Como fazer due diligence de fornecedor em 2026 — passo a passo

TL;DR

- 5 etapas: identificação cadastral → sanções → litigância → grupo econômico → matriz de risco.

- Esforço proporcional ao risco — contratos acima do limiar interno e setor público são prioridade.

- Relatório auditável com citação de fonte é o entregável; sem isso, não conta para compliance.

O que é due diligence de fornecedor

Due diligence de fornecedor é a investigação prévia que confirma que a contraparte de um contrato comercial é quem diz ser, está apta a contratar e não carrega passivo jurídico, regulatório ou reputacional que possa comprometer a operação.

O escopo varia com o risco. Compra pontual de papelaria não justifica o mesmo nível de investigação que contratação de provedor crítico, fornecedor de TI com acesso a dados pessoais, ou empreiteira em obra pública. Mas o método é o mesmo — muda só a profundidade.

Por que importa em 2026

Três vetores deixaram a due diligence de fornecedor inadiável:

• LGPD — quando o fornecedor processa dados pessoais, o contratante responde solidariamente por incidentes.
• Lei Anticorrupção (12.846/2013) — a empresa pode ser responsabilizada por ato de fornecedor em seu nome.
• Nova Lei de Licitações (14.133/2021) — habilitação técnica reforçada, com checagem de CEIS e CNEP obrigatória.

Passo a passo: 5 etapas

Etapa 1 · Identificação e capacidade jurídica

Comece pelo básico. Sem isso, o resto cai.

• CNPJ válido
• Situação cadastral ativa na Receita Federal
• CNAE compatível com o objeto do contrato
• Quadro de sócios e administradores (QSA)
• Tempo de existência da empresa

Etapa 2 · Sanções e idoneidade

Consulte CEIS, CNEP e CEPIM, TCU, CEAF e sanções setoriais. Cada hit precisa de vigência, fundamento e órgão sancionador.

Etapa 3 · Litigância e exposição judicial

O DataJud do CNJ expõe processos em 61 tribunais. Foque em processos como réu, execuções fiscais, recuperação judicial, falência, ações criminais empresariais e casos de alto impacto. Para ler mais, veja o guia da API DataJud.

Etapa 4 · Grupo econômico e cadeia

Mapeie empresas com sócios em comum, controladora, controladas, coligadas e histórico de fusões, aquisições ou cisão. Risco reputacional não respeita CNPJ — respeita quem está no comando.

Etapa 5 · Matriz de risco e parecer

Consolide achados por severidade e categoria. O parecer final responde: contratar, contratar com mitigação, ou rejeitar.

Checklist completo

| Etapa | Verificação | Fonte | |---|---|---| | 1 | CNPJ ativo | Receita Federal | | 1 | CNAE compatível | Receita Federal | | 1 | QSA atualizado | Receita Federal | | 2 | CEIS / CNEP / CEPIM | Portal da Transparência | | 2 | TCU — inidôneos | TCU | | 2 | Sanções setoriais | BACEN / CVM / ANVISA / ANEEL | | 3 | Processos como réu | DataJud / 61 tribunais | | 3 | Execuções fiscais | DataJud | | 3 | Recuperação judicial / falência | DataJud + DOU | | 4 | Sócios em comum | Receita Federal | | 5 | Matriz de risco preenchida | Interno | | 5 | Parecer assinado | Interno | | 5 | Audit log gravado | Interno (LGPD) |

Erros que custam contrato

1. Confundir homologação cadastral com due diligence.
2. Pular grupo econômico.
3. Ignorar vigência de sanção.
4. Aceitar relatório sem citação de fonte.
5. Tratar como evento único.
6. Não documentar.

A matemática do ROI da automação

Manualmente, uma due diligence completa leva de 2 a 6 horas. Com custo médio de R$ 180/hora, cada DD custa de R$ 360 a R$ 1.080. Automatizada, a consulta cai para 30 segundos a 3 minutos e reduz custo operacional em torno de 95%.

Como aplicar com a Lupa.law

A due diligence de CNPJ da Lupa implementa as 5 etapas em uma única busca. O monitoramento ativo fecha o ciclo: alertas chegam quando uma sanção entra ou um processo relevante é distribuído.

Perguntas frequentes