Monitoramento contínuo de fornecedores: quais dados acompanhar e com que frequência

O monitoramento contínuo de fornecedores deve acompanhar informações que possam alterar a capacidade, a regularidade ou o nível de risco de um parceiro ao longo da relação comercial. Entre os principais grupos estão dados cadastrais e societários, documentos e certidões, situação financeira, sanções e compliance, desempenho operacional, certificações, riscos cibernéticos e eventos externos. A frequência não deve ser igual para todos: quanto maior a criticidade do fornecedor e mais rapidamente um risco puder mudar, mais próximo deve ser o acompanhamento.

Monitorar fornecedores, portanto, não significa consultar tudo, todos os dias.

Significa acompanhar o dado certo, do fornecedor certo, na frequência em que aquela mudança realmente importa para a decisão de compra.

Essa distinção ganha relevância em um ambiente de maior volatilidade. Segundo a Resilinc, as disrupções globais nas cadeias de suprimentos cresceram 38% em 2024 na comparação com o ano anterior.

Fonte: Resilinc: Global Supply Chains See Nearly 40% Annual Increase in Disruptions.

No Allianz Risk Barometer 2026, business interruption, incluindo supply chain disruption, aparece como o terceiro maior risco empresarial global, citado por 29% dos participantes.

Fonte: Allianz Risk Barometer 2026: Business interruption.

Nesse contexto, uma estratégia de continuous supplier monitoring precisa responder a quatro perguntas:

1. Quais dados realmente podem mudar o perfil de risco?
2. Quais fornecedores merecem acompanhamento mais próximo?
3. Com que frequência cada tipo de informação deve ser atualizado?
4. O que precisa acontecer quando uma mudança for identificada?

Como mostramos no artigo Monitoramento contínuo de fornecedores: por que a homologação é uma foto e o risco é um filme, a homologação registra uma condição inicial. O monitoramento busca saber se essa condição continua válida enquanto a relação comercial acontece.

Quais dados devem ser acompanhados no monitoramento contínuo de fornecedores?

Em uma estratégia de supplier risk management, os principais grupos de informações são:

• dados cadastrais e societários: CNPJ, situação cadastral, atividade econômica e alterações societárias;
• documentos, certidões e licenças: validade, renovação e pendências;
• situação financeira: solvência, endividamento e outros indicadores definidos pela empresa;
• sanções, restrições e compliance: listas restritivas, impedimentos e ocorrências relevantes;
• desempenho operacional: prazo, qualidade, SLA, devoluções e não conformidades;
• certificações e requisitos técnicos: vigência, renovação ou suspensão;
• risco cibernético e segurança da informação: incidentes, acessos e exposição tecnológica;
• eventos externos e continuidade: logística, clima, geopolítica, regulação e disponibilidade de insumos.

Nem todas essas dimensões precisam ser aplicadas a todos os fornecedores.

O princípio é de risk-tiered monitoring, ou monitoramento baseado no nível de risco.

Tabela: quais dados acompanhar, com que frequência e qual gatilho observar

A tabela abaixo funciona como referência metodológica. Os intervalos devem ser definidos de acordo com a política, a categoria, a criticidade e eventuais exigências regulatórias da empresa.

Tipo de dado	O que acompanhar	Frequência possível	Gatilho típico
Cadastro e situação societária	CNPJ, situação cadastral, alterações societárias	Mensal, trimestral ou por evento	Mudança cadastral ou de controle
Documentos e certidões	Validade, renovação e pendências	Conforme vencimento + alertas	Documento próximo do vencimento ou vencido
Situação financeira	Indicadores definidos pela política de risco	Mensal ou trimestral para fornecedores mais críticos	Deterioração relevante do perfil
Sanções e compliance	Listas restritivas, impedimentos e ocorrências	Contínua ou recorrente	Nova sanção ou ocorrência
Desempenho operacional	Prazo, qualidade, SLA, devoluções	Por entrega, mensal ou trimestral	Queda relevante de performance
Certificações	Vigência, renovação ou suspensão	Conforme validade	Vencimento ou suspensão
Risco cibernético	Incidentes e controles relevantes	Conforme criticidade	Incidente ou exposição de dados
Riscos externos	Eventos logísticos, climáticos, regulatórios ou geopolíticos	Por evento	Ocorrência capaz de comprometer fornecimento

Mais importante do que definir simplesmente “mensal” ou “trimestral” é responder:

Quanto tempo podemos aceitar ficar sem saber que essa informação mudou?

1. Dados cadastrais e societários

O primeiro grupo envolve as informações básicas sobre quem é o fornecedor.

Entre elas estão:

• situação cadastral;
• razão social;
• atividade econômica;
• endereço;
• composição societária;
• mudanças de controle;
• outras alterações consideradas relevantes.

No Brasil, informações relacionadas ao CNPJ podem ser consultadas por meio dos serviços da Receita Federal.

A consulta inicial faz parte da due diligence de fornecedor. O monitoramento começa quando a empresa passa a acompanhar alterações posteriores.

Se a composição societária fizer parte dos critérios de compliance, por exemplo, uma mudança ocorrida três meses depois da homologação pode exigir nova análise.

Com que frequência acompanhar?

A resposta depende da relevância.

Fornecedores de menor criticidade podem passar por revisões periódicas.

Já parceiros estratégicos ou sujeitos a critérios mais rigorosos de integridade podem demandar acompanhamento mais frequente ou baseado em eventos.

2. Documentos, certidões e licenças

Essa é uma das dimensões em que o acompanhamento por evento tende a fazer mais sentido do que um calendário único.

Documentos possuem datas diferentes de validade.

Podem entrar nesse grupo:

1. certidões fiscais;
2. licenças;
3. autorizações regulatórias;
4. seguros;
5. certificados técnicos;
6. documentos trabalhistas;
7. comprovações exigidas pela política da organização.

Considere uma empresa com 800 fornecedores e três documentos obrigatórios monitorados para cada um.

Isso representa:

800 × 3 = 2.400 documentos.

Se cada item tiver sua própria validade, esperar por uma revisão semestral da base significa correr o risco de descobrir determinadas pendências semanas ou meses depois do vencimento.

Por isso, para documentos, uma estratégia mais eficiente costuma seguir a lógica:

data de validade → alerta → tratamento

e não apenas:

chegou o semestre → revisar tudo novamente.

Leia também: Monitoramento de risco: como alertas automáticos aumentam a agilidade na gestão de fornecedores.

3. Situação financeira do fornecedor

A saúde financeira merece maior atenção quando uma eventual dificuldade do fornecedor pode afetar continuidade, prazo ou capacidade de entrega.

O acompanhamento pode considerar, conforme as fontes e critérios da empresa:

• endividamento;
• solvência;
• inadimplência;
• protestos;
• alterações de crédito;
• demonstrações financeiras;
• outras ocorrências relevantes.

O ponto mais importante é que a frequência deve acompanhar a exposição.

Considere dois fornecedores.

Fornecedor A: movimenta R$ 15 mil por mês, entrega um item facilmente substituível e existem diversas alternativas.

Fornecedor B: movimenta R$ 2 milhões por mês, fornece um insumo crítico e sua substituição exigiria um novo processo de qualificação.

Não faz sentido acompanhar os dois com exatamente a mesma intensidade.

Esse é o princípio do risk-tiered monitoring: concentrar mais atenção onde a mudança de risco pode produzir maior impacto.

4. Sanções, restrições e compliance

Uma due diligence realizada na entrada informa a condição encontrada naquele momento.

Depois disso, novas ocorrências podem surgir.

Dependendo da política da empresa, podem ser considerados:

• sanções administrativas;
• impedimentos;
• listas restritivas;
• ocorrências relacionadas à integridade;
• pessoas politicamente expostas, quando aplicável;
• critérios anticorrupção;
• outros elementos previstos no programa de compliance.

No Brasil, o Portal da Transparência disponibiliza consulta a sanções e a bases como CEIS e CNEP.

Empresas com operações internacionais também podem consultar fontes como a Sanctions List Search do Office of Foreign Assets Control, OFAC.

Com que frequência acompanhar?

Se a existência de uma sanção é capaz de alterar imediatamente a política de relacionamento com determinado fornecedor, uma consulta apenas anual pode ser insuficiente.

Nesse caso, a lógica pode ser recorrente ou orientada por eventos.

O objetivo é reduzir o intervalo entre:

a ocorrência surgir → a empresa tomar conhecimento → a área responsável decidir o que fazer.

5. Desempenho operacional

O próprio relacionamento comercial produz dados importantes para o monitoramento.

Entre os principais indicadores estão:

• entregas no prazo;
• atrasos;
• qualidade;
• devoluções;
• não conformidades;
• cumprimento de SLA;
• divergências;
• disponibilidade;
• tempo de resposta;
• cumprimento de volumes contratados.

Essa dimensão é importante porque o fornecedor pode continuar documentalmente regular e, mesmo assim, começar a apresentar sinais de deterioração operacional.

Considere um parceiro que historicamente entregue 96% dos pedidos no prazo.

Nos últimos três meses, esse indicador passa para 83%.

A queda de 13 pontos percentuais não significa automaticamente que o fornecedor deve ser substituído.

Mas é uma informação que pode justificar análise antes que o problema gere uma ruptura maior.

Com que frequência acompanhar?

Depende do tipo de compra.

Em operações recorrentes, pode haver consolidação mensal.

Em contratos com SLA, a leitura pode seguir o próprio ciclo de medição.

Em compras pontuais, a avaliação pode ocorrer após cada entrega.

6. Certificações e requisitos técnicos

Alguns fornecedores precisam manter certificações ou requisitos específicos para continuar aptos à relação.

Podem existir:

• certificações de qualidade;
• requisitos ambientais;
• autorizações setoriais;
• auditorias;
• certificações de segurança;
• licenças técnicas.

Nesse caso, novamente, a validade é um importante gatilho.

Não é necessário consultar manualmente uma certificação todos os dias.

É necessário saber antes que ela deixe de atender ao requisito definido pela empresa.

7. Risco cibernético e segurança da informação

O risco digital ganha peso principalmente quando terceiros acessam sistemas, infraestrutura ou dados.

Um fornecedor responsável por material de escritório e um parceiro que processa dados sensíveis representam exposições completamente diferentes.

A gestão pode avaliar elementos como:

• nível de acesso;
• incidentes;
• controles de segurança;
• certificações;
• dados processados;
• sistemas críticos envolvidos.

O princípio permanece:

quanto maior a exposição, maior a necessidade de acompanhamento.

8. Eventos externos e continuidade da operação

Nem todo risco nasce dentro do fornecedor.

A capacidade de entrega também pode ser afetada por:

• incêndios;
• enchentes;
• secas;
• greves;
• guerras;
• bloqueios logísticos;
• falta de matéria-prima;
• alterações regulatórias;
• falhas energéticas;
• problemas em fornecedores de segundo nível.

Esse é um dos motivos pelos quais o acompanhamento exclusivamente periódico possui limitações.

Dados da Resilinc mostram que as disrupções globais de supply chain aumentaram 38% em 2024. Incêndios em fábricas, problemas trabalhistas e outros eventos estavam entre os principais tipos monitorados.

Fonte: Resilinc: Top Supply Chain Disruptions of 2024.

Para esse tipo de risco, a frequência relevante é muitas vezes:

quando o evento acontece.

Quanto pode custar descobrir o risco tarde demais?

Não existe um valor universal para a falta de monitoramento.

O impacto depende do fornecedor, do produto, da possibilidade de substituição e da operação afetada.

Mas uma forma de estimar a exposição é calcular o custo da janela de detecção.

Considere uma linha produtiva que gere R$ 250 mil por dia e dependa de um fornecedor crítico.

Se uma mudança relevante passar despercebida e resultar em três dias de paralisação, o valor operacional associado ao período seria:

R$ 250 mil × 3 dias = R$ 750 mil.

Com cinco dias:

R$ 250 mil × 5 = R$ 1,25 milhão.

Esses números são uma simulação de exposição, não uma média de mercado.

Servem para mostrar por que a frequência de monitoramento precisa levar em consideração o potencial impacto da demora.

E o contexto global reforça essa preocupação. No Allianz Risk Barometer 2026, interrupção de negócios, incluindo disrupções de supply chain, é apontada como o terceiro maior risco empresarial no mundo, com 29% das respostas.

Fonte: Allianz Risk Barometer 2026.

A pergunta financeira, portanto, não é simplesmente:

“quanto custa monitorar?”

É também:

“quanto custa descobrir uma mudança crítica tarde demais?”

A frequência deve ser definida pelo risco, não pela conveniência

Uma pergunta recorrente é:

devo monitorar fornecedores mensalmente, trimestralmente, semestralmente ou anualmente?

Não existe uma única resposta.

Referências internacionais de third-party risk management utilizam justamente a lógica de proporcionalidade.

A orientação interagências do Federal Reserve estabelece que o ongoing monitoring deve durar durante toda a relação e ser proporcional ao risco e à complexidade da atividade.

Fonte: Federal Reserve: Interagency Guidance on Third-Party Relationships.

O princípio pode ser traduzido para procurement da seguinte forma:

fornecedor crítico + dado volátil = acompanhamento mais próximo.

fornecedor pouco crítico + dado estável = acompanhamento menos frequente.

Como montar uma matriz de frequência

Uma forma prática é cruzar criticidade do fornecedor e velocidade de mudança do dado.

Criticidade	Exemplo de dado	Abordagem possível
Baixa	Cadastro ou documentos de menor impacto	Revisão periódica
Baixa	Documento com validade	Alerta próximo ao vencimento
Média	Performance	Mensal ou trimestral
Média	Financeiro	Trimestral ou por evento
Alta	Financeiro, sanções e compliance	Acompanhamento mais frequente
Alta	Performance operacional	Mensal, por entrega ou conforme SLA
Crítica	Evento que pode interromper a operação	Monitoramento orientado por evento
Crítica	Documento obrigatório	Alerta e tratamento prioritário

Essa matriz não deve ser entendida como uma tabela normativa.

É um modelo para ajudar a empresa a transformar a política de risco em regras operacionais.

3 perguntas para decidir a frequência correta

1. Quanto tempo podemos ficar sem saber que esse dado mudou?

Se a organização pode esperar meses, uma revisão periódica pode ser suficiente.

Se a resposta for “precisamos saber antes da próxima compra”, o acompanhamento deve ser mais próximo.

2. Qual é o impacto se o fornecedor falhar?

Quanto maior o impacto operacional, financeiro, regulatório ou reputacional, maior tende a ser a intensidade necessária.

3. Existe um evento objetivo que pode disparar um alerta?

Vencimento documental, mudança cadastral, sanção ou deterioração de um indicador podem funcionar como gatilhos.

Isso substitui parte da lógica de:

“revisar porque chegou a data”

por:

“revisar porque algo relevante mudou”.

Monitoramento contínuo significa acompanhar tudo em tempo real?

Não.

Esse é um dos equívocos mais comuns sobre continuous supplier monitoring.

“Contínuo” significa que a gestão não termina depois da homologação e não depende exclusivamente de uma nova revisão anual.

Cada informação pode ter um ritmo diferente.

Documentos podem ser acompanhados pela validade.

Performance pode seguir o ciclo de entregas.

Sanções podem ser orientadas por alertas.

Indicadores financeiros podem receber maior frequência em fornecedores críticos.

Eventos externos podem exigir tratamento no momento em que acontecem.

Portanto:

monitoramento contínuo não significa atualização constante de tudo. Significa não deixar a gestão do fornecedor congelada entre uma avaliação e outra.

Como evitar excesso de alertas?

Monitorar mais não significa necessariamente gerir melhor.

Se toda pequena mudança gerar uma notificação, a equipe pode enfrentar fadiga de alertas e deixar de priorizar o que realmente importa.

Por isso, uma boa política deve definir:

1. quais eventos geram alerta;
2. qual é a severidade mínima;
3. quem recebe a informação;
4. qual prazo existe para análise;
5. qual ação pode ser tomada;
6. quais situações precisam ser escaladas.

O objetivo não é gerar a maior quantidade possível de alertas.

É fazer com que os alertas relevantes conduzam a decisões concretas.

Como priorizar uma base grande de fornecedores?

Uma empresa com 1.000 fornecedores não precisa acompanhar os mil da mesma maneira.

Em vez de usar uma distribuição supostamente “padrão de mercado”, que pode não refletir a realidade de cada negócio, o processo pode começar pela classificação interna.

Por exemplo:

Grupo 1: fornecedores facilmente substituíveis
Reavaliações periódicas e acompanhamento documental.

Grupo 2: fornecedores relevantes, mas com alternativas disponíveis
Documentos, performance e alguns indicadores de risco.

Grupo 3: fornecedores estratégicos
Monitoramento multidimensional e maior frequência.

Grupo 4: fornecedores críticos para continuidade
Acompanhamento prioritário, alertas e planos de contingência.

A proporção entre esses grupos varia de acordo com setor, operação, concentração da base e estratégia de sourcing.

Mais importante do que chegar a uma porcentagem ideal é conseguir responder:

quais fornecedores podem efetivamente interromper, comprometer ou elevar significativamente o risco do negócio?

O que acontece quando um dado muda?

Monitoramento sem tratamento de alertas é apenas coleta de informação.

Uma estrutura prática pode seguir cinco etapas:

1. Identificar a mudança.
2. Validar a informação e o contexto.
3. Avaliar o impacto e atualizar a classificação de risco.
4. Definir a ação necessária.
5. Registrar a decisão e acompanhar o desdobramento.

Dependendo da ocorrência, a empresa pode solicitar documentação, pedir esclarecimentos, revisar condições comerciais, reduzir exposição, buscar uma segunda fonte de fornecimento ou suspender novas compras.

Leia também: Por que o risco do fornecedor muda depois da homologação e o que fazer com isso.

Fontes públicas, parceiros especializados e dados internos precisam conversar

Parte da inteligência necessária ao monitoramento vem de fontes públicas.

A Receita Federal disponibiliza informações cadastrais.

O Portal da Transparência permite consultar informações relacionadas a sanções.

Outras dimensões dependem de bases especializadas e parceiros de dados.

E uma terceira fonte vem da própria operação: histórico de entregas, qualidade, ocorrências, compras e avaliações.

O problema surge quando cada uma fica em um lugar.

Cadastro em um portal → documentos em uma pasta → risco em outro sistema → performance em planilha → negociação na plataforma de compras.

O comprador pode ter vários dados disponíveis e, ainda assim, pouca inteligência para decidir.

Como a Nimbi estrutura o monitoramento de fornecedores

O diferencial relevante não está simplesmente em “ter monitoramento”.

Está em conectar o acompanhamento do fornecedor ao processo de procurement.

A Nimbi permite que a empresa defina, de acordo com a configuração adotada:

• quais fornecedores precisam ser monitorados;
• quais informações e documentos são relevantes;
• qual periodicidade deve ser aplicada;
• quais critérios orientam a avaliação;
• como essas informações permanecem ligadas ao histórico do fornecedor.

O ecossistema também pode utilizar integrações com parceiros especializados como Neoway, ICTS e Exato Digital, conforme os serviços e integrações contratados.

A Neoway atua com inteligência de dados e informações empresariais; a ICTS possui atuação em riscos, compliance e integridade; e a Exato Digital trabalha com dados e verificações para processos de análise e gestão de terceiros.

Na prática, diferentes fontes podem ampliar a leitura cadastral, jurídica, financeira e de integridade disponível para a gestão do fornecedor.

Mas o ponto mais importante da abordagem é o que acontece depois que a informação chega.

O diferencial está em levar o risco para cotação, negociação e renovação

Uma empresa pode identificar uma alteração relevante e ainda assim tomar uma decisão baseada em informação antiga.

Isso ocorre quando o monitoramento está desconectado do procurement.

O próprio artigo âncora da Nimbi destaca que a integração reduz esse ponto cego ao aproximar a informação dos momentos em que o comprador:

• seleciona participantes;
• compara propostas;
• negocia condições;
• aprova fornecedores;
• renova contratos.

Assim, monitorar deixa de ser uma atividade paralela de compliance e passa a influenciar a decisão de compras.

O fluxo muda de:

consultar risco → entrar em outro sistema → interpretar → avisar compras

para uma jornada em que:

fornecedor → risco → histórico → negociação → decisão

permanecem mais próximos.

Isso não significa que qualquer alerta bloqueia automaticamente uma compra.

Significa que o comprador pode considerar o contexto atualizado antes de decidir.

Veja também: Monitoramento contínuo de fornecedores: por que a homologação é uma foto e o risco é um filme.

Exemplo: quando risco e preço precisam ser avaliados juntos

Considere uma cotação com dois fornecedores.

Fornecedor A: R$ 1,48 milhão.

Fornecedor B: R$ 1,5 milhão.

A diferença é de R$ 20 mil.

Se os dois apresentam condições equivalentes de risco, preço pode ser um critério decisivo.

Mas imagine que o fornecedor A tenha apresentado recentemente uma alteração relevante em um indicador considerado crítico pela empresa.

A decisão deixa de ser apenas:

R$ 1,48 milhão versus R$ 1,5 milhão.

Ela passa a ser:

economizar R$ 20 mil compensa o nível adicional de exposição identificado?

O monitoramento não responde sozinho qual fornecedor deve vencer a cotação.

Ele garante que o comprador não avalie os R$ 20 mil sem enxergar o restante do contexto.

É aqui que o monitoramento conectado ao procurement produz um valor diferente de um dashboard isolado.

Como estruturar o monitoramento contínuo na prática

Um processo pode começar com seis passos:

1. Classifique fornecedores por criticidade.
2. Defina os riscos relevantes para cada categoria.
3. Escolha quais dados precisam ser acompanhados.
4. Determine frequência ou gatilho de atualização.
5. Configure regras de alerta e tratamento.
6. Leve a informação atualizada para a decisão de compras.

O objetivo não é monitorar tudo.

É monitorar o que pode mudar a decisão, na velocidade em que essa mudança importa.

Afinal, com que frequência cada fornecedor deve ser monitorado?

A resposta curta é:

com a frequência proporcional ao risco e à velocidade de mudança das informações relevantes para aquele fornecedor.

Para alguns parceiros, uma revisão anual pode atender determinados critérios.

Para outros, esperar um ano pode criar uma janela incompatível com o nível de exposição.

Documentos podem seguir vencimentos.

Desempenho pode seguir entregas.

Financeiro pode seguir a criticidade.

Sanções podem seguir alertas.

Riscos externos podem seguir eventos.

O modelo mais maduro não pergunta apenas “quando revisamos esse fornecedor?”.

Pergunta:

“qual mudança precisamos saber a tempo de agir?”

Como a Nimbi conecta dados de fornecedor à decisão de compra?

Na Nimbi, homologação, monitoramento e gestão de fornecedores podem ser estruturados dentro do ecossistema de procurement, permitindo que critérios, documentos, histórico e mudanças relevantes permaneçam próximos das etapas em que a área de compras realmente decide.

Conheça as soluções da Nimbi e entenda como funciona o monitoramento contínuo de fornecedores integrado ao processo de compras.

Perguntas frequentes sobre monitoramento contínuo de fornecedores

Quais dados devem ser monitorados em fornecedores?

Dados cadastrais e societários, documentos e certidões, informações financeiras, sanções e compliance, desempenho operacional, certificações, risco cibernético e eventos externos relevantes.

Com que frequência fornecedores devem ser monitorados?

A frequência deve ser proporcional à criticidade, à exposição e à velocidade com que cada dado pode mudar. Não existe uma periodicidade universal.

Quais são os principais indicadores de desempenho de fornecedores?

Entre os mais comuns estão entrega no prazo, qualidade, cumprimento de SLA, devoluções, não conformidades, divergências e capacidade de cumprir volumes contratados.

Monitoramento contínuo significa monitoramento em tempo real?

Não. Significa acompanhar o fornecedor durante toda a relação e atualizar diferentes informações na frequência adequada ao risco.

Qual a diferença entre monitoramento contínuo e reavaliação periódica?

A reavaliação acontece em datas predefinidas. O monitoramento contínuo também pode identificar mudanças entre essas datas por meio de eventos, atualizações ou alertas.

Como evitar excesso de alertas no monitoramento de fornecedores?

Definindo critérios de relevância, severidade, responsáveis e ações associadas a cada tipo de ocorrência. O objetivo é priorizar alertas acionáveis.

Todos os fornecedores precisam do mesmo nível de monitoramento?

Não. O modelo risk-tiered aplica maior intensidade aos fornecedores de maior criticidade e menor intensidade aos parceiros de baixo impacto.

Quais dados podem gerar alertas?

Vencimento de documentos, mudanças cadastrais, novas sanções, alterações financeiras, deterioração da performance e outros eventos definidos na política da organização.

Por que integrar monitoramento de fornecedores ao procurement?

Porque o risco atualizado passa a ser considerado no contexto da cotação, negociação, contratação ou renovação, ao lado de preço, prazo, qualidade e capacidade de entrega.

O que fazer quando o risco de um fornecedor muda?

Validar a informação, avaliar materialidade, atualizar a classificação de risco, definir uma ação proporcional e registrar a decisão no histórico do fornecedor.