Introdução
A discussão sobre maturidade em Compliance frequentemente começa pela análise dos elementos formais existentes na organização. Políticas, procedimentos, treinamentos, códigos de conduta, canais de denúncias, processos de due diligence, matrizes de riscos e indicadores são utilizados como evidências da existência de um programa ou sistema. Esses pilares são necessários, mas não são suficientes para demonstrar maturidade.
Um Sistema de Gestão de Compliance efetivo precisa estar conectado à governança, à estratégia, aos riscos, aos processos decisórios, aos controles, às pessoas, às informações e à melhoria contínua. A ISO 37301 estabelece requisitos e orientações para estabelecer, desenvolver, implementar, avaliar, manter e melhorar um Sistema de Gestão de Compliance. Essa concepção é relevante porque trata o Compliance como um sistema de gestão e não como um conjunto de documentos produzidos por uma área especializada.
A partir dessa perspectiva, é possível utilizar uma lógica de engenharia reversa para compreender a maturidade: partir do monitoramento e reconstruir o caminho necessário para que a informação produzida seja efetivamente útil à organização.
Governança como fundamento do sistema
A governança estabelece a estrutura na qual as decisões são direcionadas, supervisionadas e avaliadas. Por isso, o Sistema de Gestão de Compliance não deve ser compreendido como uma estrutura isolada do processo de gestão. A ISO 37000 apresenta princípios e aspectos relacionados à governança das organizações, enquanto a ISO 37004 estabelece um modelo de maturidade de governança que permite avaliar a evolução da organização nesse campo.
Essa perspectiva é relevante para Compliance porque a maturidade não pode ser atribuída exclusivamente ao departamento responsável pela função. A capacidade de identificar riscos, estabelecer respostas, supervisionar controles e utilizar informações para tomada de decisão depende da própria estrutura organizacional.
No Brasil, o Decreto nº 11.129/2022 também estabelece que o programa de integridade deve ser estruturado, aplicado e atualizado de acordo com as características e os riscos atuais das atividades da pessoa jurídica, além de prever seu constante aprimoramento. O fundamento, portanto, é sistêmico. A liderança define direção, responsabilidades e recursos, enquanto a organização estrutura os mecanismos necessários para transformar essa direção em práticas efetivas.
Estratégia, objetivos e gestão de riscos
A gestão de riscos precisa estar conectada aos objetivos da organização. Não existe razão para estabelecer um controle sem compreender qual exposição está sendo tratada e qual objetivo se pretende proteger. A ISO 31000 fornece princípios e diretrizes para a gestão de riscos, enquanto a ISO 37301 incorpora a identificação e avaliação dos riscos de Compliance ao sistema de gestão.
Essa integração é importante porque um risco de Compliance pode produzir consequências jurídicas, financeiras, operacionais, reputacionais e estratégicas. A avaliação de riscos permite determinar prioridades e definir respostas proporcionais. A organização pode aceitar, evitar, compartilhar, reduzir ou tratar determinada exposição de acordo com seu contexto e apetite ao risco.
Nesse processo, Compliance deixa de ser apenas uma função voltada para verificar conformidade e passa a contribuir para a qualidade das decisões.
Controles como resposta aos riscos
Depois de identificar e avaliar os riscos, a organização precisa definir mecanismos de resposta. Controle não deve ser confundido com documento. Uma política pode estabelecer uma obrigação ou uma diretriz, mas o controle precisa demonstrar como determinado risco será prevenido, detectado ou tratado na operação.
A análise também precisa distinguir o risco inerente da exposição residual após a aplicação das respostas e dos controles. Essa distinção permite avaliar se o nível de exposição remanescente é aceitável e se os controles estão produzindo o efeito esperado.
A efetividade do controle também precisa ser considerada: um controle formalmente implementado pode não funcionar adequadamente na prática, pode ser aplicado de maneira inconsistente ou pode não estar mais adequado ao risco que deveria tratar. Por este motivo que os controles precisam ser monitorados e periodicamente reavaliados.
Pessoas, treinamento e comunicação
Nenhum sistema funciona exclusivamente por meio de documentos. As pessoas precisam compreender os riscos relacionados às suas atividades, as condutas esperadas, os mecanismos de controle e os canais disponíveis para comunicação de preocupações. O treinamento, nesse contexto, não deveria ser avaliado somente pela quantidade de participantes ou pela porcentagem de conclusão.
A organização precisa compreender se o conteúdo é adequado ao público, se está relacionado aos riscos relevantes e se contribui para a mudança ou manutenção dos comportamentos esperados. A mesma lógica se aplica à comunicação: informar que existe um canal de denúncias não significa que as pessoas saibam quando utilizá-lo, como acessá-lo ou que confiem no processo.
Canal de denúncias e inteligência organizacional
A ISO 37002 estabelece diretrizes para sistemas de gestão de denúncias, estruturando princípios e processos relacionados ao recebimento, avaliação, tratamento e encerramento dos relatos, que deve permitir compreender o canal de denúncias como mais do que um mecanismo de recebimento.
Os dados produzidos pelo canal podem revelar padrões de comportamento, deficiências de processos, riscos emergentes, problemas de liderança, falhas de controles e recorrências. O número de denúncias recebidas é apenas uma dimensão dessa informação. Uma análise mais madura considera a natureza dos relatos, sua distribuição, o tratamento realizado, os resultados das investigações, as medidas adotadas e a reincidência, nesse momento o canal se transforma em uma fonte de inteligência para a gestão.
Investigações e remediação
A investigação representa outro componente importante do sistema, a ISO/TS 37008 estabelece orientações para investigações internas, contemplando aspectos relacionados à condução, documentação, comunicação dos resultados e medidas de remediação. Logo, a investigação não deveria produzir apenas uma conclusão sobre determinado caso.
Se uma irregularidade foi confirmada, a organização precisa avaliar o que permitiu sua ocorrência, quais controles falharam, se existem casos semelhantes e quais medidas devem ser adotadas para reduzir a possibilidade de recorrência. Essa abordagem transforma a investigação em um mecanismo de aprendizado organizacional.
Gestão de terceiros
Os riscos de Compliance também podem surgir na cadeia de terceiros: fornecedores, representantes, distribuidores, parceiros comerciais, agentes e outros terceiros podem ampliar a exposição da organização a riscos de corrupção, fraude, conflitos de interesses, sanções, lavagem de dinheiro, proteção de dados e danos reputacionais. Por isso, a due diligence deve ser proporcional ao risco e integrada ao ciclo de relacionamento com o terceiro.
A maturidade não está apenas em realizar uma avaliação antes da contratação. Está na capacidade de identificar mudanças na exposição e responder a elas ao longo do relacionamento.
Monitoramento e avaliação de efetividade
O monitoramento é uma das etapas mais importantes da engenharia reversa porque permite avaliar se o sistema está funcionando. Entretanto, monitoramento não significa simplesmente produzir indicadores. A ISO 37302:2025 trata especificamente da avaliação da efetividade dos Sistemas de Gestão de Compliance e fornece princípios, indicadores e orientações para monitoramento, medição, análise, avaliação e melhoria.
Essa abordagem desloca a discussão de indicadores de atividade para indicadores capazes de produzir informação sobre resultados e efetividade. A diferença é relevante: o número de treinamentos realizados mede atividade, a cobertura dos treinamentos mede alcance, a avaliação de conhecimento pode fornecer uma informação adicional, a ocorrência de determinados comportamentos ou incidentes posteriormente pode produzir outra camada de análise.
Lado outro, o amadurecimento ocorre quando essas informações são relacionadas e utilizadas para orientar decisões.
Como construir indicadores de Compliance
Um indicador precisa nascer de um objetivo daquilo que se pretende compreender ou acompanhar. Em seguida, deve-se identificar qual risco, processo ou resultado está relacionado ao objetivo. Por conseguite, é necessário estabelecer a métrica, a fonte de dados, a periodicidade, o responsável, o parâmetro de comparação e a consequência gerencial associada ao resultado.
No caso do canal de denúncias, por exemplo, a organização pode acompanhar o volume de relatos recebidos, o percentual encaminhado para investigação, o tempo médio de triagem, a proporção de casos procedentes, o tempo de encerramento e a reincidência. Esses indicadores podem ser analisados conjuntamente.
Um aumento de denúncias pode representar maior ocorrência de irregularidades, mas também pode decorrer de maior confiança no canal ou de uma campanha de comunicação. Uma redução pode indicar melhoria do ambiente, mas também pode representar queda na confiança, desconhecimento ou medo de utilização. A interpretação depende da análise de contexto.
O mesmo vale para investigações. A quantidade de casos investigados não demonstra, isoladamente, efetividade. É necessário analisar procedência, categorias de risco, origem dos casos, tempo de tratamento, medidas corretivas e reincidência.
O indicador, portanto, precisa estar conectado a uma decisão, se determinada variação não produz nenhuma ação, revisão ou investigação adicional, sua utilidade gerencial precisa ser questionada.
Maturidade como capacidade de aprendizagem
A maturidade do Sistema de Gestão de Compliance pode ser observada pela evolução da capacidade organizacional. Em um estágio inicial, a organização tende a medir atividades, o estágio seguinte passa a acompanhar processos, e em níveis mais desenvolvidos, começa a avaliar resultados e efetividade.
Em uma estrutura madura, os dados produzidos pelo sistema são utilizados para identificar tendências, antecipar riscos, revisar controles, orientar decisões e promover melhoria contínua, o que aproxima Compliance da gestão. O objetivo é criar informações relevantes para decisões melhores.
Conclusão
A engenharia reversa de Compliance permite compreender que o monitoramento não pode ser separado da implementação. Para monitorar adequadamente, é necessário saber o que se pretende alcançar. Para saber o que monitorar, é necessário compreender os riscos e os controles necessários. Para estabelecer controles adequados, é necessário compreender processos e responsabilidades. E, para que todo esse sistema tenha direção, é necessária uma estrutura de governança conectada à estratégia e à liderança.
A maturidade, portanto, não está na quantidade de mecanismos existentes, mas capacidade de integração entre eles. Um Sistema de Gestão de Compliance maduro produz informações confiáveis, transforma essas informações em conhecimento e utiliza esse conhecimento para melhorar decisões, controles, comportamentos e resultados.
