Nos últimos meses, a conversa sobre integridade mudou de lugar dentro das empresas. Deixou de ser um tema de área técnica e passou a ocupar a pauta de sócios e diretores. A razão é simples: o risco deixou de ser abstrato.

O Guia para Empresas sobre Gestão de Riscos Associados a Organizações Criminosas, publicado pela Câmara de Comércio Internacional (ICC Brasil) com a colaboração da Controladoria-Geral da União (CGU), descreve uma mudança de objetivo do crime organizado: em vez de apenas ocultar recursos, passou a buscar integração na economia formal, por meio de estruturas empresariais aparentemente lícitas, aquisição gradual de empresas já estabelecidas e uso de pessoas interpostas.

A recomendação central do documento é clara e todo profissional de compliance concorda com ela: conduza a due diligence de integridade e conheça o beneficiário final de quem você contrata.

O que quase não se discute é o passo seguinte. Na prática de consultoria, a dificuldade das empresas não está em aceitar a recomendação. Está em executá-la. E o obstáculo, no Brasil, é menos de disposição do que de acesso à informação.

A régua subiu, e agora ela tem consequência patrimonial

Antes de tratar da dificuldade, convém situar por que ela se tornou urgente.

A Lei nº 15.358/2026, conhecida como Lei Antifacção, em vigor desde março, prevê em seu art. 10 que, havendo indícios concretos de que uma pessoa jurídica esteja sendo beneficiada por organização criminosa ultraviolenta, grupo paramilitar ou milícia privada, o juiz determinará o afastamento dos sócios e a intervenção judicial na administração da empresa, como medida cautelar, ainda no curso da investigação.

A lei não institui responsabilidade automática para quem contratou mal, e exige indícios concretos. Mas ela desloca o risco de lugar. Uma empresa não precisa ser ré para sentir o efeito: basta estar no caminho patrimonial da estrutura investigada. Contrato suspenso, recebível bloqueado e administração sob intervenção produzem dano antes de qualquer decisão de mérito.

É nesse cenário que a due diligence de integridade deixa de ser boa prática e passa a ser instrumento de preservação do próprio negócio. E é exatamente aí que aparecem as duas dificuldades que tenho encontrado com mais frequência.

Primeira dificuldade: aprimorar a due diligence esbarra em dado, não em intenção

Empresas com algum grau de maturidade já fazem verificação de terceiros. Coletam contrato social, certidões, cartão de CNPJ, consultam listas restritivas e arquivam tudo. Quando proponho o passo seguinte, que é sair da checagem cadastral e entrar na análise de coerência econômica, surgem obstáculos concretos:

A informação necessária não está reunida em lugar algum, e sim dispersa entre juntas comerciais, cartórios, tribunais, bases privadas e fontes abertas, cada uma com critério e cobertura próprios;
A verificação aprofundada custa tempo e dinheiro por terceiro analisado, o que inviabiliza aplicá-la a toda a base de fornecedores e obriga a empresa a definir critérios de criticidade;
O terceiro nem sempre colabora, e a recusa em fornecer documentos societários costuma vir embalada em argumentos plausíveis, como confidencialidade comercial ou política interna;
A verificação é tratada como etapa de entrada, e não como processo contínuo, de modo que um fornecedor aprovado há três anos permanece aprovado indefinidamente;
O excesso de alertas sem critério gera fadiga e leva a equipe a tratar sinais relevantes como ruído operacional.

Nenhum desses obstáculos decorre de má-fé da empresa. Decorrem de desenho de processo e de limitação de acesso a dados. Por isso, a resposta não é exigir mais documentos, e sim decidir quais terceiros merecem profundidade e o que, de fato, se está tentando descobrir.

Segunda dificuldade: a sociedade anônima de capital fechado

Aqui está, na minha experiência, o ponto cego mais relevante da due diligence de integridade no Brasil, e o que menos aparece nos manuais.

Quando o terceiro é uma sociedade limitada, a verificação da estrutura societária é razoavelmente simples. O contrato social e suas alterações são arquivados na junta comercial, os sócios estão nomeados no instrumento e o quadro societário aparece na consulta pública do CNPJ.

Quando o terceiro é uma sociedade anônima de capital fechado, o cenário muda por completo.

As ações são registradas no Livro de Registro de Ações Nominativas, que é livro da própria companhia e não é arquivado na junta comercial;
O que se arquiva são o estatuto e as atas, documentos que revelam a administração eleita, não a composição acionária completa;
Na consulta pública do CNPJ, a companhia fechada aparece com seus administradores, e não com seus acionistas, o que cria a impressão equivocada de que a estrutura foi verificada;
Transferências de ações se operam por termo lavrado no livro próprio, de modo que o controle pode mudar sem qualquer registro público correspondente.

Existe uma via legal, e ela precisa ser conhecida. O art. 100, § 1º, da Lei nº 6.404/1976 prevê que sejam fornecidas certidões dos assentamentos constantes desses livros a qualquer pessoa, desde que destinadas à defesa de direitos e ao esclarecimento de situações de interesse pessoal, dos acionistas ou do mercado de valores mobiliários, admitido recurso à Comissão de Valores Mobiliários em caso de indeferimento injustificado.

Na prática comercial, porém, essa via raramente resolve. Ela depende de justificar uma finalidade qualificada, de cooperação da companhia e de um tempo de resposta incompatível com o prazo de uma contratação. Um fornecedor em potencial dificilmente aceitará que a análise da sua estrutura acionária passe por um pedido formal, quando pode simplesmente seguir para o concorrente que não perguntou.

E o registro nacional de beneficiários finais? Ele está em construção. A Instrução Normativa RFB nº 2.290/2025 instituiu o formulário digital de beneficiários finais, o e-BEF, com obrigatoriedade faseada, alcançando primeiro as empresas de maior faturamento a partir de 2027. Trata-se de avanço relevante de transparência, mas é informação prestada ao Fisco, que não integra a consulta pública do CNPJ. Ou seja, não é, e possivelmente não será, uma ferramenta de verificação disponível a quem precisa contratar.

O resultado é um descompasso que precisa ser dito com todas as letras: a norma e as boas práticas exigem da empresa a identificação do beneficiário final, enquanto a arquitetura brasileira de informação não oferece ao setor privado o meio de fazê-lo com segurança.

O que é possível fazer hoje

Reconhecer o limite não autoriza a inércia. Se o acesso direto ao dado não existe, a empresa precisa construir o seu próprio caminho probatório. Seis medidas têm funcionado:

Incluir no contrato cláusula de divulgação societária, com a obrigação de o terceiro declarar a cadeia de participação até a pessoa natural, manter a informação atualizada e comunicar qualquer alteração de controle em prazo determinado;
Exigir declaração de beneficiário final assinada pelo representante legal, com responsabilidade expressa pela veracidade e previsão de rescisão em caso de informação falsa ou omitida;
Solicitar o estatuto consolidado e a ata mais recente de eleição da administração, e, quando o risco justificar, pedir que o próprio terceiro obtenha e entregue a certidão prevista no art. 100 da Lei nº 6.404/1976;
Cruzar as atas arquivadas na junta comercial, que muitas vezes registram os acionistas presentes, os aumentos de capital e as mudanças de controle, com as demais informações coletadas;
Deslocar o foco da propriedade para a coerência econômica, avaliando capacidade operacional, número de empregados, estrutura física, compatibilidade entre a atividade declarada e a praticada, e histórico de cumprimento;
Tratar a recusa como informação, registrando formalmente o que foi solicitado, o que foi negado e qual decisão a empresa tomou diante da negativa.

A sexta medida é a mais importante e a mais negligenciada. Quando a verificação plena é impossível, o que protege a empresa não é o resultado da diligência, e sim o registro de que ela foi diligente: o que se pediu, quando se pediu, o que se obteve, o que foi recusado e com base em quê a decisão foi tomada. Esse conjunto é o que se apresenta a uma autoridade, a um auditor ou a um sócio, meses depois, quando a pergunta for por que a empresa contratou.

Onde isso deixa a governança

Duas conclusões me parecem inevitáveis.

Para a empresa, a due diligence de integridade precisa ser tratada como processo de risco, e não como formalidade de cadastro. Isso significa aceitar que ela não elimina o risco, definir com honestidade a profundidade possível para cada tipo de terceiro e documentar as próprias limitações, em vez de fingir uma certeza que o dado disponível não sustenta.

Para o ambiente de negócios, o debate sobre transparência de beneficiário final precisa avançar para além da obrigação declaratória. Enquanto a informação existir apenas para o Fisco e para os órgãos de controle, a empresa privada continuará sendo cobrada por uma verificação que não tem como realizar. Esse é um problema de política pública, não apenas de maturidade empresarial.

No intervalo entre a exigência e o meio, resta o que sempre resta em governança: método, critério e registro.

Sobre a autora

Katyusca Rocha é advogada empresarial e consultora em governança corporativa e compliance, auditora líder nas normas ISO 37001 e ISO 37301.

Due diligence de integridade: quando o obstáculo não é a vontade, é o dado