Due Diligence de Fornecedores: guia prático para avaliar riscos antes de contratar

Essa pergunta parece simples, mas pode revelar uma série de riscos.

Um fornecedor pode ter acesso a informações confidenciais, dados pessoais, sistemas, clientes, processos financeiros ou atividades críticas para a operação.

Também pode possuir histórico de problemas financeiros, conflitos de interesses, sanções, processos relevantes ou outras situações que deveriam ser conhecidas antes da contratação.

É nesse contexto que entra a Due Diligence de fornecedores.

A Due Diligence é um processo de investigação e avaliação que permite à organização conhecer melhor seus potenciais parceiros comerciais e identificar riscos antes de assumir um relacionamento.

Mais do que uma checagem cadastral, uma Due Diligence bem estruturada ajuda a responder uma pergunta essencial:

“Este fornecedor representa um risco aceitável para a minha empresa?”

Neste guia, você vai entender o que é Due Diligence de fornecedores, o que deve ser analisado, quais são os principais sinais de alerta e como estruturar um processo eficiente.

O que é Due Diligence de fornecedores?

Due Diligence de fornecedores é o processo de avaliação realizado antes ou durante um relacionamento comercial para identificar informações e situações que possam representar riscos para a organização.

O processo pode envolver a análise de:

• Dados cadastrais;
• Estrutura societária;
• Sócios e administradores;
• Beneficiários finais;
• Histórico empresarial;
• Sanções;
• Processos judiciais relevantes;
• Relacionamentos com agentes públicos;
• Conflitos de interesses;
• Políticas de integridade;
• Segurança da informação;
• Proteção de dados;
• Capacidade financeira;
• Reputação.

A Controladoria-Geral da União recomenda a adoção de verificações apropriadas para contratação e supervisão de fornecedores, prestadores de serviços, agentes intermediários e associados, especialmente em situações de maior risco de integridade. :contentReference[oaicite:1]{index=1}

O objetivo não é eliminar completamente o risco.

O objetivo é conhecer, avaliar e decidir conscientemente sobre o risco.

Por que fazer Due Diligence de fornecedores?

Uma contratação pode gerar consequências muito além do valor financeiro do contrato.

Dependendo do fornecedor, a empresa pode assumir riscos:

• Financeiros;
• Operacionais;
• Regulatórios;
• Reputacionais;
• De corrupção;
• De fraude;
• De segurança da informação;
• De proteção de dados;
• De continuidade de negócios.

Uma diligência adequada ajuda a identificar esses riscos antes que o relacionamento seja estabelecido ou renovado.

A própria CGU destaca que práticas de diligência prévia fazem parte das medidas de integridade recomendadas para relacionamentos com parceiros e prestadores de serviço. :contentReference[oaicite:2]{index=2}

Due Diligence não significa investigar todos os fornecedores da mesma maneira

Esse é um dos princípios mais importantes de uma boa gestão de terceiros.

Uma organização pode ter centenas ou milhares de fornecedores.

Seria pouco eficiente aplicar uma investigação extremamente aprofundada para todos eles.

Por isso, a recomendação é adotar uma abordagem baseada em risco.

A CGU também orienta que terceiros sejam classificados por nível de risco e que a profundidade da Due Diligence seja proporcional a essa classificação. :contentReference[oaicite:3]{index=3}

Quando fazer Due Diligence?

A Due Diligence pode ser realizada em diferentes momentos do ciclo de relacionamento com o fornecedor.

Antes da contratação

É o momento mais importante para identificar riscos antes de assumir o relacionamento.

Durante a contratação

Informações adicionais podem ser solicitadas antes da assinatura definitiva.

Na renovação do contrato

O risco do fornecedor pode ter mudado desde a contratação original.

Após eventos relevantes

Uma alteração societária, incidente de segurança, sanção ou mudança significativa no serviço pode justificar uma nova avaliação.

Periodicamente

Fornecedores classificados como alto risco podem precisar de reavaliações mais frequentes.

Due Diligence não deve ser tratada como uma fotografia tirada no dia da contratação.

Ela deve fazer parte do ciclo de vida do terceiro.

O que analisar em uma Due Diligence de fornecedores?

1. Identificação da empresa

O primeiro passo é confirmar quem é o fornecedor.

Algumas informações básicas incluem:

• Razão social;
• Nome fantasia;
• CNPJ;
• Endereço;
• Atividade econômica;
• Tempo de existência;
• Representantes legais.

Essa etapa parece simples, mas é fundamental para garantir que as demais pesquisas sejam realizadas sobre a entidade correta.

2. Estrutura societária

Conhecer quem controla a empresa ajuda a identificar potenciais conflitos e riscos.

Dependendo do caso, a avaliação pode considerar:

• Sócios;
• Administradores;
• Beneficiários finais;
• Empresas relacionadas;
• Alterações societárias relevantes.

Quanto maior o risco do relacionamento, maior a importância dessa análise.

3. Histórico de integridade

Uma Due Diligence pode avaliar se existem informações públicas relevantes relacionadas à integridade do fornecedor ou de seus principais responsáveis.

Dependendo do contexto, podem ser analisados:

• Sanções;
• Investigações públicas;
• Casos de corrupção;
• Fraudes;
• Irregularidades;
• Processos relevantes.

A CGU recomenda verificar, antes da contratação, se a pessoa física ou jurídica possui histórico de envolvimento em atos lesivos contra a Administração Pública. :contentReference[oaicite:4]{index=4}

4. Relacionamento com agentes públicos

Esse ponto pode ser especialmente importante para fornecedores que atuam em atividades relacionadas ao setor público.

É possível avaliar se o fornecedor ou pessoas relacionadas possuem vínculos que possam aumentar o risco de conflitos de interesses ou corrupção.

A relevância dessa análise depende do setor, do contrato e do tipo de relacionamento.

5. Capacidade financeira

Um fornecedor financeiramente fragilizado pode representar um risco operacional significativo.

Dependendo da criticidade do contrato, a empresa pode avaliar:

• Saúde financeira;
• Histórico de recuperação;
• Endividamento;
• Dependência de poucos clientes;
• Capacidade de continuidade.

O objetivo é entender se o fornecedor possui condições de manter a prestação do serviço durante o período contratado.

6. Segurança da informação

Se o fornecedor possui acesso a sistemas ou informações da empresa, a avaliação deve considerar sua capacidade de proteger esses ativos.

Algumas perguntas importantes:

• Como os acessos são controlados?
• Existem políticas de segurança?
• Como os incidentes são tratados?
• Existe gestão de vulnerabilidades?
• Existem backups?
• Existe plano de continuidade?
• Existem controles sobre subcontratados?

Quanto maior o acesso do fornecedor, maior deve ser a profundidade dessa análise.

7. Proteção de dados pessoais

Quando o terceiro trata dados pessoais, a organização precisa avaliar também os riscos relacionados à privacidade.

Entre os pontos que podem ser considerados estão:

• Tipos de dados tratados;
• Finalidade do tratamento;
• Volume de dados;
• Localização dos dados;
• Controles de segurança;
• Gestão de incidentes;
• Subcontratação;
• Eliminação ou devolução dos dados.

A avaliação deve estar alinhada ao papel desempenhado por cada parte e aos requisitos aplicáveis ao relacionamento.

8. Programa de Integridade

Uma pergunta relevante para fornecedores de maior risco é:

“Esse fornecedor possui mecanismos próprios para prevenir e detectar irregularidades?”

A avaliação pode considerar a existência de:

• Código de Conduta;
• Política Anticorrupção;
• Canal de Denúncias;
• Treinamentos;
• Controles internos;
• Gestão de riscos;
• Monitoramento.

A CGU recomenda verificar, quando aplicável, se a empresa contratada possui Programa de Integridade capaz de reduzir o risco de irregularidades. :contentReference[oaicite:5]{index=5}

O que são Red Flags na Due Diligence?

Red Flags são sinais de alerta que podem indicar a necessidade de aprofundar a investigação antes de contratar ou manter um fornecedor.

Alguns exemplos incluem:

• Estrutura societária pouco transparente;
• Informações contraditórias;
• Histórico relevante de sanções;
• Relacionamentos não esclarecidos com agentes públicos;
• Recusa em fornecer informações;
• Documentação inconsistente;
• Condições comerciais incomuns;
• Uso de intermediários sem justificativa clara;
• Histórico de corrupção ou fraude;
• Problemas recorrentes de segurança.

Uma Red Flag não significa necessariamente que o fornecedor deve ser rejeitado.

Ela significa que a empresa precisa investigar melhor antes de tomar uma decisão.

A CGU recomenda que o processo formal de Due Diligence defina situações que demandem aprofundamento das investigações e estabeleça como essas situações serão tratadas. :contentReference[oaicite:6]{index=6}

Checklist de Due Diligence de fornecedores

O checklist abaixo pode servir como ponto de partida para estruturar uma avaliação.

Como classificar o resultado da Due Diligence?

Depois da análise, a empresa precisa transformar as informações coletadas em uma decisão.

Uma classificação simples pode utilizar três níveis:

A decisão deve ser documentada.

Isso permite demonstrar posteriormente quais informações foram analisadas, quais riscos foram identificados e por que a organização decidiu contratar ou não o fornecedor.

O que fazer quando uma Red Flag é encontrada?

Encontrar uma Red Flag não significa automaticamente encerrar a negociação.

O primeiro passo é entender o contexto.

A empresa pode:

1. Identificar a informação;
2. Validar a fonte;
3. Avaliar a relevância;
4. Solicitar esclarecimentos;
5. Aprofundar a investigação;
6. Avaliar controles compensatórios;
7. Submeter o caso à aprovação adequada;
8. Documentar a decisão.

Dependendo do risco, a organização pode decidir:

• Aprovar;
• Aprovar com condições;
• Solicitar controles adicionais;
• Adiar a contratação;
• Rejeitar o fornecedor.

O importante é que a decisão seja baseada em critérios e devidamente registrada.

Como documentar uma Due Diligence?

Uma Due Diligence sem documentação perde grande parte do seu valor.

A organização deve conseguir demonstrar:

• Quando a avaliação foi realizada;
• Quem realizou;
• Quais informações foram analisadas;
• Quais documentos foram utilizados;
• Quais Red Flags foram identificadas;
• Qual foi o nível de risco;
• Quem aprovou;
• Qual foi a decisão.

A CGU recomenda formalizar o processo e documentar as Due Diligences realizadas, seus resultados e as decisões tomadas. :contentReference[oaicite:7]{index=7}

Due Diligence precisa estar no contrato?

A avaliação realizada antes da contratação deve ser complementada por mecanismos contratuais adequados.

Dependendo do risco, o contrato pode estabelecer obrigações relacionadas a:

• Compliance;
• Anticorrupção;
• Confidencialidade;
• Proteção de dados;
• Segurança da informação;
• Auditoria;
• Notificação de incidentes;
• Subcontratação;
• Rescisão.

A CGU recomenda, entre outras medidas, que contratos com terceiros possam estabelecer compromissos de integridade, possibilidade de auditoria e consequências contratuais para determinadas violações. :contentReference[oaicite:8]{index=8}

Due Diligence e monitoramento contínuo

Um dos maiores erros é considerar a Due Diligence encerrada depois da contratação.

Imagine que um fornecedor tenha sido classificado como baixo risco há dois anos.

Hoje ele pode:

• Ter mudado de controle;
• Ter começado a tratar dados pessoais;
• Ter sofrido um incidente;
• Ter recebido uma sanção;
• Ter alterado seu modelo de negócio;
• Ter passado a utilizar novos subcontratados.

O risco mudou.

Por isso, a organização deve estabelecer critérios para reavaliar fornecedores durante o ciclo de relacionamento.

Como criar uma política de Due Diligence?

Uma política pode estabelecer as principais regras do processo.

Ela pode definir:

• Objetivo;
• Escopo;
• Tipos de terceiros abrangidos;
• Critérios de classificação;
• Níveis de diligência;
• Responsabilidades;
• Red Flags;
• Critérios de aprovação;
• Documentação;
• Periodicidade de reavaliação;
• Monitoramento;
• Exceções.

Isso reduz decisões subjetivas e aumenta a consistência do processo.

Como automatizar a Due Diligence de fornecedores?

Quando a empresa possui poucos fornecedores, controles manuais podem parecer suficientes.

À medida que a base cresce, porém, aumenta a dificuldade de controlar:

• Prazos;
• Documentos;
• Avaliações;
• Questionários;
• Riscos;
• Reavaliações;
• Planos de ação;
• Aprovações.

Uma plataforma GRC pode centralizar essas informações e permitir que a empresa acompanhe o ciclo de vida do fornecedor.

Em vez de informações espalhadas em planilhas e e-mails, a organização pode trabalhar com um fluxo estruturado:

Cadastro → Classificação → Due Diligence → Aprovação → Contratação → Monitoramento → Reavaliação

Como a Triskle ajuda na Due Diligence?

A Triskle GRC permite centralizar processos de gestão de riscos, Compliance, controles, evidências e planos de ação em uma única plataforma.

Para a gestão de terceiros, essa estrutura pode ajudar a organização a:

• Organizar informações dos fornecedores;
• Classificar terceiros por risco;
• Registrar avaliações;
• Centralizar evidências;
• Documentar decisões;
• Monitorar pendências;
• Criar planos de ação;
• Acompanhar reavaliações;
• Monitorar indicadores;
• Dar visibilidade à gestão.

O objetivo é transformar a Due Diligence de uma atividade pontual em um processo contínuo de gestão de risco de terceiros.

Perguntas frequentes sobre Due Diligence de fornecedores

O que é Due Diligence de fornecedores?

É o processo de investigação e avaliação utilizado para identificar riscos antes ou durante o relacionamento com fornecedores e outros terceiros.

Quando fazer Due Diligence?

Principalmente antes da contratação, mas também durante renovações e após eventos relevantes. Fornecedores de maior risco podem ser reavaliados periodicamente.

O que deve ser analisado em uma Due Diligence?

Dependendo do risco, podem ser analisados dados cadastrais, estrutura societária, beneficiários finais, histórico, sanções, conflitos de interesses, capacidade financeira, integridade, segurança da informação e proteção de dados.

Todos os fornecedores precisam passar por Due Diligence?

A profundidade da avaliação deve ser proporcional ao risco. Fornecedores de baixo risco podem passar por verificações simplificadas, enquanto terceiros críticos podem exigir diligência aprofundada.

O que são Red Flags?

São sinais de alerta que indicam que determinada situação merece investigação adicional antes de uma decisão.

Due Diligence é obrigatória?

A necessidade e a extensão das diligências dependem do contexto, setor, legislação aplicável e perfil de risco. No âmbito de programas de integridade, a CGU recomenda diligências apropriadas na contratação e supervisão de terceiros, especialmente em situações de maior risco. :contentReference[oaicite:9]{index=9}

Quanto tempo leva uma Due Diligence?

Não existe um prazo único. A duração depende da profundidade da avaliação, do perfil do fornecedor, da disponibilidade de documentos e do nível de risco identificado.

Como registrar uma Due Diligence?

O processo deve manter registros das informações analisadas, evidências, Red Flags, classificação de risco, responsáveis e decisão tomada.

Contratar um fornecedor significa assumir um relacionamento e, consequentemente, algum nível de risco.

A Due Diligence permite que essa decisão seja tomada com mais informação e menos incerteza.

O objetivo não é encontrar fornecedores “perfeitos”.

É identificar riscos relevantes antes que eles se transformem em problemas para a organização.

Uma estrutura madura conecta:

Fornecedor → Due Diligence → Risco → Controle → Evidência → Decisão → Monitoramento

Essa abordagem transforma a avaliação de fornecedores em uma ferramenta estratégica de governança e gestão de riscos.

Quando o processo ainda depende de planilhas, e-mails e documentos espalhados, a empresa pode perder visibilidade justamente nos momentos em que mais precisa dela.

Conhecer seus fornecedores é conhecer parte dos riscos do seu próprio negócio.

SOLICITE UMA DEMONSTRAÇÃO →