Due diligence de terceiros no programa de integridade.

Imagine uma empresa prestes a contratar um despachante, um consultor ou um subcontratado para uma obra pública, que quer saber o que conferir antes de assinar. As normas federais de integridade tratam disso com um nome próprio, diligências apropriadas, baseadas em risco. Este texto mostra onde isso está escrito, o que cada norma cobra e o que fica por conta de quem monta o programa.

O que a lei e o decreto escrevem vem como regra. O que a CGU recomenda em guia vem como orientação, que não obriga. O que é interpretação vem como leitura. As fontes oficiais foram conferidas em 11 de outubro de 2026. O programa em si está em o que é programa de integridade e para que serve.

É parâmetro de avaliação, não obrigação geral

O Decreto 11.129, abre em nova aba diz que o programa de integridade “será avaliado” de acordo com parâmetros, e um deles são “diligências apropriadas, baseadas em risco” para a contratação e, conforme o caso, a supervisão de terceiros, como fornecedores, prestadores de serviço, agentes intermediários, despachantes, consultores, representantes comerciais e associados (Decreto 11.129, art. 57, XIII, abre em nova aba, a). O Decreto 12.304, abre em nova aba repete a fórmula (Decreto 12.304, art. 3.º, XIV, abre em nova aba, a). Nenhum dos textos lidos manda a empresa fazer diligência de todo terceiro. Na leitura deste texto, a diligência é parâmetro para avaliar o programa, e a intensidade acompanha o risco. Os parâmetros dos dois decretos estão em programa de integridade no Decreto 11.129 tem 15 parâmetros e em Decreto 12.304 e os 17 parâmetros do programa.

A expressão due diligence não aparece nos dois decretos, na Portaria 226, abre em nova aba nem na Instrução Normativa 46, abre em nova aba, e KYC e KYS também não aparecem nos textos oficiais lidos. O termo das normas é diligências. Os números dos incisos e das áreas mudam de norma para norma, e terceiros e fusões ficam em incisos separados.

Outros parâmetros chegam ao terceiro por outro caminho. O código de conduta e as políticas de integridade se estendem, “quando necessário”, a terceiros (Decreto 11.129, art. 57, III), e os procedimentos contra fraude em licitação e contrato valem para qualquer interação com o setor público, “ainda que intermediada por terceiros” (Decreto 11.129, art. 57, VIII). Na avaliação, o decreto manda considerar o porte e as especificidades da empresa, entre elas a utilização de agentes intermediários, como consultores ou representantes comerciais (Decreto 11.129, art. 57, § 1.º, IV).

Por que o terceiro pesa para a empresa

A Lei 12.846, abre em nova aba responsabiliza a pessoa jurídica, de forma objetiva, pelos atos lesivos “praticados em seu interesse ou benefício, exclusivo ou não” (Lei 12.846, art. 2.º, abre em nova aba). O artigo não usa a palavra fornecedor. A palavra “terceira pessoa” aparece no art. 5.º, I, abre em nova aba, mas ali é a pessoa ligada ao agente público (Lei 12.846, art. 5.º, I). Quem fala em terceiros que podem gerar responsabilização para a empresa é a CGU, no guia de 2015, que define terceiros como os que “podem agir no interesse ou em benefício da pessoa jurídica gerando-lhe responsabilização” e dá como exemplos fornecedores, prestadores de serviço, agentes intermediários e associados. O mesmo guia diz que a utilização de terceiros nas relações com o setor público é “fonte de grande risco” para a integridade da empresa.

Na leitura deste texto, a responsabilidade por ato de terceiro se apoia no art. 2.º da Lei 12.846 e no guia de 2015, e não numa frase de lei que diga que a empresa responde por qualquer ato de fornecedor, mesmo sem saber. A Lei 12.846 também trata da pessoa interposta, usada para ocultar ou dissimular os reais interesses (Lei 12.846, art. 5.º, III), e da criação fraudulenta de pessoa jurídica para participar de licitação (Lei 12.846, art. 5.º, IV, e). O ato lesivo da Lei 12.846 é também infração da Lei 14.133, abre em nova aba (Lei 14.133, art. 155, XII, abre em nova aba).

O que a CGU olha na Portaria 226

A Portaria 226, abre em nova aba avalia o programa por perguntas, reunidas em áreas no Anexo II. Terceiros e fusões estão na Área VIII, nos itens 14 a 16. A área tem dez perguntas. A 14.1 indaga se há políticas e procedimentos, baseados em risco, para as diligências e para a contratação e a supervisão de terceiros, e se eles determinam a verificação de possível envolvimento do terceiro em corrupção e fraude contra a Administração (item 14.1.1), a consulta às “listas sujas” de trabalho escravo (item 14.1.2) e a adoção de medidas se o resultado indicar alto risco (item 14.1.4). A 14.2 indaga se a empresa realizou diligências de integridade nos últimos 12 meses. A 15.1 trata das cláusulas contratuais, com vedação de fraude e corrupção e previsão de penalidade ou rescisão (itens 15.1.1 e 15.1.2). A lista completa está em programa de integridade na Portaria 226 da CGU explicada.

A pergunta 14.1.1 é a única de nível QN1 na Área VIII. As QN1 são, nas palavras da Portaria, “elementos mínimos e fundamentais de cumprimento obrigatório” (Portaria 226, Anexo I, item 2.1.3.1). Em obra, serviço ou fornecimento de grande vulto, o programa só é considerado implantado se obtiver pontuação integral nas QN1, no mínimo 45% da pontuação de cada área e no mínimo 70% da pontuação total (Portaria 226, Anexo I, item 3.1). No critério de desempate, a pontuação integral nas QN1 só é exigida se a CGU convocar o licitante para comprovar o que declarou na autoavaliação (Portaria 226, Anexo I, item 4.1). Fora dessas duas situações, o texto lido não cria essa exigência. A situação do grande vulto está em programa de integridade em obras de grande vulto.

Na leitura deste texto, a pergunta 14.1.1 funciona como exigência de política escrita de diligência para o programa ser considerado implantado em contrato de grande vulto e, no desempate, se a CGU convocar. Isso não é obrigação de diligenciar todo contrato. A Portaria ainda prevê que a CGU pode promover diligências sobre a pessoa jurídica contratada e sobre os sócios e dirigentes dela, por pesquisas e consultas a sistemas governamentais e a páginas eletrônicas disponíveis na internet (Portaria 226, art. 10, I, abre em nova aba).

No Pró-Ética 2025-2026, a Área VII, de diligências para contratação e supervisão de terceiros e para fusões e aquisições, vale 9 dos 100 pontos (Instrução Normativa CGU/SIPRI 46, abre em nova aba, Anexo I). A instrução só nomeia a área. As perguntas estão no Documento Orientativo, que a própria instrução declara parte dela (Instrução Normativa CGU/SIPRI 46, art. 42, abre em nova aba). Entre elas estão a classificação dos contratados por categoria de risco (16.1.6), a diligência aprofundada para parcerias como consórcios, associações, joint ventures e sociedades de propósito específico (16.1.7), a forma e a periodicidade da supervisão, com reavaliações (16.1.11), a consulta obrigatória ao CEIS, ao CNEP e ao CEPIM (16.1.12) e a segregação de função entre quem faz a diligência e quem autoriza a contratação (16.4). O selo está em selo Pró-Ética da CGU, requisitos e efeitos na licitação.

O roteiro de uma diligência baseada em risco

A tabela monta o roteiro a partir do que está escrito, com a base e a natureza de cada item. Os guias da CGU não obrigam, e a ordem não é sequência fixada em norma. O guia de 2024 resume o critério assim, quanto maior o risco do negócio, mais aprofundada deve ser a diligência.

Nenhum texto lido exige questionário, software, certificação ou auditoria presencial. O Documento Orientativo cita bancos de dados, formulários e serviços terceirizados só como exemplos de comprovação, e o guia de 2024 diz apenas que existem diversas ferramentas disponíveis no mercado. Prazo, formato e periodicidade também não estão fixados. O guia diz que as empresas devem ter o hábito de refazer as diligências periodicamente, “a depender do prazo do contrato e do perfil de risco do contratado”. O guia diz ainda que as diligências podem buscar informações positivas, como saber se o terceiro tem programa de integridade implementado.

Beneficiário final, background check e KYC

Esses termos vêm do mercado. A expressão beneficiário final tem zero ocorrência na Lei 12.846, abre em nova aba, na Lei 14.133, abre em nova aba, nos dois decretos, na Portaria 226, abre em nova aba, na Instrução Normativa 46, abre em nova aba, no Documento Orientativo e nos guias da CGU lidos. A Lei 12.846 fala em “identidade dos beneficiários dos atos praticados” (Lei 12.846, art. 5.º, III, abre em nova aba, e Lei 12.846, art. 19, § 1.º, II, abre em nova aba), que é outro assunto. As expressões background check e due diligence aparecem no Documento Orientativo apenas na coluna de exemplos de comprovação. Quem usa esses nomes está usando o vocabulário do mercado, e a norma diz diligências.

CEIS, CNEP e CEPIM não são a mesma coisa

Os guias da CGU citam os três cadastros como fonte pública para a diligência. Cada um registra uma coisa.

O efeito de cada registro depende do tipo de sanção, das datas de início e de fim do efeito, do órgão sancionador e do escopo, que o decreto manda constar do cadastro (Decreto 11.129, art. 60, III, VI, VII, VIII e X, abre em nova aba). Na leitura deste texto, o efeito não se deduz do nome do cadastro. O impedimento e a inidoneidade da Lei 14.133, abre em nova aba vêm de outro artigo (Lei 14.133, art. 156, III e IV, abre em nova aba) e estão em quais são as sanções da Lei 14.133 e o que cada uma exige.

O registro nos cadastros é feito imediatamente após o prazo para o pedido de reconsideração ou recurso cabível, ou após a publicação da decisão final, quando ela tiver efeito suspensivo (Decreto 11.129, art. 61, abre em nova aba). O órgão tem 15 dias úteis, contados da aplicação da sanção, para informar os dados (Lei 14.133, art. 161, abre em nova aba). Na leitura deste texto, pode haver sanção já aplicada e ainda não publicada, e por isso a consulta ajuda, mas não prova ausência de sanção. Para a Administração, consultar o CEIS e o CNEP é etapa legal antes de formalizar ou prorrogar o contrato (Lei 14.133, art. 91, § 4.º, abre em nova aba).

O guia de 2024 sugere ainda checar se o terceiro “figura em cadastro ou lista positiva, como o Pró-Ética”. A Instrução Normativa 46 diz que a marca “tampouco certifica a ética, a legalidade ou idoneidade da empresa listada” (Instrução Normativa 46, art. 31, parágrafo único, abre em nova aba). Na leitura deste texto, lista positiva é informação a mais, e não prova de idoneidade.

Sinais de alerta e cláusulas

O guia de 2024 lista oito circunstâncias que podem sinalizar irregularidade do parceiro durante a execução do contrato, sobretudo quando ele intermedeia, ainda que indiretamente, o relacionamento com a Administração Pública.

• Pagamento de modo não usual, como em espécie, em moeda estrangeira, em diversas contas ou em conta de país diferente do da incorporação da empresa ou da prestação do serviço.
• Pedido de pagamento em conta bancária de terceiros.
• Comissão substancialmente acima do valor.
• Antecipação de pagamento sem justificativa razoável.
• Descontos excessivos ou serviços prestados por valores abaixo do praticado no mercado.
• Descrição vaga dos serviços.
• Contratação de pessoas expostas politicamente ou de familiares para funções relevantes na governança do terceiro.
• Notícias desabonadoras na mídia sobre irregularidades do parceiro.

O guia diz que as suspeitas devem ser comunicadas ao responsável pelo programa de integridade e investigadas. Para o contrato, recomenda cláusulas que obriguem à observância de normas éticas, vedem fraude, corrupção e desrespeito a direitos humanos, trabalhistas e sociais, prevejam sanção, até a rescisão, e prevejam indenização se a contratante for responsabilizada por ato do contratado. A Portaria 226, abre em nova aba pergunta pelas cláusulas de vedação e de penalidade (Portaria 226, Anexo II, itens 15.1.1 e 15.1.2) e pelo código de conduta aplicável a terceiros, com declaração de ciência (Portaria 226, Anexo II, itens 7.4 e 7.5).

O que muda na licitação

Na subcontratação, a lei permite subcontratar partes da obra, do serviço ou do fornecimento até o limite que a Administração autorizar (Lei 14.133, art. 122, abre em nova aba). O contratado apresenta documentação que comprove a capacidade técnica do subcontratado (Lei 14.133, art. 122, § 1.º). Regulamento ou edital podem vedar, restringir ou condicionar a subcontratação (Lei 14.133, art. 122, § 2.º), e é vedado subcontratar quem, ou cujos dirigentes, mantenha vínculo com dirigente do órgão contratante ou com agente público que atue na licitação, na fiscalização ou na gestão do contrato, ou seja cônjuge, companheiro ou parente até o terceiro grau (Lei 14.133, art. 122, § 3.º). Cadastros e histórico de integridade do subcontratado não aparecem nesse artigo.

O Manual de Licitações e Contratos do TCU, que é orientação, lê o art. 122 assim. A subcontratação é parcial, o contratado segue responsável legal e contratualmente pela parte subcontratada, a Administração avalia a qualificação técnica do subcontratado, e a subcontratação não autorizada é motivo para extinguir o contrato (Lei 14.133, art. 137, I, abre em nova aba). Que a subcontratação total seja proibida é leitura do Manual sobre a palavra “partes” (Lei 14.133, art. 122, caput), e a lei não usa a palavra “total”. Este texto trata essa proibição como leitura do Manual.

O TCU deu ciência em dois acórdãos do Plenário. No Acórdão 963/2024, abre em nova aba, da sessão de 22 de maio de 2024, a ciência foi sobre a falta de verificação, nas subcontratadas, dos requisitos de experiência previstos no termo de referência, o que contraria o art. 122, § 1.º, da Lei 14.133 (item 9.3.2). No Acórdão 2450/2025, abre em nova aba, da sessão de 22 de outubro de 2025, a ciência foi sobre a vedação integral à subcontratação sem justificativa técnica no estudo técnico preliminar ou no termo de referência (item 9.4.2). Na leitura deste texto, os dois são ciência, e não sanção, tratam do ponto de vista do órgão contratante e não criam dever de diligência para a empresa privada.

No consórcio, todas as consorciadas comprovam a implantação do programa de integridade em contrato firmado em consórcio (Decreto 12.304, art. 5.º, § 2.º, abre em nova aba). As consorciadas respondem solidariamente pelos atos da Lei 12.846, abre em nova aba no âmbito do contrato, mas só pela multa e pela reparação integral do dano (Lei 12.846, art. 4.º, § 2.º, abre em nova aba). O Documento Orientativo do Pró-Ética pergunta se a política prevê diligência aprofundada para parcerias como consórcios, associações, joint ventures e sociedades de propósito específico (pergunta 16.1.7). O regime do consórcio e a comparação com a subcontratação estão em consórcio em licitação, regras da Lei 14.133 e do TCU.

Quem está impedido por sanção não pode disputar licitação nem “participar da execução de contrato, direta ou indiretamente” (Lei 14.133, art. 14, III, abre em nova aba). O impedimento alcança também o licitante que atua em substituição a outra pessoa para burlar a sanção, inclusive controladora, controlada ou coligada, desde que comprovado o ilícito ou o uso fraudulento da personalidade jurídica (Lei 14.133, art. 14, § 1.º). Há ainda o impedimento de quem, nos 5 anos anteriores à divulgação do edital, foi condenado judicialmente, com trânsito em julgado, por trabalho infantil, por submissão de trabalhadores a condições análogas às de escravo ou por contratação de adolescentes nos casos vedados (Lei 14.133, art. 14, VI). A personalidade jurídica usada com abuso do direito para encobrir ilícito pode ser desconsiderada, e os efeitos da sanção alcançam administradores, sócios com poderes de administração, a pessoa jurídica que a suceder e a empresa do mesmo ramo com relação de coligação ou controle (Lei 14.133, art. 160, abre em nova aba).

O Acórdão 1273/2025, abre em nova aba do Plenário, da sessão de 4 de junho de 2025, tratou de empresa que participou de certame para contornar sanção de licitar e contratar imposta a outra, do mesmo grupo econômico. O TCU entendeu que isso caracteriza fraude à licitação e declarou a inidoneidade das duas por cinco anos (Lei 8.443/1992, art. 46, abre em nova aba). A sanção burlada era a da lei antiga do pregão, de regime anterior ao da Lei 14.133 quanto ao tipo de sanção. O acórdão trata da empresa que burla a sanção e não criou dever de diligência para quem contrata. Na leitura deste texto, uma diligência que olhe grupo econômico, sócios e sanções de empresas ligadas conversa com o risco que ele descreve.

Pequena empresa e dados pessoais

O Decreto 11.129, abre em nova aba manda considerar, na avaliação, o porte e as especificidades da empresa (Decreto 11.129, art. 57, § 1.º, abre em nova aba) e prevê que a CGU edite normas sobre a forma de avaliação simplificada para microempresas e empresas de pequeno porte (Decreto 11.129, art. 67, III, abre em nova aba). O ato da CGU sobre essa avaliação simplificada não foi lido. A Área VIII da Portaria 226, abre em nova aba não traz a nota de rodapé de porte que outras áreas trazem. Na leitura deste texto, as perguntas de terceiros valem também para ME e EPP, e nenhum texto lido dispensa a pequena empresa de diligência. A proporção está em programa de integridade na pequena empresa é proporcional.

Diligência sobre sócio, familiar ou pessoa exposta politicamente trata dado pessoal. A LGPD pede finalidade e necessidade, com tratamento limitado ao mínimo necessário (Lei 13.709, art. 6.º, I e III, abre em nova aba). O legítimo interesse do controlador ou de terceiro é uma das hipóteses legais, salvo se prevalecerem direitos e liberdades fundamentais do titular (Lei 13.709, art. 7.º, IX, abre em nova aba). O tratamento de dado de acesso público deve considerar a finalidade, a boa-fé e o interesse público que justificaram sua disponibilização (Lei 13.709, art. 7.º, § 3.º), e, no legítimo interesse, só os dados estritamente necessários podem ser tratados (Lei 13.709, art. 10, § 1.º, abre em nova aba). O guia da ANPD pede um teste de balanceamento entre os interesses do controlador ou de terceiro e os direitos dos titulares. Na leitura deste texto, quem faz a diligência precisa escolher e registrar a base legal e coletar o mínimo. Qual base serve ao caso concreto é decisão do controlador e não foi analisada aqui, e nenhum texto oficial lido trata da LGPD na diligência de terceiros.

O que a CGU e o TCU dizem

A CGU fala de terceiros em duas frentes, a avaliação, pela Portaria 226, abre em nova aba e pelo Pró-Ética, e a orientação, pelos guias de 2015, de 2024 e do Pacto Brasil. Para a CGU, conhecer os terceiros serve também para escolher “parceiros de negócios que compartilham os mesmos valores e comportamentos éticos”. Não localizamos documento da CGU só sobre due diligence de terceiros por empresa privada, com formulário-modelo ou lista fechada. Do TCU, não localizamos acórdão, súmula ou item de manual sobre due diligence de terceiros feita por empresa privada, e o que há trata de subcontratação e de burla de sanção. A busca foi feita em 11 de outubro de 2026, na API pública de jurisprudência do TCU e no Manual de Licitações e Contratos, e ausência de achado não é prova de ausência.

O que este texto deixa de fora

O Decreto 12.304, abre em nova aba e a Portaria 226, abre em nova aba tratam da administração federal, e o decreto alcança outros entes só com transferência voluntária da União (Decreto 12.304, art. 1.º, parágrafo único, abre em nova aba). Não foram verificadas regras de Santa Catarina nem de município. Não foram lidas as cartilhas da CGU sobre integridade para pequenos negócios (2017) e sobre avaliação de programas em acordos de leniência (2020), porque os links não devolveram o arquivo. Também ficaram sem leitura o Portal da Transparência, com os cadastros CEIS, CNEP e CEPIM, e as certidões da CGU, cujo conteúdo é montado por script, a regra da Receita sobre beneficiário final no CNPJ, o ato da CGU sobre avaliação simplificada de ME e EPP, o STF, o STJ, a base da LGPD para a diligência sobre pessoa física e as resoluções setoriais de bancos e seguradoras. A verificação em fusões e aquisições, que tem inciso próprio, só aparece aqui para mostrar a numeração.

Não encontramos ato que altere a Portaria 226 ou o Decreto 12.304, e a página de normativos de integridade privada da CGU os lista sem marca de revogação em 11 de outubro de 2026. Convém reconferir no Diário Oficial na data da leitura.

Este texto é informativo e geral. Não trata de caso concreto e nada aqui promete resultado em avaliação de programa de integridade.