Resumo executivo: TPRM, sigla para Third-Party Risk Management, é a gestão estruturada dos riscos que fornecedores, clientes, parceiros e demais terceiros trazem para uma empresa. O conceito nasceu no mundo de segurança da informação, mas hoje organiza também os riscos financeiro, regulatório, reputacional, trabalhista e ambiental de qualquer relação com terceiros. Para times de compliance, TPRM é o guarda-chuva que conecta due diligence pontual, diligência de contrapartes e monitoramento contínuo em um único programa, com governança, indicadores e tecnologia. Este artigo explica o que é TPRM, quem ele cobre, como se diferencia de termos próximos como KYC e SRM, qual arcabouço legal brasileiro se aplica e como estruturar um programa na prática.
Se você trabalha com compliance, já deve ter notado que a lista de terceiros da sua empresa não para de crescer. Fornecedores, prestadores de serviço, parceiros comerciais, intermediários de vendas e até doadores de projetos sociais entram nessa conta. Cada um desses relacionamentos carrega um risco que a empresa assume, mesmo sem ter controle direto sobre a operação do terceiro. TPRM é o nome que o mercado deu para a disciplina que organiza a gestão desse risco de ponta a ponta.
O que é TPRM (Third-Party Risk Management)?
Third-Party Risk Management (TPRM), ou gestão de risco de terceiros, é o processo contínuo de identificar, avaliar, monitorar e mitigar os riscos que uma empresa assume ao se relacionar com fornecedores, prestadores de serviço, parceiros, clientes corporativos e outras contrapartes externas. Diferente de uma checagem pontual feita antes de assinar um contrato, o TPRM trata o relacionamento com o terceiro como algo vivo, que precisa de acompanhamento durante toda a vigência da parceria.
O termo “terceiro” aqui é amplo. Ele cobre qualquer pessoa jurídica ou física que atua em nome da empresa, presta um serviço essencial, tem acesso a dados sensíveis, integra a cadeia de suprimentos ou representa a marca perante o mercado. Um fornecedor de matéria-prima, um escritório de consultoria, uma fintech parceira em um programa de crédito e um distribuidor internacional são todos terceiros sob a ótica do TPRM.
A ideia central é simples de enunciar e difícil de executar: a empresa responde, em maior ou menor grau, pelo comportamento de quem ela escolhe como parceiro. Um fornecedor flagrado em trabalho análogo ao escravo, um distribuidor envolvido em lavagem de dinheiro ou um prestador de serviço com vazamento de dados dos seus clientes gera consequências jurídicas, financeiras e reputacionais para a empresa contratante, mesmo que a falha tenha ocorrido fora dos seus muros.
Por que o TPRM ganhou tanta relevância nos últimos anos?
Três movimentos explicam por que TPRM deixou de ser um tema de nicho e virou pauta recorrente em comitês de risco e auditoria.
O primeiro é o crescimento da terceirização. Empresas de todos os portes concentram esforço no que consideram core business e transferem o restante para parceiros especializados. Isso multiplica o número de relações com terceiros e, junto com elas, a superfície de risco que a empresa precisa monitorar.
O segundo é o avanço regulatório. A Lei nº 12.846/2013, conhecida como Lei Anticorrupção, responsabiliza empresas por atos de corrupção praticados em seu benefício, inclusive por intermédio de terceiros. Setores regulados, como instituições financeiras e seguradoras, também operam sob normas específicas do Banco Central do Brasil (BACEN) e da Comissão de Valores Mobiliários (CVM) que exigem due diligence formal de fornecedores e parceiros críticos.
O terceiro é a pressão de investidores, clientes corporativos e órgãos de controle por evidência de gestão de risco, não apenas por intenção declarada. Uma pesquisa global da Deloitte, conduzida com mais de 1.170 profissionais de risco em 30 países durante a pandemia, mostrou que 51% das organizações enfrentaram ao menos um incidente relevante de risco relacionado a terceiros nesse período, e que 13% desses incidentes foram classificados como de alto impacto sobre o resultado financeiro.
Outra pesquisa da Deloitte, com mais de 1.145 respondentes em 20 países, apontou que as empresas estimam o custo de um incidente grave de terceiros entre meio bilhão e um bilhão de dólares, e que a percepção desse custo mais que dobrou em cinco anos.
Esses números não servem para alarmar, servem para justificar orçamento. Quando o time de compliance precisa defender investimento em TPRM diante da diretoria financeira, dados como esses dão contexto real ao risco que está sendo mitigado.
Quem são os terceiros que um programa de TPRM precisa cobrir?
Um erro comum é limitar TPRM a fornecedores diretos de insumo ou matéria-prima. Na prática, um programa completo de gestão de risco de terceiros cobre categorias mais amplas.
Fornecedores de produtos e serviços, incluindo prestadores críticos de tecnologia, logística e infraestrutura, formam a categoria mais óbvia. Parceiros comerciais e intermediários de vendas, como representantes, distribuidores e revendedores que atuam em nome da empresa, também entram na lista, porque o risco reputacional de uma conduta inadequada recai sobre a marca contratante.
Instituições beneficiadas por doações e patrocínios corporativos merecem atenção específica, já que o risco de associação a uma entidade com histórico irregular é o mesmo, independente de haver ou não contrapartida comercial direta.
Contrapartes envolvidas em processos de fusão e aquisição (M&A), como a empresa-alvo, seus sócios e parceiros relevantes, também exigem diligência aprofundada antes do fechamento do negócio. Clientes corporativos, sobretudo em setores regulados, completam o quadro, já que vender para uma contraparte de alto risco pode gerar exposição semelhante à de comprar dela.
Essa amplitude é o motivo pelo qual, na Gedanken, tratamos diligência de fornecedores, doações, M&A e clientes corporativos como frentes de uma mesma disciplina: a Diligência de Contrapartes. TPRM é o termo internacional que organiza essa mesma lógica sob um guarda-chuva conceitual único.
TPRM, diligência de contrapartes, KYC e SRM: qual a diferença entre esses termos?
Times de compliance costumam esbarrar em uma sopa de siglas que, na prática, descrevem partes de um mesmo problema.
TPRM é o termo mais amplo. Ele descreve a disciplina de gestão de risco aplicada a qualquer terceiro, incluindo fornecedores, parceiros, clientes e intermediários, ao longo de todo o ciclo do relacionamento.
Diligência de Contrapartes é como a Gedanken nomeia essa mesma disciplina, com um recorte prático: cobre due diligence de fornecedores, doações, operações de M&A e clientes corporativos, sempre orientada à tomada de decisão de compliance. Na prática de mercado brasileiro, “diligência de contrapartes” e “background check de pessoa jurídica” descrevem o mesmo escopo de trabalho.
Know Your Customer (KYC) e Know Your Business (KYB) são processos de verificação de identidade e legitimidade, focados principalmente na etapa de onboarding. KYC nasceu no setor financeiro para identificar clientes pessoa física, e KYB é sua extensão para clientes pessoa jurídica. Dentro de um programa de TPRM, KYC e KYB atuam como a primeira camada de verificação, respondendo à pergunta “quem é essa contraparte, de fato”.
Supplier Relationship Management (SRM), ou gestão de relacionamento com fornecedores, tem outro objetivo. Ele trata da performance operacional e estratégica do fornecedor no dia a dia: qualidade de entrega, nível de serviço, inovação conjunta e desenvolvimento da parceria. SRM e TPRM se complementam, mas respondem a perguntas diferentes. SRM pergunta “esse fornecedor entrega valor”. TPRM pergunta “esse fornecedor expõe a empresa a um risco que ela precisa gerenciar”.
Em resumo prático: KYC e KYB verificam identidade no início da relação, diligência de contrapartes e TPRM avaliam e monitoram risco durante toda a relação, e SRM gerencia performance e relacionamento estratégico. Um programa maduro de gestão de terceiros usa os três em conjunto, cada um no seu papel.
Quais riscos um programa de TPRM identifica?
Um programa de TPRM bem desenhado olha para múltiplas categorias de risco ao mesmo tempo, porque elas raramente aparecem isoladas.
Risco financeiro cobre a saúde econômica da contraparte, seu endividamento, histórico de protesto e capacidade de honrar contratos de longo prazo. Risco regulatório e legal envolve o cumprimento de normas setoriais, histórico de sanções, ações judiciais relevantes e presença em listas restritivas, como o Cadastro Nacional de Condenações Cíveis por Atos de Improbidade Administrativa (CNIA) ou a lista de inidôneos do Tribunal de Contas da União (TCU).
Risco reputacional avalia se a associação com aquela contraparte pode manchar a imagem da empresa perante clientes, investidores e opinião pública. Risco de integridade cobre histórico de corrupção, fraude e conflito de interesse, incluindo participações societárias cruzadas entre a contraparte e agentes públicos ou executivos da própria empresa contratante.
Risco trabalhista ganha peso especial em cadeias que dependem de mão de obra intensiva, como construção civil, segurança patrimonial e logística, onde o risco de trabalho análogo ao escravo ou de passivos trabalhistas relevantes é real e mensurável. Risco ambiental, social e de governança, cada vez mais citado sob a sigla ESG (Environmental, Social and Governance), completa o quadro em setores como agronegócio, energia e construção, onde a Gedanken já mantém conteúdo dedicado a certificados de regularidade ambiental e embargos.
O ponto importante é que esses riscos raramente vêm sozinhos. Uma contraparte com problema trabalhista recorrente costuma ter também fragilidade financeira. Um histórico de embargo ambiental frequentemente vem acompanhado de processos administrativos e ações civis públicas. Um programa de TPRM eficaz cruza essas dimensões em vez de tratá-las em silos separados.
Qual é o ciclo de vida de um programa de TPRM?
TPRM funciona melhor quando tratado como um ciclo contínuo, não como uma etapa isolada dentro do processo de contratação.
A primeira etapa é a identificação e categorização dos terceiros, na qual a empresa mapeia todos os relacionamentos existentes e os classifica por nível de criticidade e exposição. A segunda é a due diligence inicial, quando a empresa consulta bases públicas e privadas, verifica antecedentes, situação cadastral, rede societária e histórico judicial da contraparte antes de formalizar a relação.
A terceira etapa é a avaliação de risco propriamente dita, em que os achados da due diligence se transformam em uma classificação de risco objetiva, geralmente baixo, médio ou alto. Contrapartes de risco mais alto exigem checagens mais profundas e aprovação em níveis hierárquicos superiores. A quarta etapa é o onboarding, quando a contraparte aprovada entra de fato na base ativa da empresa, com as condições contratuais e cláusulas de compliance já definidas com base no risco identificado.
A quinta etapa, com frequência a mais negligenciada, é o monitoramento contínuo. Uma contraparte aprovada hoje pode acumular um processo judicial relevante, entrar em uma lista restritiva ou sofrer uma autuação ambiental amanhã. Sem monitoramento periódico, a empresa só descobre isso quando o problema já causou dano. A sexta e última etapa é o offboarding, o encerramento formal e documentado da relação, importante tanto por razões operacionais quanto para manter o histórico de compliance completo caso a relação seja retomada no futuro.
Que normas e leis brasileiras sustentam um programa de TPRM?
O arcabouço legal brasileiro para gestão de risco de terceiros está espalhado por diferentes normas, cada uma com um foco específico.
A Lei nº 12.846/2013, a Lei Anticorrupção, é a referência mais citada. Ela responsabiliza objetivamente pessoas jurídicas por atos lesivos à administração pública, praticados em seu interesse ou benefício, o que inclui atos cometidos por intermédio de terceiros contratados. A existência de um programa de compliance com due diligence de terceiros documentada é um dos fatores considerados na dosimetria de eventual penalidade.
A Lei Geral de Proteção de Dados (LGPD), Lei nº 13.709/2018, entra em cena sempre que a relação com o terceiro envolve compartilhamento de dados pessoais, seja de clientes, colaboradores ou candidatos. A empresa contratante responde solidariamente por falhas de proteção de dados cometidas por operadores terceirizados, o que torna a checagem de maturidade de segurança da informação parte relevante da due diligence.
Para instituições financeiras e seguradoras, resoluções do BACEN e do Conselho Monetário Nacional (CMN) tratam especificamente de terceirização de serviços relevantes e exigem avaliação prévia de risco do prestador contratado, com revisão periódica formal. A CVM também trata do tema em suas próprias resoluções, aplicáveis a participantes do mercado de capitais.
Vale registrar que parte da produção jurídica recente no Brasil também trata de checagem de antecedentes de pessoas físicas em contextos específicos, como a Lei nº 14.811/2024, que passou a exigir certidão de antecedentes criminais de profissionais que atuam em instituições de ensino, com atualização a cada seis meses. Embora essa lei fale de pessoa física, ela ilustra uma tendência mais ampla: o legislador brasileiro está tornando a checagem periódica, e não pontual, um requisito legal explícito em setores cada vez mais diversos, o mesmo racional que sustenta o monitoramento contínuo dentro de um programa de TPRM.
Como estruturar um programa de TPRM na prática?
Montar um programa de TPRM do zero costuma assustar por parecer um projeto grande demais. Na prática, ele se divide em passos que podem ser priorizados conforme o orçamento e a maturidade da empresa.
O primeiro passo é definir a governança do programa: quem aprova, quem executa e quem responde por cada nível de risco identificado. Sem donos claros, mesmo um bom processo de checagem perde efeito, porque ninguém age sobre o que foi encontrado.
O segundo passo é inventariar todos os terceiros ativos, algo que parece óbvio, mas que boa parte das empresas ainda não tem consolidado em um único cadastro confiável.
O terceiro passo é categorizar os terceiros por criticidade, aplicando um critério de tiering: quanto maior o impacto potencial de uma falha daquele terceiro, mais rigorosa deve ser a checagem e mais frequente o monitoramento. O quarto passo é formalizar políticas e processos por nível de risco, definindo, por exemplo, que contrapartes de alto risco exigem aprovação do comitê de compliance, enquanto contrapartes de baixo risco seguem um fluxo simplificado.
O quinto passo é estruturar o processo de due diligence em si, escolhendo as bases de dados, os critérios de reprovação automática e o formato do relatório de risco entregue ao aprovador. O sexto passo é implementar o monitoramento contínuo, de forma que mudanças relevantes no perfil de risco de uma contraparte gerem alerta automático, em vez de depender de nova checagem manual periódica.
O sétimo passo é adotar tecnologia que sustente o volume, já que processos manuais em planilha não escalam quando o número de terceiros cresce. O oitavo e último passo é definir indicadores de acompanhamento e um ciclo formal de revisão do programa, para que ele evolua com a empresa.
Quais indicadores mostram que um programa de TPRM está funcionando?
Um programa de TPRM sem indicadores vira difícil de defender internamente, porque ninguém consegue provar o valor que ele gera. Alguns indicadores ajudam a tornar esse valor visível para a diretoria.
O tempo médio de diligência, do início da checagem até a aprovação da contraparte, mostra se o processo trava a operação de compras ou de vendas. O percentual de terceiros categorizados por nível de risco revela se a empresa realmente conhece sua própria base de contrapartes ou se está operando no escuro. O percentual de contrapartes com monitoramento contínuo ativo, em vez de checagem apenas no onboarding, indica a maturidade real do programa.
O número de achados relevantes por período, como contrapartes reprovadas ou reclassificadas para risco mais alto após checagem, comprova que o processo está de fato encontrando risco, não apenas cumprindo formalidade. E o tempo de resposta a um alerta de monitoramento, do disparo até a decisão de compliance, mostra se o programa reage a tempo de evitar dano, ou só documenta o problema depois que ele já aconteceu.
Diligência pontual ou monitoramento contínuo: qual abordagem de TPRM escolher?
Muitas empresas ainda tratam a checagem de contraparte como um evento único, feito antes da assinatura do contrato e nunca mais revisitado. Esse modelo tem uma falha estrutural: o risco de uma contraparte muda ao longo do tempo, e uma checagem de dois anos atrás não diz nada sobre a situação da empresa hoje.
O monitoramento contínuo resolve essa lacuna ao acompanhar, de forma automatizada, mudanças relevantes no perfil de risco de cada contraparte já aprovada. Isso inclui o surgimento de novos processos judiciais, a entrada em listas restritivas, alterações relevantes no quadro societário e mudanças na situação cadastral perante os órgãos competentes.
A escolha entre diligência pontual e monitoramento contínuo não deveria ser binária. Contrapartes de baixo risco e baixo volume de transação podem seguir apenas com checagem periódica menos frequente. Contrapartes críticas, com alto volume financeiro ou exposição regulatória relevante, justificam monitoramento contínuo, porque o custo de um problema não detectado a tempo costuma superar em muito o custo da tecnologia que evita esse cenário.
Como a Diligência de Contrapartes da Gedanken apoia um programa de TPRM?
A Gedanken desenvolveu a Diligência de Contrapartes para dar suporte prático às etapas centrais de um programa de TPRM: due diligence inicial, avaliação de risco e monitoramento contínuo, cobrindo fornecedores, doações, operações de M&A e clientes corporativos em uma única plataforma.
A consulta cruza dados de diferentes bases públicas e privadas para levantar histórico judicial, situação cadastral, rede societária e presença em listas restritivas de cada contraparte, organizando esses achados em um nível de risco que orienta a decisão do time de compliance. Isso reduz o tempo que a equipe gasta cruzando informações manualmente entre diferentes sistemas e portais públicos, tempo que hoje costuma ser o maior gargalo de quem ainda opera com processo manual.
A solução também sustenta a etapa de monitoramento contínuo, alertando o time de compliance quando uma contraparte já aprovada apresenta mudança relevante no seu perfil de risco. Isso aproxima a operação real da empresa do modelo recomendado neste artigo: menos dependência de checagem pontual, mais visibilidade contínua sobre quem a empresa já está fazendo negócio.
Como o TPRM muda conforme o setor da empresa?
O núcleo do TPRM é o mesmo em qualquer setor, mas o peso de cada risco varia conforme a regulação e o modelo de negócio.
Em instituições financeiras e seguradoras, o TPRM segue de perto as exigências do BACEN e da CVM sobre terceirização de serviços relevantes, com foco forte em continuidade operacional, segurança da informação e prevenção à lavagem de dinheiro. A checagem de fornecedores críticos de tecnologia costuma exigir avaliação de resiliência e plano de contingência, não apenas idoneidade cadastral.
Em saúde e farmacêutica, o TPRM soma exigências sanitárias e de rastreabilidade às checagens tradicionais de compliance, já que um fornecedor ou distribuidor com histórico irregular pode comprometer a cadeia de custódia de produtos regulados pela Agência Nacional de Vigilância Sanitária (Anvisa). Em transporte, logística, energia e saneamento, setores frequentemente organizados sob regime de concessão pública, o TPRM incorpora exigências de compliance com o poder concedente e maior sensibilidade a risco ambiental e regulatório.
Em concessões públicas de forma geral, o programa de TPRM precisa dialogar com a Lei Anticorrupção e com a Lei das Estatais, já que a contratação de terceiros por empresas que prestam serviço público carrega escrutínio adicional de órgãos de controle. Nesses quatro contextos, o desenho do programa muda, mas a lógica de identificar, avaliar, monitorar e mitigar risco de terceiros permanece a mesma.
Quais erros mais comprometem um programa de TPRM?
Alguns padrões de falha se repetem em empresas que tentam estruturar TPRM sem planejamento suficiente.
Tratar a checagem como evento único, feito apenas no momento da contratação, é o erro mais frequente. Sem revisão periódica, o programa perde valor rapidamente, porque o risco de uma contraparte muda ao longo do tempo, mesmo quando o contrato não muda.
Concentrar toda a responsabilidade em uma única pessoa ou área também compromete o programa. Quando a governança de TPRM depende de um único analista sobrecarregado, a cobertura cai assim que o volume de terceiros cresce ou quando essa pessoa sai da empresa. Aplicar o mesmo nível de rigor a todos os terceiros, independente da criticidade, desperdiça esforço nos casos de baixo risco e, ironicamente, tende a deixar menos tempo disponível para investigar a fundo os casos de alto risco.
Não documentar o racional da decisão de aprovação ou reprovação de uma contraparte é outro erro recorrente, e caro: em uma auditoria ou investigação, a ausência de registro estruturado enfraquece a defesa de que a empresa agiu com diligência razoável. Por fim, escolher tecnologia antes de definir processo e governança costuma gerar frustração, porque nenhuma ferramenta resolve sozinha a falta de critério sobre o que checar, com que frequência e quem decide.
Qual o papel da tecnologia e dos dados na maturidade de um programa de TPRM?
A diferença entre um programa de TPRM manual e um programa maduro raramente está na intenção das pessoas envolvidas. Está na capacidade de processar volume sem perder profundidade.
Processos manuais em planilha funcionam até certo ponto, mas param de escalar quando o número de terceiros cresce ou quando a exigência regulatória passa a demandar revisão periódica, não apenas checagem inicial. Cruzar dezenas de bases públicas manualmente para cada contraparte consome dias da equipe de compliance, tempo que poderia ir para análise e decisão, não para coleta de dado bruto.
Plataformas de dados aplicadas a TPRM automatizam essa coleta, cruzando informações de diferentes fontes em minutos e organizando o resultado em um nível de risco compreensível para quem decide. Isso não substitui o julgamento humano sobre o que fazer com o achado, mas elimina o gargalo operacional que hoje consome a maior parte do tempo de muitos times de compliance. A tecnologia também é o que torna o monitoramento contínuo viável na prática: sem automação, é impossível revisitar manualmente centenas ou milhares de contrapartes com frequência relevante.
Perguntas frequentes sobre TPRM
1.TPRM é a mesma coisa que compliance de terceiros? TPRM é a estrutura prática que operacionaliza o compliance de terceiros. Compliance de terceiros é o objetivo, a garantia de que a empresa se relaciona com contrapartes idôneas dentro da lei; TPRM é o processo, com etapas, indicadores e tecnologia, que entrega esse objetivo no dia a dia.
2. TPRM se aplica só a empresas grandes? Não. O volume e a complexidade do programa variam com o porte da empresa, mas mesmo negócios menores assumem risco real ao contratar fornecedores e parceiros sem checagem alguma. A diferença costuma estar na sofisticação do processo, não na necessidade dele.
3. Qual a diferença entre TPRM e gestão de risco de fornecedores? Gestão de risco de fornecedores é um subconjunto do TPRM, focado especificamente na cadeia de suprimentos. TPRM cobre também clientes corporativos, parceiros comerciais, intermediários e instituições beneficiadas por doações, um escopo mais amplo que o de fornecedores isoladamente.
4. Um programa de TPRM elimina totalmente o risco de terceiros? Não. Nenhum processo de diligência elimina o risco de uma contraparte de forma absoluta, porque a decisão final sobre a relação continua sendo humana. O que um programa de TPRM bem estruturado faz é identificar o risco antes da contratação e reduzir a chance de surpresas ao longo da relação, com base em evidência, não em promessa.
5.,Por onde começar um programa de TPRM com recursos limitados? O ponto de partida mais eficiente costuma ser mapear e categorizar por risco os terceiros já ativos, mesmo antes de comprar qualquer tecnologia. Esse inventário revela onde o risco está concentrado e orienta a priorização dos próximos investimentos, incluindo automação e monitoramento contínuo.
6. Quem deve ser dono do programa de TPRM dentro da empresa? Na maioria das empresas, compliance lidera o programa, mas a execução bem-sucedida depende de integração com compras, jurídico e a área de negócio que efetivamente contrata o terceiro. TPRM que funciona apenas dentro de compliance, sem integração com quem contrata no dia a dia, tende a ser contornado sob pressão de prazo.
7. Com que frequência o monitoramento contínuo deve gerar nova checagem? Não existe uma frequência única correta. Contrapartes de alto risco costumam justificar monitoramento com alerta em tempo real para mudanças relevantes, como novo processo judicial ou entrada em lista restritiva. Contrapartes de risco mais baixo podem seguir com revisão periódica, a cada seis ou doze meses, sem prejuízo à cobertura geral do programa.
Como avançar no tema
TPRM deixou de ser um termo técnico restrito a times de segurança da informação para se tornar vocabulário comum entre profissionais de compliance, auditoria e risco corporativo no Brasil. Entender o conceito ajuda a nomear, organizar e defender internamente algo que boa parte das empresas já faz de forma parcial e desestruturada: gerir o risco de quem ela escolhe como contraparte.
Se você quer aprofundar como identificar a estrutura legal de uma contraparte antes de fechar negócio, veja o conteúdo da Gedanken sobre razão social e diferenças entre os tipos societários e sobre como mapear o quadro societário de uma empresa para identificar conflito de interesse.
Para conhecer como a Gedanken aplica esses conceitos na prática, através da solução de Diligência de Contrapartes, fale com o time de especialistas da Gedanken ou continue lendo os demais conteúdos do blog sobre diligência de contrapartes, due diligence e compliance de terceiros.
Postagens relacionadas
