Blog

Marcar um CNPJ por suspeita de fraude virou processo regulado

24/09/2026

Outros

O que a Resolução BCB nº 587/2026 muda para quem opera Pix

Publicado em 24 de setembro de 2026 · Moliner Law · Regulatório de Pagamentos

Quando uma instituição marca um CPF ou um CNPJ como envolvido em transação com fundada suspeita de fraude, o efeito para o marcado é imediato e concreto: transações barradas, chave bloqueada, relação comercial interrompida. Até aqui, o desenho desse procedimento era, em boa medida, uma escolha interna de cada participante — política de risco, régua antifraude, critério de reversão.

A Resolução BCB nº 587, de 18 de setembro de 2026, altera o Regulamento do Pix e muda esse status. A marcação passa a ter rito: existe procedimento de revisão, existe pedido de cancelamento e existe prazo para decidir — até sete dias.

Isso transforma uma decisão de risco em um processo regulado. E processo regulado tem consequências diferentes: gera dever de conduta, gera prova e gera responsabilidade.

O que a norma trata

A Resolução nº 587 é mais ampla do que o tema antifraude. Ela altera o Regulamento do Pix em quatro frentes principais.

Revisão de marcação de fraude. Estabelece procedimentos de revisão das marcações de fundada suspeita de fraude, incluindo a decisão sobre pedido de cancelamento em prazo de até sete dias.

Cobrança híbrida. Disciplina a modalidade de cobrança que pode ser liquidada por Pix ou por boleto, com controles destinados a evitar duplicidade de pagamento. A oferta é facultativa e limitada às hipóteses previstas na norma.

Pix Automático em conta-salário. Admite a iniciação de transações de Pix Automático a partir de conta-salário, observadas as restrições próprias desse tipo de conta.

Participação no arranjo. Modifica regras de desligamento de participantes e de recursos contra decisões do Banco Central.

As vigências são escalonadas. As alterações relativas à cobrança híbrida entram em vigor em 1º de fevereiro de 2027; as relativas ao Pix Automático em conta-salário, em 1º de julho de 2027. Os demais dispositivos seguem a regra de vigência na publicação, ressalvadas as exceções expressamente enumeradas no artigo 5º da norma.

Por que a parte antifraude é a mais delicada

O ponto não é a existência da marcação — ela é um instrumento legítimo e necessário do arranjo, construído ao longo dos últimos anos justamente para reduzir a circulação de recursos de origem fraudulenta. O ponto é que, ao criar um procedimento de revisão com prazo, a norma torna a marcação contestável. E o que é contestável precisa ser sustentável.

Há três tensões que aparecem imediatamente no desenho operacional.

A primeira é entre informar e não entregar o modelo

Comunicar a um marcado o motivo da marcação é, em alguma medida, informar como o antifraude funciona. Uma comunicação excessivamente detalhada — indicando a regra disparada, o limiar, o sinal que pesou — entrega o mapa a quem eventualmente esteja tentando burlar o sistema. Uma comunicação excessivamente genérica, por outro lado, esvazia o direito de contestar: não há como rebater o que não se sabe.

O equilíbrio é uma decisão de redação regulada, não de experiência do usuário. Textos-padrão precisam ser construídos com o jurídico junto do time de prevenção a fraudes, e revisados periodicamente à luz das contestações efetivamente recebidas.

A segunda é entre prazo e qualidade da análise

Sete dias é um prazo curto para uma análise que frequentemente depende de informações que não estão na instituição — documentos do marcado, retorno de outro participante, histórico de uma relação comercial. Operar esse prazo exige fila dedicada, critério de triagem e pessoa com alçada para decidir. Sem isso, o risco não é apenas descumprir o prazo: é decidir mal para cumpri-lo, e uma decisão de manutenção mal fundamentada é pior do que a ausência de decisão.

A terceira é entre a decisão automatizada e o direito à revisão

Grande parte das marcações nasce de modelo estatístico. O art. 20 da Lei Geral de Proteção de Dados assegura ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses. Quando o marcado é pessoa física — um MEI, um profissional autônomo, um sócio cujo CPF foi alcançado —, a revisão regulatória prevista na Resolução nº 587 e a revisão prevista na LGPD passam a conversar.

Isso não significa que sejam o mesmo procedimento, nem que tenham o mesmo fundamento. Significa que faz pouco sentido operacional manter dois fluxos separados para a mesma reclamação, e que o desenho do processo deveria contemplar as duas dimensões desde o início.

O que isso exige de quem opera

A providência central não é jurídica nem tecnológica isoladamente: é uma matriz de implementação por dispositivo, com responsável nomeado para cada obrigação. A norma tem datas diferentes para coisas diferentes, e tratar tudo como um único projeto com prazo em fevereiro de 2027 é a forma mais comum de perder a data que vale agora.

Na prática, sugerimos organizar o trabalho em cinco frentes.

Jurídico. Leitura dispositivo a dispositivo, separando o que vigora desde a publicação do que tem data futura, e mapeamento das obrigações que exigem alteração de contrato, de termos de uso ou de política pública da instituição.

Prevenção a fraudes. Definição do que é comunicado ao marcado, em que nível de detalhe, e qual o critério para manter ou cancelar a marcação na revisão. É aqui que se decide o equilíbrio descrito acima.

Atendimento. Criação da fila de pedidos de revisão com controle de prazo, roteiro de coleta de informações e alçada de decisão. Um pedido de revisão que entra pelo canal genérico de reclamações e se perde é a falha mais previsível de todo o desenho.

Tecnologia. Registro do ciclo completo — marcação, comunicação, pedido, análise, decisão — com trilha de auditoria recuperável. Se a decisão for questionada meses depois, o que existir no log é a prova.

Produto. Avaliação da cobrança híbrida e do Pix Automático em conta-salário como oportunidade, e não apenas como obrigação. Ambos abrem caminho para negócios de receita recorrente — assinatura, SaaS, educação, saúde, serviços continuados — que hoje convivem com inadimplência e atrito de cobrança.

Para quem recebe, não para quem opera o arranjo

Há um recado específico para a empresa que apenas recebe pagamentos, sem ser participante do arranjo.

A cobrança híbrida é uma boa notícia comercial: aumenta a chance de conversão ao permitir que o pagador escolha o meio. Mas ela introduz um risco operacional novo, que é o pagamento em duplicidade. Um mesmo documento pagável por dois caminhos exige conciliação mais rigorosa e regra clara de baixa. A norma prevê controles para evitar a duplicidade, mas a implementação no ERP e no fluxo de cobrança da empresa recebedora é responsabilidade dela.

Vale revisar, em paralelo, a política de devolução: se o pagamento duplicado ocorre, quem devolve, em que prazo, e como isso aparece na relação com o cliente.

O que ainda não está resolvido

Duas questões permanecem abertas e merecem acompanhamento.

A primeira é a articulação entre a revisão regulatória e o contencioso. A norma cria um caminho administrativo interno à instituição. Não elimina, evidentemente, a possibilidade de o marcado buscar o Judiciário — e a existência de um procedimento formal com prazo tende a produzir um efeito ambíguo: de um lado, dá à instituição um argumento de regularidade; de outro, cria um parâmetro objetivo contra o qual a conduta será medida.

A segunda é a responsabilidade entre participantes. A marcação circula no arranjo. Quando um participante marca e outro bloqueia com base nessa marcação, a discussão sobre quem responde pelo eventual dano ainda não tem resposta consolidada, e é um ponto que merece tratamento contratual entre instituições que compartilham informações de fraude.

Um comentário final

Há uma leitura mais ampla por trás dessa mudança. Nos últimos anos, o arcabouço antifraude do Pix foi construído com foco na velocidade da resposta — bloquear rápido, devolver rápido, marcar rápido. A Resolução nº 587 acrescenta a esse arcabouço uma camada de devido processo: quem é alcançado pela medida tem direito a saber, a pedir revisão e a obter decisão em prazo.

É uma evolução previsível e, a rigor, saudável. Mas ela transfere para as instituições um custo que antes não existia — o custo de sustentar cada decisão de risco. Quem já tratava a marcação como ato motivado, com registro e critério, vai sentir pouco. Quem tratava como automatismo sem lastro documental tem trabalho pela frente, e o prazo para fazê-lo não é 2027.