Escolher fornecedor por preço ficou caro.
Fornecedor escolhido, contrato assinado e o serviço começa a ser executado. Meses depois, aparece a notícia de um vazamento de dados dentro da operação desse fornecedor.
A falha?
Foi dele.
O nome que aparecerá na notificação do órgão e na manchete?
Provavelmente será o da empresa que o contratou.
Essa cena se repete mais do que o mercado admite. Quem contrata não compra apenas o serviço, herda a forma como aquela empresa opera.
Por muito tempo, escolher fornecedor foi uma simples equação de preço e prazo, e só. O que acontecia dentro da operação contratada era problema dela: como tratava os dados pessoais que acessava, se cumpria as normas de saúde e segurança do trabalho, como protegia a informação sensível que passava pelas suas mãos. Hoje essa visão é obsoleta. A maturidade de uma organização vale o quanto vale a parte mais vulnerável da sua cadeia.
E o que está em jogo não é abstrato. Um prestador que trata mal dados pessoais gera um incidente de LGPD que chega ao contratante como multa e responsabilização. Um fornecedor que negligencia saúde e segurança e sofre um acidente traz consequência jurídica e, antes disso, humana, para quem comandava o contrato. Uma falha de segurança da informação dentro do fornecedor é uma porta aberta para dentro de quem o contratou. Cada um desses riscos nasce na operação do fornecedor e desagua em quem assinou embaixo.
Há também o que é menos risco e mais obrigação. As emissões de carbono são o caso típico: a maior fatia da pegada de uma empresa mora no chamado Escopo 3, as emissões indiretas da cadeia, que na prática são as emissões diretas dos seus fornecedores. Quem precisa reportar depende do fornecedor saber medir e informar as suas próprias emissões de gases de efeito estufa (GEE). Não é um dano que estoura como manchete, mas é uma dependência que trava o reporte e a gestão de quem está acima na cadeia.
Quem trata isso como retórica de palco corre o risco de ficar atrás do próprio mercado. O movimento ainda é de vanguarda, puxado por poucos contratantes de grande porte, mas a direção é clara: programas de descarbonização da cadeia, plataformas que dão nota de sustentabilidade a fornecedores, avaliação socioambiental antes de homologar um contrato. Onde essa régua já existe, a maturidade socioambiental deixou de ser cortesia e virou critério de seleção. É uma tendência, e quem a lê como exagero tende a descobrir tarde que ela chegou.
E aqui está a provocação de verdade. Dizer que "leva o ESG a sério", que "respeita a LGPD" e que "preza pela segurança" é barato, porque qualquer proposta comercial aceita essas declarações. O que separa a retórica da prática é existir, ou não, um sistema de gestão que amarre essas frentes e produza evidências auditáveis. Rastreabilidade é isso: comprovar com registro, e não com juramento, que cada frente está sob controle. Um sistema de gestão integrada (SGI) existe para costurar segurança da informação, dados, saúde do trabalho e impacto ambiental sob a mesma governança, com auditoria e melhoria contínua. Fornecedor que tem um desses não promete rastreabilidade. Ele deixa rastro.
E é preciso ser honesto sobre o papel deste sistema. Ele não blinda 100% nenhuma operação contra o acidente, o imprevisto ou falhas humanas. Nenhuma estrutura reduz o risco a zero. O que o SGI faz é atuar em duas frentes vitais. Primeiro, reduz muito a probabilidade de o evento crítico acontecer, porque existe toda uma série de cuidados, por meio de controles rigorosos, processos padronizados e ações preventivas. Segundo, e tão importante quanto, muda a natureza do que sobra quando algo dá errado através da mudança no perfil de resposta. Diante de um incidente que precisa ser investigado e reconstituído, uma operação organizada consegue comprovar tecnicamente que atuou em conformidade com os procedimentos e exigências regulatórias. A diferença entre uma fatalidade e uma negligência raramente está no evento em si. Está no que a empresa consegue comprovar sobre tudo o que fez antes dele.
Vale desfazer um mal-entendido comum: nada disso é discurso contra o menor preço. Preço competitivo e maturidade não são opostos, e há fornecedor que entrega os dois, que mantém eficiência de custos e controles rigorosos em equilíbrio. O risco não está em contratar barato. Está em contratar olhando só para o preço, como se ele resumisse a proposta. Quando a maturidade some da conta, o custo dela não desaparece, apenas migra para depois, na forma do incidente a reportar, da autuação a responder, do dano à imagem e à reputação que supera qualquer economia inicial. Aí sim o barato sai caro.
O que muda, no fim, não é o peso do preço na decisão. É deixar de ser o único item da conta. Um fornecedor com gestão estruturada não custa necessariamente mais; ele apenas carrega menos risco embutido, e isso raramente aparece na planilha de cotação.
Na Lago Azul construímos o nosso Sistema de Gestão Integrada por acreditar nisso, por convicção técnica e compromisso com a excelência, e não por exigência de mercado, não porque um cliente cobrou. Maturidade socioambiental não se declara. Se pratica, se audita e se comprova.