Programa de integridade: estrutura que precisa funcionar sob pressão

Programa de integridade não é uma pasta de políticas. É um sistema de decisões, controles e evidências construído para prevenir, detectar e responder a desvios. A Lei nº 12.846/2013 prevê responsabilização da pessoa jurídica por atos lesivos contra a administração pública; o Decreto nº 11.129/2022 trata o programa de integridade como elemento que precisa ser avaliado em sua existência e aplicação, não apenas em sua apresentação formal.

O desenho começa pelo risco, não pelo organograma

A empresa precisa observar onde suas decisões podem produzir conflito, fraude, pagamento indevido, manipulação de registro, tratamento inadequado de dados ou desvio na relação com terceiros e poder público. A avaliação de riscos transforma essa exposição em prioridades. Sem ela, é comum dedicar energia a controles visíveis e ignorar justamente a operação mais sensível.

O guia de 2024 da CGU para empresas privadas enfatiza apoio da alta direção, autonomia da instância responsável, análise de riscos, regras, controles, diligência de terceiros, canais de denúncia, treinamento e monitoramento. Isso não significa que toda empresa precise da mesma estrutura. Significa que os mecanismos escolhidos devem cobrir riscos reais e ter responsáveis, recursos e registros compatíveis com o porte e a operação.

O programa precisa sobreviver ao primeiro caso difícil

A efetividade aparece quando a regra entra em choque com uma venda importante, um fornecedor estratégico ou uma pessoa hierarquicamente forte. Nessa hora, deve estar claro quem pode interromper a operação, quem recebe a denúncia, como se preserva evidência, quem decide conflito de interesse e como se registra uma exceção.

Um canal de denúncias sem triagem ou uma política sem aprovador real criam aparência de controle. O mesmo vale para treinamento que registra presença, mas não ensina a reconhecer o risco. O teste mais útil é reconstruir uma situação do início ao encerramento e comparar o caminho real com o procedimento prometido.

Evidência de execução fecha o ciclo

Programa maduro deixa rastros: avaliações de risco atualizadas, aprovações, diligências, treinamentos, investigações, medidas corretivas e testes de controle. O monitoramento do programa usa esses sinais para descobrir onde a regra está sendo contornada, esquecida ou mal desenhada.

Quando uma falha é detectada, a resposta não termina em alterar o documento. É preciso atribuir responsável, implementar correção, verificar se ela funcionou e, se necessário, rever risco, treinamento ou contrato. Esse ciclo é o que transforma compliance de discurso institucional em infraestrutura operacional.

Proporcionalidade precisa ser demonstrável

Empresa menor pode concentrar funções, usar controles manuais e terceirizar parte do canal ou da investigação. O ponto é explicar por que o desenho cobre seus riscos e como conflitos serão contornados. “Somos pequenos” não substitui responsável, registro ou rota alternativa quando a pessoa responsável está envolvida no caso.