Programa de compliance para médias empresas: a estrutura mínima que funciona

Um programa de compliance para média empresa não precisa ser grande para funcionar. A estrutura mínima tem sete peças: apoio visível da alta direção, código de conduta, análise de riscos, treinamento, canal de denúncias, cuidado na contratação de terceiros e monitoramento. A Lei Anticorrupção não obriga toda empresa a ter um programa, mas um programa efetivo é levado em conta na aplicação das sanções, e o Decreto nº 11.129/2022 define como ele é avaliado, de forma proporcional ao porte e aos riscos do negócio.

A seguir, veja o que a lei exige, o que cada pilar precisa ter numa média empresa e como organizar a checagem de terceiros e os treinamentos.

O que a Lei Anticorrupção exige de um programa de compliance em médias empresas

A Lei Anticorrupção (Lei nº 12.846/2013) estabelece a responsabilidade objetiva de pessoas jurídicas pela prática de atos contra a administração pública, nacional ou estrangeira. Isso significa que a empresa responde pelo ato lesivo praticado em seu interesse ou benefício, independentemente de culpa ou dolo de seus gestores. Por isso a própria lei valoriza a prevenção: a existência de mecanismos internos de integridade, auditoria e incentivo à denúncia de irregularidades, com aplicação efetiva de códigos de ética e de conduta, é considerada na aplicação das sanções (art. 7º, VIII).

“Programa de integridade é um programa de compliance específico para prevenção, detecção e remediação dos atos lesivos previstos na Lei 12.846/2013.” — Controladoria-Geral da União (CGU)

A regulamentação desses requisitos foi atualizada pelo Decreto nº 11.129/2022, que detalha os parâmetros usados na avaliação do programa, inclusive pela Controladoria-Geral da União (CGU). O decreto exige que o programa vá além dos documentos: ele precisa ser aplicado na rotina da empresa.

Os parâmetros estão no art. 57 do decreto e são aplicados de forma proporcional, considerando fatores como a quantidade de empregados, o setor de atuação, o uso de intermediários e o grau de interação com o poder público (art. 57, § 1º). Na prática, isso se traduz nos pilares descritos na próxima seção.

Há um caso em que o programa deixa de ser opcional: nas contratações públicas de grande vulto, a Lei nº 14.133/2021 (art. 25, § 4º) exige que o licitante vencedor implante o programa de integridade em até seis meses da assinatura do contrato.

Pilares essenciais: código de conduta, matriz de riscos e canal de denúncias

O decreto lista mais parâmetros do que uma média empresa costuma precisar no primeiro momento. A estrutura mínima que funciona combina sete elementos:

• Comprometimento da alta direção: sócios e diretores aprovam o programa, destinam recursos e dão o exemplo. Sem isso, o restante vira papel. Também é preciso definir quem responde pelo programa internamente, com autonomia para levar problemas à direção.
• Código de conduta e políticas internas: regras claras sobre conflito de interesses, brindes e presentes, relacionamento com agentes públicos e uso de ativos da empresa, aplicáveis a empregados e administradores e, no que couber, a terceiros. Políticas específicas podem vir depois, como a de uso de IA generativa na empresa.
• Análise e matriz de riscos: identificar onde a empresa está mais exposta (licitações, licenças e fiscalizações, uso de despachantes e intermediários, comércio exterior), medir probabilidade e impacto e reavaliar periodicamente. Uma auditoria jurídica preventiva costuma ser um bom ponto de partida.
• Treinamento e comunicação: capacitação periódica sobre as regras do código, com foco nas áreas mais expostas.
• Canal de denúncias: um meio aberto a empregados e terceiros, amplamente divulgado, com procedimento para tratar os relatos e proteção a quem denuncia de boa-fé (art. 57, X, do decreto). Na prática, a empresa precisa garantir sigilo e não retaliação e definir quem apura cada relato. Empresas obrigadas a ter Comissão Interna de Prevenção de Acidentes e de Assédio (CIPA) também devem manter procedimento para receber denúncias de assédio (Lei nº 14.457/2022).
• Diligência sobre terceiros: checagem proporcional ao risco de fornecedores, intermediários e parceiros, já que a empresa pode responder por atos praticados em seu interesse ou benefício, inclusive por quem age em seu nome.
• Monitoramento e resposta: revisar o programa periodicamente, aplicar medidas disciplinares quando houver violação e corrigir as falhas que permitiram o problema.

Um código curto, que reflete as operações reais da empresa, funciona melhor do que um manual extenso que ninguém lê. Da mesma forma, a análise de riscos serve para concentrar o esforço onde a exposição é maior.

Comparativo de abordagens: programa de integridade proporcional versus modelo burocrático

O Decreto nº 11.129/2022 avalia o programa pela efetividade, e não pelo volume de documentos. A tabela abaixo mostra a diferença entre um programa proporcional e um programa que existe só no papel:

Aspecto	Programa proporcional	Modelo burocrático ou genérico
Tamanho da estrutura	Dimensionada ao porte e aos riscos da empresa; documentos curtos e aplicados.	Documentação extensa ou copiada de outra empresa, com baixa adesão das equipes.
Análise de riscos	Feita a partir dos processos, contratos e setor da empresa, e revista periodicamente.	Matriz genérica, sem relação com a rotina do negócio.
Prova de efetividade	Registros de treinamentos, denúncias tratadas, checagem de terceiros e medidas adotadas.	Conformidade apenas formal, difícil de demonstrar em uma fiscalização ou processo.
Canal de denúncias	Simples, divulgado, com sigilo e fluxo de apuração definido.	Inexistente, informal ou tão complexo que desestimula os relatos.

Na avaliação de um programa, o que conta é a prova de que ele funciona. Por isso, guarde evidências desde o início: ata de aprovação pela direção, listas de presença, registros das denúncias recebidas e das providências tomadas.

Passo a passo para implementar a due diligence de terceiros e treinamentos periódicos

Dois pilares costumam ficar só no papel: a checagem de terceiros e o treinamento. O Decreto nº 11.129/2022 prevê diligências baseadas em risco para contratar e supervisionar fornecedores, intermediários e prestadores de serviços, além de treinamentos e ações de comunicação periódicos sobre o programa.

Para médias empresas, a due diligence de terceiros deve ser proporcional ao risco da operação. A avaliação prévia precisa considerar o histórico de idoneidade, a existência de sanções administrativas e o grau de interação do parceiro com agentes públicos em nome da empresa.

O processo de homologação e monitoramento de parceiros pode ser estruturado em quatro etapas:

• Mapeamento e classificação de risco: categorizar os fornecedores conforme o volume financeiro, criticidade do serviço e nível de exposição a órgãos estatais.
• Checagem reputacional e documental: consultar cadastros públicos de restrições, certidões negativas e histórico de processos judiciais ou administrativos.
• Formalização contratual: incluir cláusulas anticorrupção expressas, direito de auditoria e previsão de rescisão imediata em caso de conduta ilícita.
• Monitoramento periódico: revisar periodicamente as certidões e a postura dos parceiros de maior risco operacional.

Paralelamente, os treinamentos de integridade garantem que as regras do código de conduta sejam compreendidas e aplicadas na rotina de trabalho. Essas capacitações devem usar linguagem acessível, apresentar situações práticas do setor e lembrar que o canal de denúncias existe e protege quem relata de boa-fé.

O treinamento deve alcançar da alta direção às áreas mais expostas, como compras, vendas e finanças. Registre a presença, avalie a compreensão do conteúdo e atualize os módulos pelo menos uma vez por ano.

Conclusão

Um programa de compliance enxuto funciona quando a direção apoia, as regras são claras e há prova de aplicação. Para uma média empresa, o mínimo é:

• apoio visível dos sócios e um responsável interno pelo programa;
• código de conduta curto e políticas para os riscos principais;
• análise de riscos revista periodicamente;
• treinamentos registrados e canal de denúncias com sigilo e não retaliação;
• checagem de terceiros proporcional ao risco e monitoramento contínuo.

Para estruturar ou revisar o programa de compliance da sua empresa, fale com o escritório.

---