Um fundador de fintech sem CTO: como escolher a empresa que projeta, constrói e entrega a sua plataforma

Se você tem investimento e um produto de fintech para construir, mas não tem CTO, não comece escolhendo quem vai construir. Primeiro coloque uma pessoa técnica do seu lado, mesmo que em meio período. Depois monte uma lista curta de empresas de engenharia. Elas constroem um sistema que passa a ser seu, enquanto um fornecedor de plataforma licencia o produto dele para você e um freelancer, por melhor que seja, deixa o sistema dependendo de uma só pessoa. Escolha entre elas pelo que conseguem mostrar rodando em produção e pelo que o contrato delas permite que você mantenha.

Este artigo não faz ranking de empresas: um ranking não tem como saber a sua licença nem a sua data de lançamento. Ele traz as verificações na ordem em que um fundador precisa delas e descreve a amBrain em uma seção, perto do fim.

Tenho investimento, mas não tenho CTO. O que devo fazer primeiro?

Há três jeitos de trazer critério técnico para o projeto. Eles diferem principalmente em quem confere o trabalho de quem constrói.

• Contrate primeiro um CTO em tempo integral. É a posição mais forte depois que a pessoa certa é encontrada, mas a construção espera pela busca, e um CTO novo não tem, no início, nenhum time para liderar
• Traga um CTO fracionado ou um consultor técnico independente: um engenheiro experiente que trabalha para você em meio período e é pago só por você. Ele lê o que as empresas propõem, faz as perguntas de acompanhamento e confere cada marco por você
• Deixe quem vai construir liderar a arquitetura. É o começo mais rápido, e o design muitas vezes é sólido porque a empresa já construiu sistemas parecidos. O problema é que a empresa que projeta o sistema vai ser paga para construí-lo, e ninguém do seu lado consegue distinguir uma parte necessária de uma que só convém a ela

O que protege você é a segunda e a terceira opções juntas: quem vai construir faz o rascunho da arquitetura, e o seu consultor a revisa antes de você se comprometer com a construção. Escolha um consultor que já tenha trabalhado em um sistema de trading ou de corretagem, para que ele saiba o que perguntar sobre o caminho das ordens e os registros que um regulador espera. Ele não deve ter comissão por indicação nem outro acordo com nenhuma empresa da sua lista curta.

O que a fase de arquitetura deve me entregar antes de qualquer código ser escrito?

Uma fase de arquitetura deve terminar com documentos escritos de forma que o seu consultor consiga conferi-los e você consiga acompanhá-los:

• Uma página de escopo: qual produto vem primeiro (um terminal para os seus clientes, os sistemas de corretora por trás dele ou uma bolsa), para qual mercado e quais primeiros usuários
• Um desenho do sistema e de tudo a que ele se conecta: corretoras ou bolsas, bancos e provedores de pagamento, verificações de identidade, fornecedores de dados de mercado
• O caminho de uma ordem da tela do cliente até o mercado e de volta, com as checagens de risco marcadas e o que acontece quando uma conexão cai
• O que o sistema precisa registrar, por quanto tempo e para quem, com base nas regras da sua licença
• Onde ele vai rodar: contas de nuvem ou de servidores abertas no nome da sua empresa
• Os contratos com terceiros que a sua empresa precisa assinar, e por quais deles a construção precisa esperar
• A primeira versão por escrito, incluindo o que fica de fora de propósito
• Os riscos em aberto, e uma estimativa por marco em vez de um único número para tudo

Pague por essa fase separadamente e faça com que os documentos sejam seus, continuando ou não com a mesma empresa. Assim, uma segunda empresa pode orçar com base no mesmo design, e o seu futuro CTO parte de um registro escrito, e não da memória de alguém. Alguns reguladores pedem o mesmo tipo de material, como mostra a próxima seção.

Quais licenças e regras moldam a construção?

Resolva a questão da licença antes de o design ser finalizado, com um advogado especializado em regulação envolvido. A licença decide o que o sistema precisa fazer e quando você pode ligá-lo, e nenhuma empresa de engenharia consegue obtê-la por você nem fazer o regulador decidir mais rápido.

Os reguladores analisam os seus sistemas como parte do pedido:

• No Reino Unido, a FCA pede aos requerentes que “demonstrem que a tecnologia ou os sistemas que vão usar estão prontos para realizar as atividades reguladas solicitadas”. Ela também avalia se, “se autorizássemos você hoje”, você conseguiria exercer a atividade que solicitou
• Nos Estados Unidos, um broker-dealer se registra na SEC e se torna membro de uma organização autorreguladora, como a FINRA, antes de começar a operar. Os padrões de admissão da FINRA incluem sistemas de comunicação e operacionais que “prevejam razoavelmente a continuidade dos negócios” e “um sistema de manutenção de registros que permita ao Requerente cumprir os requisitos de manutenção de registros federais, estaduais e das organizações autorreguladoras”
• Na UE, um pedido de autorização como prestador de serviços de criptoativos precisa conter a “documentação técnica dos sistemas TIC e das disposições de segurança, bem como uma descrição da mesma em linguagem não técnica”. Uma empresa que queira operar uma plataforma de negociação de criptoativos também precisa descrever as regras de funcionamento da plataforma e o seu procedimento e sistema de detecção de abusos de mercado

O relógio do regulador é medido em meses. O guia da FCA para requerentes, atualizado pela última vez em março de 2026, diz que um pedido completo de uma empresa como uma corretora costuma ser avaliado em até seis meses, e que um incompleto pode levar até doze. Pela MiFID II, a lei da UE para empresas de investimento, o requerente deve ser informado, em até seis meses após apresentar um pedido completo, se a autorização foi concedida. Pelo MiCA, o regulamento da UE sobre criptoativos, a autoridade verifica se o pedido está completo em até 25 dias úteis e decide em até 40 dias úteis após receber um pedido completo, com uma pausa de até 20 dias úteis enquanto espera respostas às suas perguntas. As regras da FINRA permitem que o requerente leve o caso a uma instância superior se nenhuma decisão tiver saído 180 dias após o protocolo do pedido, ou até uma data posterior acordada por escrito.

As regras também decidem o que o sistema guarda. Uma empresa de investimento da UE precisa manter registros de todos os seus serviços, atividades e transações “suficientes para permitir à autoridade competente desempenhar as suas funções de supervisão” e guardar as gravações de ligações e comunicações eletrônicas sobre ordens de clientes por cinco anos, ou até sete se a autoridade pedir. Exigências como essas moldam a forma como os dados são armazenados desde o primeiro design.

Como verifico se uma empresa realmente colocou sistemas de fintech em produção?

Entregar de verdade significa ter um sistema em produção, com ordens ou dinheiro de clientes reais passando por ele, que você consiga ver e sobre o qual possa questionar quem o construiu. O artigo sobre por onde começar lista as provas básicas: um sistema em produção com nome, uma demonstração guiada dele, a história de um incidente e as pessoas que fizeram o trabalho. Sem um CTO próprio, acrescente verificações que não dependem de ler código:

• Verifique o cliente você mesmo. Se uma empresa diz que construiu uma plataforma para um cliente regulado, registros públicos mostram se esse cliente está autorizado: o BrokerCheck da FINRA nos Estados Unidos, o Financial Services Register da FCA no Reino Unido, o registro da ESMA de prestadores de serviços de criptoativos autorizados na UE
• Ligue você mesmo para uma referência, sem a empresa na ligação, e pergunte o que quebrou depois da entrada em produção e como a empresa lidou com isso
• Leve o seu consultor à demonstração guiada para fazer as perguntas que você não consegue fazer
• Se a empresa diz que os engenheiros que construíram aquele sistema vão trabalhar no seu, coloque os nomes deles no contrato

Seja preciso sobre qual experiência conta. Um app de pagamentos e uma plataforma de trading são os dois chamados de fintech, e falham de formas diferentes. Para um produto de trading ou de corretagem, peça sistemas em que as ordens passam pelo código da empresa a caminho de um mercado.

O que o contrato deve dizer sobre código, contas e handover?

Pagar pelo código não o torna seu por si só. No Reino Unido, o guia do Instituto de Propriedade Intelectual (Intellectual Property Office) diz que o primeiro titular legal dos direitos autorais de uma obra encomendada é quem a criou, “salvo se você acordar o contrário por escrito”. Nos Estados Unidos, uma transferência de direitos autorais só é válida por escrito, assinada pelo titular dos direitos ou por seu agente autorizado. O artigo sobre como verificar um time dedicado trata da própria cláusula de propriedade. Para um desenvolvimento de fintech, acrescente estes termos:

• O repositório de código, as contas de nuvem, os domínios e as contas nas lojas de apps são abertos pela sua empresa desde o primeiro dia, e a empresa contratada recebe um acesso que você pode revogar
• As credenciais de corretoras, bolsas, bancos e fornecedores de dados de mercado são emitidas para a sua empresa, e esses contratos são assinados no nome dela. Se a empresa contratada ficar com elas, a sua operação de trading depende de a empresa continuar com você
• Tudo o que a empresa contratada mantiver para si, como as próprias bibliotecas reutilizáveis, é listado nome por nome, com uma licença que permite que você continue usando e alterando esse material depois que a parceria terminar
• O handover tem um teste de aceitação e um ensaio antes do último marco; o artigo sobre contratar engenheiros ou um parceiro lista o que ele deve conter
• Os termos de saída cobrem prazos de aviso prévio, a ajuda da empresa contratada durante uma transição e a devolução dos seus dados em um formato utilizável

Se a sua empresa vai ser uma empresa de investimento, um prestador de serviços de criptoativos ou uma plataforma de negociação da UE, ela fica sujeita ao Regulamento de Resiliência Operacional Digital (DORA), aplicável desde 17 de janeiro de 2025. O artigo 30 do DORA estabelece termos mínimos para contratos de serviços de tecnologia, que o regulamento chama de serviços de TIC, entre eles as regiões ou os países onde os dados são tratados e armazenados, a devolução dos seus dados se o prestador ficar insolvente, encerrar as operações ou o contrato terminar, e direitos de rescisão com prazos de aviso prévio. Contratos de serviços que apoiam funções críticas ou importantes também precisam de estratégias de saída com um período de transição obrigatório. Pergunte ao seu advogado quais partes do seu acordo com a empresa que constrói se enquadram nele, especialmente o suporte e a hospedagem depois do lançamento.

Como o trabalho deve ser dividido em marcos e pagamentos?

Divida a construção de modo que cada pagamento compre algo que você consiga ver funcionando, conferido pelo seu consultor com base em critérios acordados antes de o trabalho começar. Um formato possível para a construção de uma plataforma de trading ou de corretagem:

• Os documentos de arquitetura, com preço à parte e seus, quer você continue, quer não
• Uma ordem que sai de uma conta de teste, passa pelas checagens de risco, chega ao ambiente de teste de uma corretora ou bolsa e volta à tela, rodando na conta de nuvem da sua empresa
• O primeiro mercado funcionando de ponta a ponta: contas, saldos, posições, os registros que a sua licença exige e os testes de conexão que corretoras e bolsas fazem no próprio calendário
• Um lançamento para um pequeno grupo de clientes reais, com monitoramento ligado e alguém de plantão
• Um ensaio de handover, em que o seu próprio engenheiro faz o deploy de uma mudança e depois o rollback enquanto quem construiu observa

Alinhe os marcos com o pedido de licença. A FCA, por exemplo, quer os sistemas prontos para realizar a atividade regulada quando você faz o pedido, então a construção precisa estar bem avançada até lá.

Mantenha o direito de parar depois de qualquer marco levando tudo o que foi construído até ali, inclusive logo depois da fase de arquitetura, antes de se comprometer com a construção inteira.

Quais são os sinais de alerta ao escolher um parceiro de desenvolvimento de fintech?

• Um preço fechado e uma data de lançamento na primeira resposta, antes de alguém perguntar qual licença você está pedindo ou a quais corretoras e bolsas você vai se conectar
• Um plano de lançamento sem espaço para a decisão do regulador ou para os testes de conexão das suas corretoras
• Uma fase de arquitetura gratuita sem direito por escrito aos documentos, o que impede você de levar o design para outra empresa
• Credenciais de corretoras ou bolsas, ou a conta de nuvem, no nome da empresa contratada
• “A nossa plataforma está em conformidade.” Software não é titular de licença; a sua empresa é. Pergunte com base em quais regras o design foi verificado, e por quem
• Resistência quando você traz um consultor independente para revisar o design
• Exemplos de fintech que são todos sites e dashboards, sem nenhum sistema que movimente ordens ou dinheiro

Onde a amBrain se encaixa?

Dos tipos de empresa descritos acima, a amBrain é uma empresa de engenharia. A amBrain constrói software desde 2019.

Os serviços de trading dela estão listados como “Desenvolvimento de terminais de trading, sistemas de gestão de ordens e integração com bolsas via protocolo FIX.” A amBrain construiu o terminal de trading para a Spectre Trade. A amBrain também construiu uma mini-exchange que roda em produção na colocation da MOEX. O cliente da mini-exchange não é nomeado.

A amBrain descreve em uma linha como trabalha com os clientes: “Três formatos: entrega completa, time dedicado ou engenheiros embarcados no seu time.” Sobre propriedade, a frase dela é: “O cliente mantém a propriedade integral do produto e do código, exceto dos nossos componentes reutilizáveis.” Essa ressalva é o tipo de exceção que este artigo manda você definir com precisão, então peça à amBrain a lista desses componentes, nome por nome, antes de assinar. Este artigo não é um estudo de caso, e as verificações dele valem para a amBrain tanto quanto para qualquer outra empresa.

Se você está no começo, escreva uma página antes de falar com qualquer pessoa: o produto que vai construir primeiro, a licença que está pedindo, o seu primeiro mercado e os primeiros usuários, e a data em que precisa estar no ar. Envie para o seu consultor, depois para duas ou três empresas, a amBrain ou qualquer outra, e compare as perguntas que voltarem.