A due diligence de integridade é uma análise de informações sobre terceiros para identificar riscos antes de determinadas contratações, parcerias ou outras relações.
Ela começa antes do vínculo, mas não termina necessariamente com a assinatura do contrato.
Se houver mudança de controle, alteração relevante do escopo, entrada de intermediários, novos alertas ou outro fato capaz de modificar o risco da relação, a avaliação precisa ser revisitada.
Na prática, a due diligence de integridade procura responder questões que uma consulta cadastral isolada não resolve:
- quem controla a empresa contratada?
- qual é seu histórico?
- existem vínculos relevantes?
- a remuneração combina com o serviço prestado?
- e os controles apresentados funcionam de fato?
A profundidade dessas verificações depende do risco envolvido e das características concretas da relação.
Quando aplicar a due diligence de integridade e quais informações avaliar?
A due diligence de integridade busca identificar riscos ligados à relação pretendida antes que a empresa assuma uma exposição que não compreendeu adequadamente.
Para isso, se examina identidade e estrutura societária, histórico de integridade, vínculos relevantes, características da contratação e controles mantidos pelo parceiro.
Dentro dos fundamentos de compliance, essas informações servem para sustentar decisões, e não apenas para preencher uma etapa formal do cadastro.
A diligência pode ser aplicada:
- antes da contratação ou parceria;
- em renovações, conforme critérios de risco;
- diante de mudanças societárias;
- quando houver alteração relevante do escopo;
- diante de novos alertas.
O nível de investigação não precisa ser igual para todos.
Uma empresa contratada para executar serviço administrativo, sem contato com agentes públicos e sem intermediários, apresenta exposição diferente daquela de um representante autorizado a negociar em nome da organização perante autoridades. A gestão de terceiros começa por reconhecer essas diferenças.
Como definir a profundidade da avaliação de terceiros?
A profundidade deve acompanhar o risco da relação. Atividade, local de atuação, interação com agentes públicos, utilização de intermediários, estrutura societária e condições de remuneração ajudam a indicar até onde a análise precisa avançar.
A gestão de riscos corporativos fornece a lógica para essa escolha. Se o terceiro executa uma atividade de menor exposição, as checagens podem se concentrar em dados cadastrais e consultas compatíveis com esse perfil.
No entanto, se houver representação da empresa, remuneração por comissão, intermediários ou contato frequente com agentes públicos, é razoável exigir mais informações.
Na verificação básica, confirmam-se dados, responsáveis pela organização e registros pertinentes ao perfil da relação.
Já na análise aprofundada, amplia-se a documentação examinada, solicitam-se esclarecimentos, confrontam-se informações de fontes diferentes e investigam-se inconsistências.
O aprofundamento não deve ser automático. Ele precisa responder a uma questão concreta levantada pelo risco da relação ou pelos achados iniciais.
Quais informações devem ser verificadas na due diligence de integridade?
A due diligence de integridade precisa produzir informações úteis para uma decisão. Ao final, a empresa deve conseguir identificar quem está contratando, quem controla ou se beneficia da relação, quais fatos exigem esclarecimento e se escopo, remuneração, pagamentos e controles apresentam coerência.
Quem é o terceiro e quem controla a organização
Razão social, CNPJ, atividade, situação cadastral, sócios e administradores são o ponto de partida. A finalidade não é simplesmente confirmar que a empresa existe, mas compreender quem está efetivamente por trás da relação.
Imagine que a proposta comercial tenha sido apresentada por determinada pessoa jurídica, mas o pagamento seja solicitado para uma empresa diferente. Ou que alguém conduza toda a negociação sem aparecer entre os sócios ou administradores informados.
Nenhuma dessas situações comprova irregularidade, mas ambas pedem esclarecimento antes de seguir.
Qual é o histórico de integridade do terceiro
Sanções, registros oficiais pertinentes, processos e notícias relacionados ao objeto da análise ajudam a formar o histórico do parceiro.
Entre as fontes públicas que podem ser consultadas estão o CEIS, que reúne informações sobre empresas e pessoas físicas submetidas a sanções que podem restringir a participação em licitações ou contratos com a Administração Pública, e o CNEP, que apresenta empresas punidas nos termos da Lei nº 12.846/2013.
Também podem ser relevantes registros ligados à corrupção, fraude ou outros desvios, desde que exista relação com o objeto da análise.
Um processo antigo sem conexão com a atividade contratada não deve receber automaticamente o mesmo peso de um fato recente diretamente relacionado ao serviço que será prestado.
Quais são os dados confiáveis
O estágio da informação interfere no peso que ela deve receber:
- uma notícia relata fatos segundo determinada fonte.
- uma denúncia ou apontamento apresenta uma alegação.
- uma investigação indica que fatos estão sendo apurados.
- uma acusação formaliza uma imputação.
- uma decisão registra uma conclusão adotada pela autoridade competente naquele procedimento.
Tratar essas categorias como equivalentes distorce a análise.
Também é importante lembrar que uma notícia sobre investigação não é uma condenação; e uma denúncia sem desfecho também não autoriza afirmar que houve irregularidade.
A ausência de registros negativos exige a mesma cautela. Não encontrar sanções, processos ou notícias não comprova ausência de risco, porque nenhuma consulta isolada cobre todas as informações que podem ser relevantes.
Se existem vínculos ou conflitos de interesse relevantes
A avaliação pode verificar vínculos com agentes públicos, pessoas que participam da contratação e outras partes relevantes.
O foco é entender se determinada relação pode:
- comprometer a imparcialidade;
- favorecer influência indevida;
- exigir declaração;
- ou justificar controles adicionais.
Se um sócio do fornecedor possuir relação próxima com alguém diretamente responsável por escolhê-lo, por exemplo, o vínculo não prova favorecimento. Pode, contudo, justificar declaração de conflito, afastamento de determinada pessoa da decisão ou revisão adicional.
Em estruturas nas quais a supervisão chega à alta administração, compreender o papel do conselho de administração na governança e no compliance ajuda a delimitar responsabilidades de acompanhamento e escalonamento.
Se a contratação e os pagamentos possuem justificativa clara
A análise deve confrontar o serviço contratado, a necessidade de eventual intermediário, a compatibilidade da remuneração e a identificação de quem receberá os pagamentos.
Algumas red flags que justificam esclarecimento ou aprofundamento são:
- comissões sem justificativa;
- pagamentos solicitados a pessoas alheias ao contrato;
- descrições imprecisas ou vagas dos serviços.
Uma red flag não comprova fraude, mas indica que ainda falta informação para compreender determinada condição.
Nesses casos, o próximo passo deve ser buscar documentos, justificativas ou evidências capazes de esclarecer o ponto.
Quais medidas de integridade o terceiro mantém
Políticas anticorrupção, código de conduta, treinamentos, canais de denúncia e controles ligados à relação ajudam a mostrar como o parceiro trata seus riscos. No entanto, a mera existência desses documentos não comprova que eles funcionem.
Se o terceiro declara realizar treinamentos anticorrupção, por exemplo, podem ser verificadas evidências de aplicação, como registros das capacitações, público alcançado e periodicidade.
Se o terceiro informa possuir canal de denúncia, vale examinar se há procedimento para receber e tratar relatos. Um código de conduta disponível no site, sozinho, não encerra a avaliação.
Como utilizar os resultados e quando refazer a análise?
A due diligence de integridade também precisa deixar claro como a decisão foi construída.
Por isso, devem ser registrados as fontes consultadas, os achados relevantes, os esclarecimentos recebidos, a classificação de risco e a justificativa da conclusão.
Os possíveis resultados incluem:
- aprovação;
- aprovação condicionada a medidas de mitigação;
- necessidade de análise adicional;
- recusa, conforme critérios internos e impedimentos aplicáveis.
A decisão não deve se limitar a um “aprovado” ou “reprovado”. Uma inconsistência pode ser resolvida com documentação adicional; um vínculo pode exigir controle específico; outro achado pode ser incompatível com os critérios internos e impedir o avanço da contratação.
Também é necessário definir quem acompanhará a relação depois da aprovação.
As revisões devem ser proporcionais ao risco: terceiros sujeitos a maior exposição podem exigir acompanhamento mais frequente ou verificações mais profundas, enquanto relações de menor criticidade podem admitir intervalos maiores, conforme os critérios internos adotados.
Além das revisões periódicas, mudança de controle, novos alertas, alteração relevante do contrato ou mudanças relevantes na relação podem justificar uma nova análise antes do ciclo previsto.
Afinal, aprovar um parceiro hoje não significa assumir que seu perfil permanecerá igual durante todo o vínculo.
Uma due diligence de integridade bem documentada permite justificar decisões e perceber quando fatos posteriores exigem nova avaliação.
Como esse trabalho envolve coleta e tratamento de informações sobre empresas e pessoas, o cuidado com os dados também precisa fazer parte do procedimento. Para aprofundar esse aspecto, leia o nosso conteúdo sobre LGPD e due diligence de terceiros.
Artigo escrito por Paula Cidale, gerente de Compliance, privacidade de dados e controles internos.
