Vulnerabilidades de fornecedores e terceiros expõem empresas a perdas bilionárias

Uma em cada três empresas sofreu algum tipo de perda monetária ou danos à reputação nos últimos três anos em em função de vulnerabilidades associadas a fornecedores, parceiros e prestadores de serviços.

O motivo para o alto nível de exposição se deve a alguns fatos. O primeiro deles é a rápida transformação digital. Além disso, a expansão das cadeias globais de suprimento, o aumento do rigor regulatório e as ameaças cibernéticas são apontadas como fatores de risco quando se trata da gestão de terceiras partes.

A gestão de terceiros, no entanto, não está restrita a perdas financeiras ou riscos à imagem das corporações. Cerca de 28% informaram terem sofrido com a interrupções na cadeia de suprimentos, afetando diretamente suas respectivas produções.

Os dados fazem parte da mais recente pesquisa sobre gestão de riscos de terceiros (Third Party Risk Management) realizada pela KPMG. O levantamento foi feio junto a 851 empresas globais dos setores de saúde, tecnologia, financeiro, produção, varejo e energia.

A realidade atual se impõe apesar dos investimentos realizados na gestão de fornecedores e prestadores de serviço. Cerca de 30% das empresas desembolsam entre US$ 100 milhões e US$ 500 milhões por ano com medidas de controle. Outros 28% dos entrevistados informam gastar mais de US$ 500 milhões.

A maior parte desses recursos são destinados para a área de segurança cibernética e segurança da informação. Cerca de 48% das empresas consideram os ataques cibernéticos o principal fator de risco na gestão de terceiros.

Em segundo lugar aparece o compliance regulatório, apontado como prioridade por 45% das empresas. Fechando o pódio surgem os aspectos de tecnologia da informação de modo geral, indicado por 25% dos entrevistados.

“Uma única vulnerabilidade causada por terceiros pode rapidamente transformar-se em ameaças em toda a empresa. A pesquisa revelou que, embora os líderes reconheçam os altos riscos, há espaço para aprimorar a execução”, afirma Emerson Melo, sócio-líder da prática GRC & Forensic da KPMG no Brasil.

Vulnerabilidade tecnológica

Casos que ilustram como a vulnerabilidade de terceiros atinge grandes empresas não faltam. Em 2024, uma falha na atualização na CrowdStrike afetou clientes em todo o mundo. Companhias aéreas, bancos, hospitais e diversos serviços públicos foram afetados pelo problema.

Os prejuízos causados pela falha foram estimados na casa dos bilhões de dólares, com aproximadamente 8,5 milhões de computadores em todo o mundo apresentando problemas. A Delta Airlines chegou a processar a CrowdStrike alegando perdas de US$ 500 milhões.

No Brasil, a falha do CrowdStrike gerou problemas de login, pagamentos por Pix e transferências em bancos como Bradesco, Banco do Brasil e Itaú. A Azul viu seu sistema global de gestão de reservas e check-in ficar parcialmente indisponível por conta da falha.

A Boeing também se viu envolvida com os problemas gerados pela Spirit AeroSystems, uma das maiores fornecedoras de estruturas de fuselagem para aviões comerciais do mundo. Em janeiro de 2024, um plugue de uma das portas de um 737 MAX da Alaska Airlines se soltou durante um voo, expondo falhas na qualidade do fornecedor.

Para resolver o problema a Boeing decidiu desembolsar US$ 4,7 bilhões e comprar a Spirit AeroSystems. O movimento tinha por objetivo minimizar o impacto reputacional e tentar controlar melhor os riscos na produção.

A Amazon Web Services também enfrentou problemas em 2025. Uma falha no serviço de nuvem da Amazon provocou indisponibilidade de sites e aplicativos, paralisação de vendas e interrupção de operações digitais no Brasil.

A lista oficial de empresas afetadas pela falha da AWS nunca foi divulgada. Contudo, empresas de e-commerce, apps de delivery e plataformas de streaming foram impactadas à época e tiveram sua reputação arranhada por uma falha no fornecedor de serviço.