Gestão de Terceiros e Contratadas na SST (NR-01)

O que é a gestão de terceiros e contratadas

A gestão de terceiros e contratadas (módulo M08) tem por objetivo gerir a SST das empresas contratadas e dos prestadores de serviço, a documentação exigida, as comunicações de risco e a conformidade contínua de cada um. É parte da rotina de SST da organização e funciona como o SSOT (fonte única de verdade) do compliance de contratadas: cadastro, status, documentos, vencimentos e evidências ficam concentrados em um único registro por contratada.

Cada contratada é referenciada por ID pelos demais módulos e deve ter vínculo com a unidade ou local de atuação onde presta o serviço. As evidências ficam sempre no GED (M11), e nenhum documento vive "solto": o registro da contratada aponta para as evidências, os prazos e os indicadores relacionados.

Cadastro por tipo: empresa, MEI e autônomo

O cadastro diferencia a contratada por tipo — empresa, MEI ou autônomo — porque os requisitos aplicáveis mudam conforme o porte e a existência ou não de empregados. Os campos mínimos incluem contratada (razão social), CNPJ, atividade, local de atuação, número de trabalhadores, tipo, responsável e status. Para pessoas jurídicas, o CNPJ é único por empresa.

Documentos obrigatórios: PGR, inventário, plano de ação e treinamentos

Para cada contratada, o sistema controla a apresentação e a validade dos documentos obrigatórios de SST. Os campos de acompanhamento espelham a planilha-base do módulo:

• PGR recebido — Programa de Gerenciamento de Riscos da atividade contratada.
• Inventário de riscos — inventário de riscos ocupacionais da atividade objeto da contratação.
• Plano de ação — plano de ação referente à mesma atividade.
• Treinamentos — comprovantes de capacitação exigidos para a função/atividade.
• Riscos comunicados e integração SST — evidência da comunicação de riscos e da integração quando aplicável.

Comunicação formal de riscos com evidência

Além de reunir os documentos, o M08 registra a comunicação formal dos riscos ocupacionais à contratada, com evidência arquivada e integração ao onboarding quando aplicável. Os riscos a comunicar vêm do inventário de riscos da própria organização (M02): riscos do ambiente e de processos adjacentes, substâncias químicas presentes, riscos de instalações, procedimentos de emergência e restrições. A ciência da comunicação é registrada como evidência no GED (M11).

Score de conformidade e alertas de documentação vencida

Cada contratada carrega um status de conformidade e um score de 0 a 100. O status assume um de quatro valores: Conforme, Atenção, Não conforme ou Pendente. Uma data de vencimento principal controla a validade da documentação, e o sistema emite alertas de documentação vencida. A listagem oferece busca por razão social ou documento, filtro por status e um resumo que soma quantas contratadas estão em cada situação, formando o painel de conformidade de terceiros.

O acesso é protegido por ACL por tags (leitura com m08:read e escrita com m08:write) e isolado por organização (multi-tenant), de modo que uma organização nunca enxerga as contratadas de outra. Os dados do módulo ficam cifrados em repouso.

Integração: vencimentos (M09), evidências (M11) e revisão do PGR (M02)

O cadastro ou atualização de uma contratada (evento E-065) dispara efeitos derivados idempotentes e auditáveis, sem duplicar o dono de cada dado:

• Vencimentos (M09) — quando há prazo relevante, o vencimento é projetado no cronograma de revisões e validades.
• Evidências (M11) — a documentação comprobatória é referenciada/registrada no GED, sempre por ID.
• Indicadores (M10) — o impacto na conformidade é refletido nos painéis quando aplicável.
• Revisão do PGR (M02) — quando as evidências apontarem novos riscos ou atividades, o M08 gera insumo para revisão do inventário de riscos.
• Enquadramento (M16) — as regras de porte (MEI/ME/EPP) são recebidas quando aplicável.

As referências para M09, M10 e M11 são gravadas por ID; na ausência de uma referência informada, o backend cria automaticamente o registro derivado e sincroniza o ID de volta ao cadastro da contratada. Efeitos com chave de idempotência não são reprocessados, preservando a cadeia de dados.

Status "conforme" só com documentos válidos

A regra central do módulo é uma condicionante de integridade: o status "conforme" só pode ocorrer se os documentos obrigatórios estiverem presentes e válidos. Cada documento ou arquivo precisa ser uma referência ao GED (M11); não existe "conforme" declarado sem lastro documental. Assim, o score e o status de cada contratada são sempre sustentados por evidência, e não por preenchimento manual sem comprovação.

Base normativa (NR-01)

A gestão de terceiros e contratadas atende ao Gerenciamento de Riscos Ocupacionais (GRO) nas relações de prestação de serviços a terceiros, previsto na NR-01 (redação vigente pela Portaria MTE nº 765/2025):

• 1.5.8 — GRO nas relações de prestação de serviços a terceiros.
• 1.5.8.1 — o PGR da contratante deve incluir as medidas de prevenção para as contratadas que atuem em suas dependências, ou utilizar os programas das contratadas.
• 1.5.8.1.1 — as contratadas devem fornecer à contratante o inventário de riscos ocupacionais e o plano de ação referentes às atividades objeto da contratação.
• 1.5.8.1.2 — contratadas sem empregados (titular ou sócios): a contratante deve estender suas medidas de prevenção aos riscos das atividades contratadas.
• 1.5.8.2 — a contratante deve informar às contratadas os riscos ocupacionais sob sua responsabilidade que possam impactar suas atividades.