Compliance empresarial: o que é e como se aplica à empresa

O que é compliance

Compliance vem do verbo inglês "to comply", cumprir. No ambiente empresarial, significa organizar a empresa para que ela cumpra as leis, os regulamentos e as normas internas, e para que consiga identificar e corrigir desvios antes que se tornem um problema maior.

Não é um documento único nem um selo. É uma rotina: regras escritas, responsáveis definidos, controles, treinamento e revisão periódica. Na legislação brasileira, o termo mais usado é "programa de integridade", definido no Decreto nº 11.129/2022 como o conjunto de mecanismos e procedimentos de integridade, auditoria e incentivo à denúncia de irregularidades, além da aplicação efetiva de códigos de ética e conduta, políticas e diretrizes, com o objetivo de prevenir, detectar e sanar desvios, fraudes, irregularidades e atos ilícitos praticados contra a administração pública, nacional ou estrangeira, e de fomentar e manter uma cultura de integridade no ambiente organizacional (art. 56).

Quando a lei exige ou considera o compliance

Não existe, em regra, uma obrigação geral de que toda empresa mantenha um programa de compliance. A exigência aparece em situações específicas:

• Empresas estatais. A Lei nº 13.303/2016 determina que a empresa pública e a sociedade de economia mista adotem regras de estruturas e práticas de gestão de riscos e controle interno e elaborem e divulguem um Código de Conduta e Integridade (art. 9º, caput e § 1º).
• Contratações públicas. A Lei Anticorrupção trata como ato lesivo à administração pública, no tocante a licitações e contratos, por exemplo, "fraudar licitação pública ou contrato dela decorrente" e "frustrar ou fraudar, mediante ajuste, combinação ou qualquer outro expediente, o caráter competitivo de procedimento licitatório público" (Lei nº 12.846/2013, art. 5º, IV, "a" e "d"). Quem participa de licitações ou contrata com o poder público costuma dar atenção a controles que previnam essas condutas e deve ler com cuidado as condições de cada edital antes de apresentar proposta.
• Atividades reguladas. Quem exerce atividade sujeita a órgão regulador, como os mercados financeiro, de capitais e de seguros, pode ter deveres próprios de controle e comunicação, que variam conforme a atividade. Um exemplo é a prevenção à lavagem de dinheiro, tratada mais abaixo.

Fora dessas hipóteses, adotar o programa é uma escolha de gestão, mas com efeitos jurídicos relevantes, como se vê a seguir.

Lei Anticorrupção e responsabilidade da empresa

A Lei nº 12.846/2013 responsabiliza, nos âmbitos administrativo e civil, as pessoas jurídicas pelos atos lesivos contra a administração pública, nacional ou estrangeira, listados no art. 5º, como prometer ou dar vantagem indevida a agente público ou fraudar licitação e contrato. A responsabilidade da empresa é objetiva (art. 2º), isto é, não depende de comprovar culpa, e não exclui a responsabilidade individual de dirigentes e demais envolvidos (art. 3º).

Entre as sanções administrativas está a multa de 0,1% a 20% do faturamento bruto do último exercício anterior ao da instauração do processo administrativo, excluídos os tributos, nunca inferior à vantagem auferida quando for possível estimá-la (art. 6º, I). Na aplicação das sanções, a lei manda considerar a existência de mecanismos e procedimentos internos de integridade, auditoria e incentivo à denúncia, bem como a aplicação efetiva de códigos de ética e de conduta (art. 7º, VIII).

Elementos de um programa de integridade

O Decreto nº 11.129/2022 (art. 57) indica quinze parâmetros para avaliar a existência e a aplicação de um programa de integridade. De forma resumida, alguns deles envolvem:

• comprometimento da alta direção com o programa;
• padrões de conduta, código de ética e políticas aplicáveis a todos os empregados e administradores, e, quando necessário, a terceiros;
• treinamentos periódicos;
• análise periódica de riscos, que orienta as adaptações do programa;
• registros contábeis que reflitam de forma completa e precisa as transações;
• canais de denúncia e medidas de proteção a quem relata de boa-fé;
• diligências na contratação e supervisão de terceiros, como fornecedores e intermediários.

O programa precisa ser proporcional ao porte, à atividade e aos riscos da empresa. Um modelo copiado de outra organização, sem aplicação real, tem pouco valor.

Compliance e proteção de dados

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) é hoje uma das frentes mais comuns de adequação. Ela prevê que o controlador indique um encarregado pelo tratamento de dados pessoais, com possibilidade de dispensa em hipóteses a serem definidas pela autoridade nacional (art. 41 e § 3º) e permite que o controlador formule regras de boas práticas e de governança, com programa de governança em privacidade (art. 50). Entre as sanções administrativas pelo descumprimento está a multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50 milhões por infração (art. 52, II). Essas sanções são "aplicáveis pela autoridade nacional" (art. 52, caput), que é a Autoridade Nacional de Proteção de Dados (ANPD), autarquia de natureza especial criada pela própria lei (art. 55-A).

Prevenção à lavagem de dinheiro

As pessoas físicas e jurídicas listadas no art. 9º da Lei nº 9.613/1998 têm deveres próprios. Pelo art. 10, I e II, devem identificar seus clientes e manter cadastro atualizado, e manter registro de toda transação em moeda, títulos, metais, ativos virtuais ou qualquer ativo que possa ser convertido em dinheiro e que ultrapasse o limite fixado pela autoridade competente. Pelo art. 11, I, devem dar especial atenção às operações que possam constituir sérios indícios dos crimes previstos na lei. E, pelo art. 11, II, devem comunicar ao Coaf, no prazo de 24 horas e sem dar ciência a ninguém, nem à pessoa envolvida, a proposta ou a realização de todas as transações do art. 10, II (acima do limite) e também das operações que possam constituir sérios indícios desses crimes. Para as pessoas físicas e jurídicas incluídas no rol do art. 9º, esses deveres integram o compliance e devem ser tratados como rotina, e não como providência eventual.

Quando procurar um advogado

A orientação jurídica costuma ser útil quando a empresa:

• pretende participar de licitações ou contratar com o poder público;
• vai estruturar ou revisar um programa de integridade, um código de conduta ou um canal de denúncias;
• trata dados pessoais e precisa verificar a adequação à LGPD;
• recebeu notificação, pedido de informações ou instauração de processo administrativo;
• identificou internamente uma possível irregularidade e precisa decidir como apurá-la;
• passa por fusão, aquisição ou mudança societária e quer conhecer os riscos de conformidade da outra parte.

Cada situação depende dos fatos e do setor, e a análise é individual.

Documentos para separar

• contrato social e alterações, com a estrutura societária atual;
• organograma e descrição das principais áreas e responsabilidades;
• código de ética, políticas e regulamentos internos já existentes;
• contratos relevantes com clientes, fornecedores, intermediários e órgãos públicos;
• licenças, alvarás e registros exigidos para a atividade;
• registros de tratamento de dados pessoais e contratos com operadores de dados;
• comunicações, notificações e processos administrativos em andamento;
• relatórios de auditoria e de controles internos, quando houver.