Compliance e integridade: riscos, controles e investigação

Compliance não é sinônimo de código de conduta e integridade não é um selo. Um programa existe para orientar decisões quando há conflito de interesse, pressão comercial, interação com poder público, denúncia, terceiro de risco ou suspeita de irregularidade. Se ele não consegue responder a essas situações, a documentação pode estar completa e o sistema continuar vazio.

O que é compliance e integridade

Programas de integridade se relacionam com governança, controles internos, ética, anticorrupção, proteção de dados e relações de trabalho. A legislação anticorrupção brasileira e seu regulamento federal dão relevância concreta à existência e à efetividade de mecanismos de integridade em determinados contextos.

O primeiro passo é risco. Política genérica não sabe quais decisões precisa controlar. O guia sobre por que um mapa de riscos que não muda decisão é apenas decoração organiza a passagem de risco abstrato para controle concreto. Depois vêm regras, responsabilidades, treinamento, monitoramento e canais.

Investigação é uma parte especialmente sensível. Ela precisa buscar fatos sem começar pela conclusão, preservar informação e permitir decisão proporcional. Esta página conecta denúncia, apuração e resposta para evitar que cada incidente seja tratado como exceção sem aprendizado institucional.

Quando compliance e integridade entram em cena

Este conteúdo é útil para empresas que estão estruturando programa de integridade, revisando políticas, contratando terceiros de risco, respondendo a denúncia ou preparando-se para exigências de clientes e contratações públicas. Também ajuda quando compliance, RH, jurídico e segurança da informação dividem responsabilidades sobre o mesmo fato.

Terceiros também fazem parte desse sistema. Distribuidores, representantes, consultores, fornecedores e parceiros podem criar riscos que não aparecem dentro do organograma, especialmente quando atuam em nome da empresa ou têm contato com agentes públicos. Due diligence, contrato, monitoramento e resposta precisam ser proporcionais ao risco real da relação; exigir o mesmo formulário de todos produz volume, mas não necessariamente informação útil.

Canal de denúncia só funciona quando a empresa sabe o que fazer depois do relato. A página sobre como investigar sem fabricar uma conclusão ajuda a separar recebimento, triagem, preservação, entrevistas, análise e decisão. Depois, a prevenção de retaliação começa quando o relato chega, não apenas quando alguém reclama de tratamento posterior.

Terceiros merecem atenção própria porque risco pode entrar por fornecedores, representantes e parceiros. Due diligence, cláusulas, monitoramento e resposta precisam ser proporcionais à função e ao risco daquele relacionamento.

Temas para aprofundar

Tema	O que você encontra
Denúncia anônima: identidade ausente não torna o fato irrelevante	Identidade ausente não torna o fato irrelevante.
LGPD e compliance: interseção forte, responsabilidades diferentes	Interseção forte, responsabilidades diferentes.
Investigação interna: descobrir fatos sem fabricar uma conclusão	Descobrir fatos sem fabricar uma conclusão.
Políticas internas: onde o programa deixa de ser genérico	Onde o programa deixa de ser genérico.
Avaliação de riscos: mapa que não muda decisão é decoração	Mapa que não muda decisão é decoração.
Retaliação ao denunciante: o risco começa depois do relato	O risco começa depois do relato.
Código de conduta: a regra só funciona quando orienta decisões reais	A regra só funciona quando orienta decisões reais.
Conflito de interesses: transparência vem antes da suspeita	Transparência vem antes da suspeita.
Monitoramento do programa: medir atividade não é medir efetividade	Medir atividade não é medir efetividade.
Comitê de ética: governança decisória, não tribunal improvisado	Governança decisória, não tribunal improvisado.
Compliance para startups: controle mínimo antes da escala máxima	Controle mínimo antes da escala máxima.
Compliance em empresa familiar: afeto não substitui regra	Afeto não substitui regra.
Medidas disciplinares: coerência protege mais que severidade teatral	Coerência protege mais que severidade teatral.
Fraude interna: o primeiro sinal costuma parecer exceção operacional	O primeiro sinal costuma parecer exceção operacional.
Brindes e hospitalidades: o valor não é o único risco	O valor não é o único risco.
Treinamento de integridade: presença registrada não prova aprendizado	Presença registrada não prova aprendizado.
Canal de denúncias: receber relato é só o primeiro passo	Receber relato é só o primeiro passo.
Contratação de fornecedores: preço baixo não compensa terceiro opaco	Preço baixo não compensa terceiro opaco.
Programa de integridade: estrutura que precisa funcionar sob pressão	Estrutura que precisa funcionar sob pressão.
Governança corporativa: decidir, supervisionar e prestar contas	Decidir, supervisionar e prestar contas.
Anticorrupção: terceiro intermediário não apaga o risco da empresa	Terceiro intermediário não apaga o risco da empresa.
Due diligence de terceiros: consulta cadastral não é absolvição	Consulta cadastral não é absolvição.
Assédio no trabalho: política sem rota de proteção falha na prática	Política sem rota de proteção falha na prática.
Cláusula anticorrupção: texto forte sem operação vira ornamento	Texto forte sem operação vira ornamento.

O que vem primeiro?

Comece por avaliação de riscos e estrutura do programa. Depois passe por políticas internas, código de conduta, treinamento e controles. Para canais, leia denúncia anônima, canal de denúncias, retaliação e investigação. Se a preocupação é relacionamento externo, avance para terceiros, anticorrupção e cláusulas contratuais. Quando compliance cruza dados pessoais, entenda onde LGPD e integridade se encontram sem virar a mesma função.

Próximos passos

Escolha um risco real da empresa e percorra o sistema: existe regra, responsável, canal de escalonamento, evidência de treinamento, forma de monitorar e resposta prevista? Repita o exercício com outros riscos prioritários. Os guias desta página servem para preencher lacunas específicas desse percurso. O objetivo é que o programa consiga demonstrar não apenas o que afirma, mas como decide quando a regra é colocada à prova. Evidência de funcionamento vale mais do que uma coleção de documentos que nunca orientou uma decisão concreta.