Programa Parceiro Financeiro

Referencial público de requisitos — minuta para validação

Versão: 0.1 — 6 de novembro de 2026
Responsável proposto: ABBAAS
Situação: minuta não aprovada; sem vigência e sem efeito certificador.
Validação necessária: governança da ABBAAS, operação técnica e assessoria jurídica.
Próxima revisão: antes da publicação e sempre que houver alteração normativa ou metodológica relevante.

1. Finalidade e limites

Este referencial propõe critérios para examinar práticas de uma entidade tomadora de serviços de Banking as a Service (BaaS), no escopo contratual e operacional efetivamente delimitado para a avaliação. Ele organiza deveres aplicáveis à tomadora, obrigações contratuais e práticas adicionais do Programa. Não constitui transcrição da Resolução Conjunta nº 16/2025 (RC 16), parecer jurídico, autorização para funcionar, declaração geral de conformidade ou substituto da diligência da instituição prestadora.

A tomadora é a pessoa jurídica estabelecida no Brasil para cujos clientes serviços previstos no art. 4º da RC 16 são disponibilizados nos termos do contrato com a prestadora. O enquadramento depende da operação, dos contratos e da regulamentação aplicável. A existência de API, uso de marca, Pix ou cartão não determina o enquadramento isoladamente. Há exclusões e ressalvas no art. 3º da norma. A elegibilidade de operação em implantação depende de deliberação própria.

A prestadora mantém suas responsabilidades legais e regulatórias. A tomadora pode executar tarefas acessórias nos limites da norma, dos instrumentos contratuais e dos mecanismos definidos pela prestadora; sua execução não transfere à tomadora as responsabilidades regulatórias da prestadora. Uma tomadora que também seja instituição autorizada pode ter obrigações próprias adicionais, cuja aplicabilidade deve ser examinada caso a caso.

2. Como ler as fichas

• N — normativo: possível dever diretamente aplicável à tomadora; a incidência e o dispositivo devem ser confirmados pela assessoria jurídica antes de sua classificação final.
• C — contratual: dever da tomadora definido pelo contrato, inclusive quando o conteúdo contratual é exigido da prestadora pela norma. A existência de exigência à prestadora não torna automaticamente cada item um dever legal direto da tomadora.
• P — prática do Programa: requisito privado proposto, além dos deveres legais e contratuais, sujeito à aprovação. Não equivale a obrigação regulatória.
• Aplicabilidade: por CNPJ, serviço, contrato, processo e período definidos na abertura. “Não aplicável” exige justificativa e decisão documentadas. Evidências são exemplos, não lista exaustiva.

A versão operacional deve incluir para cada ficha: código estável; versão; responsável; objetivo; texto aprovado; natureza; sujeito; dispositivos exatos confirmados; aplicação e exclusões; evidências; testes; resultado; fundamentação; histórico e data de vigência. As referências abaixo são pontos de partida para revisão jurídica, não uma conclusão sobre a titularidade de cada dever.

3. Requisitos propostos

Pilar 1 — Governança e responsabilidades

PF-GOV-01 — Responsáveis e alçadas | P | Toda tomadora no escopo. Definir responsáveis por relacionamento com prestadoras, conformidade contratual, operação, segurança e atendimento, com substitutos e alçadas proporcionais. Evidências: organograma, matriz RACI e atas; teste: entrevista e amostra de decisões. Referência de contexto: RC 16, arts. 7º e 8º. O art. 7º atribui deveres à prestadora; esta ficha é prática do Programa.

PF-GOV-02 — Supervisão e recursos | P | Demonstrar acompanhamento pela administração dos riscos, pendências e mudanças da operação. Evidências: atas, indicadores e decisões; teste: rastrear uma pendência até sua deliberação. A proporcionalidade deve ser registrada.

PF-GOV-03 — Capacitação e conduta | P/C conforme contrato | Identificar funções que executam obrigações ou tarefas acessórias e demonstrar orientação pertinente. Evidências: conteúdo, público e registros anonimizados; teste: entrevista e amostra.

Pilar 2 — Conformidade regulatória e contratual

PF-CNT-01 — Mapa da operação | P | Documentar serviços do art. 4º, prestadoras, clientes, canais, funções, contratos e situações que possam exigir análise alternativa. Evidências: mapa de serviços e contratos; teste: reconciliar um serviço com o instrumento. Fontes: RC 16, arts. 3º, 4º e 6º.

PF-CNT-02 — Papéis contratuais | C | Identificar o instrumento vigente, seu escopo e responsabilidades relevantes da tomadora, incluindo tarefas, acesso a informações, notificações e atendimento conforme aplicável. Evidências: extratos pertinentes ou matriz validada; teste: confrontar processo com cláusula. Fonte para revisão: art. 8º. O conteúdo contratual exigido da prestadora não deve ser automaticamente apresentado como dever legal direto da tomadora.

PF-CNT-03 — Limites e alterações | C/P | Identificar limitações contratuais, subcontratações e alterações relevantes e providenciar aprovação ou comunicação conforme obrigação aplicável. Evidências: inventário, solicitações e registros de comunicação. Fontes: arts. 6º e 8º; análise contextual, sem presunção de vedação generalizada.

Pilar 3 — Riscos e controles internos

PF-RIS-01 — Inventário de riscos e controles | P | Manter visão proporcional dos riscos das atividades executadas pela tomadora, responsáveis e controles. Evidências: matriz de risco e registros de revisão; teste: rastrear risco a controle e responsável. A gestão e verificação exigidas da prestadora pelo art. 7º permanecem de sua responsabilidade.

PF-RIS-02 — Acompanhamento e correção | P/C | Registrar falhas identificadas, responsável, ação e acompanhamento; comunicar à prestadora quando exigido pelo contrato ou norma. Evidências: plano de ação e amostra de conclusão. Fonte contextual: arts. 7º e 8º.

PF-RIS-03 — Terceiros | C/P | Identificar terceiros que participem do escopo, papéis, limitações e supervisão proporcional; observar eventuais vedações e condições contratuais. Evidências: inventário, contratos pertinentes e revisão de riscos. Fonte contextual: art. 8º.

Pilar 4 — Prevenção a fraudes e ilícitos

PF-FRA-01 — Tarefas acessórias | C/N condicionado à aplicabilidade | Identificar se a tomadora executa tarefas acessórias relacionadas à identificação, prevenção a fraudes ou PLD/FTP; verificar previsão e mecanismos definidos pela prestadora. Evidências: matriz de tarefas, instruções e registros minimizados; teste: rastrear uma amostra. Fonte: RC 16, art. 10 e parágrafos. A prestadora continua responsável pelos procedimentos e controles regulatórios.

PF-FRA-02 — Comunicação de indícios e incidentes | C/P | Documentar encaminhamento de indícios e incidentes à prestadora conforme contrato e procedimentos aplicáveis. Evidências: fluxo, canal e amostra anonimizada; teste: simulação ou rastreamento. Não presumir que a tomadora tenha obrigação de comunicação ao Coaf apenas por integrar o Programa.

PF-FRA-03 — Acesso e segregação | P/C | Delimitar acessos e responsabilidades dos colaboradores que executam tarefas relacionadas a fraudes, com revisões proporcionais. Evidências: perfis, aprovação e registros; teste: amostra sem dados reais desnecessários.

Pilar 5 — Segurança e proteção de dados

PF-SEG-01 — Gestão de acessos | C/P | Identificar sistemas e dados no escopo; definir autorização, revisão e revogação de acessos, proporcionalmente ao risco e contrato. Evidências: norma interna, matriz de perfis e amostra anonimizada. Fonte contextual: RC 16, art. 8º; LGPD quando aplicável.

PF-SEG-02 — Proteção e incidentes | C/N quando aplicável | Identificar obrigações de segurança, proteção de dados e comunicação; manter procedimentos e responsabilidades compatíveis. Evidências: política, fluxo e registro de teste; não exigir credenciais ou dados de clientes. A classificação legal depende da atividade, contrato e lei aplicável.

PF-SEG-03 — Compartilhamento e minimização | P/C | Demonstrar que evidências e dados são compartilhados por canais controlados, com acesso limitado e finalidade definida. Evidências: inventário resumido, controles de acesso e instruções de descarte.

Pilar 6 — Operação e continuidade

PF-OPE-01 — Processos e monitoramento | P/C | Mapear os processos da tomadora, dependências e responsabilidades de comunicação com a prestadora. Evidências: fluxos, indicadores e amostras de tratamento de falhas.

PF-OPE-02 — Continuidade e resposta | P/C | Definir resposta proporcional para indisponibilidades sob responsabilidade da tomadora, inclusive comunicação à prestadora e aos clientes quando cabível. Evidências: plano, responsáveis e teste ou exercício; fonte contextual: art. 8º.

PF-OPE-03 — Mudança e encerramento | C | Identificar condições contratuais de alteração e encerramento e tarefas de transição atribuídas à tomadora. Evidências: cláusulas pertinentes e procedimento; fonte para revisão: art. 8º e disposições correlatas.

Pilar 7 — Cliente, transparência e cidadania financeira

PF-CLI-01 — Identificação da prestadora | C/N quando aplicável | Verificar, no que couber à tomadora, a clareza da identificação da instituição prestadora e das informações apresentadas ao cliente. Evidências: telas, jornadas e textos aprovados; fonte: RC 16, arts. 14 e 15 e art. 8º, conforme aplicabilidade.

PF-CLI-02 — Demandas e encaminhamento | C | Definir como a tomadora recebe, registra e encaminha demandas relacionadas ao serviço, conforme contrato. Evidências: fluxo, responsáveis e amostras anonimizadas; fonte: arts. 8º e 16. A responsabilidade regulatória da prestadora pelo atendimento permanece inalterada.

PF-CLI-03 — Comunicação e tarifas | C/N quando aplicável | Examinar se as informações sob responsabilidade da tomadora são claras, coerentes com o contrato e com o papel da prestadora; verificar tarifas quando aplicável. Evidências: telas, comunicações e registros de revisão; fontes: arts. 14 a 16.

4. Evidências e avaliação

A avaliação exige demonstração proporcional da existência e aplicação dos controles, não apenas uma declaração. Podem ser aceitos documentos, entrevistas, observação, registros ou amostras redigidas e anonimizadas. O avaliador deverá registrar fonte, data, período, escopo, procedimento, limitação e conclusão. Contratos e informações de terceiros devem ser apresentados apenas em ambiente seguro e na extensão necessária, observados sigilo, autorizações e restrições contratuais. Nenhum documento sensível deve ser publicado no site ou enviado ao CRM comercial.

Resultados propostos por requisito: atendido, atendido com ressalva, não atendido, evidência insuficiente ou não aplicável, com motivação e tratamento definido na metodologia aprovada. Para esta versão 0.1, propõe-se resultado único, sem níveis ou pontuação: todos os requisitos aplicáveis devem estar atendidos; não conformidades e evidência insuficiente impedem a concessão até sua correção e verificação. Ressalvas exclusivamente descritivas que não representem falha podem constar do relatório. A proposta depende de aprovação antes de qualquer concessão.

5. Fontes e manutenção

• RC 16/2025 — consulta de normas do Banco Central e nota institucional.
• Instrução Normativa BCB nº 754 — registro de vínculos no Unicad: dever dirigido às prestadoras; não exigir registro próprio da tomadora por mera participação no Programa.
• Lei nº 13.709/2018 (LGPD), legislação de sigilo e demais normas conforme escopo e sujeito efetivamente aplicáveis.

A revisão jurídica deve conferir texto consolidado vigente, incisos, parágrafos, exceções, destinatários e atos complementares; atribuir a cada requisito sua natureza e fonte exata; aprovar a matriz de aplicabilidade por serviço e a forma de lidar com tomadoras autorizadas. O controle de versões deve preservar histórico, autor, aprovador, data, alterações e período de transição.

6. Mapeamento entre a apresentação e os eixos técnicos

A apresentação pública usa os sete pilares editoriais. A matriz abaixo organiza a correspondência com os eixos técnicos propostos; uma relação pode ser de muitos para muitos e não altera a responsabilidade legal de cada parte.

O mapeamento é uma proposta de organização da versão 0.1, sujeita à revisão técnica e jurídica antes de uso em avaliações.