Due diligence de TI: o que auditar antes de comprar uma empresa

Por que due diligence de TI deixou de ser opcional

Quando uma empresa compra outra, o time financeiro varre balanços, o jurídico revisa contratos e o RH mapeia passivos trabalhistas. A tecnologia, historicamente, ficava de fora — tratada como detalhe operacional a ser resolvido depois do fechamento. Esse raciocínio custou caro em dezenas de operações no Brasil: o comprador descobriu, meses após assinar, que herdou licenças de software irregulares, contratos de nuvem com multa de rescisão, backups que nunca foram testados e um vazamento de dados anterior à aquisição que jamais foi comunicado à ANPD.

O motivo da mudança é simples: em boa parte das empresas de médio porte, a operação inteira roda sobre sistemas. Faturamento, estoque, folha, relacionamento com cliente, comunicação — tudo depende de infraestrutura que alguém precisa manter. Se essa infraestrutura está mal documentada, subdimensionada ou fora de conformidade, o valor real do negócio adquirido é menor do que o EBITDA sugere. Pior: parte do passivo só aparece quando o comprador já é o responsável legal.

Due diligence de TI é o exercício de transformar essa incerteza em número. Não se trata de julgar se a tecnologia da empresa-alvo é boa ou ruim — trata-se de quantificar quanto custará regularizar, migrar e sustentar aquilo nos primeiros 24 meses após o fechamento, e de identificar riscos que devem virar cláusula contratual, ajuste de preço ou escrow.

Licenciamento de software: o passivo mais comum e mais subestimado

Licenças irregulares aparecem em quase toda auditoria de aquisição. Não por má-fé, na maioria dos casos, mas por crescimento desorganizado: a empresa comprou 40 licenças de um pacote de escritório em 2019, chegou a 95 funcionários em 2025 e nunca revisitou o contrato. Ou instalou uma edição Standard de banco de dados em servidor com contagem de núcleos que exigiria Enterprise. Ou usa uma versão OEM de sistema operacional em máquina virtual, o que a maior parte dos fabricantes não permite.

O risco é duplo. Há o custo de regularização — que costuma vir com preço de tabela, sem o desconto de renovação — e há o risco de auditoria do fabricante, que pode incluir multa contratual. Fabricantes de grande porte auditam com mais frequência empresas que passaram por mudança de controle societário, justamente porque sabem que o histórico de licenciamento raramente sobrevive intacto a uma fusão.

O que verificar, item por item:

• Inventário real x licenças contratadas — levantamento técnico das instalações ativas, não a planilha que o TI mantém manualmente.
• Modelo de licenciamento de servidores — contagem por núcleo, por processador ou por usuário, e se a virtualização respeita as regras do fabricante.
• Transferibilidade na mudança de controle — muitos contratos corporativos não são automaticamente transferíveis em operação de M&A; alguns exigem renegociação integral.
• Software de nicho e ERPs verticais — costumam ter contratos antigos, com fornecedor pequeno, sem cláusula clara de sucessão.
• Ferramentas contratadas por cartão de crédito de gestor — o "TI sombra" que ninguém mapeia e que ninguém sabe cancelar.

Contratos, dependências e o custo de sair

A segunda camada da auditoria é contratual. Empresas de médio porte acumulam dezenas de contratos de tecnologia: link de internet, telefonia, datacenter, nuvem pública, licenças SaaS, suporte terceirizado, manutenção de hardware. Cada um tem prazo, reajuste, multa de rescisão e — o mais ignorado — cláusula de mudança de controle.

Três armadilhas se repetem. A primeira é o contrato de longo prazo com multa proporcional ao saldo remanescente: comprar uma empresa com 36 meses restantes de um contrato de datacenter que o adquirente pretende desativar significa herdar uma dívida disfarçada. A segunda é a dependência de fornecedor único sem documentação — quando o provedor de suporte atual detém as senhas de administrador, a topologia da rede e o conhecimento operacional, e não existe contrato de transição. A terceira é o dado hospedado em conta pessoal ou em serviço sem contrato empresarial, o que gera problema de titularidade no momento da migração.

Regra prática: em due diligence, o valor de um contrato de TI não é o que ele custa por mês. É o que custa para sair dele antes do prazo, somado ao custo de reconstruir o serviço em outro lugar.

Vale também mapear a titularidade dos ativos digitais: domínios, certificados, contas de nuvem, repositórios de código, credenciais de administrador de diretório. Não é raro descobrir que o domínio principal da empresa está registrado em nome de um ex-sócio ou de uma agência que prestou serviço há oito anos.

Segurança e incidentes ocultos

Aqui está o item de maior potencial de perda e menor visibilidade. Uma empresa que sofreu ransomware há 14 meses, pagou resgate discretamente e nunca comunicou o fato tem um passivo vivo: dados podem ter sido exfiltrados e ainda estar em posse de terceiros, prontos para reaparecer. O adquirente assume esse risco integralmente após o fechamento.

A auditoria de segurança em contexto de M&A precisa ir além do questionário respondido pelo próprio time da empresa-alvo. Os pontos que produzem evidência real:

1. Histórico de incidentes — registros de chamados, comunicações internas, apólices de seguro cibernético acionadas, contratações emergenciais de resposta a incidente nos últimos 36 meses.
2. Estado do backup — não se a empresa "tem backup", mas quando foi o último teste de restauração documentado, se há cópia imutável ou offline e qual o RTO real medido, não o prometido.
3. Superfície exposta — serviços publicados na internet, acesso remoto sem autenticação multifator, portas administrativas abertas, VPN com credencial compartilhada.
4. Gestão de acessos — contas de ex-funcionários ainda ativas, usuários com privilégio administrativo sem justificativa, ausência de MFA no acesso administrativo.
5. Ciclo de atualização — sistemas operacionais e aplicações fora de suporte do fabricante, que não recebem mais correção de segurança.
6. Vazamentos públicos — credenciais corporativas do domínio da empresa circulando em bases de dados vazadas.

Cada achado aqui vira uma de três coisas na mesa de negociação: ajuste de preço, cláusula de indenização específica ou condição precedente ao fechamento. Deixar sem tratamento é assumir o risco sem precificá-lo.

Passivo de LGPD e governança de dados

A Lei Geral de Proteção de Dados não distingue o adquirente do adquirido. Ao comprar uma empresa, o comprador herda as bases de dados pessoais dela e, com elas, todo o passivo de tratamento irregular anterior. Sanções administrativas, ações judiciais de titulares e obrigações de comunicação continuam válidas independentemente da mudança societária.

Os pontos que merecem verificação documental são objetivos. Existe mapeamento de dados pessoais tratados e base legal declarada para cada finalidade? Há registro de operações de tratamento? Quem é o encarregado designado e ele efetivamente exerce a função? Existem contratos de operador com os fornecedores que processam dados em nome da empresa — inclusive o provedor de nuvem e o de folha de pagamento? Como a empresa responde a pedidos de titulares e em que prazo? Houve incidente de segurança com dados pessoais que exigiria comunicação à autoridade e aos titulares, e essa comunicação foi feita?

Um ponto específico de M&A merece atenção: transferir base de clientes de uma empresa para outra não é operação automática do ponto de vista da proteção de dados. Dependendo da finalidade original de coleta e da base legal declarada, a transferência exige comunicação aos titulares e, em certos cenários, novo consentimento. Planejar isso antes do fechamento evita ter de reconstruir uma base de contatos do zero depois.

Como transformar os achados em decisão de negócio

Uma due diligence técnica só cumpre seu papel quando os achados chegam à mesa de negociação em linguagem financeira. Um relatório que diz "os servidores estão desatualizados" não ajuda ninguém. Um relatório que diz "cinco servidores rodam sistema fora de suporte desde 2023; a substituição custa R$ 180 mil em capex ou R$ 6,4 mil/mês em nuvem, e o risco de indisponibilidade sem essa correção é alto" muda o preço da operação.

A estrutura que funciona é simples: cada achado recebe estimativa de custo de remediação, prazo, criticidade e recomendação de tratamento contratual. Os itens de custo certo viram ajuste de preço. Os de risco incerto viram cláusula de indenização com prazo de sobrevivência. Os que impedem a operação de funcionar no dia seguinte ao fechamento viram condição precedente. E os demais entram no plano de integração pós-fechamento, com orçamento e responsável definidos antes de a tinta secar.

Esse tipo de trabalho exige quem conheça tanto infraestrutura quanto o contexto de negócio — inventariar licenças, testar restauração de backup, revisar contratos de nuvem e avaliar maturidade de segurança não é atividade de uma única especialidade. A Duk Informática & Cloud atua há mais de 18 anos em infraestrutura, nuvem e segurança para empresas, atendendo mais de 550 clientes e mantendo certificação Microsoft Gold Partner — o que dá visibilidade direta sobre os pontos que mais aparecem em auditoria de aquisição: licenciamento Microsoft, ambientes híbridos mal documentados e backup que nunca foi testado. Em operações de M&A, essa leitura técnica costuma ser a diferença entre comprar uma empresa e comprar um problema com prazo de validade.