Quando uma instituição financeira autorizada pelo Banco Central oferece sua infraestrutura via Banking as a Service (BaaS), ela permite que parceiros (fintechs, varejistas, marketplaces) entreguem produtos financeiros aos seus próprios clientes. Esse modelo B2B2C (Business-to-Business-to-Consumer) é um motor de escala: o parceiro foca na experiência do cliente final e o provedor cuida da licença regulatória e da plataforma tecnológica.
O problema começa quando o onboarding do cliente final é executado na camada do parceiro sem controles adequados. Cadastros vulneráveis abrem a porta para fraudes documentais, laranjas e esquemas de lavagem de dinheiro que, pela lógica regulatória, recaem integralmente sobre o provedor BaaS. A Circular BCB nº 3.978/2020 já atribuía à instituição autorizada a responsabilidade por identificação e qualificação de clientes (KYC) e por prevenção à lavagem de dinheiro e ao financiamento do terrorismo (PLD/FT). A Resolução Conjunta nº 16/2025, publicada em 28 de novembro de 2025, reafirmou essa responsabilidade no contexto específico do BaaS: mesmo quando a operação é executada por terceiros, a instituição autorizada responde perante o regulador.
Este artigo explora por que o modelo B2B2C amplifica riscos de compliance, como diferentes abordagens de KYC se comparam em prós e contras e por que a centralização das regras sob uma plataforma de orquestração unificada é um caminho para equilibrar conformidade regulatória e agilidade nas integrações.
No modelo B2B2C, a cadeia de valor tem três camadas: o provedor de infraestrutura BaaS (instituição autorizada), o parceiro comercial (empresa tomadora do serviço) e o cliente final (consumidor ou empresa). O parceiro é quem detém a relação direta com o consumidor: é ele que desenha a jornada de abertura de conta, coleta documentos e define a experiência de onboarding.
Essa divisão de papéis cria um ponto cego perigoso. O parceiro tem incentivo comercial para minimizar fricção no cadastro; o provedor, por sua vez, depende da qualidade dos dados coletados nessa camada para cumprir suas obrigações regulatórias. Quando o KYC do parceiro é frágil, o provedor herda o risco sem ter participado da decisão que o gerou.
Cadastros vulneráveis na camada do parceiro abrem espaço para padrões recorrentes de abuso: contas abertas com documentos falsificados ou de terceiros (laranjas), estruturas societárias de fachada criadas para ocultar beneficiários finais, smurfing (fragmentação de valores em múltiplas transações pequenas para escapar de limites de monitoramento) e contas de passagem que funcionam como "ponte" para movimentar recursos ilícitos.
Investigações recentes, como a Operação Carbono Oculto, revelaram que organizações criminosas utilizam fintechs e instituições de pagamento como canal de lavagem de dinheiro em escala bilionária. Esse tipo de exposição pode custar ao provedor BaaS desde multas e sanções administrativas até a perda da licença de operação.
Na prática, existem três abordagens para distribuir a responsabilidade de KYC na cadeia B2B2C. Cada uma traz trade-offs distintos entre agilidade, controle e risco.
Neste modelo, o parceiro conduz todo o processo de onboarding (coleta de dados, validação documental, verificação de identidade) usando suas próprias ferramentas e critérios.
Prós: maior velocidade de integração para o parceiro, flexibilidade total para customizar a jornada do cliente e menor custo inicial de implementação.
Contras: o provedor BaaS perde visibilidade sobre a qualidade dos cadastros, cada parceiro pode aplicar critérios diferentes (ou insuficientes), a instituição regulada assume risco sem controle, e a adequação regulatória fica comprometida, já que tanto a Circular BCB nº 3.978/2020 quanto a Resolução Conjunta nº 16/2025 exigem que a instituição autorizada seja responsável direta pelo KYC e pela PLD/FT.
Aqui, o provedor BaaS conduz integralmente o KYC de todos os clientes finais, independentemente do parceiro de origem.
Prós: controle total sobre a qualidade e consistência dos procedimentos, conformidade regulatória direta, visão unificada do risco e base de dados centralizada para cruzamentos societários e detecção de padrões.
Contras: pode engessar a experiência do parceiro, adicionando fricção ao onboarding, o tempo de integração de novos parceiros aumenta, e o provedor precisa escalar sua estrutura operacional proporcionalmente ao número de parceiros e clientes finais.
Neste modelo, o parceiro executa a coleta de dados na ponta, preservando a experiência do cliente, mas as regras de validação, os critérios de aprovação e o monitoramento contínuo são definidos e governados centralmente pelo provedor BaaS por meio de uma plataforma de orquestração.
Prós: preserva a agilidade comercial do parceiro, garante que todos os cadastros passem pelo mesmo crivo regulatório, permite ajustar regras de risco por vertical ou perfil de parceiro sem exigir mudanças nas integrações técnicas, e viabiliza cruzamento societário e detecção de fraude em escala, pois todos os dados convergem para uma base unificada.
Contras: exige investimento inicial em plataforma tecnológica, demanda governança clara de SLAs e responsabilidades entre provedor e parceiro, e a complexidade de orquestração aumenta com o número de parceiros e verticais atendidas.
O pacote regulatório publicado entre novembro e dezembro de 2025 atacou o problema em múltiplas frentes. A Resolução Conjunta nº 16/2025 disciplinou o BaaS: definiu responsabilidades de KYC e PLD/FT, exigiu individualização de contas e ampliou requisitos de governança, segurança da informação e reporte ao regulador. Em paralelo, a Resolução BCB nº 518/2025 determinou o encerramento compulsório de contas-bolsão (contas que agrupam recursos de múltiplos clientes sem individualização de titularidade). A Resolução Conjunta nº 14/2025 reformulou a metodologia de capital mínimo, vinculando-o ao risco e à complexidade operacional de cada instituição, com adicionais para serviços como BaaS, Open Finance e Pix. As instituições que já mantêm contratos enquadráveis como BaaS têm até 31 de dezembro de 2026 para se adequar integralmente à Resolução Conjunta nº 16/2025.
Em paralelo, o cenário internacional pressiona. O relatório de avaliação mútua do GAFI/FATF sobre o Brasil, publicado em dezembro de 2023, mostrou que o país recebeu rating satisfatório (Compliant ou Largely Compliant) em 29 das 40 Recomendações, mas ficou abaixo do esperado (Partially Compliant ou Non-Compliant) em 11 delas, com lacunas relevantes na supervisão do setor não financeiro e na cooperação entre autoridades. A pressão por transparência de beneficiários finais e por mecanismos mais robustos de monitoramento transacional continua crescendo.
Nesse contexto, o modelo de KYC orquestrado se destaca por resolver o dilema central do B2B2C: como o provedor BaaS pode garantir conformidade sem engessar as integrações dos parceiros.
Na prática, a orquestração unificada significa:
O provedor define as regras (verificações obrigatórias, fontes de dados a consultar, critérios de risco por vertical) e as expõe via APIs. O parceiro integra essas APIs na sua jornada de onboarding, mantendo controle sobre a experiência do usuário. Toda validação, cruzamento societário e scoring de risco acontecem na plataforma central do provedor, gerando uma visão consolidada e auditável.
Quando o provedor detecta um padrão de fraude em um parceiro, a regra atualizada se propaga automaticamente para todos os demais. A base unificada também permite identificar conexões societárias entre clientes de parceiros diferentes, algo impossível em um modelo descentralizado.
O resultado é um sistema em que o parceiro mantém velocidade e flexibilidade, o provedor mantém controle e conformidade, e o regulador encontra rastreabilidade e governança.
Fintechs sem estrutura robusta de compliance estão progressivamente sendo excluídas do mercado. A designação do PCC e do CV como Specially Designated Global Terrorists (SDGT, maio de 2026) e como Foreign Terrorist Organizations (FTO, junho de 2026) pelos Estados Unidos elevou a régua de risco para todo o ecossistema financeiro brasileiro, incluindo provedores de BaaS, credenciadoras e meios de pagamento. A designação SDGT impõe bloqueio de ativos e responsabilidade civil objetiva; a designação FTO acrescenta responsabilidade criminal por fornecimento de suporte material às organizações designadas. Bancos correspondentes internacionais estão apertando seus processos de due diligence sobre parceiros brasileiros.
Para provedores de infraestrutura BaaS, a equação é clara: a conformidade é tanto exigência regulatória quanto diferencial competitivo. Parceiros sérios buscam provedores que ofereçam segurança regulatória, e clientes finais migram para plataformas que protejam seus dados e sua identidade.
Centralizar KYC e cruzamento societário sob uma plataforma de orquestração unificada é a resposta proporcional a um modelo de negócios que, por design, multiplica pontos de vulnerabilidade.
O modelo B2B2C em BaaS é poderoso para escalar serviços financeiros, mas sua própria arquitetura distribui o risco de compliance por múltiplas camadas. O pacote regulatório de novembro de 2025, liderado pela Resolução Conjunta nº 16/2025, eliminou qualquer ambiguidade sobre onde recai a responsabilidade: na instituição autorizada. Provedores que não centralizarem suas regras de KYC e PLD sob uma governança unificada estão, na prática, terceirizando a conformidade, algo que a regulação expressamente proíbe.
A resposta está em plataformas de orquestração que imponham conformidade de ponta a ponta sem sacrificar a flexibilidade que torna o B2B2C atrativo.
1. O parceiro comercial (tomador de BaaS) tem alguma responsabilidade regulatória sobre o KYC do cliente final?
Pela Resolução Conjunta nº 16/2025, a responsabilidade regulatória é da instituição autorizada pelo Banco Central, ou seja, o provedor BaaS. O parceiro pode executar tarefas acessórias de coleta de dados e identificação do cliente, mas sempre sob supervisão e utilizando procedimentos e ferramentas fornecidos pela instituição prestadora. A validação, a aprovação e o monitoramento contínuo são obrigações intransferíveis da instituição regulada. Contratualmente, o provedor pode (e deve) estabelecer SLAs e requisitos mínimos que o parceiro precisa cumprir, mas isso não transfere a responsabilidade perante o regulador.
2. O que são "contas-bolsão" e por que foram proibidas?
Contas-bolsão (ou contas invisíveis) são estruturas em que múltiplos clientes finais ficam agregados sob uma única conta de titularidade da instituição, sem individualização adequada dos valores. Essa prática dificultava a rastreabilidade de transações individuais e favorecia a lavagem de dinheiro, pois obscurecia a titularidade real dos recursos. A Resolução Conjunta nº 16/2025 vedou essa prática no contexto do BaaS, exigindo que toda conta tenha titularidade individualizada do cliente final na instituição prestadora. Em paralelo, a Resolução BCB nº 518/2025 determinou o encerramento compulsório de contas de pagamento com esse tipo de irregularidade.
3. Como a orquestração unificada de KYC funciona na prática para o parceiro?
O parceiro integra as APIs do provedor BaaS na sua jornada de onboarding. Na experiência do cliente final, o fluxo parece nativo. O parceiro mantém controle sobre a interface e o design da jornada. Nos bastidores, os dados coletados são enviados à plataforma central do provedor, que aplica as regras de validação, consulta bases externas, executa cruzamentos societários e retorna o resultado (aprovação, reprovação ou pendência). O parceiro não precisa construir ou manter sua própria infraestrutura de compliance.
4. Qual o prazo para adequação à Resolução Conjunta nº 16/2025?
A Resolução está em vigor desde sua publicação em 28 de novembro de 2025. Novos contratos devem seguir as exigências imediatamente. Instituições que já mantêm contratos enquadráveis como BaaS têm até 31 de dezembro de 2026 para adequá-los integralmente às novas regras.
5. Quais são os principais sinais de alerta de fraude cadastral que o provedor BaaS deve monitorar?
Os sinais mais relevantes incluem: contas de pessoa física com volume ou frequência de transações incompatíveis com o perfil declarado, múltiplos cadastros vinculados a um mesmo dispositivo ou endereço IP, padrões de smurfing (depósitos fracionados logo abaixo dos limites de reporte), contas abertas com documentação de terceiros (laranjas), e estruturas societárias com sócios em comum que aparecem em múltiplos parceiros. Este último padrão só é detectável com uma base de dados centralizada e cruzamento societário automatizado.
A VAAS é uma plataforma de compliance que atua nesse segmento, oferecendo due diligence, monitoramento de compliance e análise de risco integrados para provedores de infraestrutura financeira.