lançar, garanta que os itens abaixo estejam alinhados aos cinco pilares de compliance e ao cronograma regulatório:

Contrato de CaaS assinado com instituição regulada autorizada pelo Banco Central.
Definição contratual de responsabilidades, com matriz RACI anexa ao contrato para evitar lacunas de governança.
Registro da tomadora no Unicad, conforme art. 10-G da IN BCB nº 754/2026, com atenção ao prazo de 1º de setembro de 2026.
Revisão das atividades operacionais registradas no Unicad, conforme art. 10-F, com conclusão até julho de 2026.
Política de KYC implementada, com onboarding de pessoas físicas e jurídicas e due diligence baseada em risco.
Programa de PLD/FT ativo, com monitoramento, comunicação ao COAF e elaboração de RARI.
Adequação à LGPD, com DPO nomeado, política de privacidade e registro de operações de tratamento.
Controles de segurança cibernética testados, em linha com a Resolução BCB nº 85/2021.
Fluxo de reporte ao SCR definido e centralizado na instituição regulada.
Plano de resposta a incidentes estruturado, com rotinas de comunicação ao Banco Central e à ANPD.

Após o lançamento, mantenha monitoramento contínuo para preservar a conformidade:

Comunicação prévia de novas atividades ao Banco Central com 90 dias de antecedência, conforme art. 10-F da IN BCB nº 754/2026.
Atualização cadastral periódica no Unicad.
Testes de segurança recorrentes e revisão de políticas internas.

Para empresas que buscam acelerar esse processo, a Celcoin oferece uma infraestrutura que já incorpora esses requisitos regulatórios.

Como a Celcoin pode ajudar?

A Celcoin oferece infraestrutura full stack para crédito, com APIs modulares que já incorporam requisitos de conformidade. A plataforma possui licenças próprias de IP e SCD, permitindo que empresas não reguladas ofereçam crédito formalizado, incluindo emissão de CCBs, sem precisar de autorização do Banco Central.

Os recursos integrados incluem KYC e AML, prevenção à fraude com monitoramento baseado em IA, suporte a múltiplas modalidades de crédito, como BNPL, consignado público e privado, crédito clean, FGTS e antecipação de recebíveis, além de relatórios de compliance. A plataforma é neutra e não compete com gestoras de fundos nem favorece parceiros específicos.

A tabela abaixo resume as principais funcionalidades da Celcoin e os benefícios diretos para sua operação de crédito:

Funcionalidade da Celcoin	Benefício para sua empresa
APIs modulares	Integrações mais rápidas, com redução de custos e prazos de desenvolvimento.
Experiência e suporte ao desenvolvedor	Documentação, SDKs e sandboxes que reduzem ciclos de integração e custos de engenharia.
Capacidade de lançamento rápido	Módulos pré-construídos e entrega via SaaS aceleram lançamentos e reduzem o tempo para geração de receita.
Distribuição white-label e embutida	Suporte a produtos financeiros com marca própria em diferentes jornadas do cliente.
Escalabilidade com confiabilidade	Solução com alta disponibilidade e escalável na nuvem mantém serviços estáveis em altos volumes e protege a receita.
Cobertura de pagamentos e crédito	Oferta integrada de pagamentos e crédito aumenta conversão, ARPU e fidelização.
Acesso a dados e personalização	Dados e análises via Open Finance permitem ofertas personalizadas e melhoram conversão e retenção.
Compliance como princípio	KYC, AML e relatórios integrados reduzem risco regulatório e aceleram ciclos de vendas.
Prevenção de fraude e controles de risco	Monitoramento baseado em IA e autenticação robusta reduzem estornos, perdas e exposição regulatória.
Ecossistema de parceiros da Celcoin	Parcerias e integrações com bancos, redes e fintechs ampliam cobertura, recursos e velocidade de entrada no mercado.

Fale com um especialista da Celcoin.

Para esclarecer dúvidas comuns, reunimos as perguntas mais frequentes sobre CaaS de crédito e compliance.

FAQ

O que é CaaS de crédito?

CaaS, Credit as a Service, é um modelo em que uma empresa utiliza a infraestrutura tecnológica e a licença de uma instituição regulada para oferecer produtos de crédito aos seus clientes com marca própria, sem precisar obter autorização do Banco Central. A instituição regulada, como uma SCD ou IP, detém a licença e responde pela conformidade regulatória perante o Banco Central. A tomadora distribui o produto e responde contratualmente e perante a LGPD pelo tratamento de dados que realiza.

Quais são os pilares do compliance em CaaS?

Os cinco pilares essenciais de compliance em CaaS são licenciamento e governança, KYC e PLD, adequação à LGPD, reporte ao SCR e segurança cibernética. Esses pilares abrangem o vínculo com instituição autorizada, a identificação do cliente com due diligence baseada em risco, a proteção de dados pessoais, o envio de informações ao SCR pela instituição regulada e a adoção de controles de segurança, como criptografia, autenticação multifator e testes periódicos.

O que mudou com a Resolução Conjunta nº 16/2025 para CaaS?

A norma estabeleceu o marco regulatório do BaaS e do CaaS no Brasil e consolidou a responsabilidade integral da instituição regulada perante o Banco Central pelos serviços prestados por terceiros. A resolução também criou a obrigação de registro das tomadoras de serviços no sistema Unicad, prevista no art. 20, inciso I, e implementada pela IN BCB nº 754/2026 com cronograma escalonado até outubro de 2026.

Como fazer KYC em operações de crédito CaaS?

O KYC deve ficar centralizado na instituição regulada, com validação de identidade via API, uso de CPF ou CNPJ, biometria e OCR de documentos, além de due diligence baseada em risco nas modalidades SDD, CDD ou EDD. O tratamento de dados se apoia principalmente no cumprimento de obrigação regulatória, previsto no art. 7º, II, da LGPD. A tokenização do CPF após a validação reduz a exposição do dado bruto, e trilhas de auditoria rastreáveis em toda a rede de distribuição reforçam a governança.

Quem é responsável pelo compliance em CaaS?

A instituição regulada, como SCD ou IP, mantém a responsabilidade final perante o Banco Central por toda a operação, inclusive pelos serviços prestados pela tomadora. A tomadora responde pelas obrigações definidas no contrato de CaaS e pelo tratamento de dados pessoais que realiza em nome próprio, perante a LGPD e a ANPD. A matriz RACI ajuda a formalizar essa divisão de responsabilidades e a reduzir lacunas de governança.

Como a Celcoin ajuda na conformidade regulatória?

A Celcoin fornece infraestrutura tecnológica com licenças próprias de IP e SCD, o que permite que empresas ofereçam crédito formalizado desde o primeiro dia, sem autorização própria do Banco Central. A plataforma integra KYC e AML, prevenção à fraude com monitoramento baseado em IA, relatórios de compliance e suporte a múltiplas modalidades de crédito. Essa estrutura reduz risco regulatório e custo de desenvolvimento interno, liberando a empresa para focar no produto e na experiência do cliente.

Conclusão

A Resolução Conjunta nº 16/2025 e a IN BCB nº 754/2026 elevaram o padrão de compliance para CaaS de crédito no Brasil. O cronograma escalonado de registro no Unicad impõe prazos concretos em 2026 e exige planejamento antecipado. Empresas que estruturarem os cinco pilares de compliance com apoio de ferramentas como matriz RACI e checklists de go/no-go tendem a operar com mais segurança jurídica e competitividade.

Comece a estruturar sua operação de crédito com a Celcoin.

Saiba mais

The best service for growth Infratech financeira para potencializar negócios

Oferecemos uma infraestrutura completa e pioneira para conectar empresas de todos os segmentos a oportunidades do mercado financeiro, com soluções incorporadas às necessidades de seus clientes.

Contratar