Regulação

Resolução BCB 506/2025: autorização obrigatória e o preço de errar no Pix

O fim do participante não autorizado, com prazo que já venceu, as três penalidades do novo manual e o que a exclusão por 60 meses significa para um negócio.

Por Julio Cesar Madeira Soares, Perito em Investigação Digital e Segurança da Informação.
Publicação prevista para 3 de novembro de 2026

Em 26 de setembro de 2025 o Banco Central publicou duas resoluções que funcionam como par. A Resolução BCB nº 506 mexeu no regulamento do Pix. A Resolução BCB nº 507 aprovou o novo Manual de Penalidades. Uma diz o que fazer, a outra diz quanto custa não fazer.

Se você chegou aqui procurando se ainda dá tempo de se adequar, a resposta provavelmente é não. O prazo principal venceu em maio de 2026. Este texto trata de onde isso deixou cada um.

O fim do participante não autorizado

Até 2025, o arranjo Pix admitia participante que operava sem estar formalmente autorizado a funcionar pelo Banco Central. A 506 acabou com essa figura. Passou a valer uma regra simples: para operar no Pix, tem que ter autorização.

Os prazos foram fixados por categoria e por data de início de atividade. Entre 1º e 31 de maio de 2026 deveria pedir autorização para funcionamento o emissor de moeda eletrônica que começou a prestar o serviço antes de 1º de março de 2021 e não estava autorizado, e também o emissor de instrumento de pagamento pós-pago e o credenciador que iniciaram antes de 5 de setembro de 2025 sem autorização.

Quem não instruiu o pedido tempestivamente só podia continuar exercendo a atividade por mais 30 dias depois de 31 de maio de 2026. Ou seja, essa janela fechou no fim de junho.

Vale registrar o tamanho da virada de calendário. O prazo de regularização das instituições de pagamento que já operavam sem autorização estava previsto para dezembro de 2029 e foi antecipado para maio de 2026. Mais de três anos a menos. Quem montou plano de adequação contando com a data antiga perdeu o planejamento inteiro.

E pedir não é o mesmo que conseguir. Entre janeiro e abril de 2026 o Banco Central negou autorização a oito instituições de pagamento, número que já superava o total de 2025, que foi seis. Os motivos apontados não foram formais: falta de demonstração de viabilidade econômica e financeira, e problemas de prevenção a fraude e a lavagem de dinheiro, com casos em que se concluiu que a instituição não demonstrou aderência a essas regras ao longo dos anos em que operou.

O presidente do Banco Central afirmou que novas exclusões deveriam acontecer nos meses seguintes. A régua subiu, e não parou de subir.

Quem perdeu o prazo, ou teve o pedido negado

Situação desconfortável e mais comum do que parece. Sem entrar em recomendação regulatória, que depende de análise do caso concreto, a árvore de decisão que se apresenta é curta.

Encerrar a atividade que exige autorização. É a saída que ninguém quer, mas é a que aparece primeiro quando o pedido foi negado por razão estrutural, como capital ou governança.

Operar por meio de quem tem autorização. Deixar de figurar como participante e passar a acessar o arranjo por intermédio de instituição autorizada muda o modelo de negócio, a margem e a relação com o cliente final. Cada formato tem exigência própria, e isso precisa ser verificado antes de anunciar como solução.

Vender ou incorporar a operação. A régua mais alta tende a concentrar o mercado, e parte da concentração acontece assim.

Corrigir e pedir de novo. Vale quando a negativa foi por falha sanável. Aqui a pergunta que importa é quanto tempo o caixa aguenta, porque o processo não é rápido.

O que não funciona é seguir operando e esperar. O regime de penalidades foi desenhado exatamente para esse comportamento, e a exclusão carrega sessenta meses de impedimento, como se vê abaixo.

As três penalidades, e quanto custa cada uma

O Manual de Penalidades disciplina a apuração de descumprimento do regulamento anexo à Resolução BCB nº 1, de 12 de agosto de 2020, e os parâmetros de aplicação. São três penalidades.

Existe ainda a multa diária de natureza coercitiva, que não é punição por um fato passado e sim instrumento para compelir o cumprimento de determinação do Banco Central. As coberturas divergem sobre os valores: há menção a valor-base de R$ 10 mil por dia ajustado pelo porte, e há menção a teto de R$ 200 mil por dia, limitada a 60 dias. Antes de usar qualquer desses números, confira no Manual.

Duas mudanças de processo que interessam a quem responde por isso: a apuração foi consolidada em um capítulo único, e os prazos de defesa, de recurso e de pagamento de multa foram igualados em 30 dias.

Patrimônio líquido, e uma troca que endureceu a regra

A 506 passou a permitir a exclusão do participante que não comprove patrimônio líquido mínimo de R$ 5 milhões.

O detalhe que passa batido é a natureza da mudança. Antes, a resposta prevista para esse descumprimento era a suspensão cautelar. Agora é a perda da condição de participante. Suspensão é estado temporário e reversível. Perda da condição é saída.

Para quem opera com estrutura enxuta, isso transforma o acompanhamento do patrimônio líquido de rotina contábil em item de risco existencial, com monitoramento mensal e alerta antes de chegar perto do piso.

Sessenta meses

O prazo para pedir nova adesão depois de excluído passou de 12 para 60 meses.

Vale traduzir o que isso significa em decisão de negócio. Doze meses é um contratempo: reduz operação, resolve o problema, volta. Sessenta meses é outra coisa. Nenhuma fintech cujo produto depende de Pix sobrevive cinco anos fora do arranjo. Na prática, a exclusão deixou de ser penalidade grave e passou a ser encerramento.

É por isso que a 506 mudou o cálculo de risco de compliance nesse setor. O custo de descumprir deixou de ser multa e virou o negócio inteiro.

Limite por perfil de risco

Entre as medidas de prevenção, a norma passou a permitir que o participante estabeleça limite de valor por transação conforme o perfil de risco do cliente.

Parece flexibilização, e é. Mas vem com a mesma lógica da Resolução BCB 501/2025: quando o regulador permite que a instituição defina o critério, o critério da instituição passa a ser o que será examinado depois.

Definir limite por perfil exige, na prática, ter perfil definido de forma defensável, ter política escrita, ter registro de por que aquele cliente está naquela faixa e ter canal para revisão. Sem isso, o que era ferramenta de prevenção vira gerador de reclamação e de litígio por restrição indevida.

O pacote em volta

A 506 e a 507 não vieram sozinhas. Fazem parte de um movimento que, olhado junto, é bastante coerente:

• A Resolução BCB 501/2025 criou o dever de rejeitar transação destinada a conta com fundada suspeita de fraude.
• A Resolução BCB nº 498, de 5 de setembro de 2025, passou a exigir credenciamento dos provedores de serviços de tecnologia da informação que dão acesso à Rede do Sistema Financeiro Nacional, alcançando quem está no caminho do dinheiro sem ser banco. Detalhes em ataque via PSTI.
• A Resolução BCB nº 493/2025 trouxe o MED 2.0, com rastreio em cadeia.
• As Resoluções BCB nº 494 e nº 495 promoveram mudanças estruturais no próprio regime de autorização das instituições de pagamento.

E houve uma escolha de prioridade que diz muito: o Banco Central adiou inovações previstas para o Pix a fim de concentrar esforço em segurança. Quando o regulador troca funcionalidade nova por controle, é sinal de que o problema ficou grande o suficiente para pagar esse preço.

Se você não é o PSP, mas depende de um

Esse ângulo quase não é escrito e vale para marketplace, plataforma, software de gestão, adquirente de nicho e qualquer empresa cujo recebimento passa por um prestador de serviço de pagamento.

A 506 criou risco de contraparte onde antes havia só risco operacional. Se o seu provedor perder a condição de participante, o seu fluxo de recebimento para, e a exclusão dele não vem acompanhada de período generoso de transição para você.

Três perguntas que cabem em qualquer revisão de contrato:

• Seu provedor está autorizado a funcionar pelo Banco Central? Não é pergunta ofensiva, é diligência. A informação é pública e verificável.
• O contrato prevê o que acontece se ele for excluído do arranjo? Prazo de aviso, portabilidade da operação, devolução de saldo, continuidade do serviço.
• Existe plano B testado? Provedor alternativo homologado é diferente de provedor alternativo cotado.

Quem terceiriza a operação de pagamento não terceiriza a consequência de ela parar.

O que revisar internamente

Um roteiro curto, para quem precisa apresentar posição:

1. Situação de autorização. Pedido protocolado no prazo, em análise, deferido ou indeferido. Se indeferido, qual o plano.
2. Patrimônio líquido. Monitoramento com periodicidade definida e gatilho de alerta antes do piso de R$ 5 milhões, não depois.
3. Mapa de obrigações operacionais. Quais regras do regulamento e do manual técnico a operação precisa cumprir, quem responde por cada uma, e como se comprova cumprimento.
4. Histórico sancionador. Advertência anterior pesa em reincidência, então a memória institucional disso precisa existir em algum lugar que não seja a cabeça de uma pessoa.
5. Prazos de defesa. Trinta dias para defesa, recurso e pagamento exigem que a notificação chegue a quem precisa agir. Definir o fluxo antes de receber a primeira.
6. Política de limite por perfil. Escrita, versionada, com critério registrado e canal de revisão funcionando.
7. Prova de cumprimento. Em fiscalização, o que vale é o registro. Se a instituição faz a coisa certa e não registra, ela não fez, para efeito de apuração.

O ponto final é o mesmo dos outros textos desta seção, e não é coincidência. A regulação de pagamento no Brasil passou a cobrar decisão registrada. Quem tem processo e não tem registro vai descobrir isso da pior forma, que é durante a apuração.