Imagine uma empresa que tem Código de Conduta atualizado, políticas aprovadas pelo Conselho, treinamentos obrigatórios, canal de denúncias, matriz de riscos, controles internos, procedimentos de aprovação e um programa de Compliance estruturado. Tudo parece funcionar, até que surge uma crise.
Um executivo toma uma decisão que ultrapassa os limites estabelecidos pela organização, uma denúncia chega ao canal, uma investigação é aberta e um fornecedor é suspenso. Os fatos começam a ser apurados, mas uma pergunta aparece em todas as reuniões:
Como isso aconteceu se a empresa tinha um programa de Compliance?
Uma organização pode ter todos os elementos formais de um programa de Compliance e, ainda assim, tomar decisões incompatíveis com aquilo que está escrito nas suas próprias políticas. A existência de regras, controles e treinamentos mostra que a empresa criou uma estrutura, mas não necessariamente que essa estrutura oriente o comportamento das pessoas.
A crise costuma revelar essa diferença porque coloca a organização diante de uma situação que nenhum treinamento consegue simular completamente: o que as pessoas fazem quando cumprir a regra tem um custo para o negócio?
O problema não está na ausência de regras
Quando uma crise acontece, é comum procurar imediatamente a política descumprida e a área que deveria ter evitado o problema.
Qual era a regra? Quem deveria aprovar? Qual controle existia? O treinamento havia sido realizado? Quem deveria ter barrado?
Essas perguntas são importantes, mas podem levar a uma conclusão equivocada: a de que faltou uma regra. Uma política pode exigir aprovação prévia, criar controles internos e, na prática, as exceções terem se tornado tão frequentes que ninguém mais as percebe. Um sistema pode gerar alertas e a organização ter desenvolvido o hábito de ignorá-los porque “sempre foi assim”.
Uma matriz de riscos pode classificar determinado risco como alto enquanto a operação estabelece metas que tornam praticamente impossível trabalhar dentro dos limites definidos. O documento continua correto, só que a rotina deixou de segui-lo há algum tempo.
Essa distância entre o que está formalizado e o que orienta as decisões é uma das vulnerabilidades mais importantes de uma estrutura de governança. O Compliance formal responde a uma pergunta: “A empresa possui mecanismos para tratar determinado risco?”
A cultura de Compliance responde a outra: “O que as pessoas fazem quando esses mecanismos atrapalham uma decisão que o negócio considera importante?”
Pense em uma política de brindes e hospitalidades, com regras claras de aprovação e limites de valor. Ela é realmente testada no dia que um executivo importante recebe um convite acima do limite estabelecido e alguém precisa dizer não a ele.
É nessa situação que descobrimos se o Compliance participa da decisão ou apenas registra uma decisão que já foi tomada. A mesma lógica vale para conflitos de interesses, contratação de terceiros ou relação com agentes públicos. A cultura aparece quando existe pressão. Enquanto cumprir a regra não custa nada, quase todo mundo consegue cumprir.
O teste vem quando cumprir significa perder uma venda, atrasar um contrato, contrariar um executivo ou admitir que uma meta não será atingida e é nesse momento que a empresa mostra o que realmente considera prioridade.
A crise quase nunca começa no dia em que aparece
Outro erro comum é tratar a crise como um evento isolado. Em geral, ela é resultado de uma sequência de pequenas decisões que foram sendo normalizadas.
Primeiro aparece uma exceção, depois outra. Um alerta é relativizado porque o resultado do trimestre é importante, uma recomendação de Compliance fica para depois, uma área deixa de reportar determinado indicador porque ele “não representa bem a realidade”.
O mesmo acontece com as pessoas: o gestor percebe um comportamento inadequado e prefere não comprar uma briga, o colaborador que aprendeu que questionar certas decisões não é bem recebido e escolhe ficar em silêncio.
Isoladamente, nenhuma dessas situações parece suficientes para provocar uma crise. O problema começa quando elas formam um padrão e a organização passa a conviver com aquilo que deveria tratar como desvio.
O excepcional vira operacional e o risco deixa de gerar desconforto para fazer parte da rotina. Quando o problema finalmente se torna público, parece que surgiu de repente, mas, para quem acompanhava os sinais, ele vinha sendo construído há muito tempo.
Existem sinais antes da crise
Além dos indicadores tradicionais do programa de Compliance, eu começaria a observar outros:
Quantas exceções são aprovadas e por quê?
Quantos alertas relevantes foram encerrados sem uma medida efetiva?
Quantas recomendações de Compliance foram rejeitadas pela gestão?
Quantas vezes o negócio encontrou uma forma de contornar um controle para cumprir uma meta?
As pessoas conseguem discordar de uma decisão de um executivo sem receio de retaliação?
Quando uma denúncia envolve alguém com poder na organização, o processo de apuração continua tendo a mesma independência?
São perguntas desconfortáveis, e suas respostas nem sempre são fáceis de medir. Afinal, que área gostaria de apresentar resultados que evidenciam as próprias vulnerabilidades? Ainda assim, são essas respostas que mostram se a empresa consegue sustentar o programa quando ele é colocado à prova.
Também não podemos partir da premissa de que, se existe uma área de Compliance, qualquer problema de integridade deveria ter sido evitado por ela. Compliance não é seguro contra decisões ruins. A área não define a estratégia da empresa, não controla todas as operações e não substitui a responsabilidade de executivos, gestores e demais instâncias de governança.
O papel do Compliance é identificar riscos, estabelecer mecanismos de prevenção e detecção, orientar decisões, questionar situações inadequadas, investigar quando necessário, recomendar medidas e levar temas relevantes a quem tem autoridade para decidir. A decisão, porém, continua sendo da organização.
Por isso, quando uma crise acontece, uma das perguntas mais importantes deveria ser:
“Quem sabia do risco, quem recebeu o alerta, quem decidiu e o que foi feito com essa informação?”
Essa pergunta tira o foco de busca por culpados e o coloca em quem decidiu, que é base de uma cultura de accountability. Se o Compliance alertou, a liderança conhecia o risco e decidiu seguir adiante, não é possível transformar depois uma decisão da organização em falha exclusiva da área de controle. A responsabilidade precisa acompanhar quem tinha autoridade para decidir.
A pergunta que o Conselho deveria fazer
Se eu pudesse sugerir uma única pergunta para a próxima reunião do Conselho, seria:
“Se amanhã o cumprimento de uma regra representar perda financeira, quem terá coragem e autonomia para dizer não?”
A resposta deveria estar sustentada pela governança, e não depender da coragem de uma pessoa específica. Isso significa papéis claros, caminhos de escalonamento conhecidos, critérios para exceções, decisões registradas e uma liderança que sustente os limites que ela mesma aprovou.
Sem isso, o programa pode continuar sofisticado no papel enquanto a cultura segue outra lógica, que costuma aparecer nas pequenas decisões muito antes da crise.
Uma empresa demonstra sua cultura de Compliance quando alguém decide não fazer algo que seria mais conveniente para o negócio, quando um executivo aceita ser questionado ou quando uma área se sente segura para comunicar um problema antes que ele vire uma crise.
A forma como a organização reage a essas situações talvez diga muito mais sobre sua cultura do que todos os documentos juntos.
Vale fazer uma pergunta menos confortável: se os sinais de uma crise começassem a aparecer hoje, a organização teria capacidade de reconhecê-los, ouvir quem está alertando e agir antes que o problema se tornasse público? Ou descobriria, tarde demais, que os mecanismos existiam, mas não tinham força para influenciar as decisões?
Compliance exige mais do que conhecer normas e legislações. É preciso saber implementar, gerir e aprimorar programas de integridade de forma efetiva.
O MBA em Compliance da LEC oferece uma formação abrangente, unindo conhecimentos teóricos e práticos para profissionais que desejam atuar e se desenvolver na área de Compliance em organizações privadas, públicas e do terceiro setor.
Conheça o MBA em Compliance da LEC
São 360 horas/aula, com aulas que podem ser acompanhadas ao vivo ou gravadas e conclusão entre 9 e 18 meses. O programa aborda desde os fundamentos do Compliance até gestão de riscos, controles internos, due diligence, investigações, gestão de crises, monitoramento e cultura de integridade.
Além da formação, o aluno tem isenção da taxa para realizar uma Certificação Profissional à sua escolha, idealizada pela LEC e operada pela FGV-Projetos. As turmas são limitadas a 70 alunos.
