O processo de due diligence permite investigar terceiros e é essencial para reduzir riscos corporativos. Isso porque contratar um fornecedor sem verificá-lo é confiar no desconhecido 

Imagine a seguinte situação. 

Sua empresa está prestes a fechar contrato com um fornecedor estratégico. A negociação foi rápida, o preço é competitivo, a documentação obrigatória foi apresentada e as referências comerciais parecem satisfatórias. O contrato é assinado e a operação começa. 

Alguns meses depois, surgem os primeiros problemas. Uma investigação jornalística revela que o fornecedor está envolvido em um esquema de corrupção. Dias depois, descobre-se que um dos sócios possui ligações com empresas investigadas por lavagem de dinheiro.  

Em paralelo, um ataque cibernético compromete dados compartilhados entre as duas organizações, evidenciando que o parceiro nunca adotou controles mínimos de segurança da informação. 

Embora nenhum desses problemas tenha sido causado diretamente pela sua empresa, os impactos recaem sobre ela, contabilizando prejuízos financeiros, interrupção das operações, questionamentos regulatórios, danos reputacionais e perda de confiança de clientes, investidores e do mercado. 

Essa situação está longe de ser hipotética. À medida que as organizações ampliam suas cadeias de fornecedores, parceiros comerciais, distribuidores, prestadores de serviço e outros terceiros, também ampliam sua superfície de risco. 

Due diligence como ferramenta estratégica 

Hoje, boa parte dos incidentes de compliance, segurança corporativa, fraudes e segurança digital não nasce dentro da organização, mas sim em empresas com as quais ela decidiu fazer negócios. 

É justamente nesse contexto que o processo de due diligence deixa de ser uma etapa burocrática para se tornar uma ferramenta estratégica de tomada de decisão. 

Vale destacar que 60% das organizações não fizeram uma avaliação formal dos riscos de terceiros, segundo o PwC Global Digital Trust Insights. 

Mais do que validar documentos, a investigação de due diligence busca responder uma pergunta simples, porém decisiva: “Quem é, de fato, a empresa ou a pessoa com quem estamos nos relacionando?” 

A resposta exige muito mais do que consultar certidões negativas ou realizar uma pesquisa rápida na internet, envolvendo investigação estruturada, inteligência corporativa, análise de riscos e monitoramento contínuo. 

Neste artigo, você entenderá como o due diligence se tornou indispensável para fortalecer sua governança, proteger sua reputação e tomar decisões mais seguras. 

Leia: Gestão de risco de terceiros: como mitigar exposição a fraudes 

O que é o processo de due diligence? 

A expressão due diligence pode ser traduzida como “diligência prévia” ou “devida diligência”. 

Historicamente, o termo ganhou força no ambiente jurídico e financeiro, principalmente em processos de fusões e aquisições (M&A), em que os investidores precisavam avaliar cuidadosamente os riscos antes de concluir uma transação. 

Com o passar do tempo, entretanto, o conceito evoluiu. Atualmente, o processo de due diligence está presente em praticamente todas as decisões estratégicas que envolvem relacionamento entre organizações. 

Na prática, trata-se de uma investigação estruturada destinada a reunir informações relevantes para avaliar riscos antes de firmar uma relação comercial. Essa avaliação pode envolver diferentes aspectos, como: 

• Integridade e reputação; 
• Situação financeira; 
• Conformidade regulatória; 
• Estrutura societária; 
• Beneficiários finais; 
• Histórico judicial; 
• Riscos de corrupção; 
• Exposição a crimes financeiros;
• Maturidade em segurança da informação; 
• Práticas ambientais, sociais e de governança (ESG).

Além de verificar se uma empresa “existe”, a investigação de due diligence procura compreender como a organização atua, quais riscos representa e se seu perfil é compatível com os valores, as políticas e o apetite de risco da contratante. 

Quais relações comerciais podem passar pelo due diligence? 

Ainda existe um equívoco comum no mercado: acreditar que a due diligence é necessária apenas durante grandes operações societárias. Na realidade, qualquer relacionamento empresarial relevante pode justificar uma investigação proporcional ao nível de risco envolvido. 

Isso inclui: 

• Fornecedores estratégicos; 
• Prestadores de serviços críticos; 
• Distribuidores; 
• Representantes comerciais; 
• Contração de consultorias; 
• Parceiros tecnológicos; 
• Operadores logísticos; 
• Investidores; 
• Executivos; 
• Membros do conselho; 
• Agentes intermediários.

Quanto maior o impacto que aquele terceiro pode exercer sobre o negócio, maior deve ser o nível de conhecimento sobre ele. 

Essa mudança de perspectiva acompanha a evolução dos próprios riscos corporativos. Hoje, as empresas não são avaliadas apenas pelo que fazem diretamente, mas também pelas organizações que escolhem para integrar sua cadeia de valor. 

Veja: Lei anticorrupção: por que avaliar fornecedores? 

Qual a importância do processo de due diligence? 

Durante muitos anos, bastava solicitar documentos cadastrais, certidões negativas e referências comerciais para considerar um fornecedor “aprovado”. Esse modelo já não responde à complexidade do ambiente empresarial atual. 

Ainda mais com o crescimento do número de terceiros que fazem negócios com a sua empresa. De acordo com a KPMG Global Third-Party Risk Management Survey, 83% dos executivos planejam expandir as redes de parceiros nos próximos 1 a 3 anos e 48% veem espaço para uma melhor colaboração em gestão de riscos. 

Além disso, diversos fatores também transformaram a gestão de terceiros como: 

• Cadeias globais de fornecimento; 
• Crescimento das regulamentações de compliance; 
• Fortalecimento das leis anticorrupção; 
• Expansão da LGPD e das legislações de proteção de dados; 
• Aumento dos ataques cibernéticos; 
• Maior pressão de investidores por práticas ESG; 
• Riscos reputacionais amplificados pelas redes sociais.

Dessa forma, nos dias de hoje, um problema envolvendo um fornecedor pode rapidamente se transformar em uma crise para toda a organização. 

Não importa se a fraude ocorreu fora dos muros da empresa. Se ela falhou na seleção ou no monitoramento daquele parceiro, sua responsabilidade será inevitavelmente questionada. Por isso, as organizações mais maduras passaram a tratar a gestão de terceiros como uma disciplina de gestão de riscos. 

Empresas respondem pelos riscos que contratam 

Durante muito tempo, acreditava-se que bastava manter controles internos eficientes. No entanto, essa lógica não é mais suficiente. Os reguladores, investidores e clientes passaram a avaliar também a qualidade das relações estabelecidas pela empresa. 

Em outras palavras, não basta administrar bem os próprios riscos. É preciso compreender os riscos trazidos por fornecedores, parceiros, distribuidores, terceirizados e demais stakeholders. 

Essa mudança é especialmente importante em setores altamente regulados, como serviços financeiros, energia, telecomunicações, infraestrutura, saúde, tecnologia e indústria. 

Nesses ambientes, uma falha de terceiros pode gerar consequências regulatórias severas, mesmo quando a organização contratante não participou diretamente do problema. 

Leia: Segurança logística: terceiros são o elo mais fraco da operação? 

Quando uma empresa deve realizar uma investigação de due diligence? 

Uma dúvida bastante comum é imaginar que todo processo de due diligence precisa ser extremamente complexo. Na prática, a profundidade da investigação deve ser proporcional ao risco envolvido. Quanto maior a criticidade do relacionamento, maior deve ser o nível de diligência. 

Entre as situações mais comuns estão: 

Contratação de fornecedores críticos 

Empresas responsáveis por atividades essenciais, acesso a informações estratégicas ou operação de processos críticos exigem análises mais aprofundadas. 

Contratação de parceiros comerciais 

Representantes comerciais, distribuidores e parceiros internacionais frequentemente atuam em nome da organização. Por isso, seus riscos reputacionais também se tornam riscos da empresa contratante. 

Prestadores de serviços com acesso a informações sensíveis 

Empresas de tecnologia, manutenção de infraestrutura, segurança patrimonial, facilities ou processamento de dados podem acessar ativos estratégicos da organização. Nesse contexto, a investigação também deve considerar aspectos relacionados à segurança digital. 

Processos de fusões, aquisições e investimentos 

Esse continua sendo um dos cenários clássicos da due diligence. Além dos aspectos financeiros, a investigação deve avaliar passivos ocultos, riscos regulatórios, questões trabalhistas, ambientais e reputacionais. 

Contratação de executivos 

Em determinadas posições, especialmente cargos de liderança, uma investigação de integridade ajuda a reduzir riscos relacionados à reputação e à governança. 

Novos clientes estratégicos 

Em alguns setores, conhecer profundamente o cliente também é essencial para prevenir lavagem de dinheiro, fraudes e sanções regulatórias. Essa prática faz parte dos programas conhecidos como Know Your Customer (KYC). 

Quais riscos o processo de due diligence ajuda a identificar? 

Um dos maiores equívocos é acreditar que a due diligence serve apenas para confirmar informações cadastrais, quando, na realidade, busca revelar riscos que normalmente permanecem ocultos durante processos tradicionais de contratação. 

Esses riscos podem ser classificados em diferentes dimensões. 

Riscos de compliance 

A investigação pode identificar: 

• Envolvimento em casos de corrupção; 
• Vínculos com Pessoas Politicamente Expostas (PEPs); 
• Sanções nacionais e internacionais; 
• Lavagem de dinheiro; 
• Conflitos de interesse; 
• Descumprimento de programas de integridade.

Essas informações ajudam a evitar que a empresa estabeleça relações com organizações incompatíveis com suas políticas de compliance. 

Riscos jurídicos 

A análise também considera aspectos como: 

• Processos judiciais recorrentes; 
• Disputas societárias; 
• Execuções fiscais; 
• Recuperação judicial; 
• Falências; 
• Histórico regulatório.

Nem todo processo representa um problema. Mas padrões recorrentes podem indicar fragilidades relevantes que precisam ser avaliadas antes da contratação. 

Riscos financeiros 

Uma empresa financeiramente instável pode representar riscos operacionais importantes. Por isso, a due diligence também observa indicadores relacionados à capacidade financeira, endividamento e continuidade dos negócios. 

Riscos de segurança corporativa 

Nos últimos anos, a segurança corporativa passou a ocupar um espaço cada vez mais relevante dentro dos processos de due diligence. Isso porque muitas ameaças não estão relacionadas apenas à situação financeira ou jurídica de um terceiro, mas também ao seu histórico de integridade e à forma como conduz suas operações. 

Uma investigação de due diligence pode revelar, por exemplo: 

• Envolvimento dos sócios em crimes patrimoniais ou financeiros; 
• Vínculos com organizações criminosas; 
• Histórico de fraudes corporativas; 
• Participação em esquemas de desvio de ativos; 
• Conflitos de interesse ocultos; 
• Uso de empresas de fachada; 
• Estruturas societárias criadas para ocultar beneficiários finais.

Em determinadas operações, principalmente em setores como infraestrutura, mineração, energia, logística e indústria, essas análises tornam-se essenciais para proteger ativos físicos, pessoas e operações críticas. 

Riscos de segurança digital 

Outro aspecto que ganhou enorme relevância nos últimos anos é a avaliação da maturidade em cibersegurança dos terceiros. Os ataques digitais deixaram de atingir apenas empresas diretamente visadas. Cada vez mais, os criminosos exploram fornecedores menores como porta de entrada para grandes organizações. 

Nesse contexto, uma investigação de due diligence pode avaliar aspectos como: 

• Histórico de incidentes de segurança da informação; 
• Vazamentos públicos de dados; 
• Exposição de credenciais corporativas; 
• Políticas de proteção de dados; 
• Maturidade em gestão de vulnerabilidades; 
• Conformidade com normas de segurança; 
• Presença de informações sensíveis na dark web.

Riscos ESG 

A agenda ESG ampliou ainda mais o alcance da due diligence. Hoje, os investidores, consumidores e órgãos reguladores esperam que as empresas conheçam profundamente sua cadeia de valor. Isso significa avaliar aspectos como: 

• Práticas ambientais; 
• Utilização de trabalho infantil ou análogo à escravidão; 
• Violações de direitos humanos; 
• Passivos ambientais; 
• Diversidade e inclusão; 
• Ética empresarial.

O risco reputacional associado a esses temas pode ser tão significativo quanto um risco financeiro. Uma única denúncia envolvendo um fornecedor pode comprometer anos de construção de marca. 

Para se ter uma ideia, segundo a KPMG Global Third-Party Risk Management Survey, cerca de 48% das organizações apontam risco regulatório e 37% apontam risco cibernético como principais motores de seus programas de gestão de terceiros. 

Como funciona um processo de due diligence? 

Embora cada organização adapte o processo às suas necessidades, um modelo robusto de due diligence normalmente segue 10 etapas principais. 

1. Definição do escopo

Toda investigação começa respondendo uma pergunta fundamental: O que precisamos conhecer sobre esse terceiro? 

Nem todos os fornecedores representam o mesmo risco. Da mesma forma, nem todas as investigações precisam ter a mesma profundidade. Nesta etapa são definidos objetivos da investigação, tipo de relacionamento comercial, local de atuação, riscos envolvidos, nível de criticidade e legislação aplicável. 

Quanto melhor definido o escopo, mais eficiente será toda a investigação. 

2. Classificação de risco

Após compreender o contexto, é preciso classificar seu nível de risco. Alguns critérios usados incluem acesso a dados sensíveis, acesso físico às instalações, impacto operacional, movimentação financeira, exposição regulatória, relação com órgãos públicos, localização geográfica e criticidade para o negócio. 

Essa classificação permite direcionar esforços proporcionais ao risco existente. Empresas de baixo risco podem exigir análises simplificadas. Já terceiros estratégicos demandam investigações muito mais profundas. 

3. Coleta documental

Nesta fase ocorre a coleta das informações fornecidas pelo próprio terceiro. Entre os documentos normalmente solicitados estão: 

• Contrato social; 
• Quadro societário; 
• Documentos fiscais; 
• Licenças; 
• Certificações; 
• Políticas de compliance; 
• Políticas anticorrupção; 
• Códigos de ética; 
• Demonstrações financeiras.

É importante destacar que documentos representam apenas uma parte da investigação, mostrando aquilo que a empresa declara sobre si mesma. A investigação busca validar essas informações utilizando fontes independentes. 

4. Pesquisas em bases públicas

Aqui começa a etapa investigativa propriamente dita. Para identificar possíveis riscos, são realizadas consultas em diversas bases oficiais, como por exemplo: registros empresariais, processos judiciais, diários oficiais, listas de sanções, cadastros públicos, listas de listas de pessoas politicamente expostas, órgãos reguladores e registros ambientais. 

O objetivo não é apenas localizar ocorrências isoladas, mas compreender padrões de comportamento. 

Veja: Open Source Intelligence: inteligência no combate a fraudes 

5. Pesquisas em bases privadas e inteligência corporativa

Uma investigação robusta normalmente utiliza fontes além da internet aberta. A depender do caso, é possível analisar bancos de dados internacionais, registros especializados, histórico reputacional, informações financeiras, mídia especializada, entre outros. 

Essa combinação amplia significativamente a capacidade de identificar riscos que dificilmente apareceriam em consultas convencionais. 

6. Investigação reputacional

Nem todos os riscos aparecem em processos judiciais ou registros oficiais. A reputação da empresa também fornece sinais importantes. Nesta etapa é importante analisar notícias nacionais e internacionais, entrevistas, histórico de executivos, manifestações públicas, comportamento institucional, presença digital e relacionamento com stakeholders. 

O objetivo é identificar padrões consistentes. Uma notícia isolada pode não significar um problema. Mas dezenas de registros semelhantes ao longo do tempo merecem atenção. 

7. Entrevistas e validações adicionais

A depender da criticidade da contratação, a investigação pode incluir entrevistas estruturadas. Essas conversas ajudam a esclarecer inconsistências encontradas durante a análise documental. Também podem validar a estrutura operacional, governança, processos internos, controles de compliance, programas de integridade e maturidade em gestão de riscos. 

Em alguns casos, visitas presenciais às instalações também fazem parte do processo. 

8. Análise de vínculos e beneficiários finais

Uma das etapas mais importantes é identificar quem realmente controla a empresa investigada. Nem sempre os sócios formais são os verdadeiros beneficiários do negócio. 

Por isso, a investigação procura identificar: 

• Beneficiários finais (Ultimate Beneficial Owners – UBOs); 
• Empresas relacionadas; 
• Estruturas societárias complexas; 
• Participação cruzada em outras empresas; 
• Relações familiares relevantes; 
• Conflitos de interesse.

Essa etapa reduz significativamente o risco de utilização de empresas de fachada ou estruturas criadas para ocultar patrimônio e responsabilidades. 

9. Avaliação e classificação dos riscos

Depois da coleta e validação das informações, inicia-se a fase analítica. O objetivo é responder perguntas como: 

• Os riscos encontrados são aceitáveis? 
• Existem controles mitigadores? 
• A contratação deve prosseguir? 
• É necessário estabelecer condições adicionais?

A partir daí, os riscos normalmente são classificados em níveis, como baixo, moderado, elevado e crítico. Essa consideração facilita a tomada de decisão pelos gestores e pela alta administração. 

10. Relatório executivo e recomendações

A última etapa consiste na elaboração de um relatório consolidado, a fim de traduzir informações complexas em inteligência prática para apoiar decisões. Normalmente, apresenta resumo executivo, metodologia utilizada, principais descobertas, classificação dos riscos, evidências, recomendações e plano de mitigação. 

O objetivo não é decidir pelo cliente, mas fornecer elementos suficientes para que a decisão seja tomada com consciência dos riscos envolvidos. 

O processo de due diligence não termina na contratação 

Um dos maiores equívocos sobre o processo de due diligence é imaginar que a análise termina após a assinatura do contrato. Na realidade, o ambiente de negócios muda constantemente.  

Uma empresa considerada segura hoje pode enfrentar amanhã uma mudança societária, sanções regulatórias, investigações, incidentes cibernéticos, deterioração financeira e crises reputacionais. 

Por isso, é importante realizar o monitoramento contínuo de terceiros. Em vez de investigar apenas uma vez, as empresas acompanham consistentemente mudanças que possam alterar o perfil de risco de seus parceiros. 

Como a GIF International apoia organizações na gestão de riscos de terceiros 

Na GIF International, entendemos que um processo de due diligence eficiente vai muito além da coleta de documentos ou da consulta a bases públicas. 

Cada relacionamento comercial representa um conjunto específico de riscos que precisa ser analisado sob diferentes perspectivas: compliance, segurança corporativa, segurança digital, governança, reputação e continuidade dos negócios. 

Por isso, nossa solução de due diligence apoia organizações em decisões críticas envolvendo fornecedores, parceiros, investidores, distribuidores, executivos e demais terceiros. Assim, é possível antecipar riscos, fortalecer sua governança e tomar decisões com maior segurança. 

Se sua empresa deseja fortalecer a gestão de fornecedores, parceiros e demais terceiros, a GIF International pode te ajudar. Converse com nossos especialistas e descubra como transformar a gestão de terceiros em uma vantagem estratégica para o seu negócio. 

Perguntas frequentes (FAQ) – processo de due diligence 

O que é due diligence? 

Due diligence é um processo estruturado de investigação e análise utilizado para identificar riscos antes de estabelecer ou manter um relacionamento comercial com pessoas, empresas ou outros stakeholders. 

Como funciona um processo de due diligence? 

O processo envolve definição de escopo, classificação de risco, coleta de informações, investigação em fontes públicas e privadas, análise reputacional, avaliação de riscos, elaboração de relatório e monitoramento contínuo do terceiro. 

Qual é a diferença entre due diligence e auditoria? 

A due diligence é preventiva e ocorre antes ou durante um relacionamento comercial para apoiar decisões. Já a auditoria normalmente avalia processos internos, controles ou conformidade após a implementação de atividades. 

Quando uma empresa deve realizar a investigação de due diligence? 

Sempre que houver contratação de fornecedores críticos, parceiros estratégicos, distribuidores, representantes comerciais, executivos, investidores ou em operações como fusões e aquisições. 

Due diligence ajuda no compliance? 

Sim. A due diligence é um dos pilares dos programas de compliance, pois ajuda a prevenir riscos relacionados à corrupção, lavagem de dinheiro, conflitos de interesse, sanções e outras irregularidades envolvendo terceiros.