Existe uma cena bastante comum na rotina de Compliance: chega uma solicitação de due diligence, alguém pesquisa o nome da empresa no Google, verifica algumas listas, encontra ou não uma notícia negativa e, depois de alguns minutos, surge a conclusão de que “não foi identificado nenhum risco”.
Sempre que vejo esse tipo de situação, penso que talvez estejamos confundindo pesquisa com diligência.
Pesquisar informações é uma parte importante do processo. Mas conhecer um terceiro exige muito mais do que isso.
A due diligence de terceiros, para mim, começa justamente quando deixamos de olhar apenas para aquilo que está na superfície.
Quem é essa empresa? Quem são seus sócios? Quem é o beneficiário efetivo? Qual é a sua relação com o mercado em que atua? Qual será exatamente o serviço prestado? Quem, dentro dessa empresa, terá contato com a organização? Existe alguma relação com agentes públicos? A remuneração é compatível com o serviço? A estrutura societária faz sentido? Existem informações negativas relevantes sobre os envolvidos?
Essas perguntas não são necessariamente aplicáveis da mesma forma a todos os terceiros. E essa é uma das primeiras coisas que considero importantes quando falamos de due diligence: não existe um único nível de diligência adequado para todas as relações.
Um fornecedor de baixo risco não deveria necessariamente passar pelo mesmo processo de avaliação destinado a um intermediário que atuará em nome da empresa perante órgãos públicos, por exemplo.
Parece óbvio, mas ainda encontramos programas de Compliance que tratam a due diligence como um grande checklist.
Documento recebido. Consulta realizada. Declaração assinada. Aprovado.
O problema é que o risco não costuma obedecer a checklists.
Uma empresa pode apresentar toda a documentação solicitada e ainda assim representar um risco relevante. Da mesma forma, uma notícia negativa não significa automaticamente que um terceiro deve ser rejeitado.
É necessário interpretar as informações.
Esse talvez seja um dos pontos mais importantes para quem trabalha com Compliance: a qualidade de uma due diligence não está apenas na quantidade de informações coletadas, mas na capacidade de transformar essas informações em uma avaliação de risco.
Imagine, por exemplo, uma empresa com uma estrutura societária extremamente complexa, diversas alterações recentes no quadro societário, pouca clareza sobre seu beneficiário efetivo e uma relação comercial que envolve pagamentos elevados por serviços pouco definidos.
Nenhum desses elementos, isoladamente, necessariamente significa que existe uma irregularidade.
Mas a combinação deles merece perguntas.
E Compliance, muitas vezes, começa justamente com uma boa pergunta.
Outro erro comum é tratar mídia negativa como uma espécie de sentença.
Encontrar uma notícia sobre determinada empresa ou pessoa não significa, por si só, que aquela relação deve ser encerrada. É preciso compreender o que aconteceu, quando aconteceu, quem estava envolvido, qual foi o desfecho e qual é a relação daquele fato com o risco que estamos avaliando.
Da mesma forma, não encontrar nenhuma notícia negativa não significa que o risco inexiste.
Ausência de informação não é sinônimo de ausência de risco.
Essa percepção é especialmente importante quando falamos de terceiros que podem expor a empresa a riscos de corrupção, fraude, lavagem de dinheiro, conflitos de interesses ou outras condutas incompatíveis com seus padrões de integridade.
Uma boa due diligence não deveria ter como objetivo simplesmente encontrar um motivo para aprovar ou reprovar alguém. Seu objetivo deveria ser permitir que a empresa tome uma decisão consciente sobre aquele relacionamento.
Às vezes, a conclusão será não contratar.
Em outras situações, será contratar mediante determinadas medidas de mitigação.
Pode ser necessária uma cláusula contratual específica, treinamento, monitoramento periódico, aprovação por uma instância superior ou uma nova diligência depois de determinado período.
E, em alguns casos, a conclusão será simplesmente seguir com o relacionamento porque, depois de analisados os elementos disponíveis, o risco é considerado aceitável.
Isso também é Compliance.
Um programa de integridade não existe para eliminar todo e qualquer risco. Isso seria impossível.
Ele existe para identificar, avaliar, tratar e monitorar riscos de forma coerente com a realidade da organização.
Por isso, gosto de pensar que a due diligence é menos sobre “investigar” e mais sobre compreender relações.
A pergunta não deveria ser apenas “quem é esse terceiro?”. Deveríamos perguntar também: “o que estamos permitindo que esse terceiro faça dentro ou em nome da nossa organização?”.
Essa mudança de perspectiva altera completamente a análise.
Quanto maior a exposição, maior deve ser a profundidade da diligência.
Um terceiro que terá acesso a informações sensíveis, representará a empresa perante autoridades, movimentará recursos relevantes ou atuará em mercados considerados de maior risco merece uma análise diferente de um fornecedor que presta um serviço operacional simples e de baixo impacto.
Conhecer o terceiro, portanto, não é uma etapa isolada do processo de contratação.
É parte da gestão do relacionamento.
E talvez seja justamente aí que esteja a diferença entre uma due diligence meramente documental e uma due diligence realmente orientada a risco.
No final, não acredito que o objetivo de uma boa due diligence seja encontrar respostas rápidas.
É criar condições para que a empresa faça perguntas melhores antes de tomar decisões importantes.
Porque Compliance não deveria ser a área que simplesmente diz “pode” ou “não pode”.
Deveria ser a área que ajuda a organização a entender o risco por trás de cada decisão.
Conheça a Gestão Estratégica de Terceiros – Integridade, Sustentabilidade e Due Diligence
