Inteligência · Guia
Due diligence de terceiros é o processo de avaliar fornecedores, parceiros e clientes antes e durante a relação, para achar risco legal, financeiro e reputacional antes que ele vire problema seu. A regra é seca: risco de terceiro é risco próprio. Se a empresa que você contratou aparece em uma lista de sanção, o estrago bate no seu nome, no seu contrato e no seu compliance, não no dela.
Por Equipe de Inteligência Sentinela · Publicado em · Atualizado em
Análise da equipe de risco e compliance da Sentinela, com base em fontes públicas oficiais. Como apuramos.
Resposta rápida
Due diligence de terceiros é o processo de avaliar fornecedores, parceiros e clientes, antes e durante a relação, para achar risco legal, financeiro e reputacional antes que ele vire problema seu. A regra é seca: risco de terceiro é risco próprio. Se quem você contratou cai numa lista de sanção, o estrago bate no seu nome.
Due diligence de terceiros é a avaliação de risco de quem entra na sua cadeia: fornecedor, parceiro, distribuidor, cliente, prestador. Em vez de aceitar o cadastro pelo valor de face, você verifica em fonte pública quem é a empresa, quem manda nela de verdade e se ela carrega algum passivo que vai contaminar a sua operação.
Pense numa festa que leva o seu nome na porta. Você não deixa qualquer um entrar só porque ele apareceu de terno. Confere quem é antes de abrir a porta, porque depois, se der confusão, a culpa é de quem convidou. Terceiro é exatamente isso: você responde por quem deixou entrar.
Um terceiro sancionado, com passivo fiscal pesado, processos em volume fora da curva ou sócio inidôneo expõe quem o contrata, em conformidade e em reputação. Não é teoria: se o seu fornecedor está na Lista Suja do trabalho escravo ou no CEIS, e isso vem à tona num edital ou numa auditoria, o problema senta no seu colo.
O programa de integridade e as regras de prevenção à lavagem de dinheiro (PLD) do Banco Central transformaram a triagem de terceiros em obrigação, não cortesia. Setor regulado tem que documentar que checou. E mesmo fora de setor regulado, a lógica não muda: contratou mal, herdou o risco.
Os sinais públicos essenciais são poucos e diretos. Sanções nacionais: CEIS, CNEP, CEPIM, a Lista Suja do trabalho escravo e os inidôneos do TCU. Sanções internacionais: OFAC, ONU e União Europeia. Condição de PEP (pessoa politicamente exposta) entre os sócios e o beneficiário final. Dívida ativa e regularidade fiscal. Passivo judicial. A estrutura societária inteira até o beneficiário final. E a saúde cadastral na Receita Federal.
Exemplo prático: você vai cadastrar uma transportadora. O cadastro está ativo na Receita, bonito. Mas o sócio dela aparece como sócio de outra empresa que está no CEIS, e o endereço é compartilhado com mais quarenta CNPJs. Cada checagem isolada passava; o conjunto acende a luz.
A diligência básica confirma identidade, regularidade cadastral e ausência em listas. Serve para o fornecedor de baixo valor, baixa exposição, relação simples.
A diligência reforçada entra quando o risco sobe: contrato de alto valor, sócio ou beneficiário final que é PEP, jurisdição sensível, setor exposto a corrupção. Aí você investiga a rede societária toda, o beneficiário final real e a origem dos recursos.
O segredo é a proporção. Aplicar a diligência mais profunda a todos os terceiros é caro e lento, ninguém escala isso. Aplicar a mais rasa aos de alto risco é pior: é fingir que checou. Você gradua o esforço pelo tamanho do risco, igual ao banco que não pede a mesma papelada para abrir uma poupança e para liberar um financiamento de milhões.
São cinco passos. Um: classificar o terceiro por risco (valor, setor, exposição, presença de PEP) para definir até onde cavar. Dois: coletar e verificar em fonte oficial, sem acreditar só no que a empresa declarou no cadastro. Três: cruzar os dados, que é onde mora o ouro. Quatro: registrar um parecer com veredito e plano de ação, porque compliance que não documenta não existe na hora da auditoria. Cinco: monitorar a relação enquanto ela durar.
O passo três é o que separa a checagem séria do teatro. Um sócio limpo em uma lista pode estar sancionado em outra. Uma empresa aparentemente independente pode ter o mesmo beneficiário final de outra que está na dívida ativa. Fonte isolada engana; o cruzamento entre quadro societário e listas de risco é que conta a verdade.
Alguns padrões pedem aprofundamento imediato. Presença em lista de sanção. Sócio ou beneficiário final que é PEP. Estrutura com camadas de holdings sem propósito claro, montada para esconder quem manda. Empresa aberta semana passada já disputando contrato milionário. Endereço compartilhado com dezenas de CNPJs. Capital social que não combina com o porte do negócio prometido. Passivo fiscal ou judicial muito acima da mediana do setor.
Nenhum sinal isolado condena. A startup recém-aberta pode ser legítima; o endereço compartilhado pode ser um escritório de contabilidade. O que orienta a decisão é o acúmulo: uma red flag é coincidência, três red flags juntas no mesmo CNPJ é um padrão que você não pode ignorar.
É fácil confundir os termos, então vale separar. KYB (Know Your Business) é a etapa de conhecer e verificar a pessoa jurídica e seus controladores, o equivalente empresarial do KYC: existe, está ativa, quem são os sócios e o beneficiário final. A due diligence de terceiros é o processo mais amplo de avaliação de risco que usa o KYB como base e adiciona sanções, dívida, judicial e reputação.
Due diligence geral é o conceito guarda-chuva, que vale também para aquisições e investimentos; a de terceiros é o recorte focado na cadeia de fornecedores e parceiros. E onboarding é o momento em que tudo isso acontece pela primeira vez, na entrada do terceiro. A diferença prática: onboarding é uma foto na porta de entrada; due diligence de terceiros é o filme que continua rodando depois.
A due diligence não termina na assinatura do contrato. O terceiro idôneo de hoje pode ser sancionado, inscrito na dívida ativa ou ter o controle societário trocado amanhã, e o seu sistema não fica sabendo sozinho.
Exemplo real do dia a dia: você homologou um fornecedor em janeiro, tudo limpo. Em agosto ele entra na dívida ativa da União e abre um auto do IBAMA. Se a sua diligência foi um carimbo de janeiro, você está contratando um problema sem saber. Por isso o monitoramento contínuo, que reavalia a base de terceiros conforme os dados públicos mudam, vale tanto quanto a checagem inicial. Investigou uma vez, fica de olho depois.
O problema nunca foi falta de dado público. É juntar dezenas de fontes por CNPJ, cruzar com o quadro societário sem chutar por nome e manter tudo atualizado sem virar um trabalho manual eterno.
O Sentinela parte do CNPJ e cruza Receita, contratos públicos, sanções nacionais e internacionais, PEP, dívida ativa, ambiental e processos, entrega um score de risco explicável e um dossiê auditável que você pode anexar ao seu processo de homologação. Com o monitoramento contínuo, uma sanção, dívida ou troca de sócio nova dispara o alerta sozinha. A consulta cadastral é gratuita; a análise completa é o dossiê. Você investiga uma vez e é avisado quando o jogo vira.
O tema conectado as leis, orgaos, ferramentas e conceitos que o cercam.
Este conteúdo é apurado a partir de fontes públicas primárias. Consulte os documentos originais:
Investigue qualquer empresa em segundos
Dossiê completo, sócios, contratos, sanções e score de risco explicável por IA.