No banco como serviço, o cliente vê o aplicativo de uma empresa e tem a conta numa instituição autorizada que ele talvez nem conheça. A Resolução Conjunta 16/2025, do Conselho Monetário Nacional e do Banco Central, resolveu de quem é o KYC desse cliente. A resposta curta: da instituição prestadora do serviço. O art. 10 a faz responsável pela política, pelos procedimentos e pelos controles de identificação e qualificação, de prevenção de fraude e de PLD; a empresa tomadora pode executar tarefas acessórias, com ferramentas fornecidas pela prestadora, sem levar a responsabilidade junto. Os contratos que já existiam têm até 31 de dezembro de 2026 para se adequar.
Em resumo
- O cliente do BaaS tem a conta na instituição prestadora (art. 4º, § 2º) e o KYC é responsabilidade dela (art. 10).
- A tomadora pode fazer tarefa acessória, como a captura de documento, com procedimentos e ferramentas definidos pela prestadora (art. 10, §§ 1º e 2º).
- O contrato precisa prever o dever da tomadora de prover informações para identificação, qualificação, perfil de risco, fraude e PLD (art. 8º, § 2º, V, "a").
- A ordem de 2024 do Federal Reserve contra o Evolve Bank mostra, nos Estados Unidos, o que o supervisor exige quando a prestadora não supervisiona as parceiras.
A divisão de papéis que a norma fixa
A Resolução Conjunta 16, publicada em 1º de dezembro de 2025, define três personagens no art. 3º: a instituição prestadora, que é autorizada pelo Banco Central; a entidade tomadora, uma pessoa jurídica estabelecida no Brasil que disponibiliza os serviços aos seus clientes; e o cliente, que tem contrato com a prestadora para o serviço financeiro e com a tomadora para o resto. O escopo é fechado (art. 4º): contas, pagamentos por essas contas, credenciamento e operações de crédito.
A instituição prestadora de serviços de BaaS pode valer-se da entidade tomadora de serviços de BaaS para a realização de tarefas acessórias aos procedimentos e controles de que trata o caput, sem prejuízo das responsabilidades impostas para a instituição prestadora de serviços de BaaS, nos termos desta Resolução Conjunta, da regulação e da legislação em vigor.
O § 2º completa: a prestadora "deve prover os procedimentos, mecanismos e ferramentas" que a tomadora usa nessas tarefas. A leitura da casa é que a tela de captura pode estar no aplicativo da tomadora, mas o que se captura, como se verifica e quem aprova são decisões da prestadora, e o registro de cada verificação precisa chegar a ela. O art. 11 manda a prestadora adotar mecanismos que garantam a cooperação da tomadora com essa política.
As cláusulas de KYC que o contrato precisa ter
O art. 8º lista o conteúdo mínimo do contrato. As cláusulas que tocam o cadastro e o PLD estão espalhadas, e reuni-las ajuda a revisar um contrato existente antes do prazo de 31 de dezembro de 2026 (art. 22).
| Cláusula | Dispositivo | O que garante |
|---|---|---|
| Papéis e responsabilidades das partes | Art. 8º, II | Quem faz o quê no cadastro |
| Segurança na recepção e guarda dos dados dos clientes pela tomadora | Art. 8º, IV | O documento capturado não fica exposto na tomadora |
| Acesso da prestadora às informações e aos recursos de monitoramento | Art. 8º, V | A prestadora consegue conferir o que a tomadora faz |
| Aviso prévio de subcontratação de processamento de dados relevantes | Art. 8º, VI | A prestadora sabe quem mais toca o dado |
| Acesso do Banco Central ao contrato e às informações | Art. 8º, VII | O supervisor chega ao dado sem depender da tomadora |
| Dever da tomadora de prover informações para identificação, qualificação, perfil de risco, fraude e PLD | Art. 8º, § 2º, V, "a" | O KYC da prestadora tem dado para trabalhar |
| Comunicação de incidentes de segurança de dados | Art. 8º, § 5º | A prestadora reage a vazamento na ponta |
| Vedação de a tomadora receber recursos dos clientes em conta própria | Art. 8º, XIV | O dinheiro não passa por quem não é autorizado |
A norma também proíbe que a tomadora tenha, para conta de depósito à vista, poupança, pré-paga ou pós-paga, contrato com mais de uma prestadora ao mesmo tempo (art. 6º, II a V), salvo dentro do mesmo conglomerado, e exige que a prestadora publique no próprio site a lista de tomadoras com contrato vigente (art. 20, II).
O caso Evolve: o que o supervisor americano pediu
Em junho de 2024, o Federal Reserve e o departamento bancário do estado do Arkansas emitiram uma ordem de cessação, com consentimento das partes, contra o Evolve Bancorp e o Evolve Bank & Trust; a ordem vale desde 11 de junho, e o Federal Reserve a divulgou em 14 de junho. O banco oferecia contas e processamento de pagamentos a empresas de tecnologia financeira que, por sua vez, atendiam os clientes finais. A ordem registra que exames de 2023 e de janeiro de 2024 encontraram deficiências na gestão de risco dessas parcerias, no programa de prevenção à lavagem de dinheiro exigido pela lei americana e no cumprimento das regras da OFAC. Por ter sido emitida com consentimento, a ordem traz a renúncia do banco a audiência e a revisão judicial; ela não é uma condenação em processo contencioso. A ordem vale até ser alterada ou encerrada por escrito pelos supervisores (item 28), e o Federal Reserve não tinha divulgado encerramento até 16 de outubro de 2026.
| Exigência da ordem de junho de 2024 | Paralelo na norma brasileira |
|---|---|
| Políticas para identificar, gerir e monitorar riscos de compliance e fraude de cada parceira, produto e cliente (item 3) | Art. 7º, verificação prévia e durante o contrato, e art. 18, controle de qualidade da tomadora |
| Metodologia comum de avaliação e classificação de risco das parceiras, com regras de entrada, monitoramento e saída (item 3) | Art. 5º, regras e critérios de contratação na política de riscos |
| Aprovação escrita do conselho antes de lançar produto ou admitir parceira nova (item 3) | Art. 5º, § 2º, políticas aprovadas pelo conselho ou pela diretoria |
| Programa de diligência do cliente que colete e guarde identidade, origem do patrimônio e atividade de todos os clientes (item 11) | Art. 10, responsabilidade da prestadora pela identificação e qualificação |
O paralelo não diz que a norma brasileira copiou a ordem. Ele mostra que, quando o supervisor de outro país olhou para o mesmo modelo de negócio, as perguntas foram as que a Resolução Conjunta 16 transformou em regra.
O que fazer até 31 de dezembro de 2026
Para a prestadora, o trabalho é inventariar as tomadoras, ler cada contrato contra o art. 8º e conferir se o fluxo de cadastro em cada uma usa o manual dela, e não um manual próprio da tomadora. Para a tomadora, o trabalho é saber que o cliente que ela capta é cliente da prestadora para o KYC, e guardar a prova de que seguiu o procedimento recebido. A visão comparada das licenças está no artigo sobre KYC para fintech por tipo de licença, e o caso da instituição de pagamento que presta o serviço, no de KYC para instituições de pagamento.
Fontes citadas
- Resolução Conjunta BCB/CMN 16/2025, arts. 3º a 8º, 10, 11, 18, 20 e 22, Banco Central
- Federal Reserve, comunicado de 14/6/2024, federalreserve.gov, e a ordem de cessação com consentimento, Docket Nos. 24-012-B-HC e 24-012-B-SM, itens 3, 11 e 28, PDF oficial