Due diligence de terceiros: consulta cadastral não é absolvição

Due diligence de terceiros é uma investigação proporcional antes e durante a relação comercial. Ela procura responder quem é o parceiro, quem o controla, que serviço presta, como será pago, que riscos traz e se os sinais encontrados são compatíveis com a contratação. O Decreto nº 11.129/2022 inclui diligências apropriadas baseadas em risco entre os parâmetros do programa de integridade.

A profundidade deve nascer da função do terceiro

Fornecedor de material padronizado e intermediário que atua perante autoridade não oferecem a mesma exposição. Localização, acesso a recursos, contato com agente público, remuneração variável, uso de subcontratados e criticidade do serviço ajudam a definir o nível de verificação.

O guia de 2024 da CGU recomenda avaliar riscos e acompanhar terceiros. Consulta cadastral é apenas parte do trabalho: identidade, estrutura societária, reputação, capacidade técnica e coerência econômica precisam conversar entre si.

Sinal de alerta exige decisão, não colecionamento

Notícia negativa, relação com agente público, empresa recém-criada ou remuneração atípica não geram automaticamente rejeição. Cada alerta precisa ser contextualizado: atualidade, fonte, relação com o serviço e medidas capazes de reduzir risco. A decisão — aprovar, condicionar, aprofundar ou rejeitar — deve ficar registrada.

A contratação de fornecedores precisa incorporar essa decisão. Não adianta diligência classificar o terceiro como alto risco se contrato, aprovação e pagamento seguirem o mesmo fluxo de um fornecedor comum.

Monitoramento começa depois da assinatura

Mudança de sócio, subcontratação não prevista, novo território, alteração de escopo ou pagamento incomum podem modificar a avaliação. Renovação contratual é um bom gatilho de revisão, mas eventos relevantes devem permitir reabertura antes dela.

Cláusulas podem exigir comunicação de mudança e cooperação, mas não substituem acompanhamento. A cláusula anticorrupção funciona melhor quando traduz obrigações que a empresa realmente consegue verificar e aplicar.

Quando a diligência coleta dados pessoais, o processo também precisa respeitar finalidade, necessidade e acesso adequado. Investigar integridade não justifica reunir informação irrelevante apenas porque está disponível na internet.

Beneficiário e capacidade precisam conversar

A identificação de sócios ou beneficiários é mais útil quando relacionada ao serviço. Empresa sem empregados, endereço incompatível e experiência não demonstrada pode exigir esclarecimento adicional se receberá comissão relevante ou representará a contratante. A diligência não deve se limitar a “checklist verde” de bases públicas.

Notícias exigem contexto e contraditório comercial

Resultado de busca pode conter homônimos, processo sem relação com integridade ou fato antigo já esclarecido. Antes de classificar alerta, confirme identidade, fonte e vínculo com o risco. Dependendo da gravidade, pedir esclarecimento ao terceiro e documentos adicionais pode ser parte da análise.

Pagamento é etapa da diligência continuada

Mudança para conta em outra jurisdição, pedido de fracionamento, beneficiário diferente ou descrição genérica podem justificar bloqueio e rechecagem. O terceiro aprovado ontem não permanece de baixo risco se a operação muda hoje.

A área responsável deve ter autoridade para suspender contratação ou pagamento enquanto alerta material é analisado. Se o comercial consegue ignorar o resultado sem justificativa e aprovação, a diligência vira arquivo de compliance sem efeito sobre a decisão.

Frequência de revisão deve ser baseada em risco

Revisar toda a base no mesmo intervalo pode desperdiçar esforço em relações estáveis e deixar terceiro crítico sem atenção entre ciclos. Eventos como mudança societária, incidente reputacional, novo escopo ou interação pública adicional justificam revisão extraordinária. Para terceiros de maior exposição, monitoramento mais próximo pode ser necessário.

A documentação da diligência precisa permitir entender não só o resultado, mas a decisão. Registrar “aprovado” sem alertas analisados, condicionantes e aprovador impede saber depois por que o risco foi aceito.

Quando a decisão fica condicionada a salvaguardas, alguém precisa acompanhar seu cumprimento. Aprovar “desde que” e nunca conferir a condição equivale, na prática, a aprovar sem controle.

A área de negócio precisa participar da justificativa

Compliance pode identificar alertas, mas quem pretende contratar precisa explicar necessidade, escopo, forma de remuneração e por que aquele parceiro foi escolhido. Essa informação permite distinguir risco reputacional abstrato de incoerência concreta da operação. Quando a área comercial não consegue explicar o serviço, a diligência tem um problema anterior às buscas externas.

A aprovação final deve refletir competência: risco elevado pode exigir instância diferente da contratação ordinária. Isso impede que a mesma pessoa interessada no fechamento seja a única responsável por aceitar alertas relevantes.