Modelos e registos · ISO 37301 · Cláusula 8.1 y 8.2
Modelo de due diligence de terceiros para compliance
A verificação, antes e durante a relação, de que um agente, distribuidor ou fornecedor não traz para a empresa um risco de incumprimento que esta não pode assumir.
Numa frase
A due diligence de terceiros avalia o risco de compliance de parceiros de negócio, agentes e fornecedores —beneficiário efetivo, reputação, sanções, setor e país—, aplica verificações proporcionais a esse risco e deixa registo da decisão e das cláusulas exigidas; a ISO 37301 não a refere como registo obrigatório, mas é assim que se controlam os processos subcontratados e os riscos de terceiros (8.1 e 8.2).
- Onde a norma o exige
- ISO 37301 · Cláusula 8.1 y 8.2 As secções seguem a ISO 37301:2021, a edição em vigor, que substituiu o guia ISO 19600.
- Tipo de informação
- Boa prática Boa prática que concretiza os controlos das secções 8.1 e 8.2
- Quem o preenche
- Área que contrata, com o compliance O compliance valida os casos de risco elevado e pode vetar a relação
- Quando
- Antes de contratar E periodicamente consoante o risco, ou perante sinais de alerta
- Durante quanto tempo se conserva
- Definido pela organização A ISO 37301 não fixa prazos. Em Espanha, convém ter em conta os prazos de prescrição dos crimes que o sistema pretende prevenir, porque o registo é a prova da diligência.
O que a norma exige
O que o referencial ISO 37301 exige e o que fica ao seu critério
A ISO 37301 pede que se controlem os processos subcontratados e se estabeleçam controlos para gerir as obrigações e os riscos de compliance. Quando o risco nasce de um terceiro —um agente que vende em nome da empresa, um distribuidor noutro país—, a due diligence é o controlo natural.
A norma não fixa o conteúdo. A ISO 37001, para o suborno, desenvolve-o: avaliar a natureza e a extensão do risco de cada parceiro de negócio e aplicar verificações proporcionais. É a referência mais utilizada, mesmo quando não se procura essa certificação.
Não é a avaliação de fornecedores da ISO 9001 nem a de segurança da ISO 27001: aqui pergunta-se quem é realmente o terceiro e se a sua conduta pode tornar a empresa responsável.
Estrutura
Campos que o modelo deve ter
- Terceiro, tipo de relação e serviço
- Nível de risco: país, setor, interação com funcionários públicos, forma de pagamento
- Beneficiário efetivo e administradores
- Verificações: listas de sanções, imprensa, referências, certificados
- Sinais de alerta detetados e como foram resolvidos
- Cláusulas exigidas: cumprimento, auditoria, resolução
- Decisão, quem a toma e condições
- Próxima revisão
Exemplo
Exemplo: contratação de um agente comercial no estrangeiro
Empresa, pessoas e números fictícios: o exemplo serve apenas para mostrar como fica um registo bem preenchido.
| Campo | Conteúdo |
|---|---|
| Terceiro | Agente comercial (fictício) para vendas a hospitais públicos noutro país · comissão de 8 % |
| Risco | Elevado: interage com compradores públicos e é remunerado por resultados |
| Beneficiário efetivo | Pessoa singular identificada; sem ligações ao comprador público segundo declaração assinada |
| Verificações | Listas de sanções sem correspondências · imprensa sem notícias adversas · duas referências confirmadas |
| Sinal de alerta | Pediu o pagamento numa conta de um país terceiro · recusado: pagamento apenas em conta em seu nome no país do serviço |
| Cláusulas | Cumprimento anticorrupção, direito de auditoria e resolução imediata |
| Decisão | Aprovado com condições pela responsável de compliance, 12 de maio de 2026 |
| Revisão | Anual |
Na auditoria
Erros que os auditores costumam apontar
- A mesma verificação para todos os terceiros, sem graduar por risco.
- Sinais de alerta anotados sem decisão sobre eles.
- Due diligence feita apenas na contratação e nunca revista.
- Contratos com agentes sem cláusula de cumprimento nem de resolução.
No Kimobox
Como se gere este registo no Kimobox
- 1A diligência devida de cada terceiro relevante regista-se a partir do portal de fornecedores.
- 2A documentação do terceiro mantém-se com as datas de validade vigiadas.
- 3A matriz de delegação de autoridade define quem pode aprovar cada relação de risco.
Perguntas frequentes
O que nos perguntam antes de começar
É preciso fazer due diligence a todos os fornecedores?
Não com a mesma intensidade. O razoável é uma classificação prévia por risco: os de risco baixo passam por uma verificação básica e os de risco elevado pela completa, com revisão periódica.
Que relação tem com a diligência devida fiscal da UNE 19602?
É o mesmo controlo visto por outra lente: a UNE 19602 centra-se nos riscos tributários das operações com terceiros. Quem mantenha os dois sistemas pode usar uma ficha única com os dois blocos.
Faça a gestão dos registos do referencial ISO 37301 sem modelos avulsos
Mostramos-lhe o módulo a funcionar com dados semelhantes aos seus.
Continue a explorar
Páginas relacionadas
Modelo de avaliação da segurança de fornecedores ISO 27001
Como avaliar e acompanhar a segurança dos fornecedores segundo os controlos 5.19 a 5.22 da ISO 27001: acesso…
Operacionalização
A operacionalização traduz a política em controlos reais: diligência devida de parceiros e fornecedores, e…
Modelo de registo de obrigações de compliance ISO 37301
Como documentar as obrigações de compliance exigidas pela ISO 37301: requisitos obrigatórios e compromissos…
Modelo de matriz de riscos de compliance ISO 37301
Como documentar a avaliação de riscos de compliance da ISO 37301: obrigação, atividade, causas…
Fontes
De onde vem cada dado
Referências ao texto oficial em vigor. Se uma norma for revista, esta página é atualizada e a data de revisão reflete-o.
- ISO 37301:2021 — Sistemas de gestão de compliance. Requisitos com orientação para utilização ISO · Abril de 2021
- ISO 37001:2016 — Sistemas de gestão antissuborno ISO · Ed. 2016