KYS, ou Know Your Supplier, \u00e9 a dilig\u00eancia para conhecer fornecedores, avaliar a exposi\u00e7\u00e3o da contrata\u00e7\u00e3o e registrar uma decis\u00e3o sustentada por evid\u00eancias. Um processo \u00fatil combina identifica\u00e7\u00e3o, risco da atividade, valida\u00e7\u00e3o documental e acompanhamento durante o contrato. A profundidade da an\u00e1lise deve acompanhar a relev\u00e2ncia do fornecedor e os riscos que ele introduz na opera\u00e7\u00e3o.<\/p>\n\n\n\n
Compras, jur\u00eddico, seguran\u00e7a da informa\u00e7\u00e3o e compliance enxergam partes diferentes dessa rela\u00e7\u00e3o. Reunir essas perspectivas evita uma aprova\u00e7\u00e3o baseada apenas em pre\u00e7o ou em um cadastro preenchido. Este roteiro ajuda a organizar a dilig\u00eancia sem transformar toda contrata\u00e7\u00e3o em uma investiga\u00e7\u00e3o extensa.<\/p>\n\n\n\n
A primeira pergunta \u00e9 qual servi\u00e7o ser\u00e1 prestado e com que acesso. Um fornecedor de material de escrit\u00f3rio e um prestador que processa dados de clientes t\u00eam exposi\u00e7\u00f5es distintas. Depend\u00eancia operacional, subcontrata\u00e7\u00e3o, acesso a informa\u00e7\u00f5es e atua\u00e7\u00e3o em processos sens\u00edveis influenciam o escopo da an\u00e1lise.<\/p>\n\n\n\n
O cadastro tamb\u00e9m precisa identificar a pessoa jur\u00eddica contratada, seus representantes e a estrutura de controle pertinente. Raz\u00e3o social, nome comercial e empresa que recebe o pagamento podem ser diferentes. Essa diferen\u00e7a deve ser esclarecida antes de aprovar a rela\u00e7\u00e3o, sem pressupor irregularidade.<\/p>\n\n\n\n
O KYS integra a fam\u00edlia de processos de KYC, KYP, KYE e KYS<\/a>. O foco aqui \u00e9 a rela\u00e7\u00e3o com o fornecedor: o que ele entrega, quem responde pela entrega e quais condi\u00e7\u00f5es precisam ser verificadas para contratar e acompanhar essa empresa.<\/p>\n\n\n\n Defina crit\u00e9rios observ\u00e1veis antes de aplicar uma pontua\u00e7\u00e3o. Uma classifica\u00e7\u00e3o deve explicar por que determinado fornecedor requer uma dilig\u00eancia simplificada, padr\u00e3o ou aprofundada. Pesos, faixas e exce\u00e7\u00f5es precisam ser aprovados internamente e testados com situa\u00e7\u00f5es reais da carteira.<\/p>\n\n\n\n N\u00e3o use uma ocorr\u00eancia isolada para encerrar a an\u00e1lise. Uma not\u00edcia antiga, um endere\u00e7o compartilhado ou uma empresa rec\u00e9m-aberta podem exigir contexto. Registre o sinal, a verifica\u00e7\u00e3o realizada e seu efeito sobre o risco, mantendo a possibilidade de revis\u00e3o por outra pessoa.<\/p>\n\n\n\n Organize uma matriz por tipo de fornecedor e exposi\u00e7\u00e3o. Ela deve separar documento obrigat\u00f3rio por norma aplic\u00e1vel, requisito contratual e informa\u00e7\u00e3o complementar. Essa distin\u00e7\u00e3o evita exigir o mesmo pacote de uma microempresa de baixo risco e de um prestador cr\u00edtico com acesso a dados de clientes.<\/p>\n\n\n\n Uma certid\u00e3o responde a uma pergunta delimitada, em uma data delimitada. Ela n\u00e3o certifica toda a conduta da empresa. Defina a finalidade de cada consulta e n\u00e3o acumule documentos sem uso na decis\u00e3o. Para dados pessoais, avalie necessidade, fundamento jur\u00eddico, acesso e reten\u00e7\u00e3o antes da coleta.<\/p>\n\n\n\n Confira a origem, a autenticidade verific\u00e1vel e a atualidade do documento. Quando houver servi\u00e7o oficial de valida\u00e7\u00e3o, use-o e registre o resultado. Se a fonte estiver indispon\u00edvel, sinalize a pend\u00eancia e a regra para uma eventual aprova\u00e7\u00e3o condicionada; uma tentativa de consulta n\u00e3o equivale a valida\u00e7\u00e3o conclu\u00edda.<\/p>\n\n\n\n Diverg\u00eancias societ\u00e1rias podem demandar uma an\u00e1lise de benefici\u00e1rio final<\/a>. O respons\u00e1vel deve descrever a cadeia conhecida, as lacunas e os documentos usados. Evite afirmar que um cadastro resumido, sozinho, demonstra toda a estrutura de controle da empresa.<\/p>\n\n\n\n Correspond\u00eancias em PEP, san\u00e7\u00f5es e listas restritivas<\/a> exigem identifica\u00e7\u00e3o e contexto. Nome semelhante n\u00e3o basta para confirmar uma correspond\u00eancia, e a condi\u00e7\u00e3o de PEP n\u00e3o representa, por si s\u00f3, ilicitude. Separe resultado da busca, conclus\u00e3o anal\u00edtica e decis\u00e3o de contrata\u00e7\u00e3o.<\/p>\n\n\n\n Imagine uma contrata\u00e7\u00e3o fict\u00edcia de atendimento terceirizado. A empresa candidata acessar\u00e1 dados cadastrais e documentos enviados por clientes, mas n\u00e3o movimentar\u00e1 recursos. O acesso a informa\u00e7\u00f5es e a participa\u00e7\u00e3o em um fluxo sens\u00edvel justificam an\u00e1lise mais aprofundada que a de um fornecedor de insumos comuns.<\/p>\n\n\n\n A equipe confirma a pessoa jur\u00eddica e a representa\u00e7\u00e3o, mapeia os dados acessados e verifica controles pertinentes ao servi\u00e7o. Identifica que parte da opera\u00e7\u00e3o ser\u00e1 subcontratada. Antes de aprovar, solicita o esclarecimento da cadeia de presta\u00e7\u00e3o e estabelece condi\u00e7\u00f5es de acesso e responsabilidades no contrato.<\/p>\n\n\n\n O parecer registra o que foi confirmado, o que permanece pendente, o risco atribu\u00eddo e a autoridade que aprovou. Uma eventual condi\u00e7\u00e3o contratual deve ter respons\u00e1vel, prazo e evid\u00eancia de conclus\u00e3o. A aprova\u00e7\u00e3o perde utilidade se a pend\u00eancia n\u00e3o volta para acompanhamento.<\/p>\n\n\n\n A revis\u00e3o deve considerar mudan\u00e7as na atividade, no contrato, no controle societ\u00e1rio ou no acesso concedido. Defina uma periodicidade proporcional ao risco e gatilhos de revis\u00e3o extraordin\u00e1ria. A contrata\u00e7\u00e3o de um servi\u00e7o adicional pode alterar a exposi\u00e7\u00e3o mesmo quando o CNPJ permanece igual.<\/p>\n\n\n\n Mantenha um hist\u00f3rico que permita reconstruir a decis\u00e3o anterior e entender a nova avalia\u00e7\u00e3o. N\u00e3o substitua silenciosamente os documentos ou a classifica\u00e7\u00e3o. Vers\u00e3o, data, respons\u00e1vel e justificativa ajudam a distinguir uma informa\u00e7\u00e3o corrigida de uma mudan\u00e7a efetiva na rela\u00e7\u00e3o.<\/p>\n\n\n\n A consist\u00eancia do KYS tamb\u00e9m depende das fontes de consulta e valida\u00e7\u00e3o dos dados<\/a>. Quando a dilig\u00eancia incluir not\u00edcias, aplique crit\u00e9rios de an\u00e1lise de m\u00eddia negativa e verifica\u00e7\u00e3o de hom\u00f4nimos<\/a> antes de incorporar o resultado ao parecer do fornecedor.<\/p>\n\n\n\n Os arts. 56 a 58 da Circular BCB n\u00ba 3.978<\/a> tratam do conhecimento de funcion\u00e1rios, parceiros e prestadores terceirizados nas institui\u00e7\u00f5es alcan\u00e7adas pela norma. Fora desse \u00e2mbito, verifique o regulador e as regras aplic\u00e1veis \u00e0 atividade. KYS \u00e9 uma denomina\u00e7\u00e3o de mercado, n\u00e3o uma obriga\u00e7\u00e3o id\u00eantica para todas as empresas.<\/p>\n\n\n\n A consulta de identifica\u00e7\u00e3o pode usar o servi\u00e7o oficial de consulta ao CNPJ<\/a>. O tratamento de dados pessoais deve observar a LGPD<\/a>. Os crit\u00e9rios e o exemplo deste artigo s\u00e3o orienta\u00e7\u00f5es de organiza\u00e7\u00e3o do processo, a adaptar \u00e0 exposi\u00e7\u00e3o e \u00e0s obriga\u00e7\u00f5es da empresa.<\/p>\n\n\n\n KYS significa Know Your Supplier, ou conhe\u00e7a seu fornecedor. \u00c9 a dilig\u00eancia sobre a empresa contratada, sua atividade, representa\u00e7\u00e3o e exposi\u00e7\u00e3o, com verifica\u00e7\u00f5es proporcionais ao risco e registro da decis\u00e3o.<\/p><\/div><\/details>\n N\u00e3o. O conjunto deve considerar a atividade, o acesso, a criticidade e as obriga\u00e7\u00f5es aplic\u00e1veis. A matriz documental deve justificar o que \u00e9 obrigat\u00f3rio, contratual ou complementar, evitando coleta excessiva.<\/p><\/div><\/details>\n N\u00e3o. A situa\u00e7\u00e3o cadastral responde a uma parte da identifica\u00e7\u00e3o. A decis\u00e3o tamb\u00e9m pode exigir representa\u00e7\u00e3o, autoriza\u00e7\u00f5es, controles pertinentes ao servi\u00e7o e tratamento de inconsist\u00eancias, conforme o risco.<\/p><\/div><\/details>\n Na periodicidade definida pela pol\u00edtica e quando houver mudan\u00e7as relevantes, como novo servi\u00e7o, acesso adicional, altera\u00e7\u00e3o societ\u00e1ria ou incidente. As regras do setor podem estabelecer exig\u00eancias espec\u00edficas.<\/p><\/div><\/details>\n<\/section>\n\n\n\n\nComo classificar fornecedores por risco<\/h2>\n\n\n\n
Quais documentos solicitar na due diligence de fornecedores<\/h2>\n\n\n\n
Como validar documentos e tratar diverg\u00eancias<\/h2>\n\n\n\n
Exemplo de KYS para um fornecedor com acesso a dados<\/h2>\n\n\n\n
O que acompanhar depois da aprova\u00e7\u00e3o<\/h2>\n\n\n\n
Refer\u00eancias e limites de aplica\u00e7\u00e3o<\/h2>\n\n\n\n
Perguntas frequentes<\/h2>\n
O que significa KYS?<\/summary>
Todos os fornecedores precisam dos mesmos documentos?<\/summary>
CNPJ ativo \u00e9 suficiente para aprovar um fornecedor?<\/summary>
Quando revisar a dilig\u00eancia de um fornecedor?<\/summary>