Software de due diligence com IA para terceiros

Um software de due diligence com IA ajuda a verificar reputação, sanções, processos judiciais e saúde financeira de um terceiro em bem menos tempo do que a checagem manual, e entrega ao analista um retrato de risco priorizado. Para quem está escolhendo uma ferramenta agora, o que separa uma boa plataforma de uma vitrine de dashboards é a rastreabilidade: cada achado precisa apontar para a fonte, e a decisão de aprovar ou recusar o fornecedor precisa continuar nas mãos de uma pessoa.

A pressão para acertar essa verificação só cresce. No Verizon 2026 Data Breach Investigations Report, divulgado em maio de 2026, as violações com envolvimento de terceiros chegaram a 48% do total, alta de 60% sobre a edição anterior, que já havia registrado o dobro do ano antes, 30% (Verizon DBIR 2025). Cada novo fornecedor é uma porta para o seu ambiente, e a planilha de onboarding que levava semanas para fechar virou um gargalo de risco.

O que é due diligence e quando aplicá-la a parceiros e fornecedores

Due diligence de terceiros é a investigação estruturada de um parceiro antes de fechar contrato e ao longo de toda a relação. Ela responde a três perguntas práticas: esse terceiro é quem diz ser, ele representa um risco legal ou reputacional, e a postura de segurança dele compromete a sua.

Na prática, a verificação cobre:

Identidade e estrutura societária: quem são os sócios, controladores e beneficiários finais.
Listas de sanções e PEP: exposição a programas de sanções e a pessoas politicamente expostas.
Reputação e mídia adversa: processos, condenações, notícias negativas e histórico regulatório.
Saúde financeira: risco de descontinuidade do fornecedor e impacto na sua operação.
Postura de segurança e privacidade: certificações, controles e aderência à LGPD.

O gatilho mais óbvio é o onboarding de um novo fornecedor. Mas a due diligence também se aplica em fusões e aquisições, na entrada de distribuidores e representantes, na renovação de contratos críticos e sempre que um terceiro passa a tratar dados pessoais ou a acessar sistemas sensíveis. A profundidade deve variar com o risco: um fornecedor de material de escritório não exige o mesmo escrutínio de um processador de pagamentos.

No Brasil, essa lógica também aparece na regulação. O Decreto nº 11.129/2022, que regulamenta a Lei Anticorrupção (Lei nº 12.846/2013), inclui entre os parâmetros de avaliação do programa de integridade “diligências apropriadas, baseadas em risco” para a contratação e, conforme o caso, a supervisão de terceiros e de pessoas expostas politicamente (art. 57, XIII), além da verificação de irregularidades e vulnerabilidades em fusões, aquisições e reestruturações societárias (art. 57, XIV). Nas instituições financeiras, a Resolução CMN nº 4.893/2021 pede procedimentos proporcionais à relevância do serviço na contratação de processamento de dados e nuvem, tema do nosso artigo sobre risco de terceiros e a Resolução CMN 4.893.

Profissional analisando dados de risco e compliance em painel digital

Como a IA acelera verificação de reputação, sanções e riscos legais

A verificação manual é lenta porque o analista precisa consultar, uma a uma, dezenas de fontes dispersas: diários oficiais, listas de sanções, tribunais, registros societários e mídia. Para cada terceiro, isso significa horas de busca e o risco permanente de deixar algo passar.

A IA muda o ritmo porque executa essas consultas em paralelo. Em uma única passagem, ela cruza o nome do terceiro e de seus sócios contra bases de sanções, como a lista SDN do OFAC, o escritório de controle de ativos estrangeiros do Tesouro dos Estados Unidos, varre mídia adversa em múltiplos idiomas e agrupa processos judiciais por relevância. O resultado chega como um resumo priorizado em vez de uma pilha de links: o que exige atenção imediata aparece no topo, com o trecho de origem anexado.

Esse ganho pesa no bolso quando a verificação falha. A fiscalização de sanções nos Estados Unidos saltou em 2025: as penalidades e acordos do OFAC somaram cerca de US$ 265,7 milhões em 14 casos, contra US$ 48,8 milhões em 12 casos em 2024 (OFAC, 2025; OFAC, 2024). Boa parte do salto vem de um único acordo, de cerca de US$ 216 milhões. Automatizar a triagem não elimina o julgamento humano, mas reduz a chance de uma fonte crítica ficar sem consulta por falta de tempo.

O ponto de equilíbrio é o modelo human-in-the-loop. A IA ajuda a reduzir o falso negativo (o risco que ninguém viu) e a organizar o falso positivo (o alerta que parece grave mas não é), enquanto o analista decide. Vale lembrar que a adoção ainda está amadurecendo: na KPMG Global Third-Party Risk Management Survey 2026, com 851 participantes, entre 50% e 58% das empresas dizem usar IA em processos de risco de terceiros, mas só 22% classificam esse uso como “muito eficaz”. O resultado depende tanto de como a ferramenta é implantada quanto da tecnologia em si.

Automação de coleta e análise de documentos

A parte mais ingrata da due diligence é o vaivém de documentos. O terceiro envia contrato social, certidões, políticas de segurança, relatório SOC 2 e questionário de segurança, e alguém precisa ler tudo, extrair os dados e lançar no sistema.

A IA pode automatizar boa parte dessa cadeia em três etapas:

Coleta: o fornecedor recebe uma lista de documentos ajustada ao nível de risco atribuído, com lembretes automáticos e validação de formato no momento do upload.
Extração: modelos de leitura identificam campos relevantes em cada documento, como datas de validade de certidões, escopo de uma certificação ISO/IEC 27001 ou exceções em um relatório de auditoria.
Análise: a plataforma compara o que foi enviado com o que era exigido, sinaliza lacunas e aponta inconsistências, por exemplo um certificado vencido ou um questionário que contradiz uma política anexa.

O ganho de qualidade dos dados é o que sustenta tudo o mais. Na mesma pesquisa da KPMG, só 17% dos participantes dizem ter dados totalmente confiáveis, consistentes e integrados na gestão de risco de terceiros. Quando a coleta é manual, informação se perde entre e-mails e planilhas. Quando a evidência é capturada, versionada e ligada ao controle correspondente, a auditoria deixa de ser uma caça ao documento. É nesse ponto que entra uma plataforma como o Eagle, da Futture: o módulo de risco de terceiros reúne cadastro de fornecedores, assessments com classificação de criticidade, contratos, revisões periódicas e sinais de risco, e a IA sugere prioridades e aponta inconsistências, com revisão humana de cada resultado relevante.

Due diligence contínua versus pontual

A due diligence pontual é uma fotografia tirada no momento da contratação. O problema é que o risco não congela depois da assinatura. Um fornecedor aprovado em janeiro pode entrar em uma lista de sanções em março, sofrer uma violação de dados em junho ou perder uma certificação em setembro, e a fotografia antiga não dirá nada sobre isso.

A due diligence contínua troca a foto por um monitoramento permanente. A plataforma observa, em segundo plano, mudanças em sanções, novos processos, notícias adversas e alterações na postura de segurança do terceiro, e dispara um alerta quando algo muda de patamar.

Dimensão	Due diligence pontual	Due diligence contínua
Momento	Na contratação ou renovação	Durante toda a relação
Visão de risco	Estática	Dinâmica, atualizada por eventos
Esforço	Concentrado e manual	Distribuído e automatizado
Resposta a eventos	Reativa, no próximo ciclo	Proativa, por alerta

Monitorar todos os terceiros no mesmo nível, o tempo todo, seria inviável sem automação. A saída prática é segmentar: fornecedores críticos recebem monitoramento contínuo e reavaliação frequente, enquanto os de baixo risco entram em ciclos mais espaçados. A IA pode apoiar a triagem que define essa cadência, mas os critérios de criticidade são da equipe. É o mesmo princípio de proporcionalidade que a Resolução CMN 4.893 aplica aos serviços de processamento e nuvem: o que define o rigor é o que quebra se o fornecedor parar.

Integrando due diligence com IA ao fluxo de onboarding de terceiros

A verificação só entrega valor se acontecer antes de o terceiro entrar na operação, não depois. Quando a due diligence é um passo paralelo, feito por e-mail em planilha separada, fornecedores de alto risco acabam contratados enquanto a análise ainda está em curso. Integrar a IA ao onboarding fecha essa brecha.

Um fluxo integrado funciona assim:

Cadastro inicial: o terceiro preenche um formulário, e a triagem de sanções e reputação roda logo em seguida.
Classificação de risco: com base nos achados e no tipo de serviço, a plataforma sugere um nível de risco que define a profundidade da verificação.
Coleta orientada: a lista de documentos e questionários é ajustada ao risco, sem pedir ao fornecedor mais do que o necessário.
Revisão humana: o analista recebe o dossiê priorizado e decide aprovar, recusar ou condicionar a contratação.
Monitoramento: terceiros aprovados entram no ciclo de due diligence contínua compatível com sua criticidade.

O detalhe que faz diferença é o portão de aprovação. Nenhum fornecedor acima de um limite de risco avança no onboarding sem uma decisão humana registrada, com a evidência que a embasou. Isso transforma a due diligence de um documento arquivado em um controle vivo, com trilha de auditoria ponta a ponta. Para operações em setores regulados, essa rastreabilidade é o que diferencia uma plataforma de GRC madura de uma coleção de ferramentas desconectadas.

Próximo passo

Antes de comparar fornecedores de software, mapeie onde sua due diligence trava hoje: no tempo de coleta de documentos, na profundidade da checagem de sanções ou na ausência de monitoramento após a assinatura. Escolha, entre seus dez fornecedores mais críticos, um para rodar uma verificação completa do jeito atual e cronometre. Esse número é a sua linha de base. Uma ferramenta de due diligence com IA só vale o investimento se reduzir esse tempo de forma mensurável e, ao mesmo tempo, deixar a decisão final, e a evidência que a sustenta, nas mãos da sua equipe.

Fontes consultadas em 28/10/2026: Verizon DBIR 2025 e 2026 (comunicados), KPMG Global Third-Party Risk Management Survey 2026, OFAC (lista SDN e penalidades civis de 2024 e 2025), Decreto nº 11.129/2022 e Resolução CMN nº 4.893/2021. Este artigo tem finalidade informativa e não constitui orientação jurídica.

Para aprofundar: Gestão de Risco de Fornecedores: Boas Práticas.

Perguntas frequentes

O que é due diligence de terceiros?

É o processo de investigar um parceiro, fornecedor ou distribuidor antes e durante a relação comercial, verificando reputação, situação legal, listas de sanções, saúde financeira e postura de segurança para dimensionar o risco que ele traz ao negócio.

Como a IA acelera a due diligence?

A IA consulta em paralelo fontes de reputação, sanções e processos, extrai dados de documentos automaticamente e prioriza os achados mais críticos, deixando para o analista a validação e a decisão final.

Due diligence com IA substitui o analista humano?

Não. Em um modelo human-in-the-loop, a IA faz a coleta e a triagem, mas a aprovação ou recusa do terceiro e a interpretação do contexto continuam sendo responsabilidade de uma pessoa, com trilha de auditoria completa.

Qual a diferença entre due diligence pontual e contínua?

A pontual é um retrato do terceiro no momento da contratação. A contínua monitora mudanças em sanções, litígios e segurança ao longo de toda a relação, alertando quando o risco muda.

Software de Due Diligence com IA para Terceiros