--- title: "Due Diligence de Fornecedores: o checklist baseado na Lei Anticorrupção" description: "Checklist prático de due diligence para novos fornecedores: o que verificar, como classificar risco e o que a Lei 12.846/2013 exige antes de assinar o contrato." image: https://blog.vaas.com.br/hubfs/Imported_Blog_Media/Artigo_Blog_DD_Fornecedores_VAAS.webp --- [![VAAS](https://blog.vaas.com.br/hubfs/assets/logos/logo-vaas-preto-azul.png)](https://vaas.com.br/) Plataforma A plataforma · 5 módulos [![](https://blog.vaas.com.br/hubfs/assets/icons/icon-dashboard.svg) Workflows Orquestra dados, regras, agentes IA e mesa em fluxos auditáveis. Sem deploy a cada nova regra.](https://vaas.com.br/produto) [![](https://blog.vaas.com.br/hubfs/assets/icons/icon-user-check.svg) Mesa de Decisão Fila, alçada, dossiê e comitê numa só tela. Humano e IA decidem juntos, com trilha completa.](https://vaas.com.br/produto/mesa) [![](https://blog.vaas.com.br/hubfs/assets/icons/icon-chart-dotted.svg) Inteligência Artificial Agentes de risco que leem o dossiê, votam ao lado do analista e justificam a decisão.](https://vaas.com.br/produto/ia) [![](https://blog.vaas.com.br/hubfs/assets/icons/icon-monitor-shield.svg) Central de Riscos Monitoramento contínuo de pessoas e empresas. Reanálise automática quando algo muda no alvo.](https://vaas.com.br/produto/central-riscos) [![](https://blog.vaas.com.br/hubfs/assets/icons/icon-cloud-network.svg) DataHub +40 bureaus integrados. crédito, identidade, antifraude e jurídico. em variáveis tipadas.](https://vaas.com.br/datahub) [Visão geral da plataforma](https://vaas.com.br/plataforma) Soluções Soluções · por área de risco [![](https://blog.vaas.com.br/hubfs/assets/icons/icon-clipboard-check.svg) Compliance Conheça quem entra na sua operação. clientes, fornecedores, parceiros e times. Dossiê auditável em segundos.](https://vaas.com.br/solucoes/compliance) [KYC](https://vaas.com.br/solucoes/compliance?mod=kyc#mapa) [KYS](https://vaas.com.br/solucoes/compliance?mod=kys#mapa) [KYP](https://vaas.com.br/solucoes/compliance?mod=kyp#mapa) [KYE](https://vaas.com.br/solucoes/compliance?mod=kye#mapa) [Mercado Externo](https://vaas.com.br/solucoes/compliance?mod=me#mapa) [Mídias Adversas](https://vaas.com.br/solucoes/compliance?mod=ma#mapa) [![](https://blog.vaas.com.br/hubfs/assets/icons/icon-fingerprint.svg) Prevenção a Fraudes Identidade validada, transações monitoradas, contestações resolvidas. num motor único de risco.](https://vaas.com.br/solucoes/fraude) [Onboarding & Identidade](https://vaas.com.br/solucoes/fraude?mod=onboarding#frentes) [Pix & Transacional](https://vaas.com.br/solucoes/fraude?mod=pix#frentes) [Mula & Rede](https://vaas.com.br/solucoes/fraude?mod=mula#frentes) [DMHO & Sinistro](https://vaas.com.br/solucoes/fraude?mod=sinistro#frentes) [AML & Cripto](https://vaas.com.br/solucoes/fraude?mod=aml#frentes) [![](https://blog.vaas.com.br/hubfs/assets/icons/icon-credit-card.svg) Crédito Originação, score e mesa de decisão para todas as carteiras. PF, CLT, PJ e Seguro Garantia.](https://vaas.com.br/solucoes/credito) [Consignado PF](https://vaas.com.br/solucoes/credito?mod=consig#carteiras) [CLT](https://vaas.com.br/solucoes/credito?mod=clt#carteiras) [Seguro Garantia](https://vaas.com.br/solucoes/credito?mod=sg#carteiras) [Crédito PJ](https://vaas.com.br/solucoes/credito?mod=pj#carteiras) Conheça a VAAS Institucional · a empresa [![](https://blog.vaas.com.br/hubfs/assets/icons/icon-building.svg) Sobre Nós Quem somos, como pensamos e o time por trás da VAAS.](https://vaas.com.br/sobre) [![](https://blog.vaas.com.br/hubfs/assets/icons/icon-user-check.svg) Clientes Histórias de quem decide com a VAAS: o que resolveram e o que dizem.](https://vaas.com.br/clientes) [![](https://blog.vaas.com.br/hubfs/assets/icons/icon-shield-check.svg) Trust Center Certificações SOC 1 e 2, conformidade LGPD, controles monitorados e documentação sob NDA.](https://vaas.com.br/trust-center) [Materiais](https://vaas.com.br/materiais) [Blog](https://blog.vaas.com.br) - [Português](https://blog.vaas.com.br) - [English](https://vaas.com.br/en) [Login](https://app.vaas.live/) [Agendar reunião →](https://vaas.com.br/agendar) [Início](https://vaas.com.br/) Plataforma [![](https://blog.vaas.com.br/hubfs/assets/icons/icon-dashboard.svg) Workflows Fluxos auditáveis, sem deploy. →](https://vaas.com.br/produto) [![](https://blog.vaas.com.br/hubfs/assets/icons/icon-user-check.svg) Mesa de Decisão Fila, alçadas e dossiê. →](https://vaas.com.br/produto/mesa) [![](https://blog.vaas.com.br/hubfs/assets/icons/icon-chart-dotted.svg) Inteligência Artificial Agentes que decidem ao seu lado. →](https://vaas.com.br/produto/ia) [![](https://blog.vaas.com.br/hubfs/assets/icons/icon-monitor-shield.svg) Central de Riscos Monitoramento contínuo. →](https://vaas.com.br/produto/central-riscos) [![](https://blog.vaas.com.br/hubfs/assets/icons/icon-cloud-network.svg) DataHub +40 bureaus integrados. →](https://vaas.com.br/datahub) Soluções [![](https://blog.vaas.com.br/hubfs/assets/icons/icon-clipboard-check.svg) Compliance KYC, KYS, KYP, KYE e mais. →](https://vaas.com.br/solucoes/compliance) [![](https://blog.vaas.com.br/hubfs/assets/icons/icon-fingerprint.svg) Prevenção a Fraudes Motor único de risco. →](https://vaas.com.br/solucoes/fraude) [![](https://blog.vaas.com.br/hubfs/assets/icons/icon-credit-card.svg) Crédito Todas as carteiras. →](https://vaas.com.br/solucoes/credito) Institucional [![](https://blog.vaas.com.br/hubfs/assets/icons/icon-building.svg) Sobre Nós →](https://vaas.com.br/sobre) [![](https://blog.vaas.com.br/hubfs/assets/icons/icon-shield-check.svg) Trust Center →](https://vaas.live/trust-center) [![](https://blog.vaas.com.br/hubfs/assets/icons/icon-handshake.svg) Parcerias →](https://vaas.com.br/parcerias) [Materiais](https://vaas.com.br/materiais) [Blog](https://blog.vaas.com.br) [Login](https://app.vaas.live/) [Agendar reunião →](https://vaas.com.br/agendar) [Agendar reunião →](https://vaas.com.br/agendar) [Voltar para o blog](https://blog.vaas.com.br) [Destaques](https://blog.vaas.com.br/tag/destaques) # Due Diligence de Fornecedores: o checklist baseado na Lei Anticorrupção May 14, 2026, 6:06:49 PM · 9 min de leitura · Paulo Tesman ![\Due Diligence de Fornecedores: o checklist baseado na Lei Anticorrupção\](https://blog.vaas.com.br/hubfs/Imported_Blog_Media/Artigo_Blog_DD_Fornecedores_VAAS.webp) Neste artigo Contratar um fornecedor sem due diligence é como abrir uma conta corrente sem checar o CPF. Parece exagero até o dia em que a CGU bate na porta e pergunta quem você conhecia antes de assinar o contrato. A **Lei 12.846/2013**, conhecida como Lei Anticorrupção, responsabiliza as empresas pelos atos de seus fornecedores, representantes e parceiros comerciais. O **Decreto 11.129/2022** reforçou esse entendimento e vinculou a existência de um programa de compliance efetivo à possibilidade de redução de penalidades. O que isso significa para o seu departamento de compliance? Que "fizemos uma pesquisa no Google" não é evidência de diligência. E que planilha compartilhada no Drive não é rastreabilidade. ## O que a Lei 12.846/2013 exige na prática A lei não cria uma lista de verificações obrigatórias. O que ela faz é mais exigente: ela cria **responsabilidade objetiva** para a pessoa jurídica. Isso significa que a empresa responde independentemente de culpa ou dolo, desde que o ato lesivo à administração pública tenha ocorrido no seu interesse ou benefício. O **Decreto 11.129/2022** vai além e estabelece que a existência de um **programa de integridade** estruturado pode reduzir em até **4%** do faturamento bruto do último exercício a multa aplicável. Na prática, o que os órgãos de controle querem ver é: - Evidência de que a empresa conhecia o perfil dos seus fornecedores antes de contratar. - Processo documentado de avaliação, com critérios de risco definidos. - Monitoramento contínuo, não apenas uma verificação no onboarding. - Rastreabilidade: quem aprovou, com base em quê, quando. Se o seu processo de due diligence não gera essas evidências, ele não protege a empresa. Ele apenas dá a sensação de que algo foi feito. ## Por que a maioria das empresas ainda faz due diligence errado O que vemos com mais frequência quando um novo cliente chega até a VAAS com o prazo de uma auditoria no pescoço são três padrões recorrentes: **1. Due diligence pontual, sem monitoramento.** A empresa verifica o fornecedor na contratação e nunca mais. Seis meses depois, o mesmo fornecedor aparece em lista de sanções do OFAC ou tem um sócio indiciado. A empresa não sabe. **2. Processo descentralizado e não auditável.** Cada comprador faz de um jeito. Um consulta no Google, outro pede o contrato social, um terceiro liga para o fornecedor e pergunta se "está tudo certo". Nenhum dos três gera evidência utilizável em auditoria. **3. Escopo insuficiente de verificação.** Muitas empresas checam CNPJ e certidão de débitos federais. Ignoram beneficiários finais, vínculos com Pessoas Politicamente Expostas (**PEP**), processos trabalhistas por trabalho análogo à escravidão ou exposição em listas internacionais como OFAC, UN Sanctions e GAFI. O resultado é um processo que existe no papel, mas não resiste a um dia de auditoria. ## O checklist de due diligence para fornecedores (7 dimensões) Este checklist está organizado por dimensão de risco. Cada fornecedor deve ser avaliado em todos os sete blocos. A profundidade da verificação varia conforme a classificação de risco (detalhada na próxima seção). ### 1. Verificação cadastral e societária - CNPJ ativo e regularidade cadastral na Receita Federal. - Quadro societário completo, incluindo alterações recentes. - Identificação de **beneficiários finais** (controle igual ou superior a 25%). - Verificação de empresas coligadas e relacionadas. - Comprovante de endereço e capacidade operacional (empresa de fachada?). ### 2. Histórico de sanções e listas restritivas - **CEIS** (Cadastro de Empresas Inidôneas e Suspensas — CGU). - **CNEP** (Cadastro Nacional de Empresas Punidas — CGU). - **OFAC SDN List** (Tesouro dos EUA). - **UN Consolidated Sanctions List** (ONU). - **GAFI/FATF** países e territórios de risco. - Listas de sanções da União Europeia e Reino Unido. ### 3. Identificação de PEPs na cadeia de controle **PEP (Pessoa Politicamente Exposta)** é qualquer pessoa que exerce ou exerceu cargo, emprego ou função pública relevante nos últimos 5 anos, bem como seus parentes e colaboradores próximos. Verificar: - Sócios, diretores e procuradores na base de PEPs nacional. - Vínculos familiares de primeiro grau com cargos públicos. - PEPs estrangeiros para fornecedores com operações internacionais. Fornecedor com PEP na cadeia de controle não é automaticamente inelegível, mas exige classificação de risco elevado e aprovação por alçada superior. ### 4. Processos judiciais e administrativos - Ações trabalhistas (atenção especial para alto volume ou padrão de reclamações). - Execuções fiscais e protestos. - Processos administrativos em agências reguladoras setoriais. - Histórico de infrações ambientais (IBAMA, estados). - Condenações por improbidade administrativa. ### 5. Exposição ESG e trabalho análogo à escravidão - Verificação na **Lista Suja do Trabalho Escravo** (MTE/Ministério do Trabalho). - Avaliação de práticas ambientais declaradas vs. autuações registradas. - Fornecedores de segundo nível em cadeias de suprimentos de risco (agronegócio, construção civil, confecção). Relatórios de sustentabilidade e certificações relevantes (quando aplicável). Este bloco é especialmente crítico para empresas que reportam ESG a investidores ou exportam para mercados com exigências de rastreabilidade de cadeia. ### 6. Avaliação de capacidade operacional e financeira - Certidões negativas de débitos: Federal, Estadual, Municipal e FGTS. - Verificação de falência e recuperação judicial. - Capacidade de execução compatível com o escopo contratado. - Referências comerciais de clientes anteriores (quando o risco justifica). ### 7. Monitoramento contínuo pós-contratação Este é o bloco mais frequentemente ignorado e o que mais expõe a empresa. O fornecedor pode entrar limpo e ser incluído em lista de sanções 3 meses depois. Um sócio pode assumir um cargo público. Uma autuação trabalhista pode indicar mudança de comportamento. Monitoramento contínuo significa: - Alertas automáticos de mudanças cadastrais. - Reprocessamento periódico nas listas restritivas. - Gatilhos de reclassificação quando o perfil do fornecedor muda. ## Como classificar o risco de cada fornecedor Nem todo fornecedor precisa de due diligence de alto esforço. O objetivo da classificação de risco é calibrar o nível de investigação com o nível de exposição da empresa. | **Critério de risco** | **Baixo** | **Médio** | **Alto** | | --- | --- | --- | --- | | Valor do contrato | Até R$50 mil/ano | R$50k a R$500k/ano | Acima de R$500k/ano | | Contato com agente público | Nenhum | Eventual | Frequente ou direto | | Acesso a dados sensíveis | Nenhum | Limitado | Amplo | | Operação em setor regulado | Não | Parcial | Sim | | Histórico de irregularidades | Nenhum | Dúvida | Confirmado | Fornecedores de **risco alto** devem passar por todos os 7 blocos do checklist, com aprovação por alçada definida em política interna. Fornecedores de **risco baixo** podem ser validados em processos simplificados, mas nunca sem verificação cadastral e listas restritivas. Na prática, o que vemos nos clientes da VAAS é que **60% a 70% dos fornecedores podem ser aprovados automaticamente** quando os critérios de risco estão bem configurados. O esforço manual fica concentrado onde ele realmente importa. ## O que diferencia uma due diligence auditável de uma que não protege ninguém A CGU e o CADE não perguntam se você fez due diligence. Eles perguntam se você consegue provar. Uma due diligence auditável tem quatro características: **1. Trilha de evidências.** Cada verificação tem registro de data, fonte consultada e resultado obtido. Não é suficiente dizer "verificamos no CEIS". É preciso ter o screenshot com timestamp ou a resposta da API com o resultado armazenado. **2. Critérios documentados.** A política de compliance define quais critérios geram aprovação automática, quais exigem análise manual e quais são bloqueantes. Isso remove subjetividade e protege o analista que tomou a decisão. **3. Rastreabilidade de aprovação.** Quem aprovou, com qual alçada, em qual data. Em operações de risco elevado, isso inclui aprovação de segunda alçada (gestor ou comitê). **4. Monitoramento pós-onboarding.** A relação com o fornecedor não termina na contratação. Um sistema de compliance robusto reclassifica o risco quando o perfil do fornecedor muda. A **VAAS** entrega esses quatro elementos em um único ambiente: o analista vê o resultado das verificações, o histórico de decisões e os alertas de monitoramento sem precisar sair da plataforma ou consolidar dados de múltiplas fontes. Empresas como uma grande companhia do setor de energia e a **Mohawk**, fabricante global de pisos e revestimentos com cadeia de suprimentos distribuída em múltiplos países, já escalonaram esse processo em cadeias de fornecedores de alto volume e alta complexidade regulatória. ## Perguntas frequentes sobre due diligence de fornecedores ### O que é KYS (Know Your Supplier)? **KYS (Know Your Supplier)** é o processo estruturado de verificação e monitoramento de fornecedores, parceiros e prestadores de serviços. Vai além da validação cadastral: inclui análise de integridade, exposição a sanções, risco ESG, PEPs na cadeia societária e monitoramento contínuo após a contratação. É o equivalente do KYC para pessoas jurídicas na cadeia de suprimentos. ### Due diligence de fornecedor é obrigatória por lei no Brasil? Não existe um artigo único que imponha um checklist específico. O que existe é responsabilidade objetiva pela Lei 12.846/2013: a empresa responde pelos atos praticados por terceiros em seu interesse. O Decreto 11.129/2022 cria incentivos diretos para programas de compliance, incluindo due diligence de fornecedores, ao prever redução de até **4%** nas multas para empresas com programas estruturados. Setores regulados (financeiro, energia, saúde) têm exigências adicionais. ### Com que frequência devo revisar o cadastro de um fornecedor? A revisão periódica mínima recomendada é **anual** para fornecedores de risco baixo e **semestral** para risco médio e alto. Mas revisão periódica não substitui monitoramento contínuo: qualquer alteração de risco relevante (novo sócio, inclusão em lista de sanções, autuação trabalhista) deve gerar um alerta imediato, independente do ciclo de revisão. **KYS (Know Your Supplier)** é o processo estruturado de verificação e monitoramento de fornecedores, parceiros e prestadores de serviços. Vai além da validação cadastral: inclui análise de integridade, exposição a sanções, risco ESG, PEPs na cadeia societária e monitoramento contínuo após a contratação. É o equivalente do KYC para pessoas jurídicas na cadeia de suprimentos. Não existe um artigo único que imponha um checklist específico. O que existe é responsabilidade objetiva pela Lei 12.846/2013: a empresa responde pelos atos praticados por terceiros em seu interesse. O Decreto 11.129/2022 cria incentivos diretos para programas de compliance, incluindo due diligence de fornecedores, ao prever redução de até **4%** nas multas para empresas com programas estruturados. Setores regulados (financeiro, energia, saúde) têm exigências adicionais. A revisão periódica mínima recomendada é **anual** para fornecedores de risco baixo e **semestral** para risco médio e alto. Mas revisão periódica não substitui monitoramento contínuo: qualquer alteração de risco relevante (novo sócio, inclusão em lista de sanções, autuação trabalhista) deve gerar um alerta imediato, independente do ciclo de revisão. ## Sua due diligence de fornecedores resistiria a uma auditoria hoje? Se você chegou até aqui, provavelmente já sabe a resposta. Processos manuais, verificações pontuais e evidências espalhadas em planilhas não protegem a empresa quando o regulador pergunta. A VAAS faz um diagnóstico gratuito do seu processo atual de KYS: identificamos os gaps de cobertura, os riscos não mapeados e o que seria necessário para tornar sua due diligence auditável e escalável. Solicitar diagnóstico ![](https://blog.vaas.com.br/hs-fs/hubfs/Imported_Blog_Media/Asset-8-1080x277-Jun-30-2026-02-45-21-1529-PM.png?width=800&height=205&name=Asset-8-1080x277-Jun-30-2026-02-45-21-1529-PM.png) [Destaques](https://blog.vaas.com.br/tag/destaques) [Ver todos os artigos](https://blog.vaas.com.br) Compartilhar Publicado May 14, 2026, 6:06:49 PM Leitura 9 min Autor Paulo Tesman Categorias [Destaques](https://blog.vaas.com.br/tag/destaques) Radar VAAS O resumo semanal de regulação, fraude e crédito. Toda sexta, em 4 minutos. E-mail corporativo \* Aceito receber o Radar VAAS e concordo com a [política de privacidade](https://vaas.com.br/legal#privacidade). Quero receber ## Continue lendo ### [![17 perguntas para fazer a qualquer fornecedor de motor de decisão](https://blog.vaas.com.br/hubfs/Artigo_17_perguntas_VAAS.webp) Sep 17, 2026, 12:00:00 AM 17 perguntas para fazer a qualquer fornecedor de motor de decisão](https://blog.vaas.com.br/perguntas-para-fornecedores-de-motor-de-decisão) ### [![Como o prazo de resposta ao risco financeiro encolheu no Brasil](https://blog.vaas.com.br/hubfs/Artigo_Prazo_resposta_risco_VAAS.webp) Sep 10, 2026, 2:21:32 PM Como o prazo de resposta ao risco financeiro encolheu no Brasil](https://blog.vaas.com.br/como-o-prazo-de-resposta-ao-risco-financeiro-encolheu-no-brasil) ### [![As 3 normas que mudaram seu risco de PLD sem você perceber](https://blog.vaas.com.br/hubfs/Artigo_3_normas_PLD_VAAS.webp) Aug 20, 2026, 5:18:07 PM As 3 normas que mudaram seu risco de PLD sem você perceber](https://blog.vaas.com.br/3-normas-que-mudaram-o-risco-de-pld-sem-voce-perceber) ## Compartilhar artigo [LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fblog.vaas.com.br%2Fdue-diligence-fornecedores-checklist-anticorrupcao) [WhatsApp](https://wa.me/?text=%3Cspan+id%3D%22hs_cos_wrapper_name%22+class%3D%22hs_cos_wrapper+hs_cos_wrapper_meta_field+hs_cos_wrapper_type_text%22+style%3D%22%22+data-hs-cos-general-type%3D%22meta_field%22+data-hs-cos-type%3D%22text%22+%3EDue+Diligence+de+Fornecedores%3A+o+checklist+baseado+na+Lei+Anticorrup%C3%A7%C3%A3o%3C%2Fspan%3E%20https%3A%2F%2Fblog.vaas.com.br%2Fdue-diligence-fornecedores-checklist-anticorrupcao) [E-mail](mailto:?subject=%3Cspan+id%3D%22hs_cos_wrapper_name%22+class%3D%22hs_cos_wrapper+hs_cos_wrapper_meta_field+hs_cos_wrapper_type_text%22+style%3D%22%22+data-hs-cos-general-type%3D%22meta_field%22+data-hs-cos-type%3D%22text%22+%3EDue+Diligence+de+Fornecedores%3A+o+checklist+baseado+na+Lei+Anticorrup%C3%A7%C3%A3o%3C%2Fspan%3E&body=https%3A%2F%2Fblog.vaas.com.br%2Fdue-diligence-fornecedores-checklist-anticorrupcao) https://blog.vaas.com.br/due-diligence-fornecedores-checklist-anticorrupcao Copiar O link aponta para a versão pública deste artigo. ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "Paulo Tesman", "url" : "https://blog.vaas.com.br/author/paulo-tesman" }, "dateModified" : "2026-06-30T18:04:47.174Z", "datePublished" : "2026-05-14T21:06:49.000Z", "headline" : "Due Diligence de Fornecedores: o checklist baseado na Lei Anticorrupção", "image" : [ "https://blog.vaas.com.br/hubfs/Imported_Blog_Media/Artigo_Blog_DD_Fornecedores_VAAS.webp" ], "mainEntityOfPage" : { "@id" : "https://blog.vaas.com.br/due-diligence-fornecedores-checklist-anticorrupcao", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://blog.vaas.com.br/hubfs/NEW%20BRAND%20VAAS%202022%20-%20by%20brutalist-30.png" }, "name" : "Vaas" } } ```