Monitoramento contínuo de fornecedores: a due diligence que não expira

O que é monitoramento contínuo

Monitoramento contínuo é o acompanhamento automático e permanente do risco dos terceiros com quem você já se relaciona: fornecedores homologados, clientes PJ ativos, parceiros, prestadores. Em vez de reavaliar cada um de tempos em tempos, na mão, o processo inverte: as fontes públicas são vigiadas o tempo todo, e é o sinal novo que procura o analista, não o contrário.

É o terceiro tempo da due diligence de terceiros: primeiro se investiga, depois se decide, e então se vigia enquanto a relação durar. Pular o terceiro tempo é aceitar que a sua base de fornecedores fique, em média, um ciclo de revisão inteira desatualizada.

Por que a foto do onboarding envelhece

Porque o risco é dinâmico por natureza. Uma empresa entra no CEIS quando a sanção é publicada, não quando você a homologou. O quadro societário muda num registro de junta comercial. A dívida ativa cresce a cada inscrição da PGFN. Um processo relevante nasce num despacho de tribunal. A mídia adversa estoura num dia qualquer. Nenhum desses eventos manda aviso prévio para o seu ERP.

O caso clássico: o fornecedor aprovado limpo em março é sancionado em agosto, e a empresa segue pagando faturas até alguém notar, meses depois, geralmente por acaso ou por auditoria. Com monitoramento, o alerta chega no dia da publicação, com a fonte anexada, e a decisão (bloquear, investigar, manter com ressalva) acontece quando ainda é barata.

O que monitorar num fornecedor

Cada tipo de sinal vem de uma fonte pública específica e conta uma parte da história:

Alerta bom, alerta ruim: a materialidade decide

O fracasso mais comum de um programa de monitoramento não é técnico, é humano: o sistema dispara tanto alerta irrelevante que o time para de ler. A execução fiscal de valor irrisório numa empresa de grande porte não merece o mesmo tratamento que a entrada do sócio controlador numa lista de sanção. Sem uma régua de materialidade, o alerta importante morre afogado nos outros.

Monitoramento maduro filtra por severidade e por contexto: o porte da empresa, a criticidade do fornecedor na sua operação, a natureza do sinal. E distingue o fato confirmado por CNPJ do sinal por nome, que pode ser homônimo e exige verificação antes de virar decisão. É a diferença entre um radar e uma sirene presa.

Monitorar é também poder provar

Há uma segunda função, menos óbvia e igualmente valiosa: a trilha de auditoria. Quando o auditor, o regulador ou o comitê pergunta como a empresa acompanha seus terceiros, a resposta forte não é uma política em PDF, é o registro: o alerta recebido em tal data, visto por tal pessoa, com tal decisão e tal justificativa.

O guia de avaliação de programas de compliance do DOJ americano, referência global no tema, é explícito: due diligence de terceiros não termina na contratação, e o programa é avaliado pelo que faz na prática, não pelo que promete no papel. A CGU segue a mesma linha na avaliação de programas de integridade sob a Lei Anticorrupção. Monitoramento sem registro é metade do valor.

Como implantar, sem afogar o time

A implantação saudável segue uma ordem, e ela raramente é 'ligar tudo para todos':

1. 1Classifique a base: nem todo fornecedor é crítico. Separe por criticidade operacional e exposição (valor, acesso, regulação).
2. 2Defina os sinais por classe: para os críticos, tudo; para a cauda longa, sanção, situação cadastral e mudança societária já cobrem o essencial.
3. 3Estabeleça a régua de materialidade: o que dispara alerta imediato, o que entra no resumo semanal, o que só se acumula no dossiê.
4. 4Roteie cada alerta para um dono: alerta sem responsável é alerta não tratado. Cada um deve terminar em decisão registrada.
5. 5Revise a régua com o uso: os primeiros meses mostram o que era ruído e o que era sinal. Ajuste em vez de desligar.

Como o Sentinela monitora

No Sentinela, qualquer empresa investigada pode entrar em monitoramento com um clique. A plataforma vigia as fontes públicas (sanções, cadastro, quadro societário, dívida ativa, processos, ambiental, mídia) e dispara o alerta com o evento, a fonte e a severidade, na rampa de quatro níveis que o produto usa em tudo. Sinal por nome sem CNPJ confirmado é marcado como possível homônimo, nunca como veredito.

Cada evento fica registrado na linha do tempo da empresa, com quem viu e o que decidiu: a trilha de auditoria nasce do uso, sem esforço extra. E como o score de risco é recalculado quando o fato muda, o dossiê que o auditor abre está sempre na versão de hoje, não na da homologação. O KYB aprova; o monitoramento protege.