Due Diligence de Parceiros: O Pilar do Compliance Financeiro

Em um ecossistema financeiro cada vez mais interconectado por APIs e plataformas abertas, a integridade de uma instituição não é mais definida apenas por suas próprias operações, mas também pela robustez de seus parceiros. A seleção de fornecedores, correspondentes bancários, provedores de tecnologia e outras entidades que compõem a cadeia de valor tornou-se um ponto crítico de vulnerabilidade. É neste contexto que a Due Diligence de Parceiros Financeiros (também conhecida como Third-Party Due Diligence) transcende a mera formalidade e se estabelece como um pilar fundamental da estratégia de compliance e gestão de riscos, ditada por normativos como a Circular nº 3.978/20 do Banco Central do Brasil.

## O que é a Due Diligence de Parceiros Financeiros?

A Due Diligence de Parceiros Financeiros é um processo estruturado de investigação, análise e avaliação de um terceiro (pessoa jurídica ou física) antes do estabelecimento de uma relação comercial. Seu objetivo principal é identificar e mensurar os riscos que esse parceiro pode representar para a instituição contratante, abrangendo as esferas financeira, regulatória, reputacional, operacional e cibernética. Este processo permite que a organização tome uma decisão informada sobre iniciar, continuar ou terminar um relacionamento, baseada em um perfil de risco claro e documentado.

A análise vai além da simples verificação de documentos. Ela envolve um mergulho profundo na estrutura societária, saúde financeira, histórico de litígios, adequação às normas de Prevenção à Lavagem de Dinheiro e ao Financiamento do Terrorismo (PLD/FT), e maturidade de seus controles de segurança da informação. Para fintechs e instituições que operam com infraestruturas de pagamento, por exemplo, a due diligence de um parceiro tecnológico é crucial para garantir a resiliência do serviço e a proteção de dados dos clientes, em conformidade com a Lei Geral de Proteção de Dados (LGPD).

## Por que este processo é crucial para o Compliance?

Este processo é crucial para o compliance porque transfere a responsabilidade regulatória e reputacional para a instituição contratante. Órgãos reguladores como o Banco Central (BACEN) e a Comissão de Valores Mobiliários (CVM) entendem que a terceirização de uma atividade não exime a instituição de sua responsabilidade final. Falhas de um parceiro em áreas como PLD/FT ou segurança de dados podem resultar em pesadas sanções, multas e danos irreparáveis à reputação da empresa contratante. A Circular BACEN nº 3.978/20 é explícita ao exigir que as instituições implementem procedimentos para conhecer seus parceiros de negócio.

A negligência na avaliação de parceiros pode abrir portas para crimes financeiros. Um parceiro com controles de PLD/FT frágeis pode ser utilizado como canal para a lavagem de dinheiro, associando a imagem da sua empresa a atividades ilícitas. Em 2023, um estudo do Financial Action Task Force (FATF) indicou que cerca de 70% dos grandes esquemas de lavagem de dinheiro envolviam a exploração de vulnerabilidades em terceiros e parceiros comerciais. A due diligence atua como a primeira linha de defesa, garantindo que o ecossistema de parceiros compartilhe do mesmo nível de rigor e compromisso com a conformidade.

## Quais são as etapas fundamentais de um processo de Due Diligence?

Um processo de Due Diligence de parceiros é tipicamente dividido em cinco etapas sequenciais e interligadas, que garantem uma análise completa e contínua. Essas fases permitem a criação de um dossiê detalhado que embasa a decisão e serve como evidência de conformidade para auditorias internas e externas.

1. Identificação e Triagem Inicial (Screening): A primeira etapa consiste em coletar informações básicas do potencial parceiro (CNPJ, razão social, sócios) e realizar uma triagem automatizada contra listas restritivas nacionais e internacionais. Isso inclui listas de sanções (como OFAC e CSNU), Pessoas Expostas Politicamente (PEP), trabalho escravo e outras listas de observação. Esta fase serve como um filtro rápido para eliminar parceiros de altíssimo risco.

2. Coleta e Análise de Documentação (Deep Dive): Parceiros que passam na triagem inicial avançam para uma análise aprofundada. Nesta fase, são solicitados e analisados documentos como: contrato social e suas alterações, balanços financeiros auditados, certidões negativas de débitos (fiscais, trabalhistas, judiciais), licenças de operação (ex: autorização do BACEN), políticas internas de compliance e segurança da informação, e relatórios de auditoria externa.

3. Avaliação de Riscos (Risk Scoring): Com base nas informações coletadas, é realizada uma avaliação quantitativa e qualitativa dos riscos. As vulnerabilidades identificadas são classificadas por severidade e probabilidade. Muitas instituições utilizam um sistema de pontuação (risk score) para categorizar os parceiros em níveis de risco (baixo, médio, alto). Esta pontuação determinará a intensidade dos controles a serem aplicados e a frequência do monitoramento.

4. Tomada de Decisão e Contratação: O relatório de due diligence, com o respectivo score de risco, é apresentado aos stakeholders responsáveis (geralmente as áreas de Compliance, Jurídico e Negócios). A decisão de aprovar, aprovar com ressalvas (exigindo um plano de ação do parceiro) ou reprovar o relacionamento é tomada e formalizada. O contrato deve incluir cláusulas específicas de compliance, direito de auditoria e rescisão por violações de conformidade.

5. Monitoramento Contínuo: A due diligence não termina na contratação. O cenário de risco é dinâmico. A etapa de monitoramento contínuo utiliza tecnologia para acompanhar mudanças no perfil do parceiro em tempo real ou em intervalos regulares (ex: trimestral, anual). Isso inclui a verificação contínua em listas restritivas, análise de mídia adversa, acompanhamento da saúde financeira e reavaliações periódicas completas, cuja frequência é determinada pelo nível de risco do parceiro.

## Quais áreas críticas são avaliadas em um parceiro financeiro?

A avaliação de um parceiro financeiro deve ser holística, cobrindo múltiplos domínios que, em conjunto, formam um panorama completo do seu perfil de risco. A profundidade da análise em cada área pode variar conforme a criticidade do serviço que o parceiro irá prestar, mas os pilares fundamentais são consistentes.

A tabela abaixo detalha as principais áreas de verificação, os itens a serem analisados e as fontes de dados comumente utilizadas no processo de Due Diligence.

## Como a tecnologia otimiza o processo de Due Diligence?

A tecnologia, especialmente no campo das RegTechs (Regulatory Technologies), otimiza o processo de Due Diligence ao automatizar tarefas repetitivas, centralizar dados e fornecer análises em tempo real, tornando-o mais rápido, preciso e escalável. Sem a tecnologia, a análise manual de centenas de parceiros seria inviável, custosa e propensa a erros humanos.

Plataformas de automação de Due Diligence utilizam APIs para se conectar a centenas de fontes de dados públicas e privadas. Em segundos, elas podem verificar um CNPJ, consultar listas de sanções globais, extrair processos judiciais, analisar a estrutura societária até o beneficiário final (UBO - Ultimate Beneficial Owner) e buscar por mídia adversa. O uso de Inteligência Artificial (IA) e Processamento de Linguagem Natural (PLN) permite que essas ferramentas analisem notícias e documentos não estruturados, identificando riscos reputacionais que passariam despercebidos em uma busca manual. Além disso, sistemas de workflow digitalizam todo o processo, desde a solicitação inicial até a aprovação final, criando uma trilha de auditoria completa e inviolável.

## Quais são os principais marcos regulatórios no Brasil?

O processo de Due Diligence de Parceiros no Brasil é fortemente influenciado por um conjunto de leis e regulamentações que estabelecem a responsabilidade e os requisitos mínimos para as instituições. Conhecer esses marcos é fundamental para desenhar um programa de compliance eficaz.

• Circular BACEN nº 3.978/2020: Considerada a espinha dorsal da política de PLD/FT no sistema financeiro, esta norma exige que as instituições implementem procedimentos de "Conheça seu Cliente" (KYC), "Conheça seu Funcionário" (KYE) e, crucialmente, "Conheça seu Parceiro" (KYP). Ela determina a necessidade de identificar e avaliar os riscos associados aos parceiros de negócio.

• Instrução CVM nº 617/2019: Equivalente à Circular 3.978 para o mercado de capitais, esta instrução impõe obrigações semelhantes de PLD/FT para corretoras, distribuidoras e outros participantes do mercado de valores mobiliários, incluindo a devida diligência sobre terceiros.

• Lei nº 13.709/2018 (Lei Geral de Proteção de Dados - LGPD): Durante a Due Diligence, dados pessoais de sócios e administradores são coletados e tratados. A LGPD estabelece as regras para esse tratamento, exigindo uma base legal (como o cumprimento de obrigação legal/regulatória), transparência e segurança no manuseio desses dados.

• Resolução BCB nº 85/2021: Esta resolução dispõe sobre a política de segurança cibernética e sobre os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem. Ela exige uma diligência prévia rigorosa sobre os provedores de serviços tecnológicos, avaliando sua capacidade de garantir a segurança e a resiliência das operações.