DUE DILLIGENCE de fornecedores é o processo estruturado para verificar riscos financeiros, legais, reputacionais, compliance e ESG antes de homologar (e durante a vigência do contrato). Na prática, você aplica um checklist por camadas (identidade e documentação, integridade, capacidade operacional, segurança da informação, sustentabilidade, saúde financeira e histórico) e transforma evidências em um score de risco com decisões claras: aprovar, aprovar com condicionantes, ou bloquear.
O que é DUE DILLIGENCE de fornecedores e quando aplicar
DUE DILLIGENCE de fornecedores é a disciplina que coloca método onde normalmente existe improviso: validar se um fornecedor é quem diz ser, se consegue entregar o que promete e se não expõe sua empresa a riscos que vão de fraude e sanções a incidentes de dados e passivos ambientais.
No contexto de procurement digital e gestão de fornecedores, due diligence não é apenas uma etapa “antes de assinar”. Ela funciona melhor como um ciclo: entrada (homologação), contratação (condições e evidências), execução (monitoramento) e renovação (reavaliação). Isso combina com a proposta de plataformas que estruturam compras, trilha de auditoria e governança para setor privado e público.
Quando aplicar (regra prática):
Antes de homologar qualquer fornecedor novo (mínimo obrigatório).
Antes de contratar serviços críticos (TI, dados, logística, facilities, terceirização).
Antes de ampliar escopo (aumento de volume, inclusão de unidades, novos países).
A cada renovação ou quando houver evento de risco (mídia, denúncia, mudança societária).
Em compras públicas e ambientes regulados, onde a rastreabilidade e a conformidade precisam ficar demonstráveis.
“Due diligence boa é a que reduz incerteza, registra evidências e torna a decisão defensável em auditoria.”
Por que a due diligence falha na prática
Mesmo equipes maduras erram por três motivos:
Checklist genérico: pedem documentos, mas não conectam isso a risco, criticidade e decisão.
Evidência sem governança: arquivos dispersos, sem trilha, sem responsável, sem periodicidade.
Tudo vira “alto risco”: quando o modelo não tem pesos, qualquer achado paralisa a compra ou passa despercebido.
O caminho mais eficiente é tratar DUE DILLIGENCE como um modelo de decisão e não como um “pacote de documentos”.
Mapa de riscos: o que você precisa cobrir
Para um texto completo e realmente útil (e otimizado para SEO), o conteúdo precisa mapear riscos em camadas, do básico ao avançado:
Risco legal e cadastral: identidade, poderes, regularidade, sanções, conflitos.
Risco de integridade e anticorrupção: histórico, terceiros, políticas, denúncias.
Risco de dados e cibersegurança: acesso, controles, incidentes, privacidade.
Risco ESG: trabalho digno, meio ambiente, cadeia estendida, governança e transparência.
Risco reputacional: mídia, litigância recorrente, conduta de executivos.
Isso conversa diretamente com práticas de gestão de fornecedores, homologação e SRM, que costumam estar no centro de plataformas e rotinas modernas de compras.
Checklist completo de DUE DILLIGENCE por blocos
Abaixo está um checklist pensado para uso real: você pode aplicar “por blocos” conforme criticidade (baixa, média, alta) e tipo de fornecimento (produto, serviço, serviço crítico).
1) Identidade, cadastro e legitimidade (base mínima)
Aqui você busca provar: quem é, quem assina, e se existe lastro jurídico.
Itens recomendados:
Dados cadastrais e societários (razão social, CNPJ/registro equivalente, endereço, quadro societário).
Representantes legais e poderes de assinatura (procurações, atos societários).
Estrutura do grupo (controladas, coligadas, beneficiário final quando aplicável).
Certidões e regularidade fiscal/trabalhista conforme política interna.
Declaração de conflitos de interesse e relacionamento com partes relacionadas.
Se você já trabalha com lógica de cadastro e qualificação de fornecedores, o ganho aqui é padronizar campos e anexos para reduzir retrabalho no onboarding.
2) Integridade, anticorrupção e sanções
Objetivo: reduzir risco de fraude, suborno, sanções e impedimentos.
O que checar:
Questionário de integridade (programa de compliance, canal de denúncias, treinamentos).
Política anticorrupção e brindes/hospitalidades (ou declaração de adesão às suas regras).
Pesquisa de sanções e listas restritivas aplicáveis (nacionais e internacionais, conforme exposição).
Histórico de fraudes, processos relevantes e investigações públicas quando aplicável.
Terceiros do fornecedor (representantes comerciais, despachantes, intermediários) e como são geridos.
Cuidado: o erro comum é coletar “declaração” e parar aí. O ideal é exigir evidência proporcional: política, comunicação interna, rastros de treinamento, e governança mínima.
3) Capacidade operacional e qualidade de entrega
Objetivo: garantir que o fornecedor entrega com consistência.
Processos de qualidade (inspeção, rastreabilidade, controle de não conformidades).
SLAs e indicadores históricos (OTIF, prazo, retrabalho, devoluções, disponibilidade).
Plano de continuidade (BCP/DRP quando crítico), redundâncias, plano de contingência.
Subcontratação: quem executa de fato, como controla, quais limites contratuais.
Em serviços críticos, “capacidade” não é o discurso comercial: é evidência (times, processos, histórico, contingência).
4) Segurança da informação e privacidade (quando há dados ou acesso)
Objetivo: evitar incidente de dados, indisponibilidade e passivo regulatório.
Perguntas-chave (com evidência):
O fornecedor acessa dados pessoais, dados sensíveis ou dados estratégicos?
Existem controles de acesso (MFA, segregação), logs e gestão de vulnerabilidades?
Há política de retenção e descarte de dados?
Histórico de incidentes e como respondeu (sem exposições desnecessárias, mas com seriedade).
Termos de privacidade, suboperadores e local de processamento, quando aplicável.
Mesmo quando sua empresa não é “tech”, fornecedores de marketing, atendimento, logística e SaaS podem tocar dados. A due diligence precisa refletir isso.
5) ESG e cadeia estendida (o “E” e o “S” que mais geram surpresa)
Objetivo: reduzir risco de passivo ambiental e trabalhista, e alinhar compras à governança ESG.
O que pedir e como validar:
Política ESG ou compromisso formal com princípios (trabalho digno, não discriminação).
Evidências trabalhistas: prática de saúde e segurança, gestão de terceiros, jornada.
Critérios ambientais: resíduos, emissões relevantes, licenças quando aplicável, conformidade local.
Cadeia estendida: o fornecedor subcontrata? possui critérios mínimos para seus próprios terceiros?
Transparência: relatórios, certificações aplicáveis (quando fizer sentido), e metas.
Matriz de risco e score: como transformar evidência em decisão
A diferença entre “coletar documentos” e fazer DUE DILLIGENCE de verdade é a decisão reproduzível. A forma mais simples é usar uma matriz com três componentes:
Criticidade do fornecedor (impacto no negócio se falhar).
Probabilidade do risco (quão plausível é acontecer).
Maturidade de controles (o que o fornecedor prova que faz).
Exemplo de categorias e evidências (tabela de referência)
Categoria
Exemplos de risco
Evidência mínima
Evidência avançada
Integridade
suborno, fraude, sanções
declaração + política
treinamentos, canal, due diligence de terceiros
Operacional
atraso, qualidade, ruptura
histórico de entregas
BCP/DRP, auditoria de processo, KPIs recorrentes
Dados
vazamento, indisponibilidade
controles de acesso
gestão de vulnerabilidades, incident response testado
ESG
trabalho irregular, passivo ambiental
compromisso formal
evidências, metas, auditorias, critérios para subfornecedores
Financeiro
quebra, inadimplência
indicadores básicos
análise de continuidade, garantias, seguros
Modelo de score prático (sem “matemática demais”)
Você pode pontuar cada bloco de 0 a 3:
0: não apresentou evidência ou achado crítico
1: evidência parcial, lacunas relevantes
2: evidência suficiente para o nível de risco
3: evidência robusta e governança demonstrável
Depois aplica pesos por criticidade (ex.: dados e integridade pesam mais para fornecedor de TI do que para fornecedor de insumo simples). O resultado não é “nota bonita”: é decisão.
Recomendação: evite “aprovar/reprovar” binário. Crie a terceira via: aprovar com condicionantes e prazo de correção.
Fluxo recomendado: do onboarding ao monitoramento contínuo
Um fluxo enxuto, compatível com operações de compras e plataformas digitais, costuma ter 6 etapas:
Triagem por criticidade Classifique: baixo, médio, alto. Defina quais blocos do checklist entram em cada nível.
Coleta estruturada e evidências Use questionário padrão + anexos obrigatórios. Evite receber “por e-mail” sem controle.
Validação e checagens externas Aqui entram listas restritivas, validações de registro, e consistência do que foi declarado.
Score e decisão Aprovar, aprovar com condicionantes, bloquear. Registre justificativa.
Contrato com condicionantes Cláusulas, SLAs, auditoria, proteção de dados, subcontratação, CAPA.
Monitoramento contínuo Periodicidade por criticidade: trimestral, semestral, anual. Gatilhos por evento (mudança societária, denúncia, incidente, mídia).
Se seu processo inclui cotação e participação de fornecedores em ambiente digital, a lógica é a mesma: padronizar entradas, registrar fases e tornar auditável.
Leitura complementar alinhada ao tema de base de fornecedores e relacionamento:
Não exatamente. Homologação é o “resultado” (apto ou não, com regras). DUE DILLIGENCE é o “método” de investigação e validação que sustenta a homologação com evidências e critérios.
Preciso fazer due diligence completa para todo fornecedor?
Não. O mais eficiente é por criticidade. Fornecedor de item simples entra no básico; fornecedor crítico entra no pacote completo (integridade, dados, ESG, continuidade).
O que é um achado “bloqueante” em due diligence?
Depende da sua política, mas normalmente são achados como: sanção aplicável, fraude comprovada, recusa em fornecer evidências mínimas, inconsistência grave de identidade, ou risco inaceitável em dados para fornecedores que processam informações sensíveis.
ESG entra mesmo em due diligence ou é só “diretriz”?
Entra, principalmente quando existe risco trabalhista, ambiental ou reputacional no escopo e na cadeia estendida. A diferença está em pedir evidência proporcional e transformar isso em condicionantes contratuais e monitoramento.
Como evitar burocracia e ainda manter rigor?
Padronize questionário, nivele por criticidade, defina score e automatize periodicidade. O objetivo não é “pedir mais”, é pedir melhor.
Como começar hoje?
Se você quiser iniciar agora, sem reinventar o processo, faça nesta ordem:
Defina 3 níveis de criticidade e quais blocos do checklist cada um exige.
Crie um questionário único com anexos obrigatórios por nível.
Implemente um score simples (0 a 3) por bloco e regras de decisão.
Transforme achados em condicionantes contratuais e prazos de correção.
Institua monitoramento contínuo e indicadores de cobertura, prazo e incidentes.
Esse é o núcleo para um programa de DUE DILLIGENCE de fornecedores que realmente reduz risco, melhora governança e ainda acelera compras, porque elimina improviso e retrabalho no ciclo inteiro.