Resposta rápida

Due diligence, na ISO 37001, é o aprofundamento de uma análise de risco antes de decidir. A cláusula 8.2 exige aplicá-la em três níveis: transações, projetos e atividades específicas; parceiros de negócio; e pessoal em posições de risco (este último também cobrado no processo de emprego, 7.2.2). A norma não diz como fazer — diz que precisa ser feita onde a avaliação de risco apontou mais do que risco baixo, e admite justificar por escrito quando for desnecessária, desarrazoada ou desproporcional. O que reprova em auditoria não é a ficha incompleta: é a due diligence feita só na entrada, sem atualização, e a que termina sem decisão registrada.

Due diligence tem fama de ser coisa de fusão e aquisição, com exército de advogados. Na ISO 37001 o conceito é bem mais simples e bem mais frequente: é o aprofundamento de uma análise de risco antes de decidir.

A analogia que descreve bem: você olha a piscina, quer entrar, mas primeiro põe o pé. Vê a profundidade, se a água está limpa, se está fria. Às vezes decide não entrar. Due diligence é o pé na água — barato, rápido e feito antes do compromisso, não depois.

O que a cláusula 8.2 exige

A norma manda aplicar due diligence quando a avaliação de risco de suborno identificar mais do que um risco baixo em relação a três categorias:

  1. transações, projetos e atividades específicas;
  2. parceiros de negócio;
  3. categorias de pessoal em funções de risco.

E há uma válvula de escape explícita, que muita empresa não usa por não saber que existe: a organização pode concluir que a due diligence é desnecessária, desarrazoada ou desproporcional em determinada situação. Pode — desde que registre a justificativa. Isso é o que impede o requisito de virar burocracia sobre compra de material de escritório.

O que a norma não faz é dizer como fazer. Isso é decisão sua, proporcional ao porte e ao risco.

Nível 1 — Transações, projetos e atividades

Aqui o objeto não é uma empresa nem uma pessoa: é uma operação. Exemplos que pedem due diligence de projeto:

  • entrar em um país ou região nova;
  • disputar um contrato público de valor relevante ou em setor sensível;
  • operar por meio de consórcio, SPE ou parceria local;
  • obter licença, autorização ou desembaraço em prazo apertado — o cenário clássico de pressão por pagamento de facilitação;
  • doação, patrocínio ou investimento social em localidade onde a empresa depende de decisão do poder público.

Um exemplo concreto de como isso se faz na prática: antes de abrir operação em outro país, avalia-se o índice de percepção de corrupção daquele país, como o setor específico se comporta ali, quem seriam os parceiros e intermediários disponíveis e quem são os concorrentes e suas práticas. O resultado é uma recomendação: entra, entra com controles reforçados, ou não entra. Já houve caso de reprovação — e é isso que torna o processo real.

Nível 2 — Parceiros de negócio

É o nível mais volumoso e onde a maioria das empresas já tem alguma coisa, geralmente chamada de homologação de fornecedor. A diferença é o foco: homologação olha capacidade de entrega; due diligence antissuborno olha integridade.

Quem entra na lista com prioridade: representantes comerciais e agentes comissionados, despachantes aduaneiros, consultores e lobistas, distribuidores, prestadores que interagem com fiscalização, escritórios que atuam junto a órgãos públicos, e qualquer intermediário remunerado por sucesso. A razão é aritmética — a maior parte dos casos de suborno corporativo acontece por meio de terceiros, não por pagamento direto da empresa.

O que consultar

  • informações públicas: situação cadastral do CNPJ, quadro societário, alterações societárias recentes, endereço, tempo de operação, capacidade real (empresa criada há dois meses para vender serviço de R$ 5 milhões é sinal por si só);
  • processos judiciais e administrativos em nome da empresa e dos sócios;
  • mídia negativa — busca pelo nome da empresa e dos sócios combinado com termos como corrupção, fraude, lavagem de dinheiro, operação policial. Vale checar a aba de notícias, não só o resultado geral;
  • listas restritivas e de sanções: cadastros de empresas inidôneas e suspensas, cadastro nacional de empresas punidas, listas de sanções internacionais, lista de trabalho análogo ao escravo, listas de pessoas expostas politicamente;
  • certidões aplicáveis à atividade;
  • questionário de integridade respondido e assinado pelo parceiro — que serve tanto para coletar informação quanto para gerar responsabilidade sobre declaração falsa;
  • relação com agentes públicos: sócio, dirigente ou familiar que seja agente público ou pessoa exposta politicamente. O Decreto 11.129/2022 menciona expressamente pessoas expostas politicamente e seus familiares, além de despachantes, consultores e representantes comerciais — vale alinhar a sua ficha a essa régua.

Sinais de alerta que mudam o nível de risco

  • comissão ou honorário fora do padrão de mercado, ou remuneração atrelada exclusivamente a resultado junto a órgão público;
  • pedido de pagamento em conta de terceiro, em outro país ou em espécie;
  • indicação do parceiro feita pelo próprio agente público ou cliente que decide a contratação;
  • recusa em responder questionário, assinar cláusula anticorrupção ou permitir auditoria;
  • ausência de estrutura compatível com o serviço contratado;
  • sócio oculto, empresa de fachada, mudança societária imediatamente antes da contratação;
  • fatura genérica, sem descrição do serviço prestado — o veículo mais comum de pagamento indevido.

Nível 3 — Pessoas

O nível que mais empresas descobrem que não fazem. Grandes organizações costumam ter processo maduro para fornecedores e nada para pessoal em posição de risco — e aí a implantação da ISO 37001 obriga a criar.

Quais funções entram: as que decidem compra, as que negociam com o poder público, as que aprovam pagamento, as que respondem por unidade com autonomia. Diretor financeiro, gerente de compras, diretor comercial, responsável por licitações, gestor de unidade em região de risco.

Como se faz, com proporcionalidade:

  • consulta a antecedentes e processos públicos, quando pertinente à função;
  • verificação de histórico profissional — inclusive passagem por empresa envolvida em caso de corrupção na área em que a pessoa atuava;
  • declaração de conflito de interesses e de relação com agentes públicos;
  • entrevista de integridade: uma conversa estruturada com dilemas reais da função, para observar como a pessoa raciocina quando o certo é caro. É mais informativa do que qualquer certidão;
  • renovação periódica para quem já está na função, não só na contratação.

Dois cuidados. O primeiro é jurídico: LGPD. Coleta de dado pessoal precisa de base legal, finalidade declarada, proporcionalidade e retenção limitada — investigação de vida privada sem pertinência com a função é risco novo, não controle. O segundo é de coerência: a cláusula 7.2.2 pede também que as condições de emprego obriguem ao cumprimento da política, que a política seja entregue, que ninguém sofra retaliação por recusar participar de atividade que julgou de risco, e que bônus e metas sejam revisados para não premiar quem atinge resultado por caminho torto.

Do resultado à decisão

Due diligence que termina em arquivo não é controle. O fechamento precisa ser uma decisão registrada, em uma de quatro direções:

  1. aprovar — risco compatível, segue o processo normal;
  2. aprovar com condições — cláusula anticorrupção reforçada, direito de auditoria, pagamento somente contra entrega verificada, vedação a subcontratação, monitoramento em prazo menor, treinamento obrigatório do parceiro;
  3. escalar — decisão sobe para instância superior ou comitê, porque o nível de risco exige autoridade maior e livre de conflito de interesses (é o que a cláusula 5.3.3 chama de decisão delegada);
  4. recusar ou encerrar — quando o risco não é gerenciável. A norma trata isso na cláusula 8.8 e é o único ponto em que ela manda parar: se a due diligence mostra risco de suborno que os controles não conseguem gerenciar, a organização deve suspender, cancelar ou encerrar a operação existente, e adiar ou recusar a nova.

Na prática, o compliance recomenda e a alta direção ou o corpo diretivo decide. O que a auditoria olha é se a recomendação existiu, se a decisão está registrada e se, quando a empresa decidiu seguir contra a recomendação, os controles compensatórios foram efetivamente implantados.

Atualização: o achado mais fácil de evitar

A edição 2025 da norma reforçou a periodicidade de atualização da due diligence e do monitoramento. É onde mora o achado mais comum e mais banal deste requisito: ficha preenchida na contratação, contrato renovado três vezes desde então, nenhuma reavaliação. Due diligence é acompanhamento, não foto na entrada.

O desenho que funciona é escalonado por risco: parceiro de risco alto com reavaliação anual e monitoramento de mídia e listas em intervalo curto; risco médio a cada dois anos; risco baixo apenas na renovação contratual — e reavaliação imediata, em qualquer faixa, quando surge fato novo: notícia negativa, mudança societária, troca de sócio, aumento súbito de volume contratado.

Como a auditoria testa

  • Puxa o fio ao contrário. Escolhe um fornecedor pago recentemente e volta: houve due diligence? em que data? qual o risco atribuído? quem decidiu? o contrato tem a cláusula que a decisão exigia?
  • Confronta com a matriz de risco. Se a avaliação classifica intermediários como risco alto e a amostra mostra intermediário sem due diligence, a inconsistência é entre 4.5 e 8.2.
  • Testa o critério. Pede dois casos de risco parecido e verifica se receberam o mesmo tratamento. Divergência sem justificativa indica critério inexistente.
  • Procura a exceção. Pergunta o que acontece com contratação emergencial. É por aí que a maioria das empresas fura o próprio processo — e o auditor sabe.
  • Verifica a justificativa de não fazer. Se a empresa dispensou due diligence em uma categoria, quer ver por escrito o raciocínio de desproporcionalidade.

Uma nota sobre proporcionalidade

Empresa pequena não precisa de plataforma de screening nem de equipe dedicada. Precisa de um processo simples, escrito e cumprido: um questionário de uma página, três ou quatro consultas públicas, uma classificação em três níveis, uma decisão assinada e um lembrete de revisão no calendário. Isso atende ao requisito. O que não atende, em empresa de qualquer tamanho, é a due diligence que só existe no manual.

Leia mais

Perguntas frequentes

O que é due diligence na ISO 37001?
É o aprofundamento de uma análise de risco antes de decidir. A cláusula 8.2 exige aplicá-la quando a avaliação de risco de suborno identificar mais do que risco baixo em relação a transações, projetos e atividades, a parceiros de negócio e a categorias de pessoal em funções sensíveis. Serve para responder, antes do compromisso, quem é a outra parte, como ela atua e que risco ela traz.
Quais são os três níveis de due diligence da ISO 37001?
Transações, projetos e atividades específicas — como entrar em um país novo ou disputar um contrato público relevante; parceiros de negócio — fornecedores, representantes comerciais, despachantes, consultores e intermediários; e pessoas — pessoal em funções de risco, como quem decide compras, negocia com o poder público ou aprova pagamentos.
A ISO 37001 permite não fazer due diligence?
Sim, em situações específicas. A norma admite que a organização conclua que a due diligence é desnecessária, desarrazoada ou desproporcional para determinada categoria — desde que essa justificativa esteja registrada. É o que impede o requisito de virar burocracia sobre compras de baixo risco, e é justamente essa justificativa que a auditoria pede quando encontra uma categoria dispensada.
O que consultar em uma due diligence de fornecedor?
Situação cadastral e quadro societário, alterações societárias recentes, capacidade real frente ao contrato, processos judiciais e administrativos da empresa e dos sócios, mídia negativa, listas restritivas e de sanções (empresas inidôneas e suspensas, empresas punidas, sanções internacionais, trabalho análogo ao escravo), certidões aplicáveis, questionário de integridade assinado e a existência de sócio, dirigente ou familiar que seja agente público ou pessoa exposta politicamente.
Due diligence de pessoas fere a LGPD?
Não, se for feita com base legal, finalidade declarada, proporcionalidade e retenção limitada, restrita ao que é pertinente à função avaliada. O que cria risco novo em vez de controle é investigar vida privada sem relação com o cargo. Uma alternativa eficiente e de baixo impacto em dados pessoais é a entrevista de integridade, com dilemas reais da função.
O que fazer quando a due diligence aponta risco alto?
Registrar uma decisão, em uma de quatro direções: aprovar; aprovar com condições (cláusula anticorrupção reforçada, direito de auditoria, pagamento contra entrega verificada, monitoramento mais frequente); escalar para instância superior livre de conflito de interesses; ou recusar e encerrar. Este último caso é tratado na cláusula 8.8, o único ponto em que a norma manda interromper: quando o risco de suborno não pode ser gerenciado, a operação deve ser suspensa, cancelada ou recusada.
De quanto em quanto tempo atualizar a due diligence?
A edição 2025 da norma reforçou a exigência de atualização periódica. O desenho usual é escalonado por risco: parceiro de risco alto com reavaliação anual e monitoramento de mídia e listas em intervalo curto, risco médio a cada dois anos, risco baixo na renovação contratual — com reavaliação imediata, em qualquer faixa, diante de fato novo como notícia negativa, mudança societária ou aumento súbito de volume contratado.

Pronto para certificar sua empresa?

Fale com um especialista da Templum e receba um diagnóstico gratuito — com garantia de 200%.

Falar com um especialista