Quando a palavra "compliance" aparece em uma reunião, percebo que as reações são quase sempre as mesmas: um enrijecimento sutil, um olhar de quem já sabe que vem "mais burocracia". Não é difícil entender por quê. Durante anos, o termo foi importado sem contexto, usado para nomear pilhas de documentos que ninguém lia e treinamentos anuais que ninguém aplicava. Uma casca sem conteúdo.
Mas a realidade de um programa de compliance bem estruturado é completamente diferente disso — e, nos últimos anos, o custo de não tê-lo se tornou concreto demais para continuar sendo tratado como assunto de multinacional.
Compliance não protege a empresa do papel. Protege do que acontece na prática.
Um programa de integridade genuíno não existe para que a empresa tenha um documento bonito guardado em alguma pasta. Ele existe para que, quando algo der errado — e eventualmente algo sempre dá — haja evidência robusta de que a organização tinha estruturas para prevenir, detectar e corrigir desvios. Essa diferença é o que separa uma multa administrativa de uma condenação, e uma empresa que atravessa uma crise de imagem daquela que não a atravessa.
No Brasil, dois marcos legais tornaram o compliance estruturado uma necessidade objetiva, não mais uma opção.
A Lei Anticorrupção (Lei nº 12.846/2013) estabeleceu responsabilidade objetiva para pessoas jurídicas envolvidas em atos de corrupção contra a administração pública. Isso significa que a empresa pode ser condenada independentemente de dolo ou culpa — basta que o ato tenha ocorrido em seu benefício. As sanções chegam a 20% do faturamento bruto do exercício anterior. E o único atenuante expressamente previsto no artigo 7º, VIII da lei é — precisamente — a existência de um programa de integridade efetivo. Não burocrático. Efetivo.
A LGPD (Lei nº 13.709/2020) entrou no mesmo raciocínio, mas no campo dos dados pessoais. Qualquer empresa que colete, armazene, trate ou compartilhe dados de pessoas físicas — clientes, colaboradores, fornecedores — está sujeita à fiscalização da Autoridade Nacional de Proteção de Dados (ANPD) e a sanções que chegam a 2% do faturamento anual, limitadas a R$ 50 milhões por infração. A ANPD começou a aplicar sanções e o número de processos cresce a cada semestre.
Os cinco pilares que fazem a diferença entre um programa real e um de fachada
Há uma diferença muito clara entre ter compliance no papel e ter compliance na prática. Vejo ambas as versões no mercado paraibano, e a distinção fica evidente na primeira crise que aparece. Um programa que funciona de verdade repousa sobre cinco alicerces que precisam coexistir.
O primeiro é o comprometimento da liderança. Nenhum programa sobrevive se os sócios e gestores abrem exceções para si mesmos ou para clientes estratégicos. A cultura de integridade começa no topo — no tom que a liderança dá às decisões cotidianas, não no texto que ela aprova para o código de conduta. Quando a liderança age de forma inconsistente com o que o programa prega, os colaboradores percebem antes de qualquer auditoria.
O segundo é a análise de riscos específica para aquele negócio. Uma construtora que contrata com o poder público não tem os mesmos riscos de um consultório médico ou de uma loja de varejo. O mapa de riscos precisa ser construído a partir da realidade operacional da empresa — suas vulnerabilidades, seus processos críticos, seus parceiros — não copiado de um modelo genérico que serve para qualquer empresa e, portanto, não serve completamente para nenhuma.
O terceiro pilar são as políticas e procedimentos. E aqui mora um erro frequente: criar documentos longos, em linguagem técnica, que os colaboradores jamais conseguirão aplicar no dia a dia. Boas políticas são diretas, compreensíveis e acessíveis. Elas dizem claramente o que é permitido, o que não é e o que fazer quando a situação for ambígua — porque é exatamente nas zonas cinzentas que os problemas aparecem.
O quarto é o treinamento que funciona. Não o treinamento de checkbox — aquele que acontece uma vez por ano, com slides idênticos para todos os cargos, para marcar um campo no relatório. O treinamento que produz efeito retorna ao tema com frequência, usa exemplos concretos do setor, adapta a linguagem para cada área e cria canais onde as dúvidas possam ser resolvidas antes de virarem problemas. Canal de denúncias com garantia de anonimato não é luxo — é elemento básico de qualquer programa sério.
O quinto e mais revelador é o monitoramento e a remediação. Um programa que detecta um desvio e não age sobre ele é pior do que um que não detecta: ele demonstra conivência. A capacidade de investigar denúncias com seriedade, aplicar sanções disciplinares consistentes — independentemente de hierarquia — e corrigir os controles que falharam é o que transforma um programa de compliance em algo que a empresa, os clientes e as autoridades regulatórias podem levar a sério.
LGPD: o que sua empresa precisa fazer — sem enrolação
A LGPD gera mais ansiedade do que ação em muitas empresas. Vou ser direto sobre o ponto de partida: saiba quais dados você coleta e com que finalidade.
Todo tratamento de dados pessoais precisa de uma base legal — a lei prevê dez, das quais as mais comuns no ambiente empresarial são o consentimento do titular, a execução de contrato e o legítimo interesse. Não basta coletar dados "porque sempre se coletou". Para cada operação de tratamento, a empresa precisa saber qual base legal aplica e ser capaz de demonstrá-la se questionada pela ANPD ou pelo próprio titular.
Empresas que tratam dados em volume relevante, ou que lidam com dados sensíveis — saúde, dados financeiros, biometria, origem racial ou étnica — precisam indicar um Encarregado de Dados (DPO — Data Protection Officer). Essa pessoa ou empresa é o canal entre o controlador, os titulares dos dados e a ANPD. O DPO pode ser externo, o que abre a possibilidade de contratar esse serviço sem necessidade de contratação interna.
Por fim, incidentes de segurança — vazamentos, acessos não autorizados, destruição de dados — precisam ser comunicados à ANPD e aos titulares afetados em prazo razoável. A omissão de um incidente é frequentemente mais grave, do ponto de vista regulatório, do que o incidente em si: ela demonstra ausência dos controles mínimos que a lei exige.
O que o compliance entrega além da conformidade
Há um resultado do compliance que raramente aparece nos textos técnicos mas que percebo com o tempo nos clientes que implantam programas sérios: a qualidade das decisões melhora. Quando existe um processo claro de aprovação, quando os contratos são revisados por critério uniforme, quando os dados dos clientes são tratados com cuidado — a empresa opera com mais confiança, comete menos erros custosos e constrói uma reputação que abre portas, especialmente em licitações públicas e em parcerias com empresas maiores que hoje exigem compliance de seus fornecedores como condição de habilitação.
Compliance não é burocracia disfarçada. É a diferença entre uma empresa que reage aos problemas depois que eles explodem e uma empresa que os antecipa antes que virem crise. Se você quer entender como estruturar um programa adequado ao tamanho e ao setor do seu negócio — ou como sua empresa pode se adequar à LGPD de forma que realmente funcione — estou disponível para uma conversa direta sobre onde você está e o que precisa ser feito.