Compliance para pequenas e médias empresas: por onde começar

Compliance empresarial é o conjunto de práticas, regras e controles que uma empresa adota para cumprir as leis e normas que se aplicam ao seu negócio, além das próprias políticas internas. O termo vem do verbo em inglês to comply, que significa cumprir ou estar em conformidade. Na prática, o compliance envolve identificar os riscos legais e éticos da operação, como os trabalhistas, os de proteção de dados, os de corrupção e os de saúde e segurança no trabalho, e criar mecanismos para preveni-los, detectá-los e corrigi-los. Entre esses mecanismos estão o código de conduta, as políticas internas, os treinamentos, o canal para dúvidas e relatos, os controles sobre fornecedores e o monitoramento periódico dos resultados. Quando esses elementos funcionam de forma organizada e com apoio da liderança, formam o chamado programa de compliance ou programa de integridade. O objetivo não é apenas evitar multas e processos, mas criar um ambiente em que as decisões sigam critérios claros e conhecidos por todos. O documento que dá base a esse conjunto está explicado no artigo sobre código de conduta.

Não existe uma lei que obrigue todas as pequenas empresas a manter um programa de compliance completo, mas várias normas exigem partes dele, e o mercado costuma cobrar o restante. A LGPD, por exemplo, vale para empresas de qualquer porte que tratam dados pessoais, ainda que a Resolução CD/ANPD nº 2/2022 preveja regras simplificadas para agentes de pequeno porte, como a dispensa de indicar encarregado, mantida a obrigação de oferecer um canal de comunicação com os titulares. A NR-1 exige que empresas com empregados gerenciem os riscos ocupacionais, incluindo os fatores psicossociais desde 26 de maio de 2026. A Lei 14.457/2022 obriga empresas com CIPA a adotar regras de conduta, procedimentos para receber relatos e treinamentos periódicos. Já a Lei Anticorrupção responsabiliza empresas de todos os portes, e o programa de integridade pode reduzir sanções. Somam-se a isso os questionários de clientes e redes de fornecimento, que pedem evidências de canal, código e treinamento. Por isso, mesmo sem obrigação formal, muitas PMEs implantam ao menos os elementos básicos. As exigências da norma de riscos estão em adequação à NR-1.

O custo de implantar compliance em uma pequena empresa varia bastante conforme o modelo escolhido, o número de colaboradores e o quanto do trabalho é feito internamente. Os principais componentes de custo costumam ser quatro. O primeiro é a elaboração do código de conduta e das políticas, que pode ser feita pela própria empresa a partir de modelos ou com apoio de uma consultoria ou de um escritório, o que encarece o projeto. O segundo é o canal para dúvidas e relatos, que pode ir de soluções gratuitas para empresas pequenas a planos cobrados por colaborador ou por pacote. O terceiro é o treinamento da equipe, que pode ser presencial, com custo por turma, ou on-line, com registro de participação e certificado. O quarto é o tempo da liderança e de quem vai conduzir o programa, que costuma ser subestimado. Para uma PME, o caminho mais comum é começar pelos elementos que respondem às exigências mais próximas, como clientes, NR-1 e LGPD, e ampliar o programa aos poucos. Uma referência de modelo de cobrança por porte está na página de planos e preços.

Os pilares de um programa de compliance variam um pouco conforme a referência adotada, mas a maioria dos modelos, inclusive os parâmetros do Decreto 11.129/2022 para programas de integridade, converge para um conjunto semelhante. O primeiro pilar é o comprometimento da liderança, porque o programa só funciona quando sócios e gestores seguem e apoiam as regras. O segundo é a avaliação de riscos, que identifica onde a empresa está mais exposta. O terceiro é o código de conduta e as políticas internas, que transformam os riscos em regras claras. O quarto é a comunicação e o treinamento, para que todos conheçam as regras e saibam aplicá-las. O quinto é o canal para dúvidas e relatos, com sigilo e proteção contra retaliação. O sexto é a apuração e as medidas de correção, com procedimentos definidos para tratar cada caso. O sétimo é o monitoramento contínuo, com indicadores, revisões periódicas e registros que comprovem o funcionamento do programa. Também aparecem com frequência os controles sobre terceiros e fornecedores. A forma como esses pilares se conectam na rotina está descrita em como funciona.

Compliance e programa de integridade são termos muito próximos e, no dia a dia das empresas, costumam ser usados como sinônimos, mas há uma diferença de origem e de foco. Compliance é o termo mais amplo e vem do mercado internacional: refere-se ao cumprimento de todas as leis, normas e regras internas que se aplicam ao negócio, o que inclui áreas como a trabalhista, a tributária, a ambiental, a concorrencial e a de proteção de dados. Programa de integridade é a expressão usada pela legislação brasileira anticorrupção, especialmente pela Lei 12.846/2013 e pelo Decreto 11.129/2022, e tem foco na prevenção, detecção e correção de fraudes, corrupção e outros atos lesivos contra a administração pública, embora na prática também abranja temas como conduta, conflitos de interesse e relacionamento com terceiros. Os elementos dos dois são praticamente os mesmos: comprometimento da liderança, avaliação de riscos, código de conduta, treinamento, canal de relatos, apuração e monitoramento. Para uma PME, mais importante do que o nome é que esses elementos existam e funcionem. O canal como parte desse conjunto está explicado em canal de integridade.

Em grandes empresas, o compliance costuma ficar com uma área dedicada, com um compliance officer e equipe própria. Em pequenas e médias empresas, essa estrutura raramente existe, e o mais comum é que um dos sócios assuma a coordenação do programa, com apoio de uma pessoa do RH, da administração ou do financeiro. Essa escolha tem uma vantagem importante: mostra à equipe que o tema é tratado pela liderança, e não apenas como uma obrigação burocrática. Alguns cuidados ajudam a dar credibilidade ao modelo. O primeiro é não concentrar tudo em uma única pessoa, especialmente o tratamento dos relatos, para que sempre haja alguém sem conflito de interesse quando o caso envolver a própria liderança. O segundo é definir por escrito quem faz o quê, incluindo quem atualiza o código, quem acompanha os treinamentos e quem responde às manifestações. O terceiro é buscar apoio externo pontual, como uma consultoria ou um escritório, para temas mais técnicos ou investigações complexas. A divisão de acessos entre os usuários autorizados do canal está descrita em segurança e privacidade.