Raramente empresas operam de forma isolada – a folha de pagamento é processada no sistema de um fornecedor, os dados são armazenados na nuvem de outro, o atendimento ao cliente é conduzido por um parceiro e a logística depende, mesmo que parcialmente, de transportadoras externas. Cada uma dessas relações gera eficiência, mas também pode gerar risco: quando um terceiro falha, o impacto recai sobre a empresa que o contratou.

Esse risco deixou de ser exceção. Episódios em que a falha de um único fornecedor atinge várias empresas simultaneamente tornaram-se recorrentes e reguladores nos Estados Unidos, Europa e Brasil convergiram para um mesmo princípio: a empresa pode terceirizar a execução de uma atividade, mas não a responsabilidade por ela. Por isso, a Gestão de Riscos de Terceiros, ou TPRM, deixou de ser uma formalidade no ato da contratação para se tornar uma capacidade estratégica, diretamente conectada à cibersegurança e inovações em tecnologia (e.g., uso de Inteligência Artificial – IA – na cadeia), continuidade de negócios, controles internos, agenda de sustentabilidade (ESG) e, mais recentemente, temas de compliance voltaram para o spotlight (e.g., monitoramento para sanções contra operadores financeiros suspeitos envolvidos em lavagem de dinheiro). 

Abaixo resumimos a evolução das preocupações com TPRM ao longo do tempo:

Examinamos neste artigo por que o tema ganhou urgência, o que os reguladores têm exigido e como um programa bem estruturado contribui para a proteção de valor organizacional.

Por que a Gestão de Riscos de Terceiros é Crítica Hoje?

A Gestão de Riscos de Terceiros é o processo estruturado de identificar, avaliar, mitigar e monitorar os riscos associados a terceiros – sejam esses fornecedores, parceiros, prestadores de serviço ou clientes – ao longo de todo o ciclo de relacionamento.

Durante muito tempo, o TPRM foi tratado como uma formalidade: um questionário preenchido no momento da contratação e arquivado logo em seguida. Esse modelo já não se sustenta e os dados ajudam a dimensionar o problema: 

• Segundo o Data Breach Investigations Report 2025 da Verizon¹, que analisou mais de 22 mil incidentes de segurança, a participação de terceiros nas violações de dados dobrou em um ano, passando de 15% para 30%. Os custos associados são expressivos: segundo o “Cost of a Data Breach Report 2025”, da IBM, cada violação de dados custa, em média, US$ 4,44 milhões à organização afetada.²
• No campo de sanções e compliance, a pesquisa GSS Sanctions Survey 2025/2026 constatou que a qualidade dos dados de terceiros superou a própria complexidade das sanções como o principal desafio de conformidade. Além disso, 97% dos executivos entrevistados afirmaram que a colaboração e o compartilhamento de informações são fundamentais para a resiliência dos programas de sanções³.
• De acordo com o relatório anual de 2025 da Everstream Analytics, os riscos mais relevantes para interrupções em cadeias de fornecimento em 2025 incluem eventos climáticos extremos, instabilidade geopolítica, cibercrime, escassez de matérias-primas críticas e repressão ao trabalho forçado, demonstrando a ampliação do escopo tradicional de TPRM para além de riscos financeiros e tecnológicos.⁴
• Os prejuízos não se limitam ao aspecto financeiro. Um incidente envolvendo um terceiro pode interromper a operação, expor dados de clientes, gerar penalidades regulatórias e, talvez o efeito mais difícil de reverter, comprometer a confiança do mercado e a reputação da marca.

Em síntese: o risco de terceiros deixou de ser uma questão externa e passou a ser um dos riscos estratégicos de maior relevância, com impactos transversais e, ao mesmo tempo, diretos sobre os resultados e o valor da empresa.

Qual é o Posicionamento dos Reguladores? Terceiriza-se a Execução, Não a Responsabilidade

Recognizing the risks in third-party relationships, regulators across multiple jurisdictions have been establishing consistent standards: while execution can be outsourced, accountability cannot. Below, we explore how this approach is being implemented across major markets:

Estados Unidos. Em junho de 2023, as três principais autoridades bancárias americanas – o Federal Reserve, a Federal Deposit Insurance Corporation (FDIC) e o Office of the Comptroller of the Currency (OCC) – publicaram um guia conjunto sobre gestão de riscos em relações com terceiros. O documento unificou orientações que antes eram separadas e deixou um princípio explícito: realizar uma atividade por meio de um terceiro não reduz a responsabilidade da instituição contratante em operar de forma segura e em conformidade com a lei, com a mesma postura caso a atividade fosse realizada internamente.⁵ O guia também organiza o tema em um ciclo de vida: planejamento, devida diligência e seleção, negociação do contrato, monitoramento contínuo e encerramento. ⁶

União Europeia. Em janeiro de 2025, entrou em vigor o DORA (Digital Operational Resilience Act), regulação que harmoniza requisitos de resiliência operacional digital para 20 tipos diferentes de entidades financeiras e provedores terceiros de serviços de Tecnologia da Informação e Comunicações (TIC) na Europa.⁷ Um de seus cinco pilares é justamente a gestão de risco de terceiros de tecnologia. O DORA exige, por exemplo, que os contratos com fornecedores de tecnologia tragam cláusulas mínimas (níveis de serviço, direitos de auditoria, estratégias de saída e procedimentos de notificação de incidentes) e criou um mecanismo inédito de supervisão direta sobre os provedores de tecnologia considerados “críticos” ⁸.

Alemanha. Em janeiro de 2023, entrou em vigor a Lei Alemã de Due Diligence na Cadeia de Suprimentos (Lieferkettensorgfaltspflichtengesetz – LkSG), uma das primeiras legislações a transformar a gestão de riscos de terceiros em obrigação legal abrangente. A norma exige que empresas realizem análises periódicas de riscos em sua cadeia de fornecedores, adotem medidas preventivas e corretivas para tratar violações de direitos humanos e determinados riscos ambientais, além de estabelecer mecanismos de denúncia e monitoramento contínuo. A LkSG inspirou legislações similares na França, Países Baixos e Áustria. O escopo não se limita aos fornecedores diretos: em determinadas circunstâncias, a empresa também deve investigar riscos identificados em fornecedores indiretos ⁹.

Brasil. O movimento também alcançou o país. A Resolução CMN nº 4.893/2021 estabelece, para instituições financeiras, requisitos de governança e gestão na contratação de serviços relevantes de processamento, armazenamento de dados e computação em nuvem.¹⁰ Mais recentemente, a Resolução Conjunta nº 16/2025, que regulou o modelo de Banking as a Service, reforçou o mesmo princípio observado nos Estados Unidos: a terceirização transfere a execução das atividades, mas não a responsabilidade regulatória nem o dever de diligência perante clientes e supervisor.¹¹

O fio condutor é o mesmo nas quatro jurisdições: os reguladores não admitem que a falha de um fornecedor isente a empresa contratante. A responsabilidade permanece com quem contratou.

Como o Mercado está Gerindo Riscos de IA no Contexto de TPRM?

O próprio mercado começou a se antecipar – mesmo em temas sobre os quais os reguladores ainda não se pronunciaram, como a contratação de provedores de inteligência artificial. Em alguns casos, organizações setoriais vêm desenvolvendo referenciais para gestão de riscos em áreas nas quais ainda não existe orientação regulatória clara.

Recentemente, a Zetta, Associação Brasileira de Empresas de Tecnologia e Serviços Financeiros, anunciou o Guia de Avaliação de Provedores de IA Generativa (GAIAG), um framework prático para a contratação de provedores de IA no setor financeiro.¹² Fruto de cerca de um ano de trabalho colaborativo entre especialistas em regulação, risco, tecnologia e proteção de dados, o guia estabelece critérios claros de avaliação, exige evidências verificáveis dos fornecedores e adota uma lógica de proporcionalidade ao risco. Iniciativas como essa mostram que as empresas mais maduras não esperam o regulador: elas constroem, em conjunto, os padrões que reduzem o nível de exposição aos riscos de terceiros.

Como o TPRM se Conecta a Outras Disciplinas de Riscos?

Um equívoco comum é tratar o risco de terceiros como um tema isolado. Na prática, trata-se de uma questão transversal, que influencia e é influenciada por diversas outras disciplinas dentro da organização. Compreender essas conexões é o que distingue um programa meramente burocrático ou teórico de um programa que efetivamente protege valor.

Cibersegurança e tecnologia. É a conexão mais evidente. Parte considerável dos incidentes cibernéticos atuais tem origem em um fornecedor: um acesso mal configurado, uma credencial comprometida, um sistema desatualizado. Além disso, inovações tecnológicas, como o uso de IA, trazem oportunidades na mesma proporção que novos riscos para cadeia de fornecimento. Avaliar a maturidade de segurança dos terceiros equivale, na prática, a defender o próprio perímetro da organização.

Continuidade de negócios e resiliência. A interrupção das atividades de um fornecedor crítico pode paralisar a própria empresa. Por isso, programas maduros deixam de tratar grandes fornecedores apenas como contratos e passam a considerá-los parceiros de resiliência, com planos de recuperação, testes conjuntos e tempos máximos de retomada acordados em contrato.

Compliance e controles internos. A relação com terceiros precisa estar coberta por políticas, monitoramento, evidências auditáveis e linhas claras de responsabilidade. É aqui que o TPRM se encontra com programas de integridade, prevenção à lavagem de dinheiro, anticorrupção e contraterrorismo (temas em que eventuais irregularidades de um fornecedor, da cadeia de fornecimento, podem repercutir sobre a empresa contratante) e, de forma crescente, com a exigência de que os controles internos da empresa também alcancem a cadeia de fornecedores. Diante deste cenário, práticas como Know Your Supplier (KYS) e Know Your Client (KYC), embasadas em processos aprofundados de due diligence, tornaram-se ainda mais relevantes.

Sustentabilidade (ESG). Trata-se da conexão mais recente e, ainda hoje, frequentemente negligenciada. As normas IFRS S1 e S2, emitidas pelo International Sustainability Standards Board (ISSB) em 2023, exigem que as empresas divulguem riscos e oportunidades de sustentabilidade não apenas em suas próprias operações, mas ao longo de toda a sua cadeia de valor.¹³ 

No Brasil, a Comissão de Valores Mobiliários (CVM) incorporou esses padrões por meio da Resolução CVM nº 193, de 2023.¹⁴ Em maio de 2026, a Resolução CVM nº 244 substituiu essa obrigatoriedade por um modelo de “pratique ou explique”: a divulgação deixou de ser compulsória, mas as companhias que optarem por não divulgar deverão justificar a decisão ao mercado.¹⁵ Independentemente da obrigatoriedade, a mensagem para as empresas permanece: compreender o que ocorre na cadeia de fornecedores deixou de ser um detalhe e passou a integrar a forma como o mercado avalia riscos e oportunidades.

O ponto central é que essas disciplinas não competem entre si. Ao conhecer bem seus terceiros, a empresa fortalece simultaneamente a cibersegurança, a continuidade, o compliance e o reporte de sustentabilidade. O esforço é compartilhado, e os benefícios se multiplicam, em todas as pontas.

Como um Bom Programa de TPRM Protege Valor?

Vale traduzir esses princípios em termos concretos. Um programa de TPRM bem estruturado é feito com base nas particularidades da organização, e costuma se organizar ao longo do ciclo de vida do relacionamento com o terceiro. Cada etapa oferece uma proteção específica: 

• Entendimento do ambiente e estabelecimento das premissas metodológicas. Ter clareza sobre direcionadores estratégicos da organização, sobre os possíveis impactos desses direcionadores nas operações e na cadeia de fornecimento futura, bem como no comportamento atual dessa cadeia – incluindo a clareza sobre quais categorias de fornecimento são críticas para o negócio. Sem entender o que é crítico e o que não é para a organização, nenhum programa será suficiente para mitigar adequadamente seus riscos de terceiros. Para tanto, a integração com disciplinas correlacionadas, como gestão de riscos corporativos, controles internos, compliance, saúde e segurança, meio ambiente, financeiro, segurança da informação, dentre outras, é fundamental. É nessa etapa que garantimos que o programa de TPRM conversa de maneira padronizada, efetiva e transversal com toda a organização. 
• Planejamento. Antes da contratação, é importante que a organização identifique qual o grau de criticidade (nível de risco) da atividade que será terceirizada. Nem toda atividade representa o mesmo nível de risco. Tratar todas as contratações de maneira uniforme, ou realizar um planejamento apenas baseado no fornecedor (CNPJ), e não na atividade em si a ser terceirizada, implica desperdício de recursos e, consequentemente, em uma gestão inefetiva de riscos.

• Devida diligência e seleção. Avaliar o fornecedor antes da assinatura do contrato, considerando qual a atividade a ser executada, saúde financeira, postura de segurança, histórico, conformidade, suas próprias dependências e riscos específicos associados à natureza da contratação.

  Exemplo ilustrativo: uma empresa de infraestrutura está contratando um mesmo fornecedor, de serviços de Engenharia, para executar dois escopos diferentes: o 1º é a emissão de um parecer técnico consultivo, sem mão de obra mobilizada e sem exigências regulatórias específicas; o 2º é a execução de uma obra, com exigência de mobilização de cerca de mil profissionais em campo que executarão atividades como trabalho em altura, em espaço confinado, dentre outros. Para a organização em questão, o nível de risco do 1º escopo é consideravelmente menor que o nível de risco do 2º escopo. Desta forma, a mesma empresa passará por dois processos de diligência, um para cada escopo de fornecimento – o nível de rigidez de cada processo de diligência estará de acordo com o definido na primeira etapa. 

• Contrato. Organizações devem traduzir as expectativas em cláusulas objetivas: níveis de serviço, direitos de auditoria, notificação de incidentes, estratégias de saída.
• Monitoramento contínuo. Acompanhar o terceiro ao longo de toda a relação – não apenas na contratação. O perfil de risco pode se alterar com o tempo, e o monitoramento deve acompanhar essa evolução e incorporar eventuais novas contratações realizadas, avaliações de gestores de contrato, dentre outros.
• Encerramento. Planejar a saída com antecedência, assegurando a devolução de dados e uma transição ordenada, de modo a evitar interrupções e crises.

Quando essas etapas operam de forma integrada, o ganho vai além da simples prevenção de problemas. A empresa reduz a probabilidade e o impacto de incidentes, responde com mais agilidade quando ocorre uma falha, atende às exigências regulatórias com evidências disponíveis e, talvez o aspecto mais relevante, passa a tomar decisões de contratação com base em risco, e não apenas em preço. Essa é a essência da proteção de valor: menos perdas, maior resiliência e mais confiança.

O Que Vem pela Frente?

Dois movimentos devem moldar o tema nos próximos anos. O primeiro é a inteligência artificial, presente em duas frentes: como nova fonte de risco a ser avaliada nos fornecedores que a utilizam e, simultaneamente, como ferramenta para ampliar a escala das próprias avaliações de terceiros (dentro do programa de TPRM). O segundo é o adensamento da pressão regulatória, com normas cada vez mais detalhadas e supervisores progressivamente mais atentos à cadeia de fornecedores como um todo.

A direção é clara: a gestão de riscos de terceiros deixou de ser uma tarefa pontual de contratação para se tornar uma capacidade contínua e estratégica.

Da Teoria à Prática

Embora reguladores em todo o mundo já exijam TPRM e responsabilizem as organizações por falhas de terceiros, construir um programa efetivo requer ir além de listas de verificação. Programas maduros combinam conhecimento setorial e técnico com uma compreensão aprofundada do ambiente da organização. Para construir resiliência onde essa mais importa, as organizações devem estruturar frameworks de TPRM apoiados em cinco atributos principais:

1. Adaptabilidade aos diferentes tipos de risco; 
2. Integração às demais frentes de gestão de riscos, especialmente corporativos (ERM); 
3. Transparência ao longo de toda a cadeia;
4. Escalabilidade conforme o negócio cresce; e 
5. Orientação por dados reais sobre a cadeia de fornecimento.

Os resultados ilustram o tamanho da oportunidade. Quando organizações implementam um programa abrangente de TPRM, com governança centralizada, processos de homologação baseados em risco, indicadores de acompanhamento e capacitação das equipes, os ganhos vão muito além da conformidade. Elas ampliam sua capacidade de gerenciar terceiros com maior visibilidade, agilidade e controle. Mais importante, transformam o TPRM de uma atividade burocrática para uma capacidade estratégica: a habilidade de identificar e responder a riscos antes que esses se convertam em crises.

As opiniões e os pontos de vista expressos neste artigo são dos autores.

Leia edições anteriores de Raising The Bar

Referências

1. Verizon, “2025 Data Breach Investigations Report (DBIR).” https://www.verizon.com/about/news/2025-data-breach-investigations-report; https://www.verizon.com/business/resources/T16f/reports/2025-dbir-data-breach-investigations-report.pdf
2. IBM, “Cost of a Data Breach Report 2025.” https://www.ibm.com/reports/data-breach
3. Global Screening Services, “GSS Sanctions Survey 2025.” https://www.gss-rose.com/gss-sanctions-survey-2025-26/
4. Everstream Analytics, “2025 Annual Risk Report.” https://www.everstream.ai/media/everstream-analytics-unveils-2025-annual-risk-report/
5. Board of Governors of the Federal Reserve System, FDIC, and OCC, “Interagency Guidance on Third-Party Relationships: Risk Management,” 2023. https://www.federalreserve.gov/frrs/guidance/interagency-guidance-on-third-party-relationships.htm
6. OCC, “Agencies Issue Final Guidance on Third-Party Risk Management,” Bulletin 2023-17. https://www.occ.treas.gov/news-issuances/news-releases/2023/nr-ia-2023-53.html
7. European Insurance and Occupational Pensions Authority (EIOPA), “Digital Operational Resilience Act (DORA).” https://www.eiopa.europa.eu/digital-operational-resilience-act-dora_en
8. European Supervisory Authorities (EBA, EIOPA, ESMA), “European Supervisory Authorities Designate Critical ICT Third-Party Providers Under DORA.” https://www.eba.europa.eu/publications-and-media/press-releases/european-supervisory-authorities-designate-critical-ict-third-party-providers-under-digital
9. German Federal Government, “Supply Chain Due Diligence Act (Lieferkettensorgfaltspflichtengesetz),” 2023. https://www.gesetze-im-internet.de/lksg/
10. Conselho Monetário Nacional, “Resolução CMN nº 4.893, de 26 de fevereiro de 2021.” https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20CMN&numero=4893
11. Banco Central do Brasil and Conselho Monetário Nacional, “Resolução Conjunta nº 16, de 28 de novembro de 2025.” https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20Conjunta&numero=16
12. Zetta, “GAIAG — Guia de Avaliação de IA Generativa (Generative AI Evaluation Guide).” https://gaiag.somoszetta.org.br/
13. IFRS Foundation, “IFRS S1 General Requirements for Disclosure of Sustainability-related Financial Information” and “IFRS S2 Climate-related Disclosures,” June 2023. https://www.ifrs.org/issued-standards/ifrs-sustainability-standards-navigator/ifrs-s1-general-requirements/
14. Comissão de Valores Mobiliários, “Resolução CVM nº 193, de 20 de outubro de 2023.” https://conteudo.cvm.gov.br/legislacao/resolucoes/resol193.html
15. Comissão de Valores Mobiliários, “CVM amends Resolution 193 to revoke the mandatory disclosure of sustainability-related financial information” (Resolução CVM nº 244, de 29 de maio de 2026, which replaced the mandate with the comply-or-explain model). https://www.gov.br/cvm/pt-br/assuntos/noticias/2026/cvm-altera-resolucao-193-para-revogar-obrigatoriedade-da-divulgacao-de-informacoes-financeiras-relacionadas-a-sustentabilidade