KYS (Conheça Seu Fornecedor): o que é e como aplicar

Sua empresa pode responder por um ato de corrupção que ela não praticou. A Lei nº 12.846/2013 estabelece responsabilidade objetiva da pessoa jurídica por atos lesivos praticados em seu interesse ou benefício, exclusivo ou não, sem necessidade de comprovar culpa ou dolo. E é justamente por terceiros que a maior parte desses atos passa: a OECD identificou envolvimento de intermediários em 81% das 115 resoluções de suborno transnacional contra empresas concluídas entre janeiro de 2014 e junho de 2018, segundo o relatório Foreign Bribery and the Role of Intermediaries, Managers and Gender (OECD, 2020).

O que é KYS (Conheça Seu Fornecedor)

KYS, sigla de Know Your Supplier, é o processo de verificação da identidade, dos vínculos societários, do histórico sancionatório e da situação financeira de um fornecedor antes da contratação e ao longo de toda a relação comercial. É a aplicação da lógica de due diligence de terceiros ao lado da cadeia de fornecimento, com o objetivo de identificar riscos de integridade, regulatórios, trabalhistas e de continuidade antes que eles virem problema de quem contrata.

Nenhuma lei brasileira usa a sigla KYS. Várias normas cobram exatamente o que ela descreve. O Decreto nº 11.129/2022, que regulamenta a Lei Anticorrupção, lista entre os parâmetros de avaliação de um programa de integridade as “diligências apropriadas, baseadas em risco, para contratação e, conforme o caso, supervisão de terceiros, tais como fornecedores, prestadores de serviço, agentes intermediários, despachantes, consultores, representantes comerciais e associados” (art. 57, XIII, “a”). O mesmo inciso trata, na alínea “b”, de pessoas expostas politicamente, seus familiares e estreitos colaboradores. Na prática que a CIAL Dun & Bradstreet observa em programas de terceiros no Brasil, é nessa alínea que a maioria dos processos de homologação falha: existe questionário, não existe verificação.

KYS e KYC: qual a diferença na prática

Os dois processos usam técnica parecida de verificação. O que muda é quem está do outro lado da relação e qual risco você está tentando evitar.

Quem é avaliado

• KYC: o cliente e o beneficiário final da relação.
• KYS: o fornecedor, o prestador de serviço, o intermediário e o representante comercial.

Base normativa no Brasil

• KYC: Lei nº 9.613/1998 e Circular BACEN nº 3.978/2020, para instituições autorizadas pelo Banco Central.
• KYS: Lei nº 12.846/2013 e Decreto nº 11.129/2022, art. 57, incisos III e XIII.

Risco central

• KYC: lavagem de dinheiro e financiamento do terrorismo.
• KYS: corrupção, fraude, sanções, passivo trabalhista e ruptura de fornecimento.

Momento crítico e falha mais comum

• KYC: início da relação e monitoramento das operações. A falha típica é o cadastro desatualizado.
• KYS: homologação, assinatura e execução do contrato. A falha típica é a diligência feita uma vez, no onboarding, e nunca revisada.

Para o setor regulado, existe um paralelo direto. A Circular BACEN nº 3.978/2020 exige que as instituições implementem procedimentos destinados a conhecer seus funcionários, parceiros e prestadores de serviços terceirizados (art. 56), classifiquem as atividades desses terceiros em categorias de risco e mantenham essa classificação atualizada (art. 58). Nos contratos com instituições financeiras no exterior e com terceiros de arranjos de pagamento, a norma vai além: obriga a obter informações que permitam compreender a natureza da atividade e a reputação do contratado, e a verificar se ele já foi objeto de investigação ou ação de autoridade supervisora relacionada a lavagem de dinheiro ou financiamento do terrorismo (arts. 59 e 60). É o KYS descrito em detalhe, sem que a sigla apareça.

O que avaliar em um fornecedor: as cinco camadas do KYS

1. Identidade e situação cadastral

Confirme o CNPJ, a situação cadastral na Receita Federal, a compatibilidade entre o CNAE e o objeto contratado, o tempo de operação e o endereço declarado. Sinal de alerta clássico: empresa constituída há poucos meses disputando contrato relevante em setor que exige histórico técnico.

2. Vínculos societários e beneficiário final

Percorra a cadeia de participação até a pessoa natural que controla ou influencia a entidade. Desde 1º de janeiro de 2026, essa camada ficou mais rastreável: a IN RFB nº 2.290/2025 alterou a IN RFB nº 2.119/2022 e instituiu o e-BEF, formulário digital pelo qual as entidades informam seus beneficiários finais diretamente ao CNPJ. Como parâmetro de corte, o mercado costuma usar a referência da Circular BACEN nº 3.978/2020, que determina valor mínimo de participação definido com base em risco e limitado a 25%, considerando participação direta e indireta (art. 25, § 1º). Sinal de alerta: sócio em comum entre fornecedor e concorrente, ou entre fornecedor e alguém da própria área de compras.

3. Pessoas expostas politicamente

A Circular BACEN nº 3.978/2020 relaciona no art. 27 quem se enquadra como PEP no Brasil e no exterior, e determina no § 5º que a condição se aplica pelos cinco anos seguintes à data em que a pessoa deixou de ocupar o cargo. O art. 19 estende a verificação a familiares, definidos como parentes em linha reta ou colateral até o segundo grau, cônjuge, companheiro e enteados, e a estreitos colaboradores. Ser PEP não impede a contratação. Eleva o nível de diligência exigido e a alçada de quem aprova.

4. Sanções e restrições

Aqui a verificação é objetiva e as fontes são públicas:

• CEIS, CNEP, CEPIM e acordos de leniência, no Portal da Transparência da CGU, para restrições em licitações e sanções administrativas aplicadas com base na Lei Anticorrupção. Vale entender em detalhe o que é o CEIS antes de interpretar um achado.
• Cadastro de Empregadores que submeteram trabalhadores a condições análogas à escravidão, disciplinado pela Portaria Interministerial MTE/MDHC/MIR nº 18/2024. A atualização de abril de 2026 levou o cadastro a 613 nomes, com 169 inclusões, e os nomes permanecem publicados por dois anos (Ministério do Trabalho e Emprego, 2026).
• Listas internacionais, com atenção especial às do Conselho de Segurança da ONU. A Lei nº 13.810/2019 determina que essas resoluções sancionatórias têm executoriedade imediata no Brasil (art. 6º) e proíbe qualquer pessoa jurídica em território brasileiro de descumpri-las, por ação ou omissão (art. 8º). O prazo definido em lei é “sem demora”, que a própria norma conceitua como imediatamente ou dentro de algumas horas.

5. Saúde financeira e capacidade de entrega

Um fornecedor em deterioração financeira é risco de compliance, não só de suprimento. Aperto de caixa antecede improvisação contratual, subcontratação não autorizada e, em casos extremos, fraude documental. Comportamento de pagamento, nível de endividamento, concentração de clientes e dependência de poucos fornecedores dizem mais sobre a capacidade de entrega dos próximos doze meses do que um balanço de dois anos atrás. É a camada em que compliance e gestão de riscos de fornecedores deixam de ser processos separados.

Como estruturar a due diligence de terceiros em 6 passos

1. Classifique os terceiros por risco. O Decreto nº 11.129/2022 fala em diligências “baseadas em risco”. Use criticidade da atividade, exposição à administração pública, valor do contrato, geografia de operação e acesso a dados ou a fluxos de pagamento. A lógica é a mesma da classificação de fornecedores.
2. Defina o escopo mínimo por faixa. Baixo risco resolve com verificação cadastral e consulta a listas restritivas. Alto risco exige cadeia societária completa, beneficiário final, mídia adversa e, em alguns casos, visita.
3. Colete e verifique em fonte primária. Questionário preenchido pelo fornecedor é declaração, não verificação. O que sustenta uma auditoria é a consulta independente à fonte. É o ponto que separa uma qualificação de fornecedores real de um checklist preenchido.
4. Decida com critério documentado. Aprovar, aprovar com mitigação ou reprovar. Achado de PEP ou de sanção sobe para alçada superior à de quem contrata, lógica que a Circular BACEN nº 3.978/2020 já aplica ao relacionamento com PEP (art. 19, § 3º).
5. Leve o resultado para o contrato. Cláusula anticorrupção, extensão do código de conduta ao terceiro (art. 57, III, do Decreto nº 11.129/2022), direito de auditoria e obrigação de comunicar mudança de controle societário.
6. Guarde a evidência. Instituições reguladas mantêm as informações de terceiros por dez anos contados do encerramento da relação contratual (Circular BACEN nº 3.978/2020, art. 67, II). Fora do setor regulado, quem precisa comprovar programa de integridade em contrato de grande vulto depende desse mesmo acervo: a Lei nº 14.133/2021 exige implantação do programa pelo licitante vencedor no prazo de seis meses da celebração do contrato (art. 25, § 4º), regulamentada pelo Decreto nº 12.304/2024.

Monitoramento contínuo: por que a diligência de onboarding vence rápido

A foto tirada na homologação envelhece em ritmos diferentes, e cada fonte tem seu próprio relógio. O Cadastro de Empregadores é publicado semestralmente. CEIS e CNEP são alimentados pelos órgãos sancionadores ao longo do ano. A condição de PEP se estende por cinco anos após a saída do cargo, e um sócio pode se tornar PEP no meio da vigência do contrato, depois de uma eleição. O e-BEF tem obrigação de atualização anual, e a entidade que deixar de apresentá-lo, ou o apresentar com omissão, fica sujeita à suspensão do CNPJ após intimação, com impedimento de transacionar com bancos. Traduzindo para quem contrata: o problema cadastral do seu fornecedor vira interrupção de entrega na sua operação.

O desenho que funciona combina revisão periódica por faixa de risco com alerta por evento, para que uma inclusão em lista restritiva chegue ao time de compliance no dia em que acontece, e não na renovação anual do contrato. Na prática, é o que separa gestão de terceiros de arquivo de documentos.

Como a CIAL apoia o KYS de ponta a ponta

O gargalo do KYS raramente é a decisão. É o volume: cruzar centenas de CNPJs contra listas nacionais e internacionais, abrir cadeias societárias até o beneficiário final e manter tudo isso vivo depois da assinatura. O Integrity One consolida essa verificação numa visão 360 de Compliance e AML, reunindo triagem de sanções, PEP, vínculos e mídia adversa com histórico auditável de cada consulta. Quando a diligência precisa virar processo dentro do ciclo de vida do fornecedor, da homologação à reavaliação, o CIAL360 Supplier é a camada operacional que sustenta esse fluxo.

Por trás das duas plataformas está a base da Dun & Bradstreet, com dados e analytics sobre mais de 600 milhões de empresas no mundo, e o número D-U-N-S como identificador único de contraparte. Isso importa em um caso concreto e frequente: quando o fornecedor brasileiro é subsidiária de um grupo estrangeiro e o risco está na matriz, não no CNPJ que assina o contrato.

Perguntas frequentes

Qual a diferença entre KYC e KYS?

KYC (Know Your Customer) verifica clientes, com foco em prevenção à lavagem de dinheiro e ao financiamento do terrorismo, com base na Lei nº 9.613/1998 e na Circular BACEN nº 3.978/2020 para instituições reguladas. KYS (Know Your Supplier) verifica fornecedores, prestadores de serviço e intermediários, com foco em corrupção, fraude, sanções e passivo trabalhista, ancorado na Lei nº 12.846/2013 e no Decreto nº 11.129/2022. A técnica de verificação é parecida. O que muda é quem está do outro lado da relação e qual risco você está tentando evitar.

O KYS é obrigatório no Brasil?

Não existe lei que obrigue todas as empresas a manter um processo chamado KYS. Existem obrigações que só se cumprem com ele. O Decreto nº 11.129/2022 avalia programas de integridade pela existência de diligências baseadas em risco para contratação e supervisão de terceiros (art. 57, XIII). A Lei nº 14.133/2021 exige programa de integridade do vencedor de contratos de grande vulto (art. 25, § 4º). E a Lei nº 13.810/2019 proíbe qualquer pessoa jurídica em território brasileiro de descumprir sanções da ONU, por ação ou omissão (art. 8º), o que torna a triagem de listas uma exigência prática independente do porte da empresa.

Com que frequência revisar a due diligence de um fornecedor?

Não há periodicidade única definida em lei para empresas em geral. A prática de mercado é escalonar por risco: fornecedores de alto risco com revisão anual e monitoramento por evento, risco médio em ciclos mais longos, e triagem automática de listas restritivas para toda a base. O parâmetro regulatório mais próximo vem do setor financeiro, em que a Circular BACEN nº 3.978/2020 determina reavaliação permanente da qualificação conforme a evolução da relação e do perfil de risco.

Ser PEP impede a contratação de um fornecedor?

Não. A condição de pessoa exposta politicamente não é impedimento legal para contratar. Ela classifica a contraparte em faixa de risco mais alta e aciona diligência reforçada, com aprovação em alçada superior e documentação do fundamento da decisão. Segundo a Circular BACEN nº 3.978/2020, a condição de PEP se aplica pelos cinco anos seguintes à saída do cargo e alcança familiares até o segundo grau, cônjuge, companheiro, enteados e estreitos colaboradores.

Quais fontes públicas consultar em um KYS no Brasil?

As principais são: Receita Federal, para situação cadastral do CNPJ, quadro de sócios e administradores e beneficiários finais informados via e-BEF; Portal da Transparência da CGU, para CEIS, CNEP, CEPIM e acordos de leniência; Cadastro de Empregadores do Ministério do Trabalho e Emprego, para trabalho análogo à escravidão; e as listas de sanções do Conselho de Segurança da ONU. Consulta processual, mídia adversa e verificação de cadeia societária internacional completam o escopo em fornecedores de maior criticidade.

Está estruturando ou revisando seu processo de KYS? Vale começar mapeando quantos dos seus fornecedores ativos hoje passaram por verificação de beneficiário final e triagem de sanções, e quantos foram reavaliados desde a assinatura. Essa contagem costuma responder sozinha qual é a prioridade. Para ver como a triagem de terceiros funciona com sua própria base de fornecedores, fale com o time da CIAL Dun & Bradstreet.