Quarteirização e terceiros de terceiros: Como estender a Due Diligence além do fornecedor de primeira camada

Este artigo trata da quarteirização e terceiros de terceiros e como estender a Due Diligence além do fornecedor de primeira camada.

A Due Diligence de terceiros de terceiros amplia a análise de integridade para além do fornecedor contratado diretamente pela empresa. Em cadeias de fornecimento complexas, um parceiro comercial pode delegar atividades a subcontratados, que recorrem a outras empresas para executar partes do serviço. Essa sucessão de vínculos cria pontos de exposição que nem sempre aparecem na avaliação inicial do fornecedor.

Para CEOs, investidores e gestores de Compliance, a questão envolve controle sobre a cadeia de valor, continuidade dos negócios e exposição a riscos jurídicos e reputacionais. Um fornecedor aprovado na contratação inicial não transfere automaticamente sua condição de conformidade a todos os parceiros que utiliza.

A quarteirização em Compliance exige critérios para identificar quais relações indiretas merecem investigação, até onde estender a análise e como atribuir responsabilidades pelo acompanhamento dos terceiros envolvidos.

Guia Rápido | O que você vai encontrar

·       Como a quarteirização amplia a exposição a riscos de terceiros.

·       Por que a análise do fornecedor direto nem sempre é suficiente.

·       Como definir a profundidade da Due Diligence na cadeia de valor.

·       Quais controles ajudam a acompanhar subcontratados e fornecedores indiretos.

·       Como distribuir responsabilidades entre Compras, Compliance e gestores contratuais.

O risco não termina no fornecedor contratado

A contratação direta estabelece uma relação formal entre a empresa e seu fornecedor. Na prática, porém, a entrega de um produto ou serviço envolve outras organizações, que fornecem mão de obra, transporte, tecnologia, insumos, intermediação comercial ou serviços especializados.

Essa rede amplia a exposição a riscos de integridade. Um fornecedor pode apresentar documentação regular enquanto um subcontratado envolvido na execução mantém vínculos relevantes com pessoas sancionadas, apresenta sinais de fraude ou está associado a práticas incompatíveis com as políticas da contratante.

O problema não se limita à reputação. Dependendo do setor e da relação comercial, falhas na cadeia indireta afetam a continuidade do fornecimento, a segurança de informações, a qualidade dos produtos, o cumprimento de obrigações contratuais e a capacidade de demonstrar controles adequados.

A gestão de risco de terceiros precisa considerar, portanto, a influência real que cada participante exerce sobre a atividade contratada. Isso não significa investigar indiscriminadamente todas as empresas ligadas ao fornecedor, mas identificar aquelas cuja participação representa exposição relevante.

Quarteirização em Compliance: Onde a cadeia se torna menos visível

A quarteirização ocorre quando uma empresa contratada terceiriza parte do serviço recebido, criando uma relação indireta entre a contratante original e outros participantes da execução. A cadeia pode envolver diferentes níveis de subcontratação, com responsabilidades distribuídas entre empresas que nem sempre são conhecidas pela organização que iniciou a contratação.

O risco cresce quando a empresa desconhece quem executa atividades relevantes, não recebe informações sobre substituições de subcontratados ou não dispõe de critérios para aprovar novos participantes. Nessas condições, a avaliação inicial perde alcance à medida que a cadeia se expande.

O ponto de atenção não é a existência de subcontratação em si. Ela faz parte de muitos modelos de negócio. O risco está na ausência de transparência, na falta de controles proporcionais e na impossibilidade de verificar quem participa de atividades relevantes.

A cadeia de contratação nem sempre termina no fornecedor formalmente selecionado. A terceirização sucessiva distribui atividades entre diferentes empresas e amplia a exposição a riscos que nem sempre aparecem na análise do contratado direto. Um fornecedor com histórico regular, por exemplo, pode delegar etapas críticas a empresas com vínculos societários pouco transparentes, controles insuficientes ou relações comerciais que elevem a exposição a fraudes, corrupção e crime organizado.

Empresa contratante → fornecedor direto → subcontratado → terceiro indireto

A Due Diligence de terceiros de terceiros permite examinar essas conexões e avaliar se os riscos associados aos participantes indiretos são compatíveis com a tolerância a risco da contratante. A profundidade da investigação deve considerar a relevância das atividades delegadas, o acesso a dados e recursos, os vínculos entre as empresas e os indícios de exposição a ilícitos. Sem critérios para identificar e avaliar esses relacionamentos, a análise do fornecedor direto oferece uma visão parcial da cadeia de valor. 

Como definir até onde a Due Diligence deve chegar?

A profundidade da análise deve acompanhar a exposição associada à atividade, e não somente a distância contratual entre a empresa e o terceiro. Um subcontratado com acesso a dados sensíveis, contato com agentes públicos, participação em pagamentos ou responsabilidade por uma etapa crítica da produção merece atenção maior do que um prestador periférico, sem influência relevante sobre o contrato.

A priorização considera a criticidade do serviço, o volume financeiro, o acesso a ativos e informações, a localização, o setor de atuação e os alertas de integridade disponíveis. Também importa avaliar se o fornecedor direto mantém controles próprios sobre a seleção e a supervisão de seus parceiros.

O mapeamento de relacionamentos empresariais ajuda a identificar os participantes relevantes, suas funções e os vínculos que justificam diligências adicionais. A empresa deve registrar os níveis conhecidos da cadeia, as lacunas de informação e os critérios utilizados para decidir quais terceiros serão examinados.

Uma análise proporcional evita dois extremos: limitar a verificação ao fornecedor direto, mesmo diante de exposição relevante, ou exigir a mesma profundidade de investigação de todos os participantes, independentemente do risco.

Três controles empresariais para reduzir a exposição indireta

A extensão da Due Diligence depende de controles incorporados ao processo de contratação e à gestão do relacionamento comercial. A investigação inicial, isoladamente, não resolve o problema se a empresa perde visibilidade sobre os participantes que entram posteriormente na cadeia.

1. Transparência e aprovação de subcontratados: Os contratos devem definir obrigações de informação sobre a subcontratação, critérios para aprovação prévia quando pertinente e requisitos mínimos de integridade para os participantes envolvidos. A empresa precisa saber quem executa atividades relevantes e em quais condições.

2. Due Diligence proporcional à criticidade: A análise dos terceiros indiretos deve considerar a função desempenhada, o acesso a recursos e informações e os riscos específicos da atividade. Alertas relevantes justificam aprofundamento, enquanto relações de menor exposição seguem controles compatíveis com seu perfil.

3. Reavaliação diante de mudanças: A entrada de um novo subcontratado, a alteração de sua função ou o surgimento de um alerta de integridade deve acionar uma revisão conforme os critérios internos. O acompanhamento precisa alcançar mudanças relevantes ocorridas durante o contrato, e não somente a etapa de homologação.

Os controles exigem responsabilidades definidas. Compras e os gestores contratuais acompanham a relação comercial e o Compliance estabelece critérios e avalia alertas. Por sua vez, o Jurídico participa de questões contratuais e decisões que exigem análise jurídica. Lembrando que o fornecedor direto também precisa responder pelas obrigações assumidas em relação aos seus subcontratados.

Tecnologia e visibilidade sobre a cadeia de valor

A análise manual de cadeias extensas consome tempo e dificulta a atualização das informações. Recursos de pesquisa empresarial, consultas automatizadas e cruzamento de dados ajudam a identificar relações entre pessoas jurídicas, localizar alertas e priorizar participantes que exigem investigação.

A tecnologia, porém, não substitui a avaliação do contexto. Uma relação societária compartilhada, uma coincidência cadastral ou uma notícia isolada exige validação antes de sustentar uma decisão. Da mesma forma, a ausência de alertas em uma consulta não comprova que todos os participantes estejam livres de riscos.

O valor da automação está em ampliar a capacidade de análise e direcionar o trabalho humano aos casos que demandam esclarecimento. Para a gestão executiva, os indicadores mais úteis incluem a proporção de subcontratados identificados, a cobertura das verificações por nível de risco, as pendências de aprovação e o tempo de tratamento dos alertas.

O que a liderança precisa decidir

A extensão da Due Diligence a terceiros indiretos envolve uma escolha de governança: quais atividades exigem maior visibilidade, quais informações os fornecedores devem apresentar e quais situações impedem ou condicionam a aprovação de um subcontratado.

A liderança precisa estabelecer critérios compatíveis com a exposição da empresa, atribuir responsabilidades e definir como as exceções serão avaliadas. Também deve assegurar que as áreas responsáveis disponham de informações suficientes para agir quando um participante relevante não tiver sido declarado ou quando surgirem sinais de irregularidade.

A responsabilidade contratual de cada participante e as obrigações legais aplicáveis dependem das circunstâncias. Ainda assim, a falta de conhecimento sobre a cadeia não elimina os riscos empresariais associados à sua atuação.

Perguntas frequentes

A empresa precisa investigar todos os subcontratados?

Não necessariamente com a mesma profundidade. A extensão da análise deve considerar a criticidade da atividade, o acesso a recursos e informações, os riscos do setor e os alertas disponíveis. Terceiros indiretos que exercem funções relevantes exigem maior visibilidade.

Quem responde pelos riscos dos terceiros indiretos?

A responsabilidade depende dos contratos, das atividades desempenhadas e das normas aplicáveis. O fornecedor direto deve cumprir suas obrigações contratuais sobre subcontratação, enquanto a contratante precisa definir controles compatíveis com sua exposição e com suas responsabilidades legais.

Como identificar riscos na cadeia de valor?

O mapeamento dos participantes, a análise de vínculos empresariais, as verificações de integridade e o acompanhamento de mudanças ajudam a identificar riscos. A profundidade da investigação deve acompanhar a relevância de cada participante para a atividade contratada.

Qual é a diferença entre terceirização e quarteirização?

Na terceirização, a empresa contrata diretamente um terceiro para executar uma atividade. Na quarteirização, o serviço é repassado a outros participantes da cadeia, ampliando o número de relações indiretas que precisam ser consideradas na gestão de riscos.

Conclusão

A Due Diligence de terceiros de terceiros amplia a visibilidade sobre os participantes que efetivamente executam atividades ao longo da cadeia de valor. Para a liderança empresarial, o objetivo não é investigar toda relação indireta de forma indiscriminada, mas concentrar controles nos vínculos que representam maior exposição jurídica, operacional e reputacional.

A combinação entre mapeamento de relacionamentos empresariais, transparência contratual, análise proporcional e reavaliação contínua permite administrar a quarteirização com critérios claros. O Kronoos apoia processos de Due Diligence e pesquisa de informações sobre terceiros, contribuindo para que as equipes identifiquem alertas e direcionem a análise aos relacionamentos que exigem maior atenção.

Entre em contato conosco agora para saber mais sobre nossas soluções!