Quem responde pela conta? Governança e controles nos arranjos de Banking as a Service

Durante anos, uma parte relevante da inovação financeira brasileira cresceu numa zona cinzenta. Empresas que não eram instituições financeiras passaram a oferecer contas, pagamentos, emissão de cartões e crédito aos seus próprios clientes, apoiadas na infraestrutura regulada de uma instituição autorizada que operava nos bastidores. É o modelo de "Banking as a Service" — a instituição regulada aluga sua licença, sua conexão aos sistemas de liquidação e seu arcabouço de conformidade; a empresa tomadora coloca a marca, a interface e a relação com o cliente final. O arranjo democratizou o acesso a serviços financeiros, mas deixou uma pergunta desconfortável no ar: quando algo dá errado — uma fraude, uma falha de prevenção à lavagem de dinheiro, um cliente que não consegue sacar o próprio dinheiro —, quem responde? O regulador respondeu. Este artigo não trata de nenhuma instituição ou fintech específica. Trata do tema técnico: o que o novo marco regulatório do BaaS muda na engenharia de governança, controles e responsabilidade, e por que a adequação é, no fundo, um problema de evidência auditável.

Resumo

• O modelo de Banking as a Service passou a ter marco regulatório próprio: o normativo delimita o escopo dos serviços elegíveis, fixa responsabilidades regulatórias, impõe requisitos de governança, segurança e monitoramento e disciplina a relação contratual entre a instituição prestadora (regulada) e a entidade tomadora (não regulada).

• A mensagem central é a de que a responsabilidade regulatória não se terceiriza. A instituição autorizada que empresta sua infraestrutura permanece responsável perante o supervisor pelos serviços prestados através dela — inclusive pela conduta da tomadora no que toca a prevenção à lavagem de dinheiro, segurança e tratamento do cliente.

• Há prazo de adequação para contratos vigentes na data de entrada em vigor da norma: as instituições precisam revisar arranjos existentes, redesenhar cláusulas de responsabilidade e reforçar a governança do relacionamento até o marco final de transição.

• Para controles internos, auditoria e asseguração, o eixo do tema é a trilha: contrato que aloque responsabilidades com clareza, monitoramento contínuo da tomadora, indicadores de risco e evidência documentada de que a instituição prestadora efetivamente supervisiona — e não apenas hospeda — a operação.

O que o marco realmente disciplina

A tentação é ler o novo normativo como uma restrição à inovação. Não é. O que ele faz é transformar em regra escrita algo que o mercado já sabia intuitivamente: que emprestar uma licença bancária não é o mesmo que emprestar um servidor. Quando uma instituição autorizada permite que sua infraestrutura regulada seja o trilho por onde passam contas, pagamentos e crédito de clientes de uma terceira empresa, ela não está apenas vendendo capacidade técnica — está estendendo o próprio perímetro de responsabilidade a operações que não controla diretamente.

O marco disciplina esse arranjo em três frentes. A primeira é o escopo: define quais serviços caracterizam o BaaS regulado, separando-o de meras prestações de tecnologia. Nem toda parceria entre uma fintech e uma instituição financeira é BaaS; o que atrai a norma é o oferecimento, a clientes da tomadora, de serviços que só uma instituição autorizada pode prestar. A segunda é a responsabilidade: o normativo deixa claro que a instituição prestadora responde perante o supervisor pela operação conduzida através dela. A tomadora não vira "banco" por contrato; e a prestadora não deixa de sê-lo por terceirizar a interface. A terceira é a governança do relacionamento: exige-se estrutura de monitoramento, segurança da informação, gestão de riscos e disciplina contratual que sustente, na prática, essa responsabilidade que a norma atribuiu.

O ponto que muda a vida das áreas de controle é o segundo. Em modelos antigos, era comum que o contrato de BaaS empurrasse para a tomadora obrigações de prevenção à lavagem de dinheiro, conheça-seu-cliente e monitoramento de transações, como se a instituição autorizada pudesse "sublocar" também os seus deveres regulatórios. Sob o marco, isso não se sustenta: a responsabilidade regulatória é indelegável. A instituição pode — e deve — contratar a tomadora para executar tarefas operacionais, mas continua respondendo pelo resultado. A diferença entre delegar execução e delegar responsabilidade é sutil no papel e enorme na prática de fiscalização.

A adequação de contratos vigentes é um projeto, não um ajuste

O marco prevê prazo para que arranjos já em operação na data de sua entrada em vigor se adequem. Ler esse prazo como uma folga é um erro de cálculo. Adequar um contrato de BaaS existente não é trocar uma cláusula: é reabrir a arquitetura de responsabilidades de um relacionamento comercial que muitas vezes já está profundamente entrelaçado nos sistemas, nos fluxos de caixa e na base de clientes de ambas as partes.

Um projeto de adequação bem-feito percorre um roteiro previsível. Começa pelo inventário: quais arranjos de BaaS a instituição mantém, com quais tomadoras, cobrindo quais serviços, movimentando quais volumes. Segue para o enquadramento: quais desses arranjos são efetivamente BaaS regulado e quais são prestações de tecnologia fora do escopo. Passa para a revisão contratual: realocar responsabilidades de conformidade, prevenção à lavagem de dinheiro e segurança de modo coerente com a indelegabilidade regulatória, incluindo direitos de auditoria da prestadora sobre a tomadora, gatilhos de encerramento e planos de contingência para o cliente final. E termina na governança viva: comitês, indicadores, rotinas de monitoramento e reporte que provem, no dia a dia, que a instituição supervisiona o arranjo.

O prazo, portanto, não é tempo ocioso — é o tempo necessário para executar esse projeto sem parar a operação. Instituições que tratarem a adequação como tarefa jurídica de última hora tendem a descobrir, tarde, que o problema é de engenharia de controles.

Por que isso é, no fundo, um tema de auditoria

Quando o regulador diz que a responsabilidade permanece com a instituição prestadora, ele cria uma obrigação que só se comprova com evidência. Afirmar que "monitoramos a tomadora" não vale nada sem a trilha que demonstre o monitoramento: os indicadores acompanhados, as exceções detectadas, o que foi feito com elas, quem foi comunicado, quando. É exatamente o terreno da auditoria de controles e da asseguração.

Três frentes de exame se destacam. A primeira é a efetividade do desenho: o contrato e a estrutura de governança, no papel, cobrem os riscos que a norma quer endereçar? A segunda é a efetividade operacional: os controles funcionam ao longo do período, ou existem apenas na política? Um relatório de monitoramento que só é produzido na véspera da fiscalização não é controle — é encenação. A terceira é a prevenção à lavagem de dinheiro: como o arranjo integra o conheça-seu-cliente da tomadora ao dever indelegável da prestadora, e como se documenta a comunicação de operações atípicas quando o cliente final é da tomadora, mas o trilho é da instituição autorizada. É o ponto de maior exposição, porque une dois deveres que a norma não deixa separar.

Para a instituição, a boa notícia é que evidência bem construída é também proteção. Um arranjo de BaaS com trilha auditável — contrato claro, monitoramento contínuo, exceções tratadas e reportadas — não é apenas conforme: é defensável diante do supervisor e resiliente diante de fraude. A trilha que a norma exige é a mesma que protege a instituição quando algo, inevitavelmente, dá errado.

Um caso ilustrativo (anonimizado)

Considere uma instituição autorizada de médio porte que construiu uma linha de receita relevante oferecendo infraestrutura a uma dezena de empresas tomadoras — varejistas, plataformas e prestadores de serviço que passaram a oferecer contas e pagamentos aos seus clientes. Os contratos, assinados em anos diferentes, delegavam à tomadora "toda a responsabilidade por conformidade e prevenção à lavagem de dinheiro". O modelo era lucrativo e, por anos, silencioso.

O silêncio terminou quando uma das tomadoras concentrou um volume atípico de transações de origem duvidosa. A instituição descobriu, tarde, que não tinha visibilidade transacional em tempo hábil, que o contrato lhe dava pouco direito de auditar a tomadora e que a delegação de responsabilidade não a protegia perante o supervisor. O custo não foi só a exposição regulatória: foi o retrabalho de renegociar, sob pressão, uma dezena de contratos, implantar monitoramento que deveria existir desde o início e reconstruir a confiança da própria diretoria no modelo de negócio. Um projeto de adequação conduzido com antecedência — inventário, enquadramento, revisão contratual e monitoramento — teria transformado uma crise em rotina. A diferença entre os dois desfechos foi, essencialmente, a trilha.

Como a MERC pode ajudar

A MERC atua na interseção exata onde esse tema vive: regulação do sistema financeiro, governança de terceirização e auditoria de controles. Apoiamos instituições prestadoras e entidades tomadoras no diagnóstico e enquadramento dos arranjos de BaaS, na revisão da arquitetura de responsabilidades à luz do marco, no desenho de estruturas de monitoramento e reporte que sustentem a responsabilidade indelegável da prestadora e na avaliação independente da efetividade desses controles — de desenho e operacional. Como primeira auditoria especializada no mercado financeiro brasileiro, traduzimos a exigência regulatória em trilha auditável: o tipo de evidência que resiste à fiscalização e protege a operação. Também apoiamos a leitura contábil do arranjo — receita, provisões e divulgações — e a preparação para asseguração quando o relacionamento exige conforto independente perante contrapartes ou reguladores.

Perguntas frequentes

O que é Banking as a Service em termos regulatórios?

É o arranjo em que uma instituição financeira autorizada disponibiliza sua infraestrutura regulada para que uma empresa não autorizada ofereça, aos próprios clientes, serviços que só instituições podem prestar — contas, pagamentos, emissão de instrumentos, crédito. O marco delimita quais serviços caracterizam o BaaS regulado e o separa de meras prestações de tecnologia.

A instituição pode transferir a responsabilidade de conformidade para a tomadora?

Não a responsabilidade regulatória. A instituição prestadora pode contratar a tomadora para executar tarefas operacionais, mas permanece respondendo perante o supervisor pela operação conduzida através de sua infraestrutura — inclusive por prevenção à lavagem de dinheiro e segurança. Delegar execução é possível; delegar responsabilidade, não.

Contratos de BaaS já em vigor precisam ser revistos?

Sim. O marco prevê prazo de adequação para arranjos vigentes na data de entrada em vigor. A revisão vai além de ajustar cláusulas: envolve inventariar arranjos, enquadrá-los, realocar responsabilidades e implantar monitoramento efetivo — um projeto que exige tempo e antecedência.

Por que esse é um tema de auditoria e não apenas jurídico?

Porque a responsabilidade que a norma atribui só se comprova com evidência. Contrato bem escrito é necessário, mas não suficiente: é preciso demonstrar, com trilha, que a instituição efetivamente monitora e supervisiona o arranjo ao longo do tempo. Essa efetividade — de desenho e operacional — é objeto de auditoria de controles e de asseguração.

Qual é o maior ponto de exposição em arranjos de BaaS?

A prevenção à lavagem de dinheiro. O cliente final é da tomadora, mas o trilho transacional é da instituição autorizada, que responde pelo dever indelegável de conhecer o cliente e comunicar operações atípicas. Integrar o conheça-seu-cliente da tomadora ao monitoramento da prestadora, com documentação, é o ponto que mais separa arranjos conformes de arranjos frágeis.

Baixar PDF gratuito →