SAQ por conveniência, multa por consequência

Neste artigo:

• O atalho que sai caro
• SAQ x ROC: a diferença que muda tudo
• "Foi opção do cliente" não é uma proteção
• O que muda com a Resolução BCB nº 522/2025
• Por que isso importa para a sua empresa
• Conclusão

Existe uma decisão silenciosa que muitas empresas tomam sem dimensionar o tamanho do risco: optar por validar a conformidade PCI DSS por meio de uma autoavaliação (SAQ) mesmo quando o volume de transações já as colocou na faixa em que as bandeiras exigem uma auditoria formal com emissão de ROC (Report on Compliance).

A lógica de quem escolhe esse caminho costuma ser compreensível no curto prazo: o SAQ é mais rápido, mais barato e não envolve um auditor externo. Mas, do ponto de vista de risco, é uma economia que pode se transformar em prejuízo , financeiro, contratual e reputacional.

Recentemente acompanhamos um caso real em que um estabelecimento, que havia optado por permanecer em nível não auditado por escolha própria, foi multado em US$ 10.000 por uma das bandeiras. A decisão de "seguir como está" não eliminou a obrigação; apenas adiou a conta , com juros.

Este artigo explica, de forma direta, por que essa escolha é arriscada, o que mudou com a Resolução BCB nº 522/2025 e o que a sua empresa deveria avaliar agora.

A conformidade com o PCI DSS pode ser demonstrada de duas formas principais, e elas não são intercambiáveis , a forma correta depende do nível do estabelecimento, que por sua vez é determinado pelo volume anual de transações de cada bandeira.

Quando uma empresa cuja faixa de volume exige ROC entrega apenas um SAQ, ela não está "cumprindo de outro jeito" , ela está deixando de cumprir a obrigação na forma exigida.

As próprias regras das bandeiras deixam isso explícito. As Visa Core Rules (outubro de 2025, p. 151) estabelecem, na seção de Non-Compliance Assessments, que membros e estabelecimentos sujeitos aos programas de segurança de dados da bandeira que não atenderem às exigências de validação aplicáveis estão sujeitos a avaliações de não conformidade impostas pela Visa , sem possibilidade de negociação baseada em conveniência operacional. As regras da Mastercard (junho de 2025, p. 60), na seção 2.1.4 Noncompliance Assessments, seguem a mesma lógica: o descumprimento dos padrões de segurança, incluindo as obrigações de validação PCI DSS no nível correto, resulta em avaliações financeiras que podem ser aplicadas progressivamente conforme a duração e a gravidade da não conformidade.

As três categorias de não conformidade da Mastercard (seção 2.1.3)

Antes de aplicar qualquer avaliação financeira, a Mastercard classifica cada infração em uma de três categorias, definidas na seção 2.1.3 Noncompliance Categories das Mastercard Rules. A categoria determina a gravidade do tratamento e a margem , ou ausência dela , para correção antes das penalidades.

Category A , Payment System Integrity

A categoria de maior severidade. Engloba não conformidades que afetam diretamente a integridade do sistema de pagamento, incluindo falhas na proteção de dados de cartão, conta e transação. Por sua natureza crítica, a Mastercard pode aplicar avaliações monetárias de imediato, sem concessão de prazo para correção. Validar a conformidade PCI DSS em nível inferior ao exigido , mantendo-se em SAQ quando o ROC é obrigatório , pode ser enquadrado aqui, já que envolve exposição a risco de dados de portador.

Fonte: Mastercard Rules, seção 2.1.4

Category B , Visible to Customers

Cobre não conformidades perceptíveis ao portador de cartão , irregularidades que afetam a experiência, a comunicação ou os direitos do usuário final na interação com o sistema de pagamento. Neste caso, a Mastercard pode conceder um prazo limitado para que a empresa corrija a situação antes de aplicar as multas; mas essa abertura é discricionária e não elimina o risco financeiro.

Fonte: Mastercard Rules, seção 2.1.4

Category C , Efficiency and Operational Performance

A categoria de menor severidade, voltada a falhas que comprometem a eficiência e o desempenho operacional da rede, sem impacto direto na segurança ou na experiência do portador. Assim como na Category B, pode haver concessão de prazo para adequação , mas a aplicação de avaliações financeiras continua prevista caso a não conformidade persista.

Fonte: Mastercard Rules, seção 2.1.4

Um ponto que merece atenção especial: optar pelo nível mais simples não transfere nem reduz a responsabilidade. Em conversas recentes com uma adquirente sobre por que determinados estabelecimentos seguiam em SAQ, a justificativa registrada foi a de que "foi por opção do cliente". Esse mesmo cliente foi multado.

Isso ilustra um equívoco comum: tratar a escolha do nível de validação como uma preferência comercial, quando na verdade ela é uma exigência definida pela bandeira em função do volume transacionado.

Quando o estabelecimento ultrapassa o limite estabelecido pela bandeira , no contexto brasileiro, é comum que estabelecimentos acima de 300 mil transações anuais sejam enquadrados em validação por ROC, conforme os programas Visa AIS e Mastercard SDP —, a auditoria formal deixa de ser opcional. Continuar em SAQ nesse cenário é uma não conformidade, sujeita a:

• Multas aplicadas pelas bandeiras, como o caso de US$ 10.000 mencionado acima , e que as Visa Core Rules (p. 151) e as Mastercard Rules (p. 60) preveem expressamente como mecanismo de enforcement;
• Aumento de taxas e penalidades repassadas pela adquirente;
• Responsabilização ampliada em caso de incidente ou vazamento de dados de portador;
• Risco de descredenciamento ou restrições operacionais.

Em novembro de 2025, o Banco Central publicou a Resolução BCB nº 522, que altera a Resolução nº 150/2021 e redesenha a gestão de riscos nos arranjos de pagamento. O ponto central, para esta discussão, é o reforço da responsabilidade ao longo de toda a cadeia.

A norma deixa explícito que o instituidor do arranjo (a bandeira) é responsável, sem exceção, por garantir a liquidação das transações ao usuário recebedor , inclusive com recursos próprios, caso seus mecanismos de proteção se mostrem insuficientes. A bandeira também passa a ser a única responsável por monitorar e gerir os riscos dos participantes do arranjo, não podendo delegar essa gestão ao credenciador ou subcredenciador.

A leitura prática é direta: com a responsabilidade concentrada e formalizada nas bandeiras, a pressão por conformidade comprovável tende a aumentar em toda a cadeia. Quando a bandeira responde financeiramente pelas falhas do arranjo, o incentivo para tolerar estabelecimentos fora do nível de validação exigido diminui drasticamente.

Esse cenário é ainda mais relevante quando cruzado com o que já está escrito nas regras das bandeiras. As Visa Core Rules (p. 151) e as Mastercard Rules (p. 60) já possuem mecanismos de avaliação de não conformidade previstos contratualmente. A Resolução 522 cria o contexto regulatório que intensifica o uso desses mecanismos no Brasil: mais rigor, não menos, na cobrança do ROC de quem já deveria tê-lo.

A resolução entrou em vigor de imediato, com prazo de 180 dias para que as bandeiras ajustem seus regulamentos e solicitem autorização formal de adequação , uma janela em que novas exigências de conformidade devem ser comunicadas aos estabelecimentos.

Permanecer em SAQ quando o ROC é exigido cria um passivo silencioso. Tudo parece em ordem até que aconteça um dos gatilhos: uma auditoria da adquirente, um incidente de segurança, uma multa da bandeira ou uma mudança regulatória que torne a cobrança mais rígida , como a que está em curso com a Resolução 522.

O custo de regularizar antes é previsível e gerenciável. O custo de regularizar depois , somando multas, taxas majoradas, eventual responsabilização por vazamento e o impacto reputacional de um incidente , é imprevisível e quase sempre maior.

A conformidade na forma correta não é apenas uma obrigação contratual. É uma proteção do seu negócio.

Se a sua empresa processa volumes relevantes de transações Visa, Mastercard ou de outras bandeiras, vale responder a três perguntas com clareza:

1. Qual é o meu volume real anual por bandeira? É ele que define o nível e a forma de validação exigida.
2. A minha validação atual (SAQ ou ROC) corresponde a esse nível? Se há divergência, existe uma não conformidade em aberto.
3. Estou preparado para o aumento de rigor que a Resolução 522 deve trazer? Antecipar-se é mais barato do que reagir.

As regras das bandeiras , Visa e Mastercard , não deixam margem para interpretação: quando o volume de transações exige ROC, o SAQ não é uma alternativa válida. Essa é uma exigência definida contratualmente e aplicável de forma compulsória, com penalidades previstas explicitamente nas regras públicas de cada bandeira.

Com a Resolução BCB nº 522/2025 reforçando a responsabilidade das bandeiras sobre toda a cadeia de pagamentos, a tendência é de fiscalização mais rigorosa , não mais leniente. Empresas que mantêm esse passivo em aberto estão apostando contra um cenário regulatório que se move na direção contrária.

A pergunta não é se a sua empresa será cobrada. É quando , e se você estará em conformidade quando isso acontecer.

Leia também:

• O que é PCI DSS e por que ele importa para o seu negócio
• Como funciona uma auditoria PCI DSS com QSA