Fornecedores e terceiros: como contratos, due diligence e compliance reduzem riscos empresariais

A transportadora que entregava para a empresa havia quatro anos deixou de recolher o FGTS dos motoristas. A empresa contratante não soube, não participou e não tinha como saber, porque nunca pediu a documentação. Quando as reclamações trabalhistas chegaram, ela estava no polo passivo em todas.

Não por ter contratado mal. Por não ter guardado prova de que fiscalizou.

Terceiro é extensão da operação, e o risco acompanha a extensão. Fornecedor que trata dados, que fala com agente público, que emite documento fiscal ou que coloca gente dentro da sua operação transporta para a empresa um risco que não aparece na proposta comercial.

Due diligence de fornecedores

Antes de contratar fornecedor crítico, a empresa deve avaliar capacidade técnica, regularidade fiscal, trabalhista e ambiental, histórico de litígios, reputação, licenças, segurança da informação, integridade e dependência operacional.

O nível de análise deve ser proporcional ao risco. Um fornecedor de material de escritório não exige o mesmo grau de diligência que um operador de dados pessoais, transportador de produto perigoso, representante perante órgão público ou prestador que atua dentro das instalações da empresa.

Contratos com terceiros

Contratos devem prever escopo, prazo, níveis de serviço, confidencialidade, proteção de dados, subcontratação, responsabilidade, seguros, auditoria, integridade, anticorrupção, rescisão, indenização e obrigação de cooperar em fiscalizações ou incidentes.

Sem cláusulas adequadas, a empresa pode assumir riscos que não controla ou ficar sem instrumentos práticos para exigir correção, ressarcimento ou encerramento seguro da relação.

LGPD e operadores

Quando terceiros tratam dados pessoais em nome da empresa, é necessário regular papéis, finalidades, medidas de segurança, confidencialidade, suboperadores, atendimento a titulares, incidentes e eliminação de dados. A ausência de contrato adequado com operador pode fragilizar a governança de dados da empresa.

Integridade e anticorrupção

Terceiros que interagem com agentes públicos, participam de licitações, obtêm licenças ou representam a empresa podem gerar risco relevante de integridade. A Lei Anticorrupção responsabiliza a pessoa jurídica por atos lesivos praticados em seu interesse ou benefício, ainda que por terceiros.

Monitoramento contínuo

Due diligence não deve ocorrer apenas na contratação. Fornecedores críticos devem ser monitorados, especialmente quanto a certidões, cumprimento contratual, incidentes, alterações societárias, sanções, subcontratação e qualidade da entrega.

Responsabilidade trabalhista: fiscalizar e provar que fiscalizou

Na terceirização, a Súmula 331, IV, do TST prevê responsabilidade subsidiária da tomadora pelas obrigações trabalhistas inadimplidas pela prestadora, desde que a tomadora tenha participado da relação processual e conste do título executivo. O item V trata da administração pública, cuja responsabilidade depende da demonstração de conduta culposa na fiscalização.

A Lei 6.019/1974, com a redação dada pela Lei 13.429/2017 e pela Lei 13.467/2017, permitiu a terceirização de qualquer atividade, inclusive a principal. Ampliou a possibilidade, não reduziu a responsabilidade.

O erro mais comum não é deixar de fiscalizar. É fiscalizar sem registrar. A empresa recebe as certidões por e-mail, confere e não arquiva. No processo, isso tem o mesmo efeito de nunca ter pedido. A pasta por fornecedor, com documento por competência e registro das cobranças, é o ativo defensivo.

Terceiro que fala com agente público

A Lei 12.846/2013 responsabiliza a pessoa jurídica de forma objetiva, nas esferas civil e administrativa, pelos atos lesivos à administração pública praticados em seu interesse ou benefício, ainda que por terceiros. O art. 2º deixa isso expresso, e o art. 4º, §2º, trata da responsabilidade solidária em contratos e consórcios.

Significa que despachante, representante comercial, consultor regulatório ou intermediário que atua perante órgão público pode gerar responsabilidade para a empresa, mesmo sem conhecimento dos administradores.

As defesas estão no art. 7º, VIII, que considera a existência de programa de integridade na dosimetria da sanção, e no Decreto 11.129/2022, que detalha os parâmetros de avaliação. Na prática, o que se exige é diligência proporcional ao risco: quanto mais o terceiro interage com agente público, mais profunda a verificação, mais específica a cláusula anticorrupção e mais frequente o monitoramento.

As cláusulas que mudam o resultado

Quatro cláusulas fazem a maior parte do trabalho em contrato com fornecedor.

Direito de auditoria, com prazo de aviso e escopo definido, porque sem ele a empresa depende da boa vontade do fornecedor para verificar o que contratou. Obrigação de apresentar documentação periódica, com a consequência expressa do descumprimento, normalmente retenção de pagamento até a regularização. Cláusula anticorrupção e de conformidade, com rescisão motivada e sem multa em caso de violação. E regra de subcontratação, exigindo autorização prévia e estendendo ao subcontratado as mesmas obrigações.

A retenção de pagamento condicionada à documentação é a que mais funciona na prática, porque desloca o incentivo: o fornecedor que depende do pagamento entrega a certidão sem precisar de cobrança.

Classificar por risco em vez de tratar todos igual

Aplicar o mesmo rigor a todos os fornecedores produz um de dois resultados: processo pesado demais, que a operação contorna, ou processo leve demais, que não protege onde importa.

A saída é classificar. Risco alto para quem coloca pessoas na operação, trata dados pessoais em volume, interage com agente público ou responde por parcela relevante do custo. Risco médio para fornecimento recorrente sem esses elementos. Risco baixo para compra pontual e padronizada.

Cada faixa recebe profundidade diferente de diligência, periodicidade própria de revisão e um conjunto mínimo de cláusulas. O resultado é um processo que a área de compras consegue cumprir, o que é a condição para que ele exista de fato.

Leia também

• Compliance trabalhista: jornada, regulamento interno e prova.
• LGPD em empresas B2B: contratos com operadores e incidentes.
• Cláusulas que reduzem risco: auditoria, rescisão e responsabilidade.
• Investigações internas: o que fazer quando a irregularidade aparece.

Conteúdo informativo e autoral, sem promessa de resultado e sem oferta a caso concreto, nos termos do Provimento CFOAB 205/2021. Não constitui parecer jurídico nem cria relação advogado-cliente.

Fontes

Lei 12.846/2013 (Lei Anticorrupção), arts. 2º (responsabilidade objetiva da pessoa jurídica por atos praticados em seu interesse ou benefício), 4º, §2º (responsabilidade solidária em contratos e consórcios) e 7º, VIII (programa de integridade na dosimetria). Decreto 11.129/2022 (parâmetros de avaliação do programa de integridade). Lei 6.019/1974, com as alterações das Leis 13.429/2017 e 13.467/2017 (prestação de serviços a terceiros). Súmula 331 do TST, itens IV e V (responsabilidade subsidiária da tomadora). Lei 13.709/2018 (LGPD), arts. 5º, VI e VII, 42 e 48 (controlador, operador, responsabilidade e comunicação de incidente). Código Civil, arts. 421 e 422 (função social do contrato e boa-fé objetiva).