Princípios de conformidade, ética e prestação de contas

A distância real entre o que consta nos manuais corporativos e o que acontece no terreno operacional decide quase todas as inspeções regulatórias. Nos setores altamente regulados — banca, seguros, energia, saúde e infraestruturas críticas —, a supervisão moderna não avalia intenções: exige provas datadas e verificáveis. Um manual de conformidade formalmente aprovado em ata vale pouco se a matriz de riscos subjacente não foi revista no último exercício fiscal ou se os gestores operacionais não conseguem demonstrar a aplicação prática do procedimento no dia a dia. A legislação europeia e nacional obrigou as organizações com mais de 50 trabalhadores a implementar canais internos de denúncia num prazo restrito; contudo, muitas entidades cumpriram apenas o requisito burocrático, deixando a gestão das comunicações sem um responsável nomeado e com prazos por cumprir. É exatamente aí que surge o problema estrutural. O regulador exige registos cronológicos, rastreáveis e auditáveis, e não apresentações institucionais.

Qualquer programa de conformidade defensável assenta firmemente em três decisões fundamentais anteriores à implementação de qualquer ferramenta tecnológica: a liderança formal, o mapeamento rigoroso de riscos e a evidência documental. O primeiro pilar é o governo corporativo — um conselho de administração que aprova formalmente a política institucional, fixa o apetite ao risco e recebe relatórios periódicos sobre desvios e incidentes. Sem este mandato executivo claro, a função de compliance tende a negociar caso a caso, carecendo da autoridade necessária. O segundo pilar consiste na avaliação contínua de riscos por processo produtivo, e não apenas por departamento funcional. A matriz deve identificar com precisão onde reside a materialidade do risco: branqueamento de capitais em fluxos de pagamento, suborno em processos de aprovisionamento, proteção de dados pessoais em campanhas de marketing ou falhas de cibersegurança em operações vitais. A norma ISO 37301:2021 descreve este ciclo de melhoria contínua, mas não substitui a execução interna.

Ouve-se frequentemente nos fóruns do setor a ideia de que possuir uma certificação externa garante imunidade regulatória total. Convém analisar esta premissa com extremo rigor, pois o erro de interpretação custa caro às organizações. Um certificado ISO 37301 ou ISO 37001 atesta exclusivamente que existe um sistema de gestão documentado e auditado por uma entidade independente; não constitui prova absoluta de que nenhuma infração ocorreu, nem transfere a responsabilidade jurídica para o organismo certificador. Nos ordenamentos jurídicos europeus, o enquadramento penal exige expressamente um modelo de organização e gestão dotado de medidas eficazes de vigilância e controlo, supervisionado por um órgão autónomo com poderes de iniciativa. Os tribunais avaliam metodicamente se esse modelo funcionava de forma efetiva no momento exato dos factos analisados — e um modelo que permaneceu inalterado ou sem revisões durante dois anos consecutivos é habitualmente interpretado como uma medida puramente decorativa. A certificação pode atenuar a responsabilidade corporativa, mas raramente a exclui por completo.

A prestação de contas efetiva começa por definir inequivocamente a quem se reporta a função de conformidade dentro do organigrama. Se o responsável reportar exclusivamente ao diretor financeiro, os inevitáveis conflitos relativos a orçamentos e recursos serão sistematicamente resolvidos a favor de quem controla as contas salariais. A prática internacional recomendada exige uma linha de reporte dupla: independência funcional direta face ao conselho de administração ou à comissão de auditoria, aliada a uma ligação operacional estrita com a gestão executiva diária. O passo seguinte obriga a nomear donos específicos para cada risco identificado na organização. Um mapa de processos em que cada controlo possui um responsável nominal, um prazo de execução estrito e um indicador de desempenho claro evita a perigosa zona cinzenta onde todos colaboram vagamente e ninguém assume a responsabilidade direta. Nas entidades financeiras sujeitas a supervisão apertada, os planos de recuperação e os mapas de risco já exigem este nível granular de responsabilização individual.

A análise financeira ajuda a retirar a discussão do plano puramente abstrato. Uma instituição financeira de média dimensão dedica habitualmente entre 15 e 25 profissionais a tempo inteiro a funções especializadas de conformidade, prevenção de branqueamento de capitais e proteção de dados. A esta estrutura humana somam-se investimentos contínuos em sistemas tecnológicos de triagem automatizada, programas obrigatórios de formação anual recorrente e auditorias externas independentes de qualidade. Os orçamentos operacionais crescem de forma exponencial quando a qualidade inicial dos dados internos é deficiente. Do lado oposto da equação encontram-se as coimas e sanções regulatórias severas: o Regulamento Geral de Proteção de Dados (RGPD) prevê coimas administrativas que podem atingir dezenas de milhões de euros ou uma percentagem significativa do volume de negócios anual global; as leis de prevenção do branqueamento estipulam coimas pesadas; e os reguladores setoriais detêm o poder legal de revogar autorizações de funcionamento.

Um canal de denúncias interno que nunca regista qualquer comunicação não constitui um sinal de saúde organizacional irrepreensível, mas sim um claro sintoma de desconfiança por parte dos colaboradores. A legislação europeia e nacional fixa prazos procedimentais muito concretos: acusação formal de receção ao informante no prazo máximo de sete dias e resposta fundamentada sobre as diligências efetuadas num prazo de três meses, garantindo total confidencialidade e proibição expressa de atos de retaliação. Cumprir estritamente este calendário legal é o requisito mínimo; testar a resiliência do sistema distingue as organizações maduras. Os testes realmente úteis são aqueles que simulam cenários complexos. Enviar uma comunicação simulada para verificar rigorosamente quem acede aos dados confidenciais e em que prazo. Confirmar o procedimento exato acionado quando o denunciado é o próprio gestor do canal — situação que obriga à abstenção imediata de competência e à transferência célere do processo.

Quando o regulador setorial solicita um dossiê de conformidade, a organização dispõe tipicamente de um prazo reduzido para a sua entrega formal. Quem manteve registos dispersos em caixas de correio eletrónico entrega narrativas subjetivas; quem estruturou um repositório centralizado entrega provas materiais irrefutáveis. A diferença crítica raramente é tecnológica — resume-se a disciplina processual e rigor documental. Os elementos mínimos exigidos são amplamente conhecidos:

• registo cronológico detalhado das decisões de aceitação e rejeição de clientes;
• historial completo das verificações efetuadas face a listas de sanções internacionais e pessoas politicamente expostas;
• alertas gerados pelos sistemas e respetiva fundamentação técnica para o seu encerramento;
• comprovativos auditáveis da formação obrigatória concluída por cada trabalhador;
• revisões periódicas da matriz de riscos devidamente versionadas e datadas.

Sem um controlo rigoroso de versões, um procedimento operacional obsoleto pode ser apresentado por engano como atual, destruindo instantaneamente a credibilidade técnica de todo o programa de conformidade perante os inspetores.

A agenda regulatória para os próximos anos não deixa margem para programas de compliance concebidos à medida de uma única norma isolada. A aplicação progressiva de regulamentos europeus complexos — como o enquadramento DORA para a resiliência operacional digital, as obrigações escalonadas do Regulamento de Inteligência Artificial e as diretivas rigorosas sobre due diligence em matéria de sustentabilidade na cadeia de valor — impõe uma convergência inevitável. O efeito prático desta evolução é claro: a mesma evidência documental passa a alimentar simultaneamente múltiplos relatórios regulatórios. Um processo rigoroso de due diligence aplicado a um fornecedor crítico pode servir eficazmente para demonstrar resiliência operacional, cumprir normas de prevenção do branqueamento e alimentar o reporte de sustentabilidade corporativa — desde que o processo interno seja desenhado de forma transversal e integrada. Caso cada departamento crie isoladamente o seu próprio formulário de recolha de dados, multiplicar-se-ão os custos administrativos e as contradições internas.