Due diligence de terceiros e background check em investigações corporativas: procedimentos distintos para decisões de risco diferentes

julho 20, 2026
Por Vinicius Cassimiro Carvalho

Due diligence de terceiros e background check em investigações corporativas: procedimentos distintos para decisões de risco diferentes

A compreensão da finalidade, do alcance e dos limites de cada procedimento é essencial para prevenir riscos, esclarecer irregularidades e sustentar decisões corporativas sensíveis

Empresas não se relacionam apenas com seus empregados e clientes. Parte relevante de suas atividades depende de fornecedores, prestadores de serviços, consultores, representantes comerciais, distribuidores, parceiros, intermediários e outras pessoas físicas ou jurídicas que atuam em seu nome ou em benefício de suas operações.

Essa dependência amplia a capacidade operacional das organizações, mas também cria riscos. Fraudes, conflitos de interesses, pagamentos indevidos, favorecimentos, violações regulatórias e danos reputacionais podem ser praticados ou viabilizados por terceiros aparentemente regulares.

Nesse contexto, a due diligence de terceiros tornou-se um dos principais mecanismos preventivos dos programas de integridade. Seu propósito é permitir que a organização conheça adequadamente as empresas e pessoas com as quais pretende se relacionar, avalie os riscos envolvidos e defina as condições para contratação, continuidade ou monitoramento do relacionamento.

Em outro momento da gestão corporativa, quando uma denúncia, um alerta ou uma inconsistência exige apuração, o background check investigativo pode ser utilizado para identificar vínculos, validar informações, testar hipóteses e compreender as relações entre pessoas, empresas e acontecimentos relacionados aos fatos investigados.

Os dois procedimentos podem consultar fontes semelhantes. Ambos podem envolver pesquisas societárias, judiciais, regulatórias, reputacionais e cadastrais. A diferença central, entretanto, está na finalidade.

Enquanto a due diligence procura responder se a organização deve iniciar ou manter determinado relacionamento empresarial, o background check investigativo busca compreender o que ocorreu, quem pode estar relacionado aos fatos e quais elementos sustentam ou afastam uma hipótese de irregularidade.

Essa distinção não é apenas conceitual. Ela influencia o escopo da análise, as fontes consultadas, o nível de aprofundamento, os critérios de documentação e a forma como os resultados serão apresentados aos tomadores de decisão.

A evolução histórica dos procedimentos de diligência

A preocupação com os riscos decorrentes da atuação de intermediários ganhou relevância a partir do fortalecimento internacional das legislações anticorrupção.

Um dos principais marcos históricos foi a edição do Foreign Corrupt Practices Act — FCPA, nos Estados Unidos, em 1977. A legislação estabeleceu disposições relacionadas ao pagamento de vantagens indevidas a agentes públicos estrangeiros e contribuiu para ampliar a atenção das empresas sobre a atuação de agentes, consultores, representantes e outros intermediários.

O guia conjunto publicado pelo Departamento de Justiça dos Estados Unidos e pela Securities and Exchange Commission, denominado A Resource Guide to the U.S. Foreign Corrupt Practices Act, apresenta orientações sobre o alcance da legislação, os programas de compliance, as relações com terceiros e outras questões relacionadas à prevenção da corrupção.

Outro marco importante foi a aprovação do UK Bribery Act de 2010, no Reino Unido. A seção 7 da legislação prevê uma infração específica relacionada à falha de uma organização comercial em prevenir atos de suborno praticados por pessoas a ela associadas. A legislação também considera a existência de procedimentos adequados de prevenção no exame da responsabilidade da organização.

No âmbito internacional, a OCDE desenvolveu orientações de due diligence para uma conduta empresarial responsável. O documento propõe que as organizações identifiquem, previnam, mitiguem e prestem contas sobre impactos negativos relacionados às suas operações, cadeias de fornecimento e relações de negócio.

No Brasil, a Lei nº 12.846/2013, conhecida como Lei Anticorrupção, representou um marco importante para a responsabilização administrativa e civil de pessoas jurídicas pela prática de atos contra a administração pública nacional ou estrangeira.

Posteriormente, o Decreto nº 11.129/2022, que regulamenta a Lei Anticorrupção, reforçou a importância dos mecanismos de integridade, da gestão de riscos e dos controles relacionados a terceiros.

As orientações atuais da Controladoria-Geral da União reconhecem que as transformações sociais, legislativas, econômicas e tecnológicas ampliaram o próprio conceito de integridade empresarial. O documento Programa de Integridade: Diretrizes para Empresas Privadas — Volume II, publicado pela CGU em 2024, dedica uma seção específica à gestão de terceiros e orienta a realização de diligências apropriadas e baseadas em risco.

Essa evolução regulatória foi acompanhada por uma transformação operacional. As verificações deixaram de ser exclusivamente documentais e concentradas no momento da contratação. Progressivamente, passaram a incorporar classificação de risco, identificação de beneficiários finais, análise reputacional, monitoramento contínuo, reavaliações periódicas e integração com informações financeiras e operacionais.

A principal mudança histórica, portanto, não foi apenas a substituição da pesquisa em papel pela pesquisa digital. O próprio conceito de diligência se transformou: de uma checagem pontual e cadastral para um processo contínuo de identificação, avaliação e tratamento de riscos.

O que é a due diligence de terceiros

A due diligence de terceiros é um procedimento preventivo destinado a conhecer e avaliar uma pessoa física ou jurídica antes do início de um relacionamento comercial ou durante sua continuidade.

Seu objetivo não é comprovar que o terceiro está completamente livre de riscos. Essa garantia seria impossível. O propósito é fornecer informações suficientes para que a empresa possa decidir, de forma consciente e documentada, se o relacionamento é aceitável e quais medidas de controle devem ser implementadas.

Uma diligência adequadamente estruturada deve ir além da confirmação da existência formal da empresa ou da consulta a listas restritivas.

Dependendo do perfil de risco, o procedimento pode avaliar:

identidade, constituição e regularidade cadastral do terceiro;
estrutura societária, administradores e beneficiários finais;
capacidade técnica, operacional e financeira;
reputação e histórico empresarial;
processos judiciais e administrativos relevantes;
sanções e restrições aplicadas por autoridades;
vínculos com agentes públicos ou pessoas expostas politicamente;
relações com empregados e tomadores de decisão da contratante;
utilização de subcontratados ou intermediários;
coerência entre o serviço contratado, a remuneração e a capacidade de execução;
existência de programa de integridade e controles internos;
exposição a riscos ambientais, trabalhistas, concorrenciais ou relacionados a direitos humanos.

A extensão dessas verificações não deve ser igual para todos os terceiros.

Uma empresa que fornece materiais de baixo valor, sem acesso a sistemas, ativos relevantes ou agentes públicos, apresenta um perfil diferente daquele de um representante comercial remunerado por comissão e contratado para atuar em nome da organização perante clientes ou autoridades.

Por isso, a due diligence deve ser baseada em risco. A orientação da OCDE é que a natureza e a extensão das medidas adotadas considerem fatores como a probabilidade e a gravidade dos impactos identificados. Quanto maior a exposição, mais aprofundada deve ser a análise e mais robustas devem ser as medidas de prevenção ou mitigação.

Em quais momentos a due diligence deve ser aplicada

A homologação de fornecedores é uma das aplicações mais conhecidas, mas não é a única.

A due diligence também pode ser necessária na contratação de:

representantes comerciais;
consultores;
agentes e intermediários;
distribuidores;
despachantes;
operadores logísticos;
parceiros de joint venture;
prestadores com acesso a informações sensíveis;
empresas que atuem perante o poder público;
fornecedores de serviços críticos;
parceiros estratégicos.

O procedimento também pode ser aplicado em patrocínios, doações, operações societárias, processos de fusão e aquisição e contratações realizadas em localidades ou setores com maior exposição regulatória e reputacional.

Além da análise inicial, determinados acontecimentos devem provocar uma reavaliação do terceiro, como:

mudança de controle societário;
substituição de administradores;
inclusão de novos subcontratados;
expansão do escopo contratual;
entrada em novas regiões ou mercados;
surgimento de sanções ou notícias adversas;
alterações relevantes na forma de pagamento;
solicitação de pagamento para conta de terceiro;
inconsistências na documentação ou na execução dos serviços;
identificação de relações anteriormente não declaradas;
resistência ao fornecimento de informações ou documentos.

A diligência, portanto, deve integrar o ciclo de vida do terceiro. Seu resultado pode levar à aprovação, rejeição, aprovação condicionada, aplicação de controles adicionais ou necessidade de monitoramento reforçado.

Em situações de maior risco, a organização pode exigir cláusulas contratuais de integridade, declarações periódicas, treinamentos, direitos de auditoria, comprovação da execução dos serviços, revisão de pagamentos e atualização das informações cadastrais.

A existência de um alerta não significa necessariamente que o terceiro deva ser rejeitado. Significa que a organização precisa compreender o risco, avaliar sua relevância e decidir se existem medidas capazes de reduzi-lo a um nível aceitável.

O que é o background check investigativo

O background check realizado no contexto de uma investigação corporativa possui uma lógica diferente.

Ele não é uma verificação genérica de reputação, tampouco deve ser confundido com a análise de candidatos em processos de contratação de empregados. Trata-se de um procedimento orientado pelos fatos, pelas pessoas envolvidas e pelas hipóteses formuladas no planejamento da investigação.

Seu objetivo é identificar informações que auxiliem na compreensão do caso investigado.

Em uma denúncia de conflito de interesses, por exemplo, o background check pode verificar se um empregado possui participação societária, vínculo familiar ou relacionamento profissional anterior com determinado fornecedor.

Em uma suspeita de fraude em compras, pode ser necessário analisar se empresas aparentemente independentes possuem sócios relacionados, administradores comuns, endereços coincidentes, procuradores compartilhados ou vínculos com empregados que participaram da contratação.

Em uma apuração envolvendo pagamentos suspeitos, o procedimento pode auxiliar na identificação de beneficiários finais, empresas sem capacidade operacional aparente, relações com agentes públicos, estruturas societárias atípicas e conexões entre recebedores, intermediários e pessoas internas da organização.

O background check também pode ser utilizado em investigações envolvendo:

favorecimento de fornecedores;
conluio em processos de contratação;
conflito de interesses não declarado;
desvio de ativos ou recursos;
pagamentos sem contraprestação comprovada;
falsificação de qualificações profissionais;
ocultação de participação societária;
concorrência desleal;
violação de deveres fiduciários;
utilização de empresas relacionadas;
lavagem de dinheiro ou ocultação patrimonial;
corrupção e pagamento de vantagens indevidas.

A pergunta inicial não deve ser “o que é possível descobrir sobre esta pessoa?”, mas sim: quais informações são necessárias para confirmar ou afastar a hipótese investigativa?

Essa diferença é fundamental para preservar a objetividade, a proporcionalidade e a legitimidade do procedimento.

O background check como parte da estratégia investigativa

O background check não deve ser conduzido de maneira isolada.

Seus resultados precisam ser relacionados a outros elementos da investigação, como documentos, contratos, notas fiscais, registros de aprovação, comunicações corporativas, entrevistas, dados financeiros e evidências digitais.

Um endereço compartilhado entre duas empresas pode indicar uma relação relevante, mas também pode decorrer da utilização de um escritório contábil, endereço fiscal ou espaço empresarial compartilhado.

A coincidência de sobrenomes pode sugerir vínculo familiar, mas não é suficiente para comprová-lo.

A existência de um processo judicial pode representar um sinal de atenção, mas seu significado depende da natureza da ação, da posição ocupada pela pessoa pesquisada, da fase processual e do desfecho do caso.

Da mesma forma, uma notícia negativa pode reproduzir uma acusação ainda não confirmada ou apresentar informações que posteriormente foram corrigidas.

Por isso, os resultados das pesquisas devem ser tratados como elementos de análise, e não como conclusões automáticas.

O procedimento ganha valor quando as informações são organizadas, validadas e confrontadas com as demais evidências disponíveis. É essa integração que transforma dados dispersos em inteligência investigativa.

Due diligence e background check: onde está a diferença

Apesar da utilização de fontes semelhantes, os procedimentos apoiam decisões diferentes.

Aspecto	Due diligence de terceiros	Background check investigativo
Finalidade	Prevenir e administrar riscos do relacionamento	Esclarecer fatos e testar hipóteses
Momento mais comum	Antes da contratação e durante o contrato	Após denúncia, alerta ou identificação de indícios
Escopo	Definido pelo perfil de risco do terceiro	Definido pelo objeto da investigação
Objeto principal	Terceiro, administradores e beneficiários finais	Pessoas e empresas relacionadas aos fatos
Resultado esperado	Classificação de risco e recomendação de tratamento	Identificação de vínculos, inconsistências e elementos relevantes
Periodicidade	Inicial, periódica ou acionada por eventos	Pontual e ajustável conforme novos achados
Decisão apoiada	Contratar, rejeitar, condicionar ou monitorar	Confirmar ou afastar hipóteses e definir providências

A due diligence é predominantemente preventiva. O background check investigativo é predominantemente elucidativo.

Ainda assim, os procedimentos podem se conectar.

Uma due diligence pode identificar informações graves o suficiente para justificar a abertura de uma investigação. Da mesma forma, uma investigação pode revelar que os controles utilizados na homologação e no monitoramento de terceiros eram insuficientes.

Nessa segunda situação, a apuração não deve se limitar à eventual responsabilização individual. Também deve avaliar como o terceiro foi contratado, quais alertas estavam disponíveis, quem aprovou o relacionamento, quais verificações foram realizadas e por que os controles existentes não impediram ou detectaram a irregularidade.

A tecnologia ampliou a capacidade de análise

Historicamente, os procedimentos de diligência dependiam da obtenção manual de certidões, documentos societários, referências comerciais, registros em cartórios e pesquisas em veículos de imprensa.

As informações estavam distribuídas entre diferentes órgãos e localidades. O cruzamento de dados dependia de controles manuais e a capacidade de aprofundamento estava condicionada ao tempo, aos recursos disponíveis e ao conhecimento dos profissionais responsáveis.

A digitalização dos registros públicos e empresariais modificou esse cenário. Processos judiciais, cadastros regulatórios, registros societários, listas de sanções, notícias e outras informações passaram a ser acessados eletronicamente.

Posteriormente, plataformas especializadas começaram a integrar múltiplas bases em um único ambiente. A tecnologia permitiu aumentar a escala das verificações, automatizar consultas e padronizar parte dos critérios utilizados pelas organizações.

Mais recentemente, ferramentas de análise de dados passaram a permitir:

cruzamento de grandes volumes de informações;
identificação de coincidências de endereços, telefones e contatos;
construção de mapas de relacionamento;
visualização de redes societárias;
identificação de administradores e procuradores comuns;
monitoramento de alterações cadastrais;
automação de alertas e reavaliações;
pesquisas de mídia adversa em diferentes idiomas;
priorização de casos com maior concentração de fatores de risco.

No campo investigativo, a tecnologia ampliou a capacidade de relacionar informações provenientes de cadastros, documentos, dados financeiros, registros de acesso, comunicações corporativas e transações.

O Evaluation of Corporate Compliance Programs, publicado pelo Departamento de Justiça dos Estados Unidos, apresenta questionamentos relacionados ao acesso das áreas de compliance aos dados relevantes, ao uso de ferramentas analíticas e à capacidade da organização de monitorar seus riscos e controles.

Mais recentemente, soluções de inteligência artificial passaram a apoiar a leitura, classificação, correlação e sumarização de grandes volumes de informação.

Esses recursos podem contribuir para a eficiência dos procedimentos, mas não eliminam a necessidade de análise humana e validação metodológica.

Tecnologia sem metodologia também amplia riscos

Bases desatualizadas podem gerar alertas incorretos. Pessoas com nomes semelhantes podem ser confundidas. Dados podem ser duplicados em diferentes fontes e transmitir uma falsa impressão de recorrência. Notícias podem reproduzir acusações ainda não confirmadas.

Sistemas automatizados também podem atribuir classificações de risco sem oferecer transparência suficiente sobre os critérios empregados.

Por isso, a tecnologia deve funcionar como instrumento de apoio, e não como substituta do julgamento profissional.

A qualidade do procedimento depende de cuidados como:

confirmação da identidade da pessoa ou empresa pesquisada;
utilização preferencial de fontes primárias e oficiais;
distinção entre fatos, alegações, opiniões e inferências;
avaliação da atualidade das informações;
registro dos critérios e termos de pesquisa;
validação complementar de achados relevantes;
documentação de limitações e lacunas;
análise contextual das informações;
revisão humana das classificações automatizadas;
preservação da rastreabilidade entre o achado e sua fonte.

Uma plataforma pode apontar que duas empresas utilizam o mesmo endereço. A conclusão sobre a existência de controle comum, conflito de interesses ou simulação, entretanto, exige análise adicional.

O desafio deixou de ser apenas encontrar dados. Hoje, o principal desafio é distinguir quais dados são confiáveis, relevantes e capazes de sustentar uma decisão.

Proteção de dados, necessidade e proporcionalidade

Due diligences e background checks frequentemente envolvem tratamento de dados pessoais. A realização dessas atividades deve observar a Lei Geral de Proteção de Dados Pessoais — LGPD e as demais normas aplicáveis.

O fato de uma informação estar disponível publicamente não significa que ela possa ser coletada, armazenada, compartilhada e utilizada sem critérios.

A organização deve avaliar:

a finalidade do tratamento;
a hipótese legal aplicável;
a natureza dos dados;
a necessidade de cada informação;
os impactos sobre os titulares;
os controles de acesso;
o período de retenção;
o compartilhamento dos resultados;
os riscos de decisões automatizadas;
as medidas de segurança e confidencialidade.

Quando o legítimo interesse for considerado como fundamento para o tratamento de dados pessoais não sensíveis, a organização deve realizar uma avaliação concreta de proporcionalidade.

O Guia Orientativo sobre Legítimo Interesse, publicado pela Autoridade Nacional de Proteção de Dados, orienta a avaliação da finalidade, da necessidade, das legítimas expectativas dos titulares, dos possíveis impactos e das salvaguardas aplicáveis.

Em uma investigação corporativa, o princípio da necessidade exige que a pesquisa esteja vinculada ao objeto da apuração.

Uma suspeita de conflito de interesses pode justificar a análise de vínculos societários e profissionais. Isso não autoriza, por si só, a coleta indiscriminada de informações sobre todos os aspectos da vida particular da pessoa investigada.

Da mesma forma, os resultados não devem circular além das pessoas que efetivamente precisam conhecê-los para conduzir a investigação ou tomar as decisões correspondentes.

Proporcionalidade, confidencialidade e rastreabilidade não são obstáculos à investigação. São requisitos para que seus resultados sejam legítimos, defensáveis e adequadamente utilizados.

O papel da alta administração

Para conselhos, comitês, administradores e lideranças de compliance, o ponto central não é apenas saber se a empresa possui uma ferramenta de pesquisa ou realiza consultas antes da contratação.

É necessário avaliar se os procedimentos produzem decisões efetivas.

Algumas perguntas ajudam a medir a maturidade da organização:

Os terceiros são classificados de acordo com riscos objetivos e previamente definidos?
A profundidade da diligência é proporcional ao risco da atividade e do relacionamento?
A empresa identifica os beneficiários finais dos terceiros mais relevantes?
Alertas encontrados durante a diligência são avaliados e documentados?
Existem critérios claros para aprovação condicionada, rejeição e monitoramento?
As diligências são atualizadas durante a vigência dos contratos?
As áreas comerciais ou de compras podem superar uma recomendação da área de compliance? Em quais condições?
Background checks investigativos são definidos a partir de fatos e hipóteses documentadas?
Achados automatizados são submetidos a validação humana?
Os resultados das investigações geram revisão de controles, processos e políticas?

Uma organização pode possuir acesso às melhores bases de dados disponíveis e, ainda assim, permanecer exposta se os alertas não forem analisados ou se as decisões não forem documentadas.

O valor do procedimento não está na quantidade de páginas do relatório, mas na capacidade de identificar riscos relevantes, esclarecer situações complexas e orientar decisões tempestivas.

Conclusão

Due diligence de terceiros e background check investigativo são procedimentos complementares, mas não intercambiáveis.

A due diligence apoia a prevenção e a gestão dos riscos decorrentes das relações de negócio. Deve ser proporcional ao risco, integrada aos processos de contratação e atualizada durante o relacionamento.

O background check investigativo, por sua vez, é uma ferramenta de apuração. Seu escopo deve estar vinculado aos fatos, às pessoas envolvidas e às hipóteses definidas no planejamento da investigação.

A tecnologia ampliou significativamente a capacidade de localizar, cruzar e monitorar informações. Entretanto, também aumentou a exposição a falsos positivos, interpretações descontextualizadas e decisões baseadas em dados que não foram adequadamente validados.

Organizações maduras não utilizam esses procedimentos como simples pesquisas cadastrais. Elas combinam tecnologia, metodologia, governança, proteção de dados e conhecimento investigativo para transformar informações em decisões.

A KASSY Consultoria apoia empresas na realização de due diligences de integridade, background checks investigativos, análises reputacionais e investigações corporativas, por meio de procedimentos adaptados ao risco, ao contexto e às necessidades decisórias de cada organização.