O regulador começou a pedir menos narrativa e mais definição de responsabilidade
Os sinais recentes do Banco Central apontam para um ambiente em que BaaS, qualidade de dados, infraestrutura crítica e terceiros passam a ser lidos como partes de uma mesma cadeia de accountability.
Existe uma leitura ainda comum no mercado de embedded finance no Brasil.
Ela trata regulação como uma camada externa ao desenho da operação. Primeiro a plataforma organiza produto, experiência e distribuição. Depois, em algum momento, ajusta enquadramento, parceiro, documento e controle.
Os movimentos mais recentes do Banco Central sugerem outra coisa.
O sinal não é apenas de maior exigência formal. É de maior clareza sobre quem organiza, quem registra, quem responde e com que evidência essa resposta poderá ser sustentada. Em 28 de novembro de 2025, o BC regulamentou o BaaS e afirmou que a regulação “define claramente quais as partes envolvidas no modelo de negócio”, bem como suas responsabilidades. Poucos dias depois, a Resolução Conjunta nº 18 passou a disciplinar a política de qualidade das informações prestadas ao Banco Central. Em 18 de dezembro de 2025, o BC e o CMN também reforçaram o arcabouço de segurança cibernética e de proteção de infraestruturas críticas. Já em 2026, o BC ajustou e detalhou o regime dos PSTIs, os provedores de serviços de tecnologia da informação usados no sistema financeiro e no sistema de pagamentos.
A leitura mais útil, portanto, não é a de que o ambiente ficou apenas “mais regulado”. A leitura mais útil é que o regulador começou a tratar o arranjo operacional como uma cadeia de responsabilidades menos tolerante a ambiguidade.
O BaaS deixou de caber na zona cinzenta comercial
O primeiro sinal é o mais direto.
A regulamentação de BaaS publicada em novembro de 2025 não apenas reconheceu o modelo. Ela o organizou em termos de partes, papéis e responsabilidades. O próprio BC resumiu a mudança dessa forma ao anunciar a norma. Isso importa porque, por muitos anos, parte do mercado conseguiu tratar BaaS como um arranjo suficientemente maleável para que a narrativa comercial viesse antes da definição institucional.
Esse espaço ficou menor.
Quando o regulador passa a nomear o modelo, ele reduz a utilidade da formulação vaga. Para plataformas B2B, isso muda o centro da conversa. O valor já não está apenas em distribuir melhor ou integrar mais rápido. Está em conseguir explicar com precisão quem faz o quê, em qual etapa, com qual alçada e sob qual padrão de controle.
Em outras palavras, BaaS deixou de funcionar bem como promessa ampla. Passa a exigir desenho mais explícito de responsabilidade.
Qualidade da informação virou tema de governança, não de backoffice
O segundo sinal é menos vistoso e, por isso mesmo, mais revelador.
A Resolução Conjunta nº 18, de 28 de novembro de 2025, estabeleceu a política de qualidade das informações prestadas ao Banco Central por instituições autorizadas. Esse movimento parece técnico à primeira leitura. Mas ele diz muito sobre a direção institucional do mercado.
Quando qualidade da informação sobe de patamar regulatório, o problema deixa de ser apenas “enviar dados corretos”. Passa a ser provar que a operação produz, organiza, mantém e revisa informação de forma compatível com o modelo de negócio, o perfil de risco e a complexidade institucional.
Para o mercado de embedded finance, isso tem uma implicação importante.
Quanto mais a operação depende de múltiplas camadas, parceiros e fluxos distribuídos, menos sustentável fica a ideia de que dados, documentos, critérios e evidências podem ser tratados como subproduto da jornada. A qualidade da informação começa a operar como teste de maturidade do desenho.
E isso atinge diretamente plataformas que ainda se descrevem como interface leve, mesmo quando já influenciam a forma como a informação nasce, circula e chega ao parceiro regulado.
Infraestrutura crítica e terceiros entraram de vez no centro do problema
O terceiro sinal está na combinação entre segurança cibernética, infraestrutura crítica e governança sobre terceiros.
Em 18 de dezembro de 2025, o BC informou que atualizou política e requisitos de segurança para uniformizar o ambiente regulatório e fortalecer a segurança das infraestruturas de comunicação de dados e dos sistemas de pagamentos. Na mesma linha, a Resolução CMN nº 5.274 alterou a norma de segurança cibernética de 2021. Pouco depois, em 30 de janeiro de 2026, o BC ajustou a regulamentação dos PSTIs, e a Instrução Normativa nº 718, publicada em 1º de abril de 2026, detalhou procedimentos, documentos, prazos e informações para credenciamento e descredenciamento desses provedores.
O ponto relevante não está só em segurança, no sentido estreito.
O ponto relevante é que o regulador está olhando com mais nitidez para a cadeia técnica que sustenta a operação. Isso inclui provedores, credenciamento, evidência documental, procedimentos formais e controles mínimos sobre quem participa da infraestrutura.
Para plataformas B2B, essa mudança importa porque reduz a margem para tratar o terceiro como caixa-preta conveniente. Quanto mais o arranjo depende de provedores especializados, mais a governança sobre esses elos deixa de ser detalhe contratual e passa a afetar a integridade da operação inteira.
A pressão institucional é menos sobre tese e mais sobre evidência
O quarto sinal ajuda a juntar os anteriores.
No Relatório Integrado de 2025, o Banco Central afirmou ter havido aumento expressivo de ataques do crime organizado a instituições financeiras e de pagamentos, o que demandou adoção de medidas adicionais. Em paralelo, o BC afirmou recentemente que a agenda evolutiva do Pix segue “a todo vapor” em 2026, com diversos projetos de aprimoramento em andamento.
Quando se combinam expansão de infraestrutura, elevação de criticidade operacional e aumento de pressão de segurança, o regulador tende a ficar menos interessado em declarações genéricas de robustez e mais interessado em evidência de controle, rastreabilidade, qualidade informacional e clareza de papéis.
Esse é o padrão emergente.
Menos tolerância a ambiguidade de responsabilidade. Menos espaço para a fronteira difusa entre parceiro, plataforma, infraestrutura e operação. Mais expectativa de que a cadeia consiga explicar como decide, como registra, como supervisiona terceiros e como sustenta a qualidade do que informa.
O que plataformas B2B deveriam observar agora
Para plataformas, ERPs e SaaS verticais, a implicação não é “virar regulado” por força de retórica. A implicação é mais concreta.
Projetos que ainda tratam BaaS como atalho comercial, governança informacional como assunto secundário e infraestrutura terceirizada como deslocamento automático de responsabilidade tendem a parecer mais frágeis neste novo ambiente.
O ponto de atenção agora está menos em lançar nova oferta e mais em responder perguntas mais duras.
Quem organiza a jornada e os critérios de entrada.
Quem assegura a qualidade da informação ao longo do fluxo.
Quem supervisiona os terceiros críticos.
Em que fórum as exceções são absorvidas.
Como a operação demonstra, e não apenas afirma, que papéis e controles estão claros.
Essa talvez seja a principal mudança de leitura para 2026.
O mercado ainda fala muito sobre distribuição, experiência e monetização. O regulador, pelos sinais recentes, começou a falar com mais ênfase sobre outra coisa: definição de responsabilidade sustentada por evidência operacional.
Essa é a parte que merece atenção agora.
A Capstack é uma publicação independente sobre embedded finance, digital banking e gestão de riscos no contexto B2B, escrita a partir da experiência prática de quem atua na interseção entre tecnologia, sistema financeiro e operação.
Se quiser continuar a conversa, você pode se conectar comigo no LinkedIn.
Para quem busca entender como esses modelos se materializam na prática, a baasic. atua como plataforma de embedded finance integrada a ERPs, plataformas e ecossistemas de negócios.
Se este texto foi útil, sinta-se à vontade para compartilhá-lo com outras pessoas interessadas em estruturar finanças dentro de seus negócios.
Obrigado por ler a Capstack - Onde capital, operação e infraestrutura se encontram. Subscreva gratuitamente para receber novos posts.
Forte abraço!
Helom Silva