Core Banking próprio: segurança e conformidade regulatória

Última atualização: 18 de julho de 2026

Principais lições deste artigo

• As Resoluções Conjuntas CMN/BCB nº 14/2025 e nº 16/2025 reforçam a necessidade de segurança por design e de responsabilidade integral do detentor da licença desde o início do projeto.

• Mapear capital mínimo (R$ 9,2 milhões para IP), governança, conectividade com SPB/RSFN/Pix e conformidade com a LGPD é obrigatório antes de iniciar o desenvolvimento técnico.

• Adotar arquitetura Zero Trust com HSM, MFA, criptografia AES-256, segmentação de rede e logs imutáveis é requisito inegociável para proteger dados e atender às exigências do Banco Central.

• Automatizar relatórios COSIF, CCS e CADOC, com controles de KYC/AML e Open Finance integrados, reduz o tempo de preparação de semanas para horas e diminui o risco de multas.

• Para implementar ou migrar para Core Banking próprio com segurança e conformidade, conte com a infraestrutura completa da Celcoin: conheça a plataforma que acompanha sua jornada do Banking as a Service ao Core Banking próprio.

Essas lições se desdobram em quatro fases técnicas e três camadas de controle. Antes de iniciar qualquer desenvolvimento, é essencial mapear os pré-requisitos regulatórios e operacionais que sustentam toda a implementação.

1. Visão geral: pré-requisitos, envolvidos e dependências

O mapeamento de pré-requisitos regulatórios e operacionais orienta o escopo do projeto e reduz retrabalho. Os principais pontos são:

• Capital mínimo: para Instituição de Pagamento (IP), o piso mínimo de capital social integralizado é de R$ 9,2 milhões, conforme normas publicadas em novembro de 2025. O Banco Central implementará os novos limites mínimos de forma gradual a partir de julho de 2026, com impacto pleno em janeiro de 2028.

• Governança: uma estrutura de compliance, gestão de riscos e controles operacionais documentados deve seguir a Resolução Conjunta nº 16/2025.

• Conectividade: a integração com SPB (Sistema de Pagamentos Brasileiro), RSFN (Rede do Sistema Financeiro Nacional) e Pix exige certificados ICP-Brasil válidos e gestão ativa desses certificados.

• LGPD/ANPD: a implementação de DPIA para tratamentos de alto risco e mecanismos de exercício de direitos dos titulares é obrigatória, sob pena de multas de até 2% da receita, limitadas a R$ 50 milhões por infração.

• Sede física: a Resolução BCB nº 495/2025 define requisitos para a sede das IPs em processo de autorização.

• Fornecedores críticos de TI (PSTIs): os fornecedores devem atender a requisitos de capital, governança e conformidade, conforme as Resoluções BCB nº 498/2025 e nº 547/2026.

2. Fase 1: arquitetura de segurança e controles Zero Trust

Construir uma arquitetura que não presume confiança implícita em nenhum componente interno ou externo reduz a superfície de ataque e facilita auditorias. Os controles essenciais desta fase são:

• HSM (Hardware Security Module): gerenciar o ciclo de vida de chaves criptográficas, realizar assinaturas digitais ICP-Brasil para autenticação no SPI e STR e atender à certificação FIPS 140-2 exigida pelo Banco Central.

• MFA e acesso com privilégio mínimo: aplicar autenticação multifator obrigatória em todos os ambientes, com sessões com tempo limitado e revisões periódicas de permissões, em linha com o artigo 46 da LGPD.

• Criptografia AES-256: cifrar dados sensíveis em repouso, como CPF, dados de cartão e senhas, com AES-256 ou equivalente. Armazenar chaves em gerenciador de segredos e rotacioná-las pelo menos a cada dois anos, seguindo recomendações baseadas no NIST SP 800-57.

• Segmentação de rede: isolar ambientes que processam dados pessoais dos demais sistemas, com firewalls avançados e mitigação de DDoS.

• Logs imutáveis: registrar todos os acessos a dados pessoais com retenção compatível com a LGPD. Manter logs de transações e compliance por pelo menos 5 anos, conforme exigências do Banco Central.

3. Fase 2: integração com Pix, SPB e RSFN

Organizar a sequência de conexão com as infraestruturas de pagamento do Banco Central reduz falhas de homologação e retrabalho. As etapas principais são:

1. Obter e instalar certificados ICP-Brasil para autenticação mútua, mTLS, no SPI e STR.

2. Conectar à RSFN com testes de homologação no ambiente de certificação do Banco Central.

3. Integrar ao DICT (Diretório de Identificadores de Contas Transacionais) para gestão de chaves Pix.

4. Implementar monitoramento contínuo de certificados no SPI e Pix, com alertas automáticos de vencimento, conforme as Resoluções CMN nº 5.274/2025 e BCB nº 538/2025.

5. Configurar reconciliação em tempo real da Conta PI, com rastreabilidade ponta a ponta de cada transação via E2E ID.

6. Implementar limite transacional de R$ 15.000 por operação Pix ou TED para conexões via PSTI não certificados, até regularização completa.

O monitoramento deve cobrir o fluxo completo, dos canais digitais ao core ledger, passando pela mensageria SPI/ISO 20022, uso de HSM com ICP-Brasil, comportamento na RSFN e reconciliação da Conta PI em tempo real.

4. Fase 3: automação de relatórios COSIF, CCS e CADOC

Automatizar relatórios regulatórios reduz esforço manual e risco de inconsistências. O ambiente regulatório de 2026 trouxe mudanças relevantes:

• A Instrução Normativa BCB nº 737/2026 exige maior granularidade contábil no COSIF, com novos identificadores de valor justo e nova estrutura do grupo 8.1.7.62, impactando os CADOCs 4010, 4016, 4040 e 4046.

• A Instrução Normativa BCB nº 726/2026 altera a IN 385/2023 e ajusta os layouts de diversas tabelas.

• A Instrução Normativa BCB nº 762/2026 altera as Instruções Normativas BCB ns. 428 e 430, que definem as rubricas contábeis dos grupos Compensação Ativa e Patrimônio Líquido do COSIF.

• O CADOC C214 passou a ser usado para reporte mensal de contas de depósito em moeda estrangeira, com envio via STA em XML a partir de outubro de 2026.

A automação deve gerar XMLs validados antes do envio, com reconciliação cruzada entre OR2 e OR3, Pilar 3, e eliminação de deduções manuais obsoletas. Plataformas de RegTech integradas reduzem o tempo de preparação de relatórios de semanas para horas.

5. Fase 4: controles de KYC/AML, LGPD e Open Finance

Unificar controles de KYC, AML, privacidade e Open Finance em uma mesma arquitetura aumenta eficiência e consistência regulatória. Os componentes principais incluem:

• KYC/AML automatizado: realizar onboarding digital com verificação biométrica, validação de listas restritivas e monitoramento contínuo de transações com IA para detecção de padrões suspeitos.

• DPIA: produzir relatórios de impacto obrigatórios para tratamentos de dados sensíveis em larga escala, documentando natureza dos dados, riscos identificados e medidas de mitigação.

• Direitos dos titulares: disponibilizar endpoints automatizados para exportação, correção, anonimização e exclusão de dados, preservando registros fiscais obrigatórios.

• Open Finance: implementar a jornada otimizada, que combina consentimento de pagamento, primário, com consentimento de dados limitado a saldo e limite disponível em um único fluxo, sem necessidade de novas apis.

• Gestão de consentimentos: monitorar consentimentos que podem durar por tempo indeterminado e renovar automaticamente para manter continuidade dos fluxos de dados.

• Notificação de incidentes: manter um plano de resposta que detecta acessos anômalos em horas, contém a violação em até 24 horas e notifica a ANPD em até 3 dias úteis após a confirmação de que o incidente afetou dados pessoais.

6. Erros comuns e boas práticas

Evitar erros recorrentes em projetos de Core Banking próprio reduz atrasos, custos extras e riscos regulatórios. Os cinco pontos a seguir reúnem falhas frequentes e práticas para mitigá-las.

Atenção: os cinco erros mais frequentes em implementações de Core Banking próprio e como evitá-los

1. Erro: iniciar o desenvolvimento sem mapear os requisitos de capital da Resolução Conjunta nº 14/2025. Boa prática: calcular o capital mínimo individualizado antes de qualquer investimento em tecnologia.

2. Erro: operar com contas-bolsão em arranjos de Banking as a Service. Boa prática: garantir identificação individual de cada cliente final até 31 de dezembro de 2026, conforme a Resolução Conjunta nº 16/2025.

3. Erro: adicionar segurança e privacidade como camada posterior ao desenvolvimento. Boa prática: aplicar privacy by design desde a concepção, conforme o artigo 46, parágrafo 2º, da LGPD.

4. Erro: não atualizar os sistemas de geração de CADOC após novas Instruções Normativas. Boa prática: manter um processo de monitoramento regulatório com ciclo de atualização mensal dos layouts XML.

5. Erro: realizar migração em “big bang” sem testes de carga e rehearsals de cutover. Boa prática: adotar o padrão Strangler Fig, migrando módulo a módulo com reconciliação automatizada via Change Data Capture.

7. Critérios de sucesso com indicadores mensuráveis

Medir o sucesso da implementação de Core Banking próprio com indicadores objetivos facilita a gestão e a comunicação com reguladores e investidores. Os critérios a seguir cobrem disponibilidade técnica, conformidade e eficiência operacional.

• Disponibilidade: manter SLA de 99,99% para todos os serviços transacionais críticos.

• Conformidade regulatória: operar com zero multas ou penalidades do Banco Central, ANPD ou Receita Federal.

• Resposta a incidentes: garantir tempo máximo de 4 horas para contenção de incidentes de segurança graves, com notificação à ANPD em até 3 dias úteis após a confirmação de que o incidente afetou dados pessoais.

• Relatórios regulatórios: gerar e enviar automaticamente 100% dos CADOCs, COSIF, CCS e demais obrigações, sem intervenção manual.

• Onboarding KYC: alcançar taxa de conversão superior a 80% na jornada digital, com tempo médio de aprovação inferior a 5 minutos.

• Reconciliação Pix: manter reconciliação da Conta PI em tempo real, com zero divergências não resolvidas ao final de cada dia útil.

8. Como a Celcoin entrega cada fase desta jornada

A Celcoin opera com portfólio completo de licenças e tecnologia proprietária, acompanhando fintechs, bancos digitais, erps e grandes varejistas desde o modelo de Banking as a Service até o Core Banking com licença própria, sem troca de plataforma. A Celcoin não oferece nenhum tipo de empréstimo para consumidores. A Celcoin fornece a infraestrutura tecnológica para que empresas consigam ofertar produtos de crédito aos seus clientes.

Funcionalidade da Celcoin	Benefício para sua empresa
APIs modulares	Integrações mais rápidas, com redução de custos e prazos de desenvolvimento.
Experiência e suporte ao desenvolvedor	Documentação, SDKs e sandboxes reduzem ciclos de integração e custos de engenharia.
Capacidade de lançamento rápido	Módulos pré-construídos e entrega via SaaS aceleram lançamentos, melhorando tempo para geração de receita e competitividade.
Distribuição white-label e embutida	Suporte a produtos financeiros com marca própria.
Escalabilidade com confiabilidade	Solução com alta disponibilidade e escalável na nuvem mantém serviços funcionando mesmo com altos volumes, protegendo sua receita com confiança.
Cobertura de diversas possibilidades de pagamentos, incluindo crédito	Oferecer pagamentos e emissão de crédito aumenta conversão, ARPU e fidelização à sua empresa.
Acesso a dados e personalização	Dados e análises via Open Finance permitem ofertas personalizadas, melhorando conversão e retenção.
Compliance e conformidade como princípio	KYC, AML e relatórios integrados reduzem risco regulatório e aceleram ciclos de vendas.
Prevenção de fraude e controles de risco	Monitoramento baseado em IA e autenticação robusta reduzem estornos, perdas e exposição regulatória.
Força do ecossistema de parceiros da Celcoin	Parcerias e integrações com bancos, redes e fintechs garantem melhor cobertura, recursos e velocidade de entrada no mercado.

Veja como essas funcionalidades se aplicam ao seu caso de uso.

9. Próximos passos

1. Realizar um diagnóstico do estágio regulatório atual, mapeando capital disponível, estrutura de governança existente e lacunas de conformidade frente às Resoluções Conjuntas nº 14/2025 e nº 16/2025.

2. Definir a arquitetura de segurança e o modelo de migração adequado ao volume de contas e à complexidade de integrações, priorizando o padrão Strangler Fig para reduzir risco operacional.

3. Escolher um parceiro de infraestrutura que acompanhe toda a jornada, do Banking as a Service ao Core Banking com licença própria, sem necessidade de troca de tecnologia: fale com a equipe da Celcoin sobre sua migração.

10. FAQ

Quanto tempo leva para implementar ou migrar para um Core Banking próprio no Brasil?

O prazo varia conforme o modelo de migração adotado e a complexidade da operação existente. Instituições de menor porte podem concluir a migração em cerca de 18 a 30 meses utilizando modelos faseados, enquanto o modelo big bang apresenta maior risco operacional. Instituições de médio porte geralmente adotam o modelo faseado, com duração de 18 a 30 meses. Para operações complexas, o padrão Strangler Fig, que constrói novas capacidades em infraestrutura cloud-native enquanto mantém o sistema legado apenas para leitura, permite atingir predominância no novo Core Banking em 18 a 24 meses com menor risco. Na Celcoin, alguns clientes conseguem implementar a solução do zero ou migrar em uma semana, enquanto outros levam até três meses, dependendo da complexidade da estrutura existente. O processo de autorização no Banco Central, separado da implementação técnica, pode levar vários meses adicionais.

Quais são os custos envolvidos na implementação de Core Banking próprio?

Os custos se distribuem em três dimensões principais. A primeira é o capital regulatório mínimo: para uma Instituição de Pagamento, o capital mínimo exigido é de R$ 9,2 milhões, conforme detalhado na seção de pré-requisitos. A segunda é o custo de tecnologia: a conectividade com câmaras, como Pix, TED, boleto e SITRAF, e a integração com bandeiras costuma ficar entre R$ 500 mil e R$ 3 milhões na fase inicial para desenvolvimento próprio. A terceira é o custo de equipe especializada: desenvolvedores sênior em São Paulo têm faixas salariais variáveis e representam parcela relevante do orçamento. A Celcoin adota um modelo de remuneração centrado em transações, sem custo de setup inicial elevado, o que reduz a barreira de entrada e o risco financeiro da implementação.

Como garantir conformidade com COSIF, CADOC e Open Finance simultaneamente?

Garantir conformidade simultânea exige automação integrada em vez de processos manuais paralelos. Para COSIF e CADOC, os sistemas de Core Banking devem incorporar um ciclo de atualização mensal dos layouts XML, com mapeamento de-para imediato após cada nova Instrução Normativa do Banco Central, como as INs nº 726, 737 e 762 de 2026. Para Open Finance, a conformidade depende da implementação da jornada otimizada, com consentimento de pagamento primário combinado com consentimento de dados limitado, do monitoramento de consentimentos que podem durar por tempo indeterminado e da observabilidade ponta a ponta das jornadas digitais. O Core Banking da Celcoin automatiza relatórios regulatórios como CCS, CADOCs, COSIF, DIMP e BacenJud, com conexão direta à RSFN e ao SPB, eliminando a necessidade de múltiplos fornecedores para cumprir essas obrigações.

O que muda na prática com a Resolução Conjunta nº 16/2025 para quem opera em modelo Banking as a Service?

A Resolução Conjunta nº 16/2025 estabelece que a responsabilidade regulatória perante o Banco Central é indivisível e recai integralmente sobre o detentor da licença, o provedor de Banking as a Service. Na prática, o provedor passa a responder por governança, gestão de riscos e controles operacionais de toda a operação do tomador. A norma também proíbe as chamadas contas-bolsão, o que exige que cada cliente final seja individualmente identificado pela instituição licenciada até 31 de dezembro de 2026. Para empresas que operam sob licença de terceiros, esse cenário reforça a importância de escolher um parceiro de infraestrutura que já tenha controles de KYC, AML, compliance e relatórios regulatórios integrados nativamente, como ocorre com o Core Banking da Celcoin, que gerencia essas obrigações de forma automatizada para clientes regulados e não regulados.