Fornecedores, parceiros e prestadores podem mudar ao longo de uma relação comercial. Por isso, conhecer um terceiro no momento da contratação é importante, mas não é suficiente para administrar os riscos durante todo o relacionamento.
A avaliação de terceiros tornou-se parte relevante dos processos de compliance, integridade e gestão de riscos das organizações. Antes de iniciar uma relação comercial, é cada vez mais comum verificar informações societárias, processos judiciais, sanções, vínculos, situação financeira, reputação e outros fatores que possam representar algum risco para a empresa.
O problema surge quando essa análise é tratada como uma fotografia definitiva.
Uma empresa pode apresentar determinado perfil de risco no momento da contratação e uma realidade completamente diferente meses ou anos depois. Mudanças societárias, novos processos, dificuldades financeiras, alterações reputacionais, conflitos de interesse e indícios de irregularidades podem surgir durante a vigência da relação.
Nesse contexto, a pergunta deixa de ser apenas “quem é esse terceiro?” e passa a ser também “o que mudou desde que começamos a nos relacionar com ele?”.
O limite da análise pontual
Uma reportagem publicada pela Reuters em setembro de 2026 colocou essa discussão em evidência ao abordar as limitações das auditorias realizadas em cadeias globais de fornecedores.
A matéria trata especificamente dos esforços para combater o trabalho forçado e das novas regras da União Europeia, mas traz uma reflexão aplicável à gestão de riscos corporativos de maneira mais ampla: verificações pontuais podem não revelar integralmente a realidade de uma relação comercial.
Segundo a Reuters, críticos dos atuais sistemas de due diligence apontam que algumas avaliações de terceiros podem ser superficiais, realizadas em períodos muito curtos ou incapazes de captar todas as circunstâncias existentes. A reportagem destaca ainda a importância de confrontar diferentes fontes de informação e estabelecer mecanismos de acompanhamento mais contínuos.
A conclusão prática é relevante para qualquer organização que dependa de fornecedores, parceiros, distribuidores, prestadores ou outros terceiros: uma boa análise inicial reduz riscos, mas não elimina a necessidade de acompanhamento posterior.
O risco muda. O processo de controle também precisa mudar.
Imagine um fornecedor que foi devidamente analisado há dois anos.
Naquele momento, não havia fatos relevantes que impedissem a contratação. Desde então, porém, a empresa pode ter alterado seu quadro societário, acumulado passivos, passado a responder a processos relevantes ou estabelecido relações comerciais que modificam sua exposição a determinados riscos.
Nenhuma dessas mudanças necessariamente existia quando a primeira due diligence foi realizada.
É justamente por isso que modelos mais maduros de gestão de terceiros não enxergam a diligência como uma etapa isolada do onboarding. Ela passa a integrar um processo contínuo de identificação, classificação, monitoramento, análise e tratamento de riscos.
Tecnologia e automação têm papel importante nesse processo. Grandes volumes de informações podem ser pesquisados e acompanhados de maneira sistemática, permitindo a identificação de alterações ou sinais que mereçam atenção.
Mas detectar uma informação é diferente de compreender sua relevância.
O alerta é o início da análise, não o fim
Um novo processo judicial, uma mudança societária ou determinado vínculo empresarial não significam, isoladamente, que exista uma irregularidade.
O valor está na capacidade de interpretar o sinal dentro do contexto.
É nesse ponto que a combinação entre tecnologia e análise especializada se torna particularmente relevante. A automação permite trabalhar com escala e identificar alterações. A análise humana permite compreender circunstâncias, avaliar materialidade e decidir se aquele sinal merece apenas acompanhamento ou exige aprofundamento.
Em situações de maior criticidade, pode ser necessário avançar para diligências adicionais, entrevistas, análise documental, investigação corporativa, perícia ou outras medidas.
O objetivo não deve ser investigar tudo.
Deve ser identificar aquilo que realmente justifica investigação.
Essa lógica torna o processo mais eficiente e evita dois extremos igualmente problemáticos: ignorar sinais relevantes ou transformar qualquer alerta em uma investigação desproporcional.
Monitorar não significa desconfiar de todos
Existe ainda uma distinção importante.
Gestão contínua de terceiros não deve ser confundida com vigilância indiscriminada. Um programa adequado precisa estabelecer critérios objetivos para definir o que será acompanhado, quais informações são relevantes, quais situações geram alertas e qual será o tratamento dado a cada nível de risco.
Um sinal de baixa relevância pode simplesmente permanecer sob monitoramento.
Um fato que exija contextualização pode demandar análise especializada.
Indícios materiais podem justificar diligência aprofundada ou investigação.
O importante é que exista uma metodologia capaz de transformar informação em decisão.
Sem essa camada de interpretação, empresas podem acumular enormes quantidades de dados e alertas sem efetivamente melhorar sua capacidade de administrar riscos.
Da due diligence para a gestão contínua de riscos
A discussão apresentada pela Reuters reforça uma mudança importante na forma de enxergar controles corporativos.
Auditorias e verificações continuam sendo instrumentos relevantes. A própria reportagem registra a posição de especialistas que defendem auditorias robustas como uma base importante para avaliar fornecedores. O ponto não é abandoná-las, mas reconhecer que uma avaliação representa a situação observada naquele momento.
Relacionamentos empresariais, por outro lado, são dinâmicos.
Por isso, a evolução natural de um programa de terceiros é sair de uma lógica exclusivamente documental e periódica para uma estrutura capaz de acompanhar mudanças, identificar exceções e aprofundar situações que efetivamente apresentem risco.
A diferença parece pequena, mas modifica profundamente o modelo de controle.
- Due diligence responde quem é o terceiro no momento da análise.
- Monitoramento ajuda a identificar quando esse terceiro muda.
- Análise especializada determina se a mudança importa.
- Investigação esclarece situações críticas.
- E uma estrutura adequada de resposta permite à empresa agir.
É essa integração entre prevenção, tecnologia, inteligência, investigação e capacidade de resposta que transforma dados dispersos em uma verdadeira ferramenta de gestão de riscos.
A ABCR atua nacionalmente, em diferentes etapas desse processo, reunindo gestão de riscos corporativos, prevenção e detecção de fraudes e ataques cibernéticos, investigações internas e externas, perícias em computadores, caixas de emails e celulares corporativos, além de suporte jurídico para situações que exigem aprofundamento e resposta.
Fonte de referência: Reuters, Forced labour: Will the EU’s threat of product bans succeed where supply-chain audits failed?, publicada em 3 de setembro de 2026. Acessar a reportagem da Reuters
