Dejan Jasnic · Cofundador e Responsável de Compliance, Trusty · Mais de 20 anos em antifraude e compliance · Membro da direção do ACFE Swiss Chapter
Durante muito tempo, a conformidade foi tratada como uma função interna. As políticas eram redigidas, os controlos eram implementados e a responsabilidade ficava claramente dentro dos limites de uma única organização.
Em 2026, esse modelo já não se aplica.
Num número crescente de regulamentos da UE, a conformidade está a estender-se para além das empresas individuais e para as cadeias de abastecimento de que dependem. Esta mudança nem sempre é explícita, mas já está a redefinir a forma como as empresas operam, sobretudo as PME.
Uma mudança estrutural na forma como funciona a conformidade da cadeia de abastecimento
Os desenvolvimentos regulamentares recentes apontam na mesma direção. Quer o foco seja o impacto ambiental, a cibersegurança ou o crime financeiro, o mecanismo é cada vez mais semelhante.
Ao abrigo das regras da UE sobre desflorestação, as empresas que colocam produtos no mercado têm de demonstrar que os bens são obtidos de forma responsável. Esse requisito não pode ser cumprido sem contributos detalhados dos fornecedores. Ao abrigo da Diretiva NIS2 (UE) 2022/2555, espera-se que as organizações gerem os riscos de cibersegurança, incluindo os que têm origem em fornecedores e prestadores de serviços. Os regimes de sanções exigem que as empresas compreendam com quem estão a transacionar, não apenas internamente, mas em toda a sua rede de parceiros.
Em cada caso, a responsabilidade pode recair sobre uma empresa, mas a execução depende de muitas.
Esta é a essência da conformidade da cadeia de abastecimento para PME. Mesmo quando não são o alvo principal da regulamentação, fazem parte do sistema que torna a conformidade possível.
Como isto se manifesta na prática
Para muitas PME, o impacto já é visível, mesmo que não seja enquadrado como regulamentação.
Os pedidos de informação estão a tornar-se mais frequentes e mais estruturados. É pedido às empresas que forneçam detalhes sobre origem, propriedade, operações ou exposição ao risco. Estes pedidos vêm muitas vezes de clientes, parceiros ou intermediários, e não dos próprios reguladores.
O que mudou não foi apenas o volume destes pedidos, mas a expectativa por detrás deles. Já não basta responder de forma informal ou com base no melhor esforço possível. Existe uma expectativa crescente de que a informação seja exata, consistente e esteja disponível quando necessária.
Isto cria um novo tipo de pressão operacional. O desafio não é interpretar textos legais, mas sim ser capaz de responder de forma fiável e repetível.
O problema oculto: a fragmentação
A maioria das PME já lida com alguma forma de due diligence, seja através de verificações de integração, questionários ou revisões internas. A dificuldade é que estas atividades raramente estão ligadas entre si.
A informação está muitas vezes dispersa por folhas de cálculo, e-mails e documentos. Os processos variam consoante quem gere o pedido. Com o tempo, isto leva à fragmentação, em que os mesmos dados são recolhidos várias vezes de formas ligeiramente diferentes, sem que exista uma única fonte de verdade.
Esta abordagem pode funcionar quando os pedidos são ocasionais. Torna-se muito mais difícil de gerir à medida que as expectativas aumentam e os prazos se encurtam.
Neste contexto, o verdadeiro risco não é o incumprimento num sentido estritamente legal. É a inconsistência. Quando a informação não pode ser facilmente recuperada ou verificada, torna-se difícil demonstrar que foram realizadas as verificações adequadas.
De um esforço pontual para um processo contínuo
Outra mudança importante é o abandono das verificações pontuais. A conformidade é cada vez mais tratada como um processo contínuo, em vez de uma atividade pontual.
Um fornecedor não é simplesmente avaliado uma única vez. O seu estatuto pode precisar de ser monitorizado, atualizado e reavaliado ao longo do tempo. Espera-se que a documentação seja mantida, não apenas criada. O mesmo se aplica a áreas como a exposição a sanções, os indicadores ESG ou os riscos de cibersegurança.
Para as PME, isto não significa necessariamente fazer mais trabalho. Significa organizar as atividades existentes de forma a que possam ser repetidas e mantidas sem ter de recomeçar do zero de cada vez.
É aqui que muitas empresas começam a sentir a pressão. Sem uma estrutura clara, até os processos mais simples se podem tornar demorados.
Como é uma abordagem prática
A conformidade da cadeia de abastecimento para PME não exige sistemas complexos nem grandes equipas. Exige clareza na forma como a informação é gerida.
A um nível básico, as empresas precisam de saber com quem estão a trabalhar, de ser capazes de recolher a informação relevante de forma estruturada e de responder aos pedidos sem reconstruir o processo todas as vezes. Tão importante quanto isso, precisam de manter um registo do que foi feito, para que possa ser demonstrado sempre que necessário.
Isto pode ser aplicado de forma proporcional. Nem todas as relações apresentam o mesmo nível de risco, e nem todos os pedidos exigem a mesma profundidade de resposta. A chave está na consistência, não na complexidade.
Onde as PME sentem o impacto
Na maioria dos casos, o desafio não é a falta de consciência. As PME compreendem que as expectativas estão a mudar.
A dificuldade está na execução. A informação não está centralizada, os processos não estão padronizados e a documentação nem sempre está acessível quando é necessária. Estas lacunas permanecem muitas vezes invisíveis até serem testadas, por exemplo, durante um processo de contratação ou uma auditoria.
Nesse momento, a capacidade de responder de forma rápida e clara torna-se um fator de competitividade.
Conclusão
A conformidade da cadeia de abastecimento para PME não é uma preocupação futura. Já está a tomar forma na maneira como as empresas pedem, partilham e verificam informação.
A mudança não tem a ver com complexidade, mas com estrutura: a passagem de respostas informais e pontuais para processos simples e repetíveis.
Para as PME, é essa mudança que torna a conformidade gerível.
Perguntas frequentes
As regras da UE, como o regulamento da desflorestação, a Diretiva NIS2 e os regimes de sanções, colocam a responsabilidade numa empresa, mas dependem de informação dos seus fornecedores, pelo que os pedidos chegam de clientes e parceiros, e não de reguladores.
A fragmentação. A informação de due diligence encontra-se em folhas de cálculo, e-mails e documentos, os processos variam consoante a pessoa, e os mesmos dados são recolhidos várias vezes, sem que exista uma única fonte de verdade.
Não. A conformidade é cada vez mais tratada como um processo contínuo: o estatuto de um fornecedor pode precisar de ser monitorizado, atualizado e reavaliado ao longo do tempo, e a documentação tem de ser mantida, não apenas criada.
Saber com quem trabalha, recolher a informação relevante uma única vez de forma estruturada, responder a todos os pedidos a partir desse registo e manter provas do que foi feito, aplicadas de forma proporcional ao risco de cada relação.
AVALIAÇÃO DE RISCO DE TERCEIROS
QuickScreen360: avalie fornecedores e parceiros quanto a riscos de conformidade. Envie pedidos de due diligence, atribua formação e monitorize resultados numa única plataforma.