Red flags em due diligence que estão derrubando deals em 2026

Em 2026, a tolerância do mercado a incertezas caiu de patamar. Riscos que antes eram tratados como “ajustáveis” por indenização e seguro passaram a ser vistos como passivos prováveis, porque se materializam rápido, atingem clientes em tempo real e geram custo regulatório e reputacional imediatamente. Por isso, as red flags que derrubam deals hoje raramente são pendências societárias clássicas. O que mata a transação é a incapacidade de sustentar afirmações com evidência: logs, trilhas de auditoria, reconciliações financeiras e contratos que suportem transferência, uso e responsabilização.

Cibersegurança e terceiros que definem a precificação

Cibersegurança virou critério de preço porque o risco se tornou binário: ou existem controles verificáveis, ou a operação herda um incidente. A diligência busca a segregação de privilégios, MFA em contas críticas e capacidade de restaurar a partir de backups testados. A obrigação de divulgar incidentes materiais em prazos curtos eleva a assimetria do risco. O sinal mais corrosivo aparece quando terceiros possuem acesso persistente e integrações não catalogadas. Sem mapa de conectividade, revisões periódicas de acesso e critérios de offboarding, o comprador assume que a superfície de ataque é desconhecida. Se a empresa só apresenta políticas e não telemetria, a conclusão é de governança inexistente.

SBOM e dívida técnica que vira custo

A ausência de SBOM e de governança de dependências acende alerta sobre vulnerabilidades herdadas e licenças incompatíveis. Isso pode exigir reengenharia e renegociação com clientes que impõem requisitos mínimos de segurança. O custo de remediação entra no modelo como obrigação do dia um. Também pesam compromissos de nuvem sem controle de consumo, ambientes sem segmentação e observabilidade insuficiente para explicar indisponibilidade ou picos de custo. Sem backlog priorizado e plano realista de hardening, o comprador precifica reconstrução de plataforma.

IA, dados e governança que não transfere

A adoção acelerada de IA sem governança virou uma causa frequente de desistência. A diligência mapeia onde modelos influenciam decisões, quais dados entram e que controles evitam vazamento. A aplicação faseada do AI Act europeu elevou o padrão de documentação e responsabilidades para quem opera na região em 2025 e 2026. O red flag mais caro é a ausência de cadeia de custódia de dados: origem, base legal, finalidade, retenção, exclusão e direitos de transferência. Sem isso, o comprador não garante continuidade do modelo após o fechamento, nem consegue defender a operação diante de auditoria, litigância ou exigências contratuais.

Shadow AI e termos contratuais

Shadow AI se manifesta quando áreas adotam ferramentas de geração de texto e código e inserem dados sensíveis sem aprovação formal. Isso aparece como incapacidade de delimitar o perímetro de dados expostos e demonstrar controles de acesso e registro. O comprador enxerga risco de incidente e de violação de sigilo com impacto em receita. Além disso, termos de uso podem prever retenção de dados e limitações de responsabilidade incompatíveis. Se não há governança para negociar aditivos e registrar exceções, o comprador assume renegociação onerosa e potencial descontinuidade de funcionalidades essenciais.

Receita e métricas que não fecham com o caixa

Deals caem quando a diligência encontra divergência entre receita reportada e receita sustentável. Em 2026, é padrão triangular CRM, faturamento e uso do produto para reconstruir cohorts, churn e retenção líquida. Se há lançamentos manuais sem trilha, descontos não rastreados e dados inconsistentes, a previsibilidade vira aposta. Red flags recorrentes incluem side letters fora do ERP, direitos de cancelamento fora do padrão e cláusulas de performance que viram abatimento automático. A falta de segmentação de churn e de métricas auditáveis de expansão sinaliza governança comercial frágil. O efeito é repricing agressivo e condicionantes ligados à re-auditoria.

Unit economics e crescimento subsidiado

CAC e LTV precisam se reconciliar com caixa, taxas de pagamento, chargebacks e inadimplência. Quando o target mistura receita bruta e líquida e ignora custos variáveis de suporte, o unit economics não se sustenta. O comprador trata o gap entre marketing e caixa como risco de margem no primeiro trimestre. Outra red flag é a dependência de incentivos temporários, como rebates e créditos de mídia, para manter o crescimento. Se a empresa não separa crescimento orgânico de crescimento subsidiado, a diligência identifica risco de cliff e pressão sobre covenants em estruturas de financiamento.

Regulação, beneficiário final e sustentabilidade como barreira

Sanções, export controls e due diligence de terceiros elevaram o padrão de compliance. É preciso evidenciar screening contínuo de clientes e parceiros e controles sobre uso final e reexportação. Ausência de registros consistentes e checagens pontuais geram risco de bloqueio bancário, interrupção de supply chain e perda de mercados. A transparência de beneficiário final se tornou fragmentada. Nos Estados Unidos, mudanças no regime de BOI alteraram obrigações para várias entidades domésticas, mantendo deveres para empresas estrangeiras e incentivando regimes estaduais adicionais. Sem mapa confiável de ownership e controle, o risco vira execução travada e custo de capital mais alto.

CBAM e green claims em 2026

Para negócios expostos à União Europeia, o CBAM entrou no regime definitivo em 2026, aumentando a necessidade de dados primários de emissões e governança de fornecedores. Falta de rastreabilidade e metodologia consistente vira red flag porque pode impor repasse de custo ou compressão de margem. Em paralelo, o escrutínio sobre green claims está se convertendo em risco jurídico e comercial. A diligência verifica se metas e promessas possuem inventários e controles que sustentem auditoria e contestação. Quando o discurso não é defensável, o comprador projeta litígio e ruptura com clientes corporativos.

Em 2026, a transação cai quando a diligência revela que a empresa não consegue provar o que diz. Cibersegurança sem telemetria, IA sem cadeia de custódia de dados, receita sem reconciliação e compliance sem evidência criam riscos que não se resolvem com cláusulas genéricas, porque aparecem como incidentes, sanções ou perda de clientes logo após o fechamento. A resposta prática é transformar prontidão de due diligence em disciplina contínua: instrumentar sistemas, testar recuperação, mapear terceiros, documentar direitos sobre dados e modelos e reconciliar métricas comerciais com o caixa. O comprador procura previsibilidade. Sem isso, o deal vira assimetria, e a assimetria termina em desistência.