Como fazer due diligence de fornecedores: passo a passo

O que é due diligence de fornecedores

Due diligence de fornecedores é a verificação estruturada dos riscos de um terceiro antes e durante a relação comercial. Ela combina informações declaradas, documentos, evidências e análise para apoiar decisões de contratação, continuidade, remediação ou aceite de risco. É uma das etapas centrais de um programa de gestão de riscos de terceiros.

Uma diligência bem feita não é um obstáculo burocrático: ela dá à área de negócio a segurança de contratar sabendo exatamente quais riscos está aceitando e sob quais condições.

Passo a passo da due diligence

1. Defina o escopo por criticidade

Antes de perguntar qualquer coisa, determine o risco inerente do fornecedor: que dados ele acessa, qual serviço presta, qual a exposição. Isso define quais perguntas, documentos e aprovadores são necessários. Um questionário único para todos gera esforço desproporcional e cobertura irregular.

2. Colete respostas e evidências

Convide o fornecedor a responder e anexar evidências em um fluxo controlado, sem troca de arquivos dispersa por e-mail. Cada resposta que exige comprovação deve ter a evidência vinculada — política de segurança, certificação, relatório de continuidade — na própria pergunta.

3. Revise resposta por resposta

Analise cada resposta com critério, solicite complementos quando necessário e registre comentários e conclusões com autoria. A revisão é onde a diligência agrega valor: é o momento de verificar se a evidência sustenta a resposta e se os controles são adequados ao risco.

4. Decida e acompanhe

Cada achado precisa de uma decisão clara: solicitar complemento, criar plano de ação, aprovar com condição, registrar exceção ou rejeitar. Emita o parecer, formalize condições e monitore planos de ação e validade de evidências. Pendências não podem morrer no e-mail.

Temas que a avaliação costuma cobrir

• Segurança da informação e maturidade cibernética.
• Privacidade e LGPD, quando o terceiro trata dados pessoais.
• Continuidade de negócios e planos de recuperação.
• Compliance, integridade e requisitos regulatórios.
• Aspectos financeiros e de subcontratação.

O escopo deve ser proporcional ao risco inerente — o mesmo princípio que orienta a matriz de risco de fornecedores. Para terceiros que tratam dados pessoais, vale conferir também o guia de LGPD e gestão de fornecedores.

Erros comuns a evitar

• Solicitações genéricas que não correspondem ao serviço prestado.
• Complementos e novas versões espalhados em conversas de e-mail.
• Achados sem responsável, prazo ou evidência de conclusão.
• Diligência tratada como evento único, sem reavaliação ao longo do contrato.