Resolução BCB 522: o que muda na gestão de riscos

A Resolução BCB 522 é a norma do Banco Central que, em novembro de 2025, reescreveu as regras de gestão de riscos dos arranjos de pagamento. Ela é de 10/11/2025, foi publicada no Diário Oficial em 12/11/2025 e entrou em vigor nessa data (art. 6º). O texto altera a Resolução BCB 150/2021 e o Anexo I dela, que é o regulamento dos arranjos integrantes do Sistema de Pagamentos Brasileiro.

A norma fala com o instituidor do arranjo, que o mercado chama de bandeira, e os efeitos descem para credenciadores, subcredenciadores e quem opera um gateway sobre eles. A mudança na liquidação dos subcredenciadores está em subcredenciador x subadquirente; aqui o foco é a gestão de riscos.

O que mudou, em uma tabela

Os riscos que o instituidor passa a gerir

A estrutura de gerenciamento contínuo e integrado de riscos de cada arranjo deve identificar, mensurar, avaliar, monitorar, reportar, controlar e mitigar (art. 32):

• risco de crédito e risco de liquidez;
• risco operacional, que inclui falhas na iniciação, identificação, autenticação e autorização das transações e na proteção dos dados dos usuários;
• risco de lavagem de dinheiro e de financiamento do terrorismo e da proliferação de armas de destruição em massa;
• risco de relacionamento com o usuário pagador;
• risco de fraude;
• risco de golpe;
• riscos sociais, ambientais e climáticos;
• os demais riscos relevantes.

Os riscos de crédito, de liquidez e operacional já estavam na lista. Os demais itens nomeados entraram com a Resolução BCB 522.

A norma separa fraude de golpe (art. 2º, XVIII e XIX). Nos dois casos há uma ação deliberada e enganosa para obter vantagem indevida. Na fraude, ela costuma usar manipulação de informações, documentos ou sistemas. No golpe, costuma usar engenharia social ou simulação de identidade. A estrutura também precisa considerar como esses riscos se combinam.

Como a estrutura tem de funcionar

O art. 33 do Anexo I fixa rotinas com prazo mínimo:

• políticas com limites de exposição e a ordem de uso dos mecanismos de proteção, aprovadas pelos órgãos diretivos;
• avaliação dos sistemas e controles de risco pelo menos a cada seis meses;
• informações sobre riscos para os participantes e para o Banco Central pelo menos a cada três meses;
• comunicação ao Banco Central de evento crítico em até dois dias úteis da ciência, com as ações de mitigação, e aviso aos participantes afetados;
• aprovação da estrutura pelo conselho de administração ou pela diretoria pelo menos uma vez por ano;
• testes de estresse e backtesting dos riscos financeiros pelo menos a cada dois meses, com os documentos guardados por cinco anos;
• relatório executivo trimestral aos participantes sobre a avaliação e os testes.

Na prevenção à lavagem de dinheiro, o instituidor faz uma avaliação interna de risco, revisada a cada dois anos (art. 33-A), e um relatório anual de efetividade com data-base em 31 de dezembro (art. 33-B).

Classificação de risco e garantias

É aqui que o participante sente a norma no caixa.

• Rating. O instituidor deve ter critérios e modelo de classificação de risco dos participantes, e calcular as garantias a partir dela (art. 33, § 4º). O participante pode pedir os critérios, os parâmetros e o memorial de cálculo da exigência que recebeu (§ 9º).
• Proporcionalidade. As regras de garantia ficam no regulamento, devem ser objetivas, isonômicas, transparentes e proporcionais ao risco de cada participante, e devem incentivar a competição e a entrada de novos participantes. Quem traz baixo risco pode ser dispensado (art. 35-B, § 2º).
• Cenário de estresse. Os mecanismos de proteção precisam cobrir, no mínimo, a inadimplência conjunta dos dois participantes com maior exposição de risco no arranjo (art. 35-B, § 4º).
• Ordem de uso. Se um participante falha, usam-se primeiro as garantias dele e depois as outras ações previstas no regulamento (art. 35-C). A falta ou a insuficiência do fundo de garantia do instituidor não o exime de cobrir o fluxo residual em situação extrema (§ 4º). Garantias usadas devem ser recompostas em até 30 dias (§ 7º).
• Sem garantia entre participantes. As regras devem vedar que um participante exija garantias de outro, e o instituidor não pode atribuir ao credenciador o risco das transações capturadas por subcredenciadores (art. 35-E).

O dinheiro do recebedor no centro

O art. 35-A resume a lógica da norma: toda transação autorizada no arranjo deve ser paga integralmente ao recebedor, ou a quem tiver o direito de receber, em qualquer modalidade, inclusive em situação extrema, ressalvado o chargeback. O instituidor monitora continuamente se os valores recebidos dos pagadores são repassados até a liquidação final.

Para isso, o regulamento pode prever mecanismos de repasse de uso contínuo, conforme o risco de cada participante: processadoras alternativas, conta vinculada para segregar os recursos da liquidação e cessão fiduciária desses recursos ao instituidor (art. 35, parágrafo único). E as obrigações devem chegar à instituição domicílio do recebedor nas grades previstas ou, em caso de falha, até o fim do dia útil seguinte (art. 35-D).

Chargeback

O art. 35-G muda a divisão do prejuízo nas disputas:

1. a responsabilidade financeira dos participantes vale para contestações iniciadas até 180 dias da autorização da transação;
2. depois disso, a responsabilidade é do instituidor, até o prazo máximo do regulamento do arranjo;
3. fica vedado o chargeback de desacordo comercial que derive de falência ou insolvência civil do recebedor.

O regulamento deve dizer como o risco do processo é gerido e como a responsabilidade se divide (§ 1º). Nada disso tira o direito do pagador de contestar a cobrança nos prazos da lei (§ 2º). Para levar a regra ao contrato, veja contrato com lojistas, e para acompanhar o índice, chargeback ratio.

Tarifas e prazos de adaptação

O regulamento passa a separar tarifas regulares, tarifas eventuais e penalidades, em reais nos arranjos domésticos (art. 19). Os valores ficam publicados no site do instituidor (art. 42), e cada participante recebe relatório periódico gratuito para conciliar as cobranças (art. 42-A). Para quem opera um gateway, isso facilita conferir o que o parceiro repassa.

Pelo art. 3º da Resolução BCB 522, os instituidores tiveram até 180 dias, contados da entrada em vigor, para pedir a alteração dos regulamentos, garantir os subcredenciadores na liquidação centralizada, implantar a transparência de tarifas e assegurar o envio das informações de liquidação às registradoras. O subcredenciador que descumprir o prazo tem a captura de novas transações suspensa até estar apto a participar da liquidação centralizada (§ 2º). Contado de 12/11/2025, esse prazo já terminou.

O que muda para quem opera um gateway

1. Exigências chegam pela cadeia. Se a sua operação é subcredenciador, o instituidor avalia o seu risco e pode pedir garantias. Se ela roda sobre um parceiro, pergunte quais exigências do arranjo ele vai repassar a você. Tenha os seus indicadores de disputa e de fraude organizados por lojista.
2. Monitoramento de transações atípicas. Os regulamentos devem exigir monitoramento de transações incompatíveis com a natureza, o faturamento ou a renda do recebedor (art. 4º, I, "i"). O lado prático está em PLD/FT para gateway.
3. Fraude e golpe registrados à parte. O Banco Central pode pedir aos instituidores os registros de fraudes e golpes e pedir informações aos participantes (art. 24). Use as definições da norma para classificar as suas ocorrências.
4. Contrato e reserva. Ajuste o prazo de contestação, a reserva e a responsabilidade do lojista às regras do arranjo e do parceiro. Veja reserva financeira.

No Pix, que tem regulamento próprio, as devoluções por fraude seguem o MED.

Onde a XF TECH entra

A plataforma da XF TECH registra cada movimento no ledger da empresa: créditos, débitos, taxas, reservas, splits, estornos e saques. No painel, a sua operação configura reservas, prazos de liberação, bloqueios e retenções ligadas a disputas, chargebacks, análise de risco ou pendências cadastrais, e acompanha disputas, chargebacks e MED. Cartão depende do provedor, da integração e da homologação. As obrigações perante os arranjos são da sua operação e do seu parceiro financeiro.

Conteúdo informativo, atualizado em 25/10/2026. Não substitui orientação jurídica.