Com a Resolução Conjunta nº 16/2025, o Banking as a Service (BaaS) deixa de ser tratado apenas como arranjo contratual e passa a ser configurado como forma de prestação de serviços regulados no âmbito do Sistema Financeiro Nacional (SFN) e do Sistema de Pagamentos Brasileiro (SPB).
A norma, que refina a proposta da Consulta Pública nº 108/2024, mantém a estrutura triangular entre instituição prestadora, entidade tomadora e cliente, reforça a centralização das responsabilidades prudenciais e de PLD/FT na instituição autorizada e posiciona a tomadora como canal de distribuição e integração. Como opção regulatória, o Banco Central excluiu a iniciação de transações de pagamento (ITP) e os serviços de pagamento ou transferência internacional (eFX) do escopo do BaaS, concentrando a disciplina em contas, pagamentos domésticos, credenciamento e operações de crédito.
Contexto de mercado e motivação regulatória
O desenvolvimento do BaaS no Brasil seguiu, nos últimos anos, três eixos principais:
- Eixo tecnológico: provedores de infraestrutura ofertando core bancário, APIs de conta, cartão, onboarding, KYC, scoring e antifraude;
- Eixo institucional: bancos, instituições de pagamento e SCDs disponibilizando licenças, contas de pagamento, crédito e liquidação para terceiros;
- Eixo de distribuição: varejistas, marketplaces, plataformas digitais e fintechs incorporando serviços financeiros às suas jornadas de relacionamento com o usuário.
Esse movimento trouxe ganhos de eficiência e ampliação de acesso, mas também gerou:
- Opacidade quanto à efetiva instituição responsável perante o regulador;
- Fragmentação de funções de PLD/FT, KYC, prevenção a fraudes e gestão de crédito;
- Possibilidade de que entidades não autorizadas assumissem, de fato, riscos e funções típicas de instituições reguladas.
BaaS como forma de prestação de serviços regulados
A norma define os diferentes participantes do arranjo como:
- Instituição prestadora de serviços de BaaS: instituição autorizada a funcionar pelo Banco Central (instituição financeira, instituição de pagamento ou outra) que presta, ao cliente, determinados serviços financeiros ou de pagamento;
- Entidade tomadora de serviços de BaaS: pessoa jurídica estabelecida no Brasil que contrata com a instituição prestadora a disponibilização desses serviços aos seus clientes, por meio de integração tecnológica e relação contratual formal;
- Cliente: pessoa natural ou jurídica que mantém relação contratual direta com a instituição prestadora para os serviços regulados e, em paralelo, relação contratual com a tomadora para outros serviços.
O BaaS, sob essa ótica, é um regime específico de prestação de serviços regulados, mediante:
- Escopo delimitado (contas, pagamentos, credenciamento e crédito);
- Intermediação tecnológica e de jornada pela entidade tomadora;
- Vínculo regulatório e da responsabilidade integral na instituição prestadora.
Principais riscos endereçados pelo regulador
A Resolução identifica, de forma bastante clara, os principais riscos que se pretende mitigar:
- Exercício indireto de atividade privativa por entidades não autorizadas, sob estruturas contratuais pouco transparentes;
- Fragmentação de funções críticas (PLD/FT, KYC, prevenção a fraudes, gestão de crédito), com potenciais lacunas de controle;
- Terceirização excessiva da responsabilidade regulatória, com instituições prestadoras tratando a relação de BaaS como se fosse simples contratação de software (Software as a Service – SaaS);
- Opacidade para o cliente, que muitas vezes não consegue identificar a instituição responsável pelos serviços financeiros e de pagamento.
A resposta regulatória se materializa por meio de:
- Definição clara de papéis (prestadora, tomadora, cliente);
- Delimitação estrita do escopo de serviços de BaaS e dos fluxos de recursos;
- Imposição de requisitos de governança, contratos e mecanismos de acompanhamento compatíveis com a relevância prudencial do modelo.
Nesse contexto, a ampliação das hipóteses de encerramento compulsório de contas de depósitos e de contas de pagamento (Resolução CMN nº 5.261 e Resolução BCB nº 518), com a vedação às chamadas “contas bolsão”, atua de forma complementar: ao exigir contas individualizadas em nome do cliente e coibir estruturas de pooling em contas de terceiros, o regulador reduz a opacidade sobre titularidade e fluxos de recursos, mitigando exatamente os riscos de exercício indireto de atividade privativa e de difusão de responsabilidades que estão no centro da disciplina de BaaS.
Inserção de BaaS na agenda prudencial
A resolução aproxima BaaS de temas tipicamente prudenciais ao prever, entre outros pontos:
- Exigência de políticas e estruturas de gerenciamento de risco para BaaS, aprovadas por conselho de administração ou diretoria;
- Obrigatoriedade de designação de diretor responsável pela observância da norma;
- Necessidade de mecanismos de acompanhamento e controle submetidos à auditoria interna, com periodicidade mínima anual;
- Dever de guarda de contratos e documentação de suporte por prazos relevantes (cinco e dez anos, conforme o caso).
O BaaS passa, assim, a integrar o conjunto de decisões que compõem o apetite a risco institucional e as estruturas permanentes de governança de risco, deixando de ser tratado como mera iniciativa de produto. A vinculação com a Resolução Conjunta nº 14/2025, ao exigir capital específico para a atuação como prestadora de BaaS, reforça esse enquadramento ao trazer o modelo para o centro das decisões de alocação de capital e de estratégia regulatória da instituição.
Competência do Banco Central para intervenção em contratos específicos
A Resolução também confere ao Banco Central a prerrogativa de:
- Vetar ou restringir contratações de BaaS quando constatar inobservância da norma ou limitação à sua atuação, com fixação de prazo para adequação;
- Determinar a suspensão ou o encerramento de contratos de BaaS em situações que afetem a segurança e a higidez do SFN e do SPB.
Essa faculdade reforça a necessidade de que:
- A seleção de tomadoras seja tratada como decisão de risco relevante, à luz de critérios formais de onboarding, monitoramento e eventual descontinuação;
- A estrutura contratual e operacional permita respostas rápidas e eficazes a determinações do regulador, com resolução dos contratos pela instituição prestadora.
