Onboarding, monitoramento e offboarding de fornecedores: o ciclo completo de TPRM

Os três pilares do ciclo de vida do terceiro

A gestão de riscos de terceiros (TPRM) não é um evento isolado. É um processo contínuo que começa quando você identifica um novo fornecedor, prossegue enquanto ele opera sob seu contrato e conclui quando a relação se encerra. Esse ciclo — onboarding, monitoramento e offboarding — é o alicerce de uma governança sólida e rastreável.

Cada etapa tem objetivos, controles e evidências próprias. Pular ou negligenciar qualquer uma delas cria lacunas que expõem a organização a riscos não cobertos, fraudes, vazamento de dados e até violações de conformidade regulatória. Frameworks como o NIST Cybersecurity Framework (disponível em https://www.nist.gov/cyberframework) enfatizam o monitoramento contínuo; e autoridades brasileiras como ANPD, BCB e CGU exigem rastreabilidade em cada etapa.

Onboarding: avaliação de risco inicial, due diligence e habilitação

O onboarding é a porta de entrada. Decide se o fornecedor é apto para fazer negócios com você e em que nível de risco ele será gerenciado.

Etapa 1: Cadastro e classificação de risco

Ao registrar um novo fornecedor no seu sistema, capture informações-chave: nome legal, CNPJ, data de fundação, localização, segmento de negócio e tipo de serviço (crítico, importante ou rotineiro). Com esses dados, atribua um nível de risco inicial: alto, médio ou baixo. Um fornecedor crítico que acessa dados pessoais deve iniciar como risco alto; um prestador de serviços logísticos rotineiros, como risco baixo.

Essa classificação orienta a profundidade da due diligence e frequência de monitoramento. Não submeta todos ao mesmo rigor: seja proporcional.

Etapa 2: Due diligence estruturada

Conduza uma avaliação de risco antes da habilitação. Três blocos de análise são comuns:

1. Conformidade legal: Verificar registro na Receita Federal, sanções (listas da PEP — Pessoas Politicamente Expostas, OFAC ou cadastro negativo), histórico de processos, denúncias fiscais ou trabalhistas.

1. Segurança da informação: Avaliar infraestrutura de TI, criptografia, controle de acessos, planos de continuidade, histórico de incidentes. A ANPD (https://www.gov.br/anpd/pt-br) exige que fornecedores que tratam dados pessoais atendam a requisitos mínimos da LGPD.

1. Governança financeira: Revisão de demonstrações financeiras (se disponível), estabilidade econômica, seguros (responsabilidade civil, ciberseguro) e solidez operacional.

Use questionários estruturados, não conversas informais. Documente todas as respostas e evidências (certificados ISO, atestados, relatórios de auditoria).

Etapa 3: Decisão e habilitação

Consolide os achados em matriz de risco. Se o fornecedor atender aos critérios (ou aceitar planos de ação para remediar desvios), habilite-o formalmente. Se não, rejeite ou solicite ajustes. Registre a decisão e quem a aprovou: isso será auditado.

Monitoramento contínuo: frequência, métricas e gatilhos de escalonamento

Onboarding não é o fim. Fornecedores evoluem, enfrentam crises, mudam de liderança. O monitoramento reduz a ilusão de segurança.

Frequência proporcional ao risco

• Fornecedores críticos: avaliação semestralmente ou trimestral.
• Fornecedores importantes: anual.
• Fornecedores rotineiros: bienal ou sob demanda.

Não é oneroso: automatize varreduras de listas de sanções, monitore demonstrações financeiras públicas, rastreie notícias e redes sociais para sinais de alarme.

Métricas e indicadores de desempenho

Acompanhe:

• Financeiro: Redução de receita, aumento de débitos, mudanças de comando financeiro.
• Operacional: Atrasos de entrega, reclamações de qualidade, falhas de segurança, incidentes relatados.
• Conformidade: Multas regulatórias, violações contratuais, não conformidades em auditorias.
• Segurança: Incidentes de dados, vulnerabilidades divulgadas, mudanças em certificações.

Construa scorecard simples: cada indicador recebe peso, resultado gera score de saúde do fornecedor. Se o score cai abaixo de um limiar, escalone para investigação.

Gatilhos de ação

Defina quando intervir:

• Suspeita de atividade ilícita → investigação imediata, potencial desligamento.
• Indicador de risco sobe de forma material → reunião de risk owners, plano de remediação.
• Certificação vence → solicitação de renovação 60 dias antes.
• Mudança de controlador ou propriedade → re-avaliação rápida.

Documente cada ação: decisão, responsável, data, resultado. A trilha de auditoria é sua prova de que gerenciou riscos ativamente.

Offboarding controlado: transição, retenção de evidências e encerramento de acessos

Quando a relação termina — por vencimento contratual, rescisão ou vendimento —, offboarding deficiente deixa brechas.

Etapa 1: Planejamento de transição

30 a 60 dias antes do encerramento, inicie plano de transição. Se o fornecedor gerencia um processo crítico (folha, dados financeiros, TI), quem assume? Como a entrega é transferida? Em que formato? Evite surpresas.

Comunicar ao fornecedor expectativas finais reduz fricção.

Etapa 2: Retenção de evidências

Garanta que você tenha cópia de tudo que importa: contratos assinados, certificados de segurança, relatórios de auditoria, logs de acessos, registros de incidentes, correspondência sobre riscos, planos de ação.

A LGPD exige que você comprove como e por quanto tempo foram armazenados dados pessoais sob responsabilidade do fornecedor. Sem evidências, você não consegue demonstrar conformidade ao regulador.

Etapa 3: Encerramento de acessos e remoção de dados

Isso é operacional mas crítico:

• Revogar acesso de VPN, e-mail, sistemas.
• Recuperar ativos físicos: laptops, tokens, chaves.
• Solicitar confirmação por escrito de deleção de dados (ou confirmação de que não retém cópia).
• Desativar contas de e-mail e repositórios.

Coordene com segurança da informação, facilities e TI. Não deixe pendências.

Etapa 4: Arquivo e encerramento formal

Feche o arquivo do fornecedor. Registre data de encerramento, motivo, responsável. Mantenha cópia segura de documentação por pelo menos sete anos — exigência comum de reguladores e boas práticas.

Envie confirmação final ao fornecedor, com cópia para arquivo.

Checklist integrado para cada etapa do ciclo

Onboarding

• [ ] Fornecedor cadastrado com informações completas.
• [ ] Risco inicial atribuído.
• [ ] Due diligence conduzida e documentada.
• [ ] Matriz de risco consolidada.
• [ ] Aprovação formal registrada.
• [ ] Contrato assinado com cláusulas de conformidade, confidencialidade e segurança.
• [ ] Contatos técnicos e comerciais cadastrados.

Monitoramento

• [ ] Monitoramento agendado (calendário).
• [ ] Varredura de sanções realizada.
• [ ] Scorecard de saúde calculado.
• [ ] Qualquer gatilho escalonado para investigação.
• [ ] Ação registrada na trilha de auditoria.
• [ ] Revisão anual consolidada documentada.

Offboarding

• [ ] Plano de transição criado 60 dias antes.
• [ ] Sucessor identificado.
• [ ] Evidências coletadas e arquivadas.
• [ ] Acessos revogados formalmente.
• [ ] Deleção de dados confirmada por escrito.
• [ ] Ativos recuperados.
• [ ] Encerramento formal registrado.

Como rastrear conformidade com reguladores

Reguladores como ANPD, BCB e CGU cada vez mais exigem que você comprove gestão ativa de riscos de terceiros. Aqui estão os pontos de atenção:

LGPD e proteção de dados (ANPD)

Fornecedores que processam dados pessoais são "operadores" conforme a LGPD. Você precisa:

• Documentar contrato com cláusulas de confidencialidade e segurança.
• Avaliar conformidade com LGPD antes de habilitar.
• Monitorar incidentes de dados.
• Demonstrar diligência se houver vazamento.

Regulações do BCB (sistema financeiro)

Se você opera em seguros, crédito ou pagamentos, o BCB exige TPRM estruturada. Isso inclui:

• Avaliação de risco antes de onboarding.
• Monitoramento contínuo.
• Plano de continuidade para prestadores críticos.

Integridade (CGU e Lei Anticorrupção)

A CGU (https://www.gov.br/cgu/pt-br) espera que você controle reputação de fornecedores e evite relações com agentes corruptos. Mantenha documentação de:

• Verificação de listas de PEP.
• Investigações de risco reputacional.
• Ações tomadas se desvios forem descobertos.

Referências internacionais

O NIST (https://www.nist.gov/cyberframework) e a CISA (https://www.cisa.gov/resources-tools/groups/ict-supply-chain-risk-management-task-force) fornecem guidelines para gestão de risco de cadeia de suprimentos. Alinhar sua TPRM a esses padrões não é obrigatório no Brasil, mas melhora sua postura e é apreciado por auditores internos e externos.

Conclusão

Onboarding, monitoramento e offboarding não são tarefas administrativas isoladas — são pilares de uma TPRM que funciona. Cada etapa reduz riscos, melhora visibilidade e cria evidência de conformidade. A chave é consistência, documentação e proporcionalidade.

Comece por mapear seus fornecedores atuais, atribua riscos, defina frequência de monitoramento e implemente gatilhos. Depois, para novos fornecedores, siga o ciclo. Em seis meses, você terá cobertura de risco muito mais sólida.