Selo 01 · Res. Conjunta CMN/BCB nº 16/2025
Governança, compliance e resiliência operacional para provedores de infraestrutura bancária que operam sob patrocínio de IPs e IFs.
O selo
Prazo do art. 22
para adaptar os contratos de BaaS vigentes. Todo o ecossistema precisará demonstrar conformidade ao mesmo tempo.
O Instituto Fintech concebeu o Selo de Conformidade em Banking as a Service com o propósito de uniformizar as melhores práticas e procedimentos aplicados pelos agentes do arranjo tomadores e prestadores dando transparência, robustez e economia às instituições, ao supervisor e aos clientes finais.
A Resolução Conjunta CMN/BCB nº 16/2025 é o marco regulatório sobre o qual o Selo foi construído. O instrumento busca assegurar alinhamento integral às suas diretrizes, propiciando um ambiente mais competitivo e leal a todos os participantes, com tratamento isonômico e identificação rápida, precisa e menos onerosa das estruturas de controle existentes.
O modelo é intencionalmente simples: só existem dois papéis tomador e prestador. A modalidade Prestador + reconhece instituições que já mantêm certificações equivalentes e permite seu aproveitamento na evidenciação. Toda a arquitetura, das modalidades à governança, deriva dessa premissa.
Objetivos
Alinhamento integral à Resolução Conjunta CMN/BCB nº 16/2025.
Estímulo à adoção de boas práticas nacionais e internacionais em BaaS.
Robustez dos controles, contratos e procedimentos entre tomador e prestador.
Assessoramento para instituições atingirem aderência plena à norma.
Economia na evidenciação de práticas a fiscalizadores, parceiros e clientes.
Modalidades
No BaaS existem apenas dois papéis tomador e prestador. A modalidade Prestador + é destinada a instituições que já possuem outras certificações reconhecidas e podem utilizá-las para aproveitamento de evidências nos eixos equivalentes.
TOMADOR
Público-alvo · Empresas não reguladas (marcas, varejistas, plataformas, SaaS) que ofertam serviços financeiros ao cliente final por meio de uma prestadora regulada.
Formato · Auditoria de campo por empresa homologada, cobrindo os 7 eixos da Res. 16/2025.
PRESTADOR
Público-alvo · Instituições reguladas pelo BCB (IP, SCD, IF) que prestam serviços de BaaS a tomadoras.
Formato · Autocertificação estruturada com termo de responsabilidade e desk review pelo Instituto.
PRESTADOR +
Público-alvo · Instituições reguladas que já possuem certificações reconhecidas (ISO 27001, SOC 2, PCI-DSS, entre outras) e podem aproveitá-las como evidência em eixos equivalentes.
Formato · Autocertificação + análise de equivalência das certificações vigentes, reduzindo esforço e custo de evidenciação nos eixos cobertos.
Execução e auditoria
A avaliação dos requisitos é executada por empresas de auditoria selecionadas e credenciadas anualmente pelo Instituto, dentre aquelas de reconhecida capacidade técnica, experiência comprovada e independência de forma a garantir menor custo, uniformidade e isonomia no processo de coleta e avaliação de informações.
À opção da instituição, a auditoria homologada poderá, em sinergia com o trabalho de certificação, elaborar relatórios e avaliações cuja execução a regulação admite delegar a terceiros especializados como o relatório de avaliação de efetividade de PLD/FT e o relatório anual de controles internos aproveitando a mesma base documental e o mesmo esforço de avaliação. A aprovação desses relatórios e a responsabilidade regulatória permanecem, em qualquer caso, com a instituição e seus administradores, na forma da norma aplicável. Permanece, igualmente, a vedação de acúmulo de papéis incompatíveis: quem presta adequação a uma instituição não pode executar, para essa mesma instituição, a auditoria do selo nem qualquer trabalho de asseguração.
Escopo de avaliação
Cada eixo vira um capítulo do checklist de certificação, com requisitos, evidências esperadas e critérios de aprovação derivados diretamente da norma.
Estrutura societária, órgãos de administração, políticas e cultura de conformidade.
Adequação contratual à Res. 16/2025, cláusulas obrigatórias e responsabilização entre as partes.
Resiliência, gestão de incidentes, segregação lógica e conformidade com a Res. BCB 85.
Ouvidoria, SAC, transparência, prevenção ao superendividamento e defesa do usuário final.
Prevenção à lavagem, ao financiamento do terrorismo, sanções e monitoramento antifraude.
Estrutura de gestão de riscos, linhas de defesa e testes independentes de controles.
Reportes ao patrocinador regulado, ao BCB e ao próprio instituto certificador.
Etapas · Regras de aprovação
O selo é emitido apenas para instituições que atinjam nota mínima 9 (nove) na avaliação dos 7 eixos.
Vigência de 12 meses, com renovação obrigatória próxima à expiração e checkpoint intermediário para o Selo Tomador.
Tomadoras e prestadoras autorizadas após o lançamento têm 180 dias, a partir do início da operação de BaaS, para obter o selo.
Notas entre 8 e 9, sem deficiências graves, permitem a assinatura de CCA para saneamento em até 70 dias antes da emissão.
Deficiências graves ou nota inferior a 8 exigem plano de remediação e nova auditoria completa sem emissão até a reaprovação.
Valores
O investimento é diferenciado entre as três modalidades Selo Tomador, Selo Prestador e Selo Prestador+ em linha com a complexidade de cada avaliação. Dentro de cada modalidade, o valor é único por instituição, sem variações nem surpresas.
Além do trabalho de avaliação, o Instituto administra todo o ciclo de certificação homologação de auditoras, reconhecimento de equivalências, análise dos relatórios, emissão, monitoramento de vigência e recertificação e mantém a lista pública de certificados permanentemente atualizada.
*CCA (Contrato de Compromisso de Ajustes): 35% do valor pago no selo.
Voltado a tomadoras de BaaS não reguladas. Auditoria remota conduzida por empresa homologada, com base no checklist oficial do selo.
Voltado a prestadoras reguladas. Avaliação documental a partir do questionário estruturado e do termo de responsabilidade.
Reconhece avaliações formais já existentes SOC Report, Selo de Conformidade em PLD/FTP e ISO 27001 como equivalência nos eixos correspondentes, com distinção de verificação ampliada.
Dúvidas frequentes
Não é obrigação regulatória. É instrumento de mercado: evidencia conformidade à Res. 16/2025 e é expressamente admitido pelo art. 7º, § 5º como insumo da due diligence da prestadora sobre a tomadora.
Sim. O Instituto oferece condições à vista e parceladas, definidas no momento da adesão conforme a modalidade contratada.
Somente auditoras homologadas pelo Instituto podem executar a auditoria do selo. A lista pública fica em /auditores e é atualizada continuamente.
Não. Independência é condição do modelo: quem presta adequação a um cliente não pode auditá-lo para fins de emissão do selo.
A auditoria interna cumpre obrigações da própria instituição (art. 17 da Res. 16/2025). O selo é certificação externa, com regulamento público, checklist unificado e emissão por comitê independente.
Do diagnóstico à emissão, o ciclo típico é de 60 a 120 dias conforme a maturidade. A auditoria é conduzida remotamente, com visitas presenciais só quando estritamente necessário.
Não há sanção regulatória o selo é voluntário. Há plano de remediação estruturado e possibilidade de nova auditoria após o saneamento das deficiências.
Não. Cada elo do arranjo é avaliado no seu papel: o Selo Prestador atesta a operação da instituição regulada; o Selo Tomador atesta as capacidades da contratante não regulada.
Solicitar adesão
Encaminhamento de informações preliminares para início do processo de auditoria e Termo de Adesão. Os dados são utilizados apenas pelo Instituto e pela auditora homologada indicada.
Verifique
Antes de contratar um provedor BaaS, verifique CNPJ, data de emissão, validade e auditor responsável.
Verificar por CNPJCertifique-se
Instituições interessadas contratam diretamente um dos auditores credenciados pelo Instituto.
Ver auditores credenciados