Um dos pontos centrais da Resolução Conjunta nº 16/2025 é o tratamento dado à governança, à prevenção à lavagem de dinheiro e ao financiamento do terrorismo (PLD/FT) e à estrutura contratual dos modelos de BaaS. O BaaS passou a ser prestação de serviços regulados, submetido a padrões prudenciais e de conduta comparáveis aos de outras linhas de negócio relevantes.
Governança: políticas específicas
A resolução exige que as instituições autorizadas prestadoras de serviços de BaaS:
- Incorporem a prestação de serviços de BaaS às suas políticas, estratégias e estruturas de gerenciamento de riscos, em conformidade com a regulamentação vigente;
- Submetam essas políticas à aprovação do conselho de administração ou, na sua ausência, da diretoria.
Além disso, determina que a instituição autorizada a funcionar pelo Banco Central que atue como prestadora de BaaS, ou como tomadora (quando também for instituição autorizada), deve designar diretor responsável pela observância da norma, podendo esse diretor acumular outras funções desde que não haja conflito de interesses.
Na prática, BaaS passa a integrar o apetite a risco e a agenda da alta administração, com responsabilização pessoal claramente identificada para fins de supervisão.
Due diligence e monitoramento da tomadora
Antes da contratação e ao longo de toda a relação, a instituição prestadora deve implementar procedimentos formais para avaliar se a entidade tomadora é capaz de:
- Cumprir a legislação e a regulamentação aplicáveis;
- Preservar a confidencialidade, integridade, disponibilidade e recuperação de dados e informações;
- Manter certificações técnicas exigidas (por exemplo, PCI DSS, ISO 27001), quando requeridas;
- Disponibilizar relatórios elaborados por empresas especializadas independentes, se existentes;
- Prover informações e recursos de gestão que permitam o monitoramento contínuo dos serviços;
- Assegurar controles de acesso e proteção de dados pessoais compatíveis com a LGPD;
- Demonstrar capacidade financeira e técnica para a execução dos serviços contratados.
Esses procedimentos devem ser documentados, atualizados e proporcionais à natureza, porte, complexidade, criticidade e perfil de risco da tomadora. Em termos operacionais, isso implica um processo estruturado de onboarding e de monitoramento periódico de parceiros, com critérios objetivos e trilhas de auditoria.
Conteúdo contratual: matriz de alocação de riscos
A Resolução estabelece um conteúdo mínimo para o contrato de BaaS, que funciona como matriz formal de alocação de riscos e responsabilidades. Entre os pontos mais relevantes, destacam-se:
- Definição precisa do objeto, com indicação dos serviços abrangidos pelo contrato;
- Descrição dos papéis e responsabilidades das partes, incluindo deveres de informação ao cliente e compartilhamento de dados na medida necessária ao cumprimento de obrigações regulatórias;
- Forma de remuneração entre tomadora e instituição prestadora;
- Medidas de segurança da informação sob responsabilidade da tomadora;
- Direito de acesso da instituição prestadora a: (i) informações sobre segurança, conformidade e certificações; (ii) relatórios de terceiros independentes, quando existentes; (iii) dados operacionais e recursos de gestão para monitorar a prestação dos serviços;
- Obrigação de notificação prévia sobre contratação de terceiros para processamento ou armazenamento de dados considerados relevantes pela instituição prestadora;
- Permissão de acesso do Banco Central ao contrato, à documentação e às informações relacionadas aos serviços prestados;
- Previsão de medidas a serem adotadas pela instituição prestadora em decorrência de determinações do Banco Central;
- Dever de comunicação de incidentes de segurança e de limitações relevantes à prestação dos serviços;
- Procedimentos para o tratamento de demandas de clientes;
- Disciplina específica para hipóteses de decretação de regime de resolução da instituição prestadora e para o encerramento da relação contratual, inclusive quanto à continuidade ou não dos serviços ao cliente e à transparência sobre as alternativas disponíveis.
Vedações contratuais e operacionais
A norma também estabelece vedações expressas, entre as quais:
- Incluir, no objeto do contrato, a prestação, pela tomadora, de serviços de atendimento a clientes em nome da instituição prestadora, na forma da regulamentação de Corban;
- Permitir que a tomadora cobre, em seu nome, tarifas, comissões ou qualquer forma de remuneração pelo fornecimento aos clientes de produtos ou serviços ofertados pela instituição prestadora de BaaS;
- Autorizar que a tomadora realize, em conta própria, transações de pagamento, recebimentos ou depósitos relativos a serviços prestados pela instituição prestadora aos clientes;
- Admitir a subcontratação, pela tomadora, dos serviços de BaaS.
O contrato deve ainda conter declaração da tomadora de que tem ciência de que a realização, por conta própria, de operações privativas de instituições financeiras ou de outras instituições autorizadas sujeita o infrator às penalidades das Leis nº 7.492/1986 e nº 13.506/2017.
PLD/FT, prevenção a fraudes e acesso ao SCR
No âmbito de PLD/FT e prevenção a fraudes, a Resolução é explícita ao atribuir à instituição prestadora a responsabilidade por:
- Política, procedimentos e controles de identificação e qualificação de clientes;
- Análise de perfil de risco;
- Prevenção de fraudes;
- Prevenção à lavagem de dinheiro e ao financiamento do terrorismo.
A instituição pode valer-se da tomadora para tarefas acessórias, desde que:
- Forneça os procedimentos, mecanismos e ferramentas a serem utilizados;
- Mantenha, integralmente, a responsabilidade pelo resultado e pela conformidade perante o Banco Central.
Quando a entidade tomadora também for instituição autorizada a funcionar pelo Banco Central, essas responsabilidades de garantir confiabilidade, integridade, disponibilidade, segurança e sigilo dos serviços também recaem sobre ela, no que for de sua responsabilidade, sem afastar a posição da instituição prestadora como principal responsável perante o regulador no âmbito do contrato de BaaS.
Há, ainda, vedação específica à: (i) disponibilização à tomadora de acesso ao Sistema de Informações de Crédito (SCR); e (ii) entrega à tomadora de informações contidas no SCR.
Mecanismos de acompanhamento, controle e guarda de informações
Instituições prestadoras devem instituir mecanismos de acompanhamento e controle destinados a:
- Definir processos, testes e trilhas de auditoria;
- Estabelecer métricas e indicadores adequados (incluindo qualidade de atendimento, SLAs de sistemas e níveis de serviço contratados);
- Identificar e corrigir deficiências.
Esses mecanismos:
- Devem ser submetidos a testes periódicos pela auditoria interna, com frequência mínima anual;
- Precisam ser incorporados aos critérios de contratação, revisão e eventual desligamento de tomadoras.
A resolução exige mecanismos específicos de controle da qualidade da atuação da tomadora, com previsão contratual de medidas corretivas, suspensão da prestação de serviços e encerramento antecipado do contrato em situações de irregularidade grave ou descumprimento de padrões pactuados.
Complementarmente, a norma impõe deveres de guarda e disponibilidade de informações:
- Contratos de BaaS e documentação sobre os procedimentos de due diligence devem ser mantidos, em regra, por no mínimo cinco anos após a extinção do contrato;
- Dados, registros e informações relativos à aplicação dos mecanismos de acompanhamento e controle devem ser mantidos por, em geral, dez anos a partir de cada aplicação.
Esses prazos reforçam o caráter contínuo da supervisão e a expectativa de que o Banco Central possa reconstruir, a qualquer tempo, o histórico de decisões, controles e interações entre instituição prestadora e tomadora.
