Regras de compliance: principais normas e como aplicar na empresa

As regras de compliance são normas, políticas, procedimentos e controles adotados por uma organização para orientar comportamentos, cumprir a legislação, prevenir irregularidades e reduzir riscos. Na prática, elas estabelecem como funcionários, gestores, fornecedores e outros envolvidos devem agir diante de situações que podem gerar problemas jurídicos, financeiros ou éticos.

Não existe uma única lista de regras de compliance válida para todas as empresas. O programa deve ser estruturado de acordo com o porte, setor, atividades e riscos de cada organização.

No Brasil, uma das principais referências é a Lei nº 12.846/2013, conhecida como Lei Anticorrupção, regulamentada pelo Decreto nº 11.129/2022. A legislação atribui relevância aos mecanismos internos de integridade e estabelece parâmetros relacionados aos programas de integridade das pessoas jurídicas.

Entretanto, compliance não deve ser entendido apenas como combate à corrupção. Dependendo da organização, pode envolver proteção de dados, relações trabalhistas, questões tributárias, concorrência, meio ambiente, segurança, prevenção de fraudes, relacionamento com fornecedores e diversas outras áreas.

O que são regras de compliance?

A palavra compliance deriva do verbo inglês to comply, associado à ideia de cumprir ou estar em conformidade.

Dentro de uma empresa, regras de compliance determinam comportamentos e procedimentos destinados a manter a organização em conformidade com:

• leis;
• regulamentos;
• normas setoriais;
• políticas internas;
• contratos;
• código de ética;
• padrões profissionais;
• compromissos assumidos pela organização.

Imagine uma empresa que realiza negócios com fornecedores.

Uma regra de compliance pode determinar que funcionários não podem receber presentes de valor elevado de empresas participantes de uma concorrência.

Outra política pode exigir uma verificação prévia do fornecedor antes da assinatura do contrato.

Já uma terceira regra pode estabelecer procedimentos para denunciar suspeitas de fraude.

Todas essas medidas fazem parte de uma estrutura de integridade.

Quais são as principais regras de compliance?

As regras precisam ser adaptadas à realidade da organização, mas existem alguns princípios recorrentes em programas de integridade.

Entre eles estão:

1. cumprir leis e regulamentos aplicáveis;
2. proibir corrupção e pagamento de propina;
3. estabelecer regras para brindes, presentes e hospitalidades;
4. prevenir conflitos de interesses;
5. realizar diligência de terceiros;
6. manter registros contábeis e financeiros confiáveis;
7. proteger informações confidenciais;
8. estabelecer canais para denúncias;
9. proibir retaliações indevidas contra denunciantes de boa-fé;
10. investigar irregularidades;
11. aplicar medidas disciplinares de maneira adequada;
12. treinar funcionários;
13. avaliar riscos periodicamente;
14. monitorar a efetividade do programa;
15. envolver a alta administração na cultura de integridade.

Essas regras não devem existir apenas no papel.

Um dos aspectos fundamentais de um programa de compliance efetivo é demonstrar que os procedimentos realmente são aplicados no cotidiano.

Regra de compliance nº 1: cumprir a legislação

A primeira regra parece óbvia, mas constitui a própria essência do compliance: a empresa deve conhecer e cumprir as normas aplicáveis às suas atividades.

O desafio está na quantidade de regras que podem afetar uma organização.

Uma indústria pode precisar acompanhar normas tributárias, ambientais, trabalhistas, sanitárias e de segurança.

Uma instituição financeira está sujeita a uma estrutura regulatória diferente.

Uma empresa de tecnologia precisa prestar atenção especial às regras relacionadas a dados, segurança da informação e relações digitais.

Por isso, o compliance começa pelo mapeamento das obrigações aplicáveis à empresa.

Sem saber quais regras precisam ser cumpridas, é impossível criar controles adequados.

Regra de compliance nº 2: proibição de corrupção e suborno

Uma das áreas mais conhecidas do compliance é o combate à corrupção.

Funcionários, administradores e representantes da organização devem receber orientações claras sobre comportamentos proibidos.

A empresa não deve permitir pagamentos ou vantagens indevidas destinados a influenciar decisões de agentes públicos.

Também é necessário prestar atenção a intermediários.

Uma organização não deveria ignorar sinais de que um representante, consultor ou parceiro está sendo utilizado para realizar pagamentos impróprios em seu benefício.

No Brasil, a Lei nº 12.846/2013 estabeleceu a responsabilização administrativa e civil de pessoas jurídicas por atos lesivos contra a administração pública nacional ou estrangeira.

Regra de compliance nº 3: evitar conflitos de interesses

Existe conflito de interesses quando interesses pessoais podem interferir, ou aparentar interferir, na tomada de decisões profissionais.

Imagine que um gerente seja responsável por escolher um fornecedor.

Uma das empresas concorrentes pertence a um familiar próximo desse gerente.

Mesmo que o fornecedor ofereça condições competitivas, existe uma situação que precisa ser comunicada e administrada.

Uma boa política de compliance determina:

o que caracteriza conflito;

quem deve comunicar;

para quem comunicar;

como a situação será analisada;

quando o funcionário deverá se afastar da decisão.

O objetivo não é apenas punir conflitos, mas permitir que sejam identificados antes que causem problemas.

Regra de compliance nº 4: estabelecer política de brindes e presentes

Brindes, presentes, refeições, viagens e hospitalidades merecem regras específicas.

Nem todo presente empresarial representa corrupção.

O problema aparece quando uma vantagem é utilizada para influenciar indevidamente uma decisão ou criar obrigação imprópria.

Por isso, empresas podem estabelecer limites e procedimentos internos.

Por exemplo, a política pode exigir aprovação prévia para determinados presentes ou proibir completamente algumas categorias de benefícios.

As regras precisam ser especialmente rigorosas quando existe interação com agentes públicos.

O funcionário não deve precisar improvisar diante dessas situações. A política deve indicar previamente o comportamento esperado.

Regra de compliance nº 5: conhecer fornecedores e parceiros

Um programa de compliance não termina na porta da empresa.

Terceiros podem representar riscos significativos.

Distribuidores, representantes comerciais, consultores, despachantes, fornecedores e prestadores de serviços podem agir em nome ou no interesse da organização.

Por isso, a due diligence de terceiros é uma prática importante.

Antes da contratação, podem ser avaliados fatores como:

reputação, estrutura societária, histórico, capacidade técnica, possíveis conflitos, relacionamento com agentes públicos e riscos relacionados ao serviço contratado.

O nível da diligência deve ser proporcional ao risco.

Um fornecedor de material de escritório não necessariamente precisa passar exatamente pela mesma análise de um intermediário contratado para representar a empresa perante órgãos públicos.

Regra de compliance nº 6: manter controles contábeis confiáveis

Compliance também possui relação direta com a contabilidade.

Pagamentos precisam possuir justificativa, documentação e classificação adequadas.

Registros genéricos podem esconder operações problemáticas.

Imagine um pagamento significativo registrado simplesmente como “despesas diversas”.

Sem documentação suficiente, torna-se difícil saber quem recebeu, qual serviço foi prestado e por que o pagamento aconteceu.

Por isso, controles contábeis e financeiros ajudam tanto na gestão empresarial quanto na prevenção e detecção de irregularidades.

A documentação deve permitir que uma operação seja compreendida posteriormente.

Regra de compliance nº 7: criar um código de ética e conduta

O código de ética e conduta é um dos documentos centrais de muitos programas de compliance.

Ele deve transformar princípios gerais em orientações compreensíveis para as pessoas.

O documento pode abordar assuntos como:

• relacionamento com clientes;
• fornecedores;
• agentes públicos;
• concorrentes;
• conflitos de interesses;
• presentes e hospitalidades;
• confidencialidade;
• assédio e discriminação;
• proteção dos ativos da empresa;
• corrupção;
• fraudes;
• canais de denúncia.

Um código excessivamente genérico possui pouca utilidade.

O funcionário precisa conseguir relacionar as regras às situações encontradas no trabalho.

Regra de compliance nº 8: disponibilizar canal de denúncia

Funcionários e terceiros precisam ter meios adequados para comunicar suspeitas de irregularidades.

Um canal de denúncias pode receber relatos envolvendo fraude, corrupção, conflitos de interesses, assédio, desvio de recursos e outras violações.

Mas simplesmente criar um endereço eletrônico ou telefone não é suficiente.

É necessário definir quem recebe os relatos, como eles são classificados, quem investiga, como as informações são protegidas e quais providências podem ser adotadas.

A credibilidade do canal depende da maneira como os relatos são tratados.

Regra de compliance nº 9: evitar retaliação

Pessoas podem deixar de comunicar problemas se acreditarem que sofrerão represálias.

Por isso, programas de integridade costumam possuir regras contra retaliações indevidas a quem realiza uma denúncia de boa-fé ou participa de uma investigação.

A política deve ser comunicada claramente.

Também é necessário criar mecanismos para detectar eventuais represálias posteriores.

O canal de denúncias perde grande parte de sua utilidade quando os trabalhadores não confiam no processo.

Regra de compliance nº 10: investigar irregularidades

Receber uma denúncia é apenas o começo.

A empresa precisa possuir procedimento para analisar informações e, quando necessário, conduzir investigações internas.

A investigação deve considerar critérios como independência, confidencialidade, documentação e respeito aos direitos envolvidos.

Nem toda denúncia será verdadeira.

Por isso, não se deve tratar uma acusação automaticamente como fato comprovado.

O objetivo da investigação é justamente reunir e analisar evidências para determinar o que aconteceu.

Regra de compliance nº 11: aplicar medidas disciplinares

Uma regra que nunca produz consequências perde credibilidade.

Quando uma violação é comprovada, a empresa deve aplicar as providências cabíveis conforme a gravidade do caso, suas políticas internas, contratos e legislação aplicável.

As regras disciplinares precisam alcançar diferentes níveis hierárquicos.

Se uma organização pune funcionários operacionais, mas ignora irregularidades praticadas por gestores importantes, o programa de compliance tende a perder legitimidade.

Integridade precisa ser aplicada de forma coerente.

Regra de compliance nº 12: comprometimento da alta direção

A participação da liderança é um dos elementos fundamentais de um programa de integridade.

A alta administração precisa demonstrar que as regras realmente importam.

Isso significa mais do que assinar um código de ética.

Os gestores precisam seguir as mesmas políticas aplicáveis aos demais funcionários, apoiar a estrutura responsável pelo compliance e disponibilizar recursos adequados.

Quando a liderança cobra resultados a qualquer custo e simultaneamente publica mensagens sobre ética, surge uma contradição.

O comportamento cotidiano da administração possui forte influência sobre a cultura organizacional.

Regras de compliance e o Decreto nº 11.129/2022

O Decreto nº 11.129/2022 regulamenta a Lei Anticorrupção e traz parâmetros importantes relacionados aos programas de integridade.

O Decreto define programa de integridade como um conjunto de mecanismos e procedimentos internos de integridade, auditoria, incentivo à denúncia, códigos de ética, políticas e diretrizes destinados, entre outros objetivos, a prevenir, detectar e sanar desvios, fraudes, irregularidades e atos ilícitos contra a administração pública.

Outro aspecto importante é que o programa deve ser estruturado e atualizado de acordo com as características e os riscos atuais da pessoa jurídica.

Isso reforça uma ideia fundamental:

não existe programa de compliance eficiente baseado apenas em copiar documentos de outra empresa.

As políticas precisam refletir os riscos reais da organização.

Quais são os pilares do compliance?

Existem diferentes metodologias para organizar um programa de compliance.

Uma estrutura bastante utilizada pode ser resumida em elementos como:

apoio da alta administração;

responsável pelo programa;

avaliação de riscos;

código e políticas;

controles internos;

treinamento e comunicação;

due diligence de terceiros;

canal de denúncias;

investigações e remediação;

monitoramento contínuo.

A CGU atualmente utiliza uma metodologia de avaliação do programa Empresa Pró-Ética organizada em dez áreas, incluindo comprometimento da alta direção, instância responsável pelo programa, gestão de riscos, políticas e procedimentos, treinamentos, controles contábeis e financeiros, diligência de terceiros, canais de denúncia e monitoramento.

Compliance e análise de riscos

As regras de compliance devem surgir dos riscos identificados.

Imagine duas empresas.

A primeira vende diretamente para consumidores e praticamente não possui interação com o governo.

A segunda participa regularmente de licitações públicas e utiliza representantes para interagir com órgãos governamentais.

O risco de integridade das duas organizações não é idêntico.

Consequentemente, os controles também não deveriam ser.

A análise de riscos ajuda a determinar onde a empresa precisa concentrar seus recursos.

Regras de compliance para funcionários

Os funcionários precisam saber claramente o que podem e não podem fazer.

Algumas regras básicas podem incluir:

• não oferecer vantagens indevidas;
• não falsificar documentos;
• não alterar registros contábeis;
• declarar conflitos de interesses;
• proteger informações confidenciais;
• respeitar políticas de segurança;
• seguir procedimentos de aprovação;
• não utilizar recursos da empresa para fins proibidos;
• comunicar irregularidades;
• cooperar com investigações internas.

Entretanto, uma lista sozinha não cria cultura de compliance.

Os trabalhadores precisam compreender por que as regras existem e como aplicá-las em situações concretas.

Treinamento de compliance

Treinamento é uma das formas de transformar políticas escritas em comportamento.

Em vez de apresentar apenas conceitos jurídicos, treinamentos podem trabalhar situações reais.

Por exemplo:

“Um fornecedor oferece uma viagem ao comprador responsável pela renovação do contrato. O que fazer?”

Ou:

“Um intermediário solicita pagamento em uma conta de terceiro e não explica o motivo. Como proceder?”

Casos práticos ajudam os funcionários a reconhecer sinais de risco.

Também é recomendável adaptar treinamentos às funções.

Um profissional de compras enfrenta riscos diferentes daqueles encontrados por alguém que atua em vendas, contabilidade ou recursos humanos.

Compliance para pequenas empresas

Compliance não é exclusividade de multinacionais.

A própria CGU destaca que medidas de integridade também podem ser adotadas por micro e pequenas empresas.

Naturalmente, a estrutura deve ser proporcional.

Uma empresa com dez funcionários não precisa necessariamente criar o mesmo departamento de compliance de uma organização com 50 mil empregados.

Pode começar com medidas simples:

código de conduta, regras para pagamentos, definição de responsáveis, análise básica de fornecedores críticos, canal para comunicação de problemas e treinamento dos funcionários.

O importante é que os controles correspondam aos riscos existentes.

Compliance e LGPD

Proteção de dados pessoais também pode integrar a estrutura de compliance.

A Lei Geral de Proteção de Dados estabelece regras para o tratamento de dados pessoais.

Empresas precisam avaliar quais dados coletam, por que são utilizados, com quem são compartilhados e como são protegidos.

Uma política de compliance pode estabelecer procedimentos relacionados a:

controle de acesso, compartilhamento de informações, descarte de documentos, incidentes de segurança e atendimento aos direitos dos titulares.

Assim, compliance e privacidade podem trabalhar de maneira integrada.

Compliance trabalhista

O compliance trabalhista busca prevenir irregularidades relacionadas às relações de trabalho.

Entre os temas que podem fazer parte dessa área estão:

jornada, registros, remuneração, saúde e segurança, assédio, discriminação e contratação de trabalhadores.

A empresa pode criar procedimentos preventivos e mecanismos para identificar problemas antes que se transformem em conflitos maiores.

Treinamentos de liderança possuem especial importância nesse contexto.

Muitas violações trabalhistas acontecem no relacionamento cotidiano entre gestores e equipes.

Compliance tributário

O compliance tributário está relacionado ao cumprimento correto das obrigações fiscais.

Isso envolve calcular tributos, emitir documentos fiscais corretamente, entregar obrigações acessórias e manter documentação adequada.

Também pode incluir controles para evitar operações tributárias sem fundamento ou registros inconsistentes.

Uma empresa pode possuir um excelente programa anticorrupção e, ao mesmo tempo, apresentar problemas graves de conformidade tributária.

Por isso, o conceito de compliance empresarial é mais amplo do que apenas integridade anticorrupção.

Compliance ambiental

Empresas com impactos ambientais precisam considerar regras específicas.

Licenciamento, resíduos, emissões, uso de recursos naturais e outras obrigações podem fazer parte da matriz de riscos.

Nesse caso, compliance ambiental significa identificar as obrigações aplicáveis e criar controles para garantir seu cumprimento.

A complexidade aumenta em setores como mineração, indústria química, energia, construção e agronegócio.

Compliance em licitações

Empresas que participam de contratações públicas precisam dar atenção especial às regras de integridade.

Fraudes em licitações e contratos públicos estão entre as áreas alcançadas pela legislação anticorrupção.

Além disso, a Lei nº 14.133/2021 passou a atribuir importância específica aos programas de integridade em determinadas situações envolvendo contratações públicas.

Por isso, empresas fornecedoras do governo precisam estabelecer controles para seus processos comerciais, propostas, representantes, intermediários e contatos com agentes públicos.

Como criar regras de compliance na empresa?

O primeiro passo não deveria ser baixar um código de ética pronto.

Comece entendendo a empresa.

Mapeie atividades, departamentos, clientes, fornecedores, agentes intermediários e relações com o poder público.

Depois identifique os principais riscos.

Com base nessa análise, desenvolva políticas específicas.

Por exemplo:

Se presentes são um risco relevante, crie uma política de brindes e hospitalidades.

Se terceiros representam alto risco, fortaleça a due diligence.

Se existem muitos pagamentos descentralizados, implemente controles financeiros.

Se a organização participa de licitações, crie procedimentos específicos para relacionamento com o poder público.

As regras devem responder aos riscos encontrados.

Como saber se o programa de compliance funciona?

Quantidade de documentos não é uma boa medida isolada.

Uma empresa pode possuir centenas de páginas de políticas e continuar apresentando um programa ineficiente.

É necessário acompanhar indicadores.

Alguns exemplos são:

número de treinamentos realizados, participação dos funcionários, denúncias recebidas, tempo de investigação, violações confirmadas, medidas corretivas, fornecedores avaliados e riscos identificados.

A análise desses dados permite verificar se os controles realmente estão funcionando.

Quando surgem falhas, o programa deve ser aprimorado.

Erros comuns nas regras de compliance

Um dos principais erros é copiar políticas de outras organizações sem adaptá-las.

Outro é criar regras tão complexas que ninguém consegue segui-las.

Também é problemático possuir um código de ética que os funcionários nunca leram.

Outros erros incluem:

falta de treinamento, canal de denúncia sem credibilidade, ausência de investigação, inexistência de controles sobre terceiros e tratamento diferente conforme o cargo do infrator.

Compliance efetivo exige aplicação prática.

As regras de compliance são obrigatórias?

Não existe uma resposta única para todas as empresas e todos os setores.

Determinadas organizações estão sujeitas a exigências regulatórias específicas. Além disso, programas de integridade possuem relevância própria em situações previstas pela legislação anticorrupção e pelas normas de contratações públicas.

A Lei nº 14.133/2021, por exemplo, contempla programas de integridade em determinados contextos de licitações e contratos, inclusive nas contratações de grande vulto.

Mesmo quando determinada empresa não possui uma obrigação específica de manter uma estrutura formal ampla, ela continua sujeita às leis aplicáveis às suas atividades.

Por isso, compliance deve ser dimensionado conforme as obrigações e os riscos concretos da organização.

Perguntas frequentes sobre regras de compliance

O que são regras de compliance?

São políticas, normas e procedimentos destinados a manter a organização em conformidade com leis, regulamentos, padrões éticos e regras internas.

Quais são as principais regras de compliance?

Entre as principais estão proibição de corrupção, prevenção de conflitos de interesses, controle de presentes, diligência de terceiros, registros contábeis adequados, canal de denúncias, investigação de irregularidades e monitoramento contínuo.

O que não pode fazer no compliance?

Funcionários não devem praticar atos proibidos pelas leis e políticas da organização, como oferecer vantagens indevidas, falsificar registros, ocultar conflitos de interesses ou burlar controles internos.

Toda empresa precisa ter compliance?

Todas as empresas precisam cumprir as normas aplicáveis às suas atividades. A necessidade e a estrutura de um programa formal de compliance dependem do setor, porte, riscos e de eventuais exigências legais ou contratuais específicas.

O que é código de compliance?

Normalmente, a organização possui um código de ética ou de conduta que reúne princípios e regras fundamentais. Políticas complementares detalham temas específicos.

Quem fiscaliza o compliance da empresa?

Internamente, a responsabilidade pode envolver compliance, controles internos, auditoria, jurídico, conselho e alta administração. Externamente, diferentes autoridades fiscalizam o cumprimento das normas conforme o setor e a matéria envolvida.

O que é due diligence em compliance?

É o processo de avaliação prévia de terceiros, operações ou situações para identificar riscos antes de uma contratação ou decisão empresarial.

O que é canal de denúncia?

É um mecanismo pelo qual funcionários ou terceiros podem comunicar suspeitas de violações, fraudes, corrupção e outras irregularidades.

Conclusão

As regras de compliance formam a estrutura utilizada pelas empresas para transformar obrigações legais e princípios éticos em procedimentos concretos.

Um programa eficiente precisa ir além de documentos formais. Deve contar com participação da liderança, análise de riscos, políticas claras, treinamento, controles financeiros, avaliação de terceiros, canal de denúncias, investigação, medidas corretivas e monitoramento.

No Brasil, a Lei Anticorrupção e o Decreto nº 11.129/2022 são referências importantes para programas de integridade, enquanto outras normas podem ser aplicáveis conforme o setor e as atividades da organização.

Por isso, não existe uma lista universal capaz de resolver todos os problemas de conformidade. As regras de compliance de uma empresa precisam ser proporcionais ao seu porte, às suas operações e principalmente aos riscos que ela efetivamente enfrenta.

Quando essas regras deixam de existir apenas no papel e passam a fazer parte das decisões cotidianas, o compliance cumpre sua principal função: prevenir, detectar e corrigir irregularidades enquanto fortalece uma cultura empresarial de integridade.