Avaliação de risco de suborno: critérios, matriz e periodicidade

Se houver um único requisito da ISO 37001 para fazer bem feito, é este. A avaliação de risco de suborno é o que determina quais controles a sua empresa precisa, em que profundidade, onde a due diligence é obrigatória e onde ela seria desproporcional. Errar aqui não gera um achado — gera um sistema de gestão que descreve uma empresa que não existe.

E é justamente aqui que aparece o achado mais comum das auditorias: a matriz genérica, baixada de um modelo, que fala de riscos que a empresa não tem e ignora os que ela tem.

O que a cláusula 4.5 exige, literalmente

A norma pede um processo regular de avaliação de risco de suborno que faça quatro coisas:

1. identificar os riscos de suborno que a organização possa razoavelmente antecipar, considerando os fatores do contexto (4.1);
2. analisar, avaliar e priorizar os riscos identificados;
3. avaliar a adequação e a eficácia dos controles que a organização já tem para mitigar aquele risco;
4. estabelecer critérios para avaliar o nível de risco de suborno.

Os itens 3 e 4 são os que caem. O terceiro porque a maioria das matrizes lista risco e controle sem nunca dizer se o controle funciona. O quarto porque quase ninguém escreve o critério — e sem critério, "risco alto" é opinião de quem preencheu a planilha.

Onde a ISO 37001 é diferente das outras normas

Detalhe estrutural que confunde quem vem da ISO 9001 ou da ISO 45001: nessas normas, risco aparece na cláusula 6 (planejamento). Na ISO 37001 e na ISO 37301, existe um requisito de risco na cláusula 4. A divisão de trabalho é esta:

• cláusula 4.5 — a metodologia, os critérios e a avaliação em si: quais são os riscos e quanto valem;
• cláusula 6.1 — as ações para endereçar aqueles riscos: os controles que você vai implantar, o que aceita, o que mitiga.

Se a sua documentação mistura as duas coisas num único arquivo, sem problema — mas na auditoria você precisa conseguir mostrar as duas separadamente.

Os fatores que a norma manda considerar

A cláusula 4.1 lista o que precisa entrar na análise, e essa lista é o melhor roteiro de trabalho que existe para montar a avaliação:

• tamanho, estrutura e delegação de autoridade — quanto mais alçada concentrada em uma pessoa, maior o risco;
• localidades e setores de atuação — geografia importa: operar na América Latina, na África ou na Ásia significa índices de percepção de corrupção diferentes, e isso é fator objetivo de risco;
• natureza, escala e complexidade das operações;
• modelo de negócio — venda direta, distribuidor, representante comissionado, licitação;
• entidades sobre as quais a organização tem controle — controladas, coligadas, SPEs;
• parceiros de negócio — fornecedores, terceiros, consultores, despachantes, intermediários;
• natureza e extensão das interações com agentes públicos — o fator mais determinante em quase toda operação brasileira: fiscalização, licenciamento, alfândega, licitação, agência reguladora;
• obrigações e deveres estatutários, regulatórios e contratuais.

Uma avaliação que passa por esses oito pontos dificilmente sai genérica. Uma que não passa, sempre sai.

Critérios: como sair da opinião

Estabelecer critério significa escrever, antes de avaliar, o que faz um risco ser baixo, médio ou alto. Três decisões precisam estar registradas — na política de gestão de riscos, num procedimento ou dentro da própria ferramenta de avaliação:

• a escala — de 1 a 3, de 1 a 5, de 1 a 10. Não existe escala certa; existe escala definida;
• o significado de cada nível de probabilidade e de impacto, em linguagem que duas pessoas diferentes leiam do mesmo jeito;
• a régua de decisão — a partir de que nível o risco exige due diligence aprofundada, aprovação de instância superior, controle adicional ou recusa da operação.

Um exemplo de critério de impacto que funciona porque é concreto:

Repare que o critério cita consequência legal e de negócio, não adjetivos. "Impacto significativo" não é critério.

Avaliar a eficácia dos controles existentes

Este é o passo que transforma a matriz em ferramenta de gestão. Para cada risco identificado, a norma pede que você avalie se os controles que já existem são adequados e eficazes. Isso implica responder, com evidência:

• o controle existe formalmente, ou é prática informal que depende de quem está no cargo?
• ele é aplicado sempre ou tem exceção frequente e não registrada?
• ele pode ser contornado por quem conhece o processo?
• há registro que permita verificar depois que ele operou?

A pergunta do meio é a mais reveladora. Um controle que exige duas assinaturas, mas em que a segunda assina sempre depois e sem olhar, é um controle contornável — e o risco residual continua alto, ainda que a planilha diga o contrário.

Vale importar aqui uma prática que a ISO 37301 exige explicitamente e a 37001 não: testar o controle. Rodar uma simulação — tentar aprovar um pagamento fora da alçada, submeter um cadastro de fornecedor incompleto, oferecer um brinde acima do limite — e ver se o sistema barra. Teste que falha não é fracasso: é a lacuna descoberta de graça, antes do auditor e antes do caso real.

Ferramentas: use uma, não invente cerimônia

A norma não determina metodologia. As mais usadas vêm da própria família de gestão de riscos — ISO 31000 (princípios e diretrizes) e ISO 31010 (técnicas de avaliação) — e do arcabouço de controles internos do COSO ERM. Ferramentas de análise de falhas como o FMEA funcionam bem quando a empresa já as usa na qualidade, porque o time não precisa aprender método novo.

Metodologia própria é permitida e comum. O que a auditoria cobra não é o nome da ferramenta: é coerência entre critério declarado e classificação atribuída, e proporcionalidade em relação ao porte e ao risco da organização.

De onde vêm os insumos

A avaliação de risco não nasce de uma reunião isolada. Ela consome o que as cláusulas anteriores produziram:

• 4.1 contexto — normalmente materializado no planejamento estratégico ou numa análise de forças, fraquezas, oportunidades e ameaças feita com foco em integridade. Histórico de caso de corrupção na empresa, por exemplo, é fraqueza; operar em região com alto índice de percepção de corrupção é ameaça; programa maduro com orçamento próprio e função de compliance dedicada é força;
• 4.2 partes interessadas — o que reguladores, clientes, bancos, acionistas e a própria sociedade esperam e exigem;
• 4.3 escopo — os limites geográficos e organizacionais, e a decisão de cobrir só suborno ou também fraude, cartel e lavagem.

E ela alimenta praticamente todo o resto: a decisão de onde fazer due diligence (8.2), quais controles financeiros e não financeiros implantar (8.3 e 8.4), quais parceiros exigem compromisso antissuborno (8.6), a intensidade do treinamento por função (7.3) e os objetivos do sistema (6.2).

Quem participa

Avaliação feita só pelo time de compliance tende a errar onde importa, porque quem conhece a brecha do processo é quem opera o processo. O desenho que funciona é uma sessão multidisciplinar: compliance conduzindo, com compras, comercial, financeiro, jurídico, operações e alguém da liderança na sala — e, quando o risco está na ponta, gente da ponta.

Isso também resolve um problema político: risco identificado coletivamente é risco assumido. Matriz produzida a portas fechadas pelo compliance costuma ser contestada exatamente quando gera controle incômodo.

Periodicidade

A norma diz "regularmente" e não fixa prazo. O padrão de mercado é reavaliação completa anual, com coleta de insumos ao longo do ano — achados de auditoria, denúncias recebidas, mudanças em processos, novos contratos, incidentes. Além disso, reavaliação fora do calendário quando houver mudança relevante:

• entrada em novo país, região ou segmento;
• fusão, aquisição ou nova controlada — a edição 2025 da norma passou a citar expressamente fusões e aquisições nos controles não financeiros, e o motivo é este: adquirir empresa é adquirir o passivo dela;
• início de operação com o poder público ou com novo intermediário;
• caso concreto de suborno, suspeita investigada ou denúncia relevante;
• mudança na legislação aplicável.

Como a auditoria testa este requisito

• Pede o critério antes da matriz. Onde está escrito o que faz um risco ser alto? Se a resposta for "foi o consenso da equipe", falta requisito.
• Procura o óbvio ausente. O auditor conhece o setor. Se a empresa depende de licitação e a matriz não trata do processo licitatório, ou se importa e não há nada sobre despachante aduaneiro, o apontamento é imediato — não porque a norma exija aquele risco específico, mas porque a avaliação não é coerente com o contexto declarado em 4.1.
• Puxa o fio até o controle. Escolhe dois ou três riscos altos e pergunta qual controle os endereça, onde está o registro de que ele operou e quem é o responsável. É o cruzamento entre 4.5 e 6.1.
• Verifica a avaliação dos controles existentes. Pergunta como a empresa concluiu que o controle é eficaz. "Porque está implantado" não é avaliação de eficácia.
• Confere o histórico. Se a política diz revisão anual e a última é de dois anos atrás, é não conformidade objetiva.
• Cruza com denúncias e investigações. Caso tratado em investigação que revelou brecha e não voltou para a matriz indica que o processo não é vivo.

Os cinco erros que mais aparecem

1. Matriz genérica. Riscos escritos em abstrato — "risco de corrupção" — que não permitem desenhar controle nenhum. Risco útil tem sujeito, processo e forma: "comprador aceitar vantagem de fornecedor em cotação de material crítico".
2. Sem critério declarado. Classificação sem régua.
3. Sem avaliação dos controles existentes. Salta direto do risco para o plano de ação, sem dizer o que já existe e se funciona.
4. Sem dono. Risco sem responsável nominado não gera ação.
5. Foto única. Feita na implantação para tirar o certificado e nunca revisitada. O auditor descobre isso em trinta segundos olhando a data.

Leia mais

• ISO 37001: o que é, requisitos e como certificar
• Requisitos da ISO 37001: as cláusulas 4 a 10 explicadas
• Due diligence antissuborno: os três níveis e como classificar risco
• Controles financeiros e não financeiros: os exemplos do Anexo A
• ISO 37001 ou ISO 37301: as diferenças requisito por requisito
• Gestão de riscos e oportunidades: guia avançado e prático