Procurement Garage Índice
O erro mais caro não é contratar um fornecedor ruim. É descobrir tarde demais que a empresa terceirizou parte relevante do seu risco sem perceber.
Esse é o ponto que coloca o tema de risco de terceiros na agenda do CPO e do Head de Compras. A discussão deixou de ser apenas jurídica ou de compliance.
Hoje, ela entra no centro da decisão de negócio porque impacta continuidade operacional, exposição regulatória, reputação, segurança da informação, qualidade de entrega e capacidade de crescer com controle.
Em paralelo, o próprio papel de Procurement ficou mais estratégico, mais cedo nas decisões e mais conectado à resiliência, à sustentabilidade e à inovação.
O contexto ajuda a explicar por quê. Na pesquisa global da Deloitte sobre gestão de riscos de terceiros, quase metade dos respondentes globais afirmou que o impacto financeiro de incidentes com terceiros pode ultrapassar US$ 50 milhões.
No recorte Brasil, a agenda de IA aparece como uma alavanca para eficiência e melhor tomada de decisão em TPRM, sigla para third-party risk management, ou gestão estruturada dos riscos associados a terceiros.
A pressão também não vem de um único lado. Dados recentes do setor mostram que risco cibernético e risco regulatório seguem liderando a estratégia de TPRM.
Na pesquisa global de 2026 com 851 profissionais, um terço das organizações relatou perda financeira ou dano reputacional nos últimos três anos, e 28% enfrentaram disrupções na cadeia de suprimentos. O dado é relevante porque reforça um ponto simples: risco de terceiros não é um assunto abstrato. Ele já está se materializando em operação, custo e imagem.
Ao mesmo tempo, o ambiente regulatório ficou mais amplo e mais exigente. A OECD destaca que a devida diligência baseada em risco precisa cobrir operações, cadeia de suprimentos e relacionamentos de negócio. A organização também registra que mais de três quartos dos países da OECD já adotaram leis de due diligence baseadas em seus padrões.
Isso altera o patamar do debate: não basta mais fazer verificação documental de entrada. É preciso provar critério, proporcionalidade e capacidade de monitoramento.
Para um público executivo, a leitura correta é esta: risco de terceiros não é uma camada extra colocada depois do sourcing. Ele precisa fazer parte do desenho da decisão de compras desde o início. Quando esse desenho não é bem definido, o custo aparece em outra etapa.
Por que risco de terceiros virou pauta central em Procurement
Durante muito tempo, a empresa avaliava terceiros de forma fragmentada. Compras olhava preço e prazo. Jurídico olhava contrato. Compliance entrava em situações mais sensíveis. TI fazia avaliação de segurança quando o fornecedor acessava sistemas. Operações reagia quando havia falha.
Esse modelo ainda existe em muitas organizações, mas vem perdendo aderência porque a base de terceiros cresceu, os ecossistemas ficaram mais interdependentes e a velocidade do negócio aumentou.
A PwC resume bem esse cenário ao mostrar que o ambiente regulatório e de compliance se tornou um ecossistema dinâmico, conectado à organização, à cadeia de valor e ao setor.
Em sua pesquisa global de compliance de 2025, tecnologia, cibersegurança e proteção de dados apareceram entre as prioridades mais citadas, com governança corporativa e riscos de anti-suborno, fraude e lavagem de dinheiro também em posição alta.
Na prática, isso desloca a discussão de “homologar ou não homologar” para “qual nível de diligência esse relacionamento exige e como o risco será gerido ao longo do ciclo”. Essa mudança é especialmente relevante em empresas com uma das seguintes características:
- cadeia extensa e distribuída
- fornecedores com acesso a dados, sistemas ou ambiente produtivo
- contratos críticos para operação
- alto volume de compras indiretas com base pulverizada
- atuação em setores regulados
- exposição relevante a ESG, direitos humanos, privacidade ou integridade
Em categorias críticas, o tema também se conecta à estratégia de sourcing. A real necessidade de rever estratégias globais de suprimento é função de risco na cadeia, regulação de sustentabilidade e custos.
Em outras palavras: a due diligence deixou de ser só filtro de entrada e virou parte da própria arquitetura de abastecimento.
O que é risco de terceiros, de fato
Risco de terceiros é a exposição criada quando uma empresa depende de um parceiro externo para executar, suportar, intermediar, entregar, acessar informação, representar a marca ou viabilizar parte da operação.
Esse terceiro pode ser um fornecedor direto, um prestador de serviço, um parceiro logístico, um distribuidor, um consultor, um integrador de tecnologia, um agente comercial ou qualquer outro elo externo que interfira no desempenho ou na conformidade do negócio.
Não é só fornecedor direto
Esse é um ponto que muitos programas ainda tratam de forma reativa. O risco nem sempre está no terceiro contratado diretamente. Ele pode estar no quarto elo, no subcontratado, no provedor de nuvem do provedor, no operador logístico do parceiro ou na origem do insumo crítico. A KPMG trata isso como visibilidade sobre Nth-party risk, ou risco além do terceiro imediato, necessário para identificar concentração geográfica, dependência excessiva e fragilidades encadeadas.
A OECD vai na mesma direção quando reforça que impactos relevantes de negócio, ambientais e sociais frequentemente ocorrem na cadeia de suprimentos e nas relações de negócio, e não apenas dentro da operação própria da empresa.
Por isso, quando falamos em risco de terceiros em Procurement, estamos falando de três camadas ao mesmo tempo:
- risco do parceiro em si
- risco do serviço, material ou atividade contratada
- risco do contexto em que aquele relacionamento acontece
Esse enquadramento parece simples, mas muda bastante a prática. Um mesmo fornecedor pode ter criticidade completamente diferente conforme o escopo, o acesso, a geografia, a categoria, a dependência operacional e o tipo de contrato.
Onde a due diligence entra no ciclo de Procurement
A maior distorção sobre risco de terceiros é tratar due diligence como um evento. Não é. Due diligence é um processo de verificação e análise proporcional ao risco, que começa antes da contratação, mas precisa continuar durante a vigência do relacionamento e, em alguns casos, até no encerramento.
O DOJ é direto ao afirmar que um programa bem desenhado deve aplicar due diligence baseada em risco às relações com terceiros e realizar monitoramento contínuo, incluindo atualização de diligência, treinamentos, auditorias e certificações. Fonte
A KPMG reforça a mesma lógica ao estruturar TPRM em etapas que incluem screening, due diligence e monitoramento pré e pós-contrato, com integração a Procurement e gestão do ciclo contratual.
Abaixo, um desenho executivo do fluxo.
| Etapa | Pergunta principal | Entrega mínima |
|---|---|---|
| Intake da demanda | Esse terceiro é realmente necessário? | racional de negócio e escopo |
| Classificação de risco | Qual o nível de criticidade do relacionamento? | tier de risco e trilha de diligência |
| Due diligence pré-contrato | O terceiro é apto, íntegro, solvente e controlável? | parecer e condicionantes |
| Contratação | O contrato protege o risco identificado? | cláusulas, obrigações, direitos de auditoria |
| Onboarding | Os controles acordados foram ativados? | evidências de implementação |
| Monitoramento | O risco mudou durante a vigência? | alertas, revalidação, plano de ação |
| Renovação ou saída | Vale renovar, corrigir ou substituir? | decisão baseada em desempenho e risco |
Esse desenho evita dois extremos comuns: a diligência excessiva em parceiros de baixo risco e a superficialidade em relações críticas. Na prática, o problema nem sempre está na intenção, mas na falta de critério operacional.
Como fazer due diligence baseada em risco
Due diligence baseada em risco significa definir profundidade, evidência, tempo e aprovação de acordo com a exposição real do relacionamento.
O próprio DOJ pergunta se o processo de gestão de terceiros está integrado ao risco empresarial identificado, se funciona com agilidade suficiente para revisão de fornecedores e como a empresa usa dados para avaliar risco ao longo da relação.
Esse ponto importa porque muitas empresas ainda tentam aplicar o mesmo questionário, a mesma documentação e o mesmo rito para todos. O resultado costuma ser previsível: o time se afoga em tarefas de baixo valor, o lead time de onboarding cresce e os casos que realmente exigem atenção acabam sendo tratados tarde.
Um modelo prático de segmentação
| Nível | Exemplo típico | Foco da due diligence |
|---|---|---|
| Baixo risco | fornecedor sem acesso a dados, sem criticidade operacional e baixa dependência | checagem cadastral, fiscal, documental e sanções |
| Médio risco | prestador relevante para rotina operacional ou categoria sensível | financeira, operacional, integridade, contrato e evidências adicionais |
| Alto risco | terceiro crítico para produção, dados, regulação, reputação ou continuidade | diligência aprofundada, validação cruzada, comitê de aprovação e plano de monitoramento |
| Muito alto risco | parceiro estratégico, ambiente regulado, operação crítica ou alta exposição internacional | avaliação multidisciplinar, contingência, gatilhos de auditoria e reavaliação frequente |
Note que o gatilho não é apenas valor de contrato. Em risco de terceiros, contrato pequeno pode carregar exposição grande. Um software com acesso a dados sensíveis, por exemplo, pode custar menos que um insumo industrial, mas gerar impacto muito maior.
Quais dimensões precisam entrar na due diligence
Uma boa due diligence não é uma coleta genérica de documentos. Ela é uma leitura estruturada de aptidão, risco e controlabilidade. O conteúdo exato varia por setor e categoria, mas alguns domínios tendem a ser recorrentes.
1. Integridade e compliance
Aqui entram antecedentes de sanções, investigações, conflito de interesses, reputação, práticas anticorrupção, código de conduta, estrutura societária e capacidade de responder a exigências éticas.
O DOJ enfatiza que a empresa deve entender qualificações, associações, racional de negócio, reputação e, quando aplicável, vínculos sensíveis do parceiro, além de acompanhar red flags e o que foi feito com elas. Fonte
2. Saúde financeira
O objetivo é reduzir o risco de ruptura por insolvência, descapitalização ou incapacidade de sustentar crescimento, estoques, operação e investimento. Em categorias críticas, isso precisa incluir sinais de dependência excessiva de poucos clientes, estrutura de endividamento, capital de giro e capacidade de suportar variação de demanda.
Esse é um tema que conversa diretamente com matriz de risco de fornecedores, especialmente quando a organização precisa priorizar exposição por criticidade e probabilidade.
3. Capacidade operacional e continuidade
É a verificação de que o terceiro consegue entregar o que promete com estabilidade. Isso inclui capacidade instalada, qualidade, prazos, redundância, plano de continuidade, geografia, dependência de insumos críticos e maturidade de gestão.
4. Segurança da informação e privacidade
Esse domínio saiu da periferia e foi para o núcleo da análise. A pesquisa da PwC mostra que cibersegurança e proteção de dados seguem entre as prioridades mais citadas em compliance, e a KPMG aponta risco cibernético como principal vetor de TPRM para 48% dos respondentes.
5. ESG, direitos humanos e origem da cadeia
A OECD trata a devida diligência como instrumento para identificar e tratar impactos sobre direitos humanos, trabalho, meio ambiente, suborno e interesses do consumidor ao longo de operações, cadeia e relações de negócio. Para empresas com exposição a mercados internacionais, o tema ganhou tração regulatória clara.
Em manufatura, ESG, direitos humanos, sustentabilidade e origem de partes e materiais estão entrando de forma mais forte nos frameworks de TPRM.
Esse ponto se conecta diretamente a ESG em Procurement, porque critério ESG bem desenhado não é pauta de imagem. É governança aplicada à decisão de compra.
6. Estrutura contratual e direito de controle
Due diligence sem reflexo contratual é diligência incompleta. O contrato precisa traduzir o risco identificado em obrigações verificáveis. O DOJ pergunta se os termos contratuais descrevem os serviços, se a compensação é compatível com o trabalho prestado, se existem mecanismos de auditoria e se a companhia já exerceu esses direitos.
7. Dependência e concentração
Nem todo risco está no parceiro individualmente. Às vezes, ele está na concentração geográfica, na fonte única, no insumo insubstituível ou na sobreposição de dependência entre várias categorias.
Quais evidências valem mais do que questionários
Questionário é importante. Mas questionário sem evidência é apenas auto declaração. E auto declaração, em risco de terceiros, tem alcance limitado.
A maturidade aparece quando o processo cruza diferentes fontes de evidência, como:
- documentos societários e fiscais
- certidões e licenças
- demonstrações financeiras
- políticas e treinamentos
- relatórios de auditoria
- certificações e atestados
- provas de capacidade operacional
- resultados de testes ou pilotos
- cláusulas e anexos contratuais
- bases externas de sanções, mídia adversa e reputação
Esse é um ponto em que o due diligence dos fornecedores e a importância da due diligence em compras podem aprofundar a leitura prática do blog.
Na operação, vale uma regra simples: quanto maior o risco, menor a confiança em resposta declaratória isolada. Em relacionamentos críticos, o que pesa é evidência verificável, rastreável e atualizada.
Os erros mais comuns em programas de risco de terceiros
Programas fracos de risco de terceiros raramente falham por falta total de processo. Eles falham por desenho incompleto.
Tratar onboarding como ponto final
O DOJ é explícito ao perguntar se a gestão do risco ocorre ao longo de toda a vida da relação ou apenas no onboarding. Esse detalhe separa o programa documental do programa funcional. Mudança societária, nova geografia, incidente cibernético, piora financeira, subcontratação ou mudança regulatória podem alterar o risco depois da contratação.
Aplicar o mesmo rito para todos
Quando tudo é crítico, nada é crítico. A organização perde velocidade onde poderia ser simples e perde profundidade onde deveria ser rigorosa. A KPMG aponta exatamente a necessidade de concentrar esforço nas relações de maior exposição. Fonte
Não conectar diligência à decisão de negócio
Há empresas que produzem um bom parecer, mas não traduzem aquilo em decisão de sourcing, cláusula, aprovação condicional, plano de ação ou contingência. O resultado é um processo elegante no papel e irrelevante na execução.
Não integrar Procurement, contrato e monitoramento
A integração com Procurement e contract lifecycle management, ou gestão do ciclo contratual, que é a disciplina de controlar criação, execução, renovação e encerramento de contratos.
Sem essa integração, red flag não vira cláusula. Cláusula não vira obrigação. Obrigação não vira evidência.
Subestimar dados e tecnologia
Uma pesquisa global de TPRM mostra que apenas 15% dos líderes expressam alta confiança na qualidade de dados que sustenta seus programas, e que mais da metade das organizações está explorando IA.
O problema nem sempre está na falta de ferramenta. Muitas vezes está na base dispersa, sem dono claro, sem taxonomia comum e sem integração entre fonte, workflow e decisão.
Ignorar risco de concentração e quarto elo
Em muitas cadeias, o risco não aparece no cadastro do fornecedor direto. Ele aparece no subfornecedor, na geografia, no insumo comum entre várias categorias ou na infraestrutura tecnológica compartilhada. Quando esse desenho não é bem definido, o custo aparece em outra etapa.
Como estruturar um modelo maduro de risco de terceiros
Maturidade não significa complexidade infinita. Significa coerência entre risco, processo, decisão e monitoramento.
1. Defina uma taxonomia única de risco
A empresa precisa ter linguagem comum para classificar terceiros. Não adianta Compras falar em criticidade, TI falar em acesso lógico, Compliance falar em integridade, Jurídico falar em exposição contratual e Operações falar em continuidade sem um modelo que amarre tudo. O programa precisa de poucos critérios, claros e comparáveis.
Um bom ponto de partida costuma incluir:
- criticidade do escopo
- acesso a dados ou sistemas
- exposição regulatória
- impacto em continuidade
- risco reputacional
- risco geográfico
- dependência e concentração
- materialidade econômica
2. Construa trilhas de diligência por tier
Cada tier precisa ter pacote mínimo de checagem, evidência e aprovação. Isso reduz subjetividade e ajuda a equilibrar velocidade com controle.
3. Conecte diligência a cláusulas contratuais
Se o fornecedor depende de subcontratados, o contrato precisa refletir isso. Se há risco de dados, precisam existir cláusulas de segurança, notificação, auditoria e segregação. Se existe plano de remediação, o contrato precisa prever obrigação e consequência.
Esse raciocínio conversa diretamente com gestão de fornecedores e contratos, porque risco de terceiros só fecha quando SRM e CLM andam juntos. SRM é supplier relationship management, ou gestão estruturada da relação com fornecedores. CLM é contract lifecycle management, ou gestão do ciclo contratual.
4. Defina gatilhos de reavaliação
Revisão anual fixa pode ser útil, mas não basta. O modelo maduro inclui gatilhos como:
- incidente relevante
- mudança societária
- alteração de escopo
- acesso novo a sistemas
- queda de desempenho
- exposição regulatória nova
- expansão geográfica
- dependência crescente
5. Dê dono para cada etapa
Um programa sem responsabilidade explícita vira território difuso. Em geral, Procurement deve liderar entrada, segmentação e conexão com sourcing. Compliance, Jurídico, TI e áreas técnicas entram conforme o risco. O ponto crítico é evitar que a jornada fique sem orquestração.
6. Trabalhe com exceção formal, não improviso
Toda empresa vai precisar decidir com prazo curto em algum momento. O problema não é a exceção. É a exceção invisível. Quando houver contratação emergencial, a decisão precisa registrar risco aceito, mitigação provisória, prazo de regularização e dono.
7. Transforme o processo em dados
Sem dado estruturado, risco de terceiros vira opinião. E opinião não escala.
Tecnologia, automação e IA: onde ajudam e onde não substituem julgamento
A tecnologia entrou de forma definitiva nessa agenda, mas o uso maduro ainda pede critério. A Deloitte, em sua pesquisa global de CPOs de 2025, aponta correlação forte entre tecnologia combinada com competências humanas e melhor desempenho empresarial.
O ponto é importante: ganhos reais não vêm da automação isolada. Vêm da combinação entre dados, processo, decisão e gente preparada.
Na gestão de risco de terceiros, existem oportunidades claras para automação de avaliação de risco inerente, due diligence, monitoramento, alertas e integração com processos de Procurement e contratos.
Na prática, a tecnologia costuma agregar valor em cinco frentes:
- triagem inicial e classificação de risco
- consolidação de evidências e documentos
- consulta a bases externas e alertas de mudança
- roteamento de aprovações por criticidade
- monitoramento de eventos e gatilhos de revalidação
Onde ela não substitui julgamento:
- definição de apetite a risco
- avaliação de contexto comercial e operacional
- decisão sobre exceção
- desenho contratual
- leitura de contingência e substituição
Esse equilíbrio é central. Em risco de terceiros, automação ajuda a escalar. Mas a decisão final continua sendo de negócio.
Recortes setoriais: o desenho muda conforme a operação
Embora o tema seja transversal, o desenho de due diligence muda conforme o setor.
Indústria e operações intensivas em material
Aqui, continuidade pesa mais. Capacidade, estabilidade de fornecimento, plano de contingência, origem do insumo, concentração geográfica e substituição de fonte ganham protagonismo.
A BCG reforça que risco na cadeia, custos e regulação de sustentabilidade são fatores centrais na revisão do sourcing global
Setores regulados
Em saúde, finanças, energia e telecom, o peso de compliance, segurança, auditoria e rastreabilidade tende a ser maior. Um mapa regulatório crescente em diferentes geografias e setores, o que exige alinhamento entre TPRM e exigências específicas.
Serviços, tecnologia e dados
Nesse grupo, o núcleo do risco migra para acesso lógico, privacidade, segurança, subcontratação, continuidade do serviço e dependência tecnológica. A centralidade de cibersegurança e proteção de dados nesse ambiente.
Compras indiretas pulverizadas
Aqui, o desafio costuma ser escala. A organização precisa segmentar melhor, padronizar trilhas e evitar que a governança trave categorias de baixo risco enquanto deixa lacunas em serviços mais sensíveis.
Em todos os casos, o ponto é o mesmo: o modelo precisa ser proporcional. Não existe programa maduro de risco de terceiros construído só com padrão único.
Como conectar risco de terceiros à estratégia de categorias
Essa conexão ainda é subestimada. Quando risco de terceiros é tratado só depois do fornecedor escolhido, Procurement perde alavanca estratégica.
Uma estratégia de categorias bem construída já deveria incorporar perguntas como:
- onde há dependência excessiva?
- quais categorias exigem fonte alternativa?
- onde a cadeia é opaca?
- quais categorias concentram risco regulatório ou ESG?
- em quais casos o custo mais baixo embute risco mais alto?
- onde vale investir em desenvolvimento de fornecedor?
Esse raciocínio se alinha à lógica de estratégia de categorias em Procurement e reforça que due diligence não é apenas uma trava. Ela é parte da escolha estratégica de mercado fornecedor.
Quando Procurement entra cedo, ele consegue desenhar medidas como dual sourcing, requisitos técnicos de qualificação, critérios de homologação, exigência de evidência, arquitetura contratual e modelo de contingência. Quando entra tarde, costuma sobrar remediação.
KPIs que ajudam a sair da percepção e entrar em gestão
Sem medição, risco de terceiros vira sensação difusa. E sensação difusa raramente sustenta priorização orçamentária.
Alguns indicadores úteis:
| KPI | O que mede | Leitura executiva |
|---|---|---|
| tempo médio de onboarding por tier | velocidade com critério | mostra se o rito está proporcional |
| percentual de terceiros classificados por risco | cobertura de segmentação | mostra se a base foi organizada |
| percentual de terceiros críticos com due diligence vigente | cobertura real do risco alto | mostra disciplina de atualização |
| número de exceções abertas e vencidas | controle sobre desvios | mostra maturidade de governança |
| percentual de contratos críticos com cláusulas de auditoria e continuidade | reflexo contratual do risco | mostra integração com Jurídico e CLM |
| volume de red flags abertas, tratadas e reincidentes | qualidade da resposta | mostra se o processo gera ação |
| concentração por categoria, geografia ou subfornecedor | exposição estrutural | mostra dependência invisível |
| incidentes com terceiros por tipo | materialização do risco | mostra onde priorizar reforço |
Checklist executivo para CPO e Head de Compras
Se a sua organização quer elevar o tema de risco de terceiros sem transformar o processo em burocracia, este é um bom checklist de partida:
- classifique a base de terceiros por criticidade real
- crie trilhas de due diligence por tier
- conecte parecer de risco à decisão de sourcing
- traduza risco em cláusula contratual verificável
- defina gatilhos de reavaliação ao longo da vigência
- formalize exceções e aceite de risco
- cruze dados de fornecedores, contratos e performance
- monitore concentração e quarto elo
- use automação para escala, não para terceirizar julgamento
- revise periodicamente o programa com base em incidentes, mudanças regulatórias e novas dependências
Esse é o ponto em que auditoria e compliance em Procurement deixa de ser uma camada reativa e passa a operar como capacidade permanente.
O que muda quando a empresa faz isso direito
Quando risco de terceiros é tratado com maturidade, a empresa melhora em quatro frentes ao mesmo tempo.
- Primeiro, decide melhor. A seleção deixa de ser baseada apenas em proposta comercial e passa a refletir exposição total.
- Segundo, contrata melhor. O contrato deixa de ser genérico e passa a capturar obrigações coerentes com o risco real.
- Terceiro, monitora melhor. O time não depende só de percepção ou crise para revisar terceiros.
- Quarto, reage melhor. Quando ocorre incidente, já existe dono, histórico, cláusula, evidência e plano de contingência.
Esse é o tipo de evolução que transforma Procurement em função de resiliência. E esse movimento é coerente com o que a PG vêm apontando: Procurement ganhou centralidade justamente porque consegue influenciar resiliência, continuidade, inovação e colaboração de negócio quando atua de forma integrada e antecipada.
Risco de terceiros não se resolve com um formulário a mais. Resolve-se com arquitetura de decisão.
A due diligence certa não é a mais longa. É a mais proporcional, integrada e útil para decidir. Ela precisa ajudar Procurement a responder perguntas concretas: esse terceiro pode ser contratado, sob quais condições, com quais controles, com qual nível de dependência e com qual plano de monitoramento.
Na prática, esse tema ainda é tratado por muitas empresas de forma fragmentada. Mas o ambiente já mudou. O volume de exigências regulatórias cresceu, a exposição cibernética aumentou, as cadeias ficaram mais complexas e a margem para erro ficou menor. O problema nem sempre está na ausência de processo. Muitas vezes está no excesso de ritual e na falta de desenho.
Para o CPO e para o Head de Compras, a implicação é direta: risco de terceiros precisa sair da borda do processo e entrar no núcleo da estratégia de compras. Quem faz isso protege a operação, melhora a governança e decide com mais qualidade.
Na Procurement Garage, tratamos risco de terceiros como disciplina de desenho operacional, não como apêndice documental. Isso significa conectar due diligence, estratégia de categorias, governança contratual, dados de fornecedores, monitoramento e transformação digital em compras dentro de uma mesma lógica de decisão.
Quando esse tema é bem estruturado, a empresa ganha mais do que controle. Ganha clareza sobre onde acelerar, onde aprofundar, onde condicionar contratação e onde redesenhar dependências.
Esse é o tipo de trabalho que evita que Procurement opere sempre no modo reação e ajuda a transformar a área em uma função mais previsível, mais auditável e mais conectada ao negócio.
Se a sua operação precisa amadurecer a gestão de risco de terceiros, a PG pode apoiar desde o desenho da taxonomia de risco até a integração com processos, contratos, indicadores e tecnologia. Sem prometer milagre. Sem inflar rito. Com foco em critério operacional, escalabilidade e valor real para a empresa.
Quem compra certo, constrói vantagem.
Fontes e Referências
- Deloitte. Pesquisa Global de Gestão de Riscos de Terceiros, 2025. https://www.deloitte.com/br/pt/services/consulting-risk/research/pesquisa-riscos-terceiros.html
- Deloitte. Global Chief Procurement Officer Survey, 2025. https://www.deloitte.com/us/en/services/consulting/articles/2025-global-chief-procurement-officer-survey.html
- KPMG. Renewed Urgency on Third Party Risk Management, 2025. https://kpmg.com/kpmg-us/content/dam/kpmg/pdf/2025/renewed-urgency-third-party-risk-management-tprm.pdf
- KPMG. Achieving resilience in third-party risk management, 2026. https://assets.kpmg.com/content/dam/kpmgsites/xx/pdf/2026/02/achieving-resilience-in-third-party-risk-management.pdf
- PwC. Global Compliance Survey, 2025. https://www.pwc.com/gx/en/issues/risk-regulation/pwc-global-compliance-study-2025.pdf
- McKinsey. Procurement 2025: Reimagining the function for success, 2025. https://www.mckinsey.com/capabilities/operations/our-insights/procurement-2025-reimagining-the-function-for-success
- BCG. Evolving Global Sourcing to Balance Cost and Resilience, 2025. https://web-assets.bcg.com/pdf-src/prod-live/revitalizing-global-sourcing-to-balance-cost-and-resilience.pdf
- OECD. Due diligence for responsible business conduct, 2024. https://www.oecd.org/en/topics/sub-issues/due-diligence-guidance-for-responsible-business-conduct.html
- U.S. Department of Justice. Evaluation of Corporate Compliance Programs, atualização de setembro de 2024. https://www.justice.gov/criminal/criminal-fraud/page/file/937501/dl
A Procurement Garage (PG) é uma consultoria que possui mais de 30 anos de expertise nas áreas de Procurement, Supply Chain e Logística.
Estamos empenhados em te ajudar a reduzir drasticamente as tarefas operacionais e melhorar a experiência nas interações com os fornecedores, stakeholders e liderança junto ao time de Suprimentos.
