Toda decisão corporativa que envolve pessoas — contratar um executivo, fechar uma parceria, aprovar um fornecedor, adquirir uma empresa — depende de uma avaliação prévia sobre quem está do outro lado da relação. Essa avaliação recebe, na prática de mercado, dois nomes que frequentemente se confundem: background check e due diligence.
Um background check concentra-se na pessoa: verificar identidade, validar formação acadêmica e histórico profissional, consultar antecedentes criminais, cíveis e trabalhistas, mapear participações societárias e identificar restrições cadastrais. A pergunta que orienta o trabalho é: “as informações declaradas por essa pessoa correspondem aos registros disponíveis?”.
A due diligence, por sua vez, orienta-se pela decisão. Seu ponto de partida é um risco específico associado a uma operação concreta: a possibilidade de herdar passivos ocultos numa aquisição, de vincular-se a um parceiro com exposição regulatória não declarada, de contratar um prestador cuja estrutura societária apresente conflitos de interesse com a cadeia de fornecedores do contratante. A due diligence responde: “quais riscos essa relação cria para a organização, e em que grau esses riscos podem ser identificados, quantificados e gerenciados antes de se converterem em passivo?”.
A distinção determina o método. Um background check pode ser padronizado em larga escala — a mesma bateria de consultas aplicada a cada candidato numa mesma faixa de cargo. Uma due diligence exige calibragem caso a caso, com hipóteses investigativas derivadas do contexto da operação em análise.
Três contextos de aplicação
O primeiro contexto é o de contratação — de funcionários, executivos e prestadores de serviço. A verificação concentra-se em validar dados cadastrais e profissionais e identificar antecedentes que representem incompatibilidade com o cargo ou a política de integridade da organização. A profundidade varia conforme a criticidade da posição: um analista júnior demanda verificação padronizada; um CFO ou gestor com alçada sobre contratos demanda mapeamento relacional, análise de participações societárias que possam configurar conflito de interesse, e verificação de exposição política. A pergunta que orienta esse contexto é: “existe algum fator não declarado que, caso se materialize após a contratação, gere risco operacional, reputacional ou regulatório para a organização?”.
O segundo é o de negociações — aquisições, fusões, parcerias e investimentos. O foco recai sobre a estrutura corporativa da contraparte: composição societária em múltiplas camadas (inclusive holdings e empresas em jurisdições de baixa transparência), regularidade fiscal e regulatória, histórico de litígios, vínculos com pessoas politicamente expostas (PEPs) e sinais de fragilidade patrimonial. A due diligence opera nesse cenário em fases temporais — pré-negociação (mapeamento preliminar para decidir se vale prosseguir), fase negocial (aprofundamento com impacto sobre valuation e cláusulas contratuais) e pós-operação (monitoramento de riscos que não puderam ser eliminados contratualmente). Um risco recorrente aqui são estruturas societárias com múltiplas camadas — holdings, sócios nominais, empresas em jurisdições opacas — que dificultam a identificação do beneficiário final e podem ocultar conflitos de interesse ou exposição a listas de sanções.
O terceiro é o de apurações internas — investigações desencadeadas por denúncias, auditorias ou indícios de irregularidade. A produção de inteligência em fontes abertas apoia a reconstrução de redes de relacionamento entre investigados, identifica vínculos não declarados (societários, familiares, acadêmicos, políticos) que possam configurar conflito de interesse, e documenta incompatibilidades entre patrimônio visível e renda declarada. O que diferencia esse contexto é que o ponto de partida costuma ser um indício já existente, o que exige do analista capacidade de formular hipóteses investigativas e testá-las contra fontes múltiplas, em vez de aplicar um protocolo padronizado de consultas.
O que registros capturam e o que exige inferência
O trabalho opera com dois tipos de informação epistemologicamente distintos. A verificação documental consulta registros formais e produz dados binários ou factuais: existe ou não existe processo judicial, a empresa possui ou não certidão negativa, o CPF está regular ou não. A confiabilidade depende da atualização da base, da completude dos registros e da inexistência de homonímia — problema frequente no Brasil, onde a ausência de um identificador único universal multiplica falsos positivos em consultas por nome.
A inferência sobre traços observáveis opera com informações que registros formais não contêm, mas que podem ser derivadas do cruzamento de fontes e da identificação de padrões e ausências. Exemplo: um candidato a cargo executivo declara ter ocupado posição de diretoria em determinada empresa por cinco anos, mas o LinkedIn não registra essa passagem, o CAGED não indica vínculo formal no período, e a Junta Comercial não o lista como administrador ou no conselho de administração. Nenhuma fonte, isoladamente, prova que a informação é falsa — o candidato pode ter atuado via pessoa jurídica. A inferência consiste em identificar a lacuna, avaliar se as explicações alternativas são plausíveis e documentar o grau de incerteza residual para que o tomador de decisão calibre sua avaliação.
Outro exemplo, frequente em due diligence de negócios: uma empresa-alvo apresenta faturamento compatível com sua estrutura operacional, mas seus três principais fornecedores foram constituídos no mesmo ano, compartilham endereço fiscal e têm como sócios pessoas sem histórico empresarial prévio. Não há sanções, processos ou restrições formais. A inferência sobre o padrão observável — coincidência de endereço, simultaneidade de constituição, ausência de histórico — é o que sinaliza necessidade de aprofundamento.
A distinção entre verificação e inferência define o que análise automatizada consegue e o que ela não consegue entregar. Plataformas de big data consolidam centenas de consultas documentais em minutos. O que não fazem — sem intervenção analítica — é identificar o que a ausência de um registro significa, avaliar se um padrão de coincidências configura sinal de risco ou casualidade, e formular a hipótese que determina quais fontes adicionais consultar. Coleta automatizada em escala reduz tempo de levantamento; não substitui a capacidade de interpretação que transforma dados em avaliação de risco.
Detecção precoce e os sinais de fragilidade futura
Uma limitação recorrente em processos padronizados de background check é o foco exclusivo no passado registrado. Consultar antecedentes responde: “essa pessoa já se envolveu em algo que gerou registro formal?”. A pergunta que fica sem resposta é: “existem sinais observáveis de que essa pessoa ou empresa pode gerar risco no futuro, mesmo sem registro prévio?”.
A diferença entre as duas perguntas é a diferença entre registro e detecção precoce. Um fornecedor, sem protestos nem processos, pode estar em deterioração progressiva: licenças próximas do vencimento, quadro societário em reestruturação acelerada, redução de quadro funcional incompatível com o volume de contratos em execução. Nenhum desses indicadores aparece numa consulta binária de antecedentes; eles aparecem no cruzamento entre fontes — a Junta Comercial revela as alterações societárias, o CAGED indica a redução de vínculos, o portal do órgão regulador mostra o status das licenças. Detecção precoce consiste em identificar a convergência desses sinais antes que o risco se materialize como inadimplência, interrupção contratual ou passivo judicial.
O raciocínio se aplica a pessoas. Um executivo cujas participações societárias se sobrepõem à cadeia de fornecedores do empregador apresenta risco de conflito de interesse — mesmo que nenhum conflito tenha se materializado. A identificação não depende de antecedente negativo; depende do cruzamento entre o quadro societário do executivo (dado cadastral) e o mapa de fornecedores da organização (dado interno). A vulnerabilidade não existe no registro isolado; emerge da relação entre registros que, sem cruzamento deliberado, permaneceriam em bases separadas.
Falsos positivos, falsos negativos e viés de confirmação
Todo processo de verificação opera sob risco de erro em duas direções. O falso positivo ocorre quando um achado aparenta indicar risco, mas revela-se irrelevante ou atribuível a outra pessoa. A causa mais comum no Brasil é a homonímia: consultas por nome em bases judiciais retornam processos de homônimos, e sem validação por CPF o analista pode atribuir ao pesquisado um histórico que pertence a terceiro. O dano prático: exclusão indevida de candidato, interrupção de negociação por risco inexistente, ou direcionamento de recursos para pista improcedente.
O falso negativo ocorre quando a análise conclui pela ausência de risco que, na realidade, existe. As causas mais frequentes: incompletude das bases (nem todos os tribunais integram plataformas unificadas; processos em segredo de justiça não aparecem; registros cartorários em comarcas menores podem não estar digitalizados), defasagem temporal, e limitação do escopo de pesquisa (a análise não incluiu a jurisdição ou o grau de conexão relacional em que o risco efetivamente reside). O dano: contratação de executivo com conflito de interesse não identificado, aquisição de empresa com passivos ocultos, ou aprovação de fornecedor com vínculos não mapeados.
A essas categorias soma-se o viés de confirmação — a tendência do analista de interpretar achados ambíguos na direção da hipótese previamente formulada. Se o analista recebe a demanda com orientação implícita de reprovação, tende a ler dados ambíguos como confirmação de problema; se a orientação é de aprovação rápida, tende a descartá-los. A mitigação exige protocolos formais: separação entre quem formula a hipótese e quem a testa, critérios pré-definidos de classificação de achados (com categorias para “inconclusivo” e “requer aprofundamento”), e revisão por segundo analista em casos de maior criticidade.
Um protocolo que não trate falsos positivos, falsos negativos e viés de confirmação pode produzir decisões que aparentam estar fundamentadas, mas se baseiam em dados incompletos ou interpretações enviesadas. Um relatório que atribua ao pesquisado informações incorretas — por homonímia não tratada, falha de validação ou ausência de ressalva sobre limitações — pode gerar responsabilidade civil e dano reputacional tanto ao pesquisado quanto ao demandante.
LGPD, dado pessoal público e os limites do tratamento
Uma premissa frequente no mercado é a de que dados disponíveis em fontes abertas podem ser livremente coletados porque são “dados públicos”. Essa premissa é juridicamente incorreta. A LGPD (Lei nº 13.709/2018) não cria exceção para dados tornados públicos pelo titular ou disponibilizados em bases de acesso livre. O art. 7º, §4º, ao tratar de dados manifestamente tornados públicos, não dispensa o cumprimento dos princípios do art. 6º — finalidade (o dado deve ser tratado para propósitos legítimos, específicos e informados), adequação (compatibilidade com a finalidade declarada), necessidade (limitação ao mínimo necessário) e não discriminação (vedação de tratamento para fins discriminatórios ilícitos).
Na prática, isso significa que a coleta de dados pessoais em fontes abertas exige base legal (tipicamente o legítimo interesse do art. 7º, IX, que pode demandar Relatório de Impacto à Proteção de Dados), documentação da finalidade específica de cada coleta, e limitação do escopo ao necessário para a análise de risco. Coletar sistematicamente todas as informações disponíveis “para o caso de serem úteis” viola o princípio da necessidade. Coletar posicionamentos políticos, orientação religiosa ou filiação sindical de candidato a emprego viola o princípio da não discriminação, salvo quando diretamente vinculados ao risco em apuração — hipótese excepcional que exige fundamentação documentada.
Há, ainda, uma fronteira que fontes abertas não cruzam sem autorização judicial. Dados protegidos por sigilo bancário, fiscal ou telemático exigem ordem judicial para acesso. Due diligence em fontes abertas identifica o que é visível nos registros públicos e infere o que padrões observáveis sugerem; não substitui medidas judiciais quando o risco identificado demanda acesso a informações protegidas por sigilo legal.
Como o mapeamento de risco opera na prática
O processo segue quatro etapas: planejamento, coleta, análise e documentação.
No planejamento, define-se o perímetro: quem será pesquisado (pessoa física, jurídica, ambas); quais categorias de risco são prioritárias (integridade, patrimonial, relacional, reputacional, operacional); até qual grau de conexão relacional a análise será estendida (conexões diretas sempre; conexões de segundo e terceiro grau apenas quando há indício de coincidência — como sócios de fornecedores que compartilham endereço com partes relacionadas ao pesquisado); e qual o escopo de cobertura temporal. O planejamento é o momento em que se formula a hipótese investigativa que orientará a coleta.
Na coleta, as fontes são consultadas segundo a taxonomia definida. Elas se agrupam em categorias: cadastrais (identificação civil e empresarial), de conformidade (sanções, regulação, restrições setoriais), relacionais (vínculos societários, familiares, políticos, acadêmicos), patrimoniais (bens, participações, registros financeiros) e reputacionais (mídia, redes sociais, fóruns setoriais). Para cada fonte, o analista documenta o que foi consultado, quando, por qual meio e qual resultado — inclusive resultados negativos, porque a distinção entre “verificado e sem ocorrência” e “não verificado” é informação que precisa constar no relatório.
Na análise, os dados coletados são cruzados entre si e confrontados com as hipóteses do planejamento. O analista identifica convergências (múltiplas fontes apontando para a mesma conclusão), divergências (fontes contraditórias que exigem aprofundamento), lacunas (categorias sem informação disponível, documentadas como limitação) e anomalias (padrões inesperados para o perfil do pesquisado). Cada achado recebe classificação de grau de certeza: confirmado, indicativo, inconclusivo ou descartado.
Na documentação, os achados são organizados com separação entre fatos verificados, inferências fundamentadas e limitações metodológicas. A documentação das limitações — quais fontes não foram consultadas, por quê, e qual o impacto sobre a avaliação de risco — é tão relevante quanto a dos achados, porque permite ao tomador de decisão calibrar o grau de confiança na análise.
Limitações técnicas e legais
Três categorias de limitação merecem tratamento explícito. A primeira é a cobertura das bases: nem todos os tribunais integram plataformas unificadas; processos em segredo de justiça são inacessíveis; registros cartorários em comarcas menores podem não estar digitalizados; alterações societárias recentes podem levar semanas para refletir nos sistemas de consulta. Uma consulta que retorna “sem ocorrência” pode refletir tanto a efetiva inexistência de registro quanto a indisponibilidade do dado.
A segunda é a profundidade das fontes abertas: dados protegidos por sigilo — bancário, fiscal, telemático — são inacessíveis sem ordem judicial. Um levantamento em fontes abertas pode identificar incompatibilidade entre patrimônio visível e renda declarada, mas não pode confirmá-la sem acesso a extratos bancários ou declarações fiscais do pesquisado.
A terceira é a limitação interpretativa: a qualidade da inferência depende da competência de quem a realiza, da clareza das hipóteses formuladas e da disciplina no registro de incertezas. Uma análise que transforma indicadores ambíguos em conclusões definitivas ultrapassa o que os dados sustentam e pode gerar dano ao pesquisado e responsabilidade ao autor do relatório.
Background check e due diligence são disciplinas complementares, mas metodologicamente distintas. A primeira verifica registros; a segunda mapeia riscos sob incerteza. A eficácia de ambas depende de três condições que não se resolvem com escala de coleta: a formulação de hipóteses investigativas ajustadas ao contexto da operação, o tratamento disciplinado de falsos positivos e falsos negativos, e a documentação transparente das limitações que todo levantamento em fontes abertas inevitavelmente carrega.
