BaaS regulado — a conta de dezembro de 2026 e por que a cadeia de responsabilidade vira tema de auditoria

A Resolução Conjunta 16/2025 regula o Banking as a Service e dá prazo até dez/2026. O que muda em governança, controles e responsabilidade regulatória.

Resumo

• A Resolução Conjunta nº 16, editada pelo Conselho Monetário Nacional e pelo Banco Central no fim de 2025, regulamenta a prestação de serviços de Banking as a Service (BaaS) por instituições financeiras, instituições de pagamento e demais instituições autorizadas a funcionar pelo Banco Central.

• O escopo abrange abertura, manutenção e encerramento de contas (depósito à vista, poupança, pré e pós-pagas), serviços de pagamento vinculados, credenciamento para aceitação de instrumentos de pagamento e operações de crédito — da oferta à cobrança —, além de outros serviços que o Banco Central venha a incluir.

• Instituições que já atuam como prestadoras de BaaS e têm contratos vigentes têm até 31 de dezembro de 2026 para adequar estruturas, políticas e contratos ao novo marco. A partir de 1º de janeiro de 2027, toda relação entre prestador e tomador deve estar em plena conformidade.

• O princípio central é a indelegabilidade da responsabilidade regulatória: o prestador do serviço de BaaS — a instituição autorizada — permanece como único titular das obrigações perante o Banco Central e assume responsabilidade integral por confiabilidade, integridade, disponibilidade, segurança e sigilo das informações.

• Para a governança e a auditoria, o efeito é direto: a cadeia de responsabilidade entre prestador licenciado e tomador não licenciado passa a exigir controles testáveis, contratos alinhados à norma e evidência de que o prestador efetivamente supervisiona a operação que empresta sua licença.

O fim da zona cinzenta do BaaS

Por anos, o Banking as a Service cresceu no Brasil em um vácuo regulatório confortável. Empresas dos mais variados setores — varejo, tecnologia, plataformas digitais — passaram a oferecer contas, pagamentos e crédito aos seus clientes sem possuir licença bancária, apoiando-se na licença de uma instituição autorizada que ficava por trás da operação. O arranjo funcionava, mas vivia em uma zona cinzenta: não havia regra clara sobre os limites da relação, sobre quem respondia pelo quê e sobre o nível de controle que o detentor da licença deveria exercer sobre quem a utilizava.

A Resolução Conjunta nº 16/2025 encerra essa indefinição. Ao regulamentar a prestação de serviços de BaaS, o Conselho Monetário Nacional e o Banco Central definem quem pode atuar como prestador — apenas instituições autorizadas a funcionar pelo Banco Central —, delimitam o escopo dos serviços que podem ser cedidos e, sobretudo, fixam o princípio que organiza toda a relação: a responsabilidade regulatória é indelegável. A instituição que empresta sua licença não terceiriza, com ela, suas obrigações perante o regulador.

Essa mudança não é cosmética. Ela redefine a natureza da relação entre o detentor da licença e quem a utiliza. O que antes podia ser tratado como uma parceria comercial entre iguais passa a ser uma relação em que uma das partes — o prestador licenciado — carrega sozinha o peso regulatório da operação inteira, inclusive da parte executada pelo tomador. E carregar esse peso exige controle, supervisão e evidência.

A responsabilidade que não se delega

O coração da Resolução Conjunta nº 16/2025 é a alocação de responsabilidade. A norma estabelece que o prestador do serviço de BaaS — a instituição autorizada pelo Banco Central — assume responsabilidade integral pela confiabilidade, integridade e disponibilidade dos serviços, pela segurança e pelo sigilo das informações e pelo cumprimento da legislação e da regulação aplicáveis, permanecendo como único titular das obrigações regulatórias perante o Banco Central.

A consequência prática desse princípio é profunda. Quando uma empresa não financeira oferece uma conta ou um crédito ao seu cliente sob a licença de um terceiro, é esse terceiro — e não a empresa que aparece para o cliente — quem responde ao Banco Central por tudo o que acontecer naquela operação: prevenção à lavagem de dinheiro, proteção de dados, integridade dos registros, disponibilidade dos serviços, conformidade com as regras de crédito e de pagamentos. A licença não é apenas um ativo a ser monetizado; é uma obrigação que vem acoplada à responsabilidade.

Isso transforma a forma como o prestador precisa enxergar a relação. Não basta firmar um contrato e ceder o acesso à infraestrutura: o prestador precisa supervisionar efetivamente o tomador, porque responderá pelos atos dele. A supervisão deixa de ser uma cortesia e passa a ser uma necessidade de proteção — para a instituição que tem a licença, cada tomador mal controlado é um risco regulatório direto sobre o próprio negócio.

Onde a governança e a auditoria entram

Para a governança, a Resolução Conjunta nº 16/2025 cria uma obrigação de controle em cadeia. O prestador de BaaS precisa demonstrar que não apenas firmou contratos com os tomadores, mas que mantém estrutura de supervisão capaz de assegurar que a operação cedida cumpre a regulação. Isso envolve políticas claras de seleção e monitoramento de tomadores, contratos que aloquem deveres e fluxos de informação de forma alinhada à norma, e controles que produzam evidência de que a supervisão de fato ocorre.

É aqui que a auditoria encontra terreno natural. A responsabilidade integral do prestador converte a relação de BaaS em um conjunto de asserções que precisam ser testadas: a efetividade dos controles de prevenção à lavagem de dinheiro aplicados à operação do tomador, a integridade e o sigilo dos dados que transitam pela infraestrutura cedida, a disponibilidade e a confiabilidade dos serviços e a aderência dos contratos ao marco regulatório. Auditar um prestador de BaaS é, em boa medida, auditar a qualidade da supervisão que ele exerce sobre quem usa sua licença.

Há ainda a dimensão tecnológica. O BaaS é, por natureza, uma operação de integração de sistemas: APIs, fluxos de dados, automação de processos de conta, pagamento e crédito. A confiabilidade e a segurança dessa camada técnica são parte da responsabilidade do prestador e, portanto, objeto de controle e de teste. A maturidade dos controles cibernéticos e da gestão de dados na relação prestador-tomador é um dos pontos mais sensíveis do novo regime.

Implicações práticas e o relógio de dezembro

Para as instituições que já atuam como prestadoras de BaaS, o prazo é a variável crítica. A adequação de estruturas, políticas e contratos precisa estar concluída até 31 de dezembro de 2026, e a partir de 1º de janeiro de 2027 não há mais margem: toda relação entre prestador e tomador deve estar em plena conformidade. Revisar a carteira de contratos vigentes, realinhá-los à norma, redesenhar as políticas de supervisão e implementar os controles que produzem evidência é um trabalho que leva tempo — e o tempo está correndo.

O ponto de atenção é a abrangência do esforço. Não se trata apenas de ajustar contratos: trata-se de construir uma função de supervisão de tomadores que seja efetiva e documentada. Um prestador com dezenas de tomadores precisa de uma estrutura capaz de monitorar cada um deles na proporção do risco que representam — e de demonstrar, perante o supervisor e perante uma auditoria, que esse monitoramento existe e funciona. Tratar a adequação como um exercício formal de fim de ano é subestimar a profundidade da mudança.

Para os tomadores — as empresas não financeiras que operam sob a licença de um prestador —, a regra também tem efeito. A relação passa a exigir mais governança, mais transparência e mais cooperação com a supervisão do prestador. O arranjo continua viável e atraente, mas deixa de ser uma forma de acessar serviços bancários sem responsabilidade: o tomador será supervisionado, e precisa estar preparado para isso.

Perspectiva MERC

A leitura da MERC é que a regulação do BaaS amadurece um dos arranjos mais importantes da inovação financeira brasileira sem desmontá-lo. O modelo que permite a empresas oferecer serviços financeiros sob a licença de um terceiro continua de pé — mas agora com regras claras sobre quem responde pelo quê. E a clareza sobre responsabilidade, longe de ser um obstáculo, é o que dá sustentação de longo prazo ao modelo: um BaaS sem controle é um passivo regulatório à espera de materialização.

O elemento mais subestimado dessa transição é a supervisão de tomadores. A maior parte da atenção tende a recair sobre contratos e prazos, mas o verdadeiro desafio é construir e evidenciar a função de monitoramento que a responsabilidade integral do prestador exige. É um trabalho de governança e de controle que se aproxima muito da disciplina de auditoria — e que, feito com método, transforma uma obrigação regulatória em uma vantagem competitiva de confiança.

Como a MERC pode ajudar

A MERC apoia prestadores e tomadores de BaaS na adequação à Resolução Conjunta nº 16/2025 em frentes integradas. No diagnóstico, mapeamos as lacunas entre a estrutura atual e os requisitos da norma — contratos, políticas de supervisão de tomadores, controles de PLD/FT, segurança da informação e governança da operação cedida. Na frente de readiness, apoiamos o redesenho das políticas, a revisão da carteira de contratos e a implementação dos controles que produzem a evidência exigida antes do prazo de dezembro de 2026. E na frente de auditoria e asseguração, testamos a efetividade da supervisão exercida pelo prestador, os controles sobre a integridade e o sigilo de dados e a aderência da operação ao marco regulatório. Por meio da MERC Audit & Advisory, o objetivo é que a adequação ao BaaS seja um processo controlado — e que a cadeia de responsabilidade seja não só desenhada, mas demonstrável.

Perguntas frequentes

O que é a Resolução Conjunta nº 16/2025?

É a norma editada pelo Conselho Monetário Nacional e pelo Banco Central no fim de 2025 que regulamenta a prestação de serviços de Banking as a Service (BaaS) por instituições autorizadas a funcionar pelo Banco Central. Ela define quem pode prestar o serviço, qual o escopo (contas, pagamentos, credenciamento e crédito) e, sobretudo, estabelece que a responsabilidade regulatória do prestador perante o Banco Central é indelegável.

Quem responde ao Banco Central na operação de BaaS?

O prestador do serviço de BaaS — a instituição autorizada pelo Banco Central — permanece como único titular das obrigações regulatórias e assume responsabilidade integral por confiabilidade, integridade, disponibilidade, segurança e sigilo das informações, inclusive da parte executada pelo tomador. A empresa que aparece para o cliente final opera sob a licença do prestador, mas é o prestador quem responde ao regulador.

Qual é o prazo de adequação?

Instituições que já atuam como prestadoras de BaaS e têm contratos vigentes têm até 31 de dezembro de 2026 para adequar estruturas, políticas e contratos ao novo marco. A partir de 1º de janeiro de 2027, toda relação entre prestador e tomador deve estar em plena conformidade, sem zona cinzenta.

O que muda para a auditoria de um prestador de BaaS?

A responsabilidade integral do prestador transforma a relação de BaaS em um conjunto de asserções a testar: a efetividade da supervisão exercida sobre os tomadores, os controles de PLD/FT aplicados à operação cedida, a integridade e o sigilo dos dados e a aderência dos contratos à norma. Na prática, auditar um prestador de BaaS é auditar a qualidade do controle que ele mantém sobre quem utiliza sua licença.

Baixar PDF gratuito →