A Lei nº 12.846/2013, conhecida como Lei Anticorrupção, responsabiliza empresas de forma objetiva por atos lesivos praticados em seu benefício, mesmo quando o ato é cometido por um terceiro contratado. Isso torna a due diligence de terceiros uma exigência prática de compliance, não apenas uma boa prática opcional.
Este artigo explica o que a lei e sua regulamentação esperam de um processo de verificação de contrapartes, quais evidências sustentam um programa de integridade robusto e como estruturar essa rotina sem sobrecarregar o time de compliance.
Por que a due diligence de terceiros virou uma exigência de compliance?
Empresas que contratam fornecedores, prestadores de serviço, representantes comerciais ou parceiros de negócio sem verificar seu histórico assumem um risco que vai além do operacional. Sob a Lei Anticorrupção, a empresa contratante pode responder por atos de corrupção, fraude em licitação ou suborno praticados por esse terceiro, caso o benefício econômico do ato tenha revertido para a contratante.
Essa é a lógica da responsabilidade objetiva prevista na Lei nº 12.846/2013: não é necessário provar dolo ou culpa da empresa para que ela seja responsabilizada administrativa e civilmente. Basta que o ato lesivo tenha ocorrido em seu interesse ou benefício, ainda que executado por um terceiro. Na prática, isso significa que quem terceiriza uma atividade não terceiriza o risco jurídico associado a ela.
Times de compliance de empresas reguladas, como instituições financeiras, seguradoras e companhias que atuam sob concessão pública, sentem essa pressão de forma mais direta, porque já respondem a órgãos reguladores específicos além da própria Lei Anticorrupção. Mas a exigência vale para qualquer empresa que opere no Brasil e mantenha relação com terceiros.
O que a regulamentação da lei realmente pede na avaliação de terceiros?
O Decreto nº 11.129/2022, que regulamenta a Lei Anticorrupção, lista os parâmetros usados para avaliar a existência e a qualidade de um programa de integridade dentro de uma empresa. Um desses parâmetros é, literalmente, a realização de diligências apropriadas para a contratação e, conforme o caso, a supervisão de terceiros, incluindo fornecedores, prestadores de serviço, agentes intermediários e associados.
Isso significa que a due diligence de terceiros não é um procedimento genérico de checagem cadastral. É um item específico observado quando um órgão de controle avalia se o programa de integridade de uma empresa é meramente formal ou efetivamente aplicado. Programas de compliance que existem só no papel, sem rotina real de verificação de terceiros, tendem a ser desconsiderados nessa avaliação.
Na prática, isso muda o padrão mínimo esperado de qualquer processo de diligência de contrapartes: não basta confirmar que o fornecedor existe formalmente. É preciso demonstrar, com registro auditável, que a empresa avaliou riscos reputacionais, jurídicos e de integridade antes de formalizar a relação comercial.
Quais evidências comprovam que a due diligence de terceiros foi feita corretamente?
Órgãos de controle e auditores de compliance costumam procurar três tipos de evidência quando avaliam um processo de due diligence de terceiros: o critério usado para decidir quais terceiros exigem verificação mais aprofundada, o registro documentado de cada consulta feita e a trilha de decisão sobre o que foi feito diante de um risco identificado.
O primeiro ponto é a segmentação por risco. Nem todo fornecedor exige o mesmo nível de escrutínio: um fornecedor de material de escritório representa um risco muito diferente de um representante comercial que negocia diretamente com o poder público.
Empresas maduras em compliance aplicam critérios como valor do contrato, exposição a agentes públicos, país de origem e histórico de sanções para calibrar a profundidade da checagem.
O segundo ponto é o registro. Uma consulta feita e não documentada não serve como evidência de diligência, porque não há como comprovar, depois, o que foi verificado e quando. Isso é ainda mais relevante para empresas que respondem por dados sensíveis de razão social e diferenças entre os tipos societários de cada contraparte, já que a análise jurídica de um terceiro começa justamente pela sua identificação formal correta.
O terceiro ponto é a trilha de decisão. Quando uma verificação identifica um risco, como um processo judicial relevante ou uma restrição em lista de sanções, é preciso registrar o que a empresa decidiu fazer: aprovar com ressalva, exigir documentação adicional, ou recusar a contratação. Sem esse registro, a avaliação de risco perde valor como prova de diligência efetiva.
Como o histórico societário de um terceiro entra nessa avaliação?
Boa parte do risco de compliance em relações com terceiros está escondida na estrutura societária da empresa contratada, não apenas no seu comportamento comercial. Uma empresa contratante que analisa apenas a razão social e o CNPJ, sem examinar quem de fato controla o fornecedor, deixa uma lacuna relevante na sua due diligence.
Verificar o quadro societário de uma empresa permite identificar situações de risco que não aparecem em uma checagem cadastral simples: sócios que também são agentes públicos, participação cruzada com empresas já sancionadas, ou estruturas societárias criadas recentemente sem histórico operacional real, um padrão comum em esquemas de intermediação fraudulenta.
A natureza jurídica da contraparte também importa para calibrar o risco. Empresas do tipo Sociedade Limitada Unipessoal recém-constituídas, por exemplo, merecem atenção adicional quando aparecem como intermediárias em negociações de alto valor, já que esse formato reduz a exposição pessoal do sócio e pode ser usado tanto de forma legítima quanto para dificultar a responsabilização em caso de irregularidade.
Como estruturar a due diligence de terceiros sem travar a operação de compras?
Uma objeção comum de áreas de compras e de negócios é que a due diligence de terceiros atrasa a contratação. Essa fricção normalmente aparece quando o processo depende de consultas manuais em múltiplas bases públicas, feitas caso a caso por um analista de compliance.
A alternativa prática é automatizar a etapa de coleta de dados, mantendo a decisão final sob responsabilidade humana. Consultar simultaneamente bases de listas restritivas, processos judiciais, situação cadastral e estrutura societária reduz de dias para minutos o tempo necessário para produzir o relatório que o analista de compliance vai avaliar. O trabalho humano se concentra na interpretação do risco, não na coleta manual de dados dispersos.
Esse modelo também resolve outro problema comum: a falta de padronização entre analistas diferentes. Quando cada pessoa decide, por conta própria, quais bases consultar para cada fornecedor, o processo de diligência varia de qualidade conforme quem o executa. Um fluxo estruturado, com critérios definidos por nível de risco, reduz essa variação e facilita a auditoria posterior do próprio programa de compliance.
O que muda quando a diligência de terceiros é contínua, não pontual?
A avaliação de um terceiro no momento da contratação responde apenas à pergunta “esse fornecedor era confiável quando assinamos o contrato”. Ela não responde à pergunta seguinte, igualmente relevante: esse fornecedor continua confiável seis meses ou dois anos depois, ao longo de toda a vigência do contrato.
Fornecedores que não apresentavam nenhuma restrição no momento da homologação podem, ao longo do tempo, ser incluídos em listas restritivas, sofrer novos processos judiciais relevantes ou passar por mudanças no quadro societário que alteram significativamente o perfil de risco da relação. Um programa de integridade que só verifica terceiros na entrada, sem nenhum acompanhamento posterior, tem uma lacuna estrutural relevante.
Por isso, órgãos de controle costumam valorizar programas de compliance que combinam a diligência inicial com monitoramento periódico das contrapartes já ativas. Esse desenho não exige reavaliar manualmente cada fornecedor todo mês: consultas automatizadas e recorrentes, com alerta apenas quando algo muda, mantêm a vigilância sem multiplicar o esforço manual do time de compliance.
Como justificar o investimento em due diligence de terceiros para a diretoria?
O time de compliance frequentemente precisa convencer a diretoria financeira de que investir em um processo estruturado de diligência de terceiros vale o custo, especialmente quando a empresa nunca sofreu um problema grave relacionado a esse risco. Esse é um desafio real: decisões de compra costumam ser mais fáceis de justificar depois de um incidente do que antes dele.
O argumento mais sólido nesse cenário não é hipotético, é regulatório. Como visto acima, a diligência de terceiros é um parâmetro explícito de avaliação de programas de integridade previsto no Decreto nº 11.129/2022. Isso significa que o investimento não protege apenas contra o risco de um terceiro específico cometer um ato lesivo. Ele também protege a própria empresa em uma eventual negociação de acordo de leniência ou redução de penalidade, caso um problema venha a ocorrer apesar dos controles.
Outro argumento prático é o custo comparativo. O custo de estruturar um processo de diligência de terceiros, mesmo em escala, tende a ser significativamente menor do que o custo de uma autuação administrativa sob a Lei Anticorrupção, que pode chegar a percentuais expressivos do faturamento bruto da empresa, além do dano reputacional que raramente é reversível no curto prazo.
Quais setores enfrentam maior risco na relação com terceiros?
O risco de responsabilização por atos de terceiros não é uniforme entre setores. Empresas que atuam sob concessão pública, como transporte, energia e saneamento, dependem de contratos e licenças que envolvem interação constante com agentes públicos, o que eleva a exposição a esquemas de corrupção em toda a cadeia de fornecimento.
Instituições financeiras e seguradoras enfrentam um risco adicional: além da Lei Anticorrupção, respondem a normas específicas do Banco Central e da Comissão de Valores Mobiliários (CVM) sobre prevenção à lavagem de dinheiro, o que amplia o escopo da diligência exigida sobre fornecedores e parceiros de negócio. Empresas de saúde e farmacêutica, por sua vez, lidam com um volume relevante de distribuidores e representantes comerciais, um perfil de terceiro historicamente associado a risco de suborno em relações com hospitais públicos e agentes de vigilância sanitária.
Um exemplo prático ajuda a ilustrar o problema: uma empresa de logística que terceiriza a obtenção de licenças e autorizações junto a órgãos públicos, através de um despachante ou representante local, transfere para esse terceiro uma atividade sensível. Se esse representante paga propina para acelerar uma licença, o benefício reverte para a empresa contratante, que pode ser responsabilizada mesmo sem ter ordenado ou sabido do pagamento. Esse é exatamente o tipo de cenário que a due diligence de terceiros existe para prevenir.
Devida diligência também vale para operações de M&A e parcerias pontuais?
Sim. O próprio Decreto nº 11.129/2022 cita, de forma explícita, as diligências em processos de fusões e aquisições como parte do parâmetro de avaliação de programas de integridade, ao lado da diligência de fornecedores recorrentes. Isso significa que devida diligência não é uma exigência limitada a contratos de longo prazo: vale também para operações pontuais de alto valor, como a aquisição de uma empresa ou a formalização de uma joint venture.
Nesses casos, a due diligence de terceiros normalmente vai além da checagem cadastral e societária básica: envolve também mapear se a empresa-alvo já respondeu a processos por atos lesivos, se possui histórico de sanções e se sua estrutura societária revela vínculos não declarados com outras partes relevantes ao negócio. O objetivo é evitar que passivos de integridade do terceiro sejam herdados pela empresa adquirente ou parceira depois de formalizada a operação.
Como a Lei Anticorrupção se conecta a outras normas de compliance da empresa?
A due diligence de terceiros raramente funciona como um processo isolado dentro do programa de compliance. Ela costuma se conectar diretamente a outras exigências regulatórias que a empresa já cumpre, o que reforça o argumento de reaproveitar a mesma infraestrutura de verificação para múltiplos objetivos de conformidade.
Empresas que contratam com o poder público, por exemplo, também precisam observar a Lei das Estatais (Lei nº 13.303/2016) quando o terceiro contratante for uma sociedade de economia mista. Empresas que tratam dados pessoais de terceiros durante a diligência, como dados de sócios pessoa física, precisam observar a Lei Geral de Proteção de Dados (LGPD), garantindo que a coleta tenha finalidade clara e proporcional ao risco avaliado. Um processo de diligência bem desenhado considera essas sobreposições desde o início, em vez de tratar cada exigência regulatória como um projeto separado.
Como a Gedanken apoia a due diligence de terceiros exigida pela Lei Anticorrupção
A solução de Diligência de Contrapartes da Gedanken cruza automaticamente centenas de bases de dados públicas para avaliar o risco jurídico, reputacional e de integridade de fornecedores, parceiros e demais terceiros, antes e durante a relação comercial. Isso inclui a verificação de listas restritivas e sancionadoras, histórico de processos judiciais e mapeamento da estrutura societária da contraparte.
O resultado é um relatório de risco padronizado, com trilha de decisão registrada, que serve como evidência concreta de diligência apropriada diante de auditorias internas, órgãos reguladores e, se necessário, negociações com a Controladoria-Geral da União (CGU). O time de compliance ganha tempo para focar na análise dos casos que realmente exigem atenção humana, em vez de gastar esse tempo coletando dados manualmente.
Se sua empresa ainda avalia terceiros de forma manual e pontual, vale a pena conversar com um especialista para entender como estruturar esse processo de acordo com o que a regulamentação da Lei Anticorrupção já exige hoje.
Perguntas frequentes sobre due diligence de terceiros e Lei Anticorrupção
A due diligence de terceiros é obrigatória por lei?
A Lei nº 12.846/2013 não exige, em seu texto, um procedimento específico de diligência de terceiros. Mas o Decreto nº 11.129/2022, que a regulamenta, lista essa diligência como um dos parâmetros usados para avaliar a existência e a efetividade de um programa de integridade, o que a torna, na prática, uma exigência para empresas que querem comprovar compliance robusto.
Toda empresa precisa fazer due diligence de todos os fornecedores?
Não necessariamente com a mesma profundidade. A boa prática de compliance recomenda segmentar por risco, aplicando verificação mais aprofundada a terceiros que lidam com agentes públicos, movimentam valores mais altos ou atuam em setores mais expostos a fraude e corrupção.
Qual a diferença entre due diligence pontual e monitoramento contínuo de terceiros?
A due diligence pontual avalia o terceiro apenas no momento da contratação. O monitoramento contínuo acompanha mudanças relevantes ao longo de toda a vigência do contrato, como novas restrições em listas sancionadoras ou alterações no quadro societário, reduzindo o risco de que um problema surgido depois da contratação passe despercebido.
Quais dados são analisados em uma due diligence de terceiros completa?
Normalmente incluem situação cadastral e fiscal, histórico de processos judiciais, presença em listas restritivas e sancionadoras, estrutura societária e, quando aplicável, vínculos com agentes públicos ou pessoas politicamente expostas.
Quem dentro da empresa deve ser responsável pela due diligence de terceiros?
Normalmente a área de compliance define os critérios e avalia os casos de maior risco, enquanto a área de compras ou o time responsável pela contratação opera o processo no dia a dia, seguindo os parâmetros definidos por compliance.
A due diligence de terceiros reduz a punição em caso de irregularidade?
A existência de um programa de integridade efetivo, com diligência de terceiros documentada, é considerada na dosimetria de eventuais sanções administrativas sob a Lei Anticorrupção. Isso não elimina a responsabilidade da empresa, mas pode reduzir o valor da multa aplicada e fortalecer sua posição em uma eventual negociação de acordo de leniência junto à Controladoria-Geral da União (CGU).
Due diligence de terceiros e due diligence de M&A são a mesma coisa?
São processos com metodologia semelhante, mas escopo diferente. A due diligence de terceiros recorrente avalia fornecedores e parceiros ao longo de uma relação comercial contínua. A due diligence de M&A avalia, de forma pontual e mais aprofundada, uma empresa inteira antes de uma fusão, aquisição ou parceria societária, incluindo seus próprios terceiros e passivos históricos.
Postagens relacionadas
