KYS, ou Know Your Supplier, é a diligência para conhecer fornecedores, avaliar a exposição da contratação e registrar uma decisão sustentada por evidências. Um processo útil combina identificação, risco da atividade, validação documental e acompanhamento durante o contrato. A profundidade da análise deve acompanhar a relevância do fornecedor e os riscos que ele introduz na operação.
Compras, jurídico, segurança da informação e compliance enxergam partes diferentes dessa relação. Reunir essas perspectivas evita uma aprovação baseada apenas em preço ou em um cadastro preenchido. Este roteiro ajuda a organizar a diligência sem transformar toda contratação em uma investigação extensa.
O que o KYS precisa esclarecer antes da contratação
A primeira pergunta é qual serviço será prestado e com que acesso. Um fornecedor de material de escritório e um prestador que processa dados de clientes têm exposições distintas. Dependência operacional, subcontratação, acesso a informações e atuação em processos sensíveis influenciam o escopo da análise.
O cadastro também precisa identificar a pessoa jurídica contratada, seus representantes e a estrutura de controle pertinente. Razão social, nome comercial e empresa que recebe o pagamento podem ser diferentes. Essa diferença deve ser esclarecida antes de aprovar a relação, sem pressupor irregularidade.
O KYS integra a família de processos de KYC, KYP, KYE e KYS. O foco aqui é a relação com o fornecedor: o que ele entrega, quem responde pela entrega e quais condições precisam ser verificadas para contratar e acompanhar essa empresa.
Como classificar fornecedores por risco
Defina critérios observáveis antes de aplicar uma pontuação. Uma classificação deve explicar por que determinado fornecedor requer uma diligência simplificada, padrão ou aprofundada. Pesos, faixas e exceções precisam ser aprovados internamente e testados com situações reais da carteira.
- Atividade contratada: criticidade do serviço e participação em processos regulados ou sensíveis.
- Acesso: dados pessoais, informações financeiras, sistemas internos e possibilidade de alterar registros.
- Relacionamento: volume, duração, dependência operacional e substituição em caso de interrupção.
- Estrutura: representantes, cadeia de controle relevante e uso de subcontratados.
- Contexto: localização, histórico verificável e inconsistências relevantes para a contratação.
Não use uma ocorrência isolada para encerrar a análise. Uma notícia antiga, um endereço compartilhado ou uma empresa recém-aberta podem exigir contexto. Registre o sinal, a verificação realizada e seu efeito sobre o risco, mantendo a possibilidade de revisão por outra pessoa.
Quais documentos solicitar na due diligence de fornecedores
Organize uma matriz por tipo de fornecedor e exposição. Ela deve separar documento obrigatório por norma aplicável, requisito contratual e informação complementar. Essa distinção evita exigir o mesmo pacote de uma microempresa de baixo risco e de um prestador crítico com acesso a dados de clientes.
- Identificação da empresa e confirmação da situação cadastral em fonte oficial.
- Representação: documentos que sustentem os poderes de quem negocia e assina.
- Estrutura societária pertinente ao risco, com aprofundamento quando necessário.
- Autorizações ou registros profissionais exigíveis para a atividade específica.
- Controles de segurança, continuidade ou integridade relevantes para o serviço contratado.
Uma certidão responde a uma pergunta delimitada, em uma data delimitada. Ela não certifica toda a conduta da empresa. Defina a finalidade de cada consulta e não acumule documentos sem uso na decisão. Para dados pessoais, avalie necessidade, fundamento jurídico, acesso e retenção antes da coleta.
Como validar documentos e tratar divergências
Confira a origem, a autenticidade verificável e a atualidade do documento. Quando houver serviço oficial de validação, use-o e registre o resultado. Se a fonte estiver indisponível, sinalize a pendência e a regra para uma eventual aprovação condicionada; uma tentativa de consulta não equivale a validação concluída.
Divergências societárias podem demandar uma análise de beneficiário final. O responsável deve descrever a cadeia conhecida, as lacunas e os documentos usados. Evite afirmar que um cadastro resumido, sozinho, demonstra toda a estrutura de controle da empresa.
Correspondências em PEP, sanções e listas restritivas exigem identificação e contexto. Nome semelhante não basta para confirmar uma correspondência, e a condição de PEP não representa, por si só, ilicitude. Separe resultado da busca, conclusão analítica e decisão de contratação.
Exemplo de KYS para um fornecedor com acesso a dados
Imagine uma contratação fictícia de atendimento terceirizado. A empresa candidata acessará dados cadastrais e documentos enviados por clientes, mas não movimentará recursos. O acesso a informações e a participação em um fluxo sensível justificam análise mais aprofundada que a de um fornecedor de insumos comuns.
A equipe confirma a pessoa jurídica e a representação, mapeia os dados acessados e verifica controles pertinentes ao serviço. Identifica que parte da operação será subcontratada. Antes de aprovar, solicita o esclarecimento da cadeia de prestação e estabelece condições de acesso e responsabilidades no contrato.
O parecer registra o que foi confirmado, o que permanece pendente, o risco atribuído e a autoridade que aprovou. Uma eventual condição contratual deve ter responsável, prazo e evidência de conclusão. A aprovação perde utilidade se a pendência não volta para acompanhamento.
O que acompanhar depois da aprovação
A revisão deve considerar mudanças na atividade, no contrato, no controle societário ou no acesso concedido. Defina uma periodicidade proporcional ao risco e gatilhos de revisão extraordinária. A contratação de um serviço adicional pode alterar a exposição mesmo quando o CNPJ permanece igual.
Mantenha um histórico que permita reconstruir a decisão anterior e entender a nova avaliação. Não substitua silenciosamente os documentos ou a classificação. Versão, data, responsável e justificativa ajudam a distinguir uma informação corrigida de uma mudança efetiva na relação.
- Quem responde pela revisão e pela decisão de manter o fornecedor?
- Qual mudança dispara uma diligência adicional?
- Como são acompanhadas as condições de aprovação?
- Que evidência comprova o encerramento de uma pendência?
- Quem pode consultar o dossiê e por quanto tempo ele deve ser conservado?
A consistência do KYS também depende das fontes de consulta e validação dos dados. Quando a diligência incluir notícias, aplique critérios de análise de mídia negativa e verificação de homônimos antes de incorporar o resultado ao parecer do fornecedor.
Referências e limites de aplicação
Os arts. 56 a 58 da Circular BCB nº 3.978 tratam do conhecimento de funcionários, parceiros e prestadores terceirizados nas instituições alcançadas pela norma. Fora desse âmbito, verifique o regulador e as regras aplicáveis à atividade. KYS é uma denominação de mercado, não uma obrigação idêntica para todas as empresas.
A consulta de identificação pode usar o serviço oficial de consulta ao CNPJ. O tratamento de dados pessoais deve observar a LGPD. Os critérios e o exemplo deste artigo são orientações de organização do processo, a adaptar à exposição e às obrigações da empresa.
Perguntas frequentes
O que significa KYS?
KYS significa Know Your Supplier, ou conheça seu fornecedor. É a diligência sobre a empresa contratada, sua atividade, representação e exposição, com verificações proporcionais ao risco e registro da decisão.
Todos os fornecedores precisam dos mesmos documentos?
Não. O conjunto deve considerar a atividade, o acesso, a criticidade e as obrigações aplicáveis. A matriz documental deve justificar o que é obrigatório, contratual ou complementar, evitando coleta excessiva.
CNPJ ativo é suficiente para aprovar um fornecedor?
Não. A situação cadastral responde a uma parte da identificação. A decisão também pode exigir representação, autorizações, controles pertinentes ao serviço e tratamento de inconsistências, conforme o risco.
Quando revisar a diligência de um fornecedor?
Na periodicidade definida pela política e quando houver mudanças relevantes, como novo serviço, acesso adicional, alteração societária ou incidente. As regras do setor podem estabelecer exigências específicas.