Gestão de riscos de terceiros é o processo contínuo de identificar, avaliar, tratar e monitorar os riscos que fornecedores, prestadores de serviço, terceirizados e parceiros comerciais trazem para uma empresa. No Brasil, ela tem um peso adicional: a lei atribui ao contratante parte da responsabilidade por obrigações trabalhistas, atos de corrupção e falhas no tratamento de dados cometidos por quem ele contrata.
Este guia trata da execução. O conceito, a sigla e os frameworks internacionais estão no conteúdo sobre o que é TPRM. Aqui, o foco é prático: quem são os terceiros, quais riscos cada um traz, o que a legislação brasileira cobra de quem contrata e como montar uma política com documentos e verificações proporcionais ao risco.
O que é gestão de riscos de terceiros?
Gestão de riscos de terceiros é o processo de identificação, avaliação, tratamento e monitoramento dos riscos que terceiras partes representam para a empresa.
Toda empresa depende de uma cadeia de valor formada por agentes externos. Matéria-prima, logística, limpeza, segurança, tecnologia, distribuição e representação comercial costumam estar nas mãos de terceiros.
Cada uma dessas relações transfere para dentro da empresa uma parte dos problemas do parceiro. Uma dívida trabalhista, uma certidão vencida, um sócio em lista restritiva ou um vazamento de dados no fornecedor podem se transformar em multa, processo, interrupção de operação ou dano à reputação de quem contratou.
A gestão de riscos de terceiros existe para tornar essa exposição visível e controlável. Ela organiza quatro movimentos:
- Identificar quem são os terceiros e o que cada um faz para a empresa.
- Avaliar o risco inerente de cada relação, com due diligence proporcional à criticidade.
- Tratar o risco com cláusulas contratuais, exigências documentais, planos de ação ou recusa da contratação.
- Monitorar continuamente, porque a situação do parceiro muda depois da assinatura do contrato.
Gestão de terceiros e gestão de riscos de terceiros: qual a diferença?
Gestão de terceiros é o controle operacional e documental da relação. Envolve cadastro, coleta de documentos, controle de vencimento de certidões, acompanhamento de contratos, integração de terceirizados e registro de acesso às dependências.
Gestão de riscos de terceiros é a camada analítica sobre os riscos. Ela interpreta os dados coletados, classifica cada parceiro por nível de risco, define o que é aceitável segundo o apetite a risco da empresa e decide o que fazer quando algo sai do padrão.
Uma depende da outra. Sem gestão de terceiros, a análise de risco trabalha com dados incompletos ou desatualizados. Sem gestão de riscos, a gestão de terceiros vira um arquivo de documentos que ninguém usa para decidir.
A área de Compras, o RH ou o Facilities costumam operar a gestão de terceiros, enquanto Compliance, Jurídico e Riscos definem os critérios da gestão de riscos. O programa funciona quando as duas pontas compartilham os mesmos dados e as mesmas regras.
Quem são os terceiros e quais riscos cada um traz?
O primeiro erro de muitas empresas é tratar “terceiro” como sinônimo de “fornecedor”. A terceirização e a cadeia de parcerias são bem mais amplas, e cada tipo de relação concentra riscos diferentes.
A tabela abaixo resume os principais tipos de terceiros, os riscos que mais pesam em cada um e as verificações recomendadas.
Tipo de terceiro | Exemplos | Principais riscos | Verificações recomendadas |
Matéria-prima, insumos, embalagens, máquinas | Fiscal, operacional, qualidade, ESG | Situação cadastral do CNPJ, CND federal, estadual e municipal, Sintegra, protestos, listas de trabalho escravo e embargos ambientais | |
Prestadores de serviços e terceirizados | Limpeza, vigilância, manutenção, mão de obra alocada | Trabalhista, previdenciário, segurança do trabalho | CNDT, CRF do FGTS, CND federal, processos trabalhistas, documentação de SST e antecedentes dos profissionais alocados |
Parceiros comerciais, representantes e distribuidores | Agentes de vendas, revendas, despachantes, consultores | Corrupção, lavagem de dinheiro, reputacional | Quadro societário, PEP, CEIS e CNEP, listas restritivas nacionais e internacionais, mídia negativa, processos criminais |
Fornecedores de tecnologia e dados | Software, nuvem, processamento de folha, call center | LGPD, cibernético, continuidade do negócio | Questionário de segurança da informação, certificações, cláusulas de proteção de dados, saúde financeira, incidentes públicos |
Transportadoras e operadores logísticos | Transporte de carga, armazéns, agregados | Roubo de carga, fiscal, regulatório | RNTRC na ANTT, regularidade fiscal, situação dos veículos, antecedentes e CNH dos motoristas |
Colaboradores | Candidatos e funcionários em funções sensíveis | Trabalhista, reputacional, operacional, fraude | Validação de identidade, antecedentes criminais quando houver justificativa legal, processos e mídia negativa |
O mesmo parceiro pode estar em mais de uma linha. Uma empresa de tecnologia que aloca profissionais no cliente traz, ao mesmo tempo, risco de LGPD e risco trabalhista.
O risco também depende do que o terceiro faz para a empresa, não só de quem ele é. Um fornecedor de material de escritório e um fornecedor de insumo exclusivo para a linha de produção podem ter o mesmo porte e exigir controles muito diferentes.
No caso de colaboradores, a verificação de antecedentes precisa respeitar limites legais. A Justiça do Trabalho admite a exigência apenas quando a natureza da função justifica, então o critério deve estar documentado na política da empresa.
Responsabilidade legal do contratante no Brasil
Este é o ponto que diferencia a gestão de riscos de terceiros no Brasil. Diversas normas transferem ao contratante consequências pelo que o terceiro faz ou deixa de fazer. Conhecer cada uma ajuda a definir quais verificações são obrigatórias por tipo de parceiro.
Norma | O que estabelece | Risco para o contratante | Terceiros mais afetados |
Lei 6.019/1974, alterada pela Lei 13.429/2017, e Súmula 331 do TST | A contratante responde de forma subsidiária pelas obrigações trabalhistas do período da prestação de serviços e responde diretamente pela segurança, higiene e salubridade quando o trabalho ocorre em suas dependências | Pagamento de verbas trabalhistas não quitadas pela prestadora e responsabilização por acidentes de trabalho | Terceirizados e prestadores com mão de obra alocada |
Lei 8.212/1991, art. 31 | Retenção de contribuição previdenciária sobre a nota fiscal na cessão de mão de obra | Autuação fiscal pela falta de retenção | Prestadores com cessão de mão de obra |
Lei 12.846/2013 (Lei Anticorrupção) e Decreto 11.129/2022 | Responsabilidade objetiva, administrativa e civil, por atos lesivos contra a administração pública praticados no interesse ou benefício da empresa, inclusive por terceiros | Multa, publicação da decisão condenatória e proibição de contratar com o poder público, sem necessidade de provar culpa | Representantes, despachantes, consultores e qualquer terceiro que interaja com órgãos públicos |
Lei 13.709/2018 (LGPD), arts. 39 e 42 | O operador trata dados segundo as instruções do controlador, que deve verificar o cumprimento. Ambos podem responder por danos causados aos titulares | Indenização a titulares e sanções da ANPD por falhas do fornecedor que trata dados em nome da empresa | Fornecedores de tecnologia, nuvem, folha, marketing e atendimento |
Súmula 509 do STJ e LC 214/2025 (reforma tributária) | No ICMS, o crédito de nota declarada inidônea depende de provar boa-fé e a operação real. No IBS e na CBS, o crédito do adquirente passa a depender da extinção do débito do fornecedor | Glosa de créditos e custo tributário maior quando o fornecedor está irregular | Fornecedores de bens e serviços em geral |
Lei 9.613/1998 (PLD-FT) | Setores obrigados devem identificar clientes, manter registros e comunicar operações suspeitas ao COAF | Sanções administrativas por falha nos controles de prevenção à lavagem de dinheiro | Clientes e parceiros de instituições financeiras, seguradoras, imobiliárias, joalherias e demais setores do art. 9º |
Trabalhista: o risco mais frequente
A responsabilidade subsidiária significa que a empresa contratante é acionada quando a prestadora não paga as verbas trabalhistas. O § 5º do art. 5º-A da Lei 6.019/1974 limita essa responsabilidade ao período em que o serviço foi prestado.
O § 3º do mesmo artigo vai além e coloca sobre a contratante a obrigação direta de garantir condições de segurança, higiene e salubridade quando o trabalho ocorre em suas instalações ou em local previsto no contrato.
Na prática, o contratante herda o risco de uma prestadora subcapitalizada ou inadimplente. Por isso, CNDT, CRF do FGTS e processos trabalhistas são verificações mínimas para qualquer terceirizado.
Anticorrupção: responsabilidade sem culpa
A Lei Anticorrupção adotou a responsabilidade objetiva. A empresa responde por atos lesivos praticados em seu interesse ou benefício, mesmo que a diretoria não soubesse.
O Decreto 11.129/2022 inclui entre os parâmetros de um programa de integridade as diligências apropriadas e baseadas em risco para contratar e, conforme o caso, supervisionar terceiros. Um programa de due diligence documentado é um dos fatores considerados na dosimetria das sanções.
LGPD: o fornecedor que trata dados em nome da empresa
Quando um fornecedor processa dados pessoais por conta da empresa, ele atua como operador, e a empresa como controladora. A LGPD exige que o controlador verifique se suas instruções estão sendo seguidas.
O art. 42 prevê responsabilidade solidária do operador quando ele descumpre a lei ou as instruções lícitas do controlador. Isso não blinda a empresa contratante: escolher mal e não supervisionar o operador amplia a exposição a indenizações e sanções.
Tributário: o fornecedor irregular custa crédito
No ICMS, a Súmula 509 do STJ permite ao comprador de boa-fé aproveitar o crédito de nota posteriormente declarada inidônea, desde que prove que a compra e venda aconteceu. Essa defesa depende de evidências, e consultas registradas no momento da contratação ajudam a demonstrá-la.
Com a reforma tributária, a lógica muda para o IBS e a CBS. O art. 47 da LC 214/2025 condiciona a apropriação de créditos à extinção do débito da operação, seja por pagamento, compensação, split payment ou recolhimento pelo adquirente. O art. 48 dispensa esse requisito enquanto o split payment e o recolhimento pelo adquirente não estiverem implementados.
A consequência é clara para Compras e Fiscal: a regularidade do fornecedor passa a afetar diretamente o custo tributário da empresa, e não apenas o seu risco reputacional.
PLD-FT: obrigação para setores específicos
A Lei 9.613/1998 se aplica a setores listados em seu art. 9º, como instituições financeiras, seguradoras, fintechs, imobiliárias e comércio de bens de luxo. Para essas empresas, conhecer clientes e parceiros, verificar PEP e listas restritivas e monitorar transações são deveres legais.
Para as demais empresas, as mesmas verificações são boa prática de integridade, mas não decorrem dessa lei.
Como estruturar a gestão de riscos de terceiros?
A sequência abaixo funciona para empresas de diferentes portes, e cada etapa alimenta a seguinte.
1. Inventariar os terceiros
Reúna em uma base única todos os parceiros ativos: fornecedores do ERP, terceirizados controlados pelo Facilities, distribuidores do Comercial e prestadores contratados diretamente pelas áreas.
É comum descobrir nessa etapa cadastros duplicados, CNPJs baixados e fornecedores sem contrato. O saneamento da base cadastral é um bom ponto de partida de qualquer programa.
2. Classificar por criticidade e risco
Combine duas dimensões. O risco inerente vem do tipo de serviço, do setor e da interação com o poder público. A criticidade vem da dependência operacional, do volume financeiro e do acesso a dados ou instalações.
O cruzamento dessas dimensões em uma matriz de risco gera os níveis baixo, médio e alto, que vão orientar todas as etapas seguintes.
3. Definir a política de gestão de terceiros
A política formaliza critérios, responsáveis e exigências por nível de risco. O conteúdo mínimo está detalhado na próxima seção.
4. Fazer a due diligence proporcional ao risco
A due diligence de terceiros deve ter profundidade compatível com o nível de risco. Um fornecedor de baixo risco pode ser aprovado com checagens cadastrais e fiscais automatizadas. Um representante que lida com órgãos públicos exige análise de sócios, PEP, processos, mídia negativa e, se necessário, questionário de integridade.
5. Formalizar cláusulas contratuais
O contrato transforma o resultado da análise em obrigação. Cláusulas recomendadas incluem:
- Declaração anticorrupção e adesão ao código de conduta;
- Obrigação de manter certidões válidas e apresentar comprovantes de recolhimentos trabalhistas;
- Acordo de tratamento de dados pessoais, quando houver;
- Direito de auditoria e de solicitar documentos a qualquer tempo;
- Hipóteses de suspensão de pagamentos e de rescisão por irregularidade.
6. Monitorar continuamente
Certidões vencem, sócios mudam, processos surgem e empresas entram em listas restritivas depois da contratação. O monitoramento contínuo reexecuta as verificações em periodicidade definida pela política e gera alertas quando algo muda.
7. Revisar e encerrar a relação
A relação deve ser reavaliada em renovações contratuais e sempre que um alerta relevante aparecer. O offboarding também faz parte do processo: revogar acessos, recuperar dados, quitar pendências e registrar o motivo do encerramento.
Política de gestão de terceiros: o que deve conter?
Uma política eficiente é curta o suficiente para ser aplicada e precisa o suficiente para não depender de interpretação individual. Seis blocos são indispensáveis:
- Escopo e critérios de classificação. Defina quem é considerado terceiro, quais relações estão fora do escopo e quais critérios determinam o nível de risco de cada parceiro.
- Responsáveis por área. Indique quem solicita a contratação, quem coleta documentos, quem analisa, quem aprova cada nível de risco e quem pode conceder exceções. Separar quem contrata de quem aprova evita conflito de interesse.
- Documentos e verificações por nível de risco. Liste o que é exigido de cada nível, como detalhado na tabela da próxima seção.
- Periodicidade de revalidação. Estabeleça intervalos de revisão por nível de risco e os eventos que antecipam a revalidação, como renovação contratual, mudança societária ou alerta crítico.
- Critérios de bloqueio e de encerramento. Deixe claro quais achados impedem a contratação, quais suspendem pagamentos e quais levam à rescisão. Exemplos comuns são presença em lista de sanções, CNPJ inapto e condenação por corrupção.
- Registro das decisões para auditoria. Toda aprovação, reprovação e exceção deve ficar registrada com data, responsável, evidências consultadas e justificativa.
Documentos e verificações por nível de risco
A proporcionalidade é o princípio central. A tabela abaixo propõe uma referência que pode ser ajustada à realidade de cada empresa:
Verificação | Risco baixo | Risco médio | Risco alto |
Dados cadastrais e situação do CNPJ | Sim | Sim | Sim |
Quadro societário e beneficiário final | Sim | Sim | Sim, com análise de empresas e pessoas relacionadas |
Certidões negativas e regularidade fiscal (federal, estadual, municipal) | Sim | Sim | Sim |
Regularidade trabalhista (CNDT) e FGTS (CRF) | Quando houver mão de obra alocada | Sim | Sim |
Listas restritivas nacionais e internacionais | Sim | Sim | Sim |
PEP | Não obrigatório | Sim | Sim, com extensão a sócios e administradores |
Processos judiciais | Não obrigatório | Sim | Sim, com análise de natureza e valores |
Mídia negativa | Não obrigatório | Sim | Sim |
Questionário de integridade ou de segurança da informação | Não | Conforme o serviço | Sim |
Revalidação | A cada 12 meses | A cada 6 meses | Monitoramento contínuo |
Validades diferentes exigem controle contínuo
Cada certidão tem um prazo próprio. A CND federal conjunta da Receita Federal e da PGFN vale 180 dias, mesmo prazo da CNDT, fixado pela CLT. O CRF do FGTS vale apenas 30 dias. Certidões estaduais e municipais seguem regras de cada ente e variam bastante.
Mesmo dentro da validade, a situação pode mudar. Uma CNDT emitida hoje não garante que o fornecedor continue sem débitos trabalhistas daqui a três meses.
Por isso, controlar apenas a data de vencimento não basta: o ideal é reconsultar as fontes oficiais na periodicidade definida e tratar cada mudança como alerta.
Erros comuns na gestão de riscos de terceiros
Algumas práticas comuns dificultam a gestão de riscos:
- Tratar a verificação como evento único no cadastro. O fornecedor aprovado há dois anos pode ter hoje dívidas trabalhistas, um sócio sancionado ou o CNPJ inapto. Sem monitoramento, a empresa só descobre quando o problema já virou passivo.
- Aplicar o mesmo nível de exigência a todos os terceiros. Exigir dossiê completo do fornecedor de café trava o processo e gera atrito com as áreas. Exigir apenas o cartão CNPJ de um despachante aduaneiro deixa a empresa exposta. A classificação por risco resolve os dois problemas.
- Controlar documentos em planilhas e e-mails. Planilhas não avisam quando uma certidão vence, não registram quem aprovou e não escalam com centenas de parceiros.
- Não registrar evidências das verificações. Em uma fiscalização, auditoria ou processo, a empresa precisa provar que verificou. A consulta feita e não registrada tem o mesmo valor, perante o auditor, de uma consulta que não foi feita.
Quais indicadores acompanhar na gestão de riscos?
Alguns indicadores mostram se o programa está funcionando e ajudam a justificar investimento para a alta direção:
Indicador | O que mostra |
Percentual de terceiros classificados por risco | Cobertura do programa sobre a base de parceiros |
Percentual de terceiros com documentação válida | Nível de conformidade documental da base |
Tempo médio de homologação | Eficiência do processo e atrito com as áreas solicitantes |
Alertas críticos por período e tempo de tratamento | Capacidade de detectar e responder a mudanças de risco |
Passivos trabalhistas ou fiscais ligados a terceiros | Impacto financeiro dos riscos não controlados |
Vale acompanhar esses números por tipo de terceiro e por área solicitante. A média geral costuma esconder onde está a concentração de risco.
Como a Netrin apoia a gestão de riscos de terceiros?
A Netrin, líder em TPRM no Brasil, orquestra a gestão de riscos de terceiros em todo o ciclo de vida da relação, do onboarding ao monitoramento contínuo e ao offboarding:
- Due diligence automatizada a partir de CNPJ ou CPF, com consulta a mais de 1.000 fontes de dados e comprovante de consulta para auditoria;
- Score de risco configurável segundo os critérios da matriz de risco de cada empresa;
- Central de Processos para coletar documentos e formulários com a identidade visual da empresa, com fluxos de aprovação por área;
- Monitoramento contínuo com alertas proativos sobre certidões, regularidade fiscal e trabalhista, listas restritivas e processos;
- Integração com sistemas como SAP e Salesforce.
Mais de 300 empresas já usam a Netrin para reduzir a exposição a riscos de terceiros de maneira inteligente, integrada e automatizada.
Agende uma demonstração e veja como estruturar a gestão de riscos de terceiros na sua empresa.
Perguntas frequentes
O que é gestão de riscos de terceiros?
É o processo de identificar, avaliar, tratar e monitorar os riscos que fornecedores, terceirizados, prestadores e parceiros trazem para a empresa. Inclui riscos fiscais, trabalhistas, de corrupção, de proteção de dados, operacionais e reputacionais.
Qual a diferença entre gestão de terceiros e gestão de riscos de terceiros?
A gestão de terceiros é o controle operacional e documental da relação, como cadastro, contratos e certidões. A gestão de riscos de terceiros usa esses dados para classificar parceiros, definir controles e decidir o que fazer diante de irregularidades.
A empresa responde por dívidas trabalhistas de terceirizados?
Sim, de forma subsidiária. Pela Lei 6.019/1974, alterada pela Lei 13.429/2017, e pela Súmula 331 do TST, a contratante pode ser obrigada a pagar verbas trabalhistas não quitadas pela prestadora referentes ao período em que o serviço foi prestado.
Quais documentos exigir de terceiros?
Depende do nível de risco. O mínimo inclui dados cadastrais, situação do CNPJ, certidões negativas e listas restritivas. Para riscos médio e alto, somam-se CNDT, CRF do FGTS, PEP, processos judiciais e mídia negativa.
Com que frequência revalidar os terceiros?
Uma referência comum é revalidar terceiros de baixo risco a cada 12 meses, de médio risco a cada 6 meses e manter monitoramento contínuo para os de alto risco. Eventos como mudança societária ou alerta crítico devem antecipar a revisão.
O que deve ter uma política de gestão de terceiros?
Escopo e critérios de classificação, responsáveis por área, documentos e verificações por nível de risco, periodicidade de revalidação, critérios de bloqueio e encerramento e regras de registro das decisões para auditoria.
Como classificar terceiros por nível de risco?
Cruzando o risco inerente da atividade, como setor, tipo de serviço e interação com o poder público, com a criticidade da relação, como dependência operacional, volume financeiro e acesso a dados ou instalações. O resultado define se o terceiro é de risco baixo, médio ou alto.
