O problema de muitas aquisições de SaaS não surge no momento da assinatura. Surge meses depois, quando o fornecedor deixa de responder como prometido, altera as condições, complica a exportação de dados ou transfere para si responsabilidades que pensava serem dele. Nessa altura, o preço baixo inicial desaparece. O que fica é a paralisação operacional, o risco jurídico e o custo de saída.
Quem dirige uma PME sabe bem disso. A demonstração comercial é sempre impecável, mas o contrato já não tanto. E quando o fornecedor tem acesso a dados, processos críticos ou fluxos de vendas, uma escolha errada não se limita apenas à área de TI. Afeta também a administração, a conformidade, o atendimento ao cliente e a continuidade operacional.
Falo na qualidade de empresário que já enfrentou litígios concretos com fornecedores pouco transparentes no que diz respeito ao RGPD, à faturação europeia, ao apoio efetivo e a alterações unilaterais dos termos e condições. A lição é simples: a due diligence dos fornecedores não é uma mera formalidade do departamento de compras. É a forma de avaliar se um fornecedor pode tornar-se um ponto forte ou um risco estrutural.
Aqui encontrarás um quadro prático para avaliar um fornecedor tal como avaliarias um parceiro. Não se trata apenas do preço e das funcionalidades, mas também do contrato, da segurança, da operacionalidade, da portabilidade e da monitorização contínua.
O site está em baixo no pior dia possível. As encomendas ficam bloqueadas, a equipa comercial comunica através de três canais diferentes e o apoio ao cliente não sabe o que dizer aos clientes. Abre um ticket «prioritário» junto do teu fornecedor de SaaS e recebes uma resposta automática. Nenhum técnico, nenhuma escalação clara, nenhum tempo de resolução em tempo real.
É nesse momento que percebes o que compraste realmente.
Não compraste apenas um serviço. Compraste a forma como esse fornecedor gere incidentes, responsabilidades, dados, contratos e rescisões. Se não verificaste estes aspetos anteriormente, acumulaste um passivo operacional. Não se vê na demonstração, não consta da tabela de preços, mas surge tudo de uma vez quando o fornecedor não dá à altura.
Quando um fornecedor falha num momento crítico, o problema não é apenas técnico. Torna-se comercial, jurídico e de reputação, tudo no mesmo dia.
Muitos empresários encaram a due diligence do fornecedor como um mero trâmite administrativo. Verificam o preço, duas funcionalidades, talvez uma certificação na página inicial, e depois assinam. É um erro comum. As questões decisivas são outras: quem é responsável pelos dados, onde estão armazenados, como se exportam, quem o apoia realmente e o que acontece se o fornecedor mudar de proprietário ou alterar os termos do contrato.
O lado negativo é que estas perguntas atrasam a negociação. O lado positivo é que te poupam meses de problemas mais tarde.
A due diligence do fornecedor serve para compreender que tipo de risco está a assumir ao adquirir o serviço. O objetivo não é recolher documentos apenas para ficar tranquilo na fase da assinatura. O objetivo é avaliar, antecipadamente, quanto esse fornecedor lhe irá realmente custar se algo correr mal, se houver uma mudança na estrutura societária, se o apoio não for suficiente ou se, no futuro, tiver de rescindir o contrato rapidamente.
Quem já teve de lidar com uma migração forçada ou com um incidente mal gerido sabe-o bem. O problema raramente se limita ao fornecedor. Afeta os processos internos, bloqueia as atividades comerciais, consome horas da equipa técnica, suscita dúvidas jurídicas e transforma uma mensalidade aparentemente vantajosa num passivo operacional oculto.
É por isso que uma due diligence séria incide em quatro aspetos concretos:
Regra prática: se o fornecedor estiver envolvido em dados, pagamentos, atendimento ao cliente ou um processo crítico, a due diligence deve ser tratada como um controlo de continuidade da atividade, e não como um procedimento administrativo.
No contexto italiano, a subvalorização tem um custo ainda maior, porque a cadeia de abastecimento é composta, em grande parte, por pequenas e médias empresas, muitas vezes muito dependentes de terceiros. As PME representam 99,9% das empresas ativas e empregam cerca de 76,5% dos trabalhadores do setor privado, de acordo com os dados divulgados pelo Ministério das Empresas e do Made in Italy. Num sistema como este, o risco do fornecedor propaga-se rapidamente ao cliente.
Há ainda um erro recorrente. Muitas empresas avaliam um fornecedor sem terem esclarecido primeiro o que estão realmente a adquirir: infraestrutura, plataforma, software de aplicação ou uma combinação dos três. Se quiseres fazer bem esta análise logo no início, convém começares por analisar as diferenças entre os serviços na nuvem.
Subestimar a due diligence do fornecedor significa tratar um parceiro comercial como uma rubrica de despesas. É aqui que surgem os problemas que ninguém menciona na apresentação: processos internos mal adaptados ao fornecedor, dependências técnicas difíceis de eliminar, responsabilidades que só se descobrem após um incidente e custos de saída que surgem quando se tem menos margem para negociar.
Uma avaliação bem feita reduz as surpresas. Uma avaliação mal feita apenas as adia.
A maioria dos problemas graves não resulta de uma falha técnica. Resulta de uma cláusula que foi lida demasiado tarde. O contrato indica-te quem controla a situação quando algo avaria.
Ao avaliar um prestador de serviços, o preço é a última coisa a ter em conta. Em primeiro lugar, está o âmbito jurídico da relação.
Parte destas áreas:
Muitos empresários interpretam o contrato como um documento de defesa do prestador de serviços. É verdade. Por isso, deve ser lido como um guia dos seus incentivos.
Numa reunião comercial, é melhor ser direto. Não adianta falar como um advogado. É preciso falar como uma empresa que quer evitar custos ocultos.
Experimenta fazer perguntas assim:
Um bom contrato não é aquele que promete tudo. É aquele que deixa poucas margens para ambiguidades quando a relação se deteriora.
Um sinal de alerta clássico é quando um fornecedor responde bem às perguntas comerciais, mas mal às relacionadas com a eliminação de dados. Outro é o DPA padrão, que existe, mas não esclarece verdadeiramente as responsabilidades, as transferências e os prazos. Se hoje trabalha com dados, automatizações ou sistemas de tomada de decisão, vale a pena ler também sobre a Lei Europeia da IA para as PME, pois esta leva muitas empresas a formalizar de forma mais rigorosa a governação, a rastreabilidade e o papel dos fornecedores.
Um último critério prático. Se o fornecedor considerar incómodas as tuas perguntas sobre dados, responsabilidade e portabilidade, isso já diz algo sobre o tipo de relação que terás após a assinatura.
Um selo de conformidade ajuda. Mas não é suficiente. Uma certificação indica que existe um sistema de controlo. Por si só, não indica se esse fornecedor é adequado ao teu contexto, aos teus dados e à tua exposição operacional.
Os quadros de gestão de fornecedores recomendam a recolha de questionários de risco, relatórios financeiros e certificações como a ISO 27001 e a SOC 2, bem como a classificação dos fornecedores por nível de criticidade. No caso dos fornecedores de alto risco, acrescentam-se auditorias no local e análises da superfície de ataque externa, tal como sintetiza a Mitratech no seu guia sobre a due diligence de fornecedores.
Este aspeto altera a forma como se avalia um fornecedor. A questão não é «tem uma certificação?». A questão é «que provas operacionais me apresenta, para além da certificação?».
Por exemplo, faz sentido perguntar:
ÁreaO que perguntarPor que é importanteAlojamentoRegião de residência dos dados e subfornecedores de infraestruturaInflui na jurisdição e na conformidadeCópias de segurançaPolíticas, frequência e verificação da recuperaçãoUm backup não testado é apenas uma esperançaAcessosControlos sobre contas privilegiadasReduz o risco interno e o abusoResposta a incidentesProcesso documentado de gestão de incidentesIndica quem faz o quê sob pressãoVulnerabilidadesResultados da análise da superfície expostaServem para compreender até que ponto o fornecedor é visível e vulnerável a ataques
A jurisdição dos dados é mais importante do que muitos pensam. Se o fornecedor alojar ou transferir dados para fora do perímetro que consideravas garantido, as obrigações, as avaliações e, muitas vezes, também a forma como geres incidentes e pedidos formais mudam.
Depois, há a parte menos glamorosa e mais concreta: as cópias de segurança e a recuperação em caso de catástrofe. Não te limites a perguntar se existem. Pergunta como são verificadas, como são documentadas e quem intervém em caso de corrupção de dados ou indisponibilidade do serviço.
Paralelamente, analise a reputação da entidade com quem está a negociar. Em alguns setores com grande volatilidade, verificar sinais públicos de vigilância ou alerta é uma medida mínima de segurança. Um exemplo útil é a lista negra de fraudes com criptomoedas, que ilustra bem por que razão a análise de reputação e a verificação externa não são um capricho, mas sim uma proteção básica quando o prestador de serviços opera em áreas sensíveis ou pouco transparentes.
Se um fornecedor te mostrar apenas PDF-s bem apresentados e nenhuma prova de como gere incidentes, cópias de segurança, acessos e vulnerabilidades, estás a avaliar o marketing, não a segurança.
A verdadeira qualidade de um fornecedor revela-se quando há urgência e pouca margem de manobra. Não na demonstração. Não na proposta comercial. Não na página «empresarial».
O serviço de apoio deve ser testado antes de se tornar cliente. É um passo que quase ninguém dá.
Podes fazê-lo de forma simples:
Um fornecedor de confiança não se ofende se fizeres estas perguntas. Considera-as normais.
Um excelente serviço de apoio não é aquele que responde rapidamente quando tudo está a funcionar bem. É aquele que assume a responsabilidade por um problema complicado, sabe como o escalar e deixa-te um registo escrito das decisões tomadas.
É aqui que se esconde a parte mais ignorada da due diligence dos fornecedores: o «lock-in».
Uma due diligence técnica eficaz deve incluir a análise do código e das dependências, de modo a criar um inventário completo do software de terceiros, das relações entre dependências e das licenças de código aberto, bem como a verificação da arquitetura, das API e das bases de dados, para avaliar o risco de dívida técnica e de dependência de fornecedores, tal como explica a FOSSA no seu guia sobre due diligence técnica.
Traduzindo para a linguagem empresarial, tens de compreender três coisas:
Se o fornecedor facilita a entrada e dificulta a saída, não se trata de uma parceria. Trata-se de uma dependência.
No que diz respeito à continuidade, vale também a pena esclarecer como o fornecedor encara a recuperação e a perda de dados. Se pretender uma base operacional para avaliar estes cenários, encontrará na ELECTE um bom ponto de referência sobre a gestão do RTO e do RPO.
Há um critério simples que ajuda bastante: antes de assinar, pede um procedimento de saída por escrito. Se não existir, o custo de saída é quase certamente mais elevado do que imaginas.
O problema das listas de verificação é que retratam o fornecedor num determinado dia. O risco, por outro lado, está em constante mudança.
Uma lacuna frequente na due diligence dos fornecedores é precisamente esta: quase todos explicam o que perguntar ao fornecedor, mas poucos explicam como recalcular o seu risco ao longo do tempo. No entanto, o contexto exige-o. O relatório Clusit 2025 indica que, em 2024, os ataques cibernéticos contra alvos italianos ascenderam a 357, um aumento em relação aos 310 registados em 2023, sendo que 79% apresentavam gravidade elevada ou crítica. Além disso, as violações relacionadas com terceiros custam, em média, mais de 370 000 dólares do que as violações internas, tal como relata a SecurityScorecard na sua lista de verificação para prestadores de serviços.
Isto altera a lógica de controlo. Não basta aprovar o fornecedor na fase inicial. É necessário decidir quais os fornecedores que requerem maior atenção e quais os sinais que desencadeiam uma reavaliação.
Uma abordagem baseada no risco parte de uma classificação interna. Nem todos os fornecedores são iguais. É importante ter em conta, pelo menos:
A partir daí, é possível implementar um sistema de monitorização eficaz, inclusive com ferramentas de análise de dados: painéis de controlo sobre os SLA, acompanhamento de tickets críticos, alertas sobre alterações na documentação, mudanças nos subfornecedores, anomalias no desempenho ou em eventos de segurança.
Um fornecedor não se torna um risco apenas quando sofre um incidente. Torna-se um risco quando os sinais fracos se acumulam e ninguém os interpreta no seu conjunto.
Para uma PME, este é o momento em que os dados se traduzem em governação prática. Não para melhorar a burocracia, mas para reagir mais rapidamente.
A lista de verificação serve apenas para uma coisa: perceber se estás a escolher um fornecedor que apoia o negócio ou um que te deixa com dívidas operacionais, litígios e uma saída dispendiosa. Se o documento não te ajudar a dizer «não», não é uma lista de verificação útil.
Desta forma, evita-se o tipo de problema que só surge após a assinatura.
O que conta aqui são as provas. As certificações ajudam, mas não explicam como o prestador de serviços trabalha sob pressão.
Muitos erros surgem aqui, e não no contrato.
O erro mais comum é ficar-se pela fase de seleção. O verdadeiro risco surge depois, quando o apoio piora, os subfornecedores mudam, as exportações se revelam inutilizáveis ou uma alteração na política transfere para si atividades que pensava estarem incluídas. É aí que surgem os custos de segunda ordem.
Se quiser resumir tudo numa regra prática, siga esta: avalie o prestador de serviços tal como avaliaria um sócio operacional. Este deve ser capaz de lidar com um incidente, um litígio e uma separação ordenada. Se não souber como sair da situação, é porque não verificou o suficiente.
Se pretende transformar os dados relativos a fornecedores, SLA, incidentes e desempenho num sistema de monitorização contínua, a ELECTE, uma plataforma de análise de dados baseada em IA destinada às PME, ajuda a recolher sinais dispersos e a convertê-los em informações úteis para decisões mais rápidas e melhor fundamentadas. É uma forma concreta de passar de uma due diligence pontual para uma vigilância operacional mais madura.
.svg)
.svg)
.svg)
