Quem responde pelo quê no BaaS: a divisão de responsabilidades entre a instituição licenciada e a empresa parceira

Uma indústria monta um programa de crédito para os seus distribuidores. A licença bancária não é dela: uma instituição autorizada pelo Banco Central empresta a estrutura regulatória, e tudo roda integrado por APIs. Até que um cadastro fraudado passa pela esteira, um cliente reclama do atendimento, um dado vaza. A pergunta que define o tamanho do problema é uma só: quem responde — a instituição licenciada ou a empresa que distribui o produto?

Até novembro de 2025, a resposta morava no contrato. Cada parceria de Banking as a Service (BaaS) — o modelo em que uma instituição autorizada disponibiliza serviços financeiros por meio de outra empresa — desenhava a própria divisão de papéis, e o regulador enxergava o conjunto de longe. A Resolução Conjunta CMN/BCB nº 16/2025, publicada em 28 de novembro de 2025, encerrou essa fase: a divisão de responsabilidades agora está na norma, não na criatividade contratual.

O que segue é o mapa dessa divisão: o que fica com a instituição licenciada, o que a empresa parceira pode executar, as vedações que obrigam redesenho de operação — e o prazo, 31 de dezembro de 2026, para adequar contratos que já existem.

As duas figuras que a norma nomeia

A resolução organiza o BaaS em torno de dois papéis. A instituição prestadora é quem detém a autorização do Banco Central — um banco, uma instituição de pagamento, uma sociedade de crédito direto. A entidade tomadora é a empresa que distribui o serviço financeiro à própria base de clientes. Pode ser uma fintech, mas pode igualmente ser uma indústria, uma distribuidora ou uma rede de franquias que embute conta, pagamento ou crédito no seu ecossistema.

O escopo é fechado: a norma lista os serviços que cabem no modelo — abertura e manutenção de contas de depósito ou de pagamento, adquirência e operações de crédito —, sempre prestados por canal eletrônico, com integração de sistemas entre as partes. Produto que não está nesse rol não é BaaS para efeitos da resolução, e arranjo que tenta esticá-lo opera fora do perímetro desenhado.

Há uma pergunta anterior à escolha do parceiro, e ela organiza tudo: o seu produto precisa de BaaS? O modelo só é necessário onde existe atividade privativa de instituição financeira — captar, intermediar e aplicar recursos, reserva do Art. 17 da Lei 4.595/1964. Programas desenhados como cessão de crédito — a compra de recebíveis já constituídos, instituto do Art. 286 do Código Civil — não dependem de licença bancária e, portanto, tampouco de BaaS. Quem financia a cadeia comprando duplicatas está num regime; quem desembolsa dinheiro na conta do cliente está no outro. A resolução governa o segundo.

A regra central: executar não é responder

O núcleo da norma é uma distinção que o mercado tratava como negociável e o regulador tornou fixa: execução operacional pode ser distribuída; responsabilidade regulatória, não. O Art. 9º atribui à prestadora a garantia de confiabilidade, integridade, disponibilidade, segurança e sigilo dos serviços — e o cumprimento de toda a regulação aplicável. Não existe cláusula capaz de transferir esse pacote para a tomadora.

O Art. 10 desce ao detalhe que mais afeta o dia a dia: a política, os procedimentos e os controles de identificação e qualificação de clientes (o KYC, o "conheça seu cliente"), de análise de perfil de risco, de prevenção à lavagem de dinheiro e ao financiamento do terrorismo (PLD/FT) e de prevenção a fraudes pertencem à prestadora. A tomadora pode executar — coletar documentos, operar a esteira de cadastro, fazer a primeira linha de atendimento —, mas usando as ferramentas, os sistemas e os protocolos da prestadora. E mesmo no atendimento a regra se repete: a prestadora é a responsável final pelas demandas do cliente, ainda que a tomadora atenda o telefone.

Para a empresa parceira, a consequência é dupla. Primeiro, ninguém "aluga uma licença" para operar livre: a tomadora opera dentro da arquitetura de compliance de outra instituição. Segundo, essa instituição passa a tratá-la como ponto crítico do próprio mapa de riscos — com due diligence antes do contrato, monitoramento contínuo, indicadores de qualidade e revisão periódica. O aumento de exigência que os parceiros licenciados vêm impondo às tomadoras não é excesso de zelo: é obrigação deles perante o Banco Central.

Estrutura de papéis no BaaS segundo a Resolução Conjunta CMN/BCB nº 16/2025. Diagrama conceitual autoral.

O mapa: quem responde pelo quê

Divisão de responsabilidades no BaaS

	PRESTADORA Instituição licenciada	TOMADORA Empresa parceira
Cadastro e perfil de risco (KYC)	Define a política, aprova e responde ao regulador	Coleta dados e opera o fluxo com as ferramentas da prestadora
PLD/FT e prevenção a fraudes	Detém política, procedimentos e controles	Executa dentro dos protocolos da prestadora, sem controles paralelos
Atendimento ao cliente	Responsável final por toda demanda	Pode operar a primeira linha, sem assumir a responsabilidade
Segurança e sigilo de dados	Garante confiabilidade, integridade e disponibilidade dos serviços	Cumpre as medidas contratadas e comunica o uso de terceiros relevantes
Identificação perante o cliente	Aparece como fornecedora do serviço em canais e documentos	Não usa termos do sistema financeiro na própria denominação
Governança	Diretor responsável designado, trilhas de auditoria, métricas e testes	Espelha as obrigações via contrato — e diretamente, se também for instituição autorizada

Síntese autoral com base na Resolução Conjunta CMN/BCB nº 16/2025 (em especial arts. 9º, 10 e 13).

As vedações que obrigam redesenho

A primeira vedação mexe na arquitetura do dinheiro. A norma exige a individualização de contas: os recursos do cliente fluem diretamente entre ele e a prestadora, e ficam inviáveis as estruturas de conta-bolsão — a conta única de titularidade da tomadora que concentra o dinheiro de todos os clientes e o distribui por registros internos, as chamadas contas gráficas. O impacto é de migração, não de ajuste. Uma distribuidora que opera crédito para 800 varejistas no desenho antigo mantinha 1 conta de passagem e 800 saldos escriturais no próprio sistema; no desenho exigido, são 800 contas individualizadas na instituição licenciada, cada uma aberta sob a política de cadastro dela. É projeto de meses, com trilha de conciliação nova de ponta a ponta.

As demais vedações desenham o resto do perímetro. A tomadora que não seja instituição autorizada não pode carregar na denominação termos típicos do sistema financeiro — "banco", "financeira" e afins —, o que alcança marca, domínio e material comercial. Não pode contratar o mesmo serviço de duas prestadoras diferentes, salvo dentro do mesmo conglomerado prudencial (o grupo de empresas supervisionado em conjunto pelo Banco Central), nem acumular a função de correspondente para os mesmos serviços. Não pode cobrar tarifas em nome da prestadora. E a subcontratação dos serviços de BaaS é vedada: quem contratou presta.

Fecha o desenho um lembrete de que o assunto é penal, não só administrativo: exercer por conta própria atividade privativa de instituição financeira é crime contra o Sistema Financeiro Nacional (Lei 7.492/1986) — e a norma exige da tomadora declaração expressa de que tem ciência disso. O aviso passa a estar documentado no contrato; quem cruzar a linha não alegará desconhecimento.

O contrato deixa de ser peça comercial e vira peça regulatória

A resolução prescreve o conteúdo mínimo do contrato de BaaS: objeto e papéis de cada parte, forma de remuneração, medidas de segurança no tratamento de dados, comunicação prévia sobre terceiros relevantes no processamento ou armazenamento de informações, regras para o tratamento das demandas de clientes e disciplina para o encerramento da relação — inclusive o que acontece com a carteira se a parceria acabar ou se a prestadora entrar em regime especial. A estrutura tampouco pode virar barreira à portabilidade de crédito do cliente.

A transparência ganha camada pública: a prestadora divulga e mantém atualizada a lista de tomadoras contratadas, informa o Banco Central, guarda contratos e documentação de avaliação por 5 anos e registros de controles por 10. E a supervisão ganha dentes: o BC pode vetar contratações, impor restrições, exigir ajustes e determinar a suspensão ou o encerramento de contratos que ponham em risco o sistema. Quando o parceiro licenciado pedir certificações, evidências e trilhas de auditoria à sua empresa, cada pedido terá lastro normativo — negociar BaaS virou exercício de arquitetura regulatória, não apenas de preço.

O relógio: vigência imediata, adequação até dezembro de 2026

A norma entrou em vigor na data da publicação, 28 de novembro de 2025. Para quem já tinha contrato de serviços hoje enquadrados como BaaS, o prazo de adequação vai até 31 de dezembro de 2026. De setembro de 2026 até lá restam menos de 4 meses — e a lista de ajustes inclui renegociação contratual, migração de estrutura de contas e implantação de trilhas de auditoria, itens que consomem trimestres, não semanas.

Linha do tempo da Resolução Conjunta CMN/BCB nº 16/2025 — vigência na publicação e prazo de adequação dos contratos vigentes (art. 22).

O que fazer com isso

Separe o que é BaaS do que não é. Liste os produtos financeiros do seu ecossistema e classifique cada um: o que opera por cessão de recebíveis — antecipação, compra de duplicatas, crediário estruturado como cessão — fica fora do perímetro da norma; o que envolve conta, adquirência ou crédito com desembolso entra nele. Essa classificação define quais operações carregam as obrigações descritas acima e quais seguem outro regime.

Releia o contrato contra o conteúdo mínimo. Papéis, remuneração, dados, terceiros relevantes, encerramento, regimes especiais, portabilidade: lacuna identificada agora é cláusula renegociada com calma; identificada em novembro, é renegociada sob pressão — e o poder de barganha estará do outro lado da mesa.

Audite o caminho do dinheiro. Se recursos de clientes transitam por conta da sua empresa antes de chegar à instituição licenciada, o redesenho da estrutura de contas é o item mais demorado da lista. Comece por ele.

Revise marca e comunicação. Canais e documentos precisam deixar claro quem é a instituição por trás do serviço — e a sua denominação não pode sugerir que é você.

Trate a due diligence do parceiro como rotina, não como evento. Certificações, indicadores e trilhas de auditoria serão pedidos recorrentes, porque a prestadora responde pela sua operação perante o regulador — e vai cobrar de você a evidência de que pode responder com tranquilidade.

Em estruturas híbridas e casos-limite — produtos que combinam cessão e desembolso, arranjos com mais de um parceiro —, a classificação merece avaliação jurídica do caso concreto: é ela que determina de que lado da linha a sua operação está e, quando algo sai do script, quem responde pelo quê.