Como fazer due diligence de fornecedores?
Confirme o CNPJ, verifique sanções, contratos, decisões e sinais regulatórios, documente as fontes e defina quando a diligência deverá ser refeita.
Atualizado em 22 de agosto de 2026
12 min de leitura
Consulta informativa, não decisória.
Use o Atlas
Comece pelo CNPJ que será contratado
Localize o perfil da pessoa jurídica correta. A consulta pública oferece identidade e sinais iniciais; detalhes, dossiê, exportação e monitoramento dependem do acesso.
Triagem de fornecedor
Nome da empresa ou CNPJ
Selecione o CNPJ que será contratado. Matriz, filiais e empresas do mesmo grupo devem ser verificadas separadamente.
Resposta direta
A resposta curta: a diligência deve ser proporcional ao risco e documentada
Due diligence de fornecedores é um processo de identificação, verificação e avaliação de terceiros antes e durante a relação comercial. Comece pelo CNPJ exato, confirme matriz ou filial e adapte a profundidade ao risco do serviço, valor, setor, localidade, acesso a agentes públicos e duração do contrato.
A triagem mínima costuma combinar identidade cadastral, sanções e impedimentos, contratos públicos, decisões de controle externo, registros regulatórios e outros sinais materiais para a política da organização. Cada ocorrência precisa ser lida com data, fonte, papel da empresa, vigência e alcance.
O resultado não deve ser um selo automático de “aprovado” ou “reprovado”. Ele deve registrar fatos, limitações e a decisão tomada conforme critérios previamente definidos, com escalonamento para compliance ou jurídico quando necessário. Fornecedores críticos também precisam de nova verificação periódica.
Passo a passo
Como fazer a consulta
- 1
Defina o risco da contratação
Considere valor, serviço, setor regulado, contato com poder público, uso de dados, subcontratação e criticidade operacional.
- 2
Confirme a pessoa jurídica
Valide CNPJ, razão social, situação cadastral, matriz ou filial e quem efetivamente assinará o contrato.
- 3
Consulte fontes relevantes
Pesquise sanções, contratos públicos, TCU, reguladores e outros registros previstos na política interna.
- 4
Documente e acompanhe
Guarde fonte, data, análise, aprovação e condicionantes; programe nova diligência conforme o risco e a duração da relação.
Conceitos essenciais
Um processo baseado em risco, não uma lista universal
A diligência adequada depende do terceiro e da contratação. O mesmo sinal pode exigir apenas documentação em um caso e investigação aprofundada em outro.
- Identidade e escopo
- Define qual CNPJ, filial, contrato e atividade estão sendo avaliados. Sem essa delimitação, fatos de empresas diferentes podem ser misturados.
- Risco inerente
- Exposição antes dos controles: setor, país, valor, agentes públicos, licenças, intermediários, dados, meio ambiente e criticidade do serviço.
- Evidência oficial
- Cadastro, decisão ou documento com fonte e data. Um resumo ajuda a localizar, mas a conclusão deve preservar a evidência original.
- Vínculo indireto
- Ocorrência em sócio, administrador, filial ou empresa do grupo. Pode justificar diligência adicional, mas não deve ser atribuída automaticamente ao fornecedor.
- Risco residual
- Risco que permanece depois de controles, esclarecimentos, cláusulas, aprovações e medidas de acompanhamento.
- Monitoramento contínuo
- Revisão periódica ou acionada por eventos. É especialmente importante em relações duradouras ou fornecedores de maior risco.
Regras de leitura
Como transformar registros em uma análise responsável
Um fato público é entrada para o processo, não o resultado final. A resposta adequada depende da ligação com o CNPJ, atualidade, alcance, materialidade e política aplicável.
| O que apareceu | Leitura segura | O que confirmar |
|---|---|---|
| CNPJ e cadastro confirmados | A pessoa jurídica consultada foi corretamente identificada. | Matriz ou filial contratada, atividade, endereço, representantes e alterações recentes relevantes. |
| Sanção vigente | Há restrição ou penalidade oficial atual associada ao CNPJ. | Tipo, órgão, abrangência, fundamento e efeito sobre a contratação concreta. |
| Sanção encerrada | Existe histórico oficial que pode ser material para o risco. | Data final, reabilitação, recorrência, controles adotados e política de retenção. |
| Contratos com o poder público | A empresa possui exposição documentada a compradores governamentais. | Objeto, órgão, período, concentração, aditivos e se o valor é contratado ou pago. |
| Multa ou decisão regulatória | Há ocorrência setorial que merece contextualização. | Gravidade, recorrência, situação, obrigação de remediação e relação com o serviço contratado. |
| Acórdão ou processo do TCU | A empresa aparece em atividade de controle externo. | Papel, dispositivo, responsabilidade, recursos e eventual sanção separada. |
| Ocorrência em sócio ou empresa relacionada | Há vínculo indireto potencialmente relevante. | Ligação, período, poder de controle e base para estender qualquer consequência. |
| Nenhum registro localizado | Não houve correspondência na cobertura consultada. | Fontes obrigatórias, grafias, CNPJs relacionados, atualização e escopo da busca. |
Rastreabilidade
Fontes úteis para uma diligência reproduzível
A lista deve ser adaptada à política e ao setor. O Atlas reduz a busca entre fontes, mas não substitui documentos exigidos, controles internos nem análise especializada.
CGU — Programa de Integridade para empresas privadas
Guia oficial que trata de diligências baseadas em risco para contratação e supervisão de terceiros, parceiros e fornecedores.
Como entra no Atlas
Orienta a estrutura do guia: profundidade proporcional ao risco, documentação e revisitação durante a relação.
Receita Federal — consulta de CNPJ
Serviço oficial para consultar dados cadastrais e situação da pessoa jurídica.
Como entra no Atlas
É a referência para confirmar a identidade antes de relacionar sanções, contratos ou decisões ao fornecedor.
Portal da Transparência — sanções
Consulta registros como CEIS, CNEP, CEPIM e acordos de leniência.
Como entra no Atlas
O Atlas organiza ocorrências pelo CNPJ e mantém fonte, datas e categoria separadas quando disponíveis.
TCU — certidões consolidadas
Consulta cadastros e certidões relevantes para pessoas jurídicas na Administração Pública Federal.
Como entra no Atlas
Complementa a exposição processual no TCU e evita tratar toda menção em acórdão como sanção.
Exemplo hipotético
Exemplo: sinais diferentes exigem uma decisão documentada
Exemplo hipotético: um fornecedor possui um registro CEIS encerrado, uma multa regulatória atual e contratos recentes com órgãos públicos.
- 1Confirmar que todos os registros pertencem ao CNPJ que assinará o contrato.
- 2Ler o CEIS encerrado para entender fundamento, período e eventual reabilitação.
- 3Verificar se a multa regulatória se relaciona ao serviço contratado, se admite recurso e quais medidas corretivas foram impostas.
- 4Usar contratos públicos como contexto de exposição e experiência, sem tratá-los como prova de integridade ou pagamento.
- 5Aplicar a matriz interna de risco e registrar aprovação, condicionantes ou escalonamento.
Conclusão segura: existem fatos materiais que precisam ser avaliados segundo o risco e a política da organização. É incorreto aprovar automaticamente porque o CEIS encerrou ou rejeitar automaticamente porque existe qualquer multa.
Para usar na prática
Checklist mínimo de due diligence de fornecedor
A organização deve definir responsáveis, fontes obrigatórias, critérios de escalonamento e prazo de validade. Esta lista é um ponto de partida, não uma política pronta.
- Objetivo, escopo e risco da contratação foram registrados.
- CNPJ, razão social, matriz ou filial e situação cadastral foram confirmados.
- Beneficiários, administradores ou empresas relacionadas foram avaliados quando a política exigir.
- CEIS, CNEP, CEPIM, leniência e cadastros aplicáveis foram consultados.
- Registros do TCU foram separados entre sanções, decisões e menções.
- Contratos públicos e exposição a órgãos governamentais foram contextualizados.
- Reguladores e licenças relevantes para o setor foram verificados.
- Cada ocorrência foi lida com fonte, data, vigência, papel e alcance.
- Ausência de resultado não foi tratada como certificado de regularidade.
- Decisão, justificativa, aprovadores e condicionantes foram documentados.
- Cláusulas, declarações e medidas de remediação foram definidas quando necessárias.
- Periodicidade de nova consulta e gatilhos de monitoramento foram estabelecidos.
O que o Atlas não decide pela sua organização
- Não certifica integridade, regularidade ou adequação de um fornecedor.
- Não substitui consultas obrigatórias, documentos privados, referências comerciais, auditoria ou parecer jurídico.
- Não atribui automaticamente à empresa fatos de sócios, administradores, filiais ou outras pessoas do grupo.
- Não garante atualização instantânea nem cobertura universal de todo órgão, período ou setor.
- Não define o apetite de risco, os critérios de aprovação ou a periodicidade apropriada para cada organização.
Dúvidas comuns
Perguntas frequentes
O que consultar em uma due diligence de fornecedores?
Comece por identidade e CNPJ; depois avalie sanções, contratos públicos, TCU, reguladores e outras fontes relevantes ao risco, ao setor e à política da organização.
Todo fornecedor precisa da mesma diligência?
Não. A profundidade deve ser proporcional ao risco da relação, considerando valor, serviço, setor, localização, contato com agentes públicos e criticidade.
Não encontrar sanções significa que o fornecedor está regular?
Não. Significa apenas ausência de correspondência na cobertura consultada. Certidões e verificações exigidas continuam necessárias.
Posso reprovar um fornecedor por qualquer multa?
Uma multa precisa ser contextualizada por fundamento, gravidade, vigência, recorrência e relação com o contrato. A decisão deve seguir critérios previamente definidos e aplicáveis.
Com que frequência a due diligence deve ser refeita?
Depende do risco e da duração da relação. Fornecedores críticos podem exigir monitoramento contínuo ou revisões mais frequentes; outros podem ser revistos por prazo ou evento.
Qual a diferença entre consulta e monitoramento?
A consulta registra a situação em uma data. O monitoramento procura mudanças posteriores, mas não elimina a necessidade de validar cada nova ocorrência na fonte.
O Atlas faz due diligence completa?
O Atlas organiza dados públicos, dossiês e acompanhamento conforme o plano. A diligência completa depende do escopo, das fontes privadas ou obrigatórias e da decisão da sua organização.