Política antissuborno: o que precisa constar e o que a auditoria cobra

A política antissuborno é o documento mais copiado e menos aplicado do compliance brasileiro. Encontra-se uma dúzia de modelos em dois minutos de busca, todos parecidos, quase todos genéricos — e é exatamente por isso que ela reprova em auditoria: o texto está lá, mas não descreve a empresa nem se sustenta com evidência.

Na ISO 37001 ela é requisito da cláusula 5.2. Este artigo cobre o que a norma exige literalmente, a estrutura que funciona, e o que o auditor faz depois de ler o documento.

O que a ISO 37001 exige da política

A cláusula 5.2 é específica. A política antissuborno precisa:

• proibir o suborno — de forma expressa, sem eufemismo;
• exigir o cumprimento das leis antissuborno aplicáveis à organização, o que no Brasil inclui a Lei 12.846/2013 e, para quem opera no exterior, leis extraterritoriais como o FCPA e o UK Bribery Act;
• ser adequada ao propósito e ao risco da organização — o ponto que os modelos prontos não conseguem cumprir;
• fornecer estrutura para os objetivos antissuborno;
• incluir compromisso de atender aos requisitos do sistema de gestão e de melhoria contínua;
• encorajar o levantamento de preocupações de boa-fé, ou com base em suspeita razoável, sem medo;
• garantir proteção contra retaliação a quem reporta;
• explicitar as consequências do descumprimento;
• indicar a autoridade e a independência da função de compliance antissuborno;
• estar documentada, disponível e comunicada — internamente ao pessoal e externamente aos parceiros de negócio, e disponível às partes interessadas.

Note que "comunicada a parceiros de negócio" é requisito, não cortesia. Política publicada só na intranet não cumpre a cláusula.

A estrutura que funciona

Não existe formato obrigatório — a norma exige conteúdo, não índice. Mas há uma sequência que resolve os requisitos sem virar um documento de 40 páginas que ninguém lê:

1. Objetivo e abrangência — a quem se aplica: pessoal próprio, terceiros, controladas, parceiros, em todas as unidades e países onde a empresa opera.
2. Definições — suborno (com a definição larga da norma: vantagem indevida de qualquer valor, financeira ou não, direta ou indireta), pagamento de facilitação, conflito de interesses, parceiro de negócio, agente público.
3. Declaração de proibição — a frase que não admite interpretação: a empresa proíbe o suborno em qualquer forma, ativo ou passivo, direto ou por intermediário, no setor público ou privado.
4. Vedações específicas — pagamento de facilitação, uso de intermediário para o que a empresa não pode fazer diretamente, doação política em desacordo com a lei, contratação de parente de agente público sem análise, "consultoria" sem entrega verificável.
5. Presentes, hospitalidade, doações e patrocínios — a regra prática, com limite de valor, o que exige aprovação prévia e onde se registra. Pode remeter a um documento próprio.
6. Responsabilidades — corpo diretivo, alta direção, função de compliance antissuborno, gestores e cada colaborador.
7. Como levantar uma preocupação — canais disponíveis, possibilidade de anonimato, confidencialidade e a garantia de não retaliação, com dizer o que acontece depois de reportar.
8. Consequências — medidas disciplinares para pessoal, rescisão para parceiros, e a menção de que fatos podem ser comunicados às autoridades.
9. Aprovação, vigência e revisão — quem aprovou, quando, com que periodicidade é revisada.

Duas ou três páginas escritas em linguagem que o comprador entende valem mais do que trinta em juridiquês. A política precisa funcionar como instrumento de decisão para quem está com o telefone na mão, não como peça de defesa.

Pode estar espalhada em vários documentos?

Pode. Nada impede que parte do conteúdo esteja no código de conduta, parte numa política de compras e parte num manual de compliance. Mas duas obrigações vêm junto: declarar em algum lugar onde cada exigência da cláusula 5.2 está atendida — uma tabela de correspondência resolve — e treinar o pessoal em todo esse conjunto, não apenas no documento principal. Sem esse mapa, a auditoria lê a política, não encontra um dos elementos exigidos e abre o achado, ainda que o conteúdo exista três documentos adiante.

Um item costuma faltar justamente em políticas boas, escritas antes de a empresa pensar em certificação: o comprometimento com a melhoria contínua. É linguagem típica de norma ISO e raramente aparece em política redigida só pelo jurídico. Outro ponto que o auditor cruza: a política precisa estar alinhada aos valores, objetivos e estratégia da organização — ou seja, coerente com o que foi levantado na análise de contexto (4.1).

O que o auditor faz depois de ler a política

Aqui é onde a maioria das empresas descobre que o problema não era o texto. O auditor lê o documento em cinco minutos — e passa o resto do tempo procurando as consequências dele:

• Pergunta a quem não é do compliance. Vai ao comprador, ao vendedor, ao pessoal de obra: "o que você faz se um fiscal pedir alguma coisa?", "qual o limite de presente que você pode aceitar?". Resposta hesitante em dois ou três entrevistados vira achado — a política existe mas não foi entendida.
• Cruza a política com a avaliação de risco. Se a avaliação de risco aponta despachante aduaneiro como risco alto e a política não fala de intermediários, o documento não é adequado ao risco (5.2) e a incoerência aparece.
• Pede a evidência de comunicação. Registro de treinamento, aceite formal, termo de compromisso assinado por parceiro de negócio, cláusula em contrato, versão vigente publicada.
• Testa a regra de presentes com um caso real. Pede o registro de presentes e hospitalidade do último ano. Se o limite é R$ 200 e existe nota de restaurante de R$ 1.200 aprovada sem ressalva, o controle não está operando.
• Procura a decisão difícil. Um caso em que a política foi aplicada contra o interesse comercial imediato — parceiro descredenciado, negócio recusado, medida disciplinar. É a prova mais forte que existe de que a política é real.

Presentes e hospitalidade: onde a política costuma ser inaplicável

A ISO 37001 não proíbe presente, brinde, refeição, viagem ou patrocínio. O que a cláusula 8.7 exige é regra, registro e proporcionalidade. Uma política utilizável responde, em linguagem direta:

• qual é o limite de valor por evento e acumulado no ano, por pessoa;
• o que é proibido em qualquer valor — dinheiro, cartão-presente, vantagem pessoal, qualquer cortesia durante processo de licitação, negociação ou fiscalização em andamento;
• o que exige aprovação prévia e de quem;
• onde se registra o que foi dado e recebido;
• a regra específica para agente público, que é sempre mais restritiva;
• o que fazer quando recusar é inviável na cultura local — declarar, registrar e destinar institucionalmente, em vez de fingir que não aconteceu.

Regra sem limite numérico transfere a decisão para o julgamento individual de quem está sob pressão comercial. É desenho ruim de controle. O detalhamento está em presentes, hospitalidade e doações: o que a ISO 37001 permite.

Proteção contra retaliação: o requisito que se prova com processo

Prometer não retaliar é fácil; demonstrar exige mecanismo. O que sustenta esse requisito na prática: canal que aceite relato anônimo, restrição de acesso à identidade de quem reportou, registro do que foi feito com cada relato, e — o ponto decisivo — um processo definido para apurar a própria retaliação, com quem responde por isso.

Quando um colaborador reporta e nada volta para ele, o canal morre em três meses e nenhuma política ressuscita. A cláusula 8.10 existe justamente para fechar esse ciclo — veja canal de denúncia e investigação.

Erros que geram não conformidade

• Modelo genérico adotado sem adaptação. Fala de países e riscos que não são os da empresa e ignora os que são.
• Assinada por quem não tem autoridade. A norma quer comprometimento do corpo diretivo e da alta direção — política aprovada pelo gerente de qualidade não passa.
• Sem consequência definida. Documento que proíbe e não diz o que acontece com quem descumpre.
• Não comunicada a parceiros. Requisito explícito de 5.2 e um dos achados mais frequentes.
• Sem versão nem revisão. Documento de 2019 circulando junto com uma versão de 2023 e ninguém sabe qual vale.
• Desconectada do canal de denúncia. A política manda reportar e não informa como, para quem, nem o que acontece depois.
• Escrita para o auditor. Se a pessoa que decide na ponta não consegue usá-la para resolver uma dúvida concreta, ela não é política — é peça documental.

Uma política, dois leitores

A política antissuborno tem que servir a dois públicos ao mesmo tempo: o auditor, que procura os elementos da cláusula 5.2, e o colaborador com uma decisão para tomar hoje. Documentos que atendem só ao primeiro passam na fase 1 e caem na fase 2, quando a auditoria sai da sala de reunião. Documentos que atendem só ao segundo funcionam no dia a dia mas deixam requisitos em aberto.

Escrever para os dois é possível: texto curto e direto no corpo da política, com os elementos formais exigidos pela norma presentes e identificáveis — e os detalhes operacionais (tabela de limites, fluxo de aprovação, formulário de registro) em documentos anexos, que mudam sem exigir nova aprovação do conselho.

Leia mais

• ISO 37001: o que é, requisitos e como certificar
• Requisitos da ISO 37001: as cláusulas 4 a 10 explicadas
• ISO 37001 e a Lei Anticorrupção: onde a norma atende ao programa de integridade
• Certificação ISO 37001: etapas, prazo e custo
• Função de compliance antissuborno: independência, autoridade e acesso ao corpo diretivo
• Presentes, hospitalidade e doações: o que a ISO 37001 permite
• Canal de denúncia e investigação: as cláusulas 8.9 e 8.10
• Avaliação de risco de suborno: critérios, matriz e periodicidade
• Controle da informação documentada e a sua importância