Equilíbrio entre estabilidade e inovação na regulação financeira brasileira

O Banco Central consolidou uma nova fase regulatória que busca preservar inovações introduzidas na última década, ao mesmo tempo em que fortalece requisitos prudenciais e de segurança para atores cuja atividade tecnológica pode gerar riscos sistêmicos. As medidas impactam provedores de tecnologia, arranjos de Banking as a Service e o tratamento dos ativos virtuais, com efeitos imediatos sobre governança, capital e responsabilização.

Contexto

Nas últimas rodadas regulatórias o Brasil experimentou forte estímulo à competitividade e inovação no sistema financeiro: a oferta de serviços instantâneos (Pix), a abertura de dados via Open Finance e rotas simplificadas para instituições de pagamento mudaram o formato competitivo do mercado. Paralelamente, eventos globais e incidentes operacionais acenderam alertas sobre dependências tecnológicas e exposição sistêmica de terceiros aparentemente de pequeno porte.

Historicamente a regulação combinava regras diferentes conforme a natureza institucional (banco, financeira, corretora) e o porte econômico. A transformação digital deslocou o foco: o risco passou a derivar mais da função exercida e da infraestrutura compartilhada do que do tamanho do balanço. Isso criou uma tensão entre manter um ambiente favorável à inovação e mitigar externalidades negativas que podem contagiar o Sistema Financeiro Nacional (SFN).

A discussão é relevante porque redefine como se mensura risco regulatório: não mais pela forma jurídica, mas pela criticidade da atividade, pela conectividade e pelo volume de recursos envolvidos. Para profissionais do direito e de compliance, a mudança impõe rearranjos contratuais, due diligence de fornecedores e revisão de capitalização e seguros.

O que foi decidido

O Banco Central e o Conselho Monetário Nacional promoveram uma guinada normativa que condiciona autorização, capital mínimo, exigência de seguro e auditoria independente ao critério de criticidade operacional e ao perfil de risco do prestador de serviços tecnológicos. Em linhas gerais:

• Fornecedores de infraestrutura e serviços essenciais de TI passam a ser credenciados e sujeitos a requisitos de capital e seguros proporcionais ao volume de operações, à quantidade de clientes e ao risco inerente.
• O regime de capital mínimo migrou de parâmetros vinculados quase exclusivamente à categoria institucional para uma metodologia sensível às atividades exercidas, formas de captação, uso de tecnologia e acesso a infraestruturas críticas, com transição escalonada definida entre 2026 e 2028.
• Em arranjos de Banking as a Service (BaaS) houve redistribuição formal de responsabilidades, governança e controles, de modo a recompor a correlação entre interface, titularidade da conta e responsabilidade pela movimentação de recursos.
• Regras específicas de cibersegurança passaram a exigir testes independentes de intrusão, autenticação multifator robusta, segregação de ambientes para sistemas críticos (Pix, STR), rastreabilidade de certificados e proteção de chaves privadas.

Essas medidas foram implementadas por meio de resoluções e resoluções conjuntas que operacionalizam critérios de credenciamento, capital adicional e controles de segurança para atores tecnológicos que, embora pequenos em termos de balanço, apresentam criticidade sistêmica.

Base normativa e precedentes

• Resolução BCB 498/2025 — institui credenciamento e requisitos prudenciais para provedores tecnológicos considerados críticos.
• Resolução Conjunta 14/2025 — altera o regime de capital mínimo, incorporando sensibilidade à atividade.
• Resolução BCB 517/2025 — complementa metodologia de capital baseada em volume de operações e perfil de risco.
• Resolução Conjunta 16/2025 — disciplina governança e responsabilidades em modelos de Banking as a Service.
• Resolução BCB 538/2025 e Resolução CMN 5.274/2025 — estabelecem padrões mínimos de cibersegurança e controles técnicos para ambientes críticos do SFN.
• Lei 14.487/2022 — prevê regime regulatório para ativos virtuais, que foi integrado ao novo perímetro regulatório.
• Lei 13.709/2018 (LGPD) — relevante na medida em que as exigências de segurança e auditoria também impactam tratamento de dados pessoais em ambientes financeiros.

Além das normas citadas, a atuação reflete práticas prudenciais adotadas internacionalmente e o entendimento de que infraestrutura aberta exige supervisão ampliada.

Impacto prático

• Para provedores de tecnologia e PSTI: exigência de credenciamento, aumento de capital econômico implícito (seguro, provisionamento), investimentos em auditoria e hardening de segurança; contratos com clientes precisarão explicitar SLAs, responsabilidades e planos de continuidade.
• Para instituições financeiras e fintechs clientes: maior custo de terceirização e necessidade de due diligence continuada; potencial redução na oferta de soluções independentes se fornecedores não cumprirem requisitos.
• Para o mercado de inovação: pressão por maior profissionalização dos fornecedores, o que pode restringir atores informais mas também elevar barreira de entrada e custo de adequação.
• Para o regulador e supervisão: ampliação do escopo de supervisão para atores não tradicionalmente autorizados, demandando capacidade técnica e recursos regulatórios adicionais.

O que observar

• Verificar cronogramas de implementação e transição (escalonamento até 2028) para ajustar compliance e capitalização.
• Monitorar pontos de interseção entre requisitos de segurança e LGPD — especialmente em auditorias e testes de intrusão que envolvam dados pessoais.
• Acompanhamento de decisões de aplicação e de penalidades pelo BCB, que revelarão como a regulamentação será operacionalizada.
• Risco de concentração: a exigência de credenciamento e capital pode favorecer grandes provedores, criando novos pontos únicos de falha; advogados de mercado e concorrência devem avaliar efeitos sobre livre concorrência.
• Recursos e eventual judicialização: medidas que alteram padrões de acesso e custo podem ensejar contestações administrativas e judiciais; preparar defesas técnicas e econômicas será crucial.

Em suma, a regulação em curso busca um ponto de equilíbrio: manter os ganhos de eficiência e competição introduzidos pela inovação ao mesmo tempo em que internaliza custos de risco decorrentes da interdependência tecnológica. Para operadores e assessores jurídicos, a mudança exige reavaliação estrutural de contratos, modelos de negócio e frameworks de governança e segurança.