Políticas, códigos de conduta, treinamentos e canais de denúncia demonstram que existem mecanismos de compliance, mas somente a avaliação da cultura permite compreender se a integridade é realmente percebida e vivenciada pelas pessoas.
Quando uma denúncia chega ao canal de compliance, alguma coisa provavelmente já aconteceu. Pode ter ocorrido assédio, fraude, conflito de interesses, retaliação, descumprimento de uma política ou outra conduta incompatível com os valores da organização e, a partir daquele momento, começa um processo que muitas empresas já conhecem relativamente bem, envolvendo recebimento da denúncia, análise, investigação, conclusão e, quando cabível, aplicação de consequências.
Tudo isso é necessário e faz parte de um sistema de compliance sério, mas existe uma pergunta importante que precisamos fazer: o que a organização fez antes para reduzir a probabilidade de aquela conduta acontecer?
Nesta questão percebo uma diferença importante entre possuir mecanismos de compliance e realmente construir uma cultura de integridade, porque investigar e punir são respostas necessárias diante de uma violação, mas punir uma conduta inadequada não significa necessariamente prevenir a próxima.
Quando o compliance chega depois do problema
Existe uma tendência de concentrar esforços naquilo que conseguimos enxergar e medir com facilidade, pois podemos contar quantas denúncias foram recebidas, quantas investigações foram concluídas, quantas pessoas foram advertidas ou desligadas e quanto tempo cada caso levou para ser tratado, enquanto avaliar cultura exige entrar em um território muito mais complexo.
É necessário ouvir as pessoas, compreender suas percepções, identificar diferenças entre áreas e níveis hierárquicos, avaliar a confiança na liderança e nos canais de denúncia, investigar o medo de retaliação e descobrir se aquilo que a alta administração acredita sobre a organização corresponde ao ambiente realmente vivenciado por quem trabalha nela.
Depois disso surge uma etapa ainda mais difícil, porque não basta conhecer o resultado, sendo necessário transformá-lo em plano de ação, responsabilidades, prazos, recursos e acompanhamento.
Talvez seja exatamente por isso que algumas organizações permaneçam mais confortáveis com um compliance predominantemente reativo, pois uma investigação possui etapas relativamente delimitadas, enquanto transformar cultura exige recursos, envolvimento da liderança, mudanças em processos, capacitação, comunicação, monitoramento e, principalmente, tempo.
A prevenção raramente produz a mesma sensação de resposta imediata de uma punição, mas é justamente nela que considero estar uma das maiores oportunidades de amadurecimento dos programas de integridade.
Mas como saber se existe uma cultura de integridade?
Uma organização pode possuir código de ética, canal de denúncias, treinamentos obrigatórios e políticas bem estruturadas e, ainda assim, conviver com trabalhadores que tenham medo de falar quando percebem uma irregularidade, assim como pode estabelecer formalmente tolerância zero à retaliação e descobrir que parte das pessoas acredita que denunciar alguém hierarquicamente superior prejudicará sua carreira.
Por isso, considero insuficiente medir um programa apenas pela existência de seus instrumentos ou pela quantidade de atividades realizadas, pois saber que 100% dos trabalhadores participaram de determinado treinamento, por exemplo, não responde se compreenderam o conteúdo, se acreditam naquilo que foi transmitido e, principalmente, se se sentem seguros para agir de acordo com esses princípios quando estiverem submetidos a pressões reais.
Da mesma maneira, não basta perguntar se existe um canal de denúncias, porque precisamos compreender se as pessoas confiam nele, assim como não basta afirmar que a liderança apoia o compliance sem avaliar se os trabalhadores percebem coerência entre o discurso dos líderes e suas decisões quando metas, resultados financeiros ou interesses pessoais estão em jogo.
É justamente nesse espaço entre o que a organização declara e o que as pessoas vivenciam que começamos a compreender sua verdadeira cultura de integridade.
A ISSO 37301 nos ajuda a transformar percepção em evidência
A ISO 37301 apresenta uma abordagem estruturada para estabelecer, implementar, avaliar, manter e melhorar um Sistema de Gestão de Compliance e associa sua efetividade ao fortalecimento da cultura de compliance e integridade, deixando claro que implementar a norma não significa garantir que violações jamais ocorrerão, mas aumentar a capacidade da organização de prevenir, detectar e responder aos riscos de compliance.
Essa discussão avançou ainda mais com a publicação da ISO 37302:2025, que não é uma norma de certificação e não substitui a ISO 37301, mas fornece uma estrutura específica para avaliar a efetividade do Sistema de Gestão de Compliance por meio de princípios, indicadores, monitoramento, medição e revisão, justamente para permitir que a organização identifique oportunidades de melhoria e fortaleça a integração do compliance à sua cultura e às operações cotidianas.
Para mim, essa evolução reforça uma mensagem muito importante: cultura de integridade não pode ser administrada apenas por percepção ou discurso, precisa ser avaliada por evidências.
Medir cultura não é simplesmente aplicar uma pesquisa
Pesquisas de percepção são instrumentos importantes, mas medir cultura não pode significar enviar um questionário uma vez por ano, transformar as respostas em gráficos e apresentar um percentual positivo ao conselho, pois o verdadeiro valor da medição começa justamente quando o resultado revela algo que a organização preferiria não encontrar.
Uma avaliação pode demonstrar, por exemplo, baixa confiança nos canais de reporte, medo de retaliação, percepção de tratamento desigual diante de violações, pressão excessiva por resultados, incoerência da liderança ou desconhecimento sobre como agir diante de determinados dilemas éticos.
Esses resultados podem ser analisados em conjunto com outras evidências disponíveis, como denúncias, investigações, reincidências, auditorias, riscos de compliance, indicadores de treinamento e informações provenientes de diferentes mecanismos de monitoramento, sempre respeitando os cuidados necessários relacionados à privacidade e à confidencialidade.
O objetivo, portanto, não deveria ser conseguir uma nota bonita para afirmar que a organização possui uma excelente cultura de integridade, mas descobrir onde estão suas vulnerabilidades e o que será feito para enfrentá-las.
Da medição ao plano de ação
Considero que esta seja uma das etapas mais importantes e, ao mesmo tempo, uma das mais negligenciadas, porque medir sem agir transforma a avaliação em um exercício estatístico que pouco contribui para a prevenção.
Se os dados revelarem, por exemplo, que determinada unidade apresenta baixa confiança no canal de denúncias, a resposta não deveria ser simplesmente realizar outro treinamento genérico de compliance, mas compreender as causas daquela percepção e construir ações direcionadas, que podem envolver comunicação, desenvolvimento das lideranças, revisão dos mecanismos de proteção contrarretaliação, mudanças em processos ou acompanhamento específico daquela área.
Da mesma forma, se os trabalhadores indicarem que existe pressão para alcançar resultados mesmo quando isso pode exigir comportamentos incompatíveis com as regras internas, talvez o problema não esteja na falta de conhecimento do código de conduta, mas na própria estrutura de metas, incentivos e decisões gerenciais.
Por isso, considero que um processo consistente deveria seguir uma lógica contínua:
medir → compreender → priorizar → agir → acompanhar → medir novamente.
O plano de ação é justamente o elo entre o diagnóstico e a transformação, porque é nele que a empresa precisa definir quais vulnerabilidades serão tratadas, quem será responsável, quais recursos serão necessários, quais prazos serão estabelecidos e como será verificado se as medidas adotadas realmente produziram mudança.
Punir é mais rápido, prevenir exige investimento
Talvez este seja o ponto mais importante dessa discussão, porque prevenção exige investimento antes que exista um problema visível e, muitas vezes, seu melhor resultado será justamente aquilo que não aconteceu.
É relativamente simples demonstrar que uma investigação foi realizada e que um responsável por determinada violação foi desligado, mas é muito mais difícil demonstrar quantas violações deixaram de ocorrer porque uma liderança foi desenvolvida, um incentivo inadequado foi corrigido, um controle foi fortalecido ou os trabalhadores passaram a se sentir seguros para manifestar uma preocupação antes que ela se transformasse em um problema maior.
Construir cultura exige tempo porque estamos falando de comportamento, confiança e coerência organizacional, elementos que dificilmente são transformados por uma campanha, um treinamento anual ou uma mensagem do presidente sobre integridade.
Isso não significa que a punição deixe de ser importante, pois a aplicação coerente de consequências também comunica quais comportamentos são ou não tolerados pela organização, mas a sanção precisa fazer parte da estratégia de integridade, e não ocupar o lugar da prevenção.
Uma empresa que pune repetidamente pessoas pelo mesmo tipo de comportamento, sem investigar por que aquela conduta continua acontecendo, pode estar tratando o efeito e preservando a causa, que talvez esteja em uma meta inadequada, em incentivos perversos, em uma liderança tolerante, em controles frágeis ou até na normalização silenciosa daquele comportamento.
Nesse cenário, a pergunta do compliance não pode terminar em “quem fez?”, mas precisa avançar para “o que existe em nosso ambiente que continua permitindo que isso aconteça?”
Cultura de integridade não se declara, se demonstra
Acredito que a maturidade dos programas de compliance passa justamente por essa mudança de perspectiva, na qual políticas, treinamentos, canais de denúncia, investigações e sanções continuam necessários, mas deixam de ser suficientes para demonstrar que existe uma cultura de integridade.
A própria evolução das referências internacionais aponta nessa direção, pois a ISO 37301 estrutura o sistema de gestão e a ISO 37302 aprofunda a avaliação de sua efetividade, oferecendo às organizações uma abordagem baseada em indicadores para monitorar, medir, revisar e melhorar continuamente aquilo que fazem.
Punir continuará sendo necessário quando uma violação ocorrer, mas considero que a verdadeira maturidade aparece quando a organização começa a investir seriamente para reduzir a probabilidade de precisar punir, mesmo sabendo que esse caminho exige mais tempo, recursos e persistência do que simplesmente reagir quando o problema já aconteceu.
Por isso, para as empresas que afirmam possuir uma cultura de integridade, deixo uma pergunta: vocês conseguem demonstrar, por meio de evidências, como essa cultura é percebida pelas pessoas, quais são suas principais fragilidades e qual plano de ação está sendo executado para fortalecê-la, ou somente descobrem que havia um problema quando a denúncia chega ao canal?
Danila Duarte é Doutoranda em Desenvolvimento Regional e Mestre em Gestão de Políticas Públicas, auditora e consultora de Governança, Compliance e Integridade, professora e palestrante. Atua na promoção de instituições mais éticas, transparentes e resilientes. Instagram: @daniladuarte. E-mail: danila@ddcompliance.com.br.
What do you feel about this post?
Like
Love
Happy
Haha
Sad
