Integridade de Fornecedores: Como Auditar Riscos de Corrupção e Fraude

Terceiros podem representar uma empresa diante de clientes, órgãos públicos, comunidades, alfândega e parceiros.

Intermediários, despachantes, consultores e fornecedores podem criar riscos quando:

• realizam pagamentos indevidos;
• ocultam beneficiários;
• manipulam concorrências;
• oferecem vantagens;
• falsificam documentos;
• utilizam agentes públicos;
• superfaturam serviços;
• canalizam recursos;
• mantêm conflitos não declarados.

A Lei nº 12.846/2013 estabelece responsabilidade objetiva administrativa e civil para pessoas jurídicas por atos lesivos praticados em seu interesse ou benefício, exclusivo ou não.

A redação é importante: não é correto afirmar que a empresa responde automaticamente por qualquer irregularidade de qualquer fornecedor. O risco jurídico depende do ato, do vínculo com o interesse ou benefício, das circunstâncias e das normas aplicáveis.

Mesmo assim, diligência e supervisão de terceiros são componentes centrais de um programa de integridade efetivo.

Due diligence, auditoria e monitoramento

Due diligence

Avalia risco antes e durante a relação.

Auditoria de integridade

Examina processos, transações e evidências contra critérios.

Monitoramento

Acompanha mudanças e sinais continuamente.

Um formulário assinado não substitui nenhum dos três.

Abordagem baseada em risco

Critérios:

• interação com setor público;
• intermediário;
• comissão;
• país;
• licença;
• alfândega;
• doação;
• patrocínio;
• beneficiário;
• pagamento;
• subcontratação;
• valor;
• reputação;
• histórico;
• relacionamento.

Terceiros de maior risco exigem maior profundidade e supervisão.

Tipos de terceiros sensíveis

• agentes comerciais;
• despachantes;
• consultores;
• representantes;
• distribuidores;
• parceiros de consórcio;
• fornecedores que obtêm licença;
• intermediários de vendas;
• empresas de facilitação;
• doações e patrocínios;
• fornecedores indicados;
• prestadores em localidades de alto risco.

O nome contratual não define o risco. A atividade real define.

Identidade e beneficiário final

Verifique:

• razão social;
• registro;
• endereço;
• sócios;
• administradores;
• beneficiário final;
• empresas relacionadas;
• contas bancárias;
• conflitos;
• agente público;
• capacidade.

Estruturas opacas não significam irregularidade automática, mas exigem explicação.

Listas e bases externas

Possíveis verificações:

• sanções;
• impedimentos;
• inidoneidade;
• empresas punidas;
• trabalho análogo à escravidão;
• processos;
• mídia;
• pessoas expostas politicamente;
• beneficiários;
• registros públicos.

Cuidados:

• homônimos;
• atualização;
• jurisdição;
• qualidade;
• direito de resposta;
• finalidade;
• proteção de dados.

Um match precisa ser validado antes de decisão.

Interação com o setor público

Perguntas:

• o terceiro representa a empresa?
• solicita licença?
• participa de licitação?
• atua em fiscalização?
• movimenta alfândega?
• possui relação com agentes públicos?
• foi indicado por autoridade?
• cobra success fee?
• quais despesas são reembolsadas?

A combinação de representação, comissão e pouca transparência eleva o risco.

Conflitos de interesse

Possíveis situações:

• parentesco;
• participação societária;
• relacionamento anterior;
• fornecedor indicado;
• comprador com interesse;
• presente;
• emprego futuro;
• atividade paralela.

O processo deve permitir declarar, avaliar, mitigar e registrar.

Pagamentos e red flags

Alertas:

• conta em nome diferente;
• país não relacionado;
• espécie;
• urgência;
• pagamento antecipado sem fundamento;
• comissão elevada;
• descrição genérica;
• nota inconsistente;
• fracionamento;
• crédito para terceiro;
• reembolso sem comprovante;
• serviço impossível de demonstrar.

Red flag não é prova. É gatilho de investigação.

Capacidade e substância

O terceiro precisa demonstrar:

• equipe;
• experiência;
• recursos;
• instalações;
• entregáveis;
• referências;
• metodologia;
• presença.

Empresas de fachada podem possuir documentos regulares e nenhuma capacidade real.

Programa de integridade do fornecedor

A CGU atualizou em 2024 suas diretrizes para programas de integridade de empresas privadas.

Elementos:

• compromisso da direção;
• instância responsável;
• riscos;
• código;
• políticas;
• treinamento;
• controles;
• terceiros;
• denúncias;
• investigação;
• disciplina;
• monitoramento.

A existência precisa ser comprovada por funcionamento, não apenas por documentos.

Terceiros e Decreto nº 11.129/2022

O decreto regulamentador considera, entre os parâmetros de avaliação de programas de integridade, diligências para contratação e supervisão de terceiros, incluindo fornecedores, prestadores, intermediários, despachantes, consultores, representantes e associados.

Isso reforça a necessidade de um processo proporcional ao risco.

Código de conduta

O fornecedor pode:

• receber;
• reconhecer;
• treinar pessoas relevantes;
• incorporar requisitos;
• comunicar violações;
• aplicar a subcontratados.

Assinatura sem treinamento ou supervisão tem valor limitado.

Direito de auditoria

O contrato pode prever acesso a:

• livros;
• registros;
• despesas;
• subcontratos;
• evidências;
• pessoas;
• instalações.

O direito deve ser exercido com escopo, confidencialidade e proporcionalidade.

Auditoria transacional

Testes:

• seleção de fornecedor;
• aprovação;
• contrato;
• nota;
• serviço;
• pagamento;
• conta;
• beneficiário;
• evidência;
• imposto;
• reembolso;
• correspondência;
• subcontratação.

A triangulação entre contrato, entrega e pagamento é central.

Entrevistas

Podem envolver:

• gestor;
• financeiro;
• comercial;
• compliance;
• pessoas operacionais;
• ex-funcionários, quando apropriado e legal.

Perguntas precisam ser abertas e não acusatórias.

Canal de denúncia

Avalie:

• acesso;
• idioma;
• anonimato;
• proteção;
• investigação;
• prazo;
• independência;
• retorno;
• dados;
• subcontratados.

Um canal sem confiança produz poucos sinais.

Investigação

Uma auditoria pode identificar indício, mas investigação exige protocolo específico.

Cuidados:

• preservação;
• privilégio;
• competência;
• independência;
• cadeia de custódia;
• proteção;
• comunicação;
• medidas.

Não confronte suspeitos sem plano.

Remediação

Possíveis medidas:

• suspensão;
• reforço de controle;
• treinamento;
• substituição de pessoa;
• restituição;
• investigação;
• denúncia;
• término;
• monitoramento;
• revisão de processo.

A resposta deve considerar gravidade e legislação.

Monitoramento contínuo

Eventos:

• mudança societária;
• nova PEP;
• sanção;
• investigação;
• conta bancária;
• país;
• subcontratado;
• denúncia;
• pagamento atípico;
• aumento de comissão.

Monitoramento externo deve ser combinado com dados internos.

Tecnologia e IA

Aplicações:

• screening;
• beneficiário;
• transações;
• anomalias;
• documentos;
• mídia;
• relacionamento;
• conflito;
• priorização.

Riscos:

• falso positivo;
• viés;
• dado pessoal;
• fonte não confiável;
• decisão opaca.

A decisão precisa ser explicada e revisada.

Indicadores

• terceiros classificados;
• due diligences;
• alto risco;
• planos;
• treinamentos;
• contratos com cláusulas;
• red flags;
• investigações;
• prazo;
• reincidência;
• subcontratados;
• contas validadas;
• auditorias;
• remediações.

Caso prático: despachante

Um despachante solicita comissão adicional para "agilizar" licença.

A empresa:

1. suspende pagamento;
2. preserva mensagens;
3. verifica contrato;
4. consulta compliance;
5. avalia agentes envolvidos;
6. investiga entregáveis;
7. revisa transações;
8. decide medidas;
9. comunica conforme obrigação;
10. reforça controles.

A urgência operacional não justifica pagamento sem fundamento.

Erros comuns

• afirmar responsabilidade automática por todo fornecedor;
• screening sem validação;
• ignorar beneficiário;
• aceitar conta de terceiro;
• código apenas assinado;
• auditoria sem transações;
• não monitorar intermediário;
• investigação improvisada;
• score como decisão;
• encerrar risco após onboarding.

Como a CapturaMe se conecta a esse cenário

A CapturaMe pode estruturar classificação, diligências, beneficiários, documentos, declarações, contratos, alertas e planos de integridade.

A plataforma ajuda a manter evidência da decisão e do monitoramento, mas não substitui compliance, investigação ou assessoria jurídica.

Conclusão

Integridade de fornecedores exige conhecer quem atua, como é remunerado e quais riscos representa.

A melhor defesa não é uma barreira "intransponível", mas um sistema proporcional, contínuo e capaz de detectar, investigar e remediar desvios antes que se tornem dano maior.

Conheça a CapturaMe para gestão de fornecedores

Perguntas frequentes

A empresa responde por qualquer ato do fornecedor?

Não automaticamente. A Lei 12.846 trata de atos lesivos praticados no interesse ou benefício da pessoa jurídica; o caso exige análise jurídica.

Screening é due diligence?

É uma parte. Due diligence inclui identidade, atividade, capacidade, risco e supervisão.

O que é red flag?

É um sinal que exige análise, não uma prova de corrupção.

Todo fornecedor precisa da mesma análise?

Não. A profundidade deve seguir o risco.

Assinar código de conduta é suficiente?

Não. Treinamento, controles e supervisão também importam.

IA pode reprovar um fornecedor?

Pode sinalizar risco. Decisões materiais exigem revisão e justificativa.