Compliance empresarial: o programa de integridade que a autoridade aceita como real

Compliance virou palavra de circulação obrigatória no discurso empresarial e, em boa parte das empresas médias brasileiras, continua sendo apenas isso: uma palavra. O programa existe em um documento que ninguém leu, aprovado em uma reunião que ninguém lembra, e não muda nenhuma decisão do dia a dia.

O que a lei efetivamente cobra

A Lei 12.846/2013, conhecida como Lei Anticorrupção, responsabiliza objetivamente a pessoa jurídica por atos lesivos contra a administração pública, nacional ou estrangeira. Objetivamente significa sem discussão sobre culpa: basta o ato e o nexo com o interesse da empresa.

O que a lei oferece em contrapartida está no artigo 7º, inciso VIII: a existência de mecanismos e procedimentos internos de integridade, auditoria e incentivo à denúncia de irregularidades é considerada na aplicação das sanções. O Decreto 11.129/2022 detalha os parâmetros de avaliação do programa e é ele que define, na prática, o que a autoridade vai olhar.

Note o que está escrito e o que não está. A lei não obriga toda empresa a ter programa de integridade. Ela cria um incentivo econômico forte para quem tem, e um problema sério para quem apresenta um programa apenas formal, porque programa de fachada, uma vez examinado, agrava a percepção sobre a conduta da empresa em vez de atenuá-la.

Fora da esfera anticorrupção, exigências específicas se acumulam: a LGPD impõe governança de dados, a Lei 9.613/1998 obriga setores determinados a políticas de prevenção à lavagem, e contratos com grandes empresas e com o setor público passaram a exigir programa de integridade como condição de habilitação.

Os pilares que sustentam

Um programa que funciona tem sempre os mesmos elementos, e a ordem entre eles importa.

Comprometimento da alta direção. É o pilar que não se terceiriza. Programa que a diretoria trata como assunto do jurídico não sobrevive ao primeiro conflito entre a regra e a meta comercial, e todo mundo dentro da empresa percebe isso rápido.

Avaliação de riscos. Antes de escrever política, é preciso mapear onde a empresa está exposta: quais áreas lidam com agente público, quais contratos concentram valor, onde há intermediários, doações, brindes e patrocínios. Programa desenhado sem esse mapa gasta controle onde não há risco e deixa descoberto onde há.

Código de conduta e políticas específicas. O código é o documento geral. As políticas que realmente operam são as específicas: brindes e hospitalidade com valor-limite, conflito de interesses com dever de declarar, contratação de terceiros com due diligence proporcional ao risco, e doações e patrocínios com aprovação em instância definida.

Canal de denúncias. Precisa permitir anonimato, ser operado com independência e ter procedimento escrito de apuração. Canal que responde ao gestor imediato do denunciante não é canal de denúncias, é armadilha.

Treinamento e comunicação. Anual, com registro de participação, e com conteúdo diferente por área. Treinamento genérico para toda a empresa cumpre formalidade e não muda comportamento.

Monitoramento e correção. Auditoria periódica dos controles, medidas disciplinares aplicadas de forma consistente, inclusive contra quem dá resultado, e revisão do programa quando o negócio muda.

Empresa média também precisa

O Decreto 11.129/2022 é expresso ao mandar avaliar o programa considerando porte e especificidades da empresa. Micro e pequenas empresas têm parâmetros reduzidos. Isso significa que empresa de porte médio não precisa replicar a estrutura de uma multinacional, precisa ter controles proporcionais ao seu risco real e conseguir demonstrar que eles operam.

Na prática, para uma empresa média do Alto Tietê que vende para o setor público ou para grandes indústrias, um programa proporcional começa com quatro entregas: mapa de riscos escrito, código de conduta assinado por todos, política de terceiros com due diligence antes da contratação e canal de denúncias com apuração documentada. É pouco e já é muito mais do que a maioria tem.

Como se demonstra que o programa é real

A pergunta que a autoridade faz não é se o programa existe. É se ele funciona. E funcionamento se prova com documento datado: atas que registram a discussão de temas de integridade, registros de treinamento com lista de presença, relatórios do canal de denúncias com o desfecho de cada caso, due diligences realizadas antes de contratos, e ao menos uma medida disciplinar efetivamente aplicada.

Empresa que consegue apresentar essa trilha tem argumento. Empresa que apresenta apenas um manual bem diagramado, aprovado no mês anterior à instauração do processo, tem o oposto de um argumento.