Na rotina empresarial, o doutor Gilmar Stelo, referência em atuação estratégica no Direito, avalia que o compliance só ganha valor quando orienta decisões concretas, e não quando permanece restrito à apresentação institucional. Um código de conduta pode estar disponível na intranet e, ainda assim, não esclarecer quem deve avaliar o risco, quais registros precisam ser mantidos ou que providência deve ser adotada diante de uma denúncia, contratação ou despesa excepcional.
A Controladoria-Geral da União recomenda que empresas privadas adotem padrões éticos, mecanismos de prevenção baseados em gestão de riscos, governança e diligência prévia nas relações com parceiros e prestadores. Confira a seguir como transformar essas referências em critérios práticos para decidir, registrar e corrigir condutas dentro da organização.
O que diferencia regra escrita de programa efetivo?
A existência de uma política não prova que a empresa consiga prevenir irregularidades. Um programa efetivo precisa conectar código de conduta, treinamento, canal de denúncias, apuração e resposta. Se esses elementos funcionam isoladamente, a organização até produz documentos, mas não cria um caminho confiável para agir diante de um risco.
Nesse sentido, o doutor Gilmar Stelo observa que a primeira pergunta não deve ser quantas páginas tem o manual, mas quais decisões ele consegue orientar. Uma regra útil esclarece quem pode aprovar determinada operação, que conflito exige análise adicional e como uma exceção será justificada. A clareza reduz improvisos e também facilita a verificação posterior do que foi feito.
Por que o risco precisa ser mapeado antes da regra?
Cada empresa está exposta a situações diferentes. Uma indústria pode concentrar riscos em licenças, fornecedores e segurança operacional; uma prestadora de serviços pode enfrentar maior exposição em subcontratações, dados e relacionamento com agentes públicos. Copiar um programa de outra organização tende a ocultar os pontos que realmente exigem controle.
O Decreto nº 12.304/2024 determina, nas hipóteses em que se aplica, que o programa de integridade seja estruturado, aplicado e atualizado conforme as características e os riscos relevantes da pessoa jurídica. Para Gilmar Stelo, essa lógica também vale fora dessas situações: primeiro a empresa identifica onde uma conduta inadequada pode ocorrer; depois define controles proporcionais ao problema.
Como a governança transforma orientação em decisão?
Um risco mapeado precisa ter responsável, prazo e evidência de acompanhamento. Isso significa definir quem analisa um fornecedor, quem aprova uma contratação excepcional, qual área recebe uma denúncia e em que momento a direção deve ser informada. Sem essa distribuição, a regra existe, mas ninguém sabe quando deve acioná-la.
Na prática, a governança também exige separar funções incompatíveis. A pessoa que solicita uma despesa não deveria concentrar sua aprovação e conferência. Da mesma forma, quem conduz uma apuração precisa ter independência suficiente para examinar os fatos. Esses limites não tornam a empresa mais lenta por si só; eles reduzem decisões sem registro e diminuem a dependência de uma única pessoa.
O que fazer quando surge uma denúncia?
O canal de denúncias é apenas a porta de entrada. Depois do relato, a empresa precisa registrar o recebimento, proteger as informações, avaliar eventual conflito de interesses e definir quem conduzirá a apuração. Também deve estabelecer critérios para preservar documentos e comunicar providências sem expor indevidamente as pessoas envolvidas.
A resposta precisa ser proporcional e coerente com as regras internas. Uma denúncia ignorada enfraquece a confiança no sistema; uma punição sem apuração pode produzir outro tipo de risco, inclusive trabalhista ou reputacional. Por isso, o procedimento deve prever análise dos fatos, direito de manifestação quando cabível e documentação da decisão tomada.
Compliance precisa sobreviver à troca de pessoas
Um programa dependente da memória de um gestor perde força quando há mudança na liderança ou crescimento da operação. Para permanecer funcional, ele precisa de processos documentados, treinamentos recorrentes, revisão de riscos e indicadores que mostrem se os controles estão sendo usados. A atualização não é um evento anual, mas uma resposta a mudanças no negócio.
Na leitura do advogado Gilmar Stelo, o compliance cumpre sua função quando ajuda a empresa a explicar por que decidiu, quem participou e que providência adotou diante de um desvio. Essa rastreabilidade protege a organização sem transformar toda decisão em burocracia. O objetivo não é prometer que nenhum problema ocorrerá, mas criar capacidade real de prevenir, detectar e corrigir condutas antes que elas comprometam a continuidade do negócio.
