Canal de denúncias: como implantar e o que a lei exige

O canal de denúncias é obrigatório para as empresas obrigadas a ter Comissão Interna de Prevenção de Acidentes e de Assédio (CIPA): a Lei nº 14.457/2022 (art. 23) exige delas procedimentos para receber e acompanhar denúncias de assédio sexual e de outras formas de violência, com garantia de anonimato a quem denuncia. Para as demais empresas, o canal não é uma obrigação geral, mas é um dos parâmetros usados para avaliar o programa de integridade previsto na Lei Anticorrupção e no Decreto nº 11.129/2022.

Em qualquer caso, implantar bem significa ter um meio de relato acessível, sigilo, proteção contra retaliação, um fluxo claro de apuração e cuidado com os dados pessoais, conforme a Lei Geral de Proteção de Dados (LGPD). Este guia mostra o que cada norma exige, os modelos de gestão e o passo a passo para estruturar a apuração.

O que a lei exige sobre o canal de denúncias nas empresas

Não existe uma lei única sobre canal de denúncias para empresas privadas. As exigências vêm de normas diferentes, com alcance diferente.

No âmbito trabalhista, a Lei nº 14.457/2022, que instituiu o Programa Emprega + Mulheres, determina que as empresas com CIPA adotem medidas de prevenção e combate ao assédio sexual e a outras formas de violência no trabalho (art. 23). Entre elas estão: regras de conduta sobre o tema nas normas internas, com ampla divulgação; procedimentos para receber e acompanhar denúncias, apurar os fatos e, quando for o caso, aplicar sanções, garantido o anonimato de quem denuncia; e ações de capacitação, no mínimo a cada 12 meses. A obrigatoriedade da CIPA depende do número de empregados e do grau de risco da atividade, conforme a Norma Regulamentadora nº 5 (NR-5).

Na esfera da integridade, a Lei Anticorrupção (Lei nº 12.846/2013) não obriga a empresa a ter um canal. Mas o Decreto nº 11.129/2022 inclui, entre os parâmetros de avaliação do programa de integridade, canais de denúncia abertos e amplamente divulgados a empregados e terceiros, com mecanismos para tratar as denúncias e proteger denunciantes de boa-fé (art. 57, X). O canal é, portanto, uma peça do programa de compliance, que é considerado na aplicação de sanções.

Setores regulados, como o financeiro, podem ter regras próprias sobre canais de comunicação, e grandes clientes costumam exigir o canal em contrato.

Para funcionar e atender a essas normas, o canal deve reunir alguns requisitos:

• Anonimato e confidencialidade: opção de relato anônimo (obrigatória nas denúncias de assédio da Lei nº 14.457/2022) e sigilo sobre a identidade de quem prefere se identificar.
• Não retaliação: regra expressa que proíba qualquer punição ou prejuízo a quem relata de boa-fé.
• Fluxo estruturado de apuração: prazos, registros auditáveis e responsáveis definidos para averiguar os fatos relatados.
• Proteção de dados: aplicação da LGPD no tratamento e na guarda das informações colhidas.
• Divulgação e treinamento: comunicação ampla do canal e capacitação periódica de todos os níveis hierárquicos.

Um canal bem estruturado também ajuda a empresa a descobrir problemas cedo, antes que virem processo, fiscalização ou dano à reputação.

Gestão interna vs. plataforma terceirizada: modelos de recebimento de relatos

A escolha do modelo influencia a confiança de quem relata. A empresa pode receber os relatos com estrutura própria ou contratar uma plataforma externa para a captação.

A gestão interna exige meios dedicados, como formulários próprios ou linhas telefônicas diretas. Embora reduza custos de contratação, esse formato pode gerar desconfiança na equipe quanto ao sigilo. Já as plataformas externas oferecem um ponto de recebimento neutro.

Critério	Gestão interna	Plataforma externa
Confiança e sigilo	Maior risco de identificação pela proximidade entre quem relata e quem recebe.	O recebimento por terceiro independente tende a aumentar a confiança.
Custo e estrutura	Menor custo de contratação, mas exige pessoas treinadas e meios dedicados.	Custo de contratação; implantação costuma ser mais rápida.
Segurança da informação	Depende dos controles internos de acesso e armazenamento.	Depende do contrato e das medidas de segurança do fornecedor, que atua como operador dos dados.
Apuração	Feita pela empresa.	Continua sendo responsabilidade da empresa; em regra, a plataforma recebe e encaminha os relatos.

Empresas menores costumam começar com uma gestão interna bem desenhada. Quando há muitos empregados, várias unidades ou risco de relatos envolvendo a direção, a plataforma externa ajuda a dar independência ao recebimento.

Em qualquer modelo, o regulamento do canal precisa prever salvaguardas essenciais:

• Critérios objetivos de triagem, para evitar conflitos de interesse na apuração preliminar;
• Protocolos de segurança da informação que restrinjam o acesso aos membros autorizados;
• Mecanismos formais de proteção contra retaliação a denunciantes de boa-fé;
• Contrato com a plataforma, se houver, com cláusulas de confidencialidade e de proteção de dados.

Passo a passo para estruturar o fluxo de apuração e o comitê de ética

O canal só ganha credibilidade se os relatos forem apurados com método. A apuração precisa ser técnica, imparcial e documentada, com respeito ao direito de defesa e à privacidade dos envolvidos.

Para garantir a lisura das investigações internas, a empresa deve seguir etapas bem delineadas:

• Triagem inicial e classificação de risco: avaliar o relato recebido, verificar se há elementos mínimos sobre o fato e os envolvidos e identificar se envolve temas prioritários, como assédio ou irregularidades financeiras.
• Investigação e coleta de provas: reunir registros digitais e documentos e ouvir as pessoas envolvidas, com registro formal, preservando o sigilo das informações e os direitos dos envolvidos.
• Deliberação do comitê de ética: analisar o relatório da apuração para decidir se houve descumprimento do regulamento interno ou da lei.
• Aplicação de medidas e plano de remediação: aplicar as medidas disciplinares cabíveis e corrigir as falhas de controle que permitiram o problema.

O comitê deve ser multidisciplinar, com representantes de recursos humanos, gestão de riscos e jurídico. Quando o relato envolver membros da alta administração, o investigado deve ser afastado de qualquer decisão sobre o caso, para garantir a independência da apuração.

Um procedimento bem documentado também reduz o risco de questionamento das medidas disciplinares, como uma demissão por justa causa aplicada sem provas suficientes.

Garantia de anonimato, não retaliação e proteção de dados segundo a LGPD

O canal depende da confiança de quem relata. Sem segurança contra represálias e respeito à privacidade, empregados e terceiros deixam de apontar irregularidades.

A LGPD se aplica às informações coletadas no canal e nas investigações internas. A empresa atua como controladora desses dados e deve limitar o acesso às pessoas responsáveis pela apuração.

Na prática, a gestão dos registros exige:

• Anonimato e não retaliação: meios técnicos que impeçam o rastreamento do endereço IP ou de outros identificadores de quem opta pelo anonimato, combinados com medidas disciplinares contra qualquer ato de retaliação ao denunciante de boa-fé.
• Base legal adequada: enquadrar o tratamento em uma das hipóteses da LGPD, como o cumprimento de obrigação legal (para empresas sujeitas à Lei nº 14.457/2022) ou o legítimo interesse, observando o art. 11 quando houver dados sensíveis, como informações sobre saúde ou vida sexual. Colete só o necessário.
• Controle de acesso e confidencialidade: restringir os arquivos aos integrantes do comitê, com criptografia no armazenamento e na transmissão das informações.
• Retenção e descarte: definir por quanto tempo os registros serão guardados, considerando a necessidade de defesa em eventuais processos, e eliminar os dados depois desse prazo.
• Participação do encarregado: envolver o encarregado de dados (DPO) na definição dessas regras.

A proteção da identidade se estende à pessoa investigada, que tem direito de se defender e não pode ser exposta por uma acusação ainda não apurada. Esse cuidado reduz o risco de pedidos de indenização por danos morais decorrentes de acusações infundadas.

Conclusão

Em resumo, o canal de denúncias:

• é obrigatório para empresas obrigadas a ter CIPA, para denúncias de assédio sexual e outras formas de violência (Lei nº 14.457/2022, art. 23);
• nas demais empresas, é parâmetro de avaliação do programa de integridade (Decreto nº 11.129/2022, art. 57, X);
• precisa garantir anonimato, sigilo e não retaliação;
• exige um fluxo de apuração com responsáveis, prazos e registros;
• deve tratar os dados conforme a LGPD, com acesso restrito e prazo de guarda definido.

Para analisar o seu caso, fale com o escritório.

---