Grande parte da operação de uma empresa já ocorre fora de seus limites jurídicos. Nuvem, logística, cobrança, folha, atendimento, produção, manutenção, dados e tecnologia dependem de terceiros. Quando um fornecedor falha, sofre ataque, pratica fraude ou interrompe o serviço, a contratante continua exposta ao efeito financeiro, regulatório e reputacional.
O Risk in Focus 2026 registrou aumento do esforço de auditoria sobre cadeia de suprimentos e terceiros. O movimento reflete riscos geopolíticos, concentração tecnológica, cibersegurança e dependência operacional. A auditoria deixou de examinar apenas compras e passou a avaliar o ciclo completo de risco do terceiro.
O risco começa antes do contrato
A seleção deve considerar capacidade técnica, financeira, regulatória, operacional e ética. Menor preço não compensa um fornecedor sem capital, controle ou capacidade de continuidade. A auditoria pode testar se a diligência foi proporcional ao risco e se decisões divergentes foram aprovadas e documentadas.
- estrutura societária e beneficiários finais;
- situação financeira e dependência de poucos clientes;
- histórico de sanções, litígios e incidentes;
- subcontratados e localidades de execução;
- acesso a dados, sistemas, ativos e pagamentos;
- conflitos de interesse com empregados e administradores;
- capacidade de continuidade e recuperação.
Classificação por criticidade
Aplicar o mesmo questionário a todos os fornecedores desperdiça esforço e produz falsa uniformidade. A organização deve classificar terceiros por impacto, substituibilidade, dados acessados, concentração, volume financeiro e obrigação regulatória.
Um prestador de baixo valor que possui credencial administrativa pode ser mais crítico do que um fornecedor de grande gasto sem acesso a sistemas. A matriz precisa considerar exposição, e não apenas desembolso.
O contrato como controle
- níveis de serviço e critérios de medição;
- direito de auditoria e acesso a evidências;
- segurança, privacidade e notificação de incidente;
- aprovação de subcontratação;
- continuidade, recuperação e testes;
- segregação e devolução de dados;
- proibição e declaração de conflitos;
- responsabilidade por perdas, glosas e sanções;
- plano de saída e portabilidade.
Cláusulas genéricas de conformidade não são suficientes se a empresa não define como comprovar o cumprimento ou agir diante da falha.
Monitoramento durante a relação
A diligência inicial perde valor quando não é atualizada. Mudanças societárias, deterioração financeira, incidente de segurança, alta rotatividade ou crescimento abrupto podem alterar o risco. O monitoramento deve combinar indicadores, evidências e eventos externos.
- cumprimento de SLA e reincidência de falhas;
- concentração de gastos e dependência;
- alterações cadastrais e bancárias;
- reclamações, multas e não conformidades;
- relatórios independentes de controles;
- testes de continuidade e segurança;
- saúde financeira e risco de insolvência;
- uso de subcontratados não aprovados.
Questionário não substitui evidência
Autodeclarações ajudam na triagem, mas fornecedores críticos exigem confirmação. A auditoria pode obter relatórios de asseguração, certificados, testes, logs, amostras de transações, conciliações e visitas. Também deve verificar a validade e o escopo da evidência: certificado expirado ou relatório que cobre sistema diferente não reduz o risco.
Pagamentos e risco de fraude
Terceiros podem ser utilizados para superfaturamento, comissões indevidas, desvio de recursos ou ocultação de partes relacionadas. A auditoria deve cruzar cadastro, contrato, entrega, nota, aprovação e pagamento, além de identificar vínculos entre fornecedores e empregados.
Concentração e resiliência
Uma cadeia aparentemente diversificada pode depender do mesmo operador logístico, data center, fabricante ou subcontratado. Mapear dependências de segundo nível ajuda a identificar pontos únicos de falha. Planos de contingência precisam ser testados com prazo, capacidade alternativa e dados necessários para transição.
Terceirizar a execução não transfere integralmente o risco. A organização permanece responsável por conhecer, monitorar e responder à dependência criada.
Encerramento também precisa ser auditado
- revogação de acessos e credenciais;
- devolução ou eliminação de dados;
- conciliação de ativos e valores;
- transferência de conhecimento;
- pendências, multas e garantias;
- continuidade durante a migração;
- retenção da documentação necessária.
Conclusão
A auditoria de terceiros precisa acompanhar todo o ciclo: seleção, contrato, operação, monitoramento e saída. O trabalho efetivo prioriza fornecedores críticos, valida evidências e conecta falhas externas aos processos e impactos da contratante.
A Costa Nova Associados realiza due diligence, auditoria de contratos e investigação contábil. Solicite uma análise de riscos e controles.