Como identificar um fornecedor de risco: o guia prático

O que é um fornecedor de risco

Um fornecedor de risco é toda empresa que, se você fechar negócio com ela, pode te trazer dor de cabeça jurídica, financeira ou de reputação. Não é só quem pode quebrar e não entregar. É também quem está numa lista de sanções, quem tem um passivo judicial pesado, quem esconde quem manda de verdade por trás de holdings, ou quem está com o CNPJ em situação irregular na Receita.

O conceito vale para qualquer relação: o fornecedor que vai te entregar matéria-prima, o prestador de serviço terceirizado, o parceiro comercial, o cliente que vai comprar fiado. Em compliance, isso entra no que se chama de risco de terceiros: o risco que vem de quem você escolhe colocar na sua cadeia. E aqui vai o ponto que muita gente esquece: o risco do fornecedor não fica com ele. Cola em você.

Sanções e idoneidade: o sinal mais forte

Comece pelas listas restritivas oficiais. É o sinal mais direto de que alguém já tomou uma decisão dura sobre aquela empresa. As principais: CEIS e CNEP (empresas inidôneas e punidas), CEPIM (entidades sem fins lucrativos impedidas), a Lista Suja do trabalho escravo, os inidôneos declarados pelo TCU e os acordos de leniência.

Exemplo concreto: uma construtora ganha sua licitação com o melhor preço. Bonito. Só que ela consta no CEIS por fraude em outro contrato público, e por isso está impedida de contratar com a administração. Você descobre depois que assinou. Agora o problema é seu, não dela.

Detalhe que separa o amador do profissional: cheque a empresa E os sócios. Sócio sancionado pode estar pilotando um CNPJ novinho e limpo só na superfície.

Passivo judicial: o padrão importa mais que o número

Todo mundo tem processo. Uma empresa com vinte anos de estrada e nenhuma ação trabalhista é mais suspeita do que uma com algumas. O que conta não é o número absoluto, é o padrão e o volume comparado ao porte e ao setor.

Litigância trabalhista, tributária ou cível muito acima da mediana do setor acende a luz amarela. É indicador de risco operacional e financeiro: quem é processado o tempo todo costuma ter problema de caixa, de gestão ou de conduta.

Exemplo: uma transportadora de cem funcionários com trezentas ações trabalhistas ativas não tem azar, tem método. Esse padrão sugere que o jeito de tratar gente (e contrato) é, digamos, criativo. E criatividade desse tipo, mais cedo ou mais tarde, respinga em quem contrata.

Estrutura societária e beneficiário final

Aqui é onde os fornecedores de risco mais escondem o jogo. Você precisa enxergar a rede, não só o CNPJ da frente. Três sinais clássicos: sócios em comum com empresas sancionadas, beneficiário final (o UBO, quem de fato controla e lucra) oculto atrás de camadas de holdings, e mudanças societárias recentes feitas pouco antes de uma contratação.

Exemplo concreto: a empresa aberta semana passada já disputando um contrato milionário, com um sócio que é apenas testa de ferro, enquanto o verdadeiro dono (que já foi sancionado num CNPJ antigo) aparece três holdings acima. No papel, tudo limpo. Na rede, tudo errado.

Mapear o beneficiário final é o coração do KYB, o conheça seu fornecedor. Sem isso, você está confiando numa fachada.

Saúde cadastral e ambiental

Saúde cadastral é o básico que muita gente pula. Situação na Receita Federal (ativa, suspensa, inapta, baixada), regularidade fiscal e tempo de existência. Um fornecedor com situação suspensa ou baixada querendo assinar contrato merece atenção redobrada: é como contratar quem está com a CNH vencida para dirigir o seu caminhão.

Dependendo do setor, entra também o lado ambiental: autos de infração e embargos do IBAMA. Para quem compra de frigorífico, madeireira, mineração ou agro, ignorar isso é assumir o risco do dano alheio. Se o seu fornecedor desmatou área embargada, o problema reputacional vira seu no dia em que a notícia sai.

Exemplo: o fornecedor de carne com preço imbatível e um embargo ambiental ativo numa fazenda da cadeia. O preço é bom porque alguém está pagando a conta. E não é ele.

É obrigatório fazer essa checagem

Depende de quem você é, mas a resposta prática é: na maior parte dos casos, sim. Para contratar com a administração pública, a lei de licitações exige regularidade e idoneidade do fornecedor, então a checagem não é opcional, é condição.

No setor privado, a Lei Anticorrupção responsabiliza a empresa por atos de terceiros agindo em seu interesse. Ter um programa de integridade que avalia fornecedores deixa de ser luxo e vira proteção: é o que mostra que você agiu com diligência se a coisa der errado.

E há setores com regra própria. Quem é instituição financeira, fintech ou lida com grandes volumes segue as regras de prevenção à lavagem de dinheiro (PLD) do Banco Central e do COAF, que exigem conhecer clientes e parceiros. Resumo honesto: mesmo onde a lei não obriga com todas as letras, não checar é assumir um risco que ninguém esperto assume.

Os sinais de alerta (a checklist rápida)

Junte tudo numa lista de red flags para olhar antes de assinar. Presença em CEIS, CNEP, CEPIM, Lista Suja, inidôneos do TCU ou leniência. Sócio ligado a empresa sancionada. Beneficiário final oculto por holdings. CNPJ aberto há poucos dias já disputando contrato grande. Situação cadastral suspensa, inapta ou baixada na Receita.

Mais sinais: passivo judicial muito acima do setor, mudança societária suspeita às vésperas do negócio, embargo ou auto ambiental ativo na cadeia, e endereço ou telefone compartilhado com dezenas de outras empresas (clássico de empresa de fachada).

Uma regra de ouro: um sinal isolado pede investigação, não condenação. Um auto de infração sob recurso, por exemplo, é um registro, não uma sentença. Mas três ou quatro red flags juntos no mesmo CNPJ raramente são coincidência.

Onde consultar (e por que dói fazer na mão)

Cada sinal mora numa base diferente. Sanções no Portal da Transparência e nos cadastros de cada órgão. Situação cadastral na Receita. Processos nos tribunais. Estrutura societária no quadro de sócios. Ambiental no IBAMA. Dá para consultar tudo de graça, uma por uma.

O problema é o tempo e o erro humano. Cruzar dez bases por CNPJ, repetir para cada sócio e ainda manter isso atualizado para uma carteira de fornecedores é trabalho braçal que não escala. E o risco não avisa: o fornecedor limpo hoje pode entrar numa lista amanhã, no dia seguinte ao da sua consulta.

Como o Sentinela ajuda

Em vez de consultar cada base separadamente e torcer para não esquecer nenhuma, o Sentinela cruza todas por CNPJ e entrega um score de risco explicável, com cada fator aberto para você entender o porquê.

No mesmo lugar você tem o screening de PLD e KYB (sanções, CEIS, CNEP, OFAC, listas da ONU e PEP), a teia societária com o beneficiário final mapeado, o passivo judicial, a situação cadastral e o histórico ambiental. A consulta cadastral é gratuita; a análise completa é o dossiê.

E o pulo do gato é o monitoramento contínuo: você não checa o fornecedor uma vez e esquece. O Sentinela acompanha e avisa quando algo muda, uma sanção nova, uma mudança societária, um processo relevante. Porque identificar um fornecedor de risco não é foto, é filme.