Sistema de compliance: o que é, como funciona e como implementar

Um sistema de compliance é um conjunto estruturado de políticas, procedimentos, controles e práticas adotados por uma organização para promover o cumprimento de leis, regulamentos, normas internas e padrões éticos. Na prática, ele ajuda a empresa a identificar riscos, prevenir irregularidades, estabelecer responsabilidades e criar mecanismos para detectar e responder a possíveis desvios.

Embora muitas pessoas associem compliance exclusivamente ao combate à corrupção, seu alcance pode ser muito maior. Dependendo da empresa, um sistema de compliance pode envolver questões tributárias, trabalhistas, ambientais, concorrenciais, financeiras, contábeis, regulatórias, de proteção de dados, segurança da informação e relacionamento com fornecedores.

Por isso, organizações de diferentes portes podem adotar mecanismos de compliance. O formato, entretanto, precisa considerar o tamanho da empresa, suas atividades, os riscos envolvidos e as exigências legais aplicáveis.

O que é sistema de compliance?

O sistema de compliance pode ser entendido como a estrutura utilizada por uma organização para garantir que suas atividades sejam conduzidas de acordo com regras externas e internas.

A palavra compliance vem do verbo inglês to comply, relacionado à ideia de cumprir, obedecer ou agir em conformidade.

No ambiente empresarial, porém, compliance vai além de simplesmente conhecer a legislação. A empresa precisa transformar as obrigações aplicáveis em procedimentos concretos.

Imagine uma organização que estabelece uma política proibindo pagamentos indevidos a agentes públicos. Apenas possuir o documento não garante que a regra seja cumprida.

Um sistema efetivo pode incluir treinamento dos funcionários, análise de terceiros, aprovação de pagamentos, controles financeiros, canal de denúncias, investigação de irregularidades e aplicação de medidas disciplinares.

Portanto, compliance precisa fazer parte dos processos da organização.

Para que serve um sistema de compliance?

A principal finalidade de um sistema de compliance empresarial é reduzir riscos de descumprimento de normas e fortalecer uma cultura de integridade.

Uma organização está exposta diariamente a diferentes tipos de riscos. Um funcionário pode descumprir um procedimento interno, um fornecedor pode adotar práticas inadequadas ou determinada operação pode contrariar uma exigência regulatória.

O sistema de compliance cria mecanismos para identificar essas situações antes que provoquem consequências mais graves.

Além disso, permite estabelecer procedimentos para detectar e responder a irregularidades quando elas acontecem.

Consequentemente, o compliance pode contribuir para reduzir riscos jurídicos, financeiros, regulatórios e reputacionais.

Como funciona um sistema de compliance?

Um sistema de compliance funciona por meio da integração de diferentes controles e procedimentos.

O primeiro passo geralmente envolve compreender quais normas se aplicam à organização e quais riscos estão relacionados às suas atividades.

A partir desse diagnóstico, a empresa desenvolve políticas e controles proporcionais aos riscos encontrados.

Por exemplo, uma organização que mantém muitos contratos com terceiros pode estabelecer procedimentos específicos para verificar fornecedores antes da contratação.

Já uma empresa sujeita a regras regulatórias específicas precisa incorporar essas obrigações aos seus processos internos.

O sistema também precisa acompanhar as operações depois que as políticas entram em vigor.

Dessa forma, compliance funciona como um processo contínuo, e não simplesmente como um projeto realizado uma única vez.

Quais são os principais elementos de um sistema de compliance?

Não existe uma estrutura única que funcione para todas as organizações. Entretanto, determinados elementos aparecem frequentemente em programas de integridade e compliance.

Entre eles estão comprometimento da liderança, avaliação de riscos, políticas internas, código de conduta, treinamentos, controles internos, procedimentos para terceiros, canais de comunicação e denúncia, investigações internas e monitoramento.

Esses componentes precisam funcionar de maneira integrada.

Uma empresa pode possuir um excelente código de ética, por exemplo, mas o documento terá pouco efeito se os funcionários não conhecerem suas regras ou se a própria liderança não as respeitar.

Comprometimento da alta administração

O apoio da liderança representa uma parte importante de qualquer sistema de compliance.

Administradores e gestores influenciam diretamente a cultura organizacional. Quando as regras são exigidas apenas dos funcionários de níveis inferiores, o sistema perde credibilidade.

Por isso, a liderança precisa demonstrar compromisso com a integridade por meio de decisões e comportamentos concretos.

Esse princípio costuma ser chamado de tone at the top, expressão utilizada para representar a postura ética transmitida pela alta administração.

Avaliação de riscos no sistema de compliance

A avaliação de riscos ajuda a organização a direcionar seus recursos para os pontos que exigem maior atenção.

Os riscos variam consideravelmente entre empresas.

Uma indústria pode apresentar riscos ambientais e de segurança específicos. Uma instituição financeira enfrenta fortes exigências regulatórias. Uma empresa que participa de licitações pode precisar dedicar atenção especial às interações com o poder público.

Portanto, copiar integralmente o programa de compliance de outra organização pode não produzir bons resultados.

O ideal é identificar os riscos relacionados à realidade da própria empresa.

Depois disso, a organização pode classificá-los considerando fatores como probabilidade de ocorrência e potencial impacto.

Essa análise orienta a criação dos controles.

Políticas e procedimentos de compliance

Depois de identificar os principais riscos, a organização precisa estabelecer regras claras para orientar as atividades.

Essas regras podem aparecer em documentos como código de ética e conduta, política anticorrupção, política de conflitos de interesses, política de brindes e hospitalidades, procedimentos de contratação de terceiros e normas internas de aprovação.

Entretanto, criar documentos excessivamente complexos pode prejudicar a aplicação prática.

Uma política eficiente precisa ser compreensível para as pessoas que deverão utilizá-la.

Além disso, a empresa deve atualizar seus procedimentos quando houver mudanças relevantes nas atividades, nos riscos ou na legislação.

Código de ética e sistema de compliance

O código de ética ou código de conduta costuma ser um dos documentos centrais de um sistema de compliance empresarial.

Ele estabelece princípios e comportamentos esperados dos profissionais vinculados à organização.

O conteúdo pode abordar temas como conflitos de interesses, relacionamento com clientes e fornecedores, prevenção da corrupção, proteção de informações, respeito no ambiente de trabalho e utilização dos recursos da empresa.

No entanto, publicar um código não é suficiente.

Os profissionais precisam conhecer seu conteúdo e compreender como aplicar as regras em situações reais.

É nesse ponto que treinamentos e comunicação interna ganham importância.

Treinamento de compliance

Os treinamentos ajudam a transformar regras escritas em comportamentos práticos.

Em vez de apenas apresentar conceitos abstratos, a organização pode utilizar situações semelhantes às enfrentadas pelos profissionais durante suas atividades.

Um funcionário da área comercial, por exemplo, pode precisar entender as regras relacionadas a brindes, presentes, viagens e relacionamento com clientes.

Já profissionais responsáveis por contratações podem precisar de treinamento sobre avaliação de fornecedores e conflitos de interesses.

Portanto, o treinamento pode variar de acordo com a função e o nível de exposição ao risco.

Além disso, treinamentos periódicos ajudam a reforçar a cultura de compliance.

Canal de denúncias no sistema de compliance

O canal de denúncias oferece um meio para comunicar suspeitas de irregularidades ou violações das regras internas.

Dependendo da estrutura adotada, funcionários, fornecedores, clientes ou outras pessoas relacionadas à organização podem utilizar esse mecanismo.

Para funcionar adequadamente, o canal precisa oferecer segurança e confiança aos usuários.

Além disso, a empresa deve estabelecer procedimentos para receber, analisar e tratar as informações.

Outro ponto importante é a proteção contra retaliações indevidas.

Se as pessoas acreditarem que sofrerão consequências simplesmente por relatar uma preocupação de boa-fé, poderão deixar de utilizar o canal.

Consequentemente, irregularidades importantes podem permanecer desconhecidas pela organização.

Investigações internas de compliance

Quando uma denúncia ou outro mecanismo identifica uma possível irregularidade, a empresa pode precisar realizar uma investigação interna.

O objetivo é compreender o que aconteceu e reunir informações para determinar as medidas adequadas.

A investigação deve seguir critérios previamente estabelecidos, respeitando a legislação e os direitos das pessoas envolvidas.

Dependendo da complexidade do caso, a empresa também poderá precisar de profissionais especializados.

Após a apuração, as conclusões podem levar à revisão de controles, adoção de medidas disciplinares ou outras providências cabíveis.

Além disso, uma irregularidade pode revelar uma falha estrutural.

Nesse caso, simplesmente responsabilizar uma pessoa não resolve o problema. A empresa também precisa analisar por que seus controles permitiram que a situação acontecesse.

Due diligence no sistema de compliance

A expressão due diligence aparece frequentemente quando se fala em compliance.

Nesse contexto, ela pode representar procedimentos de verificação realizados antes ou durante o relacionamento com terceiros.

Fornecedores, distribuidores, representantes comerciais, parceiros e prestadores de serviços podem gerar riscos para uma organização.

Por isso, determinados terceiros podem passar por verificações proporcionais ao nível de risco antes da contratação.

A análise pode considerar aspectos cadastrais, reputacionais, societários e outros fatores pertinentes ao relacionamento.

Quanto maior o risco identificado, mais aprofundado poderá ser o procedimento de avaliação.

Compliance e controles internos

Compliance e controles internos possuem forte relação, embora não sejam exatamente a mesma coisa.

Os controles internos são procedimentos utilizados para reduzir riscos e aumentar a confiabilidade das operações.

Um processo que exige duas aprovações para determinado pagamento, por exemplo, constitui um controle.

O sistema de compliance pode utilizar controles internos para prevenir determinadas condutas.

Imagine que a política da empresa estabeleça limites para presentes oferecidos a clientes. O sistema financeiro pode exigir aprovação adicional quando uma despesa dessa categoria ultrapassar determinado valor.

Nesse caso, a regra de compliance foi incorporada ao processo operacional por meio de um controle.

Sistema de compliance e gestão de riscos

Compliance e gestão de riscos também se complementam.

A gestão de riscos possui uma abrangência ampla e pode considerar riscos estratégicos, financeiros, operacionais, tecnológicos, regulatórios e diversos outros.

Já o compliance concentra atenção especialmente nos riscos relacionados ao descumprimento de leis, regulamentos, políticas e padrões de conduta.

Na prática, as áreas podem compartilhar metodologias, informações e controles.

Essa integração ajuda a evitar trabalhos duplicados e melhora a visão da organização sobre suas vulnerabilidades.

Sistema de compliance e Lei Anticorrupção

No Brasil, a discussão sobre programas de integridade ganhou ainda mais relevância com a legislação anticorrupção.

A Lei nº 12.846/2013 trata da responsabilização administrativa e civil de pessoas jurídicas pela prática de atos contra a administração pública, nacional ou estrangeira.

Posteriormente, sua regulamentação federal passou a ser disciplinada pelo Decreto nº 11.129/2022.

O decreto aborda o programa de integridade e estabelece parâmetros considerados em sua avaliação.

Entre os aspectos previstos estão comprometimento da alta direção, padrões de conduta, treinamentos, gestão de riscos, registros contábeis, controles internos, procedimentos relacionados a terceiros, canais de denúncia e monitoramento.

Por isso, empresas que estão estruturando um sistema de compliance anticorrupção precisam conhecer as normas aplicáveis à sua realidade.

Compliance e LGPD

A proteção de dados pessoais também pode integrar a estrutura de compliance de uma organização.

A Lei Geral de Proteção de Dados Pessoais (LGPD) estabelece regras para o tratamento de dados pessoais no Brasil.

Consequentemente, empresas que coletam e utilizam dados precisam avaliar suas obrigações relacionadas ao tratamento dessas informações.

Nesse contexto, compliance pode trabalhar de maneira integrada com áreas como jurídico, segurança da informação, tecnologia e governança de dados.

Políticas de privacidade, controles de acesso, gestão de incidentes e procedimentos relacionados aos direitos dos titulares podem fazer parte dessa estrutura.

No entanto, a adequação à LGPD exige uma análise específica das operações de tratamento realizadas pela organização.

Compliance tributário

O compliance tributário concentra-se no cumprimento das obrigações relacionadas à legislação tributária.

Empresas precisam lidar com tributos, documentos fiscais, registros contábeis, declarações e diversas obrigações acessórias.

Erros nessas atividades podem gerar consequências financeiras e fiscais.

Por isso, controles tributários podem fazer parte de uma estrutura mais ampla de compliance.

A empresa pode estabelecer revisões, conciliações, validações e responsabilidades para reduzir o risco de informações incorretas.

Além disso, mudanças frequentes nas regras tributárias exigem acompanhamento constante.

Compliance trabalhista

O compliance trabalhista busca fortalecer a conformidade das relações de trabalho com as normas aplicáveis e as políticas internas da organização.

Essa área pode envolver processos de contratação, jornada de trabalho, remuneração, saúde e segurança, prevenção de assédio, medidas disciplinares e desligamentos.

O objetivo não é apenas produzir documentos.

A empresa precisa verificar se as práticas efetivamente realizadas correspondem às regras estabelecidas.

Nesse sentido, auditorias e monitoramentos podem identificar diferenças entre procedimentos formais e a realidade das operações.

Sistema de compliance para pequenas empresas

Uma pequena empresa não precisa necessariamente reproduzir a estrutura de compliance de uma grande multinacional.

O princípio da proporcionalidade é importante.

Um sistema de compliance para pequenas empresas pode começar pela identificação dos principais riscos, definição de responsabilidades, criação de políticas essenciais e implementação de controles compatíveis com a operação.

Conforme a organização cresce, a estrutura pode amadurecer.

O mais importante é evitar um programa que exista apenas formalmente.

Poucos controles bem definidos e realmente aplicados podem ser mais úteis do que dezenas de políticas que ninguém utiliza.

Como implementar um sistema de compliance?

A implementação começa pela compreensão da organização.

Antes de criar políticas, a empresa deve conhecer seus processos, atividades, relacionamentos e riscos.

Em seguida, pode estabelecer prioridades.

Uma implementação normalmente envolve avaliação de riscos, definição da estrutura de governança, elaboração de políticas, implementação de controles, treinamento, criação de mecanismos de comunicação e estabelecimento de processos de monitoramento.

Entretanto, não existe uma sequência rígida adequada para todas as empresas.

O sistema deve ser adaptado à realidade da organização.

1. Conheça os riscos da empresa

O primeiro passo é identificar onde estão os principais riscos de não conformidade.

Analise atividades, setores, operações, fornecedores, clientes, agentes intermediários e relacionamento com órgãos públicos.

Essa etapa ajuda a determinar onde os controles precisam ser mais fortes.

2. Defina responsabilidades

A empresa precisa estabelecer quem será responsável pela gestão do sistema.

Dependendo do porte da organização, pode existir uma área independente de compliance ou profissionais que acumulam determinadas responsabilidades.

Independentemente do modelo, é importante definir autoridade, responsabilidades e mecanismos de reporte.

3. Crie políticas proporcionais aos riscos

As políticas devem responder aos riscos identificados.

Evite produzir documentos apenas porque outras empresas possuem documentos semelhantes.

Cada política deve ter uma finalidade prática.

4. Treine os profissionais

Depois de estabelecer as regras, comunique-as.

Treinamentos devem ajudar os profissionais a reconhecer situações de risco e saber como agir diante delas.

5. Monitore o sistema de compliance

A implementação não termina quando as políticas são publicadas.

A organização precisa verificar continuamente se os controles estão funcionando.

Indicadores, auditorias, análise de denúncias, testes de controles e revisões periódicas podem fornecer informações sobre a efetividade do sistema.

Sistema de compliance precisa de tecnologia?

Nem sempre um sistema de compliance depende de um software específico.

Compliance representa um conjunto de processos e controles. A tecnologia funciona como ferramenta de apoio.

Entretanto, sistemas digitais podem facilitar atividades como gestão de riscos, controle de políticas, registro de treinamentos, due diligence de terceiros, tratamento de denúncias e monitoramento de planos de ação.

Empresas com grande volume de operações podem obter ganhos importantes com automação.

Por outro lado, adquirir um software não significa automaticamente possuir um programa de compliance efetivo.

A tecnologia precisa estar integrada aos processos e às responsabilidades da organização.

Como saber se o sistema de compliance funciona?

Um programa não deve ser avaliado apenas pela quantidade de políticas criadas ou treinamentos realizados.

É necessário observar sua efetividade.

A empresa pode analisar indicadores relacionados a denúncias, investigações, treinamentos, controles, terceiros avaliados, riscos identificados e medidas corretivas.

Também pode realizar auditorias e testes periódicos.

Quando uma falha é encontrada, a organização deve analisar sua causa e aprimorar o sistema.

Esse processo cria um ciclo de melhoria contínua.

Quais são os benefícios de um sistema de compliance?

Um sistema bem estruturado pode ajudar a organização a identificar riscos antecipadamente e reduzir a ocorrência de irregularidades.

Além disso, pode aumentar a padronização dos processos, melhorar os controles internos e tornar responsabilidades mais claras.

Outro benefício está na capacidade de detectar problemas.

Nenhum sistema consegue eliminar completamente os riscos. Por isso, uma estrutura eficiente também precisa permitir que a empresa identifique rapidamente situações inadequadas e responda de maneira proporcional.

Consequentemente, compliance não deve ser entendido apenas como mecanismo de prevenção.

Ele também envolve detecção, resposta e aprimoramento contínuo.

Qual é a diferença entre compliance e programa de integridade?

Os termos aparecem frequentemente como sinônimos, mas podem assumir significados diferentes dependendo do contexto.

Compliance possui sentido amplo relacionado à conformidade com leis, regulamentos, normas e políticas.

Já a expressão programa de integridade, especialmente no contexto da legislação anticorrupção brasileira, costuma estar fortemente relacionada aos mecanismos internos destinados à prevenção, detecção e tratamento de desvios, fraudes e atos ilícitos.

Na prática empresarial, as estruturas podem estar fortemente integradas.

Por isso, é importante observar o contexto em que cada expressão está sendo utilizada.

O sistema de compliance elimina todos os riscos?

Não.

Nenhum sistema de compliance empresarial consegue garantir que uma organização jamais enfrentará irregularidades.

Pessoas podem descumprir regras e controles podem falhar.

O objetivo é reduzir a probabilidade de ocorrência, aumentar a capacidade de detectar problemas e permitir uma resposta adequada quando eles surgirem.

Um sistema maduro também aprende com as falhas.

Quando ocorre uma irregularidade, a empresa pode investigar não somente quem participou do fato, mas quais vulnerabilidades permitiram sua ocorrência.

Assim, o problema pode gerar melhorias nos controles futuros.

Conclusão

O sistema de compliance reúne políticas, procedimentos, controles e mecanismos destinados a promover o cumprimento de normas e padrões éticos dentro de uma organização.

Sua estrutura pode envolver avaliação de riscos, código de conduta, controles internos, treinamentos, canal de denúncias, investigações, due diligence de terceiros e monitoramento contínuo.

No entanto, simplesmente possuir documentos com a palavra compliance não significa que a empresa tenha um sistema efetivo.

As regras precisam estar integradas às atividades reais da organização, e a liderança deve demonstrar compromisso com sua aplicação.

Além disso, o sistema deve evoluir conforme os riscos, a legislação e as próprias operações mudam. Dessa forma, o compliance deixa de ser apenas uma obrigação formal e passa a funcionar como parte da governança e da gestão de riscos da empresa.

“`html “`