Resolução Conjunta 16/2025: o prazo do BaaS está chegando. Sua operação está pronta?

O dia 31 de dezembro de 2026 está logo ali. É a data-limite para que os contratos de Banking as a Service (BaaS) que já estavam em vigor se adequem à Resolução Conjunta nº 16/2025, do Conselho Monetário Nacional e do Banco Central.

Para quem oferece contas, adquirência ou crédito por meio de outras empresas, não se trata de revisar uma cláusula. A norma deixa claro quem responde por cada etapa da operação, inclusive pela prevenção a fraudes.

O que é a Resolução Conjunta 16/2025

Depois da consulta pública 108/2024, a norma criou o primeiro marco regulatório específico para BaaS no Brasil. Ela entrou em vigor em 28/11/2025, e quem já tinha contrato vigente ganhou prazo até 31/12/2026 para se adequar.

Na definição da norma, BaaS é quando uma instituição autorizada pelo Banco Central (a prestadora) oferece serviços financeiros por meio de outra empresa (a tomadora), que fica com a experiência do cliente. A norma limita o escopo do BaaS a estes serviços:

• abertura, manutenção e encerramento de contas de depósito ou de pagamento, e os serviços de pagamento feitos por meio delas;
• credenciamento, ou seja, adquirência;
• operações de crédito.

Ficam fora do conceito de BaaS, por exemplo, os correspondentes bancários, o processamento e armazenamento de dados, os serviços de nuvem, as parcerias no Open Finance e as atividades de subcredenciadores e de prestadores de serviço de rede, na forma da regulamentação dos arranjos de pagamento.

O ponto central: responsabilidade não se terceiriza

A tomadora pode executar tarefas de apoio, mas a prestadora continua responsável pela identificação e qualificação dos clientes, pela análise do perfil de risco, pela prevenção a fraudes e pela prevenção à lavagem de dinheiro e ao financiamento do terrorismo (PLD/FT). Nenhum contrato transfere essa responsabilidade.

Na prática, quando uma fraude passa por uma operação de BaaS, a cobrança do regulador recai sobre a instituição autorizada, mesmo que o cliente nunca tenha visto a marca dela.

O que precisa estar pronto até 31/12

• Contrato com conteúdo mínimo: papéis e responsabilidades de cada parte, remuneração, segurança no tratamento de dados, acesso da prestadora a documentos e sistemas e regras para tratar demandas de clientes.
• Avaliação da tomadora: a prestadora precisa verificar a capacidade técnica do parceiro e avaliar os riscos antes de contratar.
• Transparência com o cliente final: a tomadora informa que não é instituição autorizada pelo Banco Central, quando for o caso, e não pode usar nomes que remetam ao sistema financeiro.
• Governança: diretor responsável designado e políticas de gestão de riscos com regras específicas para BaaS.
• Controles: mecanismos de acompanhamento com trilhas de auditoria, métricas e indicadores, testados pela auditoria interna pelo menos uma vez por ano.

E vale lembrar: o Banco Central pode vetar ou restringir contratos de BaaS e até determinar sua suspensão ou encerramento quando a operação colocar em risco a segurança do sistema.

Por que o cerco apertou

A Resolução 16 faz parte de um movimento maior do Banco Central para endurecer as regras contra fraudes ao longo de 2025. O contexto ajuda a explicar: segundo a Febraban, o volume perdido com golpes no setor bancário passou de R$ 8,6 bilhões em 2023 para R$ 10,1 bilhões em 2024, uma alta de 17%.

Quando a fraude cresce e a operação está espalhada entre vários parceiros, saber exatamente quem controla cada etapa deixa de ser detalhe jurídico e vira questão de sobrevivência do negócio.

Como a Akua chega pronta

A Akua não substitui a responsabilidade da instituição autorizada. O que ela faz é colocar na operação os controles que a norma exige, já no produto, sem depender de um projeto paralelo:

• Auditoria por cliente, não por plataforma: arquitetura multi-tenant desde a base, com segregação por organização. Para quem processa para terceiros, cada cliente tem a sua trilha.
• Identificação e risco: KYC, KYB e AML com trilha de auditoria, e cada transação avaliada em tempo real com antifraude por IA, motor de regras e 3DS.
• Regras sob medida: regras antifraude configuráveis por modalidade, inclusive para as dinâmicas específicas do Pix.
• Mandatos sob controle: releases e mandatos das bandeiras acompanhados antes de virarem problema.
• Segurança na base: certificações PCI DSS 4.0, PCI PIN, SOC 2 e ISO 27001.

E quando você precisa conversar sobre isso, quem responde é o time da Akua no Brasil.

Falta pouco

Se a sua operação presta ou contrata serviços de BaaS e ainda tem itens em aberto, o melhor momento para fechar essa lista é agora, não na última semana de dezembro. Fale com o time da Akua no Brasil: akua.la/br

Este conteúdo tem caráter informativo e não substitui orientação jurídica sobre o seu caso.