Sua empresa contrata um fornecedor novo hoje. Amanhã, uma investigação revela que esse parceiro pagou propina para vencer uma licitação. Quem responde por isso? Pela Lei Anticorrupção (Lei nº 12.846/2013), a resposta é dura: a contratante também pode ser multada. Isso vale mesmo que ela não tenha participado do ato. Por isso, a due diligence de terceiros deixou de ser uma boa prática opcional. Ela virou proteção jurídica indispensável para diretores, RH e compliance.
Due diligence de terceiros é o processo estruturado de investigação e avaliação de riscos de fornecedores, parceiros e intermediários. Ela ocorre antes e durante toda a relação comercial. Na prática, verifica histórico de integridade, vínculos com agentes públicos, sanções e reputação. O objetivo é prevenir corrupção, lavagem de dinheiro e outras irregularidades na cadeia de fornecedores. Sem esse processo, a empresa assume o risco do terceiro como se fosse próprio.
Nos últimos anos, a fiscalização sobre a cadeia de fornecedores só cresceu. Órgãos de controle cruzam dados de contratos públicos, processos judiciais e listas de sanções com muito mais agilidade do que há uma década. Consequentemente, uma falha que antes passava despercebida hoje aparece em qualquer auditoria mais detalhada. Por isso, diretores e áreas de compras não podem mais tratar a verificação de terceiros como uma formalidade burocrática.
O Cenário Atual e as Exigências Legais
A Lei nº 12.846/2013, conhecida como Lei Anticorrupção, adota a responsabilidade objetiva. Isso significa que a empresa pode ser punida mesmo sem provar intenção ou culpa direta. Basta que o ato tenha ocorrido em seu interesse ou benefício. Se um representante comercial, distribuidor ou prestador de serviço pagar propina em nome da empresa contratante, essa empresa responde administrativa e civilmente. Ou seja, a terceirização da atividade não terceiriza a responsabilidade legal.
Além disso, o Decreto nº 8.420/2015 detalha os parâmetros de avaliação de programas de compliance. Entre eles, está a verificação de terceiros, tratada como um dos pilares obrigatórios de qualquer programa sério. Consequentemente, órgãos como a Controladoria-Geral da União avaliam se a empresa investigada mantinha processo de due diligence antes de firmar contratos. Essa avaliação pesa diretamente no cálculo de eventuais multas.
Dessa forma, a ausência desse controle pesa contra a empresa em qualquer negociação de acordo de leniência. Por outro lado, ter um processo documentado pode reduzir sanções e acelerar a resolução de um caso. Além disso, normas internacionais como a ISO 37301, de gestão de compliance, recomendam avaliação de risco proporcional ao perfil de cada terceiro. Intermediários que interagem com agentes públicos exigem aprofundamento maior. Assim, a due diligence deixa de ser um documento avulso. Ela passa a integrar toda a governança da cadeia de fornecedores, do primeiro contato comercial até o encerramento do contrato.
Quem Precisa de Due Diligence Reforçada
Nem todo fornecedor representa o mesmo nível de risco. Por isso, algumas categorias exigem atenção redobrada por parte do jurídico e do compliance:
- Despachantes e representantes que lidam diretamente com órgãos públicos;
- Distribuidores em regiões ou países com alto índice de corrupção;
- Fornecedores indicados por agentes políticos ou públicos;
- Parceiros envolvidos em processos de fusões e aquisições;
- ONGs, institutos e patrocínios que recebem repasses financeiros da empresa;
- Intermediários comerciais que atuam em nome da empresa perante terceiros.
Em outras palavras, quanto mais próximo o terceiro estiver do poder público ou de decisões sensíveis, maior deve ser o nível de escrutínio aplicado antes da contratação. Na prática, isso significa criar níveis distintos de verificação, em vez de um formulário único para todo tipo de parceiro. Assim, a área de compras ganha um critério objetivo para decidir quando escalar um caso para o compliance antes de fechar negócio.
Consequências Práticas e Financeiras do Improviso
As sanções previstas na Lei 12.846/2013 são pesadas. A multa administrativa pode chegar a 20% do faturamento bruto do último exercício anterior à instauração do processo. Quando não é possível usar o faturamento como base, a multa varia de R$ 6 mil a R$ 60 milhões. Além da multa, a empresa pode sofrer publicação extraordinária da decisão condenatória. Ela também pode perder bens obtidos com a vantagem indevida. Em casos graves, ainda existe a suspensão do direito de contratar com o poder público por até cinco anos.
Além das sanções legais, o dano reputacional costuma custar ainda mais caro do que a multa em si. Por exemplo, grandes clientes B2B já exigem due diligence documentada de todos os fornecedores antes de aprovar um contrato. Sem essa evidência, a empresa perde negócios mesmo sem qualquer investigação aberta contra ela. Portanto, o improviso não é apenas um risco jurídico. Ele também é um risco comercial direto, capaz de travar propostas inteiras em processos de qualificação de fornecedores. Para entender melhor essa lógica, veja também nosso artigo sobre compliance no B2B como investimento estratégico.
Responsabilidade de Diretores e Impacto no D&O
Além do risco para a pessoa jurídica, diretores e administradores também respondem pessoalmente em situações de omissão comprovada. Isso ocorre quando fica demonstrado que a liderança sabia do risco e não agiu para mitigá-lo. Nesses casos, apólices de seguro D&O (Directors and Officers) podem negar cobertura, alegando falha grave de governança. Portanto, manter due diligence documentada também protege o patrimônio pessoal de quem assina o contrato em nome da empresa.
Due Diligence Improvisada vs. Estruturada
Muitas empresas ainda tratam a due diligence como uma checklist manual feita pelo RH ou pelo jurídico, sem metodologia nem repetição periódica. Essa abordagem raramente sobrevive a uma auditoria da CGU. A tabela abaixo compara os dois modelos lado a lado:
| Critério | Due Diligence Improvisada (Interna) | Due Diligence Estruturada e Terceirizada |
|---|---|---|
| Metodologia | Checklist informal, sem critério de risco | Matriz de risco por categoria de terceiro |
| Evidência documental | E-mails soltos, sem centralização | Trilha de auditoria completa e rastreável |
| Atualização | Feita uma única vez, na contratação | Monitoramento contínuo e reavaliação periódica |
| Validade em fiscalização | Baixa, sem padrão reconhecido | Alta, alinhada à ISO 37301 e ao Decreto 8.420/2015 |
| Uso em acordo de leniência | Fragilizada, sem histórico | Reforça a defesa da empresa |
Em resumo, a diferença não está apenas na qualidade do trabalho. Ela está na capacidade de provar, com documentos, que a empresa agiu com diligência antes de qualquer problema aparecer.
Como Estruturar o Processo do Jeito Certo
Estruturar a due diligence de terceiros exige método, não boa vontade. A seguir, veja o passo a passo pragmático que diretores e times de compliance podem aplicar desde já, sem depender de grandes reestruturações internas.
1. Mapeamento e Categorização de Risco
Primeiro, classifique cada terceiro por nível de risco: alto, médio ou baixo. Considere a exposição a agentes públicos, o país de origem, o volume financeiro do contrato e o setor de atuação. Dessa forma, a empresa direciona esforço e orçamento para quem realmente representa perigo. Isso evita aplicar o mesmo nível de escrutínio para um pequeno fornecedor de material de escritório e para um representante comercial internacional.
2. Coleta e Verificação Documental
Em seguida, colete certidões negativas e consulte listas de sanções nacionais e internacionais, como o CEIS, o CNEP e listas de órgãos estrangeiros. Verifique também o beneficiário final da empresa parceira, ou seja, quem realmente controla e lucra com aquele negócio. Essa etapa deve respeitar a LGPD, tratando os dados coletados com base legal específica e finalidade declarada. Sem esse cuidado, a própria due diligence pode gerar um novo risco de multa.
3. Cláusulas Contratuais Anticorrupção
Depois, inclua cláusulas anticorrupção em todo contrato com terceiros. Elas devem prever declaração de conformidade com a Lei 12.846/2013, direito de auditoria da contratante e possibilidade de rescisão imediata em caso de descumprimento. Sem essas cláusulas, a empresa perde o instrumento jurídico necessário para agir rápido diante de um problema identificado depois da assinatura.
4. Monitoramento Contínuo e Integração com o Canal de Denúncias
Por fim, lembre-se de que a due diligence não termina na assinatura do contrato. Ela deve ser revisada periodicamente, com frequência maior para terceiros de alto risco. Além disso, é fundamental conectá-la ao canal de denúncias da empresa, para captar alertas internos sobre o comportamento do terceiro ao longo de toda a relação comercial. Veja como estruturar esse canal em conformidade com a norma internacional em nosso guia sobre implementação de canal de denúncias conforme a ISO 37008.
Essa integração também fortalece a apuração interna quando um alerta chega até o compliance. Nosso artigo sobre LGPD na apuração interna explica, em detalhes, como tratar os dados do denunciante e do denunciado sem gerar risco adicional de multa para a empresa.
5. Treinamento das Áreas de Compras e Vendas
Finalmente, nenhuma política de due diligence funciona sem treinamento. As áreas de compras e vendas são as primeiras a interagir com fornecedores e intermediários no dia a dia. Portanto, elas precisam saber identificar sinais de alerta, como pressa excessiva para fechar contrato, recusa em fornecer documentos ou pedidos de pagamento fora do padrão. Dessa forma, o compliance deixa de ser um departamento isolado e passa a contar com uma rede de observadores em toda a operação.
Perguntas Frequentes (FAQ)
Due diligence de terceiros é obrigatória por lei?
Não existe uma lei que obrigue, de forma literal, a due diligence de terceiros. No entanto, o Decreto 8.420/2015 a lista como parâmetro de avaliação de programas de compliance. Por isso, ela se torna, na prática, indispensável para reduzir sanções em caso de investigação.
Toda empresa precisa aplicar due diligence de terceiros?
Sim, mas com intensidade proporcional ao risco de cada operação. Empresas que lidam com o poder público, licitações ou mercados internacionais precisam de processos mais rigorosos. Já pequenos negócios locais, de baixo risco, podem adotar verificações mais simples e ainda assim cumprir o padrão esperado.
Quanto tempo leva um processo de due diligence?
Depende do nível de risco do terceiro avaliado. Uma verificação de baixo risco pode levar poucos dias. Por outro lado, um parceiro de alto risco, com exposição direta a agentes públicos, pode exigir semanas de investigação documental e entrevistas complementares.
Due diligence substitui o canal de denúncias?
Não. Os dois processos são complementares, e não concorrentes. A due diligence avalia o terceiro antes e durante o contrato. Enquanto isso, o canal de denúncias capta alertas de comportamento irregular que só aparecem depois, no dia a dia da relação comercial.
Quem deve conduzir a due diligence: jurídico interno ou empresa especializada?
O jurídico interno pode conduzir verificações simples de baixo risco sem grandes problemas. Contudo, para terceiros de alto risco, uma empresa especializada traz mais isenção e acesso a bases de dados que o time interno normalmente não possui. Além disso, um parceiro externo reduz o risco de conflito de interesse em relações comerciais próximas.
Proteja sua Empresa com um Processo Estruturado
Improvisar a due diligence de terceiros custa caro. Entre os riscos estão multas de até 20% do faturamento, perda de contratos e danos à reputação que levam anos para serem reparados. Por outro lado, um processo estruturado protege a empresa e fortalece sua defesa em fiscalizações. Além disso, ele vira diferencial competitivo diante de clientes cada vez mais exigentes em relação a governança.
A Easy Report, da Compliance for Business, ajuda diretores, RH e compliance a estruturar due diligence de terceiros, canal de denúncias e investigações corporativas em um único ecossistema auditável. Fale com um especialista e agende uma demonstração para ver, na prática, como blindar sua cadeia de fornecedores. Você também pode acompanhar casos práticos e atualizações no canal da Compliance for Business no YouTube.
