Resolución Conjunta 16/2025: el plazo del BaaS se acerca. ¿Su operación está lista?

El 31 de diciembre de 2026 está a la vuelta de la esquina. Es la fecha límite para que los contratos de Banking as a Service (BaaS) que ya estaban vigentes se adecúen a la Resolución Conjunta n.º 16/2025, del Consejo Monetario Nacional y del Banco Central.

Para quienes ofrecen cuentas, adquirencia o crédito a través de otras empresas, no se trata solo de revisar una cláusula. La norma deja en claro quién responde por cada etapa de la operación, incluida la prevención de fraudes.

Qué es la Resolución Conjunta 16/2025

Tras la consulta pública 108/2024, la norma creó el primer marco regulatorio específico para BaaS en Brasil. Entró en vigor el 28/11/2025, y quienes ya contaban con contratos vigentes obtuvieron un plazo hasta el 31/12/2026 para adecuarse.

Según la definición de la norma, BaaS es cuando una institución autorizada por el Banco Central (la prestadora) ofrece servicios financieros a través de otra empresa (la tomadora), que gestiona la experiencia del cliente. La norma limita el alcance del BaaS a estos servicios:

• apertura, mantenimiento y cierre de cuentas de depósito o de pago, y los servicios de pago realizados a través de ellas;
• afiliación, es decir, adquirencia;
• operaciones de crédito.

Quedan fuera del concepto de BaaS, por ejemplo, los corresponsales bancarios, el procesamiento y almacenamiento de datos, los servicios en la nube, las alianzas en Open Finance y las actividades de subadquirentes y prestadores de servicios de red, según la regulación de los esquemas de pago.

El punto central: la responsabilidad no se terceriza

La tomadora puede ejecutar tareas de apoyo, pero la prestadora sigue siendo responsable de la identificación y calificación de los clientes, del análisis del perfil de riesgo, de la prevención de fraudes y de la prevención del lavado de dinero y el financiamiento del terrorismo (PLD/FT). Ningún contrato transfiere esa responsabilidad.

En la práctica, cuando un fraude ocurre en una operación de BaaS, la exigencia del regulador recae sobre la institución autorizada, incluso si el cliente final nunca vio su marca.

Qué debe estar listo antes del 31/12

• Contrato con contenido mínimo: roles y responsabilidades de cada parte, remuneración, seguridad en el tratamiento de datos, acceso de la prestadora a documentos y sistemas, y reglas para atender solicitudes y reclamos de clientes.
• Evaluación de la tomadora: la prestadora debe verificar la capacidad técnica del socio y evaluar los riesgos antes de contratar.
• Transparencia con el cliente final: la tomadora debe informar que no es una institución autorizada por el Banco Central, cuando corresponda, y no puede utilizar nombres que hagan alusión al sistema financiero.
• Gobernanza: director responsable designado y políticas de gestión de riesgos con reglas específicas para BaaS.
• Controles: mecanismos de seguimiento con pistas de auditoría, métricas e indicadores, evaluados por la auditoría interna al menos una vez al año.

Y vale recordar: el Banco Central puede vetar o restringir contratos de BaaS e incluso determinar su suspensión o terminación cuando la operación ponga en riesgo la seguridad del sistema.

Por qué se estrecha el cerco

La Resolución 16 forma parte de un movimiento más amplio del Banco Central para endurecer las reglas contra el fraude a lo largo de 2025. El contexto ayuda a explicarlo: según la Febraban, el volumen perdido por estafas en el sector bancario pasó de R$ 8.600 millones en 2023 a R$ 10.100 millones en 2024, un alza del 17%.

Cuando el fraude crece y la operación está distribuida entre varios socios, saber exactamente quién controla cada etapa deja de ser un detalle jurídico y se convierte en una cuestión de supervivencia del negocio.

Cómo Akua llega preparada

Akua no sustituye la responsabilidad de la institución autorizada. Lo que hace es incorporar a la operación los controles que exige la norma, directamente en el producto, sin depender de un proyecto paralelo:

• Auditoría por cliente, no por plataforma: arquitectura multi-tenant desde la base, con segregación por organización. Para quienes procesan para terceros, cada cliente cuenta con su propia pista de auditoría.
• Identificación y riesgo: KYC, KYB y AML con pista de auditoría, y cada transacción evaluada en tiempo real con antifraude por IA, motor de reglas y 3DS.
• Reglas a medida: reglas antifraude configurables por modalidad, incluidas las dinámicas específicas de Pix.
• Mandatos bajo control: releases y mandatos de las marcas de tarjetas monitoreados antes de convertirse en un problema.
• Seguridad en la base: certificaciones PCI DSS 4.0, PCI PIN, SOC 2 e ISO 27001.

Y cuando necesite conversar sobre esto, quien responde es el equipo de Akua en Brasil.

Falta poco

Si su operación presta o contrata servicios de BaaS y todavía tiene temas pendientes, el mejor momento para cerrar esa lista es ahora, no en la última semana de diciembre. Hable con el equipo de Akua en Brasil: akua.la/br

Este contenido tiene fines informativos y no sustituye la asesoría jurídica sobre su caso particular.