Requisitos de compliance para crédito as a service no Brasil

Última atualização: 26 de julho de 2026

Principais lições deste artigo

• A Resolução Conjunta nº 16/2025 estabelece que a responsabilidade regulatória primária em arranjos BaaS/CaaS recai sobre a instituição financeira autorizada pelo BCB, não sobre a empresa distribuidora.

• SCDs e SEPs são as licenças específicas para fintechs de crédito no Brasil, criadas pela Resolução CMN nº 4.656/2018, com requisitos proporcionais em relação a uma licença bancária plena.

• Os 10 pilares operacionais de compliance, de KYC/KYB a Open Finance, devem ser mapeados e atribuídos contratualmente entre instituição financeira, plataforma CaaS e distribuidora.

• Erros comuns incluem ausência de trilha de auditoria imutável, confusão sobre quem responde pelo PLD/FT e falta de identificação clara da instituição prestadora nos canais ao cliente.

• A Celcoin oferece infraestrutura full stack com licença IP e SCD próprias, absorvendo grande parte da carga regulatória para que sua empresa foque em produto e crescimento.

Conceitos fundamentais

Crédito as a service é o modelo em que uma empresa não financeira ou uma fintech sem licença própria oferece produtos de crédito aos seus clientes utilizando a infraestrutura regulatória e tecnológica de uma instituição financeira autorizada. Os principais agentes envolvidos são:

• Instituição financeira (prestadora): entidade autorizada pelo BCB, como uma SCD, SEP ou banco, que detém a licença e responde regulatoriamente pela operação.

• Plataforma CaaS: provedor de infraestrutura tecnológica que conecta a instituição financeira à distribuidora e operacionaliza a jornada de crédito por meio de APIs.

• Distribuidora (tomadora): empresa, como um varejista, ERP, fintech ou originador, que oferece o produto de crédito ao cliente final sob sua marca.

• Correspondente bancário: pessoa jurídica contratada pela instituição financeira para prestar serviços em seu nome, permanecendo a contratante integralmente responsável pelos serviços prestados ao usuário final.

Open Finance permite o compartilhamento consentido de dados financeiros entre instituições para personalização de ofertas. O SCR (Sistema de Informações de Crédito) é o repositório do BCB que consolida informações sobre operações de crédito de pessoas físicas e jurídicas e deve ser consultado e alimentado pelas instituições autorizadas.

A SCD opera exclusivamente com capital próprio e não pode captar recursos do público via depósitos, enquanto a SEP funciona como plataforma eletrônica intermediária em modelo peer-to-peer, sem utilizar capital próprio para emprestar.

Como o compliance funciona na prática ao longo da jornada de crédito

Independentemente do tipo de licença escolhido, as obrigações regulatórias acompanham cada etapa da jornada de crédito:

1. Originação: realização de KYC/KYB do tomador, consulta ao SCR, análise de score, verificação de PEP e sanções, e aplicação de política de crédito documentada. O processo de KYC no Brasil compreende identificação, verificação e avaliação de risco, e deve ser executado pela instituição financeira ou sob sua supervisão direta.

2. Formalização: emissão de instrumento de crédito válido, como a CCB (Cédula de Crédito Bancário), registro em sistemas competentes e garantia de que o cliente final identifica claramente a instituição financeira responsável pela operação.

3. Gestão da carteira: monitoramento contínuo de risco, atualização de cadastro conforme mudança de perfil, reporte ao SCR e manutenção de trilha de auditoria imutável conforme as normas do BCB.

4. Cobrança: adoção de procedimentos documentados, conformidade com o Código de Defesa do Consumidor e rastreabilidade de todas as interações com o devedor.

Ecossistema regulatório atual

O marco regulatório para CaaS no Brasil é composto por camadas complementares:

• Resolução CMN nº 4.656/2018: cria SCD e SEP, exige plano de negócios trienal, políticas de PLD/FT, KYC e cibersegurança, e submete as entidades à supervisão contínua do BCB com envio de relatórios mensais (Documento 2060) e demonstrações financeiras anuais auditadas.

• Circular BCB nº 3.978/2020: exige política formal de PLD/FT aprovada pela alta administração e abordagem baseada em risco, incluindo classificação de risco do cliente, monitoramento contínuo de transações e atualização periódica de cadastros.

• Resolução Conjunta nº 16/2025 (originada do Edital de Consulta Pública nº 108/2024): datada de 28 de novembro de 2025 e publicada no DOU em 1º de dezembro de 2025, estabelece o primeiro marco específico para BaaS no Brasil, com regras de contratação, due diligence, monitoramento contínuo, responsabilidades e cláusulas contratuais obrigatórias. Contratos já vigentes devem ser adaptados até 31 de dezembro de 2026.

• Resolução CMN nº 4.935/2021: regula correspondentes bancários e mantém a instituição contratante como integralmente responsável pelos serviços prestados.

• LGPD (Lei nº 13.709/2018): impõe obrigações de consentimento, base legal para tratamento de dados e direitos dos titulares, incluindo o direito de revisão de decisões automatizadas previsto no artigo 20.

Essas normas se traduzem em dez pilares operacionais que toda empresa em um arranjo CaaS deve mapear e atribuir contratualmente.

Critérios de análise e boas práticas: 10 pilares operacionais

1. KYC/KYB: registros de KYC devem ser retidos por período determinado conforme a regulamentação. Para pessoas jurídicas, é obrigatória a identificação de beneficiários finais conforme critérios definidos na regulamentação.

2. PLD/FT: suspeitas devem ser reportadas ao COAF dentro dos prazos regulatórios. Desde a Lei nº 13.810/2019, a triagem contra a lista consolidada da ONU deve considerar as atualizações das listas.

3. LGPD e consentimento: a base legal para tratamento de dados em operações de crédito deve constar no framework de privacidade da instituição. O consentimento para uso de dados via Open Finance exige fluxo específico, granular e auditável.

4. Análise de crédito e SCR: a instituição financeira deve consultar o SCR antes de cada concessão para verificar o endividamento total do tomador. Todas as operações acima do limite regulatório devem ser reportadas ao SCR dentro do prazo estabelecido. A política de crédito deve documentar critérios de elegibilidade, modelos de scoring e alçadas de aprovação, mantendo trilha auditável de cada decisão.

5. Governança: a Resolução Conjunta nº 16/2025 exige que a instituição prestadora mantenha governança corporativa robusta, controles internos e gestão de riscos adequados aos serviços prestados.

6. Terceirização: contratos com fornecedores críticos devem incluir direitos de auditoria, prazos de notificação de incidentes, estratégia de saída documentada e restrições a subcontratação sem aprovação prévia.

7. Trilha de auditoria: sistemas de decisão de crédito devem manter trilhas imutáveis e append-only, registrando inputs da solicitação, fontes de enriquecimento de dados, versão da política aplicada, output da decisão e metadados com timestamp.

8. Prevenção a fraudes: monitoramento baseado em IA, autenticação robusta e controles de acesso baseados em papéis, com segregação de funções entre quem cria, aprova e publica políticas de crédito.

9. Relatórios regulatórios: envio mensal do Documento 2060 ao BCB, demonstrações financeiras anuais auditadas e reporte de transações suspeitas ao COAF via Siscoaf.

10. Open Finance: participação como iniciadora de pagamentos ou compartilhadora de dados exige conformidade com as normas do BCB sobre consentimento, segurança e interoperabilidade.

Transforme seu negócio com a infraestrutura de crédito completa da Celcoin.

Matriz de responsabilidades

A divisão de responsabilidades em um arranjo CaaS deve ser formalizada em contrato, conforme exige o artigo 8º da Resolução Conjunta nº 16/2025. A tabela abaixo mostra que a responsabilidade regulatória primária permanece sempre com a instituição financeira, enquanto a plataforma CaaS executa a operação e a distribuidora coleta dados sem assumir responsabilidade regulatória direta.

Obrigação	Instituição financeira (prestadora)	Plataforma CaaS	Distribuidora (tomadora)
Licença BCB	Responsável direta	Pode deter licença própria	Não obrigatória
KYC/KYB e PLD/FT	Responsabilidade primária e inegável	Executa operacionalmente via APIs	Coleta dados, não substitui a instituição
Emissão de CCB	Responsável legal	Infraestrutura de emissão digital	Não emite
Reporte ao SCR e COAF	Responsável direto	Suporte técnico ao reporte	Não reporta diretamente
Identificação ao cliente final	Deve ser identificada em todos os canais	Garante visibilidade técnica	Não pode ocultar a instituição
Trilha de auditoria	Responsável pela integridade	Mantém logs imutáveis	Deve preservar registros de interação
Gestão de risco de terceiros	Due diligence contínua sobre a plataforma	Sujeita à supervisão da instituição	Sujeita à supervisão da instituição

A entidade tomadora pode contratar serviços BaaS de uma única instituição prestadora, que permanece como único responsável perante o Banco Central pelas obrigações regulatórias.

Erros comuns e pontos de atenção

Operações CaaS no Brasil apresentam padrões recorrentes de falhas de compliance que podem ser evitados com planejamento.

• Confusão sobre quem responde pelo PLD/FT: distribuidoras frequentemente assumem que, ao coletar dados no onboarding, cumpriram sua obrigação de KYC. Essa interpretação é incorreta porque a coleta de dados é apenas um passo operacional. A responsabilidade regulatória de validar, monitorar e reportar permanece integralmente com a instituição financeira. A Resolução Conjunta nº 16/2025 reforça que a responsabilidade primária permanece com a instituição autorizada, independentemente de quem executa a coleta.

• Ausência de trilha de auditoria imutável: sistemas que permitem alteração retroativa de registros de decisão de crédito violam exigências do BCB e enfraquecem a defesa em processos administrativos.

• Modelos white-label puros incompatíveis com a nova regulação: a Resolução Conjunta nº 16/2025 exige que a instituição prestadora seja claramente identificada em contratos, canais de comunicação e instrumentos de pagamento, o que torna modelos de marca exclusiva da distribuidora incompatíveis com as novas exigências.

• Contratos desatualizados: acordos firmados antes da publicação da Resolução Conjunta nº 16/2025 precisam ser adaptados até 31 de dezembro de 2026 para incluir cláusulas obrigatórias sobre funções, critérios de segurança, responsabilidades e compartilhamento de dados.

• Gestão inadequada de fornecedores críticos: a LGPD exige que controladores de dados implementem gestão de fornecedores e mantenham evidências documentadas do monitoramento de ambientes em que dados pessoais são tratados por suboperadores.

Variações por perfil de empresa

Os requisitos de compliance se aplicam de forma diferente conforme o perfil da empresa e o papel assumido no arranjo CaaS.

• Fintechs sem licença própria: devem operar via BaaS ou correspondente bancário. O processo de autorização de SCD ou SEP leva de 6 a 18 meses e envolve custos totais entre R$ 500 mil e R$ 3 milhões. Enquanto não obtêm a licença, dependem integralmente da infraestrutura regulatória da instituição parceira.

• Varejistas e ERPs: atuam como distribuidoras e não precisam de licença própria, mas devem garantir que seus contratos com a instituição financeira reflitam as exigências da Resolução Conjunta nº 16/2025, incluindo identificação da prestadora ao cliente final.

• Originadores: podem estruturar cessão de carteiras via FIDCs, sendo permitido às SCDs adquirir até 5% de cotas subordinadas nesses fundos. Precisam de rastreabilidade completa dos recebíveis e documentação padronizada.

• Gestoras de fundos: exigem plataforma neutra, sem conflito de interesses, com infraestrutura para aquisição, gestão e formalização de ativos de crédito. Os critérios de elegibilidade de FIDCs devem ser documentados, auditáveis e aplicados de forma consistente em processos automatizados.

Como a Celcoin absorve parte da carga de compliance

A Celcoin detém licenças de Instituição de Pagamento (IP) e Sociedade de Crédito Direto (SCD), além de atuar como participante direta no Pix e como iniciadora de pagamentos no Open Finance. Essa estrutura permite que empresas parceiras operem crédito as a service utilizando a infraestrutura regulatória da Celcoin, sem precisar obter licença própria ou construir internamente os sistemas de compliance exigidos pelo BCB.

A solução de crédito da Celcoin cobre toda a jornada, da originação à cobrança, com KYC, PLD/FT, emissão digital de CCB, gestão de carteira e integração com gestoras de fundos, em conformidade com a Resolução CMN nº 4.656/2018, a Circular BCB nº 3.978/2020 e a Resolução Conjunta nº 16/2025. Conheça como a Celcoin simplifica compliance para sua operação de crédito.

A tabela abaixo detalha como cada funcionalidade da Celcoin se traduz em benefícios operacionais e financeiros concretos para sua empresa.

Funcionalidade da Celcoin	Benefício para sua empresa
APIs modulares	Integrações mais rápidas, com redução de custos e prazos de desenvolvimento.
Experiência e suporte ao desenvolvedor	Documentação, SDKs e sandboxes que reduzem ciclos de integração e custos de engenharia.
Capacidade de lançamento rápido	Módulos pré-construídos e entrega via SaaS aceleram lançamentos e melhoram o tempo para geração de receita.
Distribuição white-label e embutida (embedded)	Suporte a produtos financeiros com marca própria, respeitando a identificação da instituição prestadora.
Escalabilidade com confiabilidade	Solução com alta disponibilidade e escalável na nuvem mantém serviços funcionando em altos volumes e protege a receita.
Cobertura de diversas possibilidades de pagamentos, incluindo crédito	Oferta combinada de pagamentos e crédito aumenta conversão, ARPU e fidelização.
Acesso a dados e personalização	Dados e análises via Open Finance permitem ofertas personalizadas e melhoram conversão e retenção.
Compliance e conformidade como princípio	KYC, PLD/FT e relatórios integrados reduzem risco regulatório e aceleram ciclos de vendas.
Prevenção de fraude e controles de risco	Monitoramento baseado em IA e autenticação robusta reduzem estornos, perdas e exposição regulatória.
Força do ecossistema de parceiros da Celcoin	Parcerias e integrações com bancos, redes e fintechs ampliam cobertura, recursos e velocidade de entrada no mercado.

Perguntas frequentes

Uma empresa sem licença do BCB pode oferecer crédito aos seus clientes?

Uma empresa sem licença do BCB pode oferecer crédito desde que opere por meio de uma estrutura BaaS ou de correspondente bancário com uma instituição financeira autorizada pelo BCB. Nesse modelo, a empresa distribuidora não precisa de licença própria, mas deve formalizar contrato com a instituição prestadora que contemple as exigências da Resolução Conjunta nº 16/2025, incluindo cláusulas sobre responsabilidades, segurança, compartilhamento de dados e identificação da instituição ao cliente final. A responsabilidade regulatória primária permanece com a instituição financeira licenciada.

O que muda com a Resolução Conjunta nº 16/2025 para quem já opera CaaS?

A resolução, publicada em dezembro de 2025, estabelece pela primeira vez um marco regulatório específico para BaaS no Brasil. As principais mudanças incluem a obrigatoriedade de identificação da instituição prestadora em todos os canais ao cliente final, o que torna modelos white-label puros incompatíveis com a norma, a exigência de cláusulas contratuais detalhadas entre prestadora e tomadora e a imposição de processos formais de gestão de risco, auditoria e reporte periódico. Contratos já vigentes devem ser adaptados até 31 de dezembro de 2026.

Quais são as sanções por descumprimento das normas de compliance em CaaS?

O descumprimento da Resolução Conjunta nº 16/2025 sujeita tanto a instituição prestadora quanto a empresa distribuidora a sanções administrativas pelo BCB, que podem incluir multas, suspensão de atividades e, em casos graves, cassação da autorização para operar.