Due diligence de fornecedores: o que é e como fazer

Due diligence de fornecedores é a investigação prévia e estruturada que avalia a idoneidade, a capacidade operacional e a conformidade de uma empresa antes da contratação. Seu objetivo é identificar riscos fiscais, jurídicos, trabalhistas, financeiros e reputacionais que possam ser transferidos ao contratante ao longo da relação comercial.

Porém, boa parte das empresas ainda trata essa verificação como formalidade de cadastro: coleta as certidões, confere a validade, arquiva o PDF e libera o fornecedor.

Esse modelo não sustenta mais a exposição atual. A due diligence de fornecedores não é uma etapa de onboarding, é um mecanismo permanente de controle de risco dentro da governança da cadeia de suprimentos.

A diferença aparece quando algo dá errado. Quem trata a diligência como formalidade descobre o problema na autuação, na ação trabalhista ou na notícia. Quem a trata como controle de risco descobre antes, quando ainda existe alternativa contratual.

Neste artigo, você vai entender mais sobre due diligence de fornecedores, uma ferramenta essencial para mitigar fraudes, evitar sanções regulatórias e proteger um dos ativos mais valiosos de qualquer organização: sua reputação.

O que é due diligence de fornecedores?

Due diligence de fornecedores é o processo de investigação, coleta e análise de informações sobre uma empresa antes da formalização de um vínculo de fornecimento, com o propósito de sustentar tecnicamente a decisão de contratar, contratar com ressalvas ou recusar.

O conceito geral de diligência prévia se aplica a contextos variados, de fusões e aquisições a decisões de investimento

O recorte de fornecedores tem características próprias: volume alto, ciclos de renovação frequentes e uma exposição que não termina na assinatura, porque o fornecedor continua operando em nome da contratante todos os dias seguintes.

O que a investigação sobre fornecedores precisa responder?

Uma due diligence de fornecedores bem construída responde a quatro perguntas objetivas:

• Esta empresa existe e opera de fato? Situação cadastral ativa, endereço compatível, estrutura societária identificável.
• Ela tem capacidade de entregar o que está sendo contratado? Porte, estrutura financeira, histórico operacional, certificações.
• Ela é regular perante o poder público? Situação fiscal, trabalhista, previdenciária e setorial.
• Associar-se a ela cria exposição para a contratante? Sanções, processos, vínculos societários sensíveis, histórico reputacional.

O resultado desse trabalho é o dossiê de due diligence, o documento que consolida as evidências, atribui um score de risco e registra a recomendação. É ele que transforma a investigação em prova de diligência.

Due diligence e homologação de fornecedores: qual a diferença?

Os dois termos são frequentemente tratados como sinônimos, o que gera confusão operacional. Eles descrevem coisas diferentes.

A homologação de fornecedores é o processo formal de aprovação e cadastro: o fluxo administrativo que recebe a documentação, valida requisitos, aprova e inclui o fornecedor na base apta a receber pedidos.

A due diligence é a investigação aprofundada que sustenta a decisão tomada dentro desse fluxo. Não é uma etapa paralela: é o principal instrumento de decisão da homologação.

Critério	Homologação de fornecedores	Due diligence de fornecedores
Natureza	Processo administrativo de aprovação e cadastro	Investigação analítica de risco
Pergunta central	O fornecedor atende aos requisitos formais?	Quais riscos este fornecedor traz para a operação?
Profundidade	Verificação documental e de conformidade cadastral	Análise cruzada de fontes públicas, privadas e documentais
Escopo típico	Documentos societários, certidões, dados bancários, requisitos técnicos	Idoneidade, integridade, saúde financeira, histórico judicial, reputação, beneficiário final
Entregável	Fornecedor aprovado e cadastrado	Dossiê com parecer e score de risco
Momento	Etapa de entrada na base	Antes da aprovação e, de forma contínua, durante todo o contrato
Relação	Contém a due diligence	Fundamenta a decisão de homologar

Uma homologação sem due diligence aprova com base em papel, e uma due diligence sem homologação produz análise que não vira decisão registrada. As duas precisam operar juntas.

Por que fazer due diligence de fornecedores?

A importância do processo de due diligence é jurídica, financeira e operacional. Entenda abaixo:

A responsabilidade não para no fornecedor

O ordenamento brasileiro estende à contratante boa parte das consequências dos atos de seus parceiros.

Na Lei Anticorrupção (Lei nº 12.846/2013), a responsabilização da pessoa jurídica por atos lesivos à administração pública é objetiva, ou seja, independe de comprovação de culpa ou de intenção. Se um terceiro atua em nome ou em benefício da empresa, a exposição chega até ela.

O Decreto nº 11.129/2022, que regulamenta a lei, torna isso explícito ao listar, entre os parâmetros de avaliação de um programa de integridade, a existência de “diligências apropriadas, baseadas em risco” para a contratação e a supervisão de terceiros, incluindo fornecedores, intermediários e pessoas expostas politicamente.

O ponto prático é este: em uma apuração, a empresa precisa demonstrar que investigou, e demonstrar significa apresentar evidências datadas, não afirmar que o processo existe.

Na esfera trabalhista, a Lei nº 6.019/1974, no artigo 5º-A, parágrafo 5º, estabelece a responsabilidade subsidiária da contratante pelas obrigações trabalhistas do período de prestação dos serviços, entendimento consolidado também na Súmula 331 do TST. A LGPD segue a mesma lógica para dados: o artigo 42 prevê que o controlador responde pelos danos causados no tratamento, inclusive quando a operação é executada por um operador contratado.

Quem escolhe o fornecedor responde pela escolha.

Risco reputacional por associação

A associação não distingue quem cometeu o ato. Quando um fornecedor aparece em uma autuação por trabalho análogo ao de escravo, em um passivo ambiental ou em uma investigação de corrupção, a marca do contratante entra na mesma narrativa.

O Cadastro de Empregadores que submeteram trabalhadores a condições análogas à de escravo, a Lista Suja, é o exemplo mais direto. Disciplinado pela Portaria Interministerial MTE/MDHC/MIR nº 18/2024, é público, atualizado semestralmente e mantém cada nome por dois anos.

Na atualização de abril de 2026, o Ministério do Trabalho e Emprego informou que a lista passou a reunir 613 empregadores. Uma base consultável, gratuita e frequentemente ignorada em processos de contratação.

Continuidade operacional

Nem todo risco de fornecedor é jurídico. Um fornecedor único para um insumo essencial, com saúde financeira deteriorada, representa um risco de interrupção que nenhuma cláusula contratual resolve depois do fato. A avaliação financeira dentro da due diligence serve para antecipar esse cenário.

A mesma lógica vale para segurança da informação. O Data Breach Investigations Report 2026, da Verizon, aponta que 48% das violações de dados analisadas envolveram um terceiro, contra 30% na edição anterior. O fornecedor deixou de ser apenas um risco de conformidade e passou a ser um vetor direto de incidente.

Reforma tributária

No modelo tradicional de ICMS e IPI, o crédito nasce na entrada da mercadoria, independentemente de o fornecedor ter recolhido o tributo devido. A irregularidade dele era, em regra, problema dele.

Com a reforma tributária, essa lógica muda. A Emenda Constitucional nº 132/2023 autorizou, no artigo 156-A, parágrafo 5º, inciso II, que a lei complementar condicione o aproveitamento do crédito à verificação do efetivo recolhimento na etapa anterior. A Lei Complementar nº 214/2025, com os ajustes da Lei Complementar nº 227/2026, estabeleceu no artigo 47 que o adquirente se apropria dos créditos de IBS e CBS quando ocorrer a extinção do débito da operação por uma das modalidades do artigo 27, entre elas o pagamento pelo fornecedor e o recolhimento na liquidação financeira, o chamado split payment.

A irregularidade fiscal do fornecedor deixa de ser um problema exclusivamente dele e passa a ter impacto direto no caixa do comprador. A extensão dessa condicionante ainda é objeto de discussão doutrinária e judicial, mas, enquanto a matéria não se pacifica, o risco permanece do lado de quem compra.

O único lugar onde ele pode ser controlado é o processo de seleção e monitoramento de fornecedores.

Quais riscos a due diligence de fornecedores reduz?

Uma diligência completa não trabalha com uma categoria única de risco. Ela cruza dimensões que se influenciam entre si:

• Risco financeiro. Avalia a saúde econômica do fornecedor e sua capacidade de honrar o contrato. Um fornecedor com endividamento crescente e margem comprimida pode aceitar um preço que não sustenta, entregar com atraso e, no limite, encerrar a operação no meio do contrato. Exemplo: um fabricante de embalagens com protestos recorrentes e queda de faturamento aceita um pedido de grande volume que não tem estrutura para produzir.
• Risco fiscal e tributário. Envolve pendências de certidões, débitos inscritos em dívida ativa, inscrição estadual inapta e histórico de autuações. Exemplo: um fornecedor com inscrição estadual baixada emite notas que geram glosa de crédito e autuação para o comprador.
• Risco trabalhista. Considera passivos judiciais, histórico de terceirização irregular, ações coletivas e presença em cadastros como a Lista Suja. Exemplo: uma prestadora de serviços de limpeza com centenas de reclamatórias e sem recolhimento de FGTS gera responsabilidade subsidiária para a contratante.
• Risco jurídico. Reúne processos judiciais e administrativos, execuções fiscais, pedidos de falência e recuperação judicial. Exemplo: um fornecedor em recuperação judicial tem sua capacidade de investimento e de fornecimento condicionada ao plano aprovado pelos credores.
• Risco de integridade e anticorrupção. Verifica a presença em cadastros sancionatórios como CEIS, CNEP e CEPIM, além de listas internacionais. Exemplo: um intermediário declarado inidôneo mantém contrato ativo, e a empresa só descobre a inclusão em auditoria.
• Risco reputacional. Considera mídia negativa, vínculos societários com pessoas expostas politicamente e envolvimento em investigações. Exemplo: um fornecedor cujo sócio majoritário é parente próximo de um agente público responsável por um contrato relevante para a empresa.
• Risco operacional. Avalia capacidade técnica, qualidade histórica, certificações e grau de dependência. Exemplo: um fornecedor exclusivo de um componente crítico, sem plano de contingência, concentra o risco de parada da linha de produção.
• Risco de proteção de dados. Aplica-se a todo fornecedor que acessa dados pessoais ou sistemas internos. Exemplo: uma empresa de recrutamento que trata currículos e documentos de candidatos sem controles adequados de segurança.
• Risco ESG. Abrange passivos ambientais, condições de trabalho na cadeia, licenciamento e práticas de governança. Exemplo: um fornecedor agrícola com auto de infração ambiental por desmatamento em área embargada.

Quais são as etapas da due diligence de fornecedores?

O processo abaixo funciona tanto para operações com dezenas de fornecedores quanto para bases com milhares, mudando apenas o grau de automação aplicado a cada fase. Confira os passos essenciais:

1. Definição de objetivo e escopo

Antes de consultar qualquer base, é preciso definir o que está sendo avaliado e por quê. Um fornecedor de software com acesso a dados de clientes exige escopo diferente de um fornecedor de material de consumo. O escopo delimita fontes, profundidade e prazo. Sem ele, a diligência vira coleta indiscriminada de documentos.

2. Classificação do fornecedor por criticidade

Etapa que define a economia do processo. O fornecedor é enquadrado em um nível de risco a partir de critérios como valor do contrato, criticidade do fornecimento, exposição regulatória do setor, acesso a dados e sistemas, país de origem e interface com o poder público. A profundidade da investigação passa a ser proporcional a esse enquadramento.

3. Coleta preliminar de informações e documentos

Inclui formulário de cadastro, documentos societários, demonstrações financeiras quando aplicável, certificações e declarações de conformidade. Formulários dinâmicos, ajustados ao nível de criticidade, evitam pedir cinquenta documentos a um fornecedor que precisaria entregar cinco.

4. Consulta a bases públicas e privadas

É a etapa de verificação independente: nada do que o fornecedor declara deve ser aceito sem confirmação em fonte externa. Aqui entram Receita Federal, secretarias estaduais e municipais, Justiça do Trabalho, tribunais, Portal da Transparência, cartórios de protesto, bases de dívida ativa, listas restritivas internacionais e fontes de mídia.

5. Análise e cruzamento das informações

A consulta gera dados. A análise gera conclusão. É a fase em que se identificam inconsistências entre o declarado e o encontrado, padrões societários atípicos, incompatibilidade entre porte e capacidade e concentração de sinais negativos em um mesmo período.

6. Verificação aprofundada nos casos críticos

Aplicável a fornecedores de alto risco, envolve visita técnica, entrevistas com a gestão, checagem de referências comerciais, auditoria documental e, em alguns setores, inspeção de instalações. É a camada mais cara do processo e deve ser reservada aos casos que a justificam.

7. Elaboração do dossiê e do parecer de risco

Consolida evidências, análise, score e recomendação em um documento único, datado e rastreável.

8. Decisão e formalização

A decisão precisa ser registrada com justificativa, inclusive quando é favorável apesar de ressalvas. Aprovar um fornecedor com pendências não é necessariamente um erro: é uma decisão de risco assumida, que precisa estar documentada e refletida em cláusulas contratuais.

9. Monitoramento contínuo após a contratação

A diligência não encerra na assinatura. A partir dela, o fornecedor entra em acompanhamento permanente, com gatilhos de reavaliação definidos.

O que verificar em cada fornecedor?

O checklist abaixo cobre o escopo de uma diligência padrão para pessoa jurídica, com itens acumulativos conforme o nível de criticidade aumenta:

Existência e situação cadastral

• Situação do CNPJ na Receita Federal, data de abertura e histórico de alterações
• Compatibilidade entre CNAE declarado e objeto do contrato
• Endereço real da operação e compatibilidade com a atividade
• Inscrição estadual e municipal ativas, quando aplicável

Estrutura societária

• Quadro societário completo e participações
• Identificação do beneficiário final, incluindo estruturas em cadeia
• Histórico de alterações societárias e frequência
• Vínculos entre sócios e outras empresas do mesmo grupo ou setor

Regularidade fiscal e trabalhista

• Certidão negativa de débitos federais, estaduais e municipais
• Certificado de regularidade do FGTS
• Certidão negativa de débitos trabalhistas (CNDT)
• Débitos inscritos em dívida ativa

Saúde financeira

• Demonstrações financeiras e indicadores de liquidez, endividamento e rentabilidade
• Protestos, apontamentos e restrições de crédito
• Faturamento estimado e compatibilidade com o volume contratado

Histórico judicial e sancionatório

• Processos judiciais e administrativos, por natureza e valor
• Pedidos de falência e recuperação judicial
• CEIS, CNEP e CEPIM no Portal da Transparência
• Listas internacionais de sanções, quando houver operação transfronteiriça

Integridade e reputação

• Exposição política de sócios e administradores
• Mídia negativa em fontes nacionais e setoriais
• Presença em cadastros de infrações ambientais e trabalhistas

Conformidade operacional e setorial

• Licenças, alvarás e autorizações do setor
• Certificações técnicas e de qualidade exigidas
• Políticas internas de compliance, código de conduta e canal de denúncias
• Práticas e indicadores ESG, quando relevantes para a cadeia

O que significa due diligence proporcional ao risco?

Aplicar o mesmo nível de profundidade a todos os fornecedores é um dos erros mais caros em gestão de terceiros, e ele acontece nas duas direções.

Quando o padrão é alto para todos, o time gasta semanas em fornecedores de baixo impacto, o processo vira gargalo e as áreas de negócio passam a contratar por fora. Quando é baixo para todos, a economia é aparente: a lacuna se concentra nos fornecedores que mais podem causar dano.

A saída é a diligência baseada em risco, o princípio que o próprio Decreto nº 11.129/2022 incorpora ao exigir “diligências apropriadas, baseadas em risco”.

Nível	Quando aplicar	Escopo típico
Simplificada	Fornecedores de baixo valor, sem acesso a dados ou sistemas, sem interface com o poder público, em setores de baixa exposição regulatória	Situação cadastral, regularidade fiscal básica, consulta a listas restritivas, verificação societária mínima
Padrão	Fornecimento recorrente, valor relevante, impacto operacional moderado	Escopo simplificado somado a processos judiciais, protestos, análise societária completa, saúde financeira e mídia negativa
Reforçada	Fornecedores críticos, contratos de alto valor, acesso a dados sensíveis, interface com órgãos públicos, operação internacional, setores de alta exposição	Escopo padrão somado a beneficiário final, exposição política, análise financeira aprofundada, verificação documental, visita técnica e referências

Os critérios de enquadramento devem ser definidos formalmente e aplicados de maneira consistente. O que torna o modelo defensável em auditoria não é o nível escolhido, e sim a existência de uma regra clara que explique por que aquele fornecedor recebeu aquele tratamento. É o que permite economizar sem abrir lacuna: o esforço se concentra onde o risco está.

Como montar um dossiê de due diligence?

O dossiê é o produto final da investigação e o principal ativo do processo. Ele precisa ser autoexplicativo para alguém que não participou da análise.

Um dossiê completo contém:

• Identificação do fornecedor e do escopo da contratação avaliada
• Data da análise e período de validade das informações
• Fontes consultadas, com registro de data e resultado de cada consulta
• Achados por dimensão de risco, com as evidências correspondentes
• Score de risco, com a metodologia que o gerou
• Parecer técnico, explicando a leitura dos achados
• Recomendação objetiva: aprovar, aprovar com ressalvas ou recusar
• Medidas mitigadoras sugeridas, quando houver ressalvas

A recomendação precisa ser inequívoca. Um parecer que descreve achados sem se posicionar transfere a decisão para quem não fez a análise.

O valor do dossiê vai além da decisão imediata. Em uma auditoria ou em um processo de responsabilização, ele é a prova de diligência da empresa. Um dossiê datado, com fontes registradas e parecer fundamentado, demonstra que a organização investigou antes de contratar. Uma planilha com nomes e datas não demonstra.

Red flags na due diligence de fornecedores

Alguns sinais não provam irregularidade, mas exigem verificação adicional antes de qualquer aprovação.

• Empresa constituída recentemente para atender a um contrato específico. CNPJ aberto poucos meses antes da concorrência, sem histórico operacional.
• Endereço inexistente, residencial ou incompatível com a atividade. Uma indústria registrada em endereço de apartamento é uma inconsistência estrutural.
• Sócios com exposição política não declarada. Especialmente quando há interface entre o objeto do contrato e a área de atuação do agente público.
• Alterações societárias frequentes. Trocas sucessivas de quadro societário em período curto podem indicar tentativa de descolamento de histórico.
• Inclusão em CEIS, CNEP ou listas internacionais. Sanção ativa é impedimento direto em boa parte das políticas de compliance.
• Irregularidade fiscal recorrente. Não a pendência pontual, mas o padrão de certidões vencidas e regularizações de última hora.
• Resistência a fornecer documentação. Atraso persistente, entrega parcial ou questionamento do próprio processo de diligência.
• Incompatibilidade entre porte declarado e capacidade operacional. Faturamento, quadro de funcionários e estrutura física que não sustentam o volume contratado.
• Concentração de receita no contratante. Um fornecedor que depende quase integralmente de um único cliente carrega risco de continuidade elevado.

Nenhum desses pontos é conclusivo isoladamente. A combinação de três ou mais deles raramente é coincidência.

Due diligence contínua: por que a verificação pontual não basta?

Uma due diligence é uma fotografia, e fotografias envelhecem.

O fornecedor aprovado hoje pode, em seis meses, ter perdido a certidão negativa, sofrido alteração societária relevante, entrado em recuperação judicial ou aparecido em uma investigação.

Nada disso chega até a contratante automaticamente. Em contratos plurianuais, a defasagem é ainda mais crítica: um fornecedor analisado há dois anos e nunca reavaliado opera hoje sob uma condição de risco que ninguém verificou.

A alternativa é o monitoramento contínuo, com gatilhos definidos de reverificação:

• Gatilhos temporais: reavaliação periódica conforme o nível de criticidade, com frequência maior para fornecedores reforçados
• Gatilhos contratuais: renovação, aditivo, ampliação de escopo ou aumento relevante de valor
• Gatilhos de evento: alteração societária, mudança de endereço, inclusão em lista restritiva, novo processo de valor expressivo, alerta de mídia negativa
• Gatilhos operacionais: queda de performance, atrasos recorrentes, reclamações de qualidade

Essa lógica é o núcleo do TPRM (Third-Party Risk Management), a disciplina que trata o relacionamento com terceiros como um ciclo de vida completo, do onboarding ao encerramento, e não como um evento de entrada.

Due diligence manual vs. automatizada

A verificação manual funciona bem em volume baixo. O problema não é a qualidade da análise humana, é a matemática do processo: cada fornecedor adicionado à base acrescenta a mesma carga de trabalho, e o tempo total cresce em proporção direta ao volume enquanto a equipe permanece do mesmo tamanho.

Dimensão	Processo manual	Processo automatizado
Tempo por fornecedor	Horas a dias, conforme a profundidade	Minutos para a coleta e a consolidação
Fontes consultadas	Limitadas ao que o analista consegue acessar no prazo	Consulta simultânea a centenas de fontes
Escala	Um fornecedor por vez	Processamento em lote de bases inteiras
Padronização	Varia conforme o analista e o momento	Critérios idênticos aplicados a todos os casos
Atualização	Pontual, na contratação ou na renovação	Contínua, com alertas por evento
Rastreabilidade	Depende da organização de arquivos	Registro automático de fonte, data e resultado
Uso do analista	Coleta e conferência ocupam a maior parte do tempo	Tempo concentrado em julgamento e casos críticos

Há ainda um efeito menos visível: a inconsistência. Dois analistas, diante do mesmo fornecedor, podem consultar fontes distintas, atribuir pesos diferentes aos achados e chegar a conclusões divergentes. Em auditoria, essa variação é difícil de defender.

A automação não substitui o julgamento técnico, redistribui o esforço: o que é regra vira processamento automático, e o analista se concentra nos casos que exigem interpretação.

Tecnologia para due diligence de fornecedores

Alguns componentes tecnológicos sustentam esse modelo na prática:

• APIs de consulta a fontes públicas e privadas. Verificam situação cadastral, certidões, processos, protestos, sanções e dados societários de forma programática, sem navegação manual em portais. É a base de qualquer automação real, porque elimina o gargalo da coleta.
• Score de risco automatizado e tiering. Converte achados dispersos em classificação comparável. O valor está menos no número e mais na consistência: todos os fornecedores passam pelos mesmos critérios, com pesos definidos pela matriz de risco da empresa.
• OCR e análise documental. Extrai dados de contratos sociais, certidões, balanços e comprovantes, cruzando o que o documento afirma com o que as bases oficiais registram.
• Inteligência artificial agêntica para análise reputacional e detecção de inconsistências. Agentes especializados varrem mídia, avaliam demonstrações financeiras, checam aderência a políticas internas e sinalizam padrões que passariam despercebidos em uma leitura linear.
• Integração com ERPs e plataformas de procurement. Evita a criação de mais um sistema paralelo. Quando a verificação acontece dentro do SAP, do SAP Ariba ou do ERP já utilizado, o resultado chega ao comprador no momento da decisão, e não em um relatório que ele precisa buscar em outro lugar.
• critério de avaliação de qualquer tecnologia aqui é simples: ela reduz o tempo entre o surgimento de um risco e o conhecimento dele pela empresa. Se não reduz, é automação de aparência.

Como a Netrin apoia a due diligence e o monitoramento de fornecedores

A Netrin é a plataforma líder em Third-Party Risk Management no Brasil e atua exatamente nesse ponto: transformar a due diligence de fornecedores em processo automatizado, padronizado e contínuo. Na prática, as áreas de Compras, Compliance e Fiscal passam a operar com:

• Background check de empresas e sócios, com consulta a antecedentes, processos ativos, listas restritivas nacionais e internacionais e exposição política, consolidado em dossiê com score de risco gerado por IA
• Due diligence automatizada a partir de CNPJ e CPF, com verificação simultânea em mais de 1.000 fontes de dados públicas e privadas
• Classificação automática de risco conforme os critérios da matriz de risco da própria empresa, aplicando profundidade proporcional à criticidade do fornecedor
• Monitoramento contínuo de regularidade fiscal, CNDs, alterações societárias, novos processos e mídia negativa, com alertas quando o perfil de risco muda
• Workflows de onboarding e atualização cadastral, com formulários personalizados e checagem automática das informações declaradas
• Integração nativa com ERPs, SRMs e plataformas de procurement, incluindo SAP e Salesforce, além de processamento em lote para bases já existentes

Mais de 300 empresas, entre elas Heineken, BRF, JBS, Motorola, Faber-Castell e Sicredi, utilizam a Netrin para reduzir exposição a riscos de terceiros.

O risco é inevitável. Ser pego de surpresa, não. Fale com um especialista e conheça a plataforma.

Perguntas frequentes

O que é due diligence de fornecedores?

É a investigação prévia e estruturada sobre a idoneidade, a capacidade operacional e a conformidade de uma empresa antes da contratação. Ela reúne informações de fontes públicas, privadas e documentais para identificar riscos fiscais, jurídicos, trabalhistas, financeiros, de integridade e reputacionais que possam afetar o contratante.

Qual a diferença entre due diligence e homologação de fornecedores?

A homologação é o processo formal de aprovação e cadastro do fornecedor. A due diligence é a investigação aprofundada que sustenta a decisão tomada dentro desse processo. A homologação define o fluxo administrativo; a due diligence fornece o conteúdo analítico que justifica aprovar, aprovar com ressalvas ou recusar.

Quais são as etapas da due diligence de fornecedores?

Definição de objetivo e escopo, classificação do fornecedor por criticidade, coleta preliminar de informações e documentos, consulta a bases públicas e privadas, análise e cruzamento das informações, verificação aprofundada nos casos críticos, elaboração do dossiê e do parecer de risco, decisão e formalização, e monitoramento contínuo após a contratação.

O que deve ser verificado em um fornecedor?

Situação cadastral do CNPJ e existência real da operação, quadro societário e beneficiário final, regularidade fiscal e trabalhista (certidões federais, estaduais, municipais, FGTS e CNDT), demonstrações financeiras e indicadores de saúde, processos judiciais e administrativos, listas restritivas nacionais e internacionais, exposição política, mídia negativa, licenças e certificações setoriais, além de políticas internas de compliance e ESG.

Quais são os principais red flags na due diligence?

Empresa constituída recentemente para atender a um contrato específico, endereço inexistente ou incompatível com a atividade, sócios com exposição política não declarada, alterações societárias frequentes, inclusão em CEIS, CNEP ou listas internacionais, irregularidade fiscal recorrente, resistência a fornecer documentação e incompatibilidade entre porte declarado e capacidade operacional. Isoladamente, cada sinal apenas exige verificação adicional; combinados, indicam risco relevante.

A due diligence deve ser feita apenas antes da contratação?

Não. A verificação inicial é uma fotografia do momento e perde validade rapidamente. Um fornecedor aprovado pode perder certidões, sofrer alterações societárias, entrar em recuperação judicial ou ser incluído em listas restritivas durante a vigência do contrato. Por isso, a diligência precisa ser complementada por monitoramento contínuo, com gatilhos de reverificação por prazo, por evento contratual e por alerta de risco.

Todos os fornecedores precisam do mesmo nível de due diligence?

Não, e aplicar o mesmo nível a todos é ineficiente nas duas direções. A prática recomendada é a diligência proporcional ao risco, com níveis simplificado, padrão e reforçado definidos por critérios como criticidade do fornecimento, valor do contrato, exposição regulatória do setor, acesso a dados e sistemas e interface com o poder público. O importante é que a regra de enquadramento seja formal e aplicada de forma consistente.

Como automatizar a due diligence de fornecedores?

Por meio de plataformas de TPRM que consultam fontes públicas e privadas via API, aplicam score de risco automatizado conforme a matriz da empresa, extraem e validam dados documentais com OCR, utilizam inteligência artificial para análise reputacional e detecção de inconsistências, e mantêm monitoramento contínuo com alertas. A integração com o ERP ou a plataforma de procurement é o que garante que o resultado chegue ao comprador no momento da decisão.