Identificar um risco é apenas parte do trabalho de um Programa de Integridade. A diferença entre uma estrutura que existe formalmente e outra que funciona de maneira efetiva aparece, muitas vezes, no que acontece depois que uma situação sensível chega ao conhecimento da organização.
Um colaborador percebe uma inconsistência em um documento que será apresentado em uma licitação. Durante a execução de um contrato público, alguém solicita que uma informação seja registrada de maneira diferente daquilo que efetivamente ocorreu. Um representante comercial relata uma abordagem inadequada. Surge uma suspeita envolvendo um terceiro. Ou um profissional recebe uma proposta que pode representar vantagem indevida.
O que acontece a partir daí?
Essa pergunta é particularmente relevante para empresas que atuam com a Administração Pública. Não basta orientar colaboradores a “reportarem situações suspeitas” se a própria organização não definiu como essas informações serão recebidas, avaliadas, escalonadas e tratadas. Quando o fluxo de resposta é incerto, existe o risco de cada profissional decidir sozinho como agir justamente nos momentos em que a decisão exige maior cautela.
Um Programa de Integridade efetivo precisa, portanto, desenvolver não apenas capacidade de prevenção e detecção, mas também de resposta.
Identificar não significa concluir
O primeiro cuidado está em separar identificação de julgamento. Uma inconsistência, comportamento incomum ou sinal de alerta não significa automaticamente que ocorreu fraude, corrupção ou qualquer outro ilícito. Como abordamos anteriormente, uma red flag indica a necessidade de atenção e análise adicional; não representa, isoladamente, uma conclusão sobre os fatos.
Esse entendimento é importante porque existem dois extremos igualmente problemáticos. De um lado, organizações que ignoram sinais relevantes porque não possuem certeza sobre a existência de uma irregularidade. De outro, aquelas que transformam qualquer inconsistência em acusação antes de compreender adequadamente o contexto.
O papel inicial do colaborador não é investigar, confrontar pessoas ou realizar enquadramentos jurídicos. Sua responsabilidade deve estar claramente definida: reconhecer a situação, evitar decisões que possam ampliar o risco e acionar os mecanismos internos estabelecidos pela empresa.
A partir desse momento, a avaliação precisa ser conduzida por profissionais com competência e independência adequadas à natureza da ocorrência. Dependendo da estrutura e da gravidade do caso, isso pode envolver Compliance, Jurídico, Auditoria, Alta Direção ou outros responsáveis previamente designados.
Essa lógica está alinhada à própria estrutura esperada de um Programa de Integridade. A Controladoria-Geral da União considera, entre os parâmetros de avaliação, a existência de canais para reporte de irregularidades, mecanismos destinados à interrupção e remediação de ilícitos e procedimentos que assegurem a aplicação efetiva das medidas de integridade.
A resposta precisa estar definida antes da ocorrência
Um dos erros mais comuns na gestão de riscos é estruturar cuidadosamente mecanismos preventivos e deixar a resposta para ser definida somente quando um problema acontece.
Nesse cenário, surgem perguntas justamente no pior momento: quem deve ser comunicado? O gestor imediato precisa participar? Compliance deve ser acionado diretamente? O colaborador pode conversar com a pessoa envolvida? Quais documentos precisam ser preservados? A atividade deve continuar? Existe necessidade de interromper determinado procedimento?
Não existe uma única resposta aplicável a todas as ocorrências. O que precisa existir é um fluxo previamente definido.
Situações de menor criticidade podem demandar orientação, correção de procedimento e registro. Outras podem exigir análise aprofundada, preservação de evidências, envolvimento do Jurídico, investigação interna ou comunicação à Alta Direção. Em determinados casos, também poderá ser necessária a avaliação de providências perante autoridades competentes.
O ponto central é que essas decisões não devem depender exclusivamente da percepção individual de quem encontrou o problema.
Também é importante compreender que o canal de denúncias, embora essencial, não substitui toda a estrutura de comunicação de integridade. Nem toda dúvida operacional precisa necessariamente se transformar em uma denúncia formal. Uma empresa madura deve permitir que seus profissionais também busquem orientação antes de tomar uma decisão potencialmente sensível.
Às vezes, prevenir uma irregularidade depende simplesmente de o colaborador saber a quem perguntar antes de agir.
Preservar informações também faz parte da resposta
Quando uma ocorrência apresenta maior relevância, outro cuidado passa a ser necessário: preservar aquilo que permitirá compreender posteriormente o que aconteceu.
E-mails, mensagens, documentos, registros de sistemas, versões de arquivos, comunicações com terceiros e outras evidências podem ser importantes para reconstruir os fatos. Alterar, excluir ou produzir novos registros com o objetivo de “corrigir” retrospectivamente uma situação pode dificultar a análise e, dependendo das circunstâncias, ampliar significativamente o problema.
Isso não significa que o colaborador deva iniciar sua própria investigação. Pelo contrário. A preservação precisa ocorrer sem manipulação dos elementos existentes e de acordo com os procedimentos internos da organização.
O mesmo cuidado vale para confrontos precipitados. Ao identificar uma situação suspeita, tentar obter confissões, criar armadilhas, negociar informalmente com pessoas envolvidas ou conduzir entrevistas sem preparação pode comprometer uma eventual apuração.
Investigações internas exigem metodologia, confidencialidade, definição adequada de responsabilidades e respeito aos direitos das pessoas envolvidas. Por isso, a resposta institucional precisa ser proporcional à natureza e à gravidade dos fatos.
Na prática, empresas costumam dedicar bastante atenção à elaboração de políticas, códigos de conduta e canais de denúncia. Entretanto, existe uma pergunta simples que ajuda a avaliar a efetividade dessa estrutura:
Se um colaborador identificar amanhã uma possível irregularidade envolvendo uma contratação pública, ele saberá exatamente o que fazer?
Saber que determinada conduta é proibida é importante. Mas isso não significa necessariamente saber como reagir quando ela acontece.
Imagine um profissional que recebe uma solicitação para alterar uma informação antes de encaminhá-la ao órgão público. Outro percebe que determinado documento não representa exatamente aquilo que foi entregue. Um terceiro recebe uma abordagem sugerindo algum tipo de vantagem para facilitar uma decisão administrativa.
Esses profissionais precisam saber que não devem improvisar.
Precisam conhecer os limites de sua atuação, saber quem acionar e compreender que interromper momentaneamente uma decisão para buscar orientação pode representar justamente o funcionamento adequado dos controles da organização.
É por isso que treinamentos baseados apenas na leitura de políticas possuem alcance limitado. Quando os profissionais trabalham com situações próximas daquelas que podem encontrar no cotidiano, a integridade deixa de ser uma regra abstrata e passa a orientar decisões reais.
A maturidade de um Programa de Integridade também pode ser percebida pela qualidade das respostas que a organização consegue dar quando seus controles identificam algo fora da normalidade.
O objetivo não é apenas descobrir problemas. É saber o que fazer quando eles aparecem.
Do reporte à melhoria dos controles
A resposta não deveria terminar com a conclusão de uma análise ou investigação. Toda ocorrência relevante pode revelar informações sobre a própria estrutura de controles da empresa.
Como aquela situação aconteceu? Algum procedimento era insuficiente? Existia concentração excessiva de responsabilidades? Faltava supervisão? O terceiro envolvido havia passado por Due Diligence adequada? Os colaboradores conheciam as regras? Havia pressão comercial capaz de estimular decisões inadequadas? O risco já havia sido identificado anteriormente?
Responder a essas perguntas permite transformar uma ocorrência em aprendizado organizacional.
A lógica de monitoramento e aperfeiçoamento contínuo é parte essencial dos Programas de Integridade. A avaliação periódica dos riscos e a revisão dos controles permitem que mudanças na operação, no ambiente regulatório e nas relações comerciais sejam incorporadas ao sistema de integridade da organização.
Para empresas que atuam no mercado público, essa capacidade é ainda mais relevante. Licitações, contratos, interações com agentes públicos, terceiros, fabricantes, parceiros e canais comerciais criam diferentes pontos de exposição que precisam ser acompanhados ao longo do tempo.
Um Programa de Integridade efetivo, portanto, não é aquele em que nenhuma ocorrência é registrada. A ausência absoluta de relatos pode, inclusive, exigir uma avaliação sobre o conhecimento e a confiança dos profissionais nos mecanismos existentes.
Maturidade está na capacidade de prevenir quando possível, identificar quando necessário, responder adequadamente e aprender com aquilo que aconteceu.
Porque a efetividade do Compliance não é demonstrada apenas pela existência de políticas ou controles.
Ela também aparece quando surge uma situação difícil e a organização sabe exatamente como agir.
A Paseli Consulting atua na implantação e no fortalecimento de Programas de Compliance e Integridade, gestão de riscos e Boas Práticas em Vendas para Governo, apoiando organizações na estruturação de mecanismos de prevenção, detecção e resposta adequados à realidade de suas operações.
Fontes e referências
BRASIL. Controladoria-Geral da União (CGU). Programa de Integridade: Diretrizes para Empresas Privadas. Orientações para estruturação e aperfeiçoamento de Programas de Integridade.
Consultar publicação da CGU
BRASIL. Decreto nº 11.129, de 11 de julho de 2022. Regulamenta a Lei nº 12.846/2013 e estabelece parâmetros relacionados à avaliação dos Programas de Integridade.
Consultar Decreto nº 11.129/2022
BRASIL. Lei nº 12.846, de 1º de agosto de 2013. Dispõe sobre a responsabilização administrativa e civil de pessoas jurídicas pela prática de atos contra a Administração Pública.
Consultar Lei nº 12.846/2013