Due diligence de segurança em M&A: o risco que não aparece no balanço

Toda aquisição passa por due diligence financeira e jurídica exaustiva: balanço, contingências fiscais, contratos, litígios em aberto. Segurança da informação, na maioria dos processos, recebe uma checklist superficial — algumas perguntas sobre certificação, talvez uma cópia da política de segurança. O problema é que o passivo de segurança de uma empresa comprada não aparece em nenhuma dessas planilhas até virar incidente, e nesse ponto já é o comprador quem paga a conta.

Isso importa mais agora do que há alguns anos: o volume de fusões e aquisições segue aquecido no Brasil, e boa parte dos alvos são empresas que cresceram rápido, empilhando tecnologia sem arquitetura — exatamente o perfil que esconde mais risco por trás de uma superfície operacional saudável.

O que due diligence financeira não enxerga

Um balanço saudável e um due diligence jurídico limpo não dizem nada sobre quantas credenciais de ex-funcionários ainda têm acesso ativo, se há um vazamento de dado em curso e ainda não descoberto, ou se a stack de segurança da empresa-alvo é uma colcha de retalhos que nunca foi auditada de verdade.

Esse tipo de risco é estruturalmente invisível pros mesmos processos que capturam bem risco fiscal ou contratual — porque exige avaliação técnica direta, não análise documental.

O risco muda de dono no fechamento, não antes

Uma vulnerabilidade não corrigida, uma violação de dado ainda não notificada, uma dependência de software comprometida — tudo isso é passivo que se transfere integralmente pro comprador no momento em que a aquisição fecha. Descobrir isso três meses depois, já com a empresa incorporada, é infinitamente mais caro do que descobrir antes de assinar: nesse ponto não há mais espaço pra renegociar preço ou condição contratual, só pra remediar sob pressão.

O que uma due diligence técnica deveria checar

Cinco frentes concentram a maior parte do risco real: inventário de dado sensível e conformidade regulatória — cada vez mais relevante com a fiscalização ativa da ANPD —, governança de identidade e quantas contas privilegiadas existem sem dono claro, histórico de incidentes e se algum ainda está em andamento, cobertura e vigência de seguro cibernético da empresa-alvo, e o nível real de dívida arquitetural da stack de segurança.

Nenhuma dessas frentes é visível numa checklist de certificação. Todas exigem acesso técnico direto ao ambiente, mesmo que limitado e supervisionado, durante a janela de due diligence.

Quando fazer: antes da assinatura, não depois

Devida diligência de segurança feita depois do fechamento é auditoria, não due diligence — a essa altura, o objetivo já não é decidir se compra ou negocia condição, é descobrir o tamanho do problema que já foi comprado. O momento certo é o mesmo em que devida diligência financeira acontece: antes da assinatura, com tempo suficiente pra achado técnico virar cláusula contratual ou ajuste de preço.

Integração pós-fechamento é onde o risco realmente se materializa

Mesmo numa due diligence bem feita, o momento de maior exposição costuma vir depois: integração de rede, unificação de identidade, migração de sistemas. Duas stacks de segurança diferentes, com maturidade diferente, conectadas sob pressão de prazo de integração, ampliam a superfície de ataque exatamente no período em que a atenção de todo mundo está no negócio, não na segurança.

Tratar essa integração como projeto de segurança com dono e cronograma próprio — não como efeito colateral da integração de sistemas mais ampla — é o que separa aquisições que absorvem risco de forma controlada das que só descobrem o problema quando ele já virou incidente.

O risco entra na planilha, não só no contrato

Due diligence de segurança deveria ter o mesmo peso que due diligence financeira em qualquer aquisição relevante — porque o risco que ela revela tem impacto financeiro direto, só que descoberto tarde demais pra negociar. A UNIQ apoia esse tipo de avaliação técnica independente antes do fechamento, e a arquitetura de integração depois dele. Fale com o time técnico enquanto a operação ainda está em due diligence, não depois de fechada.