O que é devida diligência de integridade em terceiros e como fazer antes de contratar fornecedor ou parceiro

Contratar um representante comercial, fechar parceria com um intermediário ou homologar um novo fornecedor são momentos de risco real de integridade. Se esse terceiro cometer ou facilitar um ato de suborno em nome da sua empresa, a responsabilidade pode recair sobre você — inclusive juridicamente, como prevê a Lei Anticorrupção brasileira (Lei 12.846/2013). A devida diligência de integridade existe exatamente para reduzir essa exposição antes que o dano aconteça.

O que é devida diligência de integridade

Devida diligência (due diligence) de integridade é a avaliação sistemática e proporcional ao risco de um parceiro de negócios — fornecedor, agente, intermediário, consultor, distribuidor — antes de estabelecer ou renovar um relacionamento comercial.

A ISO 37001, norma internacional de sistemas de gestão antissuborno (em sua 2ª edição, publicada em fevereiro de 2025), trata a devida diligência como um requisito central. O raciocínio é direto: suborno pode ocorrer de forma indireta, por meio de terceiros agindo em nome da organização. Sem verificar quem você está contratando, você não controla o risco que está assumindo.

Importante delimitar: a ISO 37001 trata especificamente de suborno — a vantagem indevida oferecida ou recebida para influenciar uma decisão. Fraude, cartel e lavagem de dinheiro são riscos correlatos, mas distintos. A devida diligência de integridade tem foco no risco de suborno, embora controles bem desenhados costumem ajudar a mitigar outros riscos também.

Por que isso importa para uma PME

Você pode pensar: "isso é coisa de multinacional". Não necessariamente. Qualquer empresa que:

• usa representantes para acessar clientes governamentais,
• opera em setores com licenças e fiscalização frequente (construção, transporte, saúde, alimentos),
• integra cadeias de fornecimento de grandes compradores,
• tem sócios ou agentes em regiões ou mercados de maior risco,

…tem exposição real. E, cada vez mais, grandes compradores exigem evidências de que seus fornecedores têm controles de integridade — inclusive sobre quem esses fornecedores contratam.

Como fazer na prática: um processo proporcional ao risco

A lógica central é proporcionalidade: quanto maior o risco, mais aprofundada a verificação. Nem toda contratação exige o mesmo nível de escrutínio. Uma compra pontual de material de escritório é diferente de contratar um agente para intermediar contratos públicos.

Passo 1 — Classifique o risco antes de começar

Antes de pedir qualquer documento, responda:

• Esse terceiro vai interagir com agentes públicos em meu nome?
• Ele opera em setor ou região com histórico de corrupção?
• Ele é intermediário ou agente (recebe comissão sobre negócios fechados)?
• O valor ou volume do contrato é relevante?
• Existe pressão para fechar rápido, sem transparência sobre a estrutura de pagamento?

Quanto mais "sim", mais aprofundada deve ser a diligência.

Passo 2 — Verifique informações básicas (todo terceiro crítico)

Para qualquer fornecedor ou parceiro classificado como relevante, cheque:

• Existência e regularidade: CNPJ ativo, quadro societário, endereço verificável.
• Listas de restrições: CEIS, CNEP (cadastros de empresas sancionadas e inidôneas), OFAC se houver operação internacional.
• Histórico público: pesquisa em fontes abertas sobre envolvimento em escândalos, processos, investigações.
• Conflito de interesses: sócios ou representantes com vínculos com agentes públicos relevantes para o contrato.

Passo 3 — Aprofunde para terceiros de alto risco

Agentes, intermediários e consultores que recebem comissão sobre negócios com o setor público merecem verificação adicional:

• Declaração formal de que não praticará suborno em nome da sua empresa.
• Comprovação de que a remuneração proposta é compatível com o serviço real prestado (comissões desproporcionais são sinal de alerta clássico).
• Referências verificáveis de outros clientes.
• Estrutura societária transparente — beneficiário final identificável.
• Em casos de risco elevado: relatório de background check conduzido por empresa especializada.

Passo 4 — Formalize no contrato

A devida diligência não termina na assinatura — ela deve estar refletida no contrato. Cláusulas mínimas recomendadas pela lógica da ISO 37001 e de programas antissuborno robustos incluem:

• Proibição expressa de suborno, com definição clara do que isso significa.
• Obrigação de o terceiro reportar qualquer solicitação ou oferta de vantagem indevida.
• Direito de auditoria ou acesso a informações relevantes.
• Rescisão por descumprimento das obrigações de integridade.
• Exigência de que o terceiro aplique padrões equivalentes aos seus próprios subcontratados críticos.

Passo 5 — Monitore durante o relacionamento

Diligência feita uma vez e esquecida não é controle — é protocolo de papel. Revisite periodicamente, especialmente se:

• O contrato for renovado ou ampliado.
• Houver mudança no quadro societário do terceiro.
• Surgirem alertas em fontes públicas.
• O terceiro passar a atuar em novo escopo com maior exposição.

Erros comuns

Fazer diligência só para cumprir formulário. O objetivo é identificar risco real, não colecionar documentos. Se a análise não informa nenhuma decisão, ela não está funcionando.

Tratar todos os terceiros da mesma forma. Aplicar o mesmo questionário extenso para o fornecedor de café e para o agente que negocia contratos públicos desperdiça recursos e deixa o risco real sem atenção proporcional.

Confundir política com programa. Ter uma cláusula antissuborno no contrato não é o mesmo que ter um processo de verificação. Programas de integridade sérios — como avaliados pelos Princípios da Transparência Internacional para combate ao suborno — conectam avaliação de risco a controles reais, treinamento, canais de denúncia e monitoramento contínuo.

Ignorar o beneficiário final. Empresas com estrutura societária opaca ou com camadas de intermediários merecem atenção redobrada. A identidade de quem realmente se beneficia do contrato é informação relevante.

O que aprofundar

• ISO 37001:2025 é a referência técnica mais completa para sistemas de gestão antissuborno. É certificável, o que significa que uma organização pode obter verificação independente de seus controles.
• Lei 12.846/2013 (Lei Anticorrupção) define responsabilidade objetiva da pessoa jurídica e valoriza a existência de programas de integridade na dosimetria de sanções — consulte um profissional jurídico para entender as implicações para o seu caso.
• GRI 205 e ESRS G1 são os principais padrões de reporte sobre anticorrupção — úteis se sua empresa precisa divulgar práticas de integridade para clientes ou investidores.
• ISO 37002 trata de sistemas de gestão para canais de denúncia (whistleblowing), complemento natural à ISO 37001.

A devida diligência de integridade não elimina o risco — nenhum controle elimina. Mas ela cria evidência de que a organização agiu com cuidado razoável, e isso faz diferença perante reguladores, compradores e parceiros que levam governança a sério.