Instituições financeiras e reguladas pelo Banco Central

Auditoria de banking as a service

No BaaS, a responsabilidade regulatória é indelegável: quem tem a licença responde pelo que o tomador faz com ela.

A Resolução Conjunta nº 16/2025, editada pelo Conselho Monetário Nacional e pelo Banco Central, regulamenta a prestação de serviços de Banking as a Service por instituições autorizadas a funcionar pelo BCB. O escopo abrange abertura, manutenção e encerramento de contas, serviços de pagamento vinculados, credenciamento para aceitação de instrumentos de pagamento e operações de crédito, da oferta à cobrança. Quem já atua com contratos vigentes tem até 31 de dezembro de 2026 para adequar estruturas, políticas e contratos.

O princípio central muda a natureza do arranjo: o prestador permanece único titular das obrigações regulatórias perante o Banco Central e assume responsabilidade integral por confiabilidade, integridade, disponibilidade, segurança e sigilo das informações, inclusive na parte executada pelo tomador. Contratos antigos que empurravam prevenção à lavagem de dinheiro e conheça seu cliente para a tomadora não se sustentam. Delegar execução é possível; delegar responsabilidade, não. A partir de 1º de janeiro de 2027 não há margem.

Auditar um prestador de BaaS é, em boa medida, testar a qualidade da supervisão que ele exerce sobre quem usa a licença. Inventariamos os arranjos por tomador, serviço e volume, avaliamos o enquadramento de cada um, lemos as cláusulas de responsabilidade, auditoria e saída, e buscamos evidência de monitoramento contínuo: indicadores acompanhados, exceções detectadas, o que foi feito com elas e a quem foram comunicadas. Relatório de monitoramento produzido na véspera da fiscalização não é controle.

O que examinamos

• Inventário de arranjos por tomador, serviço e volume transacionado
• Enquadramento de cada arranjo como BaaS regulado ou tecnologia
• Cláusulas de responsabilidade, direito de auditoria e saída
• Evidência de monitoramento contínuo e tratamento de exceções
• Integração do conheça seu cliente do tomador ao dever do prestador
• Controles de integridade, sigilo e disponibilidade dos dados cedidos

Norma aplicável

Resolução Conjunta nº 16/2025 do CMN e do BCB, regulação prudencial aplicável e NBC TA.

Entregável

Relatório de avaliação da efetividade de desenho e de operação dos controles de supervisão de tomadores, com plano de adequação.