Mais de 30% das empresas perderam dinheiro ou reputação nos últimos três anos por falhas de fornecedores, parceiros ou prestadores de serviço, segundo a pesquisa global de gestão de risco de terceiros da KPMG, de 2026, com 851 organizações. A due diligence é a checagem que evita essa conta. E só funciona se couber na velocidade da venda.
Só 17% das organizações consideram totalmente confiáveis os dados que usam para avaliar terceiros. Fonte: KPMG, Global Third Party Risk Management Survey 2026 (851 organizações, global).
O que é due diligence de clientes e parceiros?
Due diligence é a investigação feita antes de uma decisão relevante, para descobrir o risco que a outra parte não declararia. Ela vale para quem vende para você (fornecedor), quem vende com você (parceiro, canal, agente) e quem compra de você a prazo (cliente).
A confusão mais comum é tratá-la como sinônimo de cadastro. Não é. O KYB confirma que a empresa existe, quem são os sócios e quem é o beneficiário final. A due diligence usa essa base para responder outra pergunta: vale a pena, e a que preço, assumir risco com esse nome?
Quem para no cadastro sabe quem chegou. Não sabe se vai pagar, se vai entregar ou se vai arrastar a sua empresa para um problema que não é seu.
Quando a due diligence é obrigatória?
Depende de quem você é e com quem se relaciona.
Para qualquer pessoa jurídica, a Lei Anticorrupção (12.846/2013) prevê responsabilidade objetiva: a empresa responde por atos lesivos praticados em seu interesse ou benefício, mesmo sem ter agido com dolo ou culpa. O despachante, o intermediário ou o consultor que paga propina em seu nome vira problema seu. O Decreto 11.129/2022, que regulamenta a lei, lista no art. 57 os parâmetros de um programa de integridade, entre eles "diligências apropriadas e baseadas em risco" para contratar e supervisionar terceiros.
Para instituições financeiras e outras reguladas pelo Banco Central, há ainda as regras de prevenção à lavagem de dinheiro, como a Circular 3.978/2020, que exigem identificar, qualificar e classificar o risco do cliente. Em locação, crédito e seguros, a lei nem sempre obriga. A inadimplência e a fraude, medidas nos indicadores públicos de crédito e inadimplência, costumam fazer o papel de fiscal.
Duas ressalvas valem para todos. A profundidade deve ser proporcional ao risco, e a checagem precisa de base legal e finalidade clara, como pede a LGPD.
O que checar antes de fechar negócio?
Nem tudo precisa ser checado em todo caso. Uma boa lista começa por seis frentes:
- Existência e atividade. CNPJ ativo na Receita Federal, endereço, tempo de atividade, capital e porte compatíveis com o que está sendo contratado. Empresa aberta há semanas pedindo prazo longo merece pergunta.
- Sócios e beneficiário final. O nome que assina nem sempre é quem controla. Estruturas em camadas, com empresa dentro de empresa, são o sinal clássico de que alguém não quer aparecer, e o terreno onde nasce o laranja.
- Listas restritivas e sanções. Cadastros como o CEIS e o CNEP, que reúnem empresas punidas ou impedidas de contratar. A consulta deve ser registrada.
- Processos e protestos. Leitura de processos como autora e como ré, e do que eles significam. A consulta processual por CPF mostra por que a etiqueta de um processo sozinha engana.
- Mídia adversa. Notícia negativa que ainda não virou sanção, mas diz muito sobre reputação.
- Comportamento de pagamento. Para cliente, o que pesa é a capacidade e a intenção de pagar, não só o que consta em bureau.
O erro mais caro é aplicar a lista inteira a todo mundo. O segundo mais caro é não aplicar nada a quem pede um limite alto.
Como automatizar a due diligence sem travar a venda?
Travar a venda quase nunca é culpa da checagem. É culpa de fazê-la do mesmo jeito para todos, à mão e depois do contrato pronto.
Três decisões resolvem a maior parte:
- Classifique o risco antes de aprofundar. O novo cliente de baixo risco precisa passar em segundos. O de risco médio responde a mais uma verificação. Só o de alto risco vai para um analista.
- Pergunte uma vez. Dado já verificado e ainda válido não se pede de novo. Cada documento a mais é uma desistência a mais.
- Decida no momento da proposta. Checagem que chega depois da assinatura vira auditoria, não prevenção.
"O fraudador profissional tem score de crédito excelente", diz João Costa, Founder & CEO da Zarv. A frase resume o problema: um indicador único de crédito responde sobre o passado de quem pagou, não sobre a intenção de quem vai assinar agora. Recusar o bom cliente custa receita. Aprovar o errado custa o ativo, e é por isso que a decisão precisa ser rápida e fundamentada ao mesmo tempo.
Para identidade e antifraude, o mesmo raciocínio vale na entrada: por que identidade e antifraude precisam ser uma etapa só.
Por que a due diligence não termina na assinatura?
Porque o risco muda depois do contrato. Sócio sai, empresa é vendida, surge processo novo, entra em lista de sanções. Quem checou uma vez e nunca mais olhou toma decisão com dado velho.
A própria pesquisa da KPMG mostra a distância entre o que se sabe e o que se executa: segundo o estudo, 28% das organizações enfrentaram interrupções na cadeia de suprimentos por causa de terceiros, e 52% do gasto com gestão de terceiros vai para avaliação de risco e due diligence. O gasto existe. A confiança no dado, não: só 17% o consideram totalmente confiável.
O caminho é reavaliar os terceiros de maior risco com periodicidade e a cada mudança relevante, o que no mercado financeiro se chama de KYC contínuo. Em frotas, crédito com garantia e locação, isso inclui acompanhar o ativo e o comportamento durante o contrato.
Onde a Zarv entra
Na etapa de verificação, o Zarv ID entrega a análise de risco da empresa e dos sócios já pronta para a decisão de contratar, em tempo de proposta. Depois da assinatura, o Zarv Signal acompanha o contrato e avisa quando o risco muda. Para operações de crédito, isso significa menos bom cliente recusado e menos surpresa depois do contrato.
Perguntas frequentes
Qual a diferença entre due diligence e KYB?
O KYB verifica a empresa: se existe, quem são os sócios e quem é o beneficiário final. A due diligence usa esses dados para avaliar o risco da relação, incluindo reputação, sanções, processos e capacidade de cumprir o contrato. O KYB é um insumo, e a due diligence é a decisão que vem a partir dele.
Due diligence de clientes é obrigatória por lei?
Depende do setor. Instituições reguladas pelo Banco Central têm obrigações de identificação e classificação de risco do cliente. Fora delas, a Lei Anticorrupção exige diligência apropriada sobre terceiros dentro de um programa de integridade, proporcional ao risco, e a responsabilidade por atos de intermediários é da empresa que os contratou.
Quanto tempo leva uma due diligence automatizada?
Uma checagem de cadastro, sócios, listas de sanções e processos pode ficar pronta em segundos quando é feita por consulta direta, em vez de por levantamento manual. O que exige tempo é a análise de casos de alto risco, que devem ir para um analista com o contexto já organizado.
Posso consultar dados de sócios e empresas sem violar a LGPD?
Pode, com finalidade legítima, base legal definida e uso dos dados proporcional ao objetivo. Prevenção à fraude e cumprimento de obrigação legal são finalidades reconhecidas. Registre quem consultou, quando e por quê, e use só o que a decisão exige. Em caso de dúvida, consulte o jurídico.
Conclusão
Due diligence boa não é a que checa mais. É a que checa o suficiente, no momento certo, e continua olhando depois da assinatura. Veja o Zarv ID rodando no seu fluxo de proposta.
Fontes: KPMG, Global Third Party Risk Management Survey (2026); Capital Aberto (2026); Lei 12.846/2013; Decreto 11.129/2022.