Função de compliance antissuborno: independência, autoridade e acesso ao corpo diretivo

Este é o requisito que mais derruba certificação — e o único cuja correção não se resolve reescrevendo documento. Quando a auditoria conclui que a função de compliance não tem independência, o conserto é organizacional: muda linha de reporte, muda alçada, muda quem responde a quem.

Os três níveis de liderança da ISO 37001

Antes do requisito, a arquitetura. A ISO 37001 distribui a liderança do sistema entre três atores distintos, e a auditoria testa os três separadamente:

• Corpo diretivo — conselho de administração, sócios, quem responde pela governança. Aprova a política, assegura que a estratégia da organização está alinhada a ela, recebe e analisa informação sobre conteúdo e operação do sistema em intervalos planejados, requer recursos adequados e exerce supervisão razoável.
• Alta direção — quem opera. Assegura que o sistema esteja estabelecido, implementado e integrado aos processos, disponibiliza recursos, comunica interna e externamente a política e a importância da gestão antissuborno.
• Função de compliance antissuborno — quem supervisiona, orienta e avalia continuamente.

Uma regra prática que resolve muita dúvida: quando a organização não possui corpo diretivo — o caso da maioria das empresas de médio porte —, todas as responsabilidades atribuídas a ele recaem sobre a alta direção. Não desaparecem.

O que a cláusula 5.3.2 exige

A função de compliance antissuborno, por atribuição outorgada pela alta direção, precisa:

• supervisionar a concepção e a implementação do sistema de gestão antissuborno pela organização;
• orientar e aconselhar o pessoal sobre o sistema e sobre questões relacionadas a suborno;
• assegurar a conformidade do sistema com os requisitos da norma;
• reportar o desempenho do sistema ao corpo diretivo, à alta direção e a outras funções de compliance, conforme apropriado.

E precisa ser provida de recursos adequados e atribuída a pessoas com competência, status, autoridade e independência apropriados.

São quatro atributos, e cada um deles se prova de um jeito diferente.

Competência

Formação, treinamento ou experiência que sustentem a função — conhecimento da norma, de gestão de riscos, do arcabouço legal aplicável (Lei 12.846/2013 e regulamentação, legislação setorial, leis extraterritoriais quando houver operação internacional) e do negócio da empresa. Evidência: currículo, certificados, plano de capacitação continuada.

Status

Posição hierárquica que permita ser levado a sério. Compliance dois níveis abaixo de quem ele precisa questionar não exerce a função — e o auditor lê isso direto no organograma.

Autoridade

Poder formal para acessar documentos, sistemas e pessoas, para exigir cooperação em investigações, para vetar ou escalar operações e para participar das decisões de risco. Evidência: designação formal, descrição de função, política que declare essa autoridade — a própria cláusula 5.2 exige que a política explicite a autoridade e a independência da função.

Independência

O atributo decisivo, e o mais mal compreendido. Independência aqui significa, textualmente, ausência de interferência ou pressão sobre a operação da função. Na prática, três coisas:

• acesso direto ao corpo diretivo — linha de reporte direta, apresentação de relatórios periódicos e participação nas reuniões do conselho ou do comitê. Muitas empresas resolvem isso com um espaço fixo na pauta do conselho, ainda que curto: o "minuto do compliance" garante que a informação chegue sem intermediário interessado;
• não subordinação a quem ela fiscaliza;
• estabilidade e recursos que não dependam do humor de quem foi contrariado.

Governança de compliance não é governança corporativa

Vale desfazer uma confusão que atrapalha conversas de diretoria. Quando as normas da família 373xx falam em governança de compliance — requisito explícito na ISO 37301 (5.1.3) e materialmente presente na ISO 37001 —, não estão falando de estrutura societária, conselho, comitês e políticas de governança corporativa. Estão falando de três princípios muito específicos, que o corpo diretivo e a alta direção precisam assegurar: acesso direto à função de compliance, independência dela, e autoridade e competência apropriadas. É um recorte estreito e operacional.

Pode acumular? Pode terceirizar?

Pode acumular, e em empresas menores quase sempre acumula. O limite não é o acúmulo, é o conflito: quem executa o processo controlado não pode ser quem fiscaliza o controle.

Pode terceirizar, e é uma solução legítima e frequente para empresas sem massa crítica para um cargo dedicado. O terceiro traz independência estrutural e conhecimento da norma; em compensação, a empresa precisa garantir acesso real a informação e alguém interno responsável pela execução do dia a dia. Terceirizar a função não terceiriza a responsabilidade da alta direção.

Decisão delegada: a cláusula 5.3.3

Requisito pouco lembrado e de efeito prático enorme. Quando a alta direção delega autoridade para tomar decisões em situações que envolvem mais do que um risco baixo de suborno, a organização deve estabelecer e manter um processo de tomada de decisão — ou um conjunto de controles — que exija que:

• o nível de autoridade de quem decide seja apropriado ao risco da decisão;
• a decisão esteja livre de conflitos de interesse reais ou potenciais;
• esses processos sejam periodicamente analisados criticamente pela alta direção.

E fecha com o princípio que sustenta tudo: a delegação transfere poder, não responsabilidade. O delegado passa a poder decidir; a alta direção e o corpo diretivo continuam respondendo pelo sistema.

Exemplos concretos de decisão delegada que o auditor vai olhar: alçadas de aprovação de pagamento, autonomia para contratar fornecedor sem concorrência, poder de conceder desconto ou condição especial, autorização de patrocínio e doação, decisão de abrir ou arquivar investigação, aprovação de exceção à política de presentes.

Análise crítica pela função de compliance (9.4)

A ISO 37001 tem um requisito que a ISO 37301 distribui em outro lugar: além da análise pela alta direção (9.3.1) e da análise pelo corpo diretivo (9.3.2), existe a análise pela função de compliance antissuborno (9.4). Ela deve avaliar continuamente se o sistema está adequado para gerenciar eficazmente os riscos e se está sendo eficazmente implementado — e reportar, em intervalos planejados ou quando necessário, ao corpo diretivo, à alta direção ou a comitê adequado.

Duas consequências práticas: a análise da função é contínua, não anual; e ela é independente da análise da direção — não é a mesma reunião nem o mesmo documento. Empresas que fundem tudo numa ata só costumam sair da auditoria com achado em 9.4.

Como a auditoria testa

• Lê o organograma e o fluxograma. A quem a função se reporta? Está subordinada a alguma área que ela precisa fiscalizar?
• Pede a designação formal e a descrição de função — e verifica se ela contém conteúdo antissuborno de verdade, não um texto genérico de RH.
• Procura evidência de acesso ao corpo diretivo: atas de conselho ou comitê com assunto de compliance, relatórios periódicos, registro de participação em reuniões.
• Entrevista a alta direção e o corpo diretivo — é entrevista obrigatória, não opcional — e cruza o discurso com o que viu nos documentos.
• Procura a decisão contrariada. Houve caso em que compliance recomendou não seguir e a empresa seguiu? O que foi registrado? Que controles compensatórios entraram? Essa é a evidência mais reveladora de independência real que existe.
• Verifica recursos. Orçamento, equipe, ferramentas, tempo dedicado. Comprometimento sem alocação de recurso é declaração, e o Decreto 11.129/2022 usa exatamente esse critério ao avaliar programas de integridade.
• Testa a percepção interna. Pergunta a pessoas de outras áreas quem é a função de compliance e o que acontece quando ela é consultada. Se ninguém a conhece, ela não exerce autoridade — exerce cargo.

Sinais de que a independência é apenas formal

• a função existe no papel, mas nunca vetou nem escalou nada;
• é acionada depois da decisão, para "formalizar";
• não participa das reuniões em que o risco é decidido;
• seu orçamento depende de aprovação de quem ela fiscaliza;
• reporta a diretor comercial, de compras ou financeiro;
• acumula a operação de um processo de alto risco de suborno;
• nunca apresentou nada ao conselho.

Nenhum desses itens é, isoladamente, uma não conformidade automática. Três ou quatro juntos são o retrato de um programa que não vai sobreviver ao primeiro caso real — que é, no fim, o que a norma está tentando evitar.

Leia mais

• ISO 37001: o que é, requisitos e como certificar
• Requisitos da ISO 37001: as cláusulas 4 a 10 explicadas
• Política antissuborno: o que precisa constar e o que a auditoria cobra
• Canal de denúncia e investigação: as cláusulas 8.9 e 8.10
• ISO 37001 ou ISO 37301: as diferenças requisito por requisito
• ISO 37001 e a Lei Anticorrupção: onde a norma atende ao programa de integridade