Compliance é o conjunto de práticas que ajuda uma organização a cumprir leis, regulamentos, obrigações contratuais e compromissos internos legitimamente assumidos. Sua aplicação envolve identificar requisitos, orientar condutas, estabelecer controles e corrigir irregularidades, contribuindo para uma atuação ética e responsável.
Nas empresas brasileiras, esse trabalho conecta decisões estratégicas à execução das atividades. Sua importância aparece quando as exigências precisam ser cumpridas mesmo sob pressão por resultados. Ao longo deste artigo, você entenderá como o compliance funciona, quais são seus objetivos e pilares e como estruturar um programa adequado à realidade da organização.
O que é compliance e qual é o seu significado?
A palavra compliance vem do verbo inglês to comply, que significa cumprir ou estar em conformidade. No ambiente organizacional, refere-se à observância das obrigações aplicáveis ao negócio e à adoção de mecanismos para que esse cumprimento aconteça de forma consistente.
Essas obrigações podem ter diferentes origens: legislação, regulamentação setorial, contratos, políticas internas e compromissos voluntariamente assumidos. É necessário distinguir cada origem, pois suas consequências e formas de cobrança variam. Uma política interna, por exemplo, precisa respeitar a legislação e os direitos das pessoas.
O termo também pode designar a função que orienta e acompanha a conformidade. Já o programa de compliance é a estrutura organizada para colocar esse trabalho em prática. Portanto, convém diferenciar três usos:
- Estar em compliance: atender aos requisitos aplicáveis a determinada atividade ou situação.
- Função de compliance: coordenar orientações, avaliações e acompanhamento da conformidade.
- Programa de compliance: integrar responsabilidades, políticas, controles e recursos para prevenir, detectar e tratar descumprimentos.
Uma empresa pode estar em conformidade com determinada obrigação e apresentar falhas em outra. Por isso, afirmar que uma organização está em compliance exige delimitar o assunto, o período e as evidências consideradas.
Qual é a relação entre compliance, ética e integridade?
A ética orienta a reflexão sobre condutas e decisões responsáveis. A integridade envolve coerência entre valores declarados e comportamentos efetivos. O compliance contribui para transformar obrigações e compromissos em práticas verificáveis.
Essas dimensões se complementam. Regras precisam de pessoas capazes de compreender sua finalidade, enquanto valores precisam se refletir em decisões, incentivos e procedimentos. Uma cultura de integridade perde credibilidade quando a liderança tolera violações para alcançar metas.
Qual é a importância do compliance?
O compliance ajuda a organização a reconhecer limites e responsabilidades antes de assumir compromissos ou executar atividades. Com isso, contribui para reduzir exposições a sanções, perdas financeiras, disputas contratuais e danos à reputação decorrentes de descumprimentos.
Seu valor também está na qualidade da gestão. Quando requisitos, responsáveis e critérios de aprovação são claros, as equipes conseguem identificar situações que exigem consulta, correção ou decisão de uma autoridade superior. Isso reduz a dependência de interpretações individuais e de soluções improvisadas.
Nas relações comerciais, mecanismos efetivos de conformidade podem apoiar a avaliação de fornecedores e a demonstração de confiabilidade. Esses benefícios dependem da aplicação dos controles e das exigências de cada relação de negócio.
Principais objetivos do compliance
Os objetivos podem ser organizados em seis frentes:
- Prevenir descumprimentos: reconhecer obrigações e reduzir condições que favoreçam violações.
- Detectar irregularidades: identificar desvios por meio de controles, monitoramento e relatos.
- Responder adequadamente: interromper condutas inadequadas, apurar fatos e corrigir suas causas.
- Orientar decisões: esclarecer requisitos, responsabilidades e limites de atuação.
- Promover integridade: alinhar comportamentos, metas e incentivos aos compromissos da organização.
- Demonstrar conformidade: manter registros confiáveis sobre o cumprimento das obrigações e o funcionamento dos controles.
O programa reduz riscos e melhora a capacidade de resposta. Sua existência, por si só, não assegura que toda irregularidade será evitada.
Como funciona o compliance na prática?
O compliance funciona como um processo contínuo que conecta requisitos à rotina. Um fluxo prático pode seguir estas etapas:
- Identificar as obrigações: levantar o que se aplica a cada atividade, unidade e relação contratual.
- Avaliar os riscos de descumprimento: entender onde a obrigação pode deixar de ser atendida e quais seriam as consequências.
- Definir controles e responsabilidades: estabelecer quem executa, quem aprova, quem verifica e quais registros serão mantidos.
- Orientar as pessoas: comunicar as regras e ensinar como agir diante de dúvidas ou pressões indevidas.
- Acompanhar e apurar: verificar a aplicação dos controles e tratar sinais de irregularidade.
- Corrigir e aperfeiçoar: solucionar falhas, rever suas causas e atualizar os procedimentos.
Para cada obrigação relevante, a empresa precisa conseguir responder: qual é o requisito, quem responde por ele, como será cumprido e qual evidência demonstrará esse cumprimento?
Quem é responsável pelo compliance?
A alta direção responde pelo apoio, pelos recursos e pelas decisões que sustentam o programa. Os gestores são responsáveis pela conformidade das atividades sob sua gestão, e os trabalhadores precisam observar as orientações aplicáveis às suas funções.
A área ou o profissional de compliance coordena o programa, orienta e monitora sua aplicação, conforme as atribuições definidas pela organização. Jurídico, recursos humanos, segurança, finanças, tecnologia e demais áreas contribuem com suas competências. A assessoria externa pode apoiar esse trabalho, preservando a responsabilidade da empresa por suas decisões.
Compliance, governança, gestão de riscos e auditoria
Esses elementos se articulam, com finalidades próprias:
| Elemento | Finalidade principal | Relação com a conformidade |
|---|---|---|
| Governança corporativa | Direcionar e supervisionar a organização e definir responsabilidades pelas decisões | Estabelece supervisão e prestação de contas sobre o programa |
| Gestão de riscos | Identificar, analisar, avaliar e tratar incertezas que afetam os objetivos | Inclui os riscos de descumprimento entre os riscos organizacionais |
| Compliance | Estruturar e acompanhar o cumprimento de obrigações | Orienta requisitos e monitora a conformidade |
| Controles internos | Executar medidas que apoiem objetivos e reduzam riscos | Incorporam verificações e autorizações à rotina |
| Auditoria interna | Avaliar com independência a governança, os riscos e os controles | Examina a adequação e a efetividade dos mecanismos, inclusive os de compliance |
Essa distinção ajuda a distribuir responsabilidades e a evitar que a verificação independente fique a cargo de quem executa a própria atividade avaliada.
O que é um programa de compliance?
Programa de compliance é o conjunto coordenado de responsabilidades, políticas, procedimentos, controles, comunicação e monitoramento voltado ao cumprimento das obrigações da organização. Sua estrutura precisa considerar o porte, a complexidade, o setor e os riscos do negócio.
O programa dá continuidade ao trabalho: estabelece critérios para decidir, meios para relatar problemas, procedimentos de apuração e formas de acompanhar as correções. Sua efetividade depende da presença desses mecanismos na execução das atividades.
Programa de compliance e programa de integridade são a mesma coisa?
No uso empresarial, as expressões aparecem frequentemente associadas. Entretanto, o programa de integridade possui definição específica no contexto da legislação anticorrupção brasileira.
O artigo 56 do Decreto nº 11.129/2022 relaciona esse programa à prevenção, detecção e correção de desvios, fraudes, irregularidades e atos ilícitos contra a administração pública, nacional ou estrangeira, e à promoção de uma cultura de integridade. Um programa de compliance pode abranger outras obrigações além desse recorte.
A Lei nº 12.846/2013, conhecida como Lei Anticorrupção, trata da responsabilização objetiva administrativa e civil de pessoas jurídicas por atos lesivos contra a administração pública. Seu artigo 7º, inciso VIII, determina que mecanismos de integridade e sua aplicação efetiva sejam considerados na aplicação das sanções. Isso não representa imunidade à responsabilização.
O programa de compliance é obrigatório no Brasil?
A resposta depende da norma, do setor, da contratação e da situação da empresa. É preciso distinguir a obrigação de cumprir a legislação da exigência específica de implantar determinado programa.
Um exemplo está no artigo 25, § 4º, da Lei nº 14.133/2021: nas contratações de obras, serviços e fornecimentos de grande vulto, o edital deve prever a implantação de programa de integridade pelo licitante vencedor em até seis meses da celebração do contrato.
O Decreto nº 12.304/2024 disciplina parâmetros e avaliação desses programas no âmbito da administração pública federal direta, autárquica e fundacional, além das situações de transferência de recursos da União previstas em seu texto.
Assim, a análise deve identificar a exigência aplicável à organização, incluindo legislação setorial, regras do ente contratante e obrigações contratuais. Uma recomendação de gestão não deve ser apresentada como imposição legal universal.
Quais são os principais tipos de compliance?
Os tipos de compliance representam recortes de atuação. A classificação varia entre organizações, e um mesmo processo pode envolver vários deles.
| Tipo | Foco principal | Aplicação na gestão |
|---|---|---|
| Anticorrupção e integridade | Prevenção de suborno, corrupção e outras violações à integridade | Regras para interações com agentes públicos, presentes, doações e intermediários |
| Regulatório | Atendimento às exigências dos órgãos que regulam a atividade | Acompanhamento de autorizações, condições de funcionamento e obrigações de informação |
| Trabalhista e previdenciário | Cumprimento de obrigações nas relações de trabalho | Verificação de práticas de contratação, remuneração, jornada e recolhimentos |
| Tributário e fiscal | Atendimento às obrigações tributárias principais e acessórias | Controles sobre apuração, pagamento e entrega de informações |
| Ambiental | Observância dos requisitos ambientais aplicáveis | Acompanhamento de licenças, condicionantes e registros de controle |
| Proteção de dados pessoais | Conformidade no tratamento de dados pessoais | Definição de finalidade, fundamento legal, acesso, retenção e segurança |
| Concorrencial | Prevenção de práticas que violem a defesa da concorrência | Orientações sobre contatos com concorrentes e troca de informações comerciais |
| Contratual | Cumprimento dos compromissos assumidos nos contratos | Controle de entregas, restrições, comprovações e responsabilidades |
No recorte de proteção de dados, a Lei nº 13.709/2018, a LGPD, estabelece princípios como finalidade, necessidade e segurança. Seu artigo 46 exige medidas técnicas e administrativas de proteção dos dados pessoais. A aplicação deve considerar o tratamento realizado e as disposições pertinentes da lei.
Quais são os pilares do compliance?
Há diferentes formas de organizar os pilares de um programa. A classificação em cinco pilares difundida pela Controladoria-Geral da União, a CGU, oferece uma referência útil. O guia publicado em 2024 reforça que seus elementos são dinâmicos, interdependentes e sujeitos à melhoria contínua.
1. Comprometimento e apoio da alta direção
A liderança precisa sustentar o programa com decisões e recursos. Isso envolve cobrar condutas coerentes, analisar problemas relevantes e evitar incentivos que favoreçam violações. O comportamento dos dirigentes influencia a credibilidade das regras.
2. Instância responsável pelo programa
A organização precisa definir quem coordena o trabalho, com atribuições, autoridade, recursos e acesso às instâncias decisórias. Também é necessário prever como serão tratados casos que envolvam pessoas capazes de interferir na apuração.
3. Análise do perfil e dos riscos
O programa deve considerar as atividades, os locais de operação, os parceiros, as obrigações e os pontos de exposição da empresa. Essa análise orienta prioridades e permite aplicar recursos onde o risco exige maior atenção. O comprometimento da direção, a autonomia da instância responsável e a gestão de riscos estão entre os parâmetros de avaliação previstos no artigo 57 do Decreto nº 11.129/2022.
4. Estruturação de regras e instrumentos
Esse pilar reúne código de conduta, políticas, procedimentos, controles, treinamento, canais de relato e mecanismos de resposta. As orientações precisam explicar como agir nas situações relevantes para cada função.
5. Monitoramento contínuo
A empresa precisa acompanhar a aplicação dos mecanismos e a execução das correções. Mudanças no negócio, nas obrigações ou nos riscos devem provocar a revisão do programa.
Esses pilares funcionam em conjunto. Um canal acessível depende de tratamento adequado dos relatos; um controle bem desenhado depende de execução; e uma política depende de liderança coerente.
Ferramentas comuns de compliance
As ferramentas devem ser escolhidas conforme o problema que precisam resolver. Entre as mais utilizadas estão:
| Ferramenta | Para que serve | Cuidado na aplicação |
|---|---|---|
| Cadastro de obrigações | Relacionar requisitos, responsáveis, prazos e evidências | Registrar a fonte e verificar se o requisito se aplica à atividade |
| Avaliação de riscos de compliance | Priorizar situações de possível descumprimento | Considerar como as atividades acontecem e quais controles já existem |
| Código de conduta e políticas | Definir padrões de comportamento e decisão | Usar orientações compreensíveis e compatíveis com a rotina |
| Diligência de terceiros, ou due diligence | Avaliar informações relevantes sobre parceiros antes e durante a relação | Ajustar a profundidade ao risco e analisar os achados |
| Alçadas e segregação de funções | Distribuir autorizações e verificações | Prever quem pode aprovar exceções e como elas serão registradas |
| Canal de denúncias | Receber relatos de possíveis irregularidades | Proteger a confidencialidade e o denunciante de boa-fé contra retaliações |
| Registros de apuração e planos de ação | Documentar fatos, decisões e correções | Restringir acessos e acompanhar a solução das causas |
| Indicadores e testes de controles | Verificar a aplicação e os resultados do programa | Usar evidências de execução, além da existência de documentos |
As diretrizes da CGU incluem recomendações sobre código de conduta, avaliação de riscos, capacitação, diligência de terceiros, canais de denúncia e proteção ao denunciante de boa-fé.
Planilhas e sistemas podem apoiar essas atividades. A escolha depende do volume de informações, das necessidades de segurança, da rastreabilidade e dos recursos disponíveis. A qualidade do programa também depende dos critérios e das pessoas que utilizam essas ferramentas.
Normas de referência para os sistemas de gestão
A ABNT NBR ISO 37301:2021, com a Emenda 1:2024, estabelece requisitos e orientações para estruturar, implementar, avaliar e melhorar sistemas de gestão de compliance. A emenda foi publicada em 12 de junho de 2024, mantendo a identificação da edição original de 2021.
Já a ABNT NBR ISO 37001:2025, publicada em 7 de novembro de 2025, trata especificamente de sistemas de gestão antissuborno. As duas normas possuem escopos distintos e podem ser utilizadas de forma complementar na organização.
Ao adotar essas referências, a organização deve verificar a edição aplicável, suas atualizações e eventuais exigências legais ou contratuais. Uma certificação demonstra a conformidade do sistema de gestão com os requisitos avaliados, dentro do escopo certificado, mas não garante a ausência de irregularidades.
Exemplo prático de compliance
Em uma indústria de cerâmica, uma medição identifica emissão atmosférica acima do limite previsto na licença ambiental daquela operação. Para evitar repercussões no fechamento do mês, um responsável sugere retirar o resultado do relatório de acompanhamento.
Uma resposta orientada à conformidade envolve preservar o dado original, acionar os responsáveis técnicos, avaliar as providências operacionais e verificar as obrigações de comunicação ao órgão competente. As medidas concretas dependem da licença, da legislação e das condições técnicas da instalação.
O acompanhamento do caso deve alcançar a causa do desvio e a comprovação das correções. Também cabe avaliar se metas, responsabilidades ou permissões de alteração dos registros favoreceram a tentativa de ocultação.
Como implantar o compliance na empresa?
A implantação precisa produzir mudanças verificáveis. O roteiro abaixo é uma orientação prática que deve ser adaptada às obrigações e aos riscos do negócio.
1. Defina o escopo e o apoio da direção
Determine quais unidades, atividades e relações serão abrangidas. Formalize o responsável pelo programa, os recursos disponíveis e a forma de reporte à direção. Inclua um caminho de comunicação para situações que envolvam a própria liderança.
2. Faça o diagnóstico das obrigações e das práticas existentes
Levante requisitos aplicáveis e examine como são atendidos. Consulte documentos, entreviste responsáveis e observe amostras de execução. O resultado deve mostrar o que funciona, onde faltam evidências e quais lacunas exigem correção.
3. Priorize riscos e estabeleça um plano de ação
Avalie a probabilidade de descumprimento, seus impactos e os controles existentes. Defina prioridades, responsáveis, prazos e critérios de conclusão. Obrigações exigíveis precisam de tratamento compatível com seus prazos e consequências.
4. Incorpore os controles aos processos
Estabeleça critérios de aprovação, verificações, registros e tratamento de exceções nos pontos em que as decisões acontecem. Cada controle precisa ter finalidade clara e responsável por sua execução.
5. Capacite as pessoas e estruture os relatos
Adapte o treinamento às funções. Ensine como reconhecer dúvidas, consultar responsáveis e relatar pressões indevidas. Defina a recepção, a triagem e a apuração dos relatos, com confidencialidade, imparcialidade e medidas contra retaliação.
6. Teste a aplicação e ajuste o programa
Selecione amostras de atividades e verifique se os controles foram executados. Confirme se as correções resolveram as falhas e se as pessoas compreendem suas responsabilidades. Apresente os resultados à direção e revise prioridades.
Em pequenas empresas, a estrutura pode ser mais simples e reunir atribuições em menos pessoas. Ainda assim, precisa assegurar responsabilidades claras, tratamento adequado dos problemas e recursos proporcionais aos riscos.
Conclusão
Compliance organiza o cumprimento das obrigações e ajuda a empresa a agir com coerência, responsabilidade e capacidade de demonstrar o que faz. Sua contribuição depende da ligação entre liderança, pessoas, processos, controles e correção de falhas.
Para começar, escolha uma atividade relevante e verifique seus requisitos, responsáveis e evidências de cumprimento. Esse exercício ajuda a transformar o conceito em uma avaliação concreta da gestão.
Na sua organização, qual obrigação merece uma verificação mais cuidadosa entre o que está previsto e o que realmente é executado?
Autor José Sergio Marcondes
Diretor Executivo no IBRASEP. Apaixonado pela área de segurança privada, dedica-se continuamente ao estudo e à disseminação de conhecimento, sempre com a missão de desenvolver e valorizar o setor e os profissionais que atuam nele.
Perguntas frequentes sobre compliance
Compliance serve apenas para grandes empresas?
Não. Organizações de diferentes portes podem adotar práticas de compliance. A estrutura deve considerar as obrigações aplicáveis, a complexidade das atividades e os riscos do negócio, com mecanismos que a empresa consiga executar, acompanhar e aperfeiçoar.
Compliance se limita ao combate à corrupção?
Não. O combate à corrupção é uma frente relevante, mas o compliance pode abranger obrigações trabalhistas, tributárias, ambientais, regulatórias, contratuais, concorrenciais e de proteção de dados. O escopo deve ser definido conforme as atividades, os riscos e as exigências aplicáveis à organização.
Ter um código de conduta significa ter um programa de compliance?
Não. O código de conduta é um dos instrumentos do programa. Sua aplicação precisa ser apoiada por responsabilidades definidas, orientação, treinamento, controles, canais de comunicação, acompanhamento e procedimentos para apurar e tratar possíveis violações.
É necessário criar um departamento exclusivo de compliance?
Não necessariamente. A estrutura depende das exigências aplicáveis, do porte, da complexidade e dos riscos da organização. É essencial definir responsáveis com autoridade, recursos e condições de atuação, além de mecanismos para preservar a independência necessária e tratar conflitos de interesses, inclusive quando houver acúmulo de funções.
Artigos Relacionados
2 Comentários
Olá Daniel!
Obrigado pelo seu comentário.
Forte abraço e sucesso!
Ótimo artigo!