Due diligence de terceiros: as 6 etapas do processo na prática

Um fornecedor entrega todas as certidões solicitadas, tem CNPJ ativo, contrato social atualizado e nenhuma restrição no cadastro. Seis meses depois, o nome dele aparece em uma investigação de fraude fiscal e o time de compliance descobre que quem manda na operação nunca constou do quadro societário. Nenhum documento era falso. O que faltou foi processo: uma sequência definida de verificações, com profundidade proporcional ao risco que aquele terceiro representa.

Este guia reúne o processo de due diligence de terceiros em seis etapas, os níveis de aprofundamento por risco e um checklist completo, com as normas brasileiras que sustentam cada exigência. A CIAL Dun & Bradstreet, parceira exclusiva da Dun & Bradstreet na América Latina, trata esse processo como um ciclo: avaliação antes do contrato e monitoramento durante toda a vigência da relação.

O que é due diligence de terceiros

Due diligence de terceiros é o processo de verificação e avaliação de risco aplicado a qualquer parte que se relaciona com a empresa ou atua em nome dela: fornecedores, prestadores de serviço, representantes comerciais, agentes intermediários, distribuidores, parceiros e clientes corporativos. O objetivo é decidir, com evidência documentada, se a relação pode ser estabelecida, sob quais condições e com qual nível de acompanhamento. A avaliação cobre existência legal, estrutura societária real, exposição a sanções e litígios, histórico de integridade e capacidade financeira de sustentar o contrato.

No Brasil, a exigência tem base normativa explícita. O Decreto 11.129/2022, que regulamenta a Lei 12.846/2013, lista entre os quinze parâmetros de avaliação de um programa de integridade as diligências apropriadas, baseadas em risco, para contratação e supervisão de terceiros, tais como fornecedores, prestadores de serviço, agentes intermediários, despachantes, consultores, representantes comerciais e associados (art. 57, XIII, alínea a). O mesmo artigo, no inciso XIV, estende a verificação aos processos de fusão, aquisição e reestruturação societária.

Para as instituições autorizadas a funcionar pelo Banco Central, a Circular BACEN nº 3.978/2020 é mais específica: os arts. 56 a 58 exigem procedimentos formalizados para conhecer funcionários, parceiros e prestadores de serviços terceirizados, com identificação, qualificação e classificação das atividades nas categorias de risco definidas na avaliação interna de risco. No plano internacional, a Recomendação 1 do GAFI estabelece a abordagem baseada em risco como princípio estruturante do sistema de prevenção à lavagem de dinheiro, com a Recomendação 10 tratando da diligência sobre clientes e a Recomendação 12 de pessoas expostas politicamente. O Coaf, unidade de inteligência financeira do Brasil criada pela Lei nº 9.613/1998 e reestruturada pela Lei nº 13.974/2020, é o destinatário das comunicações dos setores obrigados.

A conta ajuda a dimensionar por que o registro importa. A multa da Lei Anticorrupção pode alcançar 20% do faturamento bruto do exercício anterior ao da instauração do processo, e a comprovação de existência e aplicação de um programa de integridade subtrai até 5% da base de cálculo, percentual máximo reservado a programas anteriores à prática do ato lesivo. Como as diligências sobre terceiros são um dos parâmetros de avaliação desse programa, due diligence documentada é linha de defesa com efeito financeiro mensurável.

A escala do sistema em que isso acontece também mudou. Segundo o Relatório de Gestão Integrado 2025 do Coaf, o órgão produziu 20.548 relatórios de inteligência financeira no ano, média de 56 por dia e alta de 9,5% sobre 2024. Informação de risco sobre contraparte deixou de ser dado estático.

Quando aplicar due diligence de terceiros (e em que profundidade)

A resposta curta: em todos os terceiros, com profundidade variável. Aplicar o mesmo pacote de verificações ao fornecedor de material de escritório e ao representante comercial que negocia com órgão público desperdiça recurso nas duas pontas, porque atrasa o onboarding de baixo risco e superficializa a análise de quem realmente importa.

A abordagem baseada em risco resolve isso com níveis definidos em política. Os nomes abaixo são a taxonomia consagrada na prática internacional. A norma brasileira aplicável às instituições reguladas pelo Banco Central não usa esses termos: ela exige categorias de risco definidas na avaliação interna, com controles reforçados no maior risco e simplificados no menor. O efeito prático é equivalente.

Diligência simplificada

• Quando se aplica: baixa criticidade operacional, contrato de valor reduzido, atividade padronizada, sem interface com a administração pública, jurisdição doméstica.
• O que cobre: existência legal e situação cadastral do CNPJ, quadro societário declarado, listas de sanções e restritivas, mídia adversa básica.

Diligência padrão

• Quando se aplica: maior parte dos fornecedores relevantes, contratos recorrentes, acesso a instalações, dados ou sistemas.
• O que cobre: tudo do nível simplificado, mais beneficiário final até pessoa física, litígios relevantes, saúde financeira, certidões fiscais e trabalhistas e conformidade ambiental quando aplicável.

Diligência reforçada, ou EDD

• Quando se aplica: interface com agente público, pessoa exposta politicamente na estrutura, jurisdição de risco elevado, setor sensível, alerta em mídia adversa ou dependência operacional relevante.
• O que cobre: tudo do nível padrão, mais cadeia societária completa incluindo veículos no exterior, origem de recursos, análise de pessoas relacionadas, questionário de integridade respondido formalmente pelo terceiro, auditoria ou visita, parecer documentado e aprovação em instância superior.

O critério de enquadramento precisa estar escrito na política de PLD/FT ou na política de terceiros da empresa. Enquadramento decidido caso a caso, por sensibilidade do analista, é o ponto em que a auditoria encontra inconsistência.

As 6 etapas do processo de due diligence de terceiros

1. Mapeie e classifique o universo de terceiros. Levante todos os terceiros ativos, não apenas os cadastrados em compras. Consultorias contratadas por área de negócio, escritórios de representação e agentes remunerados por sucesso costumam ficar fora do inventário e concentram risco de integridade. Para cada um, registre natureza do serviço, área demandante, valor anual, criticidade operacional e se há contato com a administração pública.
2. Defina o nível de diligência pela matriz de risco. Combine os fatores que efetivamente alteram a exposição: jurisdição de operação, setor de atividade, interface com poder público, natureza e valor do contrato, criticidade da entrega, acesso a dados sensíveis e existência de intermediação. Cada fator recebe peso e o resultado direciona para diligência simplificada, padrão ou reforçada. A matriz precisa ser auditável e revisada em prazo definido.
3. Colete e valide as informações em fonte primária. Formulário respondido pelo terceiro é ponto de partida, nunca evidência conclusiva. Toda informação declarada precisa ser confrontada com fonte independente: situação cadastral e quadro de sócios na Receita Federal, atos societários em junta comercial, certidões nas esferas federal, estadual e municipal, processos nos tribunais e identificação global via número D-U-N-S quando há operação internacional. A divergência entre o declarado e o verificado é um achado de risco por si só.
4. Analise as quatro camadas de risco. Aqui está a diferença entre coletar documento e avaliar risco.
   • Societária e beneficiário final: quem controla a empresa de fato, incluindo holdings intermediárias, participações cruzadas e veículos no exterior. Sócios em comum com empresas sancionadas ou com concorrentes mudam a leitura da relação.
   • Integridade e sanções: CEIS e CNEP no Portal da Transparência, CEPIM quando houver relação com recursos públicos, Cadastro de Empregadores do Ministério do Trabalho e Emprego e áreas embargadas do Ibama. Nas listas de sanções, as designações do Conselho de Segurança da ONU têm executoriedade imediata no Brasil por força da Lei nº 13.810/2019. Listas unilaterais estrangeiras, como a SDN List do OFAC, a lista consolidada da União Europeia e a do OFSI no Reino Unido, entram no escopo pela exposição contratual, cambial ou de mercado da empresa. A verificação alcança a pessoa jurídica, os sócios e os administradores.
   • Mídia adversa: notícias sobre investigações, operações policiais, condenações e conflitos societários frequentemente antecedem qualquer registro formal em cadastro público. O caso das sanções do OFAC a empresas brasileiras ligadas ao PCC ilustra o padrão: nenhuma delas anunciava vínculo com crime organizado.
   • Saúde financeira: um terceiro em deterioração é risco de continuidade e também de integridade, porque pressão de caixa aumenta a probabilidade de atalhos. Indicadores de comportamento de pagamento, endividamento e tendência de deterioração pertencem ao escopo da diligência.
5. Decida, documente e mitigue. A decisão tem três saídas possíveis: aprovar, aprovar com condições ou reprovar. Aprovação com condições exige registro das medidas de mitigação e do responsável por cada uma: cláusulas anticorrupção e de auditoria no contrato, direito de acesso a registros, treinamento obrigatório, limitação de escopo ou de alçada, exigência de aprovação prévia para subcontratação. Sem parecer documentado com data, fonte consultada e responsável pela decisão, o processo não sustenta defesa em processo administrativo nem em fiscalização.
6. Monitore de forma contínua e recicle. A norma não fixa prazo de reciclagem. A periodicidade é definida na política da própria empresa e deve acompanhar o nível de risco atribuído ao terceiro. Um desenho que funciona na prática combina prazo fixo com gatilho por evento, por exemplo 12 meses para risco alto, 24 para médio e 36 para baixo. Independentemente do prazo escolhido, a reavaliação deve ser antecipada quando ocorre mudança de controle societário, entrada em lista de sanção, notícia negativa relevante, deterioração do perfil financeiro, ampliação material do escopo ou renovação contratual.

Checklist completo de due diligence de terceiros

Use como base e ajuste conforme a sua matriz de risco.

Identificação e existência legal

• CNPJ ativo e situação cadastral regular na Receita Federal
• Contrato social ou estatuto consolidado e atualizado
• Endereço operacional confirmado, com verificação de compatibilidade entre atividade declarada e estrutura
• CNAE compatível com o objeto da contratação
• Tempo de atividade e histórico de alterações societárias recentes

Estrutura societária e beneficiário final

• Quadro societário completo até pessoa física
• Identificação de holdings intermediárias e participações no exterior
• Verificação de pessoa exposta politicamente entre sócios, administradores e familiares
• Checagem de sócios em comum com terceiros já reprovados ou sancionados
• Vínculo societário com colaboradores da própria empresa, para identificar conflito de interesse

Integridade e sanções

• CEIS e CNEP, no Portal da Transparência
• CEPIM, quando o terceiro for entidade privada sem fins lucrativos ou houver relação com recursos públicos
• Cadastro de Empregadores do MTE, incluindo o Cadastro de Empregadores em Ajustamento de Conduta
• Áreas embargadas do Ibama, quando aplicável ao setor
• Designações do Conselho de Segurança da ONU, de cumprimento imediato no Brasil
• Listas estrangeiras aplicáveis à exposição da empresa: OFAC, União Europeia e Reino Unido
• Mídia adversa dos últimos cinco anos, em português e no idioma da jurisdição de origem

Regulatório, fiscal e trabalhista

• Certidões negativas federal, estadual e municipal
• Certidão negativa de débitos trabalhistas
• Licenças e registros exigidos pela atividade
• Processos judiciais e administrativos relevantes, com análise de mérito e não apenas de volume

Saúde financeira e continuidade

• Comportamento de pagamento e indicadores de risco de crédito
• Faturamento estimado versus valor do contrato pretendido, como teste de dependência
• Sinais de deterioração financeira nos últimos 12 meses
• Recuperação judicial, falência ou protesto relevante

Governança do processo

• Nível de diligência aplicado e justificativa registrada
• Fontes consultadas, com data de consulta
• Parecer com decisão, condicionantes e responsável
• Cláusulas de compliance, auditoria e rescisão no contrato assinado
• Terceiro incluído em monitoramento contínuo
• Data da próxima reciclagem definida

Como o Integrity One sustenta a due diligence de terceiros

O gargalo da maioria dos programas não está na definição do processo. Está na execução em escala. Uma base com milhares de fornecedores e verificação manual em múltiplas fontes públicas produz duas consequências previsíveis: fila de onboarding e diligência que envelhece no dia seguinte à aprovação.

O Integrity One opera essa camada em fluxo único, sobre a base global da Dun & Bradstreet: consulta e enriquecimento cadastral de pessoa física e jurídica com fontes nacionais e internacionais, classificação de risco na entrada com motor de decisão configurável pela própria equipe de compliance, identificação de beneficiário final a partir da cadeia societária, verificação de listas restritivas, de sanções e de pessoas expostas politicamente, monitoramento contínuo com alerta de mídia adversa e gestão de casos com trilha de evidência de cada decisão. Análise nacional e internacional rodam no mesmo workflow, com o mesmo registro de decisão.

Vale a leitura complementar sobre KYC empresarial e sobre KYS, Conheça Seu Fornecedor, que detalham os procedimentos de conhecimento de cliente e de fornecedor citados aqui.

Perguntas frequentes

Qual a diferença entre due diligence e KYC?

KYC, de Know Your Customer, é o conjunto de procedimentos de identificação e qualificação de clientes, com obrigatoriedade normativa para setores regulados. Due diligence de terceiros é mais amplo e alcança qualquer parte que se relacione com a empresa, incluindo fornecedores, representantes, intermediários e parceiros, com foco na avaliação de risco de integridade, regulatório, reputacional e financeiro dessa relação. Na prática, o KYC responde "quem é este cliente e qual o risco dele para a instituição", enquanto a due diligence de terceiros responde "esta relação pode ser estabelecida, sob quais condições e com qual acompanhamento".

O que é due diligence reforçada (EDD)?

Due diligence reforçada, ou EDD, de Enhanced Due Diligence, é o nível mais profundo de verificação, aplicado quando a avaliação inicial identifica risco elevado. Os gatilhos típicos são interface com a administração pública, presença de pessoa exposta politicamente na estrutura, jurisdição de risco elevado, setor sensível, alerta em mídia adversa ou dependência operacional relevante. O escopo acrescenta cadeia societária completa incluindo veículos no exterior, análise de origem de recursos, verificação de pessoas relacionadas, questionário de integridade respondido formalmente pelo terceiro, auditoria ou visita presencial e aprovação da relação em instância superior de governança.

Com que frequência a due diligence de terceiros deve ser refeita?

A norma não fixa prazo. A periodicidade é definida na política da própria empresa e deve acompanhar o nível de risco atribuído ao terceiro. Um desenho de política que funciona na prática combina prazo fixo com gatilho por evento, por exemplo 12 meses para risco alto, 24 para médio e 36 para baixo. Independentemente do prazo adotado, a reavaliação deve ser antecipada quando ocorre mudança de controle societário, entrada em lista de sanção, notícia negativa relevante, deterioração do perfil financeiro, ampliação material do escopo do contrato ou renovação contratual. Monitoramento contínuo por alerta reduz a dependência do calendário.

Due diligence de terceiros é obrigatória por lei no Brasil?

Depende do setor e da situação. Para instituições autorizadas pelo Banco Central, a Circular BACEN nº 3.978/2020 obriga procedimentos formalizados de conhecimento de parceiros e prestadores de serviços terceirizados, com classificação por risco. Para empresas em geral, o Decreto 11.129/2022 inclui as diligências baseadas em risco na contratação de terceiros entre os parâmetros de avaliação de um programa de integridade, o que se torna determinante em processos de responsabilização e em acordos de leniência. Há ainda a camada de contratação pública: o art. 25, § 4º da Lei nº 14.133/2021 exige que, em contratações de obras, serviços e fornecimentos de grande vulto, acima de R$ 200 milhões conforme o art. 6º, XXII, o edital preveja a implantação de programa de integridade pelo licitante vencedor no prazo de seis meses contado da celebração do contrato, com parâmetros de avaliação regulamentados pelo Decreto nº 12.304/2024. Somam-se a isso exigências contratuais de grandes tomadores e de multinacionais sujeitas a legislações antissuborno extraterritoriais.

O que fazer quando o terceiro se recusa a fornecer informações?

Recusa injustificada de fornecer documentos ou de esclarecer estrutura societária é um achado de risco e precisa ser tratada como tal, com registro no parecer. As saídas possíveis são reprovar a relação, condicionar a aprovação à entrega da informação pendente em prazo definido ou aprovar com escopo restrito e monitoramento reforçado, sempre com decisão documentada e assumida por instância competente. Prosseguir sem registro da recusa é o cenário que mais fragiliza a defesa da empresa em fiscalização ou investigação.

Estruturar o processo é o primeiro passo. Executá-lo em uma base com centenas ou milhares de terceiros, com evidência auditável e monitoramento contínuo, exige tecnologia. Conheça o Integrity One e veja como a visão unificada de compliance e PLD funciona aplicada à sua base de terceiros.

Fontes

BRASIL. Decreto nº 11.129, de 11 de julho de 2022, arts. 23, 25, 57 e 58 a 63. BRASIL. Lei nº 12.846, de 1º de agosto de 2013. BRASIL. Lei nº 14.133, de 1º de abril de 2021, arts. 6º, XXII e 25, § 4º, e Decreto nº 12.304, de 9 de dezembro de 2024. BRASIL. Lei nº 9.613, de 3 de março de 1998, e Lei nº 13.810, de 8 de março de 2019. BANCO CENTRAL DO BRASIL. Circular nº 3.978, de 23 de janeiro de 2020, arts. 56 a 58, texto consolidado. COAF. Relatório de Gestão Integrado 2025. CONTROLADORIA-GERAL DA UNIÃO. Portal da Transparência, consulta de sanções (CEIS, CNEP, CEPIM). MINISTÉRIO DO TRABALHO E EMPREGO. Cadastro de Empregadores, Portaria Interministerial MTE/MDHC/MIR nº 18/2024. IBAMA. Consulta Pública de Áreas Embargadas. FATF/GAFI. The FATF Recommendations, Recomendações 1, 10 e 12, atualização de fevereiro de 2025.

Conteúdo com finalidade informativa. Não constitui parecer jurídico.