Resoluções do Bacen sobre iniciador de pagamentos no Brasil

Última atualização: 15 de agosto de 2026

Principais lições deste artigo

• O Open Finance brasileiro evoluiu para um ecossistema transacional completo, com a iniciação de pagamentos (ITP) impulsionando o crescimento de 7,4 milhões para 64,5 milhões de operações entre 2024 e 2025.

• Operar como ITP exige obter autorização prévia do Bacen, manter capital mínimo calculado conforme as atividades, ter sede física exclusiva e estruturar governança técnica compatível com as Resoluções BCB nº 80/2021 e nº 494/2025.

• A Jornada Sem Redirecionamento (JSR) tornou-se obrigatória em 2026 para contas PF, PJ, desktop e Pix Automático, com regras de limites e experiência do cliente que devem ser implementadas até outubro de 2026.

• Requisitos de cibersegurança da Resolução BCB nº 538/2025 incluem autenticação multifator, isolamento de ambientes, testes de intrusão anuais e assinatura digital XMLDSig em todas as mensagens SPI.

• Empresas sem licença própria podem oferecer iniciação de pagamentos via modelo BaaS com a Celcoin, que fornece infraestrutura completa e conformidade regulatória; veja como funciona o modelo BaaS da Celcoin.

Contexto do Open Finance e pagamentos instantâneos

O Open Finance brasileiro evoluiu a partir da Resolução Conjunta CMN/BC nº 1/2020, de 04/05/2020, que dispõe sobre a implementação do Open Banking, passando de um modelo de compartilhamento de dados para um ecossistema transacional completo. A terceira fase, iniciada em outubro de 2021, introduziu a iniciação de transações de pagamento, transformando o Open Finance em uma infraestrutura ativa de movimentação financeira. Essa mudança criou uma base para crescimento acelerado do volume de operações.

O crescimento do segmento é expressivo: as transações de iniciação de pagamento no Brasil saltaram de 7,4 milhões para 64,5 milhões de operações entre 2024 e 2025, com o valor transacionado passando de R$ 3,2 bilhões para R$ 15,3 bilhões. Para fintechs, varejistas e ERPs, esse volume representa uma oportunidade concreta de monetização, desde que a operação mantenha aderência integral às normas do Bacen. Veja como a Celcoin oferece infraestrutura completa de ITP em conformidade com as normas do Bacen.

O que é Iniciador de Transação de Pagamento (ITP)

O Iniciador de Transação de Pagamento (ITP) é uma instituição autorizada pelo Banco Central do Brasil a iniciar ordens de pagamento em nome do usuário, por meio de APIs padronizadas do Open Finance, sem deter os recursos do cliente, com liquidação realizada via Pix no Sistema de Pagamentos Instantâneos (SPI).

Normas principais

O conjunto de normas abaixo forma um arcabouço que evolui de regras estruturais do Open Finance para exigências específicas de ITP, JSR e cibersegurança. A sequência cronológica mostra como cada norma adiciona novas camadas de requisitos técnicos, operacionais e de segurança.

Norma	Data	Objeto principal	Observações até 2026
Resolução Conjunta CMN/BC nº 1/2020	04/05/2020	Dispõe sobre a implementação do Open Banking	Base normativa do ecossistema, fase 3 ativou o ITP em out/2021
Resolução BCB nº 32/2020	29/10/2020	Regulamenta o Open Banking	Define requisitos técnicos e operacionais para o Open Banking
Resolução BCB nº 80/2021	25/03/2021	Autorização e requisitos operacionais do ITP	Alterada pela Resolução BCB nº 494/2025, exige autorização prévia do Bacen para toda IP
Resolução BCB nº 406/2024	02/08/2024	Iniciação de pagamento sem redirecionamento	Base normativa da Jornada Sem Redirecionamento (JSR)
Resoluções BCB de 2025	2025	Obrigatoriedade da JSR e Pix Automático	JSR obrigatória para instituições detentoras de conta Pix em 2026, Pix Automático e PJ em 2026
Resolução BCB nº 538/2025	2025	Cibersegurança para IPs e IFs	Vigente desde março/2026, exige autenticação multifator, isolamento de ambientes e testes de intrusão anuais

O que mudou em 2024–2026

Atualizações regulatórias tornaram a Jornada Sem Redirecionamento (JSR) obrigatória para instituições detentoras de conta Pix a partir de 2026. Na JSR, a autenticação ocorre por meio de credenciais criadas no próprio dispositivo do pagador, o que permite concluir todo o processo de iniciação dentro do ambiente do ITP, sem troca de aplicativo ou saída da tela de compra.

Em 2026, a obrigatoriedade passou a abranger contas PJ, ambientes desktop e o Pix Automático. Em julho de 2026, a Instrução Normativa BCB nº 760 atualizou o Manual de Experiência do Cliente no Open Finance, integrando jornadas de compartilhamento de dados e iniciação de pagamento. Disposições da versão 9.0 do Manual de Experiência do Cliente tornaram-se obrigatórias a partir de julho de 2026, com regras específicas sobre limites de transação para pagamentos sem redirecionamento a serem implementadas até 1º de outubro de 2026.

Requisitos para autorização como ITP

O processo de autorização segue o rito padrão do Bacen para Instituições de Pagamento. A Resolução BCB nº 494/2025 alterou o artigo 9 da Resolução BCB nº 80/2021 para exigir autorização prévia do Bacen para toda IP que preste qualquer serviço de pagamento, incluindo iniciação. O checklist a seguir consolida sete passos que precisam avançar em paralelo ao longo do período de análise, estimado entre 12 e 24 meses.

1. Capital mínimo: a Resolução Conjunta CMN/BCB nº 14/2025 substituiu o critério de capital mínimo baseado no tipo de instituição por uma metodologia apurada conforme as atividades exercidas pela instituição, calculada com base em custos operacionais, intensidade tecnológica e riscos do modelo de negócio. Novos requerentes devem cumprir imediatamente, sem período de transição.

2. Governança e sede: a Resolução BCB nº 495/2025 exige sede física em endereço de uso efetivo e exclusivo, salvo quando as instituições compartilhantes pertencem ao mesmo conglomerado. Essa exigência busca garantir supervisão efetiva e responsabilidade operacional clara.

3. Qualificação dos administradores: a Resolução BCB nº 495/2025 exige que os administradores demonstrem qualificação técnica compatível com suas funções, verificável pelo Bacen por meio de certificação especializada ou avaliação direta.

4. Tecnologia e APIs: certificação Open Finance com APIs padronizadas e interoperabilidade, autenticação forte de usuário compatível com FAPI e infraestrutura de alta disponibilidade compõem a base tecnológica mínima.

5. Consentimento e LGPD: sistema de gestão de consentimento alinhado às regras do Open Finance e à Lei nº 13.709/2018 (LGPD), com escopo definido, rastreabilidade completa e revogabilidade a qualquer momento pelo titular.

6. Cibersegurança: aderência às Resoluções CMN nº 5.274/2025 e BCB nº 538/2025, além de padrões PCI-DSS, criptografia ponta a ponta e registros auditáveis de consentimento.

7. Documentação e PLD-FT: programa formal de prevenção à lavagem de dinheiro e financiamento ao terrorismo conforme a Circular Bacen nº 3.978/2020, com política de prevenção, avaliação interna de risco, KYC, monitoramento contínuo e reporte ao COAF.

O prazo médio de análise para instituições bem documentadas gira em torno de 12 a 24 meses. Atrasos costumam ocorrer por insuficiência de comprovação de capacidade econômico-financeira dos controladores ou por documentação incompleta.

Regras de consentimento e segurança no Open Finance

O consentimento para iniciação de pagamento deve ser livre, específico e informado, registrado com escopo definido e revogável a qualquer momento pelo titular da conta por meio do aplicativo da instituição detentora. O ITP não detém recursos do cliente, sua função é emitir a ordem de pagamento via APIs padronizadas do Open Finance. Essa arquitetura sem custódia exige controles de segurança rigorosos para proteger a integridade das ordens de pagamento e a autenticidade do consentimento.

A Resolução BCB nº 538/2025 estabelece controles técnicos específicos além dos requisitos gerais de cibersegurança. Todas as conexões às APIs para Pix devem usar HTTP 1.1 sobre TLS 1.2 ou superior com autenticação mútua obrigatória, e todas as mensagens transmitidas via SPI devem ser assinadas digitalmente pelo remetente usando o padrão XMLDSig (RSA-SHA256). Testes de intrusão independentes devem ser realizados anualmente, com relatórios retidos por cinco anos.

Conheça a infraestrutura da Celcoin com cibersegurança nativa e conformidade contínua com a Resolução BCB nº 538/2025.

Iniciação via Pix e Pix Automático

A liquidação das transações iniciadas pelo ITP ocorre via Pix no SPI do Banco Central. A subseção 4.1.3 do Manual de Experiência do Cliente atualizado detalha os tipos de jornada permitidos para pagamentos sucessivos sem redirecionamento, abrangendo Pix imediato ou agendado, agendamentos recorrentes e Pix Automático. Essas jornadas definem como o usuário autoriza, revisa e acompanha pagamentos iniciados por terceiros.

O Pix Automático, modalidade que permite débitos recorrentes autorizados previamente pelo usuário, teve sua obrigatoriedade para a JSR estendida em abril de 2026. O prazo de outubro de 2026 mencionado anteriormente exige atualizações concretas nos campos de interface e na lógica de validação dos sistemas, os sistemas precisam validar limites em tempo real antes de submeter a ordem de pagamento.

Caminho regulatório: BaaS ou licença própria

Empresas que desejam oferecer iniciação de pagamentos têm dois caminhos principais. O primeiro é operar sob a licença de um provedor de infraestrutura já autorizado pelo Bacen, no modelo Banking as a Service, em que PSPs não precisam obter licença de ITP para embutir iniciação de pagamento nos produtos de seus clientes, desde que acessem a capacidade por meio de provedores de infraestrutura que já detenham a licença Open Finance e a integração técnica. O segundo caminho é obter licença própria junto ao Bacen, assumindo diretamente todas as obrigações regulatórias descritas nas seções anteriores.

A Celcoin opera com portfólio completo de licenças, incluindo a de Iniciadora de Pagamentos no Open Finance, e oferece infraestrutura full-stack que cobre ambos os caminhos. Empresas sem licença própria operam sob a licença da Celcoin via BaaS, enquanto empresas já licenciadas integram suas licenças ao Core Banking da Celcoin, mantendo a mesma base tecnológica, segurança e suporte regulatório. A tabela abaixo mostra como cada componente da infraestrutura da Celcoin se converte em benefícios operacionais e financeiros para sua empresa.

Funcionalidade da Celcoin	Benefício para sua empresa
APIs modulares	Integrações mais rápidas, com redução de custos e prazos de desenvolvimento.
Experiência e suporte ao desenvolvedor	Documentação, SDKs e sandboxes que reduzem ciclos de integração e custos de engenharia.
Capacidade de lançamento rápido	Módulos pré-construídos e entrega via SaaS aceleram lançamentos, melhorando o tempo para geração de receita e competitividade.
Distribuição white-label e embutida (embedded)	Suporte a produtos financeiros com marca própria.
Escalabilidade com confiabilidade	Solução com alta disponibilidade e escalável na nuvem mantém serviços funcionando mesmo com altos volumes, protegendo sua receita.
Cobertura de diversas possibilidades de pagamentos, incluindo crédito	Oferecer pagamentos e emissão de crédito aumenta conversão, ARPU e fidelização.
Acesso a dados e personalização	Dados e análises via Open Finance permitem ofertas personalizadas, com impacto direto em conversão e retenção.
Compliance e conformidade como princípio	KYC, AML e relatórios integrados reduzem risco regulatório e aceleram ciclos de vendas.
Prevenção de fraude e controles de risco	Monitoramento baseado em IA e autenticação robusta reduzem estornos, perdas e exposição regulatória.
Força do ecossistema de parceiros da Celcoin	Parcerias e integrações com bancos, redes e fintechs ampliam cobertura, recursos e velocidade de entrada no mercado.

Boas práticas e critérios de avaliação

Instituições que buscam operar como ITP com solidez regulatória precisam traduzir os requisitos normativos em práticas técnicas concretas. As práticas a seguir se conectam diretamente às exigências de agilidade normativa, gestão de consentimento, cibersegurança e PLD-FT discutidas ao longo do artigo.

• Arquitetura baseada em microsserviços, para facilitar atualizações normativas sem impacto em toda a stack, o que é crítico diante do ritmo de mudanças entre 2024 e 2026.

• Gestão de consentimento com logs imutáveis e interface de revogação acessível ao usuário final, atendendo simultaneamente às regras do Open Finance e à LGPD.

• Programa de gestão de vulnerabilidades contínuo, com ciclos de patch documentados, para manter a aderência permanente à Resolução BCB nº 538/2025.

• Governança de dados alinhada à LGPD, com avaliações de impacto (DPIA) para novos produtos, reduzindo risco de sanções e incidentes de privacidade.

• Monitoramento transacional em tempo real, para detecção de anomalias e cumprimento das obrigações PLD-FT, conectando prevenção de fraude e prevenção à lavagem de dinheiro.

Erros comuns e pontos de atenção

Os principais riscos de não conformidade identificados no ecossistema concentram-se em falhas de escopo regulatório, estrutura física, implementação técnica e efetividade de controles. Cada ponto abaixo representa uma fonte potencial de sanções, restrições operacionais ou danos reputacionais.

• Solicitar autorização para apenas uma modalidade de serviço de pagamento e operar outras sem aditamento, conduta vedada pela Resolução BCB nº 494/2025 e que pode resultar em penalidades severas.

• Utilizar espaços de coworking ou escritórios virtuais como sede, em desacordo com a Resolução BCB nº 495/2025, o que compromete a supervisão do Bacen.

• Implementar a JSR sem atualizar os campos de interface e a lógica de validação de limites até o prazo de outubro de 2026, criando risco de descumprimento das regras de experiência do cliente.

• Manter programa PLD-FT apenas formal, sem demonstrar efetividade dos controles, ponto de atenção reforçado pelo Bacen em 2024–2025 e que pode levar a ações de supervisão mais intensas.

• Negligenciar a cadeia de fornecedores tecnológicos, já que ataques a provedores de conectividade com o Bacen podem gerar perdas significativas e responsabilidade regulatória para a IP contratante.

Perguntas frequentes

O que diferencia o ITP de outras modalidades de Instituição de Pagamento?

O ITP é a única modalidade de IP que não detém recursos de clientes em nenhum momento. Sua função é exclusivamente emitir ordens de pagamento via APIs padronizadas do Open Finance, com liquidação realizada pelo Pix no SPI do Banco Central. Esse modelo reduz o escopo de capital regulatório exigido em comparação com emissores de moeda eletrônica ou credenciadoras, mas mantém integrais as obrigações de autorização, cibersegurança, consentimento e PLD-FT.

Empresas sem licença própria podem oferecer iniciação de pagamento?

PSPs e empresas não reguladas podem oferecer iniciação de pagamento em seus produtos ao acessar essa capacidade por meio de um provedor de infraestrutura que já detenha a licença de ITP e a integração técnica com o Open Finance. Esse é o modelo Banking as a Service, em que a empresa opera sob a licença do provedor, sem precisar construir estrutura regulatória própria. A Celcoin atua como participante direta no Pix e Iniciadora de Pagamentos no Open Finance, habilitando esse modelo para fintechs, varejistas e ERPs.

Quais são os principais prazos regulatórios para 2026?

Os prazos mais relevantes em 2026 incluem a obrigatoriedade da Jornada Sem Redirecionamento (JSR) para contas PF, a extensão da JSR a contas PJ, ambientes desktop e ao Pix Automático, a aplicação da versão 9.0 do Manual de Experiência do Cliente e a implementação das regras de limites por transação em pagamentos sem redirecionamento até outubro de 2026.

Quais são as exigências de cibersegurança específicas para o ITP?

A Resolução BCB nº 538/2025, vigente desde março de 2026, exige autenticação multifator para acessos administrativos aos ambientes Pix, STR e RSFN, isolamento físico e lógico desses ambientes, controles rígidos sobre certificados digitais e chaves criptográficas, testes de intrusão independentes anuais com relatórios retidos por cinco anos e gestão contínua de vulnerabilidades. Conexões às APIs para Pix devem usar TLS 1.2 ou superior com autenticação mútua, e todas as mensagens no SPI devem ser assinadas digitalmente com XMLDSig (RSA-SHA256).

Como a nova metodologia de capital mínimo afeta novos requerentes de licença ITP?

Como mencionado nos requisitos de autorização, a nova metodologia de capital mínimo não oferece período de transição para novos requerentes. Isso torna o planejamento financeiro pré-autorização mais complexo, pois o capital exigido varia conforme o escopo de serviços pretendidos, o que exige modelar o capital necessário antes de protocolar o pedido.

Conclusão

O arcabouço regulatório para Iniciadores de Transação de Pagamento no Brasil é dinâmico e abrangente. As bases estabelecidas pela Resolução Conjunta CMN/BC nº 1/2020 e pela Resolução BCB nº 80/2021, somadas às atualizações de 2024–2026, incluindo a Resolução BCB nº 406/2024 e normas sobre Jornada Sem Redirecionamento e experiência do cliente, adicionam camadas sucessivas de exigência técnica, operacional e de governança. Operar ou escalar nesse segmento sem infraestrutura robusta aumenta de forma relevante o risco regulatório e operacional.

A Celcoin oferece infraestrutura full-stack que cobre toda a jornada regulatória e tecnológica do ITP, da operação sob licença própria da Celcoin via BaaS até a integração de licenças próprias ao Core Banking, com conformidade contínua, APIs modulares e suporte especializado. A Celcoin não oferece nenhum tipo de empréstimo para consumidores. A Celcoin fornece a infraestrutura tecnológica para que empresas consigam ofertar produtos de crédito aos seus clientes. Fale com nosso time e descubra como acelerar seu lançamento no mercado de ITP.