A transformação digital mudou os riscos de compliance. Será que mudou a forma de gerenciá-los?
Poucos temas ocuparam tanto espaço na agenda corporativa nos últimos anos quanto a inteligência artificial. O avanço acelerado das tecnologias generativas trouxe ganhos expressivos de produtividade, mas também reacendeu discussões relacionadas à transparência, privacidade, propriedade intelectual, discriminação algorítmica e responsabilidade sobre decisões automatizadas.
Diante desse cenário, organizações de diferentes setores estão revisitando suas estruturas de governança para compreender como administrar riscos que, até pouco tempo atrás, sequer faziam parte de seus programas de compliance.
Essa discussão levanta uma questão importante: em um ambiente marcado pela inovação tecnológica, normas de gestão como a ISO 37301 continuam relevantes?
A resposta parece estar menos na tecnologia em si e mais na capacidade das organizações de identificar suas obrigações de compliance, compreender os riscos associados ao seu descumprimento e adaptar seus controles diante de mudanças cada vez mais rápidas.
É justamente nesse ponto que a ISO 37301 demonstra sua atualidade.
Muito além da certificação
Quando se fala em ISO 37301, ainda é comum associá-la exclusivamente à certificação. Embora a certificação represente um importante reconhecimento da maturidade do sistema de gestão, limitar a norma a esse objetivo significa reduzir significativamente seu potencial.
A ISO 37301 foi desenvolvida para fornecer uma estrutura de gestão que permita às organizações estabelecer, desenvolver, implementar, avaliar, manter e melhorar continuamente um Sistema de Gestão de Compliance.
Seu diferencial está na adoção de uma abordagem baseada em riscos, alinhada ao ciclo de melhoria contínua e integrada à governança organizacional.
Em outras palavras, a norma não foi concebida para tratar exclusivamente de corrupção, proteção de dados, concorrência ou qualquer outro tema específico. Sua finalidade é garantir que a organização possua processos capazes de identificar obrigações de compliance, avaliar riscos de descumprimento e implementar controles adequados ao seu contexto.
Essa característica explica por que a norma continua atual mesmo diante de desafios tecnológicos que sequer existiam há alguns anos.
Obrigações de compliance: o verdadeiro ponto de partida
Um dos conceitos mais relevantes da ISO 37301 é o de obrigações de compliance.
Em muitas organizações, os debates sobre gestão de riscos começam pela construção de matrizes, classificações de impacto e probabilidades. A norma propõe um raciocínio anterior e fundamental: compreender quais obrigações precisam ser atendidas.
Essas obrigações incluem não apenas requisitos legais e regulatórios, mas também:
- Contratos com clientes, fornecedores e parceiros;
- Licenças e autorizações;
- Políticas corporativas;
- Códigos de ética e conduta;
- Compromissos voluntariamente assumidos pela organização;
- Requisitos de certificações;
- Diretrizes setoriais;
- Expectativas legítimas das partes interessadas.
Sob essa perspectiva, compliance deixa de ser apenas uma atividade voltada ao cumprimento da legislação e passa a ser um sistema estruturado para assegurar o cumprimento dos compromissos que sustentam a operação e a reputação da organização.
Todo risco de compliance está relacionado a uma obrigação
A relação entre obrigações e riscos é um dos aspectos centrais da ISO 37301. O risco de compliance não surge de forma isolada, decorre da possibilidade de que determinada obrigação não seja atendida.
A inteligência artificial oferece bons exemplos dessa dinâmica.
Considere alguns cenários:
| Obrigação de Compliance | Possível risco de compliance |
| LGPD | Uso inadequado de dados pessoais em aplicações de IA |
| Código de Ética | Utilização de algoritmos com resultados discriminatórios |
| Contratos de confidencialidade | Compartilhamento indevido de informações estratégicas em plataformas abertas |
| Requisitos regulatórios setoriais | Falta de rastreabilidade de decisões automatizadas |
| Compromissos ESG | Impactos negativos relacionados à diversidade e inclusão |
Nesses exemplos, o risco não está simplesmente no uso da tecnologia. O risco está na possibilidade de descumprimento das obrigações associadas à sua utilização.
Essa lógica contribui para que a gestão de riscos seja mais consistente e alinhada à realidade do negócio.
Como a ISO 37301 pode ser aplicada aos riscos emergentes
Um dos maiores méritos da norma é sua capacidade de acomodar novos riscos sem exigir a reconstrução completa do programa de compliance.
Na prática, isso ocorre porque a ISO 37301 está estruturada em torno de elementos permanentes da gestão: contexto, liderança, planejamento, suporte, operação, avaliação de desempenho e melhoria contínua.
Independentemente de o tema ser inteligência artificial, proteção de dados, ESG ou qualquer outra agenda emergente, esses elementos permanecem válidos.
Compreender o contexto organizacional
A norma determina que a organização considere questões internas e externas capazes de afetar os resultados pretendidos do sistema de gestão.
Na prática, isso exige uma análise estruturada de fatores como:
- Transformação digital do negócio;
- Uso de inteligência artificial em processos críticos;
- Mudanças regulatórias;
- Expectativas de clientes, investidores e reguladores;
- Exposição a riscos tecnológicos.
Essa avaliação permite compreender como o ambiente influencia as obrigações de compliance e os respectivos riscos.
Transformar obrigações em inteligência para tomada de decisão
Organizações mais maduras não tratam o levantamento de obrigações como um inventário estático, utilizam essas informações para direcionar a identificação de riscos, definir prioridades e orientar investimentos em controles.
Quando uma empresa compreende claramente quais obrigações sustentam seu modelo de negócio, torna-se mais fácil identificar vulnerabilidades e antecipar impactos decorrentes de mudanças regulatórias ou tecnológicas.
Nesse sentido, o mapeamento de obrigações deixa de ser uma atividade documental e passa a constituir uma ferramenta estratégica de governança.
Avaliação contínua dos riscos de compliance
A ISO 37301 estabelece que a organização determine, analise, avalie e trate seus riscos de compliance. Mais importante do que realizar uma avaliação anual é desenvolver a capacidade de revisar riscos à medida que o contexto se altera.
Isso se torna particularmente relevante em temas como inteligência artificial, nos quais tecnologias, expectativas regulatórias e práticas de mercado evoluem com rapidez e, por essa razão, organizações mais maduras vêm investindo em: Monitoramento contínuo de riscos; Indicadores-chave de risco; Dashboards gerenciais; Revisões periódicas de cenários; Integração entre riscos corporativos e riscos de compliance.
O objetivo não é apenas identificar riscos, mas manter sua avaliação alinhada à realidade do negócio.
Governança de terceiros e fornecedores tecnológicos
Outro aspecto cada vez mais relevante é a gestão de terceiros. Se antes os processos de due diligence estavam concentrados em representantes comerciais ou parceiros com interação governamental, hoje fornecedores de tecnologia passaram a ocupar posição de destaque.
Plataformas de inteligência artificial, serviços em nuvem e soluções automatizadas podem gerar impactos significativos sobre proteção de dados, segurança da informação, propriedade intelectual e conformidade regulatória.
Nesse contexto, a abordagem da ISO 37301 contribui para estruturar mecanismos de avaliação, monitoramento e tratamento de riscos relacionados a terceiros.
Medir a efetividade dos controles
Um dos desafios mais recorrentes nos programas de compliance consiste em comprovar que os controles implementados são efetivos. A simples existência de políticas, treinamentos e procedimentos não é suficiente.
A norma incentiva a avaliação do desempenho do sistema por meio de monitoramento, análise crítica, auditorias e utilização de indicadores.
No contexto da inteligência artificial, alguns exemplos incluem:
- Quantidade de aplicações de IA mapeadas;
- Percentual de soluções submetidas à avaliação de riscos;
- Número de fornecedores avaliados;
- Incidentes relacionados ao uso inadequado da tecnologia;
- Percentual de colaboradores capacitados sobre o tema;
- Tempo de resposta para riscos emergentes.
A utilização desses indicadores fortalece a tomada de decisão e contribui para a melhoria contínua do sistema.
Da gestão de riscos à inteligência de riscos
A crescente disponibilidade de dados está transformando a forma como as organizações gerenciam compliance. Tradicionalmente, matrizes de riscos eram utilizadas para registrar e priorizar eventos conhecidos. Hoje, empresas mais maduras utilizam informações provenientes de auditorias, investigações internas, canais de denúncia, avaliações de terceiros e monitoramento de processos para identificar tendências e antecipar riscos.
Nesse cenário, a própria inteligência artificial pode contribuir para a evolução dos programas de compliance.
Ferramentas analíticas permitem identificar padrões, anomalias e sinais de alerta que dificilmente seriam percebidos em análises exclusivamente manuais.
A tecnologia deixa de ser apenas uma fonte de riscos e passa a atuar como instrumento de fortalecimento da governança, desde que utilizada dentro de uma estrutura adequada de supervisão e controle.
Mais atual do que nunca
A atualidade da ISO 37301 não decorre do fato de a norma mencionar inteligência artificial, algoritmos ou transformação digital. Sua relevância está na capacidade de oferecer uma estrutura de gestão capaz de se adaptar a novas realidades.
Em um ambiente marcado por mudanças constantes, as organizações precisam compreender suas obrigações de compliance, avaliar riscos de descumprimento, implementar controles proporcionais e monitorar continuamente sua efetividade.
Esses princípios permanecem válidos independentemente da natureza do risco enfrentado.
Por isso, a norma continua sendo uma referência relevante para organizações que buscam fortalecer sua governança e desenvolver programas de compliance preparados para lidar com um ambiente regulatório e tecnológico cada vez mais complexo.
Conclusão
A inteligência artificial está transformando processos, modelos de negócios e formas de tomada de decisão. Ao mesmo tempo, amplia a complexidade das obrigações de compliance e dos riscos que precisam ser gerenciados.
Nesse contexto, a principal contribuição da ISO 37301 não está em oferecer respostas específicas para cada nova tecnologia, mas em fornecer uma estrutura capaz de absorver mudanças sem perder consistência.
Ao conectar obrigações de compliance, avaliação de riscos, controles, monitoramento e melhoria contínua, a norma fortalece a capacidade das organizações de responder a desafios emergentes de forma estruturada e sustentável.
Em um cenário em que os riscos mudam cada vez mais rápido, essa capacidade de adaptação talvez seja o atributo mais valioso de um sistema de gestão de compliance.
Implementar sistemas de gestão de Compliance e antissuborno exige mais do que conhecer as normas. É preciso saber transformar seus requisitos em processos aplicáveis à realidade das organizações.
O Nanodegree Formação de Líder Implementador – ISO 37001 & ISO 37301, da LEC, prepara profissionais para estruturar, implementar e auditar sistemas de Compliance e antissuborno com base em padrões internacionais e boas práticas de governança. LEC
Conheça o Nanodegree Formação de Líder Implementador – ISO 37001 & ISO 37301
São 20 horas de formação, sendo 15 horas de videoaulas e 5 horas de estudo dedicado, além de um encontro ao vivo para aprofundamento e esclarecimento de dúvidas. O programa aborda avaliação de riscos, políticas e controles, due diligence, canais de denúncia, investigações internas, auditoria, monitoramento e melhoria contínua. LEC
O conteúdo fica disponível por 12 meses, inclui materiais para download e oferece Certificado de Conclusão. O Nanodegree também acumula 20 créditos para recertificação nas certificações indicadas pela LEC.
