Compliance BCB para Instituições de Pagamento: Guia Res. 80/2021

Compliance BCB para IPs ficou substancialmente mais pesado desde a Res. 80/2021 — capital, governança, PLD/FT e cibernético em quatro pilares integrados.

Resumo

• A Resolução BCB 80/2021 redefiniu as regras de autorização, funcionamento e supervisão das instituições de pagamento (IPs) no Brasil.

• Existem 4 modalidades de IP: emissor de moeda eletrônica, emissor de instrumento de pagamento pós-pago, credenciador e iniciador de transação de pagamento.

• O compliance envolve quatro grandes pilares: governança corporativa, gestão de riscos, PLD/FT e segurança cibernética.

• Capital mínimo e requisitos prudenciais variam por modalidade, podendo chegar a R$ 5+ milhões para credenciadores.

Compliance BCB instituição de pagamento: contexto e arcabouço

Instituições de pagamento (IPs) foram criadas pela Lei 12.865/2013, que estabeleceu o arranjo de pagamento e a figura do prestador de serviço de pagamento. A regulamentação evoluiu, e em 2021 o Banco Central consolidou as regras na Resolução BCB 80, que substituiu a antiga Circular BCB 3.682/2013.

O ecossistema de pagamentos brasileiro tem hoje centenas de IPs autorizadas. Junto com as instituições financeiras e SCDs/SEPs, formam um setor regulado robusto, supervisionado em três frentes: prudencial (capital, risco), conduta (relacionamento com clientes) e PLD/FT (prevenção a lavagem de dinheiro e financiamento ao terrorismo).

A obtenção e manutenção da autorização para funcionar como IP exige cumprimento contínuo de obrigações regulatórias — não é um processo de "autorização e esquece". O BCB realiza supervisão presencial e remota, exige envio mensal/trimestral de demonstrações regulatórias (DRSE), e pode aplicar sanções que vão de advertência à cassação de autorização.

Para entender melhor o contexto regulatório, veja nosso guia de auditoria do mercado financeiro e nosso conteúdo específico sobre auditoria de fintech.

As 4 modalidades de IP

A Resolução BCB 80/2021 estabelece quatro modalidades de instituições de pagamento, cada uma com características próprias:

Emissor de Moeda Eletrônica: opera contas de pagamento pré-pagas. O cliente carrega saldo, que pode ser usado em compras, transferências, pagamentos. Carteira digital típica (PicPay, MercadoPago, AME). Saldo dos clientes deve estar em conta separada no BCB ou em títulos públicos federais.

Emissor de Instrumento Pós-pago: emite cartões de crédito private label (cartão de loja, cartão co-branded). Modelo menos comum como atividade exclusiva — geralmente combinada com outra modalidade ou com instituição financeira.

Credenciador: capta transações para estabelecimentos comerciais e processa via arranjos de pagamento (Visa, Mastercard, Elo). Modelo das adquirentes — Stone, Cielo, Rede, PagBank.

Iniciador de Transação de Pagamento (ITP): figura criada com Open Finance. Inicia pagamentos em nome do usuário via PIX ou TED, conectando-se à instituição que mantém a conta. Modalidade mais recente, com regulação ainda em consolidação.

Uma mesma IP pode pleitear múltiplas modalidades, somando requisitos de capital e compliance. Para entender estruturas similares, veja nosso conteúdo sobre auditoria de SCD.

Os 4 pilares de compliance

O compliance de uma IP se estrutura em quatro grandes pilares, cada um com normas específicas e expectativas crescentes:

Pilar 1 — Governança Corporativa: estrutura organizacional, composição de conselho de administração e diretoria (com diretor responsável perante o BCB), comitês obrigatórios (auditoria, risco), código de ética e canal de denúncias. A Resolução BCB 80/2021 detalha requisitos por porte.

Pilar 2 — Gestão de Riscos: estrutura de gerenciamento de riscos integrado (operacional, crédito, liquidez, mercado, cibernético). DRO (Diretor responsável pela gestão de riscos), comitê de riscos com membros independentes em IPs maiores, política formalizada.

Pilar 3 — PLD/FT: Programa de Prevenção à Lavagem de Dinheiro e Financiamento ao Terrorismo. Política, treinamento, KYC, monitoramento de transações, comunicações ao COAF, due diligence em terceiros. Regulação consolidada na Circular BCB 3.978/2020 e atualizações.

Pilar 4 — Segurança Cibernética: Política de segurança cibernética conforme Resolução BCB 85/2021, gestão de incidentes, plano de continuidade, contratação de serviços em nuvem com conformidade.

Falhar em qualquer pilar pode gerar penalidades. Em 2024 e 2025, o BCB intensificou ações contra IPs com deficiências de PLD/FT — multas que ultrapassaram R$ 50 milhões em casos específicos. Para entender mais sobre controles, veja nosso conteúdo sobre revisão de controles internos e governança.

Capital regulatório e DRSE

O capital regulatório de IPs é regido por regras específicas que variam por modalidade e porte. Os principais componentes:

Patrimônio Líquido Ajustado (PLA): capital integralizado + reservas - perdas acumuladas - ativos intangíveis. Deve ser superior ao capital mínimo da modalidade e ao requerimento mínimo.

Requerimento Mínimo de Patrimônio: cálculo baseado em risco operacional (proporcional a receitas e volume processado). Fórmula simplificada para IPs menores; modelo padronizado para maiores.

Conta Segregada: para emissor de moeda eletrônica, o saldo dos clientes deve estar em conta segregada no BCB ou aplicado em títulos públicos federais (a partir de R$ 50 milhões), conforme calendário de transição.

DRSE (Demonstrações Regulatórias da Sociedade Empresarial): envio mensal/trimestral de informações financeiras regulatórias ao BCB através do sistema STA. Padrão contábil seguindo COSIF.

O cumprimento desses requisitos exige estrutura financeira e contábil robusta. Pequenas IPs frequentemente subdimensionam essa estrutura no início e enfrentam dificuldades de cumprimento.

A supervisão do BCB é cada vez mais data-driven — inconsistências entre DRSE, demonstrações auditadas e informações de Open Finance geram apontamentos automáticos. Veja nosso conteúdo sobre diagnóstico e adequação regulatória.

Auditoria e relatórios obrigatórios

IPs são obrigadas a contratar auditor independente registrado no BCB para auditoria anual das demonstrações financeiras. Além do relatório de auditoria padrão, há relatórios específicos exigidos:

Relatório dos Auditores Independentes sobre as Demonstrações Contábeis: opinião sobre demonstrações financeiras anuais.

Carta de Recomendações: documento com deficiências de controles internos identificadas durante o trabalho, encaminhada à administração.

Relatórios sobre PLD/FT: avaliação anual da efetividade do programa de prevenção à lavagem de dinheiro, conforme circular do BCB.

Relatório sobre Conta Segregada(para emissores de moeda eletrônica): assegura que recursos dos clientes estão adequadamente segregados.

Avaliação de Capital (ICAAP/ILAAP simplificado): para IPs maiores, avaliação interna de adequação de capital e liquidez.

Esses relatórios devem ser enviados ao BCB nos prazos estabelecidos e ficam disponíveis para inspeções regulatórias. Não-conformidades podem gerar processos administrativos sancionadores. Para entender o trabalho de auditoria em geral, veja nosso guia de auditoria independente.

Erros comuns que vemos em IPs

Em anos atendendo IPs nascentes e estabelecidas, alguns problemas se repetem:

1. Subestimar o time e custo de compliance: empresas estimam R$ 100k anuais e descobrem que precisam R$ 500k-1M de equipe interna + assessoria externa. Custo cresce com porte e modalidades.

2. KYC e PLD/FT formais, não efetivos: políticas escritas, sistemas implantados, mas monitoramento real fraco. Quando o BCB testa amostras, falhas aparecem.

3. Conta segregada subdimensionada: emissor de moeda eletrônica que não cresce a conta segregada proporcionalmente ao crescimento dos saldos clientes. Geração de "buraco" regulatório.

4. Demonstrações inconsistentes: DRSE não bate com demonstrações auditadas; saldos da conta segregada não casam com saldos dos clientes; OpenFi reporta diferente do COSIF. Gera apontamentos automáticos.

5. Diretor responsável sem capacidade real: nomeação formal para cumprir regulamento, mas pessoa sem autoridade ou conhecimento técnico para o cargo. Risco regulatório alto.

6. Falha em incidentes cibernéticos: ataques que poderiam ser contidos viram crises por falta de plano de resposta. Comunicação ao BCB exigida em 2 horas conforme Res. 85/2021 frequentemente perdida.

Para entender o tema de auditoria fintech mais a fundo, recomendamos nosso guia de auditoria de fintech.

Como a MERC pode ajudar

A MERC Audit & Advisory é registrada no BCB e CVM, com equipe especializada em instituições de pagamento e fintech. Auditamos IPs de pequeno, médio e grande porte, em todas as modalidades. Combinamos rigor técnico com agilidade — entendemos a velocidade do setor fintech.

Atuamos também em diagnóstico e adequação regulatória — para empresas em processo de autorização BCB, em transição entre modalidades, ou se preparando para inspeção. Equipe sênior com experiência prévia em firmas globais de auditoria e em compliance bancário.

Conheça nossos serviços de auditoria independente,diagnóstico e adequação regulatória e revisão de controles internos e governança. Fale com nosso time em/contato.

FAQ

1. Toda IP precisa ser autorizada pelo BCB?

Não. A obrigação de autorização depende do porte (volume de transações ou saldo de clientes). Acima de certos limites, a autorização é obrigatória. Abaixo, a IP é "não autorizada", mas ainda assim segue regras gerais.

2. Quanto tempo leva para obter autorização do BCB como IP?

Tipicamente 12-24 meses, dependendo de modalidade, qualidade do projeto e correções solicitadas pelo BCB. Processo envolve análise técnica detalhada do plano de negócio, controles e governança.

3. Qual o capital mínimo para abrir uma IP?

Varia por modalidade: R$ 1M (iniciador), R$ 2M (emissor moeda eletrônica ou pós-pago), R$ 5M (credenciador). Capital adicional pode ser exigido conforme porte e risco.

4. IP pode ser auditada por qualquer auditor?

Não. Apenas auditores registrados no BCB podem auditar IPs autorizadas. Há também exigências de rotatividade do auditor.

5. O que muda no compliance entre IP pequena e grande?

Estrutura, exigências de comitês, periodicidade de relatórios, complexidade dos modelos de risco. IPs grandes têm regulação substancialmente mais pesada.

6. IP pode oferecer crédito?

Não diretamente. Para oferecer crédito, é necessária outra licença (instituição financeira, SCD/SEP). Pode parcerar com IF/SCD para originar crédito.

7. Qual a diferença entre IP e SCD?

IP processa pagamentos; SCD origina crédito com recursos próprios. Compliance e regulação são diferentes. Muitas fintechs combinam as duas licenças.

8. O BCB suspende ou cassa autorização com que frequência?

Cassações são raras mas existem — geralmente por falhas graves de compliance (PLD/FT) ou insolvência. Suspensões e advertências são mais frequentes.

Baixar PDF gratuito →