Coreografia: due diligence de terceiros em massa

A empresa tem três mil e duzentos fornecedores ativos, e a política diz que todos precisam de due diligence anual contra lista de sanção, pessoa politicamente exposta e estrutura societária suspeita. No ritmo manual dá pra revisar uns quinze por dia, no talo, o que levaria quase um ano pra cobrir a base inteira uma vez. Você sobe os três mil e duzentos pra IA e pede uma coisa específica: não conclua nada, só acenda nome que bate (mesmo que parcialmente) com lista de sanção, sócio que aparece em mais de uma empresa do mesmo grupo econômico, e notícia adversa nos últimos dois anos. Ela varre tudo em horas e devolve cento e dez fornecedores marcados. A maioria é homônimo sem relação nenhuma, falso positivo que custa só o seu tempo de descartar. Três são sérios: um tem sócio numa lista de sanção internacional havia seis meses e ninguém tinha notado.

Você pede pra IA cruzar o cadastro de mil e duzentos fornecedores com dado público de saúde financeira (protesto, recuperação judicial, atraso fiscal) antes da renovação anual de contratos. Ela varre tudo e marca noventa fornecedores; a maioria é atraso pontual já regularizado, falso positivo que se descarta na hora. Quatro, porém, mostram fornecedor crítico da cadeia em processo de recuperação judicial recém-aberto, risco de continuidade que ninguém tinha visto porque a checagem financeira de fornecedor era feita só na contratação, nunca depois.

Você pede pra IA varrer os contratos de quatrocentos fornecedores atrás de cláusula de indenização que destoe do padrão que a área jurídica aprova. Ela varre tudo em minutos e aponta vinte e dois contratos. A maioria é variação de redação sem efeito prático, falso positivo descartado rápido. Dois, porém, têm cláusula de indenização ilimitada que expõe a empresa num nível que a política nunca autorizaria, achado que ninguém pegaria relendo contrato por contrato manualmente numa base desse tamanho.

Você pede pra IA varrer os duzentos influenciadores parceiros da marca atrás de controvérsia pública recente ou discurso que contradiga os valores da empresa. Ela varre tudo e marca dezoito perfis; a maioria é polêmica antiga já resolvida, falso positivo descartado rápido. Dois, porém, têm uma controvérsia dos últimos trinta dias que ninguém do time de marketing tinha visto, porque o monitoramento de reputação de parceiro sempre foi feito só na assinatura do contrato, uma vez.

Você pede pra IA varrer os duzentos fornecedores de serviço terceirizado de mão de obra atrás de histórico de autuação trabalhista grave nos últimos dois anos. Ela varre tudo e marca vinte e cinco fornecedores; a maioria é autuação menor já sanada, falso positivo descartado numa checagem rápida. Dois, porém, têm autuação por condição análoga à escravidão registrada há oito meses, risco que o processo de contratação original nunca teria pego porque a checagem de compliance trabalhista era feita só uma vez, na entrada do fornecedor.

Você pede pra IA varrer os cento e cinquenta fornecedores de tecnologia que processam dado pessoal de usuários atrás de certificação de segurança vencida ou incidente de vazamento relatado publicamente. Ela varre tudo e marca doze fornecedores; a maioria é certificação renovada mas ainda não atualizada no cadastro interno, falso positivo que se resolve com um e-mail. Um, porém, teve um incidente de vazamento relatado há três meses que ninguém da área de produto soube, porque o monitoramento de fornecedor de dado pessoal parava na assinatura do contrato original.

Você pede pra IA varrer os oitocentos distribuidores ativos atrás de operação em país de alto risco de corrupção sem due diligence reforçada registrada. Ela varre tudo e marca quarenta distribuidores; a maioria já tem a due diligence reforçada arquivada num sistema separado, falso positivo que se resolve cruzando o registro certo. Três, porém, operam em país de alto risco sem nenhuma due diligence reforçada nunca feita, brecha que ninguém tinha visto porque a checagem original, na contratação, não distinguia nível de risco por país.

Você pede pra IA varrer os seiscentos fornecedores logísticos atrás de veículo ou motorista que apareça em mais de uma autuação ambiental grave no último ano. Ela varre tudo e marca trinta e cinco fornecedores; a maioria é autuação leve e isolada, falso positivo descartado numa checagem rápida. Dois, porém, concentram autuação recorrente que aponta pra prática sistemática de descarte irregular, risco ambiental que nenhuma auditoria pontual de fornecedor teria capturado nesse volume.

Você pede pra IA cruzar a base de dois mil parceiros comerciais com listas de pessoa politicamente exposta atualizadas semanalmente, tarefa que a checagem manual só fazia uma vez por ano, na renovação de contrato. Ela varre tudo e marca sessenta e cinco parceiros; a maioria é coincidência de nome comum, falso positivo descartado em minutos. Um, porém, tem um sócio que assumiu cargo público havia quatro meses, e o contrato segue rodando sem a aprovação adicional que a política exige pra esse tipo de relação. O ganho não é ler melhor que o time de compliance, é varrer toda a base toda semana, coisa que o ritmo manual nunca alcançaria.

Você pede pra IA varrer os duzentos fornecedores de software atrás de dependência com vulnerabilidade crítica recém-divulgada ou certificado de segurança expirado. Ela varre tudo e marca vinte e dois fornecedores; a maioria já corrigiu a vulnerabilidade mas o cadastro interno não foi atualizado, falso positivo que se resolve rápido. Um, porém, segue com uma falha crítica sem correção há mais de sessenta dias, risco real que a checagem anual de segurança de fornecedor nunca pegaria a tempo.

Você pede pra IA varrer os noventa fornecedores de pesquisa com usuário atrás de cláusula de consentimento que não cumpra o padrão de proteção de dado da empresa. Ela varre tudo e marca quinze fornecedores; a maioria usa termo levemente diferente mas equivalente, falso positivo descartado rápido. Um, porém, coleta dado de participante sem base legal clara, risco que só apareceu porque a IA cruzou o contrato de todos os fornecedores de pesquisa de uma vez, coisa que a checagem manual nunca fez fora da contratação inicial.

Você pede pra IA varrer as cem empresas-alvo de uma lista de possíveis aquisições atrás de vínculo societário com pessoa ou empresa sancionada internacionalmente. Ela varre tudo e marca sete empresas; a maioria é vínculo indireto e antigo, falso positivo que se descarta com uma checagem rápida. Uma, porém, tem um sócio minoritário atual numa lista de sanção recente, achado que mudaria completamente a viabilidade daquela aquisição se ninguém tivesse pego antes da assinatura da carta de intenção.