A assinatura de um contrato transfere serviço, prazo e preço. Dentre esse prospecto, o especialista em segurança institucional, Ernesto Kenji Igarashi, esclarece que ela também transfere acesso, e essa parte raramente é lida com a mesma atenção. É aí que mora o ponto cego: a due diligence de segurança costuma acontecer depois do incidente, quando já não é diligência, é apuração.
Terceiros circulam por onde funcionários circulam. A limpeza entra na sala da diretoria fora do horário, a manutenção conhece o quadro elétrico e as rotas de fuga, o transporte executivo sabe endereços e horários, o fornecedor de tecnologia vê o que ninguém mais vê. Nenhuma dessas empresas passou pelo processo seletivo da contratante, e todas herdaram o mesmo nível de confiança.
Verificar não é desconfiar de todo mundo. É estabelecer, antes da assinatura, o que precisa ser verdade sobre o parceiro para que aquele acesso seja aceitável. Sendo assim, quatro perguntas resolvem a maior parte dos casos, e nenhuma delas exige investigação sofisticada. Quer saber mais? Leia até o fim!
A primeira verificação é: quem vai executar o serviço de fato?
Contrato assinado com uma empresa e serviço prestado por outra é rotina em segmentos que trabalham com subcontratação em cadeia. A contratante avalia o histórico, a certidão e o seguro de uma razão social e recebe na portaria o funcionário de uma terceira, admitido na semana anterior, sem verificação equivalente. Ernesto Kenji Igarashi pontua que a cláusula que corrige isso é curta: proibição de subcontratar sem anuência prévia e obrigação de fornecer a relação nominal de quem terá acesso, atualizada a cada substituição.
Essa relação nominal é o item mais negligenciado e o mais barato de exigir, porque converte um vínculo abstrato entre empresas em uma lista de pessoas com nome, função e período de circulação autorizada. Sem ela, a contratante sabe com quem assinou e ignora quem de fato atravessa a portaria todos os dias.
A segunda é: o que o parceiro vai saber sobre a sua operação?
Riscos de terceiros raramente aparecem como furto direto. Aparecem como informação que sai sem controle, como a planta do prédio enviada por aplicativo para orçar um serviço, a agenda de deslocamentos compartilhada com a locadora, o organograma completo entregue a um fornecedor de software. Cada envio parece razoável isoladamente. Somados, montam fora da empresa um retrato que, dentro dela, pouca gente tem autorização para ver.
O que precisa constar em uma cláusula de confidencialidade com fornecedores?
Além do sigilo genérico, o contrato deve dizer quais informações são restritas, por quanto tempo, quem responde por elas do lado do fornecedor e o que acontece com esse material quando o serviço termina.
Em vista disso, Ernesto Kenji Igarashi comenta que a última parte é a que costuma ficar de fora. Encerrado o contrato, o fornecedor segue com projetos, fotos, credenciais e listas em servidores que a contratante nunca mais audita. Definir devolução ou destruição do material, com prazo e comprovação, é o que separa um encerramento de contrato de um vazamento apenas adiado.
A terceira é: o histórico que não aparece na apresentação comercial
Verificação de parceiros passa por consulta a processos, checagem do quadro societário e conversa com clientes anteriores, sobretudo os que encerraram a relação. A pergunta mais reveladora não é se houve incidente, porque houve em todo lugar. É como o fornecedor se comportou depois: avisou no mesmo dia, tentou resolver sozinho antes de contar, ou o cliente descobriu por terceiros?
Sendo especialista em segurança institucional, Ernesto Kenji Igarashi alude que a maturidade de um prestador aparece com mais clareza no relato do próprio erro do que no material de vendas, porque a apresentação foi escrita para convencer e o relato precisa admitir prejuízo. Prestador que nunca teve problema nenhum costuma ser prestador que não conta, e isso diz mais sobre a relação futura do que sobre o passado dele.
A quarta é: o que acontece no dia em que algo der errado
Contratos costumam prever multa e rescisão, quase nunca preveem procedimento. Para quem o fornecedor liga primeiro? Em quantas horas a contratante precisa ser notificada? Quem fala com a imprensa se o caso vazar? Quem preserva imagens, registros de acesso e trilhas de sistema antes que sejam sobrescritos pela própria rotina de armazenamento?
Combinar isso na negociação é constrangedor e barato, porém, combinar no meio da crise é caro e tarde. Nada disso exige cláusula extensa, informa Ernesto Kenji Igarashi; na verdade, uma página com nomes, prazos e responsabilidades resolve o essencial.
A due diligence de segurança é a parte barata do processo
Verificar tem má fama porque atrasa negócio. O atraso é real e dura alguns dias. A alternativa dura o tempo de uma investigação interna, de uma renegociação sob pressão e de uma explicação a clientes que não têm obrigação nenhuma de entender a diferença entre a empresa e o fornecedor dela.
A cadeia de parceiros é, na prática, uma extensão do perímetro, como resume Ernesto Kenji Igarashi: quem entra por convite passa exatamente por onde a proteção não está olhando, e nenhuma estrutura interna compensa uma porta que foi aberta por contrato.
