Consulta CEIS, CNEP e CEPIM — guia prático para due diligence em 2026

TL;DR

- CEIS, CNEP e CEPIM são bases distintas mantidas pelo Portal da Transparência. Consultar só uma deixa empresa sancionada passar.

- API pública existe e é gratuita, mas tem rate limit e devolve dados em formato bruto — não pronto para relatório.

- Para due diligence em escala, o caminho é cruzar CEIS + CNEP + CEPIM com TCU, CEAF, Receita e DataJud em uma única consulta auditável.

O que cada cadastro significa

As três siglas costumam aparecer no mesmo parágrafo de manuais de compliance, e por isso são tratadas como sinônimas com frequência. Não são. Cada uma cobre um tipo específico de penalidade, com regime jurídico próprio.

CEIS — Cadastro Nacional de Empresas Inidôneas e Suspensas

Mantido pela Controladoria-Geral da União (CGU), o CEIS reúne empresas e pessoas físicas que receberam sanção que impede de contratar com a Administração Pública. Inclui declaração de inidoneidade (Lei 8.666/1993, Lei 14.133/2021), suspensão temporária e impedimento de licitar.

CNEP — Cadastro Nacional de Empresas Punidas

Criado pela Lei Anticorrupção (12.846/2013), o CNEP registra penalidades aplicadas a pessoas jurídicas por ato lesivo à Administração — multas, publicação extraordinária da decisão e acordos de leniência. Ao contrário do CEIS, o CNEP preserva o histórico mesmo após cumprimento, com data de início e fim da penalidade.

CEPIM — Cadastro de Entidades Privadas Sem Fins Lucrativos Impedidas

O CEPIM lista entidades sem fins lucrativos impedidas de celebrar convênios, contratos de repasse ou termos de parceria com a Administração Federal. Costuma ser ignorado em due diligence comercial e isso é um erro: muitas operações envolvem ONGs, OSCIPs e fundações em ponta de cadeia.

Como consultar manualmente

As três bases vivem no Portal da Transparência. O fluxo manual padrão é:

1. Abrir portaldatransparencia.gov.br/sancoes
2. Filtrar por CNPJ, razão social ou tipo de sanção
3. Avaliar cada resultado lendo o detalhamento — órgão sancionador, fundamento legal, vigência
4. Repetir o processo nas outras duas bases (CNEP, CEPIM)
5. Consolidar tudo em planilha

Para due diligence pontual de uma empresa funciona. Para um pipeline de M&A com dezenas de targets, ou para screening contínuo de fornecedores, o custo de tempo é inviável — e o risco de erro humano é alto.

A API pública e seus limites

O Portal da Transparência expõe uma API REST autenticada por chave-api-dados, gratuita após cadastro. Os endpoints relevantes:

• /api-de-dados/ceis — pesquisa CEIS por CNPJ ou nome
• /api-de-dados/cnep — pesquisa CNEP
• /api-de-dados/cepim — pesquisa CEPIM

O retorno é JSON paginado com 90 itens por página. Quatro armadilhas comuns na integração:

• Rate limit — 30 requisições por minuto entre 00h-06h, 90 entre 06h-24h. Picos estouram.
• Sem indexação por hash — não há ETag por recurso; é preciso comparar payloads para detectar mudança real.
• Campos opcionais — vigência, fundamento e UF do órgão sancionador podem vir vazios. Tratar como ausência, não como negativo.
• Sem webhook — para monitoramento contínuo, é preciso polling com cache local e diff próprio.

Erros comuns em due diligence de sanções

1. Consultar só CEIS. Empresa pode estar limpa em CEIS e ter penalidade ativa em CNEP por ato lesivo recente.
2. Confundir homonímia. Razão social parecida sem comparar CNPJ — falso positivo derruba a credibilidade do relatório.
3. Ignorar vigência. Sanção cumprida há 5 anos não tem o mesmo peso de sanção em vigor.
4. Não citar a fonte. Relatório que diz "empresa sancionada" sem link, data e órgão é inutilizável em comitê.
5. Pular grupo econômico. A empresa-alvo está limpa, mas a controladora ou uma coligada está no CEIS.

Checklist mínimo de uma due diligence de sanções

• CNPJ-alvo nas três bases (CEIS, CNEP, CEPIM)
• Sócios e administradores (CPF) nas mesmas bases
• Empresas do mesmo grupo econômico
• TCU — inidôneos e contas julgadas irregulares
• CEAF — expulsões da Administração Federal
• Vigência e fundamento de cada hit
• Citação de fonte por linha do relatório
• Audit log de quem consultou e quando (LGPD)

Quando vale automatizar

O ponto de inflexão típico está em torno de 10 due diligences por mês ou em qualquer operação com monitoramento contínuo (carteira de fornecedores, pipeline de M&A, contratos com a Administração Pública). A partir daí, o tempo de consulta manual passa a custar mais que a ferramenta — e o risco de erro humano cresce linearmente com o volume.

A due diligence de CNPJ da Lupa.law consulta em paralelo CEIS, CNEP, CEPIM, CEAF, TCU, Receita Federal, contratos federais e DataJud, devolve um relatório com semáforo de risco e cita a fonte por linha.

Perguntas frequentes