Gestão de terceiros: o que o RH precisa controlar de verdade

O risco que a contratante herda sem ter contratado ninguém

Existe uma ideia confortável de que terceirizar uma atividade transfere o risco dela para fora da empresa. Na prática, o vínculo de emprego muda de lugar, mas boa parte da exposição não muda: quem circula pela planta, opera um equipamento ou acessa um sistema continua sujeito às mesmas condições de saúde, segurança e acesso que qualquer pessoa do quadro próprio.

Isso acontece porque o risco não segue o contrato de trabalho, segue a atividade. Um trabalhador terceirizado que sobe numa plataforma sem treinamento adequado se machuca do mesmo jeito que um funcionário próprio se machucaria. Um prestador que mantém acesso ao sistema depois de deixar de prestar serviço representa a mesma brecha de segurança da informação que um ex-funcionário esquecido na lista de usuários ativos.

A definição exata de quem responde por cada obrigação depende do tipo de contrato firmado e da atividade exercida, e essa é uma análise que compete a quem cuida de compliance na empresa, não uma regra fixa aplicável a qualquer situação. O que não varia é o ponto de partida prático: a empresa contratante tem interesse direto em que o terceiro que atua na sua operação esteja apto, treinado e protegido, porque o incidente acontece dentro do seu ambiente, na sua planta, ou usando o seu sistema, independentemente de quem assina a carteira de trabalho dele.

Por isso gestão de terceiros não é um problema de departamento de compras que o RH ocasionalmente apoia. É um problema de exposição operacional que só é controlado quando alguém acompanha, de forma contínua, se a documentação de cada terceiro que está na operação continua válida.

O que precisa ser controlado, e por quê

Cada documento que se pede de um terceiro prova uma coisa específica. Fica mais fácil controlar bem quando se entende o que cada peça está provando, em vez de tratar tudo como burocracia genérica de cadastro.

A comprovação de aptidão para a função mostra que aquela pessoa foi avaliada como apta a exercer a atividade para a qual foi alocada, considerando as condições do posto de trabalho. A evidência de treinamento de segurança mostra que ela recebeu a capacitação exigida para a atividade específica que vai desempenhar, seja trabalho em altura, espaço confinado, operação de equipamento ou qualquer outra atividade que exija formação prévia. O registro de entrega de equipamento de proteção mostra que a pessoa recebeu o EPI adequado e, idealmente, que foi orientada a usá-lo. E a documentação que comprova o vínculo do trabalhador com o fornecedor mostra que aquela pessoa está regularmente ligada à empresa que a colocou na operação, o que sustenta toda a cadeia de responsabilidade sobre ela.

Nenhum desses quatro documentos substitui o outro. Uma empresa pode ter o registro de EPI em dia e ainda assim colocar em risco alguém sem o treinamento certo para a atividade. Pode ter o treinamento certificado e ainda assim colocar na operação alguém sem vínculo comprovado com o fornecedor. O controle serve exatamente para não deixar essas lacunas passarem despercebidas.

• Comprovação de aptidão para a função exercida
• Evidência de treinamento de segurança para a atividade específica
• Registro de entrega e orientação de uso de equipamento de proteção
• Documentação que comprova o vínculo do trabalhador com o fornecedor

Validade é o problema, não a coleta

Pedir o documento ao fornecedor é a parte fácil. Acontece uma vez, geralmente no início do contrato ou na entrada do trabalhador na operação, e a maioria dos fornecedores entrega sem grande resistência quando o pedido é claro.

O que falha, quase sempre, não é a coleta: é perceber que aquele documento venceu. Um exame que tinha validade perdeu a validade há três meses e ninguém percebeu porque ele está guardado numa pasta, cumprido o propósito de existir no momento em que foi anexado. O treinamento de segurança que precisava de reciclagem periódica não foi reciclado, e o trabalhador continua na atividade como se estivesse coberto.

É aqui que a planilha, que resolve bem o momento da coleta, falha de forma sistemática. Planilha não avisa sozinha. Ela guarda a data que alguém digitou, mas depende de uma pessoa lembrar de abrir aquela aba, filtrar por vencimento e cruzar com quem ainda está ativo na operação. Em uma operação com dezenas ou centenas de terceiros, com prazos diferentes para cada tipo de documento e cada função, esse cruzamento manual vira uma tarefa que alguém decide não priorizar naquela semana, e depois na seguinte, até que aparece numa auditoria como lacuna acumulada.

O controle que funciona trata cada documento como um objeto com data de validade, não como um arquivo estático. Isso significa aviso automático antes do vencimento, com antecedência suficiente para renovar sem pressa, e visibilidade de quem está com pendência antes que a pendência vire incidente ou achado de auditoria.

Acesso e desligamento

Contratar um terceiro tem processo, aprovação e cadastro. Desligar um terceiro, na prática de muitas empresas, não tem quase nenhum. O contrato com o fornecedor termina, ou o trabalhador específico deixa de atuar naquela operação, e o que deveria acontecer em seguida, revogar o crachá, remover o acesso ao sistema, tirar o nome da lista de brigada de incêndio, simplesmente não tem um dono definido que garanta que aconteça.

Esse é o momento em que o risco fica concentrado, e é também o menos visível dos dois lados do ciclo de vida do terceiro. Ninguém audita ativamente quem tem crachá funcionando de um fornecedor que não presta mais serviço. Ninguém percebe, sem procurar, que uma credencial de sistema continua ativa meses depois do fim do contrato. E uma lista de brigada desatualizada só aparece como problema no pior momento possível, que é durante uma emergência real.

A causa raiz costuma ser estrutural, não individual: a entrada do terceiro tem um formulário e uma aprovação associados, o desligamento não tem equivalente. Ninguém recebe automaticamente a notícia de que aquele contrato encerrou ou que aquela pessoa específica parou de atuar na operação, então ninguém dispara a rotina de revogação.

A correção é tratar o desligamento do terceiro com o mesmo rigor que se trata a admissão. Um gatilho claro, uma lista do que precisa ser revogado e um responsável por confirmar que foi feito fecham a parte do ciclo que mais frequentemente fica aberta.

Como cobrar o fornecedor sem virar cartório

O RH ou a área de SST não tem, nem deveria ter, capacidade de perseguir cada fornecedor individualmente pedindo documento por telefone ou e-mail avulso. Isso não escala e transforma uma pessoa da equipe em atendente de cobrança em tempo integral.

O que funciona melhor é combinar a regra dentro do próprio contrato com o fornecedor: quais documentos são exigidos e com que antecedência precisam ser renovados. A consequência prática de uma pendência não resolvida também precisa estar escrita ali, e pode ir de suspensão do acesso do trabalhador até bloqueio de novo faturamento, conforme o que a empresa e o jurídico definirem como proporcional.

Um canal único de envio também reduz atrito dos dois lados. Quando o fornecedor sabe exatamente onde mandar cada documento, e recebe aviso automático perto do vencimento em vez de descobrir a pendência quando já é tarde, a taxa de entrega no prazo sobe sem que ninguém precise cobrar pessoa a pessoa.

A alternativa a esse desenho é conferir tudo manualmente perto de uma auditoria, revisando pasta por pasta, fornecedor por fornecedor, sob pressão de prazo. Esse método custa mais horas de trabalho concentradas no pior momento possível, e ainda assim falha mais, porque uma checagem apressada sob prazo apertado erra exatamente os detalhes que a rotina bem desenhada capturaria sem esforço.