A diligência de terceiros ajuda empresas a avaliar fornecedores, parceiros e prestadores antes de assumir riscos que podem afetar suas operações, finanças ou reputação. O processo mais eficiente não investiga todos da mesma forma: define a profundidade das verificações conforme o impacto e a exposição de cada relação, e mantém o acompanhamento após a contratação.
Em resumo: seis passos para uma análise mais segura
- Mapeie os terceiros e priorize os que podem interromper operações ou ampliar sua exposição.
- Defina critérios e escopo de acordo com o setor, o contrato e os riscos envolvidos.
- Reúna e cruze dados cadastrais, documentos e informações de fontes confiáveis.
- Investigue alertas com contexto, sem tratar registros ou acusações como prova automática.
- Registre a decisão e aplique medidas proporcionais ao risco identificado.
- Monitore o relacionamento e atualize a avaliação quando houver mudanças relevantes.
O que é a diligência de terceiros e por que ela importa?
É um processo de avaliação de uma organização ou pessoa com quem a empresa pretende se relacionar, para identificar riscos antes e durante a contratação. Pode abranger integridade, situação cadastral, capacidade financeira, conformidade regulatória, reputação e riscos operacionais, conforme a função do terceiro.
A Controladoria-Geral da União recomenda que a análise considere o perfil de risco do parceiro e seja revisitada durante a relação. O guia de integridade para empresas privadas também aborda a supervisão contínua de terceiros e a relevância de aprofundar a diligência conforme o risco.
Isso torna o processo parte da gestão de fornecedores, e não apenas uma etapa burocrática de cadastro. Uma verificação proporcional pode evitar tanto lacunas em contratações críticas quanto esforço excessivo em relações de baixo impacto.
Como avaliar terceiros em seis passos?
1. Mapeie e classifique os terceiros pelo risco
Comece listando fornecedores, intermediários, parceiros comerciais e prestadores com acesso a dados, sistemas, instalações ou processos essenciais. Classifique cada relação por impacto operacional, valor financeiro, acesso a informações, contato com agentes públicos e exposição regulatória.
Por exemplo, um fornecedor substituível de material de escritório pode receber uma checagem básica. Já uma empresa que processa dados de clientes ou representa o negócio em licitações pode exigir verificação aprofundada e controles contratuais específicos.
2. Defina o escopo antes de coletar informações
Determine quais perguntas a análise precisa responder. Dependendo da atividade, o escopo pode incluir situação cadastral, estrutura societária, capacidade financeira, licenças, histórico de integridade, sanções, questões ambientais ou riscos trabalhistas.
Documente critérios, fontes aceitas, responsáveis e condições que exigem escalonamento. A CGU inclui diligências para contratação e supervisão de terceiros entre as áreas avaliadas em seu processo de avaliação de integridade empresarial. Use esse tipo de referência para orientar controles, sem transformar um modelo externo em lista universal.
3. Reúna e cruze informações confiáveis
Solicite documentos pertinentes ao risco e compare-os com fontes independentes. A checagem pode incluir razão social, identificadores cadastrais, endereço, administradores, licenças e registros públicos relevantes. Cruzar informações ajuda a encontrar divergências, empresas homônimas ou dados desatualizados antes da aprovação.
Limite a coleta ao necessário para a finalidade da avaliação. A LGPD orienta o tratamento por princípios como finalidade, adequação e necessidade, conforme explica a página sobre princípios de proteção de dados. O fato de uma informação estar pública não significa que qualquer uso seja apropriado.
4. Analise alertas com contexto e validação humana
Um alerta é um ponto a investigar, não uma conclusão. Confirme se a informação corresponde à entidade analisada, verifique a data, a origem e o desfecho conhecido. Um registro associado a uma empresa homônima, por exemplo, não deve ser atribuído ao fornecedor sem validação.
Considere também se o achado é relevante para o serviço contratado. Uma inconsistência cadastral pode exigir correção; uma restrição ligada à atividade crítica pode justificar revisão jurídica ou de compliance. Registre a evidência e a justificativa para que a decisão seja explicável.
5. Decida e aplique controles proporcionais
Converta os resultados em uma decisão documentada: aprovar, aprovar com condições, pedir esclarecimentos ou não contratar. Quando o risco puder ser mitigado, defina medidas concretas, como cláusulas de integridade, comprovação de licenças, restrição de acesso a dados ou revisão por uma área responsável.
Estabeleça quem pode aprovar exceções e como elas serão justificadas. Separar a análise da decisão comercial, quando viável, reduz o risco de ignorar alertas por pressão de prazo ou interesse na contratação.
6. Monitore a relação e atualize a avaliação
A situação de um terceiro pode mudar depois da assinatura. Defina uma frequência de revisão baseada na criticidade e gatilhos extraordinários, como alteração societária, mudança de escopo, incidente de segurança, notícia relevante ou vencimento de licença.
Guarde o histórico das consultas, decisões, responsáveis e ações de acompanhamento. Com isso, a empresa consegue demonstrar como avaliou o risco e identificar quando precisa reabrir a análise, sem repetir todo o processo indiscriminadamente.
Quais ferramentas ajudam sem substituir a análise?
Plataformas de dados podem acelerar validações cadastrais, cruzamento de informações e atualização de bases, especialmente quando há muitos terceiros. A Direct Data, por exemplo, oferece acesso a mais de 300 fontes de dados e integração por APIs para apoiar consultas e decisões comerciais. A ferramenta pode organizar sinais relevantes, mas a empresa continua responsável por definir critérios, validar alertas e decidir o tratamento adequado.
Para medir a qualidade do programa, acompanhe indicadores como tempo de análise por faixa de risco, proporção de cadastros com dados inconsistentes, alertas pendentes e avaliações vencidas. Use esses resultados para corrigir gargalos e priorizar revisões, não apenas para aumentar o volume de consultas.
Perguntas frequentes
O que é diligência prévia de terceiros?
É uma avaliação estruturada de fornecedores, parceiros e prestadores antes da contratação e durante o relacionamento. Ela reúne informações para identificar riscos de integridade, financeiros, jurídicos, operacionais e reputacionais. A profundidade das verificações deve acompanhar o impacto do terceiro na empresa, em vez de seguir um roteiro idêntico para todos.
Como fazer uma análise de terceiros passo a passo?
Comece mapeando e classificando os terceiros por risco. Depois, defina critérios, reúna documentos e consulte fontes confiáveis, valide inconsistências, registre a decisão e estabeleça controles proporcionais. A análise não termina na contratação: atualize verificações conforme a criticidade, a duração do contrato e mudanças relevantes no perfil do fornecedor.
Qual a diferença entre compliance e due diligence?
Compliance é o conjunto de políticas e controles que orienta a empresa a cumprir leis, regras e padrões éticos. A diligência de terceiros é uma atividade específica dentro desse sistema: investiga contrapartes, identifica exposições e ajuda a decidir se a relação deve ser aprovada, condicionada, monitorada ou recusada.
Quais ferramentas ajudam na verificação de fornecedores?
Podem ajudar sistemas de gestão de fornecedores, listas de sanções, consultas a registros públicos, bases de dados empresariais e soluções de validação cadastral. A escolha depende do risco e do volume de análises. Ferramentas aceleram a coleta e cruzamento de informações, mas não substituem a revisão humana de alertas e evidências.
Quanto custa uma due diligence de terceiros?
O custo varia conforme a quantidade de terceiros, a profundidade da investigação, as fontes consultadas e a necessidade de análise especializada. Uma checagem cadastral simples tende a exigir menos recursos do que uma investigação aprofundada de um parceiro crítico. Defina primeiro o risco que precisa ser coberto e compare escopo, prazo e evidências entregues.
