Controles financeiros e não financeiros da ISO 37001: os exemplos do Anexo A

Estas duas cláusulas costumam assustar por serem curtas demais. A 8.3 diz que a organização deve implementar controles financeiros que gerenciem os riscos de suborno. A 8.4 diz o mesmo sobre controles não financeiros, em áreas como compras, operações, vendas, recursos humanos e atividades legais e regulatórias. Ponto. Nenhuma lista, nenhuma especificação.

Isso é deliberado — e é a característica mais mal compreendida da ISO 37001. A norma não diz quais controles você precisa ter: diz que precisa haver controle, e que ele deve ser razoável e proporcional ao porte da organização e ao risco identificado na avaliação de risco de suborno.

Mas há um socorro que pouca gente lê: o Anexo A da norma, informativo (não é requisito), lista dezenas de exemplos concretos de controle. É a melhor fonte de ideias que existe para desenhar o seu conjunto — e é o que este artigo destrincha.

Controles financeiros: o que o Anexo A sugere

O objetivo desta família de controles é simples: impedir que o dinheiro do suborno saia sem deixar rastro, e impedir que uma única pessoa consiga movê-lo sozinha.

Segregação de funções

O controle mais elementar e o mais eficaz: a mesma pessoa não pode iniciar e aprovar o pagamento. Em empresa pequena isso é o auxiliar financeiro lançando a conta a pagar e o sócio efetivando; em grande corporação é a mesma lógica distribuída por sistema. Onde não há segregação possível por falta de gente, o controle compensatório usual é revisão posterior por alguém de fora do processo, com registro.

Alçadas escalonadas de aprovação

Níveis de autoridade por faixa de valor: um cargo aprova até determinado limite, o próximo até outro, e assim por diante. Duas armadilhas frequentes — alçada alta demais na base da pirâmide, e fracionamento de pagamento para caber na alçada de quem não deveria aprovar (o controle de detecção aqui é análise de pagamentos sequenciais ao mesmo beneficiário logo abaixo do limite).

Verificação de que o serviço foi realmente prestado

Antes de pagar, a área solicitante confirma entrega ou medição. É controle central na construção civil e em qualquer prestação de serviço: sem medição aprovada, o financeiro não paga. Fatura sem descrição do que foi feito é o veículo clássico de pagamento indevido, e por isso vale exigir descritivo do serviço e vínculo com contrato ou ordem de compra.

Dupla assinatura

Exigir pelo menos duas assinaturas para aprovar pagamento. Quando uma pessoa sozinha paga, ela concentra o risco — e um controle que depende da integridade individual de um único cargo não é controle, é confiança.

Restrição ao uso de dinheiro em espécie

Muitas empresas simplesmente proíbem, e a razão é rastreabilidade: transação bancária deixa registro, espécie não. É aqui que morre o famoso "caixinha" de duzentos reais para resolver pendência — prática comum em pequenas e médias empresas e vedada de forma expressa por boa parte das políticas de compliance. Quando a operação exige adiantamento, o controle é limite baixo, prestação de contas com comprovante e vedação explícita a pagamento a agente público.

Revisão periódica de transações

Análise crítica das transações financeiras em intervalo definido, procurando o atípico: beneficiário novo com valor alto, pagamento a fornecedor de país sem relação com a operação, adiantamento incomum, sequência de pagamentos pouco abaixo de uma alçada, pagamento a terceiro em nome de outro. É o equivalente interno ao monitoramento de operações suspeitas que o sistema financeiro faz por obrigação legal.

Auditoria financeira independente

Comum em empresa de capital aberto e grande organização, com rotação periódica da firma auditora como boa prática de independência. Não é requisito da norma — é exemplo do Anexo A, e vale como controle robusto onde a estrutura permite.

Controles não financeiros: onde o suborno é decidido

Enquanto os controles financeiros cuidam do dinheiro saindo, os não financeiros cuidam da decisão que gerou aquele pagamento — e é na decisão que o suborno acontece. O Anexo A sugere:

Pré-qualificação de fornecedores, empreiteiras e consultores

Só contratar quem passou por processo de aprovação prévia, que inclui a due diligence de integridade quando o risco pedir. Avaliação de fornecedor por competência e desempenho já existe em quem tem ISO 9001; o que a 37001 acrescenta é o filtro de integridade no mesmo fluxo.

Concorrência antes do contrato

Celebrar contrato somente após processo justo e, quando apropriado, transparente de concorrência — na prática, solicitar mais de uma proposta e escolher com critério registrado. Nem toda contratação permite: há fornecedor único, há urgência real. Nesses casos o controle não desaparece, muda de forma: justificativa técnica escrita e aprovação em nível superior.

Duas pessoas avaliando e aprovando

No mínimo duas pessoas analisando propostas e aprovando a contratação. Serve ao mesmo propósito da dupla assinatura no financeiro: tirar a decisão do julgamento solitário de quem está sob pressão comercial.

Acompanhamento de reuniões com fornecedores

Controle simples e desconfortavelmente eficaz: alguém de compliance ou de controles internos participa das reuniões de suprimentos com fornecedores, presencial ou virtual, apenas observando. A presença de um terceiro inibe conversa que não deveria acontecer, e não custa nada além de agenda.

Gestão reforçada em transações de alto risco

Transação com potencial elevado de suborno recebe camada extra: aprovação de instância superior, participação do jurídico, parecer de compliance, cláusulas contratuais adicionais, auditoria posterior. É o que a cláusula 5.3.3 chama de decisão delegada — quanto maior o risco, mais alta e mais livre de conflito de interesses precisa ser a autoridade que decide.

Proteção da informação de preço

Controle elegante e pouco usado: a área requisitante recebe apenas a proposta técnica, sem preço nem condição de pagamento. Assim quem tem preferência por um fornecedor não consegue ajudá-lo a ajustar a proposta, porque não sabe contra o que está competindo. Em processos de concorrência e licitação, é o controle que impede o vazamento de informação que decide o resultado.

Mapeamento de processo

Vale registrar algo que parece burocracia e é controle de verdade: mapear o processo de compras, o comercial, o licitatório e o financeiro — com entradas, etapas, responsáveis e saídas — é, em si, um controle não financeiro. Processo mapeado tem ponto de aprovação identificável; processo informal não tem onde colocar controle.

Uma transação, dois tipos de controle

A norma faz uma observação que evita muita discussão inútil: uma mesma transação, atividade ou relacionamento pode estar sujeita simultaneamente a controles financeiros e não financeiros. A contratação de um consultor, por exemplo, passa por pré-qualificação e due diligence (não financeiro), aprovação por duas pessoas (não financeiro), cláusula anticorrupção (não financeiro), verificação de entrega antes do pagamento (financeiro), alçada e dupla assinatura (financeiro).

Não perca tempo classificando cada controle numa das duas caixas para a auditoria. O que importa é que o risco identificado tenha controle, e que o controle deixe registro.

Como escolher os seus controles

Na ordem que evita excesso e falta:

1. Parta dos riscos altos e médios da avaliação de risco de suborno. Controle sem risco correspondente é custo; risco alto sem controle é achado.
2. Verifique o que já existe. Boa parte dos controles financeiros já está implantada por exigência contábil ou fiscal — o trabalho é reconhecê-los como controles antissuborno, documentá-los e, se preciso, ajustá-los.
3. Escolha do Anexo A o que faz sentido para o seu porte. Empresa de trinta pessoas não precisa de auditoria independente rotativa; precisa de segregação, alçada, dupla assinatura e proibição de espécie.
4. Escreva onde o controle vive — política de compras, procedimento de pagamento, parametrização do sistema. Controle que existe só na cabeça do gestor desaparece quando ele sai de férias.
5. Defina o registro. Para cada controle, o que fica como evidência e onde. É o que a auditoria vai amostrar.
6. Teste. Rode uma simulação para ver se o controle barra o que deveria barrar e se pode ser contornado. A ISO 37301 exige esse teste de forma explícita; na 37001 ele não é requisito, mas é a diferença entre controle e intenção.

Como a auditoria testa

• Segue a trilha completa. Escolhe um fornecedor, pega a ordem de serviço e volta até a aprovação: como foi selecionado, quem aprovou, houve concorrência, houve due diligence, quem mediu, quem pagou, quem assinou. Depois faz o caminho inverso, do pagamento até a origem.
• Tenta furar o controle no discurso. Pergunta ao comprador o que ele faz numa urgência, no fim do mês, quando o diretor pede prioridade. A exceção não registrada aparece nessa conversa, não no documento.
• Confere alçada contra realidade. Compara a tabela de alçadas com pagamentos efetivamente aprovados.
• Amostra o atípico. Pagamento em espécie, adiantamento, fatura com descrição genérica, beneficiário diferente do contratado.
• Pede o registro do controle preventivo. Se a política diz que compliance acompanha reuniões com fornecedores, quer ver a evidência de quais reuniões foram acompanhadas.

Vale repetir o ponto que resolve a ansiedade de quem está implantando: a norma não vai reprovar você por não ter um controle específico da lista do Anexo A. Vai reprovar se houver risco relevante sem controle, controle sem registro, ou controle documentado que na prática não opera.

Leia mais

• ISO 37001: o que é, requisitos e como certificar
• Avaliação de risco de suborno: critérios, matriz e periodicidade
• Due diligence antissuborno: os três níveis e como classificar risco
• Presentes, hospitalidade e doações: o que a ISO 37001 permite
• Requisitos da ISO 37001: as cláusulas 4 a 10 explicadas
• ISO 37001 ou ISO 37301: as diferenças requisito por requisito