Regulação

Resolução BCB 501/2025 na prática: rejeitar não é bloquear

O dever de recusar pagamento para conta com fundada suspeita, a diferença entre rejeição e bloqueio, o que o BC esclareceu depois e o custo do falso positivo.

Por Julio Cesar Madeira Soares, Perito em Investigação Digital e Segurança da Informação.
Publicação prevista para 13 de outubro de 2026

A Resolução BCB nº 501, de 11 de setembro de 2025, cabe em uma frase: instituição autorizada que mantém conta passou a ter o dever de rejeitar transação de pagamento cujo destinatário seja conta com fundada suspeita de envolvimento em fraude.

Tecnicamente ela não é norma autônoma. Inseriu o art. 2º-A na Resolução BCB nº 142/2021, que é a norma de procedimentos e controles para prevenção de fraudes na prestação de serviços de pagamento. Vale saber disso porque a 142 é onde moram os controles que todo mundo conhece sem saber o nome, como o limite de R$ 1.000 para transação entre pessoas naturais das 20h às 6h e o prazo mínimo de 24 horas para efetivar aumento de limite pedido por canal eletrônico.

Entrou em vigor na publicação, com prazo de ajuste até 13 de outubro de 2025. Menos de um mês para mexer em decisão transacional. Isso diz bastante sobre a pressa com que o pacote foi montado.

Rejeitar não é bloquear, e essa diferença decide tudo

Essa é a confusão mais comum, inclusive dentro de instituição, e o próprio Banco Central precisou esclarecer o ponto: a rejeição prevista na norma não equivale a bloqueio cautelar, porque rejeitar implica recusar a liquidação.

Traduzindo para o que acontece no mundo:

Na rejeição, a transação não acontece. O dinheiro não sai da conta de quem paga. Não existe valor retido em lugar nenhum, porque não houve liquidação.

No bloqueio cautelar, a transação aconteceu. O valor chegou na conta de destino e fica retido por até 72 horas enquanto se analisa.

As consequências operacionais são opostas. A rejeição precisa ser decidida antes da liquidação, o que no Pix significa milissegundos. O bloqueio pode ser decidido depois, com o valor já parado. Uma é problema de latência, a outra é problema de análise.

E as consequências jurídicas também. Retenção é discussão sobre disponibilidade de valor que já é do recebedor. Recusa de liquidação é discussão sobre prestação do serviço de pagamento, que envolve inclusão financeira e acesso ao sistema. São teses diferentes, com pedidos diferentes.

A quem se aplica, dos dois lados

A obrigação alcança conta de depósito à vista, conta de poupança e conta de pagamento pré-paga. Na prática, isso significa Pix, TED, DOC e cartão. Vale para conta de pessoa física e de pessoa jurídica.

O detalhe que muda arquitetura: não é só a instituição que recebe. A instituição remetente também deve rejeitar o envio quando a fundada suspeita já tiver sido constatada. A identificação pode partir de qualquer um dos dois lados.

Ou seja, existem dois pontos de decisão no mesmo fluxo, cada um com sua própria base de sinais, e nenhum deles enxerga o que o outro sabe.

“Fundada suspeita” não tem definição, e isso foi de propósito

A norma não define objetivamente o que caracteriza a fundada suspeita. Em novembro de 2025 o Banco Central esclareceu que não estabeleceu requisitos mínimos nem padrões obrigatórios de avaliação, deixando a cada instituição definir seus procedimentos, com base em gestão de risco e em dados confiáveis.

Isso costuma ser lido como liberdade. É o contrário. Quando o regulador não define o critério, o critério da instituição vira a norma aplicável a ela. E, quando a decisão for questionada, o que vai ser examinado não é o texto da resolução, é o modelo, o dado que alimentou o modelo e o registro do que embasou aquela decisão específica.

Vale conectar com o que o Superior Tribunal de Justiça vem sinalizando em matéria de responsabilidade. No REsp 2.124.423/SP, julgado pela Terceira Turma do STJ em 20 de agosto de 2024, o eixo passou a ser se a instituição foi diligente. Norma que delega critério mais jurisprudência que cobra diligência resulta em uma coisa só: a defesa é o registro.

O que o Banco Central esclareceu em novembro de 2025

O esclarecimento saiu em 19 de novembro de 2025 e vale conhecer item a item, porque cada um tem efeito operacional:

1. Não há requisito mínimo para a avaliação. Cada instituição define seus procedimentos.
2. Vale para pessoa física e jurídica.
3. A identificação pode ser feita pela remetente ou pela destinatária, e a remetente também deve recusar quando a suspeita já estiver constatada.
4. Quem detectou mantém o registro das informações e dos documentos que embasaram a identificação.
5. Se a rejeição parte da instituição destinatária, ela deve comunicar o titular da conta tempestivamente. Se parte da remetente, essa obrigação não existe, embora ela possa avisar o cliente pagador.
6. Tem que existir canal de revisão. O cliente precisa poder pedir reavaliação da fundada suspeita pelos canais de atendimento.
7. Rejeição não é bloqueio cautelar.

O item 5 merece atenção porque cria um cenário desconfortável e perfeitamente legal. Se a instituição do pagador é quem recusa, ninguém é obrigado a explicar nada ao recebedor. Do ponto de vista dele, os pagamentos simplesmente param de chegar, sem aviso, sem motivo declarado e sem porta óbvia para bater. Para um negócio que vive de receber, isso é grave, e é por isso que o canal de revisão do item 6 não é formalidade.

O problema de engenharia que quase ninguém dimensiona

Para pagamento instantâneo, a decisão de rejeitar precisa acontecer antes da liquidação. Isso exige consulta a base de suspeição, aplicação de regra e resposta em milissegundos, sem derrubar a disponibilidade do serviço.

Três consequências práticas:

• Latência vira requisito regulatório. Um modelo excelente que responde em 400 milissegundos é inútil nesse ponto do fluxo.
• A base de sinais precisa estar quente, o que empurra para cache, replicação e sincronização, com todo o risco de trabalhar com informação levemente desatualizada.
• A decisão tem que ser explicável depois. Registrar em tempo real o que motivou a recusa, sem que o registro vire o gargalo, é um problema de projeto por si só.

Falso positivo, o custo que ninguém coloca na planilha

Rejeitar demais é tão problema quanto rejeitar de menos, e essa é a parte que some das apresentações.

Do lado do cliente legítimo, a rejeição indevida atinge inclusão financeira e reputação, e gera ação judicial. Do lado da instituição, cada falso positivo é atendimento aberto, cliente insatisfeito, reclamação registrada e, no agregado, risco de que os critérios adotados produzam efeito discriminatório sobre perfil, região ou tipo de negócio, o que é um problema de outra ordem.

O que a literatura de mercado vem recomendando para segurar isso:

• Governança de exceções, com alçada definida para liberar caso
• Monitoramento de viés dos critérios, para não transformar risco em discriminação
• Prazo de atendimento definido para o pedido de revisão, com registro
• Revisão periódica dos modelos de detecção, com medição de acerto e de erro

Nada disso é opcional se a instituição quiser sustentar depois que agiu com diligência.

Minha empresa parou de receber. O que fazer

Como o item 5 mostra, existe um cenário em que ninguém é obrigado a avisar nada. Vale saber reconhecer e saber o caminho.

Os sinais. Pagamentos que falham sem mensagem clara, clientes relatando que a transferência não passa, e o padrão de isso acontecer com pagadores de algumas instituições e não de outras. Esse último detalhe é o mais revelador, porque indica critério de instituição, não problema seu.

O que fazer, em ordem:

1. Peça formalmente a reavaliação da fundada suspeita no canal de atendimento da sua instituição, por escrito, e guarde o protocolo. O direito de pedir revisão está no esclarecimento do Banco Central.
2. Se a recusa partiu da instituição do pagador, a sua pode genuinamente não saber de nada. Peça ao cliente que registre reclamação no banco dele e solicite o motivo da recusa.
3. Reúna o que demonstra a legitimidade da operação antes de precisar: contrato ou pedido, nota, comprovante de entrega, histórico daquele cliente.
4. Anote datas, horários e protocolos de tudo. Sem isso não existe caso.
5. Persistindo, cabe reclamação no Banco Central e, conforme o impacto na atividade, discussão judicial.

Uma armadilha. Abrir conta em outra instituição e seguir como se nada tivesse acontecido costuma não resolver. Se a suspeição se apoia em base consultada por várias instituições, o problema viaja junto, e você terá perdido tempo em vez de ter tratado a causa.

O que um time de prevenção precisa ter

Resumindo em três palavras: sinal, dado e registro.

Sinal. Régua de valor não é critério. O que caracteriza conta usada em fraude é comportamento: recebimento de muitas origens sem relação entre si, saída imediata e fracionada, movimentação incompatível com o perfil declarado, dispositivo e rede compartilhados com outras contas marcadas, conta nova com volume alto.

Dado. Sinal isolado não sustenta suspeita fundada. A consulta a bases externas e o cruzamento com o que se tem no onboarding é o que transforma alerta em avaliação defensável.

Registro. O que embasou cada decisão, com data, hora, versão do modelo e quem decidiu. É obrigação regulatória, e é o que vai ser pedido quando a decisão for contestada, seja pelo cliente, seja pela fiscalização.

Onde a 501 se encaixa

Ela não funciona sozinha. Faz parte de um conjunto que, lido junto, tem uma lógica clara:

Sobre a conta-bolsão, que entrou nesse pacote e costuma ser confundida com conta laranja: é o caso da empresa que usa a própria conta para receber, pagar ou compensar valores de terceiros, substituindo obrigações financeiras alheias e tornando difícil identificar quem paga, quem recebe e quem é o beneficiário final. A documentação das contas encerradas por essa via precisa ficar disponível ao Banco Central por pelo menos dez anos.

Lendo o conjunto, aparece o mesmo movimento que descrevemos em o que é cangaço digital: a regulação parou de tratar fraude como problema de canal e passou a tratar como problema de infraestrutura. A conta deixou de ser cadastro e virou ponto de controle. E quem opera essa conta passou a responder por decisões que antes eram discricionárias, agora com dever, prazo e registro.