Due Diligence de Fornecedor em Licitação: Como Checar Empresa e Sócios Antes de Contratar

Para consultar se uma empresa está impedida de licitar, comece pela consulta consolidada de sanções do Portal da Transparência, que reúne CEIS, CNEP, CEPIM, CEAF e acordos de leniência, e siga para a lista de licitantes inidôneos do TCU. Depois disso, cheque o diário oficial e o portal do próprio ente contratante. Nenhuma dessas fontes responde sozinha, porque a abrangência da sanção varia conforme o dispositivo aplicado.

Como Consultar Se Uma Empresa Está Impedida de Licitar?

A pergunta parece ter uma resposta única e não tem. O que existe é uma sequência de consultas, cada uma respondendo a uma pergunta diferente sobre o mesmo CNPJ. Faça nesta ordem, porque as primeiras são baratas e eliminam candidatos rápido.

1. Consulta consolidada de sanções. No Portal da Transparência você pesquisa por CNPJ e vê, num só lugar, CEIS, CNEP, CEPIM, CEAF e acordos de leniência.
2. Lista de licitantes inidôneos do TCU. A consulta fica na carta de serviços do TCU e trata de declarações feitas pelo próprio Tribunal, com base na Lei 8.443/1992.
3. Tribunal de contas do ente. Se a contratação é estadual ou municipal, o TCE ou TCM local aplica sanções que não nascem nas bases federais.
4. Diário oficial do ente contratante. O ato de sanção é publicado antes de virar registro em cadastro, e às vezes fica só ali.
5. Situação cadastral do CNPJ na Receita. Empresa inapta, suspensa ou baixada é problema de habilitação, ainda que não haja sanção nenhuma.
6. Histórico contratual no PNCP. Serve para ver o que aquele fornecedor já ganhou, de quem, e com que objeto.

Repare que quatro desses seis passos não são cadastros de sanção. Isso é intencional. Boa parte do risco em due diligence de fornecedor não está em quem já foi punido, e sim em quem ainda não foi.

A Tabela Mestra: 12 Fontes e o Ponto Cego de Cada Uma

Toda página oficial explica o que o cadastro dela cobre. Quase nenhuma explica o que ela não enxerga, e é exatamente aí que a checagem falha. A coluna da direita é a parte que você deveria memorizar.

Leia a tabela como um mapa de cobertura, não como um checklist a bater. Se você marcou as doze e todas voltaram limpas, você provou que o fornecedor não foi punido de forma registrada e federalmente visível. Isso é bem menos do que "esse fornecedor é idôneo".

CEIS, CNEP e CEPIM: Qual a Diferença?

Os três são mantidos pela CGU e aparecem na mesma tela de consulta, o que faz muita gente tratar como sinônimo. São coisas distintas, e confundir os três produz conclusão errada com cara de checagem feita.

CEIS

Cadastro de empresas e pessoas físicas que sofreram sanção restringindo o direito de licitar ou de contratar com a Administração. Tem base na Lei 12.846/2013, art. 23, que determina o envio dessas informações. Recebe registros das três esferas, o que não significa que todos os órgãos registrem sempre.

CNEP

Cadastro das pessoas jurídicas punidas com base na própria Lei Anticorrupção, previsto no art. 22 da mesma lei. Também registra acordos de leniência e o descumprimento deles. Uma empresa pode estar no CNEP sem estar no CEIS, e o contrário também acontece.

CEPIM

O mais específico dos três: entidades sem fins lucrativos impedidas de celebrar convênios, contratos de repasse e termos de parceria com a Administração federal. Se o fornecedor é uma OSC, esse cadastro importa mais que os outros dois. Se é empresa comum, não dirá nada.

Por Que "Limpo no CEIS" Não Significa Apto a Contratar?

Essa é a armadilha operacional número um, e tem duas camadas. A primeira é de registro: a sanção existe desde a decisão do órgão, não desde o momento em que alguém a digitou num cadastro nacional.

A segunda camada é de abrangência, e ela está na lei. A Lei 14.133/2021 trata das sanções no art. 156 e separa duas coisas que costumam ser confundidas. O impedimento de licitar e contratar produz efeito no âmbito do ente federativo que aplicou a sanção. A declaração de inidoneidade para licitar ou contratar tem alcance sobre a Administração Pública direta e indireta de todos os entes. São penas diferentes, com raios diferentes.

A consequência prática é direta. Uma empresa impedida por um município pode participar de um pregão federal sem que isso configure irregularidade, e uma empresa declarada inidônea não pode participar de nada. Se você só olhou o registro e não olhou qual sanção foi aplicada e por quem, você não sabe responder se aquele fornecedor pode contratar naquele certame específico.

Some a isso o art. 14 da mesma lei, que lista impedimentos de participação que nem sempre viram cadastro, como vínculo com agente público do órgão contratante ou participação na elaboração do projeto. Esse tipo você descobre olhando pessoas, não bases. Vale lembrar que a Lei 8.666/1993 foi revogada e hoje só serve como referência de contratos em transição, o que explica por que tanto material antigo cita dispositivo que já não vale.

O Que o PNCP Publica e Como Usar Isso a Favor

O Portal Nacional de Contratações Públicas é o sítio eletrônico oficial de divulgação centralizada e obrigatória dos atos exigidos pela Lei 14.133/2021, previsto no art. 174 da própria lei. Nele vão editais, atas e contratos. O próprio portal registra que a exatidão do que está publicado é responsabilidade do órgão contratante, e essa frase importa mais do que parece.

Importa porque define o que o PNCP é e o que ele não é. Ele é o repositório dos atos publicados, não um validador de conduta nem um filtro de idoneidade. Um contrato aparecer lá não indica que o processo foi regular.

Ainda assim, é a fonte mais subaproveitada da lista, porque permite algo que nenhum cadastro de sanção permite: ler histórico. Com o CNPJ você monta um retrato de com quem o fornecedor contrata, com que frequência e com que objeto. Três perguntas rendem bem:

• Concentração. O fornecedor só vence em um órgão específico, ou em uma prefeitura específica, e em nenhum outro lugar?
• Coerência de objeto. A mesma empresa fornece merenda, aluguel de veículo e serviço de TI? Diversificação existe, mas diversificação sem estrutura é sinal.
• Rotatividade dos concorrentes. Os mesmos três ou quatro CNPJs se revezam nos certames daquele órgão, cada um ganhando na sua vez?

Nenhuma dessas leituras é prova. Todas são hipótese, e é assim que você deve registrá-las. A diferença entre o analista e o denunciante apressado está em manter hipótese no lugar de hipótese.

Checagem do Quadro Societário: o Que Procurar no QSA

Aqui a investigação sai do cadastro de sanção e entra em vínculo, que é onde costuma render. O quadro de sócios e administradores está na consulta pública de CNPJ e nas juntas comerciais. O que você procura não é um nome, é um padrão.

• Sócio que aparece em concorrentes do mesmo certame. O achado mais valioso e o mais fácil de sustentar documentalmente.
• Sócio recém-incluído. Alteração contratual pouco antes da abertura merece leitura, sobretudo se acompanha aumento de capital.
• Parentesco aparente. Sobrenome repetido entre concorrentes é indício fraco sozinho e forte junto com endereço ou contador em comum.
• Administrador com muitas empresas. Pode ser holding legítima ou cadeia de fachadas. Depende do resto.

A leitura do QSA está detalhada em como verificar sócios de uma empresa pelo CNPJ, e o mapa de relações entre pessoas e empresas fica em análise de vínculos entre CPF e CNPJ. Se a dúvida é o lastro econômico do sócio, o recorte é outro e está em investigação patrimonial.

Quais São os Sinais de Empresa de Fachada e de Laranja?

Cadastro de sanção é uma ferramenta passiva: ele só mostra quem já foi pego. A parte que dá vantagem real é detectar o que ainda não virou sanção, e isso se faz somando sinais fracos até que o conjunto fique implausível. Nenhuma linha da tabela abaixo condena ninguém sozinha.

Some. Um sinal é ruído. Dois pedem atenção. Quatro ou cinco juntos, no mesmo certame, formam um quadro que você descreve numa representação sem precisar adjetivar nada. A anatomia geral desse tipo de estrutura, fora do contexto de licitação, está em OSINT para detectar fraude em empresas.

Que Sinais de Conluio Você Levanta Sozinho?

Vale separar com clareza o que está ao alcance de quem pesquisa fonte aberta e o que só existe dentro do sistema do pregão. Essa fronteira é ignorada em quase todo conteúdo sobre o tema, e ignorá-la faz gente boa perder tempo atrás de dado que não vai obter.

Escrevo com todas as letras porque é frequente: o mesmo IP nas propostas é log do sistema do pregão. Ninguém de fora acessa esse dado, não existe consulta pública para ele e nenhuma ferramenta OSINT entrega isso. Com indício de conluio, o caminho é provocar quem tem poder de instrução. O IP aparece na apuração deles, não na sua pesquisa.

Isso não diminui o trabalho de fonte aberta, pelo contrário. Uma representação com sócio cruzado, endereço comum e revezamento documentados tem muito mais tração que uma denúncia genérica de "suspeita de cartel". Você entrega o fio, a instrução puxa o resto. Para varrer diários e portais fragmentados, o método está em Google Dorking para investigação.

O Que Fazer com o Achado: Impugnação, Representação e Prazo

Achado sem destino não muda nada. Existem três caminhos, e eles não são intercambiáveis, porque cada um tem momento próprio e efeito próprio.

Impugnação do edital

Cabe antes da abertura das propostas, quando a irregularidade está no edital ou nas condições de participação. A Lei 14.133/2021 trata da impugnação e do pedido de esclarecimento no art. 164, e o prazo está no dispositivo e no próprio edital. Confira no edital, porque perder essa janela fecha a via mais rápida que existe.

Representação ao controle

Cabe quando o problema é a conduta dos licitantes ou do órgão. Vai ao tribunal de contas competente, TCU para recursos federais e TCE ou TCM conforme o ente, e à controladoria interna. Descreva fato e prova, não conclusão: representação que afirma "houve fraude" sem demonstrar o vínculo entre licitantes é arquivada.

Ministério Público

Cabe quando há indício de ilícito penal ou de improbidade. Costuma ser cumulativo com a representação ao tribunal de contas, não alternativo.

Preservar a Prova Antes de Peticionar

Página oficial muda. Cadastro é atualizado, edital é retificado, portal sai do ar. Se você consultou hoje e vai peticionar semana que vem, precisa ter guardado o estado da página no momento da consulta, com data e hora, ou sua peça depende de uma tela que já não existe.

O mínimo defensável tem quatro elementos: captura da página inteira, URL completa visível, data e hora da coleta e o hash do arquivo. Sem hash, a captura é uma imagem que qualquer um poderia ter editado. O procedimento completo está em prova digital e cadeia de custódia.

Um detalhe que salva trabalho: registre o caminho de navegação, não só a tela final. A consulta com o CNPJ visível no campo de busca vale mais que o print do resultado sozinho, porque o resultado sozinho não prova qual pergunta foi feita.

Até Onde Vai a Checagem de um Sócio Sob a LGPD?

Sócio de empresa é pessoa natural, e o dado dele continua sendo dado pessoal mesmo estando em fonte pública. A LGPD (Lei 13.709/2018) não proíbe tratar dado público, mas mantém três exigências que valem integralmente aqui: finalidade legítima e declarada, necessidade e minimização.

Na prática, o limite fica claro. Checar o quadro societário de um licitante para verificar independência entre concorrentes tem finalidade legítima e recorte definido. Montar dossiê de vida pessoal do sócio, com família e rotina, não tem relação com essa finalidade. O dado estar acessível não autoriza coletar tudo o que está acessível.

• Finalidade: registre por escrito por que está pesquisando, antes de começar.
• Necessidade: colete o que responde à pergunta do certame, e só.
• Minimização: não guarde dado pessoal que não entrou na análise.
• Destino: entregue o achado a quem tem competência para apurar, em vez de publicar.

Vale a disciplina de qualquer checagem corporativa. O roteiro de como investigar uma empresa antes de negociar se aplica quase inteiro aqui, com a diferença de que na contratação pública os cadastros de sanção são etapa obrigatória.

Passo a Passo na espectrosint

Sendo direta sobre o que a ferramenta faz e o que não faz: a espectrosint cruza CNPJ, CPF, nome, e-mail, telefone, domínio e vazamentos, e monta um grafo de vínculos entre esses pontos. Ela não consulta CEIS, CNEP, TCU nem PNCP por você. Essas consultas são manuais, nos portais oficiais, e continuam sendo o primeiro passo.

Onde ela entra é na parte que dá mais trabalho manual: cruzar os licitantes entre si para ver se a independência declarada existe de fato.

1. Rode a consulta oficial de sanções nos portais listados neste guia. Isso é fora da plataforma.
2. Levante o CNPJ de cada licitante do certame e consulte um a um.
3. Extraia o quadro societário e busque cada sócio por CPF ou nome.
4. Compare endereço, telefone e domínio entre os concorrentes, procurando repetição.
5. Abra o grafo de vínculos para ver se dois licitantes formalmente distintos se conectam por alguma ponta.
6. Exporte o resultado em PDF ou CSV, com data, para anexar à impugnação ou à representação.

O ganho é de tempo e de consistência. Cruzar seis ou oito licitantes na mão consome uma tarde e costuma deixar passar a ligação que só aparece quando tudo está no mesmo mapa. Se o seu ponto de partida é um CNPJ solto, comece pelo básico da consulta de CNPJ.

Conclusão

A due diligence de fornecedor em licitação falha por excesso de confiança numa única tela. Consultar o CEIS é necessário e é rápido, mas responde a uma pergunta estreita: se aquele CNPJ já foi punido de forma registrada e visível no âmbito federal. Quem contrata precisa da resposta mais larga, que envolve abrangência da sanção, jurisdição do ente e, principalmente, o que ainda não virou sanção nenhuma.

O trabalho que rende está na segunda parte: ler o quadro societário, comparar os licitantes entre si e tratar sinal fraco como sinal fraco até que o conjunto sustente peso. Se você chegou aqui pelo lado corporativo, o método geral está em due diligence com OSINT. Se o seu próximo passo é peticionar, resolva primeiro a preservação da prova, porque a página que você consultou hoje pode não estar lá quando o processo pedir.