Como contratar um programa de compliance com base na Lei 12.846/13?

Quem busca um programa de compliance lei 12846 normalmente já entendeu que a Lei Anticorrupção não é assunto restrito a grandes corporações. A dúvida real aparece depois: como tirar o programa do papel, o que a Controladoria-Geral da União efetivamente examina e como escolher um fornecedor capaz de entregar algo que resista a um processo administrativo de responsabilização. É nesse ponto que muitas propostas comerciais se mostram vagas — falam em “cultura de integridade”, mas não explicam metodologia, entregáveis nem como o trabalho será comprovado.

Este texto percorre o caminho prático que costuma ficar de fora dos materiais introdutórios. Trata dos critérios objetivos de avaliação previstos no Decreto 11.129/2022, dos modelos de contratação mais comuns no mercado, das cláusulas que merecem atenção em um contrato de consultoria e das métricas que permitem demonstrar maturidade depois que o programa já está rodando. Também aborda a interface com a Lei 14.133/2021, que transformou a integridade em vantagem competitiva em licitações.

A leitura serve tanto para quem precisa estruturar o programa internamente quanto para quem vai comparar propostas de terceiros e quer parâmetros concretos de decisão, além de noções de faixa de investimento e dos riscos de adquirir um modelo genérico.

O que a Lei 12.846/13 exige da sua empresa em matéria de integridade

A Lei 12.846/2013, conhecida como Lei Anticorrupção, instituiu a responsabilização objetiva — administrativa e civil — de pessoas jurídicas pela prática de atos lesivos contra a administração pública nacional ou estrangeira. Isso significa que a empresa responde independentemente de culpa ou dolo de seus dirigentes, bastando que o ato tenha sido praticado em seu interesse ou benefício. A multa prevista no art. 6º, inciso I, varia de 0,1% a 20% do faturamento bruto do exercício anterior ao da instauração do processo, excluídos os tributos, e nunca será inferior à vantagem auferida quando for possível estimá-la.

A lei não obriga textualmente toda empresa a ter um programa de compliance. A obrigação genérica é não praticar atos lesivos; a existência de um programa de integridade efetivo funciona como fator atenuante de sanção e como evidência de boa-fé institucional. Contudo, para empresas que contratam com o poder público, a exigência ganha contornos quase mandatórios: a Lei 14.133/2021 (nova Lei de Licitações) prevê o programa de integridade como critério de desempate em licitações e como requisito para contratos de grande vulto.

Além da multa, o art. 19 da Lei 12.846/2013 autoriza a publicação extraordinária da decisão condenatória em meios de comunicação de grande circulação, às expensas da pessoa jurídica. Na prática, o dano reputacional de uma condenação costuma superar o impacto financeiro direto: contratos públicos são rescindidos, linhas de crédito são suspensas e a empresa pode ser declarada inidônea para licitar. O programa de compliance, portanto, não é um acessório burocrático — é o principal instrumento de defesa prévia que a legislação reconhece expressamente.

Programa de compliance não é o mesmo que programa de integridade: o que a lei e o Decreto 11.129/2022 consideram

Os dois termos são usados como sinônimos no mercado, mas o Decreto 11.129/2022, que regulamenta a Lei 12.846/2013, adota a expressão “programa de integridade” com significado técnico específico. O termo “compliance” tem origem no direito estrangeiro e abrange, em sentido amplo, a conformidade com normas internas e externas; a legislação brasileira preferiu “integridade” para enfatizar a dimensão anticorrupção.

Essa distinção tem consequência prática em processos sancionadores. A Controladoria-Geral da União (CGU), autoridade competente para apurar atos lesivos contra a administração federal, avalia o programa de integridade conforme os parâmetros do art. 57 do Decreto 11.129/2022 — e não qualquer conjunto de políticas de compliance genérico. Um programa de compliance voltado apenas a obrigações trabalhistas, tributárias ou ambientais, sem componentes anticorrupção, tende a receber avaliação baixa ou nula para fins de atenuação da multa.

A comprovação da efetividade cabe à pessoa jurídica processada: não basta apresentar o manual de conduta, é preciso demonstrar funcionamento real — treinamentos realizados, denúncias apuradas, riscos mapeados e monitoramento contínuo. A CGU publicou em 2023 orientações sobre avaliação de programas, mas o decreto permanece a norma vinculante.

Os 5 eixos de um programa de integridade avaliado pelo art. 57 do Decreto 11.129/2022

O art. 57 do Decreto 11.129/2022 lista os parâmetros que a CGU considera na avaliação do programa de integridade. São cinco blocos interdependentes, e a ausência ou fragilidade de um deles compromete a nota dos demais. A lógica é sistêmica: um canal de denúncia sem investigação interna é apenas uma caixa de e-mails; um treinamento sem apoio da alta direção vira formalidade. Cada eixo deve gerar evidências documentais — atas, relatórios, trilhas de auditoria, registros de capacitação — que possam ser apresentadas em eventual processo administrativo de responsabilização.

Comprometimento da alta direção e governança

O decreto exige que o programa conte com apoio visível e contínuo da alta administração, incluindo conselhos e diretorias. Isso se materializa em orçamento próprio, participação em treinamentos, definição de responsáveis com autonomia e inclusão do tema na pauta de governança. A CGU verifica se o comprometimento é formal (documentos, atas, comunicações internas) e material (recursos alocados, decisões que priorizam integridade em detrimento de resultado comercial).

Na prática, empresas que concentram a função de compliance em um único analista subordinado à diretoria comercial raramente convencem a autoridade avaliadora. O padrão esperado é um comitê de ética ou área de integridade com acesso direto ao conselho, dotada de independência para recomendar sanções internas e interromper negócios com terceiros de risco. A ausência de um responsável nomeado formalmente é um dos primeiros pontos verificados em auditorias de maturidade.

Políticas, procedimentos e controles internos

Este eixo avalia a existência de código de ética, políticas anticorrupção, de brindes e hospitalidade, de conflito de interesses, de patrocínios e doações, além de controles contábeis que impeçam registros falsos ou ocultação de pagamentos. O art. 57 exige que esses documentos sejam acessíveis, atualizados e compatíveis com o porte e o perfil de risco da empresa. Uma política genérica copiada de modelo internacional, sem adaptação ao setor e à operação brasileira, tem valor probatório reduzido.

Os controles internos precisam cobrir o ciclo financeiro completo: aprovação de despesas, pagamentos a agentes públicos, reembolsos, adiantamentos e contratos de representação comercial. A Lei 12.846/2013 pune inclusive atos de corrupção privada transnacional, como prometer vantagem indevida a agente público estrangeiro, o que exige controles sobre operações internacionais e pagamentos em moeda estrangeira. A segregação de funções entre quem aprova, quem paga e quem registra é requisito básico de auditoria interna.

Comunicação e treinamento

O programa precisa ser comunicado de forma clara e periódica a todos os empregados e, quando aplicável, a terceiros. O treinamento não pode ser evento único de integração: a CGU espera recorrência, segmentação por risco (alta direção, áreas comerciais, compras, financeiro) e comprovação de participação. Registros de presença, avaliações de aprendizado e material atualizado compõem o dossiê de efetividade.

Um equívoco comum é treinar apenas o departamento jurídico ou de compliance. O maior risco de exposição está nas áreas que interagem com o poder público — vendas governamentais, licitações, obtenção de licenças, relacionamento com fiscais e reguladores. O treinamento deve incluir exemplos práticos do setor da empresa e deixar claro o canal para esclarecimento de dúvidas e relato de situações de risco antes que se tornem infrações.

Canais de denúncia e investigação interna

O art. 57 exige canais de denúncia acessíveis, com garantia de confidencialidade e proibição de retaliação. O canal deve aceitar relatos anônimos, estar disponível a terceiros (fornecedores, clientes, agentes públicos) e ter fluxo definido de apuração. Cada denúncia recebida precisa gerar registro, análise preliminar e, quando cabível, investigação interna com prazo e responsável designado.

A investigação interna é o ponto onde muitos programas falham na avaliação da CGU. Não basta terceirizar a apuração para o jurídico sem metodologia; é preciso assegurar imparcialidade, preservação de evidências, entrevistas documentadas e relatório conclusivo com medidas corretivas. Denúncias arquivadas sem fundamentação escrita ou com conflito de interesse do investigador são tratadas como indício de programa de fachada. A integração do canal com a governança — relatórios periódicos ao conselho — demonstra que a informação circula e gera decisão.

Due diligence de terceiros e monitoramento contínuo

A Lei 12.846/2013 responsabiliza a empresa por atos praticados por terceiros em seu benefício, como representantes comerciais, despachantes, consultores e parceiros de consórcio. Por isso, o programa deve incluir due diligence de integridade antes da contratação e monitoramento durante a relação. O art. 57 considera o grau de risco do terceiro: contratos de representação perante órgãos públicos, com remuneração por sucesso, exigem escrutínio mais profundo do que fornecedores de materiais de escritório.

O monitoramento contínuo abrange reavaliação periódica de terceiros, cláusulas contratuais anticorrupção, direito de auditoria e rescisão por violação. Inclui também o monitoramento interno: indicadores de efetividade, testes periódicos de controles, revisão de políticas e atualização do mapa de riscos. Um programa que mapeia riscos uma única vez e nunca revisa não atende ao padrão do decreto, que exige melhoria contínua e adaptação a mudanças no perfil de risco da empresa.

Como decidir entre construir o programa internamente e contratar um fornecedor externo

A decisão entre estrutura interna e contratação externa depende de três variáveis: maturidade atual de governança, exposição a riscos de corrupção e orçamento disponível. Empresas com área de compliance já estruturada, equipe com experiência em investigação e autonomia orçamentária podem conduzir a implantação internamente, usando consultoria pontual para validação independente. Empresas sem histórico de controles internos, com operação pulverizada em vários estados ou com contratos públicos relevantes tendem a se beneficiar de um fornecedor externo que traga metodologia testada e visão isenta.

O fornecedor externo oferece vantagens específicas: independência para entrevistar a alta direção sem vínculo hierárquico, conhecimento de benchmarks setoriais, ferramentas de due diligence e experiência em processos da CGU. A desvantagem é o risco de entregar um programa “de prateleira” que não reflita a operação real — problema que se resolve com cláusulas de customização e prazos de diagnóstico no contrato. Empresas de setores regulados, como energia, saúde suplementar e instituições financeiras, já convivem com auditorias obrigatórias e podem aproveitar essa base de controles; vale revisar como a auditoria para a ANEEL em concessionárias de energia já exige trilhas de conformidade que dialogam com o programa de integridade.

Um modelo híbrido costuma ser o mais eficiente: o fornecedor externo conduz o diagnóstico, desenha as políticas e treina a equipe interna, que assume a operação do dia a dia com supervisão periódica. Isso reduz o custo recorrente e cria capacidade interna de resposta a denúncias e fiscalizações. O contrato deve prever transferência de conhecimento, com documentação completa e acesso a templates e metodologia, para evitar dependência perpétua do consultor.

O que exigir de um fornecedor de programa de compliance: 12 perguntas para o RFP

O pedido de proposta (RFP) é o instrumento que separa fornecedores com metodologia de revendedores de documentos genéricos. As perguntas abaixo devem ser respondidas por escrito, com evidências e referências, antes da comparação de preços. Exija que cada resposta indique entregável concreto, prazo e responsável.

1. Qual a metodologia de diagnóstico de riscos utilizada e como ela se alinha ao art. 57 do Decreto 11.129/2022?
2. Quem serão os profissionais alocados: formação, certificações, experiência em processos da CGU e disponibilidade real?
3. O fornecedor já teve programa de integridade avaliado pela CGU em processo sancionador? Com qual resultado?
4. Como será feita a customização das políticas ao setor e à operação da empresa, e não apenas a adaptação de modelos?
5. Quais entregáveis compõem o projeto: mapa de riscos, código de ética, políticas específicas, plano de treinamento, canal de denúncia, relatórios?
6. O canal de denúncia será operado pelo fornecedor ou pela empresa? Qual o nível de sigilo e a infraestrutura tecnológica?
7. Como o fornecedor conduz investigações internas: metodologia, prazos, preservação de evidências, relatório conclusivo?
8. Qual o prazo total de implantação e quais marcos intermediários permitem verificar progresso?
9. Como é feita a due diligence de terceiros: bases de dados utilizadas, profundidade por nível de risco, periodicidade de reavaliação?
10. O contrato prevê transferência de conhecimento e acesso a templates, ou a empresa fica dependente do fornecedor?
11. Quais são as cláusulas de confidencialidade, propriedade dos dados, auditoria do serviço e rescisão por descumprimento?
12. Qual o modelo de suporte pós-implantação: retainer mensal, horas avulsas, atualização normativa, apoio em fiscalização?

Além das respostas, peça referências verificáveis de clientes do mesmo porte e setor, e não apenas cases anônimos. O fornecedor deve aceitar cláusula de auditoria do serviço por terceiro independente, o que permite validar a qualidade da entrega sem depender da palavra do contratado. Considere também a experiência do fornecedor em ambientes regulados: quem já atende operadoras de saúde em auditoria regulatória anual da ANS ou entidades de previdência complementar sob supervisão da PREVIC domina a linguagem de controles que o programa de integridade exige.

Quanto custa contratar um programa de compliance no Brasil e como dimensionar o investimento

Os valores de mercado para implantação de programa de integridade variam conforme o porte da empresa, o número de unidades, o grau de exposição a riscos e o escopo contratado. O investimento recorrente, após a implantação, é outra linha orçamentária. A comparação deve considerar o custo total de propriedade em três anos, não apenas o valor do projeto inicial.

Para dimensionar o investimento, use como referência o risco financeiro que o programa mitiga. Uma multa de 5% sobre faturamento bruto de R$ 100 milhões equivale a R$ 5 milhões — valor que paga décadas de retainer de compliance. Some a isso o custo de defesa em processo administrativo, o impacto reputacional e a possível declaração de inidoneidade. Empresas que participam de licitações devem considerar também o custo de não ter o programa como critério de desempate ou requisito em contratos de grande vulto: perder um contrato público relevante por ausência de programa pode custar mais do que todo o investimento em integridade.

Erros que anulam o efeito atenuante do programa em processos do CGU e do TCU

O Tribunal de Contas da União (TCU) e a CGU têm entendimento convergente: programa de integridade meramente formal não atenua sanção e pode, em alguns casos, agravar a percepção de má-fé — a empresa sabia do risco e optou por não agir. O primeiro erro fatal é apresentar políticas que nunca foram implementadas: código de ética aprovado, mas sem treinamento registrado; canal de denúncia criado, mas sem nenhuma denúncia apurada em anos; due diligence contratada, mas com relatórios arquivados sem decisão. A autoridade avaliadora procura evidências de funcionamento, não existência documental.

O segundo erro é a desconexão entre o programa e a operação real. Se o mapa de riscos ignora o principal vetor de exposição da empresa — por exemplo, contratos com representantes comerciais em estados com histórico de corrupção em licenças —, o programa perde credibilidade. O terceiro erro é a falta de independência da função de compliance: quando o responsável pela integridade reporta ao diretor comercial investigado, ou quando a investigação interna é conduzida pelo mesmo escritório que defende a empresa no processo, a CGU trata o programa como instrumento de defesa processual, não de prevenção.

Outro erro recorrente é contratar um programa “de prateleira” sem adaptação ao setor regulado. Empresas de energia, saúde, transporte e saneamento estão sujeitas a reguladores próprios — ANEEL, ANS, ANTT, agências estaduais — cujas exigências de conformidade se somam às da Lei 12.846/2013. Um programa que ignora essas interfaces regulatórias, ou que duplica controles sem integrá-los, gera retrabalho e fragilidade. A integração com auditorias já obrigatórias, como a auditoria em empresa de setor regulado, fortalece o conjunto probatório e reduz custos de manutenção.

Checklist de contratação: do diagnóstico à primeira auditoria de maturidade

A contratação de um programa de compliance segue etapas que, se puladas, geram retrabalho e fragilidade probatória. O checklist abaixo organiza o caminho do diagnóstico inicial à primeira auditoria independente de maturidade, com foco em evidências que a CGU aceita em processos sancionadores.

1. Diagnóstico de riscos e maturidade: mapear áreas de interação com o poder público, terceiros de risco, histórico de incidentes e controles existentes.
2. Definição de escopo e orçamento: decidir entre implantação completa, projeto híbrido com equipe interna ou consultoria pontual de validação.
3. RFP e seleção de fornecedor: aplicar as 12 perguntas, exigir referências verificáveis e cláusula de auditoria do serviço.
4. Contrato com cláusulas essenciais: confidencialidade, propriedade dos dados e documentos, transferência de conhecimento, SLAs de resposta a denúncias, rescisão por descumprimento.
5. Implantação dos 5 eixos: governança com patrocinador nomeado, políticas customizadas, treinamento segmentado, canal de denúncia operante, due diligence de terceiros.
6. Teste de efetividade: simular uma denúncia, auditar uma amostra de pagamentos, verificar registros de treinamento e decisões do comitê de ética.
7. Primeira auditoria de maturidade: contratar avaliador independente para medir o programa contra o art. 57 do Decreto 11.129/2022 e emitir relatório com plano de remediação.
8. Ciclo de melhoria contínua: revisar mapa de riscos anualmente, atualizar políticas a cada mudança normativa relevante e reportar indicadores ao conselho.

A auditoria de maturidade é o ponto de virada entre “ter um programa” e “comprovar efetividade”. Ela deve ser conduzida por profissional ou firma sem vínculo com a implantação, para evitar conflito de interesse, e gerar relatório que a empresa possa apresentar em processo da CGU ou do TCU. O relatório precisa apontar fragilidades com grau de criticidade e recomendar ações com prazo — um laudo que apenas elogia o programa tem valor probatório nulo.

Empresas que já mantêm auditorias obrigatórias em seus setores podem aproveitar a infraestrutura existente. A lógica de trilhas de auditoria, testes de controles e relatórios de recomendação é a mesma usada em auditorias de companhias abertas registradas na CVM ou em auditorias de sociedades limitadas de grande porte. O programa de integridade, nesse contexto, deixa de ser um custo isolado e passa a integrar o sistema de governança, controles e auditoria que a Lei 12.846/2013 e o Decreto 11.129/2022 exigem para reconhecer a boa-fé institucional da empresa.