Categoria: Compliance e Integridade Corporativa

Uma denúncia chega ao RH ou à diretoria: um funcionário pode estar desviando mercadoria, fraudando reembolsos ou manipulando contratos com fornecedores. A reação mais comum é agir rápido — suspender, afastar, demitir por justa causa. É exatamente nesse momento que muitas empresas transformam um problema de integridade em um passivo trabalhista. A investigação interna existe para evitar esse erro, mas só funciona quando segue uma estrutura mínima de procedimento.

Investigação interna é o conjunto de etapas pelas quais a empresa apura, de forma organizada e documentada, se uma irregularidade ocorreu e qual a extensão dela, antes de tomar qualquer medida disciplinar.

O que torna uma apuração de fraude vulnerável

A maior parte das reclamações trabalhistas sobre dispensa por justa causa não discute se a fraude existiu, mas sim como ela foi apurada. Os pontos mais questionados em juízo costumam ser:

• Dispensa decidida antes de qualquer oitiva do empregado, sem chance de manifestação sobre os fatos.
• Exposição da situação a outros colegas antes da conclusão da apuração, o que pode configurar dano moral.
• Uso de prova obtida de forma questionável, como gravação ambiental sem amparo legal ou acesso a mensagens pessoais fora do canal corporativo.
• Demora desproporcional entre o conhecimento do fato e a aplicação da penalidade — o que a jurisprudência trabalhista trata como perdão tácito.

Qualquer um desses pontos, isoladamente, pode anular a justa causa aplicada com base no art. 482 da CLT e converter a dispensa em rescisão sem justa causa, com todos os encargos decorrentes.

Como estruturar a investigação interna com segurança jurídica

Uma apuração de fraude consistente segue uma lógica simples: proporcionalidade, sigilo e documentação. Na prática, isso significa:

Definir quem conduz e com que limites

A apuração deve ficar a cargo de pessoas sem relação hierárquica direta com o investigado, com registro formal de abertura, escopo e prazo estimado. Isso evita que a investigação pareça retaliação pessoal.

Preservar o sigilo e a imagem do investigado

Enquanto não há conclusão, a empresa deve tratar o fato como hipótese, não como certeza. Informar colegas, publicar em grupos internos ou comentar a suspeita fora do círculo necessário expõe a empresa a pedido de reparação por dano moral, independentemente do resultado final da apuração.

O tratamento de dados colhidos durante a investigação — mensagens, e-mails corporativos, registros de acesso — também precisa observar a Lei Geral de Proteção de Dados (Lei 13.709/2018), com finalidade definida e acesso restrito a quem conduz a apuração.

Garantir a oitiva do investigado

Antes de qualquer penalidade, o empregado deve ser ouvido sobre os fatos apurados, com registro escrito da entrevista. Não se trata de um processo judicial dentro da empresa, mas de assegurar que a decisão final considerou a versão de todas as partes envolvidas.

Aplicar a penalidade proporcional e no tempo certo

Concluída a apuração, a medida disciplinar deve ser aplicada em prazo razoável e ser proporcional à gravidade do fato comprovado. Uma suspensão aplicada semanas depois do fato, por exemplo, enfraquece o nexo entre a conduta e a punição.

A investigação interna bem estruturada não é burocracia: é o que permite à empresa agir com firmeza diante de uma fraude sem transformar a reação em um passivo trabalhista futuro. Compliance, nesse sentido, não é apenas prevenir a fraude — é também saber apurá-la corretamente quando ela acontece.

---

Um sócio aprova a contratação de uma fornecedora que pertence ao cunhado. Um diretor de compras decide entre dois propostas e uma delas vem de empresa onde ele tem participação minoritária. Nenhuma dessas situações é ilegal por si só. O problema aparece quando ninguém documentou o impedimento e a decisão foi tomada como se o interesse pessoal não existisse. É exatamente esse tipo de lacuna que uma auditoria encontra — e que a empresa poderia ter identificado antes.

O conflito de interesses surge sempre que uma pessoa, ao tomar ou influenciar uma decisão na empresa, tem um interesse pessoal, familiar ou financeiro que pode comprometer sua imparcialidade. Não é preciso provar má-fé. Basta que o interesse paralelo exista e não tenha sido declarado.

O que caracteriza o conflito de interesses na prática empresarial

Nas sociedades por ações, o artigo 156 da Lei 6.404/1976 trata diretamente do tema: o administrador não pode intervir em operação social na qual tenha interesse conflitante com o da companhia, e deve comunicar seu impedimento aos demais órgãos de administração. Nas sociedades limitadas, o Código Civil, no artigo 1.010, parágrafo 3º, aplica lógica semelhante: o sócio não vota em matéria que o beneficie diretamente em detrimento dos demais.

Essas normas não proíbem que o sócio ou administrador tenha vida financeira própria, negócios de família ou participações em outras empresas. Elas exigem transparência no momento da decisão. O problema não é o interesse existir — é o interesse não declarado influenciando um voto ou uma assinatura.

Por que mapear antes da auditoria, e não depois

Quando a auditoria interna ou externa encontra um contrato assinado por quem tinha relação com a contraparte, a pergunta que se segue não é apenas jurídica. É reputacional: por que isso não foi identificado antes? A ausência de mapeamento prévio transforma uma situação administrável em um apontamento de não conformidade, com impacto em certificações, due diligence de investidores e processos de fusão ou aquisição.

Mapear antes significa ter, de forma documentada, quem são os sócios, administradores e gestores-chave, quais empresas e pessoas físicas compõem seu círculo de interesse, e em quais decisões recorrentes esse círculo pode cruzar com operações da empresa — contratação de fornecedores, aprovação de despesas, decisões de investimento, processos seletivos.

Como funciona esse mapeamento na prática

• Levantamento das relações societárias e familiares de administradores e gestores com fornecedores, clientes e concorrentes.
• Identificação dos pontos de decisão onde esse cruzamento pode ocorrer — comitês de compras, aprovação de contratos, processos de contratação.
• Registro formal de impedimentos declarados, com histórico de quem se absteve e por quê.

A política de conflito de interesses como instrumento de governança

Esse mapeamento só tem efeito permanente quando vira regra escrita. Uma política de conflito de interesses define o que deve ser declarado, a quem se declara, e qual o procedimento quando um conflito é identificado — normalmente o afastamento da pessoa da decisão específica, não da empresa.

A política entra como peça de governança porque não depende da boa vontade de quem decide: ela cria um procedimento padrão, aplicável antes da dúvida aparecer. Empresas que já passaram por rodadas de investimento ou processos de M&A costumam perceber isso tarde — quando o investidor pergunta pela política e a resposta é que ela nunca foi formalizada.

Formalizar essa política, mapear os pontos de risco e manter o registro de declarações de impedimento são passos que antecedem qualquer auditoria. É trabalho de organização societária, não de reação a um problema já instalado.

---

Uma empresa é notificada de um processo administrativo por suposto ato lesivo à administração pública. O departamento jurídico lembra que a companhia tem um código de ética, um canal de denúncias e um manual de conduta arquivado na intranet. A expectativa é que isso reduza a pena. Mas a existência formal de documentos não é o que a lei considera.

O programa de integridade só gera atenuação de pena quando comprovadamente funciona — e essa comprovação segue critérios específicos, não uma lista de boas intenções.

O que diz o Decreto 11.129

O Decreto 11.129 regulamenta a Lei 12.846/2013 (Lei Anticorrupção) e detalha, em seu artigo 57, os parâmetros que a autoridade julgadora usa para avaliar a efetividade de um programa de integridade. Entre eles estão o comprometimento da alta direção, a existência de padrões de conduta aplicáveis a todos os níveis da empresa, a realização de treinamentos periódicos, a análise de riscos específicos do negócio e mecanismos de apuração interna de desvios.

A norma não exige um modelo único. Ela exige que o programa seja compatível com o porte e o setor da empresa, e que seus mecanismos sejam efetivamente aplicados — não apenas redigidos.

Por que documentos arquivados não bastam

A autoridade que avalia o programa durante um processo administrativo verifica se ele estava em funcionamento antes do fato investigado, não se foi criado depois. Um código de conduta nunca divulgado aos funcionários, um canal de denúncias sem histórico de uso, ou uma política de terceiros nunca aplicada em contratos reais tendem a ser interpretados como estrutura formal sem efetividade prática.

Isso significa que a atenuação de pena depende de três elementos verificáveis:

• Anterioridade: o programa já existia e operava antes do fato apurado.
• Aplicação concreta: há registros de treinamentos realizados, denúncias recebidas e tratadas, auditorias internas executadas.
• Adequação ao risco: o programa trata especificamente os riscos do setor em que a empresa atua, não um modelo genérico copiado de outra companhia.

O papel da análise de risco específica

Um erro comum é adotar um programa de integridade padronizado, sem relação com a atividade real da empresa. Uma construtora que contrata com o poder público tem riscos distintos de uma indústria que vende apenas no mercado privado. O Decreto 11.129 valoriza programas que nascem de um mapeamento interno dos pontos de exposição da empresa — contratos com entes públicos, uso de intermediários, processos de importação, relacionamento com agentes públicos.

Esse mapeamento orienta onde concentrar controles: aprovação de pagamentos a terceiros, due diligence de fornecedores, supervisão de despesas de representação. Sem esse recorte, o programa tende a ser amplo na forma e superficial na prática.

Organização preventiva, não resposta a crise

A diferença entre um programa que atenua pena e um que não produz efeito algum geralmente não está no texto da política, mas no histórico de aplicação. Isso exige rotina: atualização periódica de riscos, registro de treinamentos, auditoria de canais de denúncia, e revisão de cláusulas contratuais com fornecedores e parceiros.

Estruturar esse conjunto antes que um fato seja investigado é o que torna o programa de integridade uma ferramenta de gestão de risco — e não apenas um documento a ser exibido quando já é tarde para demonstrar que funcionava.

---

Um funcionário percebe uma irregularidade: superfaturamento em uma compra, conflito de interesse em uma contratação, pressão para fechar os olhos a uma prática contábil duvidosa. Ele sabe que a empresa tem um canal de denúncia. Mas hesita. E se descobrirem quem denunciou? E se a apuração não levar a nada? Essa hesitação é o ponto exato em que um canal de denúncia bem desenhado se diferencia de um canal que existe apenas para constar em manual.

O canal de denúncia é peça central de qualquer programa de integridade, mas sua eficácia não depende de existir — depende de três condições funcionarem juntas: anonimato, apuração e não retaliação. Faltando uma delas, as outras duas perdem sentido.

Anonimato não é apenas confidencialidade

Confidencialidade significa que a empresa sabe quem denunciou, mas se compromete a não revelar. Anonimato significa que nem a empresa sabe. São níveis de proteção diferentes, e o whistleblower precisa entender qual deles o canal oferece antes de decidir falar.

Um canal que promete anonimato, mas usa ferramentas que registram IP, e-mail corporativo ou metadados identificáveis, está quebrando a promessa na prática — ainda que não na intenção. O Decreto 11.129/2022, que regulamenta a Lei Anticorrupção (Lei 12.846/2013), lista o canal de denúncias com garantia de anonimato entre os parâmetros avaliados em um programa de integridade. Isso significa que a forma técnica do canal — plataforma, hospedagem, fluxo de dados — importa tanto quanto a política escrita sobre ele.

O que observar na prática

• A plataforma permite denúncia sem login, e-mail ou identificação de dispositivo.
• O acesso aos relatos é restrito a poucas pessoas, com trilha de auditoria sobre quem consultou o quê.
• Os dados pessoais eventualmente coletados — do denunciante e do denunciado — seguem os princípios de finalidade e necessidade da Lei Geral de Proteção de Dados (Lei 13.709/2018).

Apuração estruturada evita que a denúncia vire ruído

Um canal sem procedimento de apuração claro produz dois efeitos ruins: denúncias se acumulam sem resposta, e a empresa não consegue demonstrar, perante órgãos de controle, que seu programa de integridade funciona de fato — e não apenas no papel.

A apuração estruturada pressupõe prazo definido para triagem inicial, critério objetivo para decidir o que vira investigação formal, registro documental de cada etapa e comunicação de retorno ao denunciante, mesmo quando o anonimato impede o contato direto — o que se resolve com protocolos de acompanhamento dentro da própria plataforma.

Não retaliação é o que sustenta a confiança no canal

De nada adianta anonimato e apuração se a cultura da empresa pune, ainda que informalmente, quem denuncia. A retaliação raramente aparece como demissão direta por denunciar — aparece como isolamento, perda de projetos relevantes, avaliação de desempenho repentinamente ruim.

Uma política de não retaliação eficaz nomeia expressamente as condutas vedadas, prevê canal específico para o próprio denunciante relatar represália sofrida, e responsabiliza gestores que praticarem retaliação, independentemente do resultado da apuração original. O compromisso de não retaliação precisa estar na política de compliance de forma explícita, não como dedução implícita de um código de conduta genérico.

Quando esses três elementos operam juntos, o canal de denúncia deixa de ser um formulário esquecido na intranet e passa a funcionar como instrumento real de prevenção e correção de irregularidades.

---

Uma empresa fecha contrato com um novo fornecedor de insumos. Meses depois, descobre que esse fornecedor responde a execuções fiscais, acumula reclamações trabalhistas e tem um dos sócios citado em processo por fraude em licitação. O contrato já está em execução, os pagamentos já começaram, e a empresa contratante agora discute, em juízo ou fora dele, até que ponto ela também responde por essa relação. Esse cenário é o que a due diligence de fornecedor busca evitar.

Due diligence, nesse contexto, significa verificar antes de contratar. Não é burocracia para atrasar uma negociação: é a etapa que confirma se o terceiro com quem a empresa vai se relacionar tem regularidade jurídica, fiscal e operacional compatível com o risco que a contratação representa.

Por que a due diligence de terceiros importa no compliance

Grande parte dos problemas de compliance de uma empresa não nasce dentro dela, mas na cadeia de fornecedores. A Lei 12.846/2013, conhecida como Lei Anticorrupção, responsabiliza pessoas jurídicas por atos lesivos praticados em seu benefício, inclusive quando terceiros contratados estão envolvidos. Além disso, em determinadas situações, a Justiça do Trabalho reconhece responsabilidade subsidiária da empresa contratante por débitos trabalhistas do fornecedor que presta serviços em seu benefício.

Isso significa que contratar um fornecedor sem qualquer verificação prévia transfere, na prática, parte do risco jurídico dele para quem contrata. A due diligence de fornecedor é o mecanismo que reduz essa exposição, documentando que a empresa agiu com diligência razoável antes de formalizar a relação.

O que verificar antes de assinar

Uma due diligence de fornecedor consistente não precisa ser complexa, mas precisa ser sistemática. Os pontos centrais costumam incluir:

• Regularidade fiscal e trabalhista: certidões negativas federais, estaduais e municipais, além de histórico de ações trabalhistas.
• Situação societária: composição do quadro de sócios, eventuais grupos econômicos ocultos e histórico de alterações contratuais recentes.
• Capacidade operacional real: estrutura compatível com o volume contratado, evitando empresas de fachada ou subcontratação não informada.
• Listas restritivas: verificação em cadastros de empresas inidôneas, listas de sanções e eventuais condenações por corrupção ou fraude.
• Histórico de litígios relevantes: processos cíveis, criminais ou administrativos que indiquem padrão de descumprimento contratual.

Formalização e contrato

A verificação só tem valor jurídico se for documentada. Isso envolve guardar as certidões obtidas, registrar a data da consulta e, idealmente, incluir no contrato cláusulas específicas sobre compliance: declaração do fornecedor quanto à sua regularidade, obrigação de manter essa regularidade durante a vigência contratual e possibilidade de rescisão em caso de descumprimento. Essas cláusulas não eliminam o risco, mas fortalecem a posição da empresa contratante caso o terceiro venha a descumprir a lei.

Due diligence como política, não como exceção

O ponto de virada acontece quando a due diligence deixa de ser uma verificação pontual, feita apenas em contratações de maior valor, e passa a ser uma política aplicada de forma uniforme a toda a cadeia de fornecedores, proporcional ao risco de cada relação. Fornecedores recorrentes podem ter verificação simplificada e periódica; fornecedores novos, de maior porte financeiro ou que atuam em nome da empresa perante terceiros, exigem análise mais completa antes da assinatura.

Esse desenho de política, com critérios claros e aplicação consistente, é o que diferencia uma due diligence formal de uma simples lista de documentos pedidos informalmente. É também esse desenho que compõe, de forma mais ampla, o programa de integridade da empresa — estrutura cada vez mais relevante na análise de risco de qualquer negócio que dependa de terceiros para operar.

---

A empresa contratou uma consultoria, redigiu um código de conduta bem escrito, distribuiu por e-mail e arquivou uma cópia assinada na pasta de cada funcionário. Passados alguns meses, ninguém mais lembra do conteúdo. O documento existe, mas não orienta decisão nenhuma. Esse é o cenário mais comum em empresas que tratam o código de conduta como formalidade, não como norma de funcionamento.

O problema não é a existência do documento. É a ausência dos elementos que fazem dele algo vivo dentro da rotina da empresa.

Por que o código de conduta vira letra morta

Três causas se repetem. A primeira é a linguagem: textos redigidos em tom jurídico, cheios de definições abstratas, não comunicam nada a quem trabalha na operação. A segunda é a desconexão com a prática: o código fala de princípios gerais, mas não indica o que fazer diante de uma situação concreta, como receber um presente de fornecedor ou lidar com conflito de interesse em uma contratação. A terceira é a ausência de consequência: quando o descumprimento não gera nenhum efeito perceptível, o documento perde autoridade.

Um código de ética que não dialoga com a realidade da empresa tende a ser lido uma única vez, no momento da admissão, e nunca mais consultado.

Os elementos que tornam o documento eficaz

Um código de conduta eficaz combina alguns elementos que raramente aparecem juntos nos modelos genéricos usados por muitas empresas.

Situações concretas, não apenas princípios

Em vez de declarar que a empresa “preza pela ética e transparência”, o documento eficaz descreve cenários reais: o que fazer ao identificar um conflito de interesse, como proceder diante de uma oferta de vantagem indevida, a quem reportar uma suspeita de irregularidade. Exemplos concretos tornam a norma aplicável.

Linguagem acessível a todos os níveis

O código de conduta precisa ser compreendido por quem está na produção, no atendimento e na diretoria. Isso significa evitar jargão jurídico e usar frases curtas, com exemplos do cotidiano da própria empresa.

Canal de reporte e consequência definida

Um código sem canal de denúncia funcional e sem consequência disciplinar clara não tem força normativa. A Lei 12.846/2013, ao tratar de programas de integridade, reforça que a existência formal de normas internas só tem valor quando acompanhada de mecanismos efetivos de aplicação e apuração.

Revisão periódica

Empresas mudam de porte, mercado e estrutura societária. Um código de conduta escrito há cinco anos, sem revisão, tende a ficar desatualizado em relação aos riscos reais que a empresa enfrenta hoje.

Código de conduta e política corporativa não são a mesma coisa

É comum confundir os dois documentos. O código de conduta trata de princípios de comportamento esperado — o que é aceitável e o que não é. A política corporativa detalha procedimentos específicos: como aprovar uma despesa, como conduzir uma contratação, como lidar com dados de clientes. Uma empresa estruturada tem o código como referência de valores e políticas específicas como desdobramento prático desses valores em cada área.

Quando esses dois níveis normativos existem de forma coerente entre si, o código de conduta deixa de ser um documento arquivado e passa a orientar decisões reais, do chão de fábrica à diretoria.

Organizar essa estrutura normativa faz parte do planejamento de compliance de qualquer empresa que queira reduzir exposição a risco reputacional e legal, independentemente do porte.

---

Um funcionário do setor comercial, sem informar a diretoria, oferece uma vantagem a um agente público para acelerar a emissão de uma licença. A empresa não autorizou, não sabia e, quando descobre, já é tarde: o ato foi praticado em seu nome e em seu benefício. É nesse ponto que muitos empresários se surpreendem com a Lei Anticorrupção, a Lei 12.846/2013.

A norma criou um regime de responsabilidade objetiva para a pessoa jurídica nos âmbitos administrativo e civil. Isso significa que não é preciso provar que a direção da empresa quis o resultado ilícito, nem que agiu com negligência. Basta que o ato lesivo tenha sido praticado em interesse ou benefício da organização, ainda que por um empregado, dirigente ou terceiro contratado agindo por conta própria.

O que muda quando a responsabilidade é objetiva

No direito penal, a regra geral exige a comprovação de dolo ou culpa para responsabilizar alguém. A Lei 12.846/2013 inverte essa lógica no campo administrativo e civil: o foco desloca-se do estado de espírito de quem praticou o ato para o resultado e para quem dele se beneficiou.

Na prática, isso reduz o espaço de defesa baseado em “não sabíamos” ou “foi uma atitude isolada de um funcionário”. A pessoa jurídica pode responder mesmo quando a alta administração desconhecia o fato, desde que o ato lesivo tenha ocorrido em seu interesse, exclusivo ou não.

Como a Lei 12.846 responsabiliza a pessoa jurídica

O artigo 2º da lei estabelece o núcleo dessa responsabilização: os atos lesivos à administração pública, nacional ou estrangeira, praticados em benefício da empresa geram consequências para ela, independentemente da esfera de apuração. Entre os atos considerados lesivos estão, por exemplo, prometer, oferecer ou dar vantagem indevida a agente público, e fraudar licitações ou contratos administrativos.

A situação dos dirigentes é diferente

É importante separar duas camadas de responsabilidade. A pessoa jurídica responde objetivamente. Já os dirigentes e administradores que tenham participado do ato ilícito respondem na medida da sua culpabilidade, conforme prevê a própria lei ao tratar da responsabilização de pessoas naturais envolvidas. São lógicas distintas, aplicadas em conjunto quando o caso envolve pessoas físicas identificadas.

O papel do programa de integridade

A mesma lei que impõe a responsabilidade objetiva também prevê um caminho de mitigação: a existência de mecanismos internos de integridade, auditoria e incentivo à denúncia de irregularidades é considerada na aplicação das sanções. Não se trata de afastar a responsabilidade, mas de demonstrar que a empresa adotou medidas razoáveis de prevenção e controle.

Um programa de compliance estruturado cumpre três funções nesse contexto: reduz a probabilidade de o ato lesivo ocorrer, permite identificá-lo mais cedo e serve como elemento a ser avaliado no momento de dosar eventual penalidade. Nenhuma dessas funções depende de a empresa ser grande ou ter operação internacional — vale para negócios de qualquer porte que se relacionem, direta ou indiretamente, com a administração pública.

Por que isso importa na rotina da empresa

Contratos com o poder público, participação em licitações, relacionamento com despachantes e intermediários, e até a atuação de representantes comerciais em outros estados ou países são pontos de atenção. A responsabilidade objetiva significa que o risco não está apenas na conduta da diretoria, mas em qualquer ato praticado em nome da empresa por quem a representa no dia a dia.

Mapear esses pontos de contato com agentes públicos, formalizar políticas internas e criar canais de reporte são passos concretos para reduzir a exposição. A discussão não é hipotética: é sobre como a estrutura de decisão da empresa consegue enxergar, antes que aconteça, o que um único funcionário pode fazer em seu nome.

---

Muitas empresas já têm um analista de compliance, um código de conduta publicado no site institucional e um treinamento anual obrigatório para os funcionários. Mesmo assim, a decisão que realmente importa — aquela que compromete caixa, reputação ou um contrato relevante — continua sendo tomada como sempre foi: por uma única pessoa, sem critério registrado, sem alguém com poder de perguntar ‘por quê’ antes que o compromisso se torne definitivo. Isso acontece porque compliance foi tratado como departamento, quando deveria ser tratado como desenho do processo decisório.

Compliance empresarial não é um setor isolado

Quando compliance empresarial vira apenas um nome no organograma, ele tende a funcionar como um carimbo posterior: a decisão já foi tomada, e o setor de compliance é chamado para validar um documento ou assinar um parecer. Nesse modelo, o compliance não influencia a decisão — apenas registra que ela aconteceu.

O desenho correto é diferente. Compliance empresarial bem estruturado entra antes da decisão, não depois dela. Isso significa definir, por exemplo: quem pode aprovar um contrato acima de determinado valor, quais decisões exigem parecer jurídico prévio, quais escolhas precisam de registro em ata ou justificativa escrita, e quem tem autonomia para questionar uma decisão antes que ela seja executada. Esse desenho não depende de um departamento grande — depende de regras claras sobre como a empresa decide.

Como o programa de integridade se conecta à governança

Um programa de integridade não é apenas um documento com regras de conduta. Ele é eficaz quando reflete a forma real como a empresa opera: quem tem poder de decisão, até onde vai essa autonomia, e como as decisões relevantes são documentadas. A Lei nº 12.846/2013 trata desse tipo de estrutura ao considerar, para fins de responsabilização de pessoas jurídicas, a existência de mecanismos internos de controle, auditoria e incentivo à denúncia de irregularidades. A norma não avalia se existe um manual bonito — avalia se existe um processo funcionando.

É aqui que compliance se conecta com governança. Governança trata da distribuição de poder dentro da empresa: quem decide o quê, com que limite, e perante quem essa decisão presta contas. Um programa de integridade sem essa base de governança vira letra morta, porque não altera o comportamento de quem efetivamente decide.

Sinais de que o desenho ainda não existe

• Decisões relevantes são tomadas verbalmente, sem registro formal.
• Não há critério claro sobre quando um sócio ou diretor precisa consultar outra pessoa antes de decidir.
• O código de conduta existe, mas ninguém consegue explicar como ele se aplica a uma decisão concreta do dia a dia.
• Compliance é acionado depois que o contrato já foi assinado ou o pagamento já foi feito.

Quando esses sinais aparecem, o problema não é falta de política escrita. É falta de desenho: a empresa ainda decide como sempre decidiu, e o programa de integridade existe em paralelo, sem tocar o processo real.

Organizar esse desenho envolve mapear os pontos de decisão que mais expõem a empresa — contratações relevantes, relações com o poder público, pagamentos atípicos, conflitos de interesse entre sócios — e definir, para cada um deles, quem decide, com que limite e com que registro. Esse trabalho é jurídico e organizacional ao mesmo tempo: exige entender a estrutura societária da empresa e traduzir essa estrutura em regras de decisão aplicáveis no dia a dia.

---