O código de conduta está na intranet, o treinamento foi feito há dois anos e ninguém sabe dizer quantas denúncias chegaram no último semestre. Muitas empresas têm um programa de compliance no papel, mas não conseguem mostrar que ele funciona. Afinal, é essa prova que pesa quando a empresa responde por um ilícito ou disputa um contrato público.
No Brasil, o tema ganhou base legal com a Lei Anticorrupção (Lei 12.846/2013). Mais tarde, o regulamento em vigor, de 2022, adotou a expressão “programa de integridade” e listou os parâmetros para avaliá-lo.
A seguir, você encontra o que a lei entende por programa, por que ele importa, os pilares, a avaliação de riscos, o código de conduta, os treinamentos, o canal de denúncias e o monitoramento, com um caminho prático para o departamento jurídico.
O que a lei chama de programa de integridade
Segundo o Decreto 11.129/2022, o programa reúne controles internos, auditoria e estímulo a denúncias, somados à aplicação real do código de ética, das políticas e das diretrizes da empresa (artigo 56). O objetivo é prevenir, detectar e sanar desvios e atos ilícitos contra a administração pública, nacional ou estrangeira, e manter uma cultura de integridade.
Além disso, o decreto diz que o programa deve ser estruturado e atualizado conforme as características e os riscos de cada empresa. Ou seja, não existe modelo pronto: a avaliação considera o porte, o número de empregados, o setor, os países de atuação e quanto a empresa depende de contratos, licenças e autorizações públicas (artigo 57, § 1º).
Por que o programa de compliance importa
Em primeiro lugar, o programa reduz sanções. Entre os fatores que a Lei 12.846/2013 manda pesar na dosagem das penalidades estão os mecanismos de integridade e o uso efetivo do código de conduta (artigo 7º, VIII). No cálculo da multa, o decreto permite subtrair até 5% da base quando a empresa comprova que tem e aplica o programa, mas o percentual máximo só vale se o programa for anterior ao ato lesivo (artigo 23, V e parágrafo único, III).
Em segundo lugar, há as contratações públicas. Pela Lei 14.133/2021, nas contratações de grande vulto, o edital deve exigir que o vencedor implante o programa em até 6 meses da assinatura do contrato (artigo 25, § 4º). Além disso, o desenvolvimento de programa de integridade é um dos critérios de desempate entre propostas (artigo 60, IV).
Por fim, há o motivo mais simples: um programa que funciona evita perdas, porque detecta o problema enquanto ele ainda é pequeno.
Os pilares do programa de compliance
O artigo 57 do decreto traz quinze parâmetros de avaliação, de modo que, para organizar o trabalho, vale agrupá-los em seis pilares.
| Pilar | O que inclui | Artigo 57 |
|---|---|---|
| Alta direção | Apoio visível e recursos adequados | Inciso I |
| Riscos | Análise e reavaliação periódica | Inciso V |
| Regras | Código de conduta e políticas, estendidos a terceiros | Incisos II e III |
| Treinamento | Treinamentos e comunicação periódicos | Inciso IV |
| Canal e consequências | Canal de denúncias, proteção e medidas disciplinares | Incisos X e XI |
| Monitoramento | Controles, remediação e monitoramento contínuo | Incisos VII, XII e XV |
Há ainda parâmetros específicos que costumam ficar esquecidos: a independência e a autoridade da área responsável (IX), a diligência baseada em risco na contratação de terceiros, de pessoas expostas politicamente e em patrocínios e doações (XIII) e a verificação de irregularidades em fusões e aquisições (XIV).
Avaliação de riscos: por onde começar
Todo programa de compliance começa pelo mapa de riscos, já que é ele que define onde gastar tempo e dinheiro, conforme este roteiro enxuto:
- Liste as interações com o setor público: licitações, contratos, licenças, fiscalizações e pagamento de tributos.
- Mapeie os terceiros que falam em nome da empresa, como despachantes, consultores e representantes comerciais.
- Ouça as áreas de compras, comercial, financeiro e regulatório sobre onde já houve pressão ou dúvida.
- Classifique cada risco pela probabilidade e pelo impacto, numa escala simples de três níveis.
- Defina controles e donos para os riscos altos primeiro.
- Marque a reavaliação, pelo menos anual, como pede o inciso V.
Sempre que possível, mantenha um mapa único com a gestão de riscos jurídicos, em vez de duas listas que não se falam.
Código de conduta, políticas e treinamentos
O código de conduta precisa valer para todos, do estagiário ao conselho, e alcançar terceiros quando necessário (incisos II e III). Em geral, ele trata de relacionamento com agentes públicos, brindes e hospitalidade, conflito de interesses, doações, registros contábeis e uso do canal de denúncias. Por isso, escreva em linguagem simples, com exemplos do dia a dia da empresa, e colete o aceite de cada pessoa.
Os treinamentos, por sua vez, precisam ser periódicos (inciso IV) e proporcionais ao risco. A equipe de compras e quem lida com fiscalizações, por exemplo, merece um conteúdo mais profundo do que o restante. Guarde a lista de presença e uma avaliação curta, porque são essas as evidências que mostram que o programa saiu do papel.
Nos contratos com fornecedores e parceiros, inclusive, inclua cláusulas anticorrupção e de auditoria, tema do post sobre compliance de contratos.
Diligência de terceiros
Boa parte dos casos de corrupção passa por um intermediário. Por isso, antes de contratar despachantes, consultores ou representantes que lidam com órgãos públicos, aplique uma diligência proporcional ao risco:
- questionário sobre sócios, vínculos com agentes públicos e histórico de sanções;
- consulta aos cadastros públicos de empresas punidas e inidôneas, o CNEP e o CEIS, previstos na Lei 12.846/2013 (artigos 22 e 23);
- cláusula anticorrupção, com direito de auditoria e de rescisão;
- revisão periódica dos terceiros de risco alto.
Canal de denúncias e medidas disciplinares
O decreto pede canais abertos e amplamente divulgados a funcionários e terceiros, com mecanismos de tratamento das denúncias e proteção aos denunciantes de boa-fé (inciso X). Da mesma forma, exige medidas disciplinares quando há violação (inciso XI) e a pronta interrupção da irregularidade, com remediação dos danos (inciso XII).
Em outras palavras, o canal é o termômetro do programa. Se ele não recebe nenhum relato em um ano, a causa costuma ser falta de confiança ou de divulgação, e não ausência de problemas.
Monitoramento: como provar que funciona
O monitoramento contínuo (inciso XV) transforma o programa em números, por meio de indicadores como estes:
- percentual de pessoas treinadas no período, por área;
- denúncias recebidas, apuradas e encerradas, com o tempo médio de apuração;
- diligências de terceiros concluídas antes da contratação;
- riscos altos com controle implantado;
- medidas disciplinares aplicadas.
Em seguida, leve esses números à alta direção ao menos duas vezes por ano. Assim, o apoio visível que o inciso I exige fica registrado em ata, e não apenas no discurso.
Como o LexFlow ajuda no programa de compliance
No Workspace do LexFlow, o programa pode ganhar um quadro próprio, com colunas por etapa e etiquetas por pilar. Cada ação vira tarefa com responsáveis, prazo, prioridade e checklist, e os modelos de tarefa, que já trazem o prazo em dias, padronizam rotinas como a reavaliação de riscos ou a diligência de um novo fornecedor.
Já nas Automações, uma regra de horário programado, por exemplo mensal, cria a tarefa recorrente a partir do modelo, de modo que a revisão não depende da memória de ninguém. Os treinamentos, por sua vez, entram na Agenda como eventos com participantes e ata, com os anexos de cada turma.
Por fim, no construtor de Relatórios, a fonte de tarefas do Workspace permite filtrar por etiqueta e responsável, agrupar com subtotais e exportar em XLSX. Desse modo, o relatório para a alta direção sai com as evidências de cada pilar.
Perguntas frequentes
Programa de compliance e programa de integridade são a mesma coisa?
Na prática, sim, porque a lei e o decreto usam “programa de integridade” para o conjunto de mecanismos que previne, detecta e remedia irregularidades; “compliance” é o termo mais usado nas empresas.
Empresa pequena precisa de um programa de compliance?
A lei não obriga toda empresa a ter um, mas o programa conta a favor na aplicação de sanções. Além disso, o decreto manda avaliar o programa conforme o porte, de modo que uma empresa menor pode adotar uma versão mais simples.
Quem deve conduzir o programa?
Uma área com independência, estrutura e autoridade para aplicá-lo e fiscalizá-lo, conforme o inciso IX do artigo 57. O jurídico costuma participar, mas o apoio da alta direção é indispensável.
Conclusão
Um programa de compliance vale pelo que consegue provar: riscos mapeados, regras conhecidas, pessoas treinadas, denúncias tratadas e melhorias registradas. Sem essas evidências, portanto, ele não protege a empresa na hora em que mais importa.
Comece pela avaliação de riscos, priorize os pontos de contato com o setor público e registre cada etapa. Com o tempo, o programa deixa de ser um documento e passa a ser rotina.
