Canal de denúncia que ninguém usa não é Compliance

Ter um canal de denúncia deixou de ser diferencial, hoje é o mínimo. O que separa um programa de compliance maduro de um projeto de fachada é o que acontece depois que a denúncia chega: independência na apuração, comunicação constante com os empregados e um fluxo de investigação com prazos, decisão documentada e retorno ao denunciante.

O canal existe. E daí?

Quase toda empresa de médio e grande porte hoje tem um canal de denúncia: um e-mail, um formulário no site, às vezes uma linha 0800, ou mesmo um canal independente. O problema é que, na prática, muitos desses canais não recebem denúncia nenhuma. Não é porque não haja nada a relatar, mas porque ninguém confia neles.

Os empregados sabem, ou desconfiam, de três coisas: (i) que a denúncia pode ser rastreada até quem a fez; (ii) que ela vai cair na mesa de alguém próximo da pessoa denunciada; e, (iii) que, mesmo que seja apurada, ninguém vai saber o que aconteceu depois. Diante disso, a resposta racional é o silêncio.

Um canal que ninguém usa não é prova de que está tudo bem na empresa. É, na maioria das vezes, prova de que não há confiança no canal por quem poderia utilizá-lo, e, para quem avalia a maturidade de um programa de compliance (uma autoridade, um auditor, um cliente em due diligence), essa ausência de uso pesa mais contra a empresa do que a favor.

O que a lei exige (e o que ela não exige)

Dois marcos normativos tratam do tema, e vale separar com precisão o que cada um determina.

A Lei 14.457/2022, em seu Art. 23, obriga empresas com CIPA a adotar regras de conduta contra o assédio sexual e outras formas de violência, com ampla divulgação interna; fixar procedimentos para recebimento e acompanhamento de denúncias, com garantia de anonimato do denunciante; incluir o tema nas atividades da CIPA; e promover capacitação dos empregados a cada 12 meses, no máximo. A lei é clara ao exigir que exista um procedimento estruturado para apurar e investigar denúncias, mas, diferentemente do que circula em alguns materiais de mercado, ela não fixa um prazo legal específico (como “5 dias úteis para reconhecimento” ou “30 dias para conclusão”) para a sua apuração e conclusão. Prazos desse tipo são uma boa prática de gestão, não uma imposição legal. E, como boa prática, vale mais ainda a pena adotá-los.

Já o Decreto 8.420/2015, que regulamenta a Lei Anticorrupção (Lei 12.846/2013), inclui entre os parâmetros usados para avaliar a efetividade de um programa de integridade (Art. 42, inciso X) a existência de “canais de denúncia de irregularidades, abertos e amplamente divulgados a funcionários e terceiros, e de mecanismos destinados à proteção de denunciantes de boa-fé”. Ou seja: para a autoridade que avalia o programa de compliance de uma empresa em um processo administrativo, não basta o canal existir no papel, ele precisa ser conhecido e vir acompanhado de proteção real a quem denuncia.

Na prática, isso significa que cumprir a lei é o piso, não o teto. Uma empresa pode atender à letra da Lei 14.457/2022 e, ainda assim, manter um canal pouco confiável. A diferença entre compliance de fachada e compliance maduro está no que a empresa decide fazer além do mínimo exigido.

Independência: o que muda de verdade

Aqui está o ponto que mais separa um canal simbólico de um mecanismo eficaz: quem recebe e gerencia a denúncia.

Um canal administrado internamente, por uma área de RH ou jurídico que responde à mesma diretoria que pode vir a ser denunciada, carrega um conflito estrutural. Não importa a boa-fé de quem está na ponta: o empregado que pensa em denunciar o próprio gestor, ou um diretor, vai calcular o risco de que a informação volte para dentro da própria estrutura hierárquica. E, na dúvida, provavelmente não vai denunciar.

A norma internacional de referência sobre o tema, a ISO 37002:2021, organiza a gestão de canais de denúncia em torno de três princípios: (i) confiança (o denunciante precisa acreditar que será ouvido e levado a sério), (ii) imparcialidade (a apuração precisa ser conduzida sem viés em favor de quem tem mais poder na organização), e, (iii) proteção (contra retaliação, direta ou disfarçada). Um canal terceirizado ou operado por uma estrutura efetivamente independente da liderança atende aos três ao mesmo tempo: preserva o sigilo técnico de quem denuncia, remove o conflito de interesse na triagem inicial e sinaliza, com credibilidade, que a apuração não será filtrada por quem tem interesse no resultado.

Essa independência importa ainda mais em denúncias contra a alta liderança ou contra o próprio responsável pelo compliance, situações em que um canal interno, por melhor que seja desenhado, simplesmente não tem como garantir imparcialidade. Não é uma questão de desconfiar da equipe interna; é reconhecer que confidencialidade e imparcialidade percebidas, e não apenas reais, são o que determina se alguém vai usar o canal.

Divulgação e conscientização não são etapas extras

É comum tratar a comunicação sobre o canal como um item de lançamento: um e-mail quando o canal é criado, um card no manual do empregado, e pronto. O resultado, alguns meses depois, é previsível: boa parte dos empregados simplesmente não lembra que o canal existe, ou nunca soube como ele funciona de fato.

A própria Lei 14.457/2022 já aponta na direção certa ao exigir capacitação periódica, no máximo a cada 12 meses, sobre violência, assédio, igualdade e diversidade, não um treinamento único de admissão. O mesmo raciocínio vale para qualquer canal de compliance: divulgação não é um evento, é uma rotina. Isso inclui deixar claro, em linguagem simples, quem pode denunciar (empregados, mas também terceiros, fornecedores e clientes, conforme o Decreto 8.420/2015), o que pode ser denunciado, por quais canais, o que acontece com o sigilo e, sobretudo, o que a empresa faz com a informação recebida.

Esse último ponto costuma ser o mais negligenciado: sem visibilidade sobre o que ocorre depois da denúncia, a conscientização vira discurso vazio. Empregados que veem denúncias anteriores gerarem alguma consequência visível, mesmo sem detalhes sigilosos, confiam mais no canal do que empregados apenas informados de que ele existe.

Da denúncia ao retorno: o fluxo que sustenta a confiança

Recebida a denúncia, o que a diferencia de uma caixa de sugestões é um fluxo interno conhecido, com etapas claras:

• Triagem inicial: avaliar admissibilidade, gravidade e conflitos de interesse (quem pode conduzir a apuração sem viver esse conflito).
• Apuração com trilha documentada: entrevistas, coleta e preservação de evidências, registro de cada etapa. Sem essa trilha, a empresa não consegue demonstrar depois, a um órgão regulador ou a um auditor, que a apuração foi séria.
• Decisão documentada: uma conclusão fundamentada, com base nas evidências colhidas, e não um despacho genérico de “arquivado” ou “procedente”.
• Retorno ao denunciante: mesmo sem revelar detalhes sigilosos da apuração ou de terceiros envolvidos, confirmar o recebimento e, ao final, informar que o caso foi concluído. O silêncio total é uma das principais razões pelas quais um canal deixa de ser usado.
• Melhoria contínua: usar os casos apurados (mesmo os improcedentes) para revisar controles, políticas e treinamentos.

Adotar prazos internos de referência para cada etapa (por exemplo, confirmar o recebimento em poucos dias úteis e estabelecer uma meta razoável para a conclusão), não é exigência legal, como visto acima, mas é o que a ISO 37002 recomenda como boa prática de governança: prazos dão previsibilidade ao denunciante e disciplina à apuração.

Um ponto que costuma passar despercebido: os dados pessoais coletados durante a apuração (do denunciante, do denunciado e de eventuais testemunhas) são dados pessoais cujo tratamento está sujeito à LGPD (Lei 13.709/2018), com base legal, finalidade e prazo de retenção próprios, e exigem controles de acesso compatíveis com sua sensibilidade. Um canal de denúncia bem estruturado juridicamente cuida tanto da governança da investigação quanto da proteção de dados envolvida nela.

Compliance se mede pelo uso, não pela existência

Ter canal de denúncia é exigência legal para boa parte das empresas. Ter um canal em que os empregados confiam, que é lembrado, que apura com independência e que dá retorno a quem denuncia é o que, de fato, sustenta um programa de compliance maduro. E o que uma autoridade, um investidor ou um parceiro comercial enxergam quando avaliam a sério a integridade de uma empresa.

Se você está avaliando implantar um canal de denúncia, revisar um que já existe mas não é usado, ou estruturar o fluxo de investigação e o treinamento que dão sustentação a ele, podemos ajudar, do desenho da governança e da definição de fluxos e prazos, até a condução de investigações internas e a capacitação das equipes. É só nos procurar para conversar sobre o estágio atual do seu programa.

Fontes consultadas

• Art. 23 da Lei nº 14.457/2022 (Jusbrasil)
• Art. 42 do Decreto nº 8.420/2015 (Jusbrasil)
• ISO 37002:2021 — Whistleblowing management systems (ISO)
• ISO 37002 whistleblowing standard – what organisations need to know (Integrityline)