Desde 1º de dezembro de 2025, as Instituições de Pagamento operam sob um regime mais rígido de encerramento compulsório de contas. A Resolução BCB nº 518/2025 alterou o artigo 13 da Resolução BCB nº 96/2021 e acrescentou uma obrigação que antes não existia: detectar e encerrar contas de clientes que replicam a lógica das chamadas "contas-bolsão" utilizando a própria conta de pagamento para intermediar recursos de terceiros sem autorização regulatória. A obrigação de encerrar contas com irregularidades cadastrais graves já constava da redação original da Res. 96/2021, embora restrita a contas pré-pagas. A 518 manteve essa hipótese, estendeu-a a todas as contas de pagamento (incluindo pós-pagas) e expandiu o escopo do artigo com novos requisitos de governança.
Para entender o alcance da norma, é útil recuar um passo. Na nota que acompanhou a publicação das normas, o BCB descreveu a conta-bolsão como a situação em que "o cliente titular utiliza os recursos mantidos nas contas para efetuar pagamentos, recebimentos ou compensações em nome de terceiros, com o objetivo de ocultar ou substituir obrigações financeiras desses terceiros." Na prática, a conta-bolsão funciona como uma conta agregadora: para a instituição que a mantém, há apenas um titular visível; os verdadeiros donos dos recursos ficam ocultos.
O CMN e o BCB atacaram esse problema em duas camadas simultâneas. A Resolução CMN nº 5.261 obriga o banco a encerrar a conta-bolsão da fintech, a conta de depósito onde a fintech concentra e mescla recursos de seus clientes. A Resolução BCB nº 518/2025 obriga a IP/fintech a encerrar a conta do seu próprio cliente que replica o mesmo padrão: alguém que abre uma conta de pagamento como cliente comum, mas a utiliza para movimentar recursos de terceiros, operando como um intermediário financeiro clandestino. O banco vigia a fintech; a fintech vigia o cliente. Este checklist trata da segunda camada, as obrigações da IP sob a 518/2025.
A 518 não veio sozinha. Ela se conecta à Resolução Conjunta CMN/BCB nº 6/2023, que obriga o compartilhamento de dados sobre indícios de fraude entre instituições — com prazo de 24 horas para registro, conforme a Resolução BCB nº 343/2023 —, e à Resolução BCB nº 501/2025, que impõe a rejeição de transações direcionadas a contas com fundada suspeita de envolvimento em fraude (mirando mais diretamente as chamadas "contas laranja").
A pergunta que fica: sua operação está preparada para cumprir e comprovar tudo isso?
Este checklist traduz as exigências regulatórias em itens auditáveis, para que sua equipe avalie o grau de conformidade da instituição de forma objetiva.
O que mudou no Artigo 13: o que já existia e o que a 518 trouxe de novo
O Art. 13 da Res. 96/2021 já previa o encerramento compulsório por irregularidades cadastrais, mas apenas para contas pré-pagas. A 518/2025 estendeu essa hipótese a todas as contas de pagamento, adicionou uma segunda hipótese de encerramento e criou requisitos de governança que antes não existiam. Hoje, a IP deve encerrar a conta de pagamento quando verificar:
Hipótese I — Irregularidades graves nas informações do titular (já prevista na Res. 96/2021 para contas pré-pagas; agora estendida a todas as contas de pagamento). O inciso I exige o encerramento quando a IP constatar irregularidades de natureza grave nas informações prestadas pelo titular. O §1º cita como exemplos as situações de inscrição no CPF definidas pela Receita Federal como "suspensa", "cancelada" ou "nula", e de CNPJ como "inapto", "baixado" ou "nulo". A lista é exemplificativa: a definição completa das situações de irregularidade está delegada a instrução normativa da Receita Federal (Art. 13, I e §1º).
Hipótese II — Prestação irregular de serviços financeiros ou de pagamento (introduzida pela 518/2025). Configura-se quando o titular presta, por meio da conta, serviços financeiros ou de pagamento no âmbito do SFN ou do SPB, sem previsão legal ou em desacordo com a regulamentação do CMN ou do BCB. O §2º traz o exemplo mais direto da lógica de conta-bolsão no nível do cliente: o uso da conta para pagamentos, recebimentos ou compensação de obrigações em nome de terceiros, de forma a ocultar obrigações financeiras desses terceiros e inviabilizar sua identificação. O cliente, nesse cenário, funciona como um intermediário financeiro não regulado replicando, na conta de pagamento, a mesma estrutura de concentração e ocultação que caracteriza a conta-bolsão institucional. O normativo deixa claro que o exemplo não é exaustivo; cabe à instituição identificar outras variações (Art. 13, II e §2º).
Além da nova hipótese de encerramento, a 518/2025 trouxe três exigências de governança: a IP deve desenvolver critérios próprios de identificação usando bases públicas e privadas (§3º), submetê-los à aprovação formal da diretoria (§4º) e manter toda a documentação acessível por no mínimo dez anos (§5º).
Checklist de Conformidade: 15 itens para auditoria interna
Bloco 1 — Governança e documentação
1. Critérios próprios de identificação de contas-bolsão documentados. A instituição elaborou critérios internos para identificar a prestação irregular de serviços financeiros por titulares de contas (Hipótese II do Art. 13), valendo-se de informações de bases públicas e privadas? (Art. 13, §3º)
2. Aprovação formal pela diretoria. Os critérios foram submetidos e aprovados pela diretoria da instituição, com registro em ata ou documento equivalente? (Art. 13, §4º)
3. Guarda documental por 10 anos. Existe processo para armazenar e manter acessível, por no mínimo dez anos, toda a documentação dos critérios e dos encerramentos realizados sob o Art. 13? (Art. 13, §5º)
4. Versionamento de políticas. Há controle de versão que registre cada alteração nos critérios de encerramento, de modo a demonstrar ao regulador a evolução da política ao longo do tempo?
Bloco 2 — Detecção e monitoramento
5. Validação cadastral contínua. Embora essa obrigação já existisse na redação original da Res. 96/2021 para contas pré-pagas (a 518/2025 a estendeu a todas as contas de pagamento), vale confirmar: a IP consulta regularmente a situação cadastral de CPFs e CNPJs dos titulares junto à Receita Federal, identificando automaticamente as situações de irregularidade definidas pela instrução normativa da RFB (como status "suspenso", "cancelado", "nulo", "inapto" ou "baixado")? (Art. 13, §1º)
6. Regras de detecção de contas-bolsão. Existem regras parametrizadas no motor de risco para identificar padrões como: concentração atípica de recebíveis de múltiplos terceiros, divergência recorrente entre titular e beneficiário, perfil transacional incompatível com a atividade declarada (CNAE) e movimentação de passagem (recebe e repassa em curto intervalo)? (Art. 13, §2º e §3º)
7. Uso de bases públicas e privadas. A instituição utiliza, de forma integrada, bases de dados públicas (Receita Federal, listas restritivas, DICT) e privadas (bureaus, compartilhamento da Resolução Conjunta nº 6) para alimentar os critérios de identificação? (Art. 13, §3º)
8. Compartilhamento de dados de fraude em 24h. A IP cumpre a obrigação de registrar indícios de fraude no sistema eletrônico compartilhado no prazo máximo de 24 horas após a identificação, conforme regulamentado pela Resolução BCB nº 343/2023, que detalha o compartilhamento previsto na Resolução Conjunta nº 6/2023?
9. Consulta ao DICT e ao SCRC no onboarding. A abertura de novas contas inclui consulta ao Diretório de Identificadores de Contas Transacionais (DICT), conforme regulamentação do Pix, e ao Sistema de Comunicação de Restrição a Contratações (SCRC), instituído pela Resolução BCB nº 475/2025?
Bloco 3 — Procedimento de encerramento e comunicação
10. Procedimento de encerramento estruturado. Existe fluxo operacional documentado com etapas claras para o encerramento compulsório, incluindo: análise do indício, decisão, execução do encerramento e registro com carimbo de data/hora?
11. Comunicação ao cliente. A IP notifica o titular da conta sobre o encerramento e os motivos? A Resolução BCB nº 96/2021 não detalha procedimento específico de comunicação para o encerramento sob o Art. 13, mas a transparência com o titular é boa prática de governança e reduz risco de judicialização.
12. Rejeição de transações para contas suspeitas. A instituição rejeita transações de pagamento (Pix, TED, DOC, boleto, transferências entre contas, entre outros) direcionadas a contas com fundada suspeita de fraude, em conformidade com a Resolução BCB nº 501/2025?
Bloco 4 — Integração com PLD/FT e reporte
13. Reporte ao COAF sem alerta ao cliente (tipping off). Quando o encerramento revela operação suspeita de lavagem de dinheiro ou financiamento do terrorismo, a IP efetua comunicação ao COAF sem alertar o titular, conforme a Circular BCB nº 3.978/2020?
14. Integração entre áreas de PLD/FT e Prevenção a Fraudes. As áreas de PLD/FT e Prevenção a Fraudes compartilham informações internamente? O Departamento de Supervisão de Conduta do BCB (DECON), conforme apontam especialistas do setor, já vem incluindo a avaliação de procedimentos antifraude em suas inspeções de PLD/FT, razão adicional para incorporar esses elementos ao relatório anual de efetividade (Art. 62, Circular BCB nº 3.978/2020).
15. Testes periódicos de efetividade. A instituição realiza testes ao longo do ano (e não apenas no momento da avaliação anual) para verificar se os procedimentos de encerramento e detecção estão funcionando conforme documentado?
Como a Resolução Conjunta nº 6 se conecta a esse cenário
A Resolução Conjunta CMN/BCB nº 6/2023 é estruturante para o cumprimento da 518/2025. Sem acesso ao ecossistema de compartilhamento de dados sobre fraudes, a IP opera às cegas para indícios que outras instituições já identificaram.
A engrenagem funciona assim: a Conjunta nº 6 exige que as instituições compartilhem, via sistema eletrônico dedicado, dados sobre indícios de fraudes. A Resolução BCB nº 343/2023 regulamenta esse compartilhamento e detalha que os indícios devem ser identificados em quatro categorias de atividades: abertura de contas, prestação de serviços de pagamento, manutenção de contas e contratação de operações de crédito. O prazo de registro é de 24 horas após a identificação. Os dados compartilhados devem ser consultados tanto no onboarding quanto durante o relacionamento com o cliente. A retenção segue dois prazos: dez anos para os dados compartilhados e a documentação dos procedimentos, e cinco anos para as informações relativas aos mecanismos de acompanhamento e controles internos.
Para a 518/2025, essa base compartilhada é insumo direto dos "critérios próprios" que a IP deve desenvolver (Art. 13, §3º). Uma conta sinalizada por outra instituição no sistema da Conjunta nº 6 pode ser o indício fundamentado que dispara a obrigação de encerramento.
Onde a VAAS entra nesse fluxo
O desafio central da 518/2025 vai além do monitoramento cadastral — que já era obrigatório para contas pré-pagas e agora se estende a todas as contas de pagamento. O que muda de fato é a obrigação de detectar padrões de conta-bolsão no comportamento transacional dos clientes, tomar a decisão de encerramento com base em critérios auditáveis e manter a trilha documental por dez anos. A plataforma da VAAS foi desenhada para cobrir esse fluxo.
Workflows auditáveis para encerramento compulsório. O fluxo de detecção e encerramento na VAAS funciona como um workflow de ponta a ponta: da identificação do padrão suspeito à decisão, passando por agentes de IA que analisam o dossiê e pela mesa de decisão onde o analista confirma. Cada etapa gera trilha de auditoria com carimbo de data/hora, fonte da informação e parâmetro de decisão — o que atende à exigência de guarda documental por dez anos (§5º do Art. 13).
Central de Riscos com monitoramento contínuo. A Central de Riscos da VAAS monitora alterações em tempo real no perfil dos titulares: inclusão em listas restritivas, novos protestos, alteração de score, surgimento de mídia adversa, entre outros sinais. Quando algo muda, o sistema reclassifica o risco automaticamente e pode disparar o fluxo de encerramento se o indício se enquadrar nos critérios do Art. 13.
DataHub com +40 bureaus integrados. A consulta a bases públicas e privadas exigida pelo §3º do Art. 13 é resolvida pelo DataHub da VAAS, que consolida informações de crédito, identidade, AML, dados públicos e reputação num único ponto de acesso — Receita Federal/Serpro, bureaus AML, Serasa, BigDataCorp, dados processuais, tudo já tipado e pronto para alimentar as regras de detecção de padrões de conta-bolsão.
Mesa de Decisão com dossiê consolidado. Para os casos que exigem análise humana, a Mesa de Decisão reúne fila, alçada, dossiê e comitê numa só tela. Analista e agentes de IA decidem juntos, com trilha completa — fundamental quando o encerramento pode gerar contestação ou quando o caso exige reporte ao COAF.
A VAAS é uma plataforma de gestão de risco inteligente que acelera compliance, prevenção à fraude e crédito num único motor de decisão. Mais de 100 times de risco em fintechs, bancos, seguradoras e indústria já operam com a VAAS.
Veja como os Workflows, a Central de Riscos e o DataHub funcionam no seu cenário:
🔍 FAQ — Perguntas Frequentes
1. A Resolução BCB 518/2025 exige que o encerramento da conta seja literalmente "imediato"?
Não há prazo em horas ou dias definido na norma, mas a redação do Art. 13 é imperativa: "as instituições devem encerrar a conta de pagamento em relação a qual verifiquem" as hipóteses listadas. Uma vez identificado e fundamentado o indício, o encerramento não é facultativo nem pode ser postergado indefinidamente. A expectativa do regulador é ação tempestiva e a documentação com carimbo de data/hora entre a detecção e o encerramento será o principal insumo de uma eventual fiscalização.
2. Minha IP já cumpre a Resolução Conjunta nº 6/2023. Isso basta para atender a 518/2025?
Não. A Conjunta nº 6 trata do compartilhamento de dados sobre indícios de fraude entre instituições, é um dos insumos para a detecção. A 518/2025 vai além: exige que a instituição desenvolva critérios próprios de identificação, documentados e aprovados pela diretoria, e execute o encerramento efetivo das contas enquadradas. Cumprir a Conjunta nº 6 alimenta a base de informações, mas não substitui a obrigação de ter processo decisório, fluxo de encerramento e retenção documental por dez anos. São normas complementares.
3. O que caracteriza uma "conta-bolsão" para fins de encerramento sob a 518/2025?
A conta-bolsão clássica é a conta institucional, a fintech ou intermediário que concentra recursos de múltiplos clientes numa conta só, ocultando os verdadeiros titulares dos valores. A Res. CMN nº 5.261 trata desse cenário no nível do banco. A 518/2025 estende a lógica para o nível seguinte: o cliente da IP que replica esse padrão na própria conta de pagamento, usando-a para pagamentos, recebimentos ou compensação de obrigações em nome de terceiros e inviabilizando a identificação dos reais beneficiários (Art. 13, §2º). Não é o mesmo que conta laranja, que tipicamente serve a uma fraude pontual, mas sim alguém operando como intermediário financeiro clandestino de forma recorrente. Red flags típicos: concentração atípica de recebíveis de múltiplos pagadores, movimentação de passagem (recebe e repassa em curto intervalo), perfil transacional incompatível com o CNAE declarado, e divergência recorrente entre titular e beneficiário final. A instituição deve definir seus próprios parâmetros com base nessas e em outras tipologias. Um ponto que merece atenção: o inciso II do Art. 13 é mais amplo que o fenômeno de conta-bolsão, cobre qualquer prestação de serviços financeiros ou de pagamento sem previsão legal ou em desacordo com a regulamentação vigente.
4. Como a VAAS ajuda a cumprir a exigência de "critérios próprios documentados e aprovados pela diretoria"?
A VAAS permite que a IP desenhe os critérios de detecção como regras dentro dos Workflows da plataforma. Cada regra fica versionada, com histórico de alterações e registro de quem aprovou. A aprovação da diretoria pode ser documentada no próprio fluxo de governança. Como toda decisão gera trilha de auditoria com carimbo de data/hora, fonte e parâmetro aplicado, a instituição mantém a documentação exigida pelo §5º do Art. 13 de forma nativa sem depender de controles paralelos em planilhas ou e-mails.
5. O que acontece se a IP não encerrar uma conta que se enquadra nas hipóteses do Art. 13?
A omissão configura descumprimento regulatório e pode acarretar medidas administrativas do Banco Central, de advertências a multas e, em casos graves, intervenção na instituição. Mais do que isso: manter uma conta-bolsão ativa expõe a IP ao risco de ser usada como veículo para lavagem de dinheiro ou financiamento do terrorismo, podendo acarretar responsabilização de administradores e demais envolvidos nos termos da Lei nº 9.613/98, a depender da demonstração de dolo. O BCB já declarou publicamente que o combate às contas-bolsão e fraudes é prioridade de supervisão.
Veja como os Workflows, a Central de Riscos e o DataHub funcionam no seu cenário:
