Sua empresa está blindada contra multas, fraudes e exclusão de licitações públicas?

Boa parte das empresas acredita estar "em dia" com a LGPD porque tem uma política de privacidade publicada no site. Na prática, isso cobre uma fração pequena do que a lei exige: mapeamento de dados, base legal para cada tratamento, contratos com fornecedores que acessam dados pessoais, e um plano de resposta a incidentes.

O primeiro passo real é o mapeamento: quais dados pessoais sua empresa coleta, de onde vêm, onde ficam armazenados, quem tem acesso e por quanto tempo são mantidos. Sem esse inventário, qualquer política escrita é apenas um documento — não um processo.

Em seguida, cada tratamento de dado precisa de uma base legal válida (consentimento, execução de contrato, legítimo interesse, entre outras previstas na lei), e os contratos com fornecedores que processam dados em nome da empresa devem prever cláusulas específicas de proteção de dados.

Por fim, vale lembrar que a ANPD pode aplicar multas de até R$ 50 milhões por infração. Ter um plano de resposta a incidentes testado — não apenas escrito — costuma ser o que separa uma empresa que sofre um dano reputacional grande de uma que contorna bem uma falha pontual.

A Lei 12.846/13 prevê responsabilização objetiva: a empresa pode responder por um ato de corrupção mesmo sem que a diretoria tenha dado a ordem ou tido conhecimento dele. Basta que o ato tenha sido praticado em seu interesse ou benefício, por um funcionário, representante ou parceiro de negócio.

É esse ponto que costuma pegar gestores de surpresa: a existência de um programa de integridade estruturado não impede um ilícito isolado, mas é justamente o que a lei considera na hora de calcular a penalidade — e em processos de licitação pública, pode ser a diferença entre poder ou não participar.

As multas previstas vão de 0,1% a 20% do faturamento bruto da empresa no exercício anterior, o que em negócios de médio e grande porte representa valores capazes de comprometer a operação inteira.

Um programa de compliance anticorrupção eficaz combina três frentes: políticas claras e comunicadas, controles internos aplicados no dia a dia (não só no papel) e um canal de denúncias que funcione de verdade.

A Lei Anticorrupção prevê responsabilização solidária: se um fornecedor ou parceiro comercial pratica um ato ilícito em benefício da sua empresa, ela também pode responder por isso. Por isso, avaliar a integridade de terceiros antes de assinar um contrato deixou de ser boa prática e virou proteção jurídica básica.

Uma Due Diligence de integridade bem-feita não se resume a pedir uma certidão negativa. Ela verifica histórico de litígios, vínculos societários, presença em listas restritivas, estrutura de compliance do próprio terceiro e, em casos de maior risco, a origem dos recursos envolvidos na relação comercial.

O nível de profundidade da análise deve ser proporcional ao risco: um fornecedor de material de escritório não exige o mesmo escrutínio que um intermediário em uma negociação com o setor público.

Empresas que estruturam esse processo desde o início da relação comercial — e não depois que um problema aparece — reduzem de forma significativa a exposição a passivos ocultos.

Uma denúncia recebida é só o início. A forma como a empresa conduz a apuração a partir daí é o que determina se o problema é resolvido de forma justa e definitiva, ou se vira um passivo ainda maior — trabalhista, reputacional ou jurídico.

Uma investigação interna bem conduzida começa por definir escopo e responsáveis antes de qualquer entrevista ou coleta de evidência, preservando o sigilo do processo e evitando retaliação contra quem denunciou ou foi ouvido.

A coleta de evidências — documentos, mensagens, entrevistas — precisa seguir uma metodologia consistente, com registro formal de cada etapa. É esse cuidado que garante que as conclusões da apuração resistam a um questionamento posterior, seja em um processo interno ou judicial.

Temos apoiado empresas clientes nessas apurações, unindo metodologia estruturada ao conhecimento jurídico dos sócios para transformar uma investigação interna em um processo sólido, e não em mais uma fonte de risco.

A maior parte das fraudes internas não é descoberta por auditoria — é reportada por alguém de dentro da empresa. Sem um canal seguro e confidencial para isso, esse alguém costuma escolher entre ficar calado ou levar o problema para fora, muitas vezes para a imprensa ou para um órgão regulador.

Um canal de denúncias eficaz precisa garantir sigilo real, permitir denúncias anônimas, ter um fluxo claro de apuração e — o ponto mais frequentemente ignorado — proteger formalmente quem denuncia contra retaliação.

Mais do que a ferramenta em si, o que faz o canal funcionar é a cultura em volta dele: liderança que reage às denúncias com seriedade, prazos de apuração definidos e comunicação interna de que o canal existe e é levado a sério.

Empresas com canal de ética estruturado tendem a identificar e conter problemas — fraudes, assédio, conflitos de interesse — muito antes de eles se tornarem uma crise pública ou jurídica.

A ISO 37001 é a norma internacional de gestão antissuborno. Diferente de uma política interna, ela exige um sistema de gestão auditável: avaliação de risco documentada, controles financeiros e contratuais específicos, due diligence formal de terceiros e auditorias internas periódicas.

A certificação costuma fazer mais sentido para empresas que negociam com o setor público, disputam contratos internacionais ou têm parceiros comerciais que já exigem o selo como pré-requisito — nesses casos, ela funciona como um diferencial competitivo tangível, não apenas simbólico.

O processo de preparação normalmente exige alguns meses: mapeamento de riscos, ajuste de políticas e controles, treinamento das equipes e um período de operação do sistema antes da auditoria de certificação propriamente dita.

Mesmo empresas que decidem não certificar formalmente costumam se beneficiar de adotar a estrutura da norma como referência — ela organiza, na prática, o que um programa antissuborno robusto precisa ter.

Diversas leis estaduais e municipais já condicionam a participação em licitações acima de determinado valor à existência de um programa de integridade formal na empresa licitante. Isso significa que, sem esse programa, a empresa pode estar automaticamente fora da disputa — independentemente da qualidade da proposta técnica ou comercial.

Os requisitos costumam incluir código de conduta formalizado, canal de denúncias ativo, treinamentos periódicos registrados e, em alguns casos, auditoria independente do programa. A exigência varia conforme o ente público e o valor do contrato.

Empresas que já disputam ou pretendem disputar contratos públicos se beneficiam de estruturar o programa de integridade com antecedência: a documentação exigida em editais costuma ter prazos curtos, e programas montados às pressas raramente resistem a uma análise mais criteriosa da comissão de licitação.

Além de viabilizar a participação, um programa bem estruturado reduz o risco de responsabilização solidária por atos de subcontratados ao longo da execução do contrato.