A CGU já tem o método para avaliar seu programa de integridade. Terceiros estão na nota.

Um código de ética na pasta e um questionário anual de fornecedores já não bastam quando o contrato com a União passa de certos limiares. Desde a Portaria Normativa SE/CGU nº 226/2025, a Controladoria-Geral da União tem metodologia pública, sistema próprio e notas mínimas para dizer se o programa de integridade está implantado — e a diligência sobre terceiros entra nessa conta.

Não é um guia de boas práticas. É o regulamento operacional do Decreto nº 12.304/2024, que organiza o que a Lei nº 14.133/2021 já previa para obras, serviços e fornecimentos de grande vulto, para desempate de propostas e para reabilitação de sancionados.

O fato

Três peças se encaixam.

A lei. A Lei 14.133/2021 exige, no art. 25, § 4º, que o contratado em contratos de grande vulto comprove a implantação de programa de integridade. No art. 60, IV, o programa pode desempatar propostas. No art. 163, parágrafo único, entra na reabilitação após certas sanções.

O decreto. O Decreto 12.304/2024 (publicado em 10/12/2024) regula esses três casos no Executivo federal e lista os parâmetros de avaliação. Entre eles, de forma expressa: padrões de conduta estendidos a terceiros (fornecedores, prestadores, intermediários e associados) e diligências apropriadas, baseadas em risco, para contratar e, conforme o caso, supervisionar esses mesmos terceiros — além de PEPs, patrocínios e doações (art. 3º, III e XIV).

A portaria. A Portaria Normativa SE/CGU nº 226, de 9 de setembro de 2025 (DOU de 11/09/2025, retificada), é o ato do Ministro da CGU que o decreto pediu: procedimento, metodologia, prazos, SAMPI, planos de conformidade e sanções. Entrou em vigor sessenta dias após a publicação. Em 2026, já é o manual que a Secretaria de Integridade Privada usa.

O limiar de grande vulto para 2026 — art. 6º, XXII, da Lei 14.133, atualizado pelo Decreto nº 12.807/2025 — é R$ 261.968.421,04. Contam o valor inicial do contrato e os aditivos. Em consórcio, todas as consorciadas comprovam.

Por que isso importa

Porque a avaliação deixou de ser abstrata. A Portaria 226 agrupa o programa em onze áreas, com elementos mínimos e fundamentais de cumprimento obrigatório e pontuação (Anexos I e II). Sem esses mínimos e sem as notas por área e no total, o resultado é Programa de Integridade não implantado.

Para contratos de grande vulto, o contratado tem seis meses da assinatura (ou do aditivo que atinja o limiar) para implantar. Depois, trinta dias para submeter perfil e conformidade no SAMPI (Sistema de Avaliação e Monitoramento de Programas de Integridade). A CGU pode rejeitar submissão que não demonstre os elementos mínimos.

O relatório volta à unidade de contratos do órgão contratante. Avaliação positiva vale vinte e quatro meses, salvo fato novo que reabra dúvida sobre o compromisso com integridade.

Há atalhos legítimos: Empresa Pró-Ética na edição vigente; avaliação em curso no mesmo CNPJ; ou avaliação compatível nos últimos 24 meses. Não há atalho para fingir due diligence de terceiros que o formulário de conformidade pergunta e a auditoria pode diligenciar.

O que está mudando

Até o decreto e a portaria, muita empresa tratava "programa de integridade" como documento para a Lei Anticorrupção (12.846/2013) — útil, mas orientado a outro processo. Agora, para quem disputa ou executa grande vulto federal, o mesmo programa precisa sobreviver a uma metodologia padronizada da CGU, com priorização por valor, criticidade do objeto, denúncias, histórico de sanções e repercussão pública.

Dois detalhes da Portaria 226 mudam o expediente de Compliance de cadeia:

1. Características do contrato entram na nota. Objeto, possibilidade de subcontratação e prazo de vigência podem pesar na verificação dos parâmetros (art. 2º, § 2º). Subcontratar sem mapa de risco de integridade não é detalhe operacional — é fator de avaliação.

2. Terceiros não são rodapé. O parâmetro III exige estender código e políticas quando necessário. O XIV exige diligência baseada em risco na contratação e na supervisão de fornecedores, prestadores, despachantes, consultores, representantes e associados. O XVII exige monitoramento contínuo do programa — o que inclui, na prática, não congelar o cadastro de terceiros no dia do onboarding.

Isso é Continuous Due Diligence com nome de parâmetro normativo. A CGU não inventou a ideia; ela a tornou mensurável no SAMPI.

O problema para as empresas

O erro mais caro não é desconhecer o limiar de R$ 261 milhões. É achar que o programa "já existe" porque há política anticorrupção e um checklist de fornecedores de 2023.

Na prática, três lacunas se repetem em quem opera com a União — e em quem é terceiro crítico de quem opera:

Lacuna 1 — Onboarding sem supervisão. O decreto e a portaria falam em contratação e, conforme o caso, supervisão. Uma diligência única na homologação não cobre mudança societária, sanção nova no CEIS/CNEP, PEP que entra no quadro ou subcontratado que aparece no meio da obra.

Lacuna 2 — Consórcio e cadeia. Em consórcio, todas comprovam. Em contrato com subcontratação ampla, o risco de integridade da ponta mais fraca continua sendo risco do contratado principal perante a avaliação. A Portaria não exige que cada subcontratado tenha o mesmo programa; exige que o programa do contratado trate esses terceiros com diligência proporcional ao risco.

Lacuna 3 — Declaração de desempate sem lastro. Quem usa o art. 60, IV, precisa de base verificável: autoavaliação recente no Pacto Brasil (com divulgação autorizada), Pró-Ética vigente, ou certidão de avaliação compatível nos últimos 24 meses. Declaração falsa é infração — e a CGU pode convocar para comprovar a autoavaliação.

Quem falha na avaliação por insuficiência de pontuação pode receber plano de conformidade (até seis meses na primeira rodada). Quem não entrega documentação, omite informação, descumpre o plano ou fraudula documentos entra no rol sancionatório: advertência, multa de 1% a 5% do valor da licitação ou do contrato, impedimento ou inidoneidade — nos termos da Portaria 226 e do Decreto 12.304.

O caso das contratadas e da cadeia

Imagine uma engenharia que assina obra federal acima do limiar de grande vulto, com dezenas de prestadores de serviço, consultores de meio ambiente e fornecedores de equipamento. Seis meses depois, o SAMPI pergunta — entre outras áreas — como a empresa diligencia e supervisiona esses terceiros.

A resposta "temos cláusula anticorrupção no contrato padrão" não descreve um sistema. A resposta que a metodologia espera é evidência: critérios de risco, o que se verifica antes de contratar, com que periodicidade se reavalia, o que dispara bloqueio ou plano de ação, como o canal de denúncia alcança terceiros, e o que aconteceu quando um prestador falhou.

Para a tomadora privada que não é o contratado federal, o efeito é indireto mas real: seus fornecedores que disputam grande vulto vão exigir da sua cadeia o mesmo nível de evidência, porque a nota deles depende disso. Continuous Due Diligence deixa de ser discurso de mercado e vira requisito de sobrevivência em licitação de alto valor.

O que as empresas deveriam fazer

1. Mapear exposição a grande vulto — contratos atuais e pipeline, inclusive aditivos que possam cruzar R$ 261.968.421,04 em 2026. Consórcios entram inteiros.

2. Ler a Portaria 226 como checklist de evidência, não como PDF de referência. Cruzar as onze áreas e os elementos mínimos com o que existe de fato (políticas, registros, treinos, canais, diligência de terceiros, monitoramento).

3. Tratar terceiros como parâmetro auditável. Definir risco por tipo de terceiro; diligência inicial e supervisão contínua; inclusão no canal de denúncia; critérios de descredenciamento. Guardar data e versão — a CGU pode pedir complemento em dez dias corridos e fazer visita técnica.

4. Preparar SAMPI com responsável com poderes de representação. Perfil e conformidade incompletos geram rejeição ou "impossibilidade de avaliação" — que já conta como obrigação descumprida.

5. Não usar desempate de integridade de boca. Se for declarar, ter Pacto Brasil, Pró-Ética ou avaliação compatível dentro da validade.

6. Separar Lei 12.846 e Lei 14.133. O programa pode servir aos dois regimes; a avaliação da Portaria 226 é específica das hipóteses da nova lei de licitações. Documentação genérica de anticorrupção ajuda, mas não substitui a pontuação exigida nos anexos.

7. Se a primeira avaliação falhar, usar o plano de conformidade de verdade. Prazo curto, reavaliação formal. Segunda falha sem implantação adequada fecha a porta do art. 25, § 4º, com consequências contratuais e sancionatórias.

A perspectiva do Continuous Due Diligence

O Decreto 12.304 não fala "Califix". Fala diligência baseada em risco e monitoramento contínuo. A Portaria 226 transforma isso em formulário, nota e relatório para o gestor do contrato.

Uma pasta de homologação anual pode estar correta no dia da assinatura e obsoleta no sexto mês — exatamente quando o SAMPI abre. Continuous Due Diligence, neste expediente, é a diferença entre declarar que terceiros estão cobertos e mostrar que a supervisão ainda descreve a cadeia que executa o contrato.

Conclusão

A CGU fechou o ciclo regulatório que a Lei 14.133 abriu para programas de integridade em grande vulto, desempate e reabilitação. O Decreto 12.304 deu os parâmetros; a Portaria 226 deu o método, o prazo, o sistema e a sanção.

Terceiros — fornecedores, prestadores, intermediários — não são capítulo opcional. Estão no art. 2º da portaria e no art. 3º do decreto. Quem ainda trata due diligence de cadeia como projeto paralelo ao "programa de integridade" vai descobrir, na nota do SAMPI, que era a mesma prova.

Fontes

1. Lei nº 14.133, de 1º de abril de 2021 (arts. 6º, XXII; 25, § 4º; 60, IV; 163, parágrafo único): planalto.gov.br
2. Decreto nº 12.304, de 9 de dezembro de 2024: planalto.gov.br
3. Portaria Normativa SE/CGU nº 226, de 9 de setembro de 2025 (DOU 11/09/2025; base de conhecimento CGU): basedeconhecimento.cgu.gov.br e gov.br/cgu normativos
4. Decreto nº 12.807, de 29 de dezembro de 2025 (atualização de valores da Lei 14.133 para 2026; grande vulto R$ 261.968.421,04): planalto.gov.br