A Lei 12.846/2013 responsabiliza a empresa pela vantagem indevida dada a agente público direta ou indiretamente, e o Decreto 11.129/2022 pede, em troca, diligências apropriadas e baseadas em risco antes de contratar e, conforme o caso, durante a relação com três grupos: terceiros como fornecedores, despachantes, consultores e representantes; pessoas expostas politicamente; e patrocínios e doações. Em fusões e aquisições, pede ainda verificar irregularidades e vulnerabilidades na empresa adquirida.
Não é preciso investigar todos os fornecedores com a mesma profundidade. O que o decreto exige é que a profundidade acompanhe o risco, e que dê para mostrar como essa decisão foi tomada.
Por que o terceiro é problema da empresa
A responsabilidade da Lei Anticorrupção é objetiva: a empresa responde pelos atos lesivos praticados em seu interesse ou benefício, sem que seja preciso provar culpa dos dirigentes (art. 2º). O art. 5º inclui entre os atos lesivos dar vantagem indevida a agente público direta ou indiretamente (inciso I) e usar interposta pessoa física ou jurídica para ocultar os reais interesses ou os beneficiários (inciso III).
O decreto deixa claro onde está o risco. O parâmetro VIII do art. 57 fala em prevenir ilícitos em qualquer interação com o setor público, ainda que intermediada por terceiros, e dá exemplos: pagamento de tributos, fiscalizações, autorizações, licenças, permissões e certidões. E o § 1º manda considerar, ao avaliar o programa, se a empresa usa agentes intermediários como consultores ou representantes comerciais.
A due diligence de terceiros é, portanto, um dos 15 parâmetros com que se avalia o programa de integridade e, num processo, é dos primeiros a ser testado: se o ato lesivo passou por um intermediário, a pergunta seguinte é que verificação a empresa fez antes de contratá-lo.
Classificar antes de investigar
A lei não traz uma régua de risco, e cada empresa precisa da sua. Esta é a que usaríamos como ponto de partida, com critérios que saem diretamente do decreto:
| Nível | Quando | O que verificar |
|---|---|---|
| Alto | Age em nome da empresa perante órgão público (despachantes, consultores de licenciamento, representantes em licitações), remuneração por êxito, indicação por agente público, ligação com pessoa exposta politicamente. | Tudo do nível médio, mais beneficiário final, histórico de sócios e dirigentes, justificativa da necessidade e do preço, aprovação pela área de integridade, cláusulas específicas e revisão periódica. |
| Médio | Fornecedor relevante sem contato com o setor público em nome da empresa, subcontratação prevista, atuação em países ou setores com maior exposição. | Cadastros de sanções, quadro societário, questionário de integridade, compromisso com o código de conduta. |
| Baixo | Compras de baixo valor e sem interação com o poder público. | Consulta aos cadastros de sanções e aceite do código de conduta. |
A subcontratação merece atenção à parte. A metodologia que a CGU aplica aos contratos públicos de grande vulto já considera a possibilidade de subcontratação como característica que pode aumentar o risco de integridade do contrato (Portaria Normativa SE/CGU nº 226/2025, art. 2º, § 2º). Quem contrata o terceiro deveria saber quem ele contrata.
Fontes públicas que valem a consulta
Antes de qualquer questionário, há consultas que levam minutos e são gratuitas:
- CEIS e CNEP, no Portal da Transparência. O CEIS reúne empresas e pessoas impedidas de licitar ou contratar com a administração pública, em todas as esferas; o CNEP, as empresas punidas com base na Lei 12.846.
- CEPIM, no mesmo portal, para entidades sem fins lucrativos impedidas de firmar convênios com a União. Útil antes de patrocínios e doações.
- Cadastro de Empregadores do Ministério do Trabalho e Emprego, a chamada lista suja do trabalho análogo ao de escravo, atualizado a cada seis meses. A atualização de outubro de 2026 incluiu 82 empregadores.
Essas mesmas bases são usadas pela CGU como critério de admissibilidade no Pró-Ética. Se a CGU olha para elas ao avaliar a própria empresa, é razoável esperar que olhe também para os terceiros com quem ela se relaciona. A consulta precisa ficar registrada com data: um print solto numa pasta pessoal não prova nada dois anos depois.
Pessoas expostas politicamente, patrocínios e doações
O art. 57, XIII, separa esses dois casos dos fornecedores comuns. Para pessoas expostas politicamente, a diligência alcança também seus familiares, estreitos colaboradores e as pessoas jurídicas de que participem (alínea b). Isso significa olhar o quadro societário do terceiro, além do nome de quem assina o contrato.
Patrocínios e doações (alínea c) são o caminho clássico para uma vantagem indevida sem nota fiscal suspeita. Por onde começaríamos: uma regra escrita sobre quem pode aprovar, a verificação de quem é o beneficiário e de sua relação com agentes públicos que tenham decisão pendente sobre a empresa, e a prova de que a contrapartida aconteceu.
Fusões e aquisições: a responsabilidade vem junto
A responsabilidade pela Lei Anticorrupção subsiste em alteração contratual, transformação, incorporação, fusão ou cisão (art. 4º). Na fusão e na incorporação, a sucessora responde pela multa e pela reparação integral do dano até o limite do patrimônio transferido, salvo simulação ou fraude, quando responde por tudo. E controladoras, controladas, coligadas e consorciadas respondem solidariamente pela multa e pela reparação (art. 4º, § 2º).
Por isso o parâmetro XIV pede verificar, durante a operação, irregularidades e vulnerabilidades nas empresas envolvidas. Na nossa leitura, isso quer dizer que a due diligence de integridade entra no mesmo cronograma da financeira e da jurídica, com acesso aos contratos com o setor público da empresa-alvo, aos seus intermediários e aos processos em curso, e não como um questionário enviado depois do fechamento.
Contrato, acompanhamento e LGPD
A verificação inicial é só uma parte. O decreto fala em contratação e, conforme o caso, supervisão, e o parâmetro III estende o código de conduta e as políticas de integridade a terceiros quando necessário. Na prática, isso se traduz em três coisas: cláusula anticorrupção com direito de auditoria e de rescisão, compromisso formal com o código e revisão periódica dos terceiros de risco alto, com nova consulta aos cadastros.
A due diligence trata dados pessoais de sócios, dirigentes e representantes. Uma base legal possível é o legítimo interesse (LGPD, art. 7º, IX), que exige tratar só os dados estritamente necessários e dar transparência ao titular (art. 10, §§ 1º e 2º). Vale registrar essa avaliação antes de montar o questionário; o guia de LGPD explica como.
O módulo de Gestão de riscos de terceiros do GlobalSuite® já traz questionários, critérios de criticidade e fluxos de due diligence prontos, e o inventário mostra em que ponto da diligência está cada terceiro e quais respostas aumentaram o seu risco. Para a parte de método, o artigo sobre gestão de risco de terceiros (TPRM) vai além da corrupção e cobre segurança e continuidade.
Fontes oficiais: Lei nº 12.846, de 1º de agosto de 2013, Decreto nº 11.129, de 11 de julho de 2022 e Lei nº 13.709, de 14 de agosto de 2018 (LGPD), no Planalto; Portaria Normativa SE/CGU nº 226/2025, no Diário Oficial da União; cadastros de sanções do Portal da Transparência e Cadastro de Empregadores do Ministério do Trabalho e Emprego. Conteúdo revisado em outubro de 2026.
