KYS: o que é Know Your Supplier e como aplicar

KYS (Know Your Supplier) é o processo estruturado de verificação da identidade, da idoneidade, da capacidade e dos riscos de um fornecedor, aplicado antes da contratação e ao longo de toda a relação comercial. Seu objetivo é garantir que a empresa saiba, com evidências documentadas, com quem está fazendo negócios na sua cadeia de suprimentos.

Em tradução livre, Know Your Supplier significa conheça seu fornecedor. É uma prática de compliance aplicada à cadeia de suprimentos, da mesma família de KYC, KYB, KYP e KYE.

Mais do que uma checagem pontual de Compras, o KYS é uma política que define quais fornecedores verificar, com qual profundidade, por quem e com que frequência. Siga a leitura e saiba mais sobre o tema.

O que é KYS (Know Your Supplier)?

O Know Your Supplier reúne as políticas, os critérios e os controles para conhecer os fornecedores de produtos, insumos e serviços. Ele responde a quatro perguntas: quem é o fornecedor, quem está por trás dele, se ele é idôneo e se tem capacidade de entregar o que promete.

A lógica nasceu no setor financeiro, onde o KYC (Know Your Customer) se consolidou como pilar da prevenção à lavagem de dinheiro, impulsionado pelas recomendações do GAFI. Se um banco precisa conhecer o cliente para não ser usado em ilícitos, uma indústria ou um varejista precisam conhecer quem os abastece, pelas mesmas razões.

Assim, o conceito migrou para o ambiente B2B e passou a integrar os programas de compliance de terceiros e de gestão de riscos de terceiros (TPRM), movimento acelerado no Brasil pela Lei Anticorrupção.

O KYS não termina na contratação. A verificação acontece em dois momentos:

• Diligência prévia: avaliação antes da contratação, para decidir se e em quais condições o fornecedor entra na base.
• Acompanhamento contínuo: monitoramento durante a relação, porque o risco muda junto com a empresa.

Know Your Supplier (KYS), KYC, KYB, KYP e KYE: quais as diferenças?

Os “Know Your” compartilham a mesma lógica de verificação, mas diferem no tipo de relação analisada. Várias checagens se repetem, como listas restritivas e verificação de sócios; o que muda é o público verificado e o risco a controlar.

O KYC olha para quem compra da empresa; o KYS, para quem vende para ela. O KYE é o único voltado exclusivamente a pessoas físicas.

A relação mais próxima é entre KYS e KYB. O KYS herda o método do KYB, que é a verificação estrutural de uma pessoa jurídica, e acrescenta critérios próprios da relação de fornecimento: capacidade operacional, performance, conformidade setorial e aderência às políticas do comprador.

Um fornecedor pode satisfazer o KYB e ainda ser inadequado por não ter licença ambiental, capacidade produtiva ou saúde financeira para sustentar o contrato.

Como Know Your Supplier, due diligence e homologação se conectam?

Três termos aparecem juntos com frequência e costumam ser tratados como sinônimos. Não são: cada um ocupa um nível diferente do mesmo sistema.

Uma forma simples de visualizar: o KYS define o que deve ser verificado, a due diligence de fornecedores define como a investigação é feita e a homologação de fornecedores registra a decisão de aprovar ou não o parceiro.

Os três dependem uns dos outros. Sem política de KYS, a due diligence vira checagem sem critério. Sem due diligence, a homologação aprova com base em autodeclarações. Sem homologação, a investigação não vira decisão rastreável.

Por que aplicar o Know Your Supplier na sua empresa?

Em diversas situações, a empresa responde pelos atos e irregularidades dos seus fornecedores. Risco de terceiro, na prática, é risco próprio. Entenda a importância:

Responsabilidade objetiva na Lei Anticorrupção

A Lei nº 12.846/2013 estabelece a responsabilização objetiva das empresas por atos lesivos contra a administração pública praticados em seu interesse ou benefício. A empresa pode ser punida sem prova de intenção dos dirigentes, inclusive quando o ato foi praticado por um fornecedor ou intermediário.

O Decreto nº 11.129/2022 inclui entre os parâmetros dos programas de integridade as diligências apropriadas e baseadas em risco para contratação e supervisão de terceiros, como fornecedores (art. 57, XIII). O KYS é a forma de demonstrar que elas existem.

Responsabilidade tributária, previdenciária e trabalhista

O Código Tributário Nacional prevê responsabilidade solidária de quem tem interesse comum no fato gerador (art. 124), e na cessão de mão de obra a Lei nº 8.212/1991 impõe ao contratante a retenção previdenciária sobre a nota do prestador (art. 31).

Na esfera trabalhista, a Lei nº 6.019/1974 atribui à contratante responsabilidade subsidiária pelas obrigações do período terceirizado (art. 5º-A, § 5º): se o fornecedor não pagar seus empregados, a conta pode chegar ao tomador.

Risco reputacional por associação

Clientes e imprensa não distinguem onde termina a empresa e começa o fornecedor. Uma fraude ou violação em um elo da cadeia tende a ser associada à marca mais conhecida. Esse é o núcleo do risco reputacional em terceiros.

Continuidade operacional

Se um fornecedor de insumo exclusivo entra em recuperação judicial ou tem a inscrição estadual suspensa, a produção pode parar. O KYS identifica dependências e sinais de fragilidade antes que virem ruptura.

Exigências de certificação

A ISO 9001 exige critérios para avaliação, seleção, monitoramento de desempenho e reavaliação de provedores externos (cláusula 8.4). Sem política estruturada, é difícil comprovar esse controle em auditoria.

O fator novo: a reforma tributária

A Lei Complementar nº 214/2025, que regulamenta o IBS e a CBS, condiciona a apropriação de créditos pelo adquirente à extinção dos débitos relativos à operação, ou seja, ao efetivo recolhimento do tributo (art. 47). Na prática, a irregularidade fiscal do fornecedor deixa de ser apenas um risco de compliance e passa a ser uma perda financeira direta para quem compra.

Enquanto o split payment e o recolhimento pelo adquirente não estiverem implementados, o crédito fica condicionado ao destaque correto dos tributos no documento fiscal (art. 48).

Quais riscos o Know Your Supplier ajuda a mitigar?

Cada dimensão de risco exige fontes e critérios próprios dentro do programa de KYS:

• Risco financeiro e de capacidade de entrega: o fornecedor não tem saúde financeira ou estrutura para cumprir o contrato. Exemplo: um fornecedor vence a cotação com preço muito abaixo do mercado e interrompe as entregas por falta de capital de giro.
• Risco fiscal e tributário: débitos e inscrição suspensa comprometem documentos fiscais e, com a reforma, o crédito. Exemplo: créditos de notas emitidas por empresa com inscrição inapta são glosados.
• Risco trabalhista: exemplo: uma prestadora de limpeza fecha sem pagar verbas rescisórias e os trabalhadores acionam o tomador.
• Risco jurídico e de litígio: volume elevado de processos sinaliza má gestão ou bloqueios judiciais. Exemplo: pagamentos ao fornecedor são penhorados durante o contrato.
• Risco de integridade e corrupção: exemplo: um despachante que atua em nome da empresa oferece vantagem indevida a um agente fiscal.
• Risco reputacional: exemplo: um fabricante terceirizado aparece em reportagem sobre fraude em licitações.
• Risco de segurança da informação e proteção de dados: quando o fornecedor trata dados pessoais, a LGPD prevê hipóteses de responsabilidade solidária entre agentes de tratamento (art. 42). Exemplo: um prestador de TI vaza dados de clientes do contratante.
• Risco ESG na cadeia produtiva: exemplo: um produtor rural fornecedor de matéria-prima é autuado por desmatamento ilegal.

O que verificar em uma política de Know Your Supplier?

A política define o conjunto de verificações possíveis; a profundidade de cada uma depende da classificação de risco.

• Situação cadastral e existência real: CNPJ ativo, atividade compatível e sinais de empresa de fachada.
• Quadro societário e beneficiário final: quem controla de fato a empresa e seus vínculos.
• Regularidade fiscal e trabalhista: certidões federais, estaduais, municipais, FGTS, trabalhista e Sintegra.
• Saúde financeira e capacidade operacional: balanços, protestos, recuperação judicial e estrutura para o volume contratado.
• Processos judiciais e antecedentes: ações cíveis, trabalhistas e criminais da empresa e dos sócios.
• Listas restritivas, sanções e PEP: CEIS, CNEP e listas internacionais de sanções.
• Certificações e licenças setoriais: ambientais, sanitárias e registros regulatórios.
• Políticas de compliance, segurança da informação e ESG: programa de integridade, proteção de dados e práticas socioambientais.
• Mídia negativa e reputação: menções a fraudes, corrupção ou violações.

Boa parte desses dados pode ser obtida via APIs de consulta de CNPJ e regularidade fiscal, sem depender de documentos enviados pelo fornecedor.

Como estruturar uma política de KYS (Know Your Supplier)?

Estruturar o KYS é transformar intenção em processo auditável, em oito etapas.

1. Mapeie e inventarie a base de fornecedores

Levante quantos fornecedores ativos existem, o que fornecem, quem os contrata e o volume transacionado. Cadastros duplicados ou desatualizados são o primeiro obstáculo.

2. Classifique por criticidade e risco

Combine o impacto de uma falha para a operação com a exposição a riscos regulatórios, fiscais e reputacionais.

3. Defina critérios e requisitos por faixa de risco

Para cada faixa, defina o que verificar, quais documentos exigir e quais achados são impeditivos.

4. Estabeleça o nível de diligência proporcional

Baixo risco recebe verificação simplificada; críticos recebem análise aprofundada. É a abordagem baseada em risco.

5. Formalize em política interna e cláusulas contratuais

Aprovada pela alta direção, a política deve se refletir nos contratos: cláusulas anticorrupção, de proteção de dados, de auditoria e de comunicação de mudanças relevantes.

6. Defina o fluxo de aprovação e os responsáveis

Compras, Compliance, Jurídico e Fiscal precisam de papéis claros, com registro de quem analisa, quem aprova exceções e quem responde por cada decisão.

7. Crie a rotina de monitoramento e reavaliação

Defina a periodicidade de revisão por faixa e os eventos que disparam reavaliação imediata.

8. Estabeleça critérios objetivos de suspensão e descontinuidade

Sem regras claras, fornecedores irregulares seguem ativos por inércia. Defina quando bloquear novos pedidos, quando conceder prazo de regularização e quando encerrar a relação.

KYS proporcional ao risco: níveis de verificação de fornecedores

Aplicar a mesma profundidade a todos os fornecedores não funciona. Verificar o fornecedor de material de escritório com o rigor de um operador logístico de carga controlada consome recursos sem reduzir risco.

Os critérios mais usados para definir o nível de verificação são criticidade do fornecimento, valor do contrato, exposição regulatória, acesso a dados e sistemas, interação com agentes públicos e origem geográfica.

A classificação não é definitiva: um fornecedor que passa a acessar dados de clientes deve migrar para o nível reforçado.

KYS contínuo: o Know Your Supplier além da contratação

O fornecedor aprovado hoje pode se tornar um risco amanhã. Empresas mudam de controle, acumulam débitos ou entram em listas de sanções, e a verificação de entrada perde valor a cada mês.

Por isso, além das revisões periódicas, um programa maduro define gatilhos de reavaliação:

• Alteração no quadro societário ou no beneficiário final.
• Vencimento ou positivação de certidões.
• Novos processos judiciais relevantes ou pedido de recuperação judicial.
• Inclusão em listas restritivas, cadastros de sanções ou de trabalho análogo à escravidão.
• Mídia negativa envolvendo a empresa ou seus sócios.
• Mudança no escopo do contrato, como passar a acessar dados ou sistemas.

É esse acompanhamento que conecta o KYS ao monitoramento contínuo na gestão de risco de fornecedores e ao ciclo completo do TPRM.

Indicadores de um programa de Know Your Supplier

Estes indicadores medem a maturidade e a eficácia do programa:

• Percentual da base com verificação concluída: cobertura real da política.
• Percentual de fornecedores monitorados continuamente: se o KYS vai além da contratação.
• Tempo médio de aprovação: a fricção imposta a Compras.
• Alertas críticos por período: evolução do risco na base.
• Distribuição da base por faixa de risco: onde está a exposição.
• Incidentes originados em fornecedores: autuações, interrupções ou crises causadas por terceiros.

Tecnologia e automação no Know Your Supplier

Em bases pequenas, consultas manuais e planilhas dão conta. Com centenas ou milhares de fornecedores, esse modelo fica lento e sujeito a erro, e falha justamente no monitoramento contínuo.

A automação resolve os principais gargalos do processo:

• Consulta automatizada a fontes públicas e privadas, eliminando o acesso manual a dezenas de portais.
• Verificação em lote e score de risco, que permitem avaliar a base inteira e priorizar o que exige atenção humana.
• Monitoramento contínuo com alertas disparados pelos gatilhos definidos na política.
• Inteligência artificial para análise documental, extraindo dados de contratos sociais e demonstrações financeiras e detectando inconsistências.
• Integração com ERPs e plataformas de procurement, para que o status de risco acompanhe o fornecedor no fluxo de compras e pagamentos.

O resultado é um KYS que escala sem crescer a equipe na mesma proporção, com trilha de auditoria para cada decisão.

Conheça e monitore seus fornecedores com a Netrin

A Netrin é a plataforma líder em Third-Party Risk Management no Brasil e ajuda empresas a orquestrar a gestão de riscos em todo o ciclo de vida dos fornecedores, do onboarding ao monitoramento contínuo e ao offboarding.

Com agentes de IA e automação, a plataforma consulta mais de 1.000 fontes de dados, gera dossiês com score de risco fiscal, jurídico e reputacional, automatiza a homologação e emite alertas quando o perfil de um fornecedor muda.

Com a Netrin, você avalia e monitora de maneira automatizada e integrada, conectando etapas e processos em fluxos inteligentes de trabalho.

Fale com um especialista da Netrin e veja como aplicar a gestão de riscos de fornecedores na sua operação.

Perguntas frequentes sobre KYS (Know Your Supplier)

O que é KYS (Know Your Supplier)?

KYS (Know Your Supplier) é o processo estruturado de verificação da identidade, da idoneidade, da capacidade e dos riscos de um fornecedor, realizado antes da contratação e ao longo de toda a relação comercial.

O que significa KYS (Know Your Supplier) em compliance?

Em compliance, KYS significa “conheça seu fornecedor”. É a política que define como a empresa verifica e acompanha seus fornecedores para cumprir exigências legais, como a Lei Anticorrupção, e reduzir riscos fiscais, trabalhistas, reputacionais e ESG na cadeia de suprimentos.

Qual a diferença entre KYS (Know Your Supplier) e KYC?

O KYC (Know Your Customer) verifica clientes, com foco em identidade, fraude e lavagem de dinheiro. O KYS verifica fornecedores, com foco em idoneidade, regularidade e capacidade de fornecimento. A lógica é a mesma, mas a relação analisada é oposta.

Qual a diferença entre KYS (Know Your Supplier) e KYP?

O KYS se aplica a fornecedores de produtos, insumos e serviços. O KYP (Know Your Partner) se aplica a parceiros comerciais, distribuidores, representantes e aliados estratégicos, que muitas vezes atuam em nome da empresa perante clientes e órgãos públicos.

Qual a diferença entre KYS (Know Your Supplier) e due diligence de fornecedores?

O KYS é o conceito e a política de compliance que define o que deve ser verificado. A due diligence de fornecedores é o método de investigação que executa essa política e produz o dossiê e o score de risco de cada fornecedor.

O que verificar em uma política de KYS (Know Your Supplier)?

Situação cadastral, quadro societário e beneficiário final, regularidade fiscal e trabalhista, saúde financeira, processos judiciais, listas restritivas e PEP, licenças setoriais, políticas de compliance e ESG e mídia negativa.

Todos os fornecedores exigem o mesmo nível de verificação no Know Your Supplier?

Não. A boa prática é a abordagem baseada em risco, com níveis simplificado, padrão e reforçado definidos pela criticidade do fornecimento, valor, exposição regulatória, acesso a dados e origem geográfica.

Como automatizar o processo de KYS (Know Your Supplier)?

Com plataformas de TPRM que consultam fontes públicas e privadas automaticamente, calculam score de risco, verificam fornecedores em lote, monitoram a base com alertas e se integram a ERPs e sistemas de procurement.