O que uma auditoria de compliance revela sobre a sua empresa

(e por que a maioria dos gestores se surpreende com o resultado)

Existe uma pergunta que a maioria dos gestores nunca faz antes de precisar respondê-la: se alguém auditasse o programa de compliance da minha empresa hoje, o que encontraria?

Faço esse tipo de trabalho há anos, em empresas de portes e setores muito diferentes e posso dizer, com tranquilidade, que a resposta quase nunca é a que o gestor esperava. O mais revelador é que o problema raramente está na ausência de documentos. Está na distância entre o que existe no papel e o que acontece na prática, todos os dias.

Uma auditoria de compliance não avalia se a empresa tem uma pasta com políticas salvas no servidor. Ela avalia se essas políticas chegaram às pessoas, se são seguidas, se são conhecidas pela liderança e replicadas por ela, e se a organização consegue demonstrar isso com evidências concretas. Em outras palavras: ela avalia a cultura da organização, não apenas a sua documentação.

É essa distinção que surpreende. E é ela que separa um programa de compliance que existe de um programa de compliance que funciona.

O que uma auditoria de compliance avalia, de fato

Muitos gestores associam o termo auditoria ao universo contábil e fiscal. A auditoria de compliance é diferente. Ela não verifica se os números batem. Verifica se os comportamentos, os processos e os controles internos da organização estão alinhados com as leis, as regulações aplicáveis e os próprios padrões que a empresa declarou seguir.

O Decreto nº 11.129/2022, que regulamenta a Lei Anticorrupção (Lei nº 12.846/2013), define o que um programa de integridade precisa contemplar: comprometimento da alta direção, código de conduta, gestão de riscos, treinamentos periódicos, canal de denúncias e controles internos efetivos, entre outros elementos.

Uma auditoria verifica exatamente isso, mas não apenas se esses elementos existem formalmente. Verifica se funcionam. É também o que as normas internacionais cobram: tanto a ISO 37301 (sistemas de gestão de compliance) quanto a ISO 37001 (sistemas de gestão antissuborno) não se contentam com a existência de controles; exigem evidência de que eles operam e são revisados continuamente. A diferença entre verificar existência e verificar funcionamento é onde mora toda a complexidade do trabalho, e onde a maioria das empresas encontra suas maiores vulnerabilidades.

Na prática, o que observo inclui: se os treinamentos realizados produziram assimilação real ou apenas presença registrada; se o canal de denúncias recebe comunicações e o que acontece com elas depois; se a liderança fala sobre integridade apenas no discurso institucional ou também nas decisões cotidianas; se o mapeamento de riscos reflete a realidade atual da operação ou foi feito uma vez e nunca revisado; e se os contratos com terceiros e fornecedores incluem cláusulas de conformidade e são efetivamente monitorados.

5 sinais que uma auditoria de compliance revela em empresas sem programa estruturado

Há padrões que se repetem. Empresas de setores, portes e regiões diferentes e os mesmos pontos críticos aparecendo de forma consistente. Não como exceção, mas como regra. Estes são os cinco que mais encontro.

1. O código de conduta existe, mas ninguém sabe explicá-lo de verdade. 

O documento foi elaborado, aprovado pela diretoria e disponibilizado em algum momento. Mas, quando pergunto a colaboradores de diferentes áreas se conhecem o conteúdo, as respostas variam entre “vagamente” e “sim, mas não sei explicar”. O código virou um artefato institucional sem vida operacional. Cumpre o requisito formal de existir, mas não cumpre a função para a qual foi criado: orientar decisões no dia a dia.

2. O canal de denúncias está no site, mas nunca recebeu um relato. 

Esse é um dos achados mais reveladores. Um canal que nunca foi usado não é, necessariamente, prova de que a empresa não tem problemas. É, quase sempre, prova de que as pessoas não confiam no canal, não sabem como usá-lo ou não acreditam que serão protegidas se o fizerem. Canal de denúncias que não recebe comunicações é canal que não funciona, independentemente de quantas vezes ele aparece no site institucional.

3. Os treinamentos têm lista de presença, mas não têm evidência de avaliação de efetividade. 

A empresa consegue demonstrar que realizou treinamentos. Tem datas, nomes, assinaturas. O que não consegue demonstrar é se o conteúdo foi compreendido, se mudou algum comportamento ou se chegou às áreas de maior risco. Treinamento sem avaliação de efetividade é presença certificada, não aprendizado comprovado.

4. A alta direção assinou o programa, mas não fala sobre ele internamente. 

O conceito de tone at the top, o tom dado pelo topo da hierarquia, é um dos fatores mais determinantes para a efetividade de qualquer programa de integridade. Quando a liderança assina documentos mas não menciona o programa nas reuniões estratégicas, não cobra indicadores de compliance nas avaliações de desempenho e não demonstra comportamento alinhado aos valores declarados, o restante da organização aprende rapidamente o que é de fato prioritário. O programa existe no papel. Não existe na cultura.

5. Os riscos foram mapeados uma vez e nunca revisados. 

O mapeamento de riscos é um dos elementos exigidos pelo Decreto nº 11.129/2022. Muitas empresas o fizeram, em geral, no momento em que decidiram implementar o programa. O problema é que riscos mudam. Operações crescem, novos mercados são acessados, fornecedores são substituídos, legislações são atualizadas. Um mapa de riscos de três anos atrás não reflete a exposição atual da organização. Usá-lo como se refletisse é tão problemático quanto não tê-lo.

O que esses achados revelam sobre a cultura organizacional

Uma auditoria de compliance bem conduzida não entrega apenas uma lista de não conformidades. Ela entrega um diagnóstico cultural. E esse diagnóstico costuma revelar algo que os relatórios financeiros e os indicadores operacionais raramente mostram: como a organização realmente toma decisões quando ninguém está olhando.

Cultura organizacional não é o que está escrito na missão e nos valores da empresa. É o conjunto de comportamentos que se repetem, as decisões que são toleradas, as condutas que são premiadas e as que são ignoradas. Uma auditoria de compliance lê essa cultura por meio de evidências concretas.

Quando o canal de denúncias nunca foi usado, não registro apenas uma falha técnica. Registro que a organização não criou um ambiente psicologicamente seguro para quem queira reportar irregularidades. Quando o mapeamento de riscos está desatualizado, não registro apenas um documento vencido. Registro que a gestão de riscos não é uma prática viva, é uma formalidade cumprida uma vez.

Essa leitura importa por uma razão prática: no contexto da Lei Anticorrupção, a avaliação da efetividade do programa de integridade considera exatamente essa dimensão cultural. O Decreto nº 11.129/2022 não pergunta apenas se o programa existe. Pergunta se ele é aplicado de forma genuína e efetiva. A distinção entre existência e efetividade é, no limite, a distinção entre um programa que funciona como atenuante em uma eventual responsabilização e um programa que não serve para nada além de ocupar espaço no servidor.

Por que isso importa para quem ainda não tem um programa estruturado

A ausência de um programa de compliance estruturado não é uma posição neutra. É uma posição de exposição crescente, em um ambiente regulatório que mudou de forma significativa nos últimos anos.

O Decreto nº 12.304/2024 regulamentou os critérios de avaliação do programa de integridade previsto na Lei de Licitações (Lei nº 14.133/2021). Essa lei tornou o programa obrigatório para o vencedor de contratos de grande vulto e o estabeleceu como critério de desempate em licitações. Para empresas que dependem do mercado público ou pretendem acessá-lo, a ausência do programa deixou de ser uma opção.

Mas o impacto vai além do mercado público. A Lei Anticorrupção, com sua responsabilização objetiva da pessoa jurídica, prevê multas de até 20% do faturamento bruto do exercício anterior para atos lesivos contra a administração pública, nacional ou estrangeira. A existência e a efetividade de um programa de integridade são consideradas na dosimetria dessas sanções, e podem representar a diferença entre uma penalidade que a empresa absorve e uma que a compromete estruturalmente.

Há ainda a dimensão comercial. Investidores institucionais, bancos de fomento e grandes compradores, especialmente os inseridos em cadeias globais de fornecimento, incorporaram critérios de conformidade em seus processos de seleção e manutenção de parceiros. Empresa sem programa estruturado não passa pela due diligence de quem leva governança a sério.

---

O custo da ausência não é só regulatório. É estratégico.

Se a sua empresa ainda não passou por esse tipo de diagnóstico, talvez seja o momento de começar a conversa, o contato está ao final deste artigo.

---

Por onde começa uma empresa que quer construir um programa que funciona

Antes de qualquer metodologia, norma ou documento, há três perguntas que o gestor precisa conseguir responder com precisão. Costumo começar por elas em qualquer diagnóstico.

Quais são os riscos reais de integridade da minha operação?  Não os riscos genéricos que aparecem em qualquer lista de compliance. Os riscos específicos do setor de atuação da empresa, dos mercados em que opera, dos processos que executa e das pessoas com quem se relaciona. Um mapeamento que não parte da realidade concreta da organização não produz controles úteis, produz documentação.

As pessoas que trabalham aqui sabem o que fazer diante de uma situação de risco?  Treinamento não é evento. É processo. A pergunta não é se a empresa realizou treinamentos, mas se as pessoas que operam nas áreas de maior exposição conseguem tomar decisões corretas sob pressão, sem um manual na mão.

Se alguém quisesse reportar uma irregularidade hoje, saberia como fazer e acreditaria que seria protegido?  A resposta a essa pergunta define se o canal de denúncias é uma ferramenta ou uma decoração institucional.

Gestores que conseguem responder às três perguntas com precisão e evidências têm, no mínimo, uma base cultural sobre a qual um programa pode ser construído. Os que hesitam em qualquer uma delas já identificaram onde o trabalho precisa começar.

Construir um programa de compliance que funciona não exige estrutura de multinacional. Exige diagnóstico honesto, priorização correta e implementação consistente, com revisão periódica, porque conformidade não é um destino, é uma prática contínua.

O programa que protege é o programa que funciona

Toda organização tem uma cultura de integridade. A questão é se ela foi construída deliberadamente ou se se formou por acumulação de decisões não gerenciadas.

Uma auditoria de compliance revela qual das duas é verdadeira. Mostra o que os documentos dizem que a empresa é e o que os comportamentos mostram que ela efetivamente é. Quando há distância entre essas duas versões, o risco não está no futuro. Já está presente.

Gestores que entendem isso não tratam compliance como um requisito a ser cumprido. Tratam como um ativo a ser construído, porque um programa efetivo protege a empresa, protege as pessoas que nela trabalham e protege o patrimônio que levou anos para ser construído.

Se as três perguntas deste artigo foram fáceis de responder com evidências, a sua empresa tem uma base sólida sobre a qual trabalhar. Se alguma delas gerou hesitação, você já encontrou o ponto de partida, e ele raramente está onde se imagina.

É esse o trabalho que conduzo: avaliar, com base em evidências, a distância entre o que a sua organização documentou e o que ela pratica, e mapear o caminho para reduzir essa distância de forma estruturada e contínua.

Se quiser entender melhor o estágio atual do programa de integridade da sua empresa, vamos conversar. Uma primeira conversa serve justamente para isso: compreender o contexto da sua operação e identificar por onde faria sentido começar.

Perguntas frequentes sobre auditoria de compliance

O que é uma auditoria de compliance?

É a avaliação independente do programa de integridade de uma organização, não apenas se os documentos existem, mas se as políticas, os controles e os comportamentos funcionam na prática e podem ser comprovados por evidências.

Qual a diferença entre auditoria de compliance e auditoria contábil?

A auditoria contábil verifica se os números e demonstrações financeiras estão corretos. A auditoria de compliance verifica se a conduta, os processos e os controles internos estão alinhados às leis, às regulações aplicáveis e aos padrões que a própria empresa declarou seguir.

Toda empresa é obrigada a ter um programa de compliance?

Não há uma obrigação geral para toda e qualquer empresa, mas há contextos em que o programa se tornou determinante, como contratos públicos de grande vulto e critérios de desempate em licitações (Lei nº 14.133/2021), além de ser considerado na dosimetria de sanções da Lei Anticorrupção e exigido em processos de due diligence de parceiros e investidores.

Minha empresa é de pequeno porte. Faz sentido pensar em compliance?

Sim. Construir um programa que funciona não exige estrutura de multinacional, exige diagnóstico honesto, priorização correta e revisão periódica. Para a maioria das PMEs, o ganho está menos no volume de documentos e mais em decisões e controles proporcionais ao risco real da operação.

Com que frequência uma auditoria de compliance deve ser feita?

Conformidade é prática contínua, não evento único. O ideal é revisar o programa periodicamente e sempre que houver mudanças relevantes, novos mercados, novos fornecedores, alterações legislativas ou crescimento expressivo da operação.

Fale conosco!