Sua Empresa

Uma empresa pode possuir código de conduta impecável, canal de denúncias, treinamentos anuais, matriz de riscos e centenas de páginas de políticas internas e, ainda assim, produzir comportamentos incompatíveis com a integridade que formalmente declara defender. Compliance não fracassa necessariamente por ausência de regras. Muitas vezes fracassa porque a organização criou regras que não conseguem competir com seus incentivos reais.

No Brasil, o problema deixou de ser apenas reputacional. A Lei nº 12.846/2013 e o Decreto nº 11.129/2022 incorporaram o programa de integridade ao sistema de responsabilização empresarial, exigindo mecanismos capazes de prevenir, detectar e sanar irregularidades e de fomentar uma cultura de integridade. O próprio Decreto determina que o programa seja estruturado e atualizado conforme as características e os riscos da pessoa jurídica.

A questão estratégica, portanto, não é saber se a empresa possui um manual de compliance. É saber se o sistema organizacional torna mais provável o comportamento íntegro do que a violação da regra.

Compliance como sistema de decisão, e não como biblioteca normativa

O erro mais comum consiste em confundir norma de conduta com capacidade organizacional de produzir conduta.

Um manual informa o que deveria acontecer. Compliance efetivo precisa interferir nas condições concretas que determinam o que efetivamente acontece.

A diferença parece semântica, mas é estrutural.

O Decreto nº 11.129/2022 não define programa de integridade como simples conjunto documental. Ele exige mecanismos e procedimentos internos, auditoria, incentivo à denúncia, aplicação efetiva de códigos e políticas, prevenção, detecção, saneamento e manutenção de uma cultura de integridade. Também determina constante aprimoramento e adaptação aos riscos atuais da organização.

A própria Controladoria-Geral da União, em suas diretrizes para empresas privadas, enfatiza que integridade não se reduz ao combate à corrupção: envolve cultura organizacional, condutas, valores, direitos e preservação da confiança institucional.

Essa concepção aproxima o Direito da ciência comportamental.

O empregado não decide em um vácuo normativo. Decide submetido a metas, hierarquia, remuneração variável, pressão temporal, expectativas do superior, cultura do grupo, percepção de impunidade e consequências previsíveis de sua escolha.

Uma regra pode dizer “não faça”. O sistema de incentivos pode dizer, silenciosamente, “faça, se quiser alcançar a meta”.

É nesse intervalo que nasce grande parte do risco de compliance.

Tese: a integridade precisa sobreviver aos incentivos

A economia comportamental demonstra que decisões humanas não resultam exclusivamente de avaliações abstratas e racionais. Contexto, incentivos, pressão social, enquadramento da escolha e percepção das consequências influenciam significativamente o comportamento.

Na Administração, isso significa que a arquitetura institucional importa tanto quanto a comunicação normativa.

Imagine-se uma hipótese analítica: uma empresa estabelece política rigorosa contra manipulação de informações comerciais, mas remunera seus gestores quase exclusivamente pelo cumprimento de metas mensais agressivas. O manual continua correto. O treinamento continua correto. O discurso institucional continua correto.

Entretanto, se o gestor percebe que a violação dificilmente será detectada e que o cumprimento da meta será premiado imediatamente, a organização criou um conflito entre regra formal e incentivo operacional.

Não é necessário supor que os empregados sejam moralmente desonestos. Basta reconhecer que estruturas organizacionais podem produzir comportamentos que nenhum código de ética isoladamente consegue neutralizar.

É por isso que compliance deve ser tratado como problema de governança.

Antítese: regras, controles e documentação continuam indispensáveis

Seria igualmente equivocado concluir que manuais, códigos, treinamentos e políticas internas são inúteis.

Eles possuem função jurídica e administrativa relevante.

Um programa de integridade documentado estabelece padrões, distribui responsabilidades, cria procedimentos, orienta decisões e oferece mecanismos de prevenção e resposta. Além disso, a existência e aplicação efetiva do programa podem produzir efeitos jurídicos na avaliação da responsabilização empresarial. A CGU reconhece, inclusive, a relevância dos programas de integridade na dosimetria das sanções previstas na Lei Anticorrupção.

O problema não está na existência da norma.

Está na fetichização da norma.

Uma organização pode transformar compliance em um ritual burocrático: funcionário recebe treinamento, marca “li e concordo”, conclui o curso eletrônico, arquiva-se o certificado e a administração passa a considerar o risco administrado.

O risco, entretanto, não desapareceu.

A documentação pode provar que determinada política existe. Ela não prova, sozinha, que a política modifica comportamentos.

A OCDE segue exatamente essa lógica ao recomendar que programas de integridade sejam baseados em avaliação dos riscos específicos da empresa, monitorados e reavaliados continuamente, com compromisso visível da alta administração, canais de comunicação, proteção a denunciantes e revisão periódica da efetividade dos mecanismos.

Síntese: compliance é arquitetura institucional de comportamento

A tensão entre norma e comportamento conduz a uma síntese mais útil para a Administração: compliance efetivo é uma arquitetura institucional destinada a alinhar regra, incentivo, controle, liderança e consequência.

Essa é a tese conceitual que proponho: compliance pode ser compreendido como tecnologia institucional de redução do descompasso entre aquilo que a organização declara valorizar e aquilo que sua estrutura efetivamente recompensa.

Essa formulação desloca o centro de gravidade do departamento jurídico para toda a organização.

O jurídico interpreta a norma. Compliance identifica e administra riscos. Auditoria verifica controles. Recursos Humanos estrutura incentivos. Tecnologia produz rastreabilidade. Lideranças estabelecem referências comportamentais. Conselho e alta administração supervisionam riscos e responsabilidades.

Integridade, portanto, não pertence exclusivamente ao compliance officer.

Pertence à arquitetura decisória da organização.

Como bem aponta Northon Salomão de Oliveira: “A integridade empresarial começa quando a regra deixa de ser apenas aquilo que a organização declara e passa a ser aquilo que sua estrutura de decisões torna racionalmente possível cumprir.”

O teste de efetividade: quatro perguntas para a gestão

Uma organização que pretenda avaliar seu compliance deveria ultrapassar a pergunta “temos uma política?” e investigar:

Incentivos: quem viola a regra para atingir resultados recebe alguma vantagem, ainda que informal?

Liderança: a alta administração aceita custos comerciais para preservar padrões de integridade?

Detecção: existem mecanismos capazes de descobrir violações que a própria hierarquia teria interesse em ocultar?

Resposta: violações praticadas por pessoas de alto desempenho recebem tratamento equivalente ao aplicado aos demais?

Essas perguntas revelam uma dimensão frequentemente negligenciada: a credibilidade do compliance depende da previsibilidade das consequências.

Um canal de denúncias que nunca produz investigação perde credibilidade. Uma política que admite exceções informais deixa de funcionar como parâmetro. Uma liderança que exige integridade publicamente, mas tolera desvios de seus principais produtores de receita transmite uma mensagem comportamental mais poderosa que qualquer código.

A psicologia organizacional encontra aqui um ponto de contato direto com o Direito: indivíduos aprendem não apenas com normas, mas também com aquilo que observam ser premiado, tolerado ou punido.

Risco jurídico, econômico e administrativo

O compliance deficiente produz riscos que não permanecem confinados ao departamento jurídico.

Risco jurídico

A empresa pode enfrentar responsabilização administrativa e civil, além de consequências contratuais, regulatórias e reputacionais conforme o setor e a natureza da conduta.

O Decreto nº 11.129/2022 exige que o programa seja compatível com os riscos concretos da atividade. Portanto, um programa meramente genérico pode ser inadequado justamente porque não dialoga com os riscos específicos da empresa.

Risco econômico

Fraudes, corrupção, conflitos de interesses e controles deficientes podem produzir perdas financeiras diretas e custos de investigação, litígio, remediação e interrupção operacional.

A própria OCDE associa programas efetivos de integridade à qualidade dos mercados e à confiança dos investidores, destacando o papel da alta administração na implementação da cultura de integridade.

Risco administrativo

Quando compliance é separado da gestão de riscos, a organização pode desenvolver um paradoxo: possui controles formalmente sofisticados, mas não consegue identificar os pontos em que decisões reais escapam deles.

É nesse momento que governança deixa de ser organograma e passa a ser engenharia decisória.

O que a empresa deve fazer

Uma estratégia de compliance efetivo pode começar por cinco movimentos:

1. Mapear riscos comportamentais, e não apenas riscos normativos.

2. Relacionar metas e remuneração aos comportamentos que a organização pretende estimular.

3. Testar os controles na prática, mediante monitoramento, auditoria e indicadores de efetividade.

4. Proteger canais de denúncia e investigação independente, especialmente quando a acusação envolver níveis hierárquicos elevados.

5. Reavaliar periodicamente o programa, adaptando-o às mudanças tecnológicas, regulatórias, econômicas e organizacionais.

A legislação brasileira já aponta nessa direção. O Decreto nº 12.304/2024, por exemplo, regulamenta parâmetros e avaliação de programas de integridade em determinadas hipóteses relacionadas às contratações públicas de grande vulto, ao desempate de propostas e à reabilitação de licitantes ou contratados no âmbito federal.

Isso revela uma transformação importante: integridade empresarial deixou progressivamente de ser apenas uma questão interna para tornar-se elemento de relacionamento com o Estado, mercados e parceiros institucionais.

A verdadeira medida do compliance

A organização íntegra não é aquela que possui o maior manual.

É aquela em que a estrutura de governança reduz sistematicamente a distância entre norma, decisão e consequência.

Um código de ética pode estabelecer limites. Um canal de denúncias pode revelar desvios. Uma auditoria pode detectá-los. Um treinamento pode esclarecer comportamentos. Uma política pode distribuir responsabilidades.

Mas somente a integração desses mecanismos com liderança, incentivos, controles, informação e responsabilização permite que o compliance ultrapasse a condição de documento e se transforme em governança.

O verdadeiro teste não ocorre quando todos sabem responder qual é a regra.

O verdadeiro teste ocorre quando cumprir a regra se torna compatível com sobreviver, crescer, ser promovido e tomar boas decisões dentro da organização.

Essa é a fronteira entre compliance de aparência e compliance de verdade.