Compliance para Fintechs e Instituições de Pagamento: BACEN, COAF, PLD/FT e os Desafios da Regulação Financeira em 2026

2026 como ponto de inflexão regulatória para o setor

O ecossistema de fintechs brasileiro passou, nos últimos dois anos, por uma transformação regulatória sem precedentes. O que era um ambiente de relativa tolerância para modelos inovadores que operavam em zonas cinzentas da regulação tornou-se, em 2026, um regime de supervisão intensiva com prazos, capitais mínimos e exigências técnicas que estão redesenhando o mercado.

Os números ilustram a escala da mudança. A Resolução BCB nº 494/2025 antecipou de dezembro de 2029 para maio de 2026 o prazo para que Instituições de Pagamento já em operação solicitassem autorização prévia do BACEN, com capital mínimo de R$ 7 milhões. As Resoluções CMN 5.274/2025 e BCB 538/2025 estabeleceram novos padrões de cibersegurança com vigência desde março de 2026, exigindo autenticação multifator, isolamento de ambientes e testes de intrusão anuais com trilhas de auditoria fim a fim. O BACEN sinalizou explicitamente que programas de PLD/FT apenas formais, sem demonstração de efetividade dos controles, serão objeto de supervisão mais intensa.

O setor está passando por uma seleção natural. Fintechs com governança robusta, compliance estruturado e capital adequado continuarão crescendo. As que tentaram escalar sem essa base estão enfrentando dificuldades de autorização, supervisão intensificada e, em alguns casos, encerramento compulsório das atividades.

Este artigo apresenta o mapa completo das obrigações de compliance para fintechs e Instituições de Pagamento em 2026, com foco nas mudanças mais recentes e nos erros mais comuns que comprometem a relação com o regulador.

O universo regulatório: quem é quem no setor de pagamentos

Antes de mapear as obrigações, é essencial entender as diferentes categorias de instituições que operam no ecossistema de pagamentos brasileiro, porque as obrigações variam conforme o tipo de autorização.

Atenção ao capital mínimo em 2026: a Resolução Conjunta nº 14/2025 (CMN e BACEN, publicada em 3 de novembro de 2025) substituiu a metodologia de capital fixo por uma metodologia baseada nas atividades efetivamente exercidas e na intensidade tecnológica da operação (Activity-Based Capital). Para Instituições de Pagamento, o capital mínimo pode chegar a R$ 9,2 milhões, ante R$ 1 milhão pelas regras anteriores. A transição é gradual: até 30 de junho de 2026, as instituições mantêm o capital anterior; de julho de 2026 a dezembro de 2027, a adequação ocorre progressivamente (25% a 75%); com impacto pleno em janeiro de 2028. Toda instituição autorizada deve comunicar ao BACEN suas categorias de atividade até 30 de junho de 2026 e recalcular seu capital mínimo conforme a nova metodologia.

As obrigações de compliance se aplicam a todas essas modalidades, com variações de intensidade. Entidades tomadoras no modelo BaaS têm responsabilidade compartilhada com a instituição prestadora, mas isso não as isenta de obrigações próprias de KYC, PLD/FT e proteção de dados do cliente final.

As seis frentes de compliance obrigatório para fintechs

1. Autorização e governança

A autorização do BACEN não é apenas um documento para abrir as portas. É o primeiro e mais denso processo de due diligence que uma fintech enfrenta. O regulador avalia:

Estrutura societária e controle: quem são os sócios e controladores, qual é a cadeia de controle, existem Pessoas Politicamente Expostas (PEP) no quadro societário ou nos beneficiários finais? O BACEN aplica a mesma abordagem baseada em risco que exige das instituições para seus clientes.

Qualificação dos administradores: diretores e membros do conselho precisam demonstrar idoneidade, experiência compatível com o cargo e ausência de impedimentos legais. A inabilitação de um administrador pode comprometer a autorização da instituição.

Governança formalizada: estatuto social, regimento interno do conselho, políticas de remuneração variável que não incentivem tomada excessiva de risco, e estrutura de comitês adequada ao porte da instituição.

Políticas de compliance aprovadas antes da autorização: o BACEN exige que as políticas de PLD/FT, KYC, cibersegurança e gestão de riscos estejam elaboradas e aprovadas como condição para a autorização, não como obrigação pós-autorização. Fintechs que chegam ao processo sem esses documentos atrasam significativamente o prazo de análise.

Pós-autorização, qualquer alteração relevante na estrutura societária, na administração ou no modelo de negócio precisa ser comunicada ao BACEN previamente. Operar sob uma modalidade de serviço diferente da autorizada é infração grave.

2. PLD/FT: o núcleo operacional do compliance financeiro

A Prevenção à Lavagem de Dinheiro e ao Financiamento do Terrorismo é, historicamente, a obrigação mais estruturada e mais fiscalizada do setor financeiro. A Circular BACEN nº 3.978/2020, alterada pela Resolução BCB nº 282/2022, continua sendo o normativo central, complementado pela abordagem baseada em risco (ABR) que o BACEN tem exigido com crescente rigor.

As principais obrigações práticas de PLD/FT para fintechs incluem:

Política de PLD/FT formalmente aprovada pela diretoria: o documento precisa estar aprovado pela mais alta instância de gestão, com revisão periódica documentada e comunicação à equipe.

Avaliação interna de risco (AIR): cada fintech precisa realizar e documentar sua própria avaliação de risco de lavagem de dinheiro, considerando os produtos oferecidos, os perfis de clientes, os canais de distribuição e os países com que opera. A AIR é o fundamento sobre o qual todos os outros controles são calibrados.

Conheça Seu Cliente (KYC): processo estruturado de identificação, verificação e monitoramento de clientes. Para fintechs com processo de onboarding digital, isso inclui validação de identidade por meios eletrônicos (biometria, reconhecimento facial, validação de documentos), verificação em listas restritivas (OFAC, ONU, COAF, PEP), identificação do beneficiário final em caso de pessoa jurídica e manutenção de cadastros atualizados.

Monitoramento de operações: identificação automatizada de transações atípicas em relação ao perfil do cliente, com processo documentado de análise e decisão sobre comunicação ao COAF.

Comunicações ao COAF: operações suspeitas e operações em espécie acima dos limites regulatórios precisam ser comunicadas via SISCOAF dentro dos prazos definidos. A omissão ou o atraso na comunicação é infração grave, independentemente de a operação ter envolvido de fato lavagem de dinheiro.

Treinamento documentado: todos os colaboradores com acesso a operações precisam ser treinados em PLD/FT ao menos anualmente, com registros individualizados de participação e aproveitamento.

O ponto mais importante sinalizizado pelo BACEN em 2024-2025 e que tende a ser cada vez mais verificado: programas de PLD/FT apenas formais, com políticas bem redigidas mas sem demonstração de efetividade dos controles, serão objeto de supervisão mais intensa. O regulador quer ver o programa funcionando na prática, não apenas existindo no papel.

3. Cibersegurança: novos padrões técnicos com evidências auditáveis

As Resoluções CMN nº 5.274/2025 e BCB nº 538/2025, em vigor desde março de 2026, estabeleceram um novo patamar de exigência técnica para o setor. A mudança central é a transição de uma abordagem baseada em políticas formais para um modelo orientado a evidências técnicas e rastreabilidade.

O BACEN não quer mais saber apenas se a instituição tem uma política de segurança cibernética. Quer saber se os controles funcionam e se há evidências auditáveis disso. As principais exigências técnicas incluem:

• Autenticação multifator para todos os acessos a sistemas críticos
• Isolamento de ambientes de produção, homologação e desenvolvimento
• Testes de intrusão anuais com relatórios disponíveis para auditoria
• Trilhas de auditoria do processamento fim a fim de dados e informações
• Gestão de vulnerabilidades com processo documentado de remediação
• Plano de continuidade de negócios testado e documentado
• Gestão de fornecedores e prestadores de serviço de tecnologia com avaliação de riscos de segurança

Para fintechs que utilizam infraestrutura de terceiros (cloud, provedores de BaaS, gateways de pagamento), as obrigações se estendem à cadeia: a instituição responde pelos controles de segurança dos seus fornecedores críticos.

A Resolução BCB nº 498/2025 trouxe obrigações adicionais para Prestadores de Serviços de Tecnologia da Informação (PSTIs) que atendem o sistema financeiro, com capital mínimo de R$ 15 milhões e medidas preventivas severas em caso de descumprimento.

4. LGPD e proteção de dados no contexto financeiro

Fintechs são, por natureza, grandes processadoras de dados pessoais sensíveis: dados financeiros, biometria, histórico de transações, perfil de crédito, comportamento de consumo. A LGPD se aplica com total rigor e a ANPD tem o setor financeiro como prioridade de fiscalização em 2026.

As obrigações específicas para fintechs incluem:

Dados biométricos e de reconhecimento facial: utilizados no onboarding digital, são dados pessoais sensíveis (Art. 11 da LGPD) com bases legais mais restritas. O uso para fins de identificação pode ser enquadrado no consentimento específico ou no legítimo interesse, mas precisa de base legal documentada.

Open Finance e compartilhamento de dados: a participação no Open Finance envolve compartilhamento de dados de clientes com outras instituições, sujeito a consentimento granular e revogável do titular. O processo de consentimento precisa ser claro, acessível e registrado.

Scoring de crédito: o uso de dados pessoais para avaliação de crédito precisa observar as bases legais do Art. 7º da LGPD e o direito do titular de solicitar revisão de decisões tomadas exclusivamente por meios automatizados (Art. 20).

DPO nomeado e registrado: dada a escala de tratamento de dados, a nomeação de DPO é praticamente obrigatória para fintechs reguladas. O LGPDash da Compliance Brazil oferece a função de DPO as a Service integrada à plataforma de governança de dados, com gestão de solicitações de titulares, controle de incidentes e monitoramento de conformidade.

5. Resolução Conjunta nº 16/2025: compliance no modelo BaaS

Para fintechs que operam no modelo Banking as a Service, a Resolução Conjunta nº 16/2025 consolidou as regras de responsabilidade compartilhada e trouxe clareza sobre o que compete a cada parte.

A instituição prestadora (a licenciada) responde integralmente pelo compliance regulatório, incluindo PLD/FT e cibersegurança, mesmo quando a entidade tomadora operacionaliza os serviços ao cliente final. Mas isso não isenta a entidade tomadora de suas próprias obrigações.

As entidades tomadoras devem:

• Contratar exclusivamente com instituições prestadoras autorizadas pelo BACEN
• Cumprir as políticas de KYC e PLD/FT definidas pela instituição prestadora
• Não misturar recursos próprios com recursos dos clientes finais
• Manter controles de proteção ao consumidor em seus canais de distribuição

A escolha do parceiro de BaaS tornou-se uma decisão de compliance: uma entidade tomadora que contrata com uma instituição prestadora com governança fraca compartilha os riscos de conformidade dessa parceria.

6. Governança e controles internos proporcionais

A estrutura de governança exigida pelo BACEN é proporcional ao porte e à complexidade da instituição, mas todas as IPs autorizadas precisam ter, no mínimo:

Função de compliance independente: um responsável formal pelo programa de PLD/FT e pelo monitoramento das obrigações regulatórias, com autonomia para reportar irregularidades à diretoria sem passar por filtros hierárquicos.

Auditoria interna: para instituições de maior porte, a auditoria interna precisa avaliar periodicamente a efetividade dos controles de compliance e reportar ao conselho de administração.

Gestão de riscos operacionais: identificação, avaliação e mitigação de riscos operacionais, incluindo riscos de tecnologia, de fornecedores e de processos internos.

Reportes regulatórios periódicos: CADOC, CCS, DIMP e outros informes precisam ser enviados ao BACEN dentro dos prazos definidos. O atraso ou a inconsistência nos reportes gera sanções automáticas.

Os erros mais comuns que comprometem a relação com o BACEN

Com base na experiência prática com instituições de pagamento, estes são os erros que mais frequentemente geram problemas com o regulador:

Programa de PLD/FT apenas documental

Políticas bem redigidas que não se traduzem em controles operacionais reais: o KYC que não verifica o beneficiário final de pessoas jurídicas, o monitoramento de operações que gera alertas mas não tem processo documentado de análise e decisão, os treinamentos realizados sem registros rastreáveis. O BACEN tem sinalizado que o próximo ciclo de supervisão vai focar exatamente nessa diferença entre o programa que existe e o que funciona.

Cibersegurança sem trilhas de auditoria

As novas resoluções de cibersegurança exigem evidências técnicas de que os controles funcionam, não apenas a declaração de que existem. Fintechs que implementaram os controles mas não geraram as trilhas de auditoria do processamento fim a fim estão em desconformidade mesmo tendo feito o investimento técnico.

Governança informal da alta liderança

Fintechs em estágio de crescimento frequentemente mantêm estruturas de decisão informais, com sócios-fundadores tomando decisões sem os processos formais de alçada e registro que o BACEN exige. Essa informalidade é tolerável em estágio pré-autorização, mas incompatível com o regime pós-autorização.

Subestimar a cadeia de terceiros

O compliance da fintech não termina nos seus próprios sistemas. Fornecedores de cloud, provedores de gateway, parceiros de BaaS, empresas de biometria e outros prestadores de tecnologia precisam ser avaliados e monitorados quanto aos seus próprios controles. A responsabilidade da fintech pelos dados e pelas operações que transitam por esses fornecedores é integral.

Não atualizar o programa com as mudanças regulatórias

O ambiente regulatório do setor muda com frequência. Fintechs que não têm processo de monitoramento das publicações do BACEN, da CVM e do COAF chegam ao processo de supervisão com programas defasados em relação às obrigações vigentes.

Canal de denúncias no setor financeiro

Para fintechs e IPs com obrigações de Programa de Integridade, o canal de denúncias é um componente regulatório, não apenas uma boa prática de governança. O Decreto nº 11.129/2022 e o Guia CGU 2024 o incluem como elemento do programa de conformidade.

No contexto financeiro, o canal cumpre funções adicionais: permite que colaboradores reportem operações suspeitas que identificaram mas que não foram escaladas pelo processo formal de PLD/FT, que denunciem pressões para descumprir obrigações regulatórias e que relatem situações de conflito de interesses em decisões de crédito ou de contratação.

O Eticonfidencial oferece a infraestrutura de canal de denúncias com as características que o setor financeiro requer: anonimato garantido, rastreabilidade do tratamento de relatos, proteção ao denunciante e evidências auditáveis que demonstram o funcionamento do controle em processos de supervisão do BACEN ou da CGU.

Checklist: sua fintech ou IP está em conformidade em 2026?

Autorização e governança

• Autorização do BACEN obtida ou processo em andamento dentro dos prazos da Resolução BCB 494/2025
• Capital mínimo regularizado conforme modalidade de operação
• Administradores com qualificação e idoneidade documentadas
• Políticas de compliance, PLD/FT e cibersegurança aprovadas pela diretoria
• Reportes periódicos ao BACEN (CADOC, CCS, DIMP) sendo enviados dentro dos prazos

PLD/FT

• Avaliação Interna de Risco (AIR) realizada e documentada
• Processo de KYC com verificação de beneficiário final de pessoas jurídicas
• Verificação de clientes em listas restritivas (OFAC, ONU, PEP, COAF) no onboarding e periodicamente
• Monitoramento de operações com processo documentado de análise de alertas
• Comunicações ao COAF realizadas dentro dos prazos via SISCOAF
• Treinamentos de PLD/FT com registros individualizados e periodicidade anual

Cibersegurança (Resoluções CMN 5.274/2025 e BCB 538/2025)

• Autenticação multifator implementada para acessos a sistemas críticos
• Isolamento de ambientes de produção, homologação e desenvolvimento
• Testes de intrusão anuais realizados com relatórios disponíveis
• Trilhas de auditoria do processamento fim a fim documentadas
• Avaliação de riscos de segurança dos fornecedores críticos de tecnologia
• Plano de continuidade de negócios testado e documentado

LGPD e dados

• DPO nomeado e registrado na ANPD
• Base legal documentada para uso de dados biométricos no onboarding
• Processo de consentimento no Open Finance claro, granular e registrado
• Processo de resposta a solicitações de titulares com prazo de 15 dias

BaaS (se aplicável)

• Contrato com instituição prestadora autorizada pelo BACEN
• Responsabilidades de KYC e PLD/FT claramente definidas entre prestadora e tomadora
• Controles de proteção ao consumidor nos canais de distribuição da tomadora

Perguntas frequentes sobre compliance para fintechs

1. Uma fintech em estágio inicial precisa de programa de compliance completo antes de obter autorização?

Sim. O BACEN exige que as políticas de PLD/FT, KYC, cibersegurança e gestão de riscos estejam elaboradas e aprovadas como condição para a autorização, não como obrigação pós-autorização. Fintechs que chegam ao processo sem esses documentos aprovados atrasam o prazo de análise, que já pode chegar a 360 dias. Estruturar o programa de compliance em paralelo ao desenvolvimento do produto é a abordagem mais eficiente.

2. Qual é a diferença entre KYC e KYB para fintechs B2B?

KYC (Know Your Customer) é o processo de identificação e verificação de pessoas físicas. KYB (Know Your Business) é o equivalente para pessoas jurídicas, com a camada adicional da identificação do beneficiário final (Ultimate Beneficial Owner), ou seja, as pessoas físicas que controlam a empresa ou se beneficiam da relação. Para fintechs B2B, o KYB é especialmente crítico porque a Circular BACEN 3.978/2020 exige a identificação do beneficiário final, e essa exigência é frequentemente negligenciada no processo de onboarding.

3. O que o BACEN verifica em uma supervisão de PLD/FT na prática?

O BACEN avalia se o programa funciona operacionalmente, não apenas se existe documentalmente. Na prática, verifica: se a Avaliação Interna de Risco foi realizada e está atualizada, se o processo de KYC identifica efetivamente o beneficiário final, se os alertas do monitoramento de operações são analisados e documentados, se as comunicações ao COAF são realizadas dentro dos prazos, se os treinamentos têm registros individualizados e se há rastreabilidade de toda a cadeia de decisões do programa.

4. Uma entidade tomadora em modelo BaaS tem obrigações próprias de compliance?

Sim. A entidade tomadora não pode terceirizar integralmente o compliance para a instituição prestadora. Ela precisa cumprir as políticas de KYC e PLD/FT definidas pela prestadora em seus próprios processos de atendimento ao cliente, manter controles de proteção ao consumidor e garantir que seus colaboradores que interagem com clientes financeiros sejam treinados nas obrigações aplicáveis.

5. Como estruturar o compliance de uma fintech sem uma área de compliance dedicada internamente?

Para fintechs em estágio inicial ou de crescimento sem estrutura para um compliance officer interno dedicado, o modelo de Compliance as a Service permite terceirizar essa função para uma consultoria especializada. O compliance externo assume as responsabilidades de monitoramento regulatório, atualização do programa de PLD/FT, gestão dos treinamentos e apoio em situações de fiscalização, com disponibilidade proporcional às necessidades da fintech. Esse modelo é especialmente adequado para fintechs pré-autorização que precisam ter o programa estruturado sem o custo de um sênior CLT.

Conclusão: compliance como fundação, não como burocracia

O ciclo regulatório que se consolidou em 2026 tornou evidente o que os profissionais de compliance já sabiam: fintechs que tratam compliance como burocracia a ser minimizada estão construindo sobre areia. A autorização do BACEN pode ser obtida, mas o regime pós-autorização exige evidências contínuas de que o programa funciona.

Fintechs com compliance estruturado têm vantagem competitiva concreta: acesso a capital de investidores institucionais que fazem due diligence de governança, parcerias com grandes instituições financeiras que exigem demonstração de conformidade da cadeia de BaaS, e uma relação mais fluida com o regulador, que confia mais nas instituições que demonstram comprometimento com o cumprimento das normas.

A Compliance Brazil tem atuação comprovada em compliance para o setor financeiro, com clientes que incluem Instituições de Pagamento e fintechs em diferentes estágios, desde a estruturação do programa pré-autorização até o suporte contínuo pós-autorização. O ecossistema de ferramentas integradas ao serviço, com o Eticonfidencial para canal de denúncias, o LGPDash para governança de dados e DPO, e o Intrx para gestão de treinamentos com rastreabilidade, garante que o programa não exista apenas no papel.

Agende um diagnóstico gratuito e descubra onde o programa de compliance da sua fintech ou Instituição de Pagamento precisa ser fortalecido para 2026.

Referências

• Resolução BCB nº 494/2025: Autorização obrigatória para Instituições de Pagamento
• Resolução CMN nº 5.274/2025: Cibersegurança para instituições financeiras
• Resolução BCB nº 538/2025: Cibersegurança para IPs e fintechs
• Resolução BCB nº 498/2025: Obrigações para PSTIs do sistema financeiro
• Resolução Conjunta nº 14/2025: Metodologia de capital mínimo para IFs e IPs (alterada pela Resolução Conjunta 19/2026)
• Resolução Conjunta nº 16/2025: Regulamentação do Banking as a Service
• Circular BACEN nº 3.978/2020: PLD/FT para instituições financeiras (alterada pela Resolução BCB 282/2022)
• COAF: Conselho de Controle de Atividades Financeiras
• Decreto nº 11.129/2022: Regulamenta a Lei Anticorrupção
• CGU: Guia de Programas de Integridade para Empresas Privadas (2ª edição, 2024)
• Lei nº 13.709/2018: LGPD