Uma denúncia recebida por um canal interno, uma contratação conduzida sem os controles adequados ou a atuação isolada de um gestor podem expor a empresa e seus administradores a consequências graves. Saber como criar programa de compliance criminal, portanto, não é apenas cumprir uma formalidade de governança: é organizar decisões, prevenir condutas ilícitas e permitir uma resposta tecnicamente segura quando surge um sinal de irregularidade.
Um programa eficiente não nasce de um código de conduta copiado de outra organização. Ele precisa refletir o porte da empresa, o setor em que atua, sua cadeia de fornecedores, seus mercados, seu modelo decisório e os riscos concretos enfrentados por sócios, executivos e colaboradores. Sem essa aderência, políticas bem redigidas podem se tornar documentos sem efeito prático.
Como criar programa de compliance criminal com base na realidade da empresa
O primeiro passo é compreender onde estão os pontos de maior exposição. Empresas que mantêm relações frequentes com agentes públicos, participam de licitações, operam com intermediários comerciais, realizam pagamentos internacionais ou lidam com grandes volumes de contratação tendem a demandar controles mais específicos. Isso não significa que organizações menores estejam dispensadas de prevenção. O risco muda de forma, mas pode alcançar qualquer atividade empresarial.
O diagnóstico deve examinar processos, pessoas e fluxos de decisão. É preciso identificar quem aprova despesas, como fornecedores são selecionados, quais documentos sustentam pagamentos, de que modo são concedidos brindes, hospitalidades e patrocínios e como a companhia reage a pedidos incomuns. Também merece atenção a existência de metas comerciais que, embora legítimas, possam incentivar atalhos ou práticas incompatíveis com os valores da organização.
Essa etapa é um risk assessment penal. Sua qualidade depende de acesso a informações reais, inclusive aquelas que possam causar desconforto à administração. A análise não serve para produzir uma aparência de conformidade, mas para localizar vulnerabilidades antes que elas se convertam em uma investigação, uma crise reputacional ou um prejuízo patrimonial.
O mapeamento não deve ser genérico
Uma matriz de riscos útil associa cada risco a uma atividade, aos responsáveis, aos controles existentes e às lacunas identificadas. Por exemplo, não basta registrar que há risco na contratação de terceiros. É necessário verificar se há diligência prévia, quais documentos são exigidos, quem valida a contratação, em quais situações a aprovação superior é obrigatória e como eventuais exceções são justificadas e registradas.
O nível de detalhamento varia conforme a operação. Em uma empresa familiar, a concentração de decisões nos sócios pode exigir regras claras de alçadas e documentação. Em grupos com atuação internacional, o desafio pode estar na padronização de controles sem ignorar particularidades locais. O programa deve ser proporcional, mas nunca meramente simbólico.
Comprometimento da liderança e regras aplicáveis
Compliance começa na alta administração. Quando a liderança relativiza controles para fechar um negócio ou trata procedimentos como entraves, a mensagem chega rapidamente às equipes. Por outro lado, quando sócios e administradores aplicam as mesmas regras a si próprios, recusam exceções indevidas e apoiam apurações independentes, criam um ambiente de confiança e responsabilidade.
O código de conduta deve traduzir esse compromisso em parâmetros compreensíveis. Ele pode estabelecer vedações, deveres de reporte, regras para conflitos de interesse, relacionamento com terceiros, proteção de informações e tratamento de registros corporativos. Porém, um código sozinho não resolve questões complexas. Políticas complementares precisam explicar como agir diante de situações recorrentes e quem deve ser consultado antes de uma decisão sensível.
É recomendável que documentos críticos sejam objetivos e acessíveis ao público interno. Uma regra que ninguém entende, encontra ou consegue aplicar no prazo exigido deixa de ser controle. A linguagem pode ser técnica quando necessária, desde que venha acompanhada de orientações operacionais claras.
Controles que funcionam na rotina
A prevenção se consolida nos processos cotidianos. Aprovações por níveis de alçada, segregação de funções, conferência de documentos, rastreabilidade de pagamentos e diligência sobre parceiros comerciais são medidas que reduzem espaços para desvios e fortalecem a capacidade de demonstrar que a empresa atuou com cuidado.
A contratação de terceiros merece atenção especial. Representantes, consultores, despachantes e distribuidores podem agir em nome ou benefício da organização, mesmo sem vínculo empregatício. Antes da contratação, convém avaliar reputação, estrutura, beneficiários finais, histórico de integridade e compatibilidade entre o serviço contratado e a remuneração proposta. Após a contratação, o acompanhamento é tão relevante quanto a diligência inicial.
Controles excessivamente burocráticos também podem gerar um efeito contrário: equipes passam a buscar atalhos para cumprir metas. Por isso, o desenho deve equilibrar segurança e viabilidade operacional. Uma aprovação adicional faz sentido quando corresponde a um risco efetivo. Quando é indiscriminada, tende a perder valor e adesão.
Treinamento não é mera coleta de assinaturas
Treinamentos devem alcançar quem toma decisões e quem executa procedimentos críticos. A abordagem precisa variar conforme a função: a área comercial enfrenta dilemas diferentes daqueles vividos por compras, financeiro, recursos humanos ou diretoria. Casos hipotéticos próximos da rotina da empresa ajudam as pessoas a reconhecer situações de alerta antes que se agravem.
Também é indispensável registrar participação, avaliar entendimento e atualizar os conteúdos quando houver alterações normativas, expansão de atividades ou falhas identificadas em auditorias e apurações. O objetivo não é transferir toda a responsabilidade para o colaborador, mas oferecer critérios para decisões responsáveis e canais de apoio quando houver dúvida.
Canal de reporte e apuração interna com independência
Nenhum programa é capaz de eliminar integralmente a possibilidade de condutas inadequadas. A diferença está na capacidade de identificar sinais precocemente e reagir de maneira proporcional. Um canal de reporte confiável deve permitir comunicação segura, proteger a confidencialidade na medida do possível e vedar retaliações contra quem relata uma preocupação de boa-fé.
O recebimento de uma denúncia exige cautela. Nem toda informação será confirmada, e uma apuração precipitada pode expor pessoas injustamente, comprometer provas e ampliar riscos para a própria empresa. Por isso, é necessário estabelecer critérios de triagem, preservação de documentos, definição de responsáveis e controle de acesso às informações.
Em fatos sensíveis, a condução por assessoria externa especializada pode contribuir para a independência da análise, a proteção do sigilo e a definição de uma estratégia adequada. A resposta pode envolver medidas internas, revisão de controles, afastamentos cautelares ou a avaliação de medidas perante autoridades competentes. A escolha depende dos fatos, das evidências disponíveis, do dever de cooperação e dos impactos para pessoas e para a organização.
Monitoramento: o programa precisa continuar vivo
Criar políticas é o início, não o fim. Mudanças societárias, novos produtos, expansão geográfica, troca de fornecedores e alterações na estrutura de comando modificam o perfil de risco. Por essa razão, o programa deve ser periodicamente testado e atualizado.
Indicadores ajudam a verificar se os controles produzem resultado. Número e natureza dos relatos recebidos, tempo de apuração, reincidência de falhas, exceções aprovadas, pendências em diligências e participação em treinamentos podem revelar tendências. Esses dados exigem interpretação cuidadosa: poucos relatos não significam, necessariamente, baixo risco. Em alguns casos, podem indicar medo, desconhecimento ou falta de confiança no canal.
Auditorias internas e revisões independentes também são relevantes para identificar se os procedimentos escritos correspondem à prática. A administração deve receber informações suficientes para decidir, corrigir falhas e demonstrar supervisão efetiva, sem transformar relatórios sensíveis em circulação indiscriminada.
O valor da preparação antes da crise
Um programa de compliance criminal consistente protege mais do que a imagem institucional. Ele melhora a qualidade das decisões, reduz incertezas para administradores e cria condições para que a empresa responda com serenidade quando confrontada com um evento crítico. Sua implementação requer tempo, escuta e disposição para enfrentar fragilidades que, muitas vezes, permanecem invisíveis em períodos de normalidade.
A melhor hora para examinar controles não é após uma busca, uma denúncia pública ou o início de uma apuração. É quando a organização ainda pode escolher, com discrição e método, como fortalecer sua cultura e preservar relações, patrimônio e continuidade empresarial.
Comentários