Quando se fala em compliance, muitos empresários ainda acreditam que se trata de uma estrutura destinada apenas às grandes corporações. Essa percepção não encontra respaldo na realidade, pois estudos que analisaram casos judiciais envolvendo pequenas empresas demonstram que fraudes internas ocorrem em diferentes setores da economia, permanecem ocultas por longos períodos, entre 1 e 12,5 anos, e podem gerar prejuízos entre US$ 6 mil e US$ 590 mil, chegando, em alguns casos, a inviabilizar a continuidade da empresa (Othman et al., 2020).
O aspecto mais relevante desses estudos não é o valor das perdas, mas compreender por que elas ocorreram. Os fatores de risco identificados repetem-se em empresas de diferentes segmentos:
- confiança excessiva em colaboradores;
- contratação sem verificação prévia;
- concentração de funções críticas em uma única pessoa;
- ausência de segregação de funções;
- controles internos informais ou inexistentes;
- monitoramento insuficiente.
Em outras palavras, o problema não decorre do porte da empresa, mas da ausência de mecanismos de governança proporcionais à complexidade do negócio. Essa conclusão é consistente com diversos estudos internacionais, que apontam como principais exposições de pequenas empresas:
- fraude em contas a pagar, folha de pagamento e faturamento;
- desvios de recursos para contas pessoais;
- manipulação de estoque e caixa;
- burla de controles internos;
- registros inadequados e outras formas de má conduta.
Esses riscos possuem uma característica em comum: dificilmente surgem de forma repentina. Na maioria das vezes, desenvolvem-se lentamente em ambientes onde a confiança substitui processos, a informalidade substitui controles e as decisões deixam de considerar os riscos envolvidos. É justamente nesse ponto que a gestão de riscos assume papel estratégico. Antes da implementação de políticas, códigos de conduta ou treinamentos, existe uma pergunta que deveria orientar qualquer empresário: Quais eventos podem comprometer a continuidade do meu negócio?
Essa é a lógica defendida pela ABNT NBR ISO 31000, segundo a qual a gestão de riscos deve integrar a governança, a estratégia, a tomada de decisão e os processos organizacionais. Quando os riscos são identificados e avaliados, torna-se possível estruturar controles compatíveis com a realidade da empresa, definir responsabilidades, revisar processos, fortalecer contratos, monitorar indicadores e desenvolver uma cultura organizacional orientada à integridade.
Compliance, portanto, não deve ser compreendido como um conjunto de documentos ou uma obrigação regulatória. Trata-se de um modelo de gestão destinado a reduzir incertezas, proteger ativos, fortalecer a governança e apoiar decisões estratégicas. Empresas não se tornam mais resilientes porque cresceram, crescem com maior segurança porque aprenderam a identificar riscos, implementar controles proporcionais e tomar decisões fundamentadas. No ambiente empresarial, a ausência de gestão de riscos não elimina os riscos, apenas transfere seus custos para o futuro.
