{"id":2883,"date":"2026-08-20T14:21:16","date_gmt":"2026-08-20T14:21:16","guid":{"rendered":"https:\/\/trisklegrc.com.br\/?p=2883"},"modified":"2026-08-24T14:23:37","modified_gmt":"2026-08-24T14:23:37","slug":"due-diligence-de-fornecedores-guia-pratico-para-avaliar-riscos-antes-de-contratar","status":"publish","type":"post","link":"https:\/\/trisklegrc.com.br\/en\/2026\/08\/20\/due-diligence-de-fornecedores-guia-pratico-para-avaliar-riscos-antes-de-contratar\/","title":{"rendered":"Due Diligence de Fornecedores: guia pr\u00e1tico para avaliar riscos antes de contratar"},"content":{"rendered":"
Antes de contratar um fornecedor, sua empresa sabe realmente com quem est\u00e1 fazendo neg\u00f3cios?<\/p>\n

Essa pergunta parece simples, mas pode revelar uma s\u00e9rie de riscos.<\/p>\n

Um fornecedor pode ter acesso a informa\u00e7\u00f5es confidenciais, dados pessoais, sistemas, clientes, processos financeiros ou atividades cr\u00edticas para a opera\u00e7\u00e3o.<\/p>\n

Tamb\u00e9m pode possuir hist\u00f3rico de problemas financeiros, conflitos de interesses, san\u00e7\u00f5es, processos relevantes ou outras situa\u00e7\u00f5es que deveriam ser conhecidas antes da contrata\u00e7\u00e3o.<\/p>\n

\u00c9 nesse contexto que entra a Due Diligence de fornecedores<\/strong>.<\/p>\n

A Due Diligence \u00e9 um processo de investiga\u00e7\u00e3o e avalia\u00e7\u00e3o que permite \u00e0 organiza\u00e7\u00e3o conhecer melhor seus potenciais parceiros comerciais e identificar riscos antes de assumir um relacionamento.<\/p>\n

Mais do que uma checagem cadastral, uma Due Diligence bem estruturada ajuda a responder uma pergunta essencial:<\/p>\n

\u201cEste fornecedor representa um risco aceit\u00e1vel para a minha empresa?\u201d<\/strong><\/p><\/blockquote>\n

Neste guia, voc\u00ea vai entender o que \u00e9 Due Diligence de fornecedores, o que deve ser analisado, quais s\u00e3o os principais sinais de alerta e como estruturar um processo eficiente.<\/p>\n

O que \u00e9 Due Diligence de fornecedores?<\/h2>\n

Due Diligence de fornecedores<\/strong> \u00e9 o processo de avalia\u00e7\u00e3o realizado antes ou durante um relacionamento comercial para identificar informa\u00e7\u00f5es e situa\u00e7\u00f5es que possam representar riscos para a organiza\u00e7\u00e3o.<\/p>\n

O processo pode envolver a an\u00e1lise de:<\/p>\n

    \n
  • Dados cadastrais;<\/li>\n
  • Estrutura societ\u00e1ria;<\/li>\n
  • S\u00f3cios e administradores;<\/li>\n
  • Benefici\u00e1rios finais;<\/li>\n
  • Hist\u00f3rico empresarial;<\/li>\n
  • San\u00e7\u00f5es;<\/li>\n
  • Processos judiciais relevantes;<\/li>\n
  • Relacionamentos com agentes p\u00fablicos;<\/li>\n
  • Conflitos de interesses;<\/li>\n
  • Pol\u00edticas de integridade;<\/li>\n
  • Seguran\u00e7a da informa\u00e7\u00e3o;<\/li>\n
  • Prote\u00e7\u00e3o de dados;<\/li>\n
  • Capacidade financeira;<\/li>\n
  • Reputa\u00e7\u00e3o.<\/li>\n<\/ul>\n

    A Controladoria-Geral da Uni\u00e3o recomenda a ado\u00e7\u00e3o de verifica\u00e7\u00f5es apropriadas para contrata\u00e7\u00e3o e supervis\u00e3o de fornecedores, prestadores de servi\u00e7os, agentes intermedi\u00e1rios e associados, especialmente em situa\u00e7\u00f5es de maior risco de integridade. :contentReference[oaicite:1]{index=1}<\/p>\n

    O objetivo n\u00e3o \u00e9 eliminar completamente o risco.<\/p>\n

    O objetivo \u00e9 conhecer, avaliar e decidir conscientemente sobre o risco.<\/strong><\/p>\n

    Por que fazer Due Diligence de fornecedores?<\/h2>\n

    Uma contrata\u00e7\u00e3o pode gerar consequ\u00eancias muito al\u00e9m do valor financeiro do contrato.<\/p>\n

    Dependendo do fornecedor, a empresa pode assumir riscos:<\/p>\n

      \n
    • Financeiros;<\/li>\n
    • Operacionais;<\/li>\n
    • Regulat\u00f3rios;<\/li>\n
    • Reputacionais;<\/li>\n
    • De corrup\u00e7\u00e3o;<\/li>\n
    • De fraude;<\/li>\n
    • De seguran\u00e7a da informa\u00e7\u00e3o;<\/li>\n
    • De prote\u00e7\u00e3o de dados;<\/li>\n
    • De continuidade de neg\u00f3cios.<\/li>\n<\/ul>\n

      Uma dilig\u00eancia adequada ajuda a identificar esses riscos antes que o relacionamento seja estabelecido ou renovado.<\/p>\n

      A pr\u00f3pria CGU destaca que pr\u00e1ticas de dilig\u00eancia pr\u00e9via fazem parte das medidas de integridade recomendadas para relacionamentos com parceiros e prestadores de servi\u00e7o. :contentReference[oaicite:2]{index=2}<\/p>\n

      Due Diligence n\u00e3o significa investigar todos os fornecedores da mesma maneira<\/h2>\n

      Esse \u00e9 um dos princ\u00edpios mais importantes de uma boa gest\u00e3o de terceiros.<\/p>\n

      Uma organiza\u00e7\u00e3o pode ter centenas ou milhares de fornecedores.<\/p>\n

      Seria pouco eficiente aplicar uma investiga\u00e7\u00e3o extremamente aprofundada para todos eles.<\/p>\n

      Por isso, a recomenda\u00e7\u00e3o \u00e9 adotar uma abordagem baseada em risco<\/strong>.<\/p>\n\n\n\n\n\n\n\n\n
      N\u00edvel de risco<\/th>\nExemplo<\/th>\nDilig\u00eancia<\/th>\n<\/tr>\n<\/thead>\n
      Baixo<\/strong><\/td>\nFornecedor sem acesso a dados ou processos cr\u00edticos<\/td>\nQuestion\u00e1rio e valida\u00e7\u00f5es b\u00e1sicas<\/td>\n<\/tr>\n
      M\u00e9dio<\/strong><\/td>\nFornecedor com impacto operacional relevante<\/td>\nQuestion\u00e1rio ampliado e valida\u00e7\u00f5es adicionais<\/td>\n<\/tr>\n
      Alto<\/strong><\/td>\nAcesso a dados, sistemas ou atividades cr\u00edticas<\/td>\nDue Diligence aprofundada<\/td>\n<\/tr>\n
      Cr\u00edtico<\/strong><\/td>\nTerceiro essencial ou com exposi\u00e7\u00e3o elevada<\/td>\nDilig\u00eancia refor\u00e7ada e monitoramento cont\u00ednuo<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

      A CGU tamb\u00e9m orienta que terceiros sejam classificados por n\u00edvel de risco e que a profundidade da Due Diligence seja proporcional a essa classifica\u00e7\u00e3o. :contentReference[oaicite:3]{index=3}<\/p>\n

      Quando fazer Due Diligence?<\/h2>\n

      A Due Diligence pode ser realizada em diferentes momentos do ciclo de relacionamento com o fornecedor.<\/p>\n

      Antes da contrata\u00e7\u00e3o<\/h3>\n

      \u00c9 o momento mais importante para identificar riscos antes de assumir o relacionamento.<\/p>\n

      Durante a contrata\u00e7\u00e3o<\/h3>\n

      Informa\u00e7\u00f5es adicionais podem ser solicitadas antes da assinatura definitiva.<\/p>\n

      Na renova\u00e7\u00e3o do contrato<\/h3>\n

      O risco do fornecedor pode ter mudado desde a contrata\u00e7\u00e3o original.<\/p>\n

      Ap\u00f3s eventos relevantes<\/h3>\n

      Uma altera\u00e7\u00e3o societ\u00e1ria, incidente de seguran\u00e7a, san\u00e7\u00e3o ou mudan\u00e7a significativa no servi\u00e7o pode justificar uma nova avalia\u00e7\u00e3o.<\/p>\n

      Periodicamente<\/h3>\n

      Fornecedores classificados como alto risco podem precisar de reavalia\u00e7\u00f5es mais frequentes.<\/p>\n

      Due Diligence n\u00e3o deve ser tratada como uma fotografia tirada no dia da contrata\u00e7\u00e3o.<\/strong><\/p>\n

      Ela deve fazer parte do ciclo de vida do terceiro.<\/p>\n

      O que analisar em uma Due Diligence de fornecedores?<\/h2>\n

      1. Identifica\u00e7\u00e3o da empresa<\/h3>\n

      O primeiro passo \u00e9 confirmar quem \u00e9 o fornecedor.<\/p>\n

      Algumas informa\u00e7\u00f5es b\u00e1sicas incluem:<\/p>\n

        \n
      • Raz\u00e3o social;<\/li>\n
      • Nome fantasia;<\/li>\n
      • CNPJ;<\/li>\n
      • Endere\u00e7o;<\/li>\n
      • Atividade econ\u00f4mica;<\/li>\n
      • Tempo de exist\u00eancia;<\/li>\n
      • Representantes legais.<\/li>\n<\/ul>\n

        Essa etapa parece simples, mas \u00e9 fundamental para garantir que as demais pesquisas sejam realizadas sobre a entidade correta.<\/p>\n

        2. Estrutura societ\u00e1ria<\/h3>\n

        Conhecer quem controla a empresa ajuda a identificar potenciais conflitos e riscos.<\/p>\n

        Dependendo do caso, a avalia\u00e7\u00e3o pode considerar:<\/p>\n

          \n
        • S\u00f3cios;<\/li>\n
        • Administradores;<\/li>\n
        • Benefici\u00e1rios finais;<\/li>\n
        • Empresas relacionadas;<\/li>\n
        • Altera\u00e7\u00f5es societ\u00e1rias relevantes.<\/li>\n<\/ul>\n

          Quanto maior o risco do relacionamento, maior a import\u00e2ncia dessa an\u00e1lise.<\/p>\n

          3. Hist\u00f3rico de integridade<\/h3>\n

          Uma Due Diligence pode avaliar se existem informa\u00e7\u00f5es p\u00fablicas relevantes relacionadas \u00e0 integridade do fornecedor ou de seus principais respons\u00e1veis.<\/p>\n

          Dependendo do contexto, podem ser analisados:<\/p>\n

            \n
          • San\u00e7\u00f5es;<\/li>\n
          • Investiga\u00e7\u00f5es p\u00fablicas;<\/li>\n
          • Casos de corrup\u00e7\u00e3o;<\/li>\n
          • Fraudes;<\/li>\n
          • Irregularidades;<\/li>\n
          • Processos relevantes.<\/li>\n<\/ul>\n

            A CGU recomenda verificar, antes da contrata\u00e7\u00e3o, se a pessoa f\u00edsica ou jur\u00eddica possui hist\u00f3rico de envolvimento em atos lesivos contra a Administra\u00e7\u00e3o P\u00fablica. :contentReference[oaicite:4]{index=4}<\/p>\n

            4. Relacionamento com agentes p\u00fablicos<\/h3>\n

            Esse ponto pode ser especialmente importante para fornecedores que atuam em atividades relacionadas ao setor p\u00fablico.<\/p>\n

            \u00c9 poss\u00edvel avaliar se o fornecedor ou pessoas relacionadas possuem v\u00ednculos que possam aumentar o risco de conflitos de interesses ou corrup\u00e7\u00e3o.<\/p>\n

            A relev\u00e2ncia dessa an\u00e1lise depende do setor, do contrato e do tipo de relacionamento.<\/p>\n

            5. Capacidade financeira<\/h3>\n

            Um fornecedor financeiramente fragilizado pode representar um risco operacional significativo.<\/p>\n

            Dependendo da criticidade do contrato, a empresa pode avaliar:<\/p>\n

              \n
            • Sa\u00fade financeira;<\/li>\n
            • Hist\u00f3rico de recupera\u00e7\u00e3o;<\/li>\n
            • Endividamento;<\/li>\n
            • Depend\u00eancia de poucos clientes;<\/li>\n
            • Capacidade de continuidade.<\/li>\n<\/ul>\n

              O objetivo \u00e9 entender se o fornecedor possui condi\u00e7\u00f5es de manter a presta\u00e7\u00e3o do servi\u00e7o durante o per\u00edodo contratado.<\/p>\n

              6. Seguran\u00e7a da informa\u00e7\u00e3o<\/h3>\n

              Se o fornecedor possui acesso a sistemas ou informa\u00e7\u00f5es da empresa, a avalia\u00e7\u00e3o deve considerar sua capacidade de proteger esses ativos.<\/p>\n

              Algumas perguntas importantes:<\/p>\n

                \n
              • Como os acessos s\u00e3o controlados?<\/li>\n
              • Existem pol\u00edticas de seguran\u00e7a?<\/li>\n
              • Como os incidentes s\u00e3o tratados?<\/li>\n
              • Existe gest\u00e3o de vulnerabilidades?<\/li>\n
              • Existem backups?<\/li>\n
              • Existe plano de continuidade?<\/li>\n
              • Existem controles sobre subcontratados?<\/li>\n<\/ul>\n

                Quanto maior o acesso do fornecedor, maior deve ser a profundidade dessa an\u00e1lise.<\/p>\n

                7. Prote\u00e7\u00e3o de dados pessoais<\/h3>\n

                Quando o terceiro trata dados pessoais, a organiza\u00e7\u00e3o precisa avaliar tamb\u00e9m os riscos relacionados \u00e0 privacidade.<\/p>\n

                Entre os pontos que podem ser considerados est\u00e3o:<\/p>\n

                  \n
                • Tipos de dados tratados;<\/li>\n
                • Finalidade do tratamento;<\/li>\n
                • Volume de dados;<\/li>\n
                • Localiza\u00e7\u00e3o dos dados;<\/li>\n
                • Controles de seguran\u00e7a;<\/li>\n
                • Gest\u00e3o de incidentes;<\/li>\n
                • Subcontrata\u00e7\u00e3o;<\/li>\n
                • Elimina\u00e7\u00e3o ou devolu\u00e7\u00e3o dos dados.<\/li>\n<\/ul>\n

                  A avalia\u00e7\u00e3o deve estar alinhada ao papel desempenhado por cada parte e aos requisitos aplic\u00e1veis ao relacionamento.<\/p>\n

                  8. Programa de Integridade<\/h3>\n

                  Uma pergunta relevante para fornecedores de maior risco \u00e9:<\/p>\n

                  \u201cEsse fornecedor possui mecanismos pr\u00f3prios para prevenir e detectar irregularidades?\u201d<\/strong><\/p><\/blockquote>\n

                  A avalia\u00e7\u00e3o pode considerar a exist\u00eancia de:<\/p>\n

                    \n
                  • C\u00f3digo de Conduta;<\/li>\n
                  • Pol\u00edtica Anticorrup\u00e7\u00e3o;<\/li>\n
                  • Canal de Den\u00fancias;<\/li>\n
                  • Treinamentos;<\/li>\n
                  • Controles internos;<\/li>\n
                  • Gest\u00e3o de riscos;<\/li>\n
                  • Monitoramento.<\/li>\n<\/ul>\n

                    A CGU recomenda verificar, quando aplic\u00e1vel, se a empresa contratada possui Programa de Integridade capaz de reduzir o risco de irregularidades. :contentReference[oaicite:5]{index=5}<\/p>\n

                    O que s\u00e3o Red Flags na Due Diligence?<\/h2>\n

                    Red Flags<\/strong> s\u00e3o sinais de alerta que podem indicar a necessidade de aprofundar a investiga\u00e7\u00e3o antes de contratar ou manter um fornecedor.<\/p>\n

                    Alguns exemplos incluem:<\/p>\n

                      \n
                    • Estrutura societ\u00e1ria pouco transparente;<\/li>\n
                    • Informa\u00e7\u00f5es contradit\u00f3rias;<\/li>\n
                    • Hist\u00f3rico relevante de san\u00e7\u00f5es;<\/li>\n
                    • Relacionamentos n\u00e3o esclarecidos com agentes p\u00fablicos;<\/li>\n
                    • Recusa em fornecer informa\u00e7\u00f5es;<\/li>\n
                    • Documenta\u00e7\u00e3o inconsistente;<\/li>\n
                    • Condi\u00e7\u00f5es comerciais incomuns;<\/li>\n
                    • Uso de intermedi\u00e1rios sem justificativa clara;<\/li>\n
                    • Hist\u00f3rico de corrup\u00e7\u00e3o ou fraude;<\/li>\n
                    • Problemas recorrentes de seguran\u00e7a.<\/li>\n<\/ul>\n

                      Uma Red Flag n\u00e3o significa necessariamente que o fornecedor deve ser rejeitado.<\/p>\n

                      Ela significa que a empresa precisa investigar melhor antes de tomar uma decis\u00e3o.<\/strong><\/p>\n

                      A CGU recomenda que o processo formal de Due Diligence defina situa\u00e7\u00f5es que demandem aprofundamento das investiga\u00e7\u00f5es e estabele\u00e7a como essas situa\u00e7\u00f5es ser\u00e3o tratadas. :contentReference[oaicite:6]{index=6}<\/p>\n

                      Checklist de Due Diligence de fornecedores<\/h2>\n

                      O checklist abaixo pode servir como ponto de partida para estruturar uma avalia\u00e7\u00e3o.<\/p>\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
                      Item<\/th>\nVerificado<\/th>\n<\/tr>\n<\/thead>\n
                      Dados cadastrais<\/td>\n\u2610<\/td>\n<\/tr>\n
                      Estrutura societ\u00e1ria<\/td>\n\u2610<\/td>\n<\/tr>\n
                      S\u00f3cios e administradores<\/td>\n\u2610<\/td>\n<\/tr>\n
                      Benefici\u00e1rios finais<\/td>\n\u2610<\/td>\n<\/tr>\n
                      Hist\u00f3rico empresarial<\/td>\n\u2610<\/td>\n<\/tr>\n
                      San\u00e7\u00f5es e restri\u00e7\u00f5es relevantes<\/td>\n\u2610<\/td>\n<\/tr>\n
                      Processos relevantes<\/td>\n\u2610<\/td>\n<\/tr>\n
                      Relacionamento com agentes p\u00fablicos<\/td>\n\u2610<\/td>\n<\/tr>\n
                      Conflitos de interesse<\/td>\n\u2610<\/td>\n<\/tr>\n
                      Capacidade financeira<\/td>\n\u2610<\/td>\n<\/tr>\n
                      Pol\u00edticas de integridade<\/td>\n\u2610<\/td>\n<\/tr>\n
                      Canal de Den\u00fancias<\/td>\n\u2610<\/td>\n<\/tr>\n
                      Seguran\u00e7a da informa\u00e7\u00e3o<\/td>\n\u2610<\/td>\n<\/tr>\n
                      Prote\u00e7\u00e3o de dados<\/td>\n\u2610<\/td>\n<\/tr>\n
                      Certifica\u00e7\u00f5es relevantes<\/td>\n\u2610<\/td>\n<\/tr>\n
                      Subcontratados<\/td>\n\u2610<\/td>\n<\/tr>\n
                      Red Flags identificadas<\/td>\n\u2610<\/td>\n<\/tr>\n
                      Classifica\u00e7\u00e3o de risco<\/td>\n\u2610<\/td>\n<\/tr>\n
                      Decis\u00e3o de aprova\u00e7\u00e3o<\/td>\n\u2610<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

                      Como classificar o resultado da Due Diligence?<\/h2>\n

                      Depois da an\u00e1lise, a empresa precisa transformar as informa\u00e7\u00f5es coletadas em uma decis\u00e3o.<\/p>\n

                      Uma classifica\u00e7\u00e3o simples pode utilizar tr\u00eas n\u00edveis:<\/p>\n\n\n\n\n\n\n\n
                      Resultado<\/th>\nInterpreta\u00e7\u00e3o<\/th>\nDecis\u00e3o<\/th>\n<\/tr>\n<\/thead>\n
                      Baixo risco<\/strong><\/td>\nPoucos sinais de alerta<\/td>\nAprova\u00e7\u00e3o<\/td>\n<\/tr>\n
                      Risco moderado<\/strong><\/td>\nExistem pontos que precisam de aten\u00e7\u00e3o<\/td>\nAprova\u00e7\u00e3o com controles<\/td>\n<\/tr>\n
                      Alto risco<\/strong><\/td>\nExistem fatores relevantes de exposi\u00e7\u00e3o<\/td>\nAprofundar dilig\u00eancia ou submeter \u00e0 aprova\u00e7\u00e3o superior<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

                      A decis\u00e3o deve ser documentada.<\/p>\n

                      Isso permite demonstrar posteriormente quais informa\u00e7\u00f5es foram analisadas, quais riscos foram identificados e por que a organiza\u00e7\u00e3o decidiu contratar ou n\u00e3o o fornecedor<\/strong>.<\/p>\n

                      O que fazer quando uma Red Flag \u00e9 encontrada?<\/h2>\n

                      Encontrar uma Red Flag n\u00e3o significa automaticamente encerrar a negocia\u00e7\u00e3o.<\/p>\n

                      O primeiro passo \u00e9 entender o contexto.<\/p>\n

                      A empresa pode:<\/p>\n

                        \n
                      1. Identificar a informa\u00e7\u00e3o;<\/li>\n
                      2. Validar a fonte;<\/li>\n
                      3. Avaliar a relev\u00e2ncia;<\/li>\n
                      4. Solicitar esclarecimentos;<\/li>\n
                      5. Aprofundar a investiga\u00e7\u00e3o;<\/li>\n
                      6. Avaliar controles compensat\u00f3rios;<\/li>\n
                      7. Submeter o caso \u00e0 aprova\u00e7\u00e3o adequada;<\/li>\n
                      8. Documentar a decis\u00e3o.<\/li>\n<\/ol>\n

                        Dependendo do risco, a organiza\u00e7\u00e3o pode decidir:<\/p>\n