Compliance é o conjunto de regras, controles e rotinas que mantém a empresa em conformidade com a lei e com as regras que ela mesma definiu. Na pequena e média empresa, o mínimo é um código de conduta aprovado pelos sócios ou pelo conselho e conhecido por todos, um canal de denúncias com sigilo e não retaliação, e uma pessoa responsável por tratar cada relato, com o registro do que foi decidido. A Lei Anticorrupção (Lei 12.846/2013) leva em conta esses mecanismos na aplicação das sanções, e o Decreto 11.129/2022 lista os parâmetros de avaliação, considerando o porte da empresa.
O que é compliance
O Código das Melhores Práticas de Governança Corporativa do IBGC (6.ª edição, 2023) trata compliance como a busca permanente de coerência entre o que se espera da organização, em regras, propósito e valores, e o que ela pratica no dia a dia. O programa de compliance reúne políticas, código de conduta, canal de denúncias e outros instrumentos para prevenir, detectar e corrigir desvios.
A lei usa outro nome para o mesmo conjunto: programa de integridade. O Decreto 11.129/2022 o define como os mecanismos e procedimentos internos de integridade, auditoria e incentivo à denúncia de irregularidades, junto com a aplicação efetiva de códigos de ética e de conduta, políticas e diretrizes (artigo 56).
Por que a PME precisa do mínimo
Quatro regras alcançam empresas de qualquer porte:
- Lei Anticorrupção. A pessoa jurídica responde objetivamente pelos atos lesivos contra a administração pública praticados em seu interesse ou benefício (artigos 1º e 2º). A multa vai de 0,1% a 20% do faturamento bruto do exercício anterior (artigo 6º, I). Na aplicação das sanções, conta a existência de mecanismos de integridade, de incentivo à denúncia e de aplicação efetiva do código de conduta (artigo 7º, VIII).
- Decreto 11.129/2022. Os parâmetros de avaliação do programa são quinze (artigo 57), e a avaliação considera o porte, o número de empregados, o faturamento e a condição de microempresa ou empresa de pequeno porte (parágrafo 1º).
- Lei 14.133/2021, para quem vende ao governo. O programa de integridade é critério de desempate (artigo 60, IV), é obrigatório para o vencedor de contratações de grande vulto, em até seis meses do contrato (artigo 25, parágrafo 4º), e é condição de reabilitação em algumas infrações (artigo 163, parágrafo único).
- Lei 14.457/2022, para quem tem CIPA. As empresas obrigadas a ter a Comissão Interna de Prevenção de Acidentes e de Assédio precisam incluir regras de conduta sobre assédio sexual e outras formas de violência nas normas internas, fixar procedimentos para receber e apurar denúncias com anonimato garantido, e capacitar os empregados pelo menos a cada 12 meses (artigo 23). Quem precisa ter CIPA é definido pela NR-5, pelo número de empregados e pela atividade.
Há ainda o cliente. O Código do IBGC recomenda que a empresa estimule fornecedores e parceiros a aderir ao código de conduta dela ou a ter um código próprio compatível (item 6.1, prática d). Por isso o fornecedor pequeno de uma empresa grande pode receber um questionário de integridade ou um pedido de adesão ao código do cliente.
O que o código de conduta precisa ter
O código de conduta, também chamado de código de ética, é o documento que diz o que a empresa espera de quem age em nome dela. O IBGC recomenda que ele seja elaborado sob a liderança da diretoria, com participação das áreas, e aprovado pelo conselho (item 6.1). Na PME sem conselho, a aprovação é dos sócios, em ata.
Os itens mínimos para uma PME:
- A quem se aplica: sócios, administradores, empregados, e fornecedores e parceiros quando atuam em nome da empresa.
- Relação com agentes públicos: brindes, hospitalidade, pagamentos e quem pode falar com fiscalização, licitação e órgãos de licença.
- Conflito de interesses: negócios com parentes de sócios ou de empregados, e o que fazer quando o conflito aparece.
- Presentes e cortesias de clientes e fornecedores: limite de valor e registro.
- Assédio e discriminação: condutas proibidas e como relatar.
- Informação e registros: confidencialidade, uso de dados de clientes e registros contábeis completos.
- Canal de denúncias e não retaliação: onde relatar e a garantia de que quem relata de boa-fé não sofre represália.
- Medidas disciplinares: o que acontece em caso de descumprimento.
- Revisão: quem revisa e com que periodicidade.
Um código curto e com exemplos do dia a dia da empresa facilita o treinamento. A entrega com assinatura de ciência, no ingresso e a cada revisão, registra que cada pessoa recebeu o documento.
Como criar um canal de denúncias na PME
O Decreto 11.129/2022 pede canais abertos e amplamente divulgados a funcionários e terceiros, com mecanismos de tratamento das denúncias e de proteção de denunciantes de boa-fé (artigo 57, X). O IBGC recomenda que a ferramenta garanta imparcialidade, anonimato, confidencialidade e não retaliação, de preferência gerida por empresa terceirizada especializada (item 6.2).
Um roteiro para a PME:
- Escolher o meio. Formulário na internet que aceite relato anônimo, com acesso fora da rede da empresa. Um e-mail lido pelo dono pode inibir o relato sobre o próprio dono ou sobre quem é próximo dele.
- Definir quem recebe. Uma pessoa ou empresa de fora da linha hierárquica: um escritório de advocacia, uma empresa especializada ou um conselheiro independente.
- Escrever o fluxo e as alçadas. Quem classifica, quem apura, quem decide, em quantos dias, e quem assume quando o relato envolve a pessoa que deveria apurar.
- Registrar cada caso. Data, tema, apuração, decisão e medida aplicada, guardados com acesso restrito.
- Divulgar. No código de conduta, no site, nos contratos com fornecedores e no treinamento anual.
- Prestar contas. A diretoria apresenta ao conselho ou aos sócios um relatório consolidado na periodicidade definida, sem expor o denunciante (IBGC, item 6.2).
| Etapa | Quem | O que fica registrado | |---|---|---| | Recebimento | Canal externo ou responsável independente | Data, tema e protocolo | | Triagem | Responsável pelo compliance | Procedente para apuração ou arquivado, com motivo | | Apuração | Pessoa sem conflito com o caso | Fatos levantados e conclusão | | Decisão | Diretoria, sócios ou conselho, conforme a alçada | Medida aplicada, em ata quando couber | | Prestação de contas | Diretoria ao conselho ou aos sócios | Relatório consolidado do período |
Um exemplo
Pense numa empresa de manutenção predial de Campinas, com 90 empregados e CIPA, que atende uma indústria e três prefeituras. A indústria pede adesão ao código de conduta dela; as prefeituras contratam pela Lei 14.133.
Os sócios aprovam em ata um código de 12 páginas, com uma seção sobre agentes públicos e outra sobre assédio, e contratam um escritório de advocacia para receber os relatos por formulário anônimo. Cada trimestre, a diretoria apresenta aos sócios o número de relatos por tema, os casos encerrados e as medidas aplicadas. O treinamento anual cobre o código e as regras da Lei 14.457.
Os erros mais comuns
- Copiar o código de outra empresa, com riscos que não são os seus.
- Deixar o canal chegar a quem pode ser denunciado.
- Apurar sem registrar, e não conseguir mostrar depois o que foi feito.
- Aprovar e não treinar, sem a assinatura de ciência de cada pessoa.
- Nunca revisar, mesmo depois de mudanças de lei ou de negócio.
Como o Sonarview Boards ajuda
No Sonarview Boards, o compliance começa com as pastas prontas: código de conduta, políticas internas, normas de conformidade e continuidade de negócio organizados desde o primeiro acesso. Cada documento entra classificado por tipo, sociedade e assunto, é arquivado em vez de apagado, com histórico de acesso, e o sigilo é por papel e por pessoa. Quem abre ou baixa um documento recebe o arquivo com o nome, o e-mail e a data escritos na folha.
O recebimento das denúncias fica no canal que a empresa escolher. O que sobe ao conselho ou aos sócios, como a aprovação do código, o relatório consolidado e as decisões, segue o rito do Sonarview Boards: pauta com leitura prévia, votação com quórum, ata assinada com ICP-Brasil e tarefas com dono e prazo, com comitês dentro de qualquer colegiado. Para a diligência sobre terceiros, o Sonarview Monitor mostra, pelo nome ou pelo CNPJ, se um fornecedor ou parceiro consta do CEIS ou do CNEP antes de a empresa fechar com ele.