12 jul Como implementar compliance na empresa em 90 dias
Como implementar compliance na empresa em 90 dias
Quem pergunta como implementar compliance na sua empresa normalmente já passou da fase de convencimento e travou em outro ponto: não existe sequência. A literatura descreve pilares — tone at the top, avaliação de risco, política, treinamento, canal de denúncia, monitoramento — mas descrever pilares não diz o que fazer na segunda-feira. O resultado típico é um programa que começa por onde é mais fácil (redigir código de conduta) e para no ponto onde estaria o valor (evidência de que o controle roda).
Este artigo entrega o inverso: uma sequência de 90 dias com entregas por bloco de 30, o que precisa estar pronto antes do dia 1, e os pontos onde programas reais atrasam. Noventa dias não é o prazo para ter um programa maduro — é o prazo para ter um programa em operação, com risco mapeado, controle rodando e prova sendo gerada. Maturidade vem do ciclo seguinte.
Para o desenho conceitual do sistema e as etapas de implantação em maior profundidade, o guia de implantação de sistema de compliance cobre o terreno. Aqui o foco é cronograma, responsabilidade e ordem.
Pré-requisitos antes de começar: mapa de risco e dono do processo
Existem duas condições sem as quais o cronograma de 90 dias não se sustenta, e nenhuma delas é ferramenta.
Um dono nomeado, com tempo alocado. Não “a área de jurídico”. Uma pessoa, com nome, com percentual de tempo declarado e com acesso direto a quem decide. Programas conduzidos por comitê sem dono avançam até a primeira decisão que gera atrito e param ali. Se a empresa não tem porte para um dedicado, o mínimo viável é um responsável com 30% do tempo protegido em agenda por 90 dias.
Um escopo regulatório escrito. Antes de mapear risco é preciso listar a que a empresa está sujeita: legislação setorial, exigência contratual de cliente, requisito de certificação, tratamento de dado pessoal. Esse escopo delimita o programa e evita a armadilha mais comum, que é tentar cobrir tudo e não sustentar nada. Empresas em setores com camadas regulatórias sobrepostas se beneficiam de olhar primeiro a interseção entre LGPD, requisitos setoriais e ESG, como tratamos em consultoria em compliance regulatório: LGPD, ESG e setoriais.
Com essas duas condições atendidas, vale registrar o ponto de partida antes de mexer em nada: quantas políticas existem, quantas estão vigentes e revisadas, quais controles alguém consegue comprovar hoje. Esse retrato inicial é o que vai permitir demonstrar evolução no dia 90 — e programas que não o registram perdem a única prova de progresso que a diretoria entende.
Uma observação sobre patrocínio: tone at the top não é discurso de abertura. É a diretoria aceitando publicamente que uma decisão comercial pode ser barrada por um controle. Se essa disposição não existe, o programa vai ser formalmente aprovado e informalmente contornado, e nenhum cronograma resolve isso.
Dias 1 a 30: diagnóstico, matriz de risco e política mínima viável
O primeiro bloco é de levantamento e priorização, não de redação.
Semana 1 — inventário de processos e de exposição. Liste os processos que tocam dinheiro, dado pessoal, terceiro e autoridade pública. Na maioria das empresas de médio porte esses processos cabem em uma página: compras e contratação de terceiros, pagamentos, contratação de pessoas, tratamento de dado de cliente, relacionamento com órgão regulador, e um ou dois específicos do setor.
Semana 2 — matriz de risco com critério declarado. Para cada processo, avalie probabilidade e impacto em escala simples, e registre a justificativa da nota. A justificativa importa mais que a nota: ela é o que permite reavaliar depois sem refazer tudo. Uma matriz sem justificativa escrita envelhece em um trimestre.
Semana 3 — priorização e definição do escopo do ciclo. Selecione os riscos que vão receber controle nos próximos 60 dias. Um número realista para empresa de médio porte é entre cinco e oito riscos priorizados. Mais que isso dilui execução; menos que isso não muda exposição.
Semana 4 — política mínima viável. Redija apenas as políticas que sustentam os riscos priorizados, e não o pacote completo. Cada política precisa ter, obrigatoriamente: escopo, comportamento esperado, o que fazer em caso de dúvida, consequência de descumprimento e data de próxima revisão. Política sem consequência declarada é comunicado interno.
Sobre a escala de avaliação, uma nota prática: escalas de 1 a 5 em probabilidade e impacto funcionam melhor que escalas maiores, porque forçam decisão. O que diferencia uma matriz utilizável de um exercício burocrático não é a granularidade da escala — é a existência de um critério escrito para o que significa cada nível. “Impacto 4” precisa ter definição objetiva na empresa: valor financeiro acima de um patamar, exposição a autoridade, interrupção de operação por mais de um dia. Sem essa definição, cada avaliador usa a própria régua e a matriz deixa de ser comparável entre áreas.
Vale também separar risco inerente de risco residual desde o começo. Risco inerente é a exposição sem qualquer controle; residual é o que sobra depois do controle que já existe. Muitas empresas descobrem no bloco 1-30 que parte dos riscos priorizados já tem controle informal rodando — e nesse caso o trabalho não é criar controle, é formalizar e produzir evidência do que já acontece. Isso muda o esforço de 60 dias para duas semanas em vários itens.
O entregável do dia 30 é um documento curto: matriz de risco justificada, lista de riscos priorizados com dono por risco, e o conjunto mínimo de políticas aprovado pela diretoria. Se o dia 30 chega com um código de conduta bonito e nenhuma matriz, o programa começou pelo lado errado.
Dias 31 a 60: controles, trilha de evidência e treinamento
Aqui o programa deixa de ser documento e passa a ser processo. É também onde a maioria dos programas se perde, porque exige mudar rotina de quem não pediu para mudar.
Desenhar o controle junto de quem executa. Para cada risco priorizado, defina o controle com quatro elementos: o que é verificado, com que frequência, por quem, e qual artefato comprova a verificação. Se qualquer um dos quatro estiver vago, o controle não vai gerar prova. Controle desenhado sem a área que executa é controle que será contornado por inviabilidade operacional, não por má-fé.
Definir o artefato de evidência antes de rodar. Esta é a decisão mais barata e mais ignorada do programa. Evidência precisa ser algo que existe naturalmente no fluxo — um registro de aprovação no sistema de compras, um log de acesso, uma ata assinada — e não um relatório que alguém escreve depois para provar que fez. Evidência produzida à parte é a primeira coisa a parar quando a operação aperta.
Padronizar onde a evidência mora. Um único lugar, com estrutura previsível de pasta ou registro, e retenção definida. Evidência espalhada entre e-mail, drive pessoal e sistema não sobrevive à primeira auditoria. O princípio é o mesmo que sustenta qualquer operação orientada a dado — o que discutimos em governança de dados na prática.
Treinar por público, não por catálogo. Treinamento genérico para toda a empresa tem baixa retenção e alto custo de agenda. O desenho eficiente separa três públicos: liderança (decisão e escalonamento), áreas de alta exposição (o controle específico que elas executam) e população geral (o essencial e como acionar o canal). Registre presença e resultado por público, porque cobertura por público é o indicador que vale.
Abrir o canal de reporte. No bloco 31-60 o canal precisa existir formalmente, com regra escrita de sigilo, prazo de resposta e segregação entre quem recebe e quem pode ser objeto do relato. Canal sem regra de segregação declarada não gera confiança e, portanto, não gera uso.
O entregável do dia 60 é: controles ativos para os riscos priorizados, evidência sendo acumulada em local único, treinamento executado por público com registro, e canal aberto com regra publicada.
Dias 61 a 90: monitoramento, indicadores e auditoria interna
O último bloco existe para provar que o programa funciona e para produzir o insumo do ciclo seguinte.
Monitoramento com calendário fixo. Cada controle recebe uma data de verificação recorrente e um responsável por verificar — que não pode ser a mesma pessoa que executa. Sem essa separação, monitoramento é autodeclaração.
Quatro indicadores, não um painel. O conjunto mínimo que sustenta conversa com a diretoria: cobertura de controle (percentual de controles com evidência no período), aderência de prazo (percentual verificado dentro da data prevista), volume e idade de exceções em aberto, e tempo médio de resposta a pedido de evidência. Esses quatro dizem se o programa opera. Contagem de treinamentos realizados e número de políticas publicadas dizem apenas que houve atividade — a distinção entre reportar esforço e reportar resultado é a mesma que aplicamos em os 7 KPIs operacionais que mudam decisão executiva.
Um teste de auditoria interna, feito de verdade. Escolha dois controles, peça a evidência do último mês sem aviso prévio e cronometre. O que esse teste revelar é o retrato honesto do programa no dia 90. Se a evidência não aparece em tempo razoável, o problema é de desenho de artefato, não de esforço da equipe.
Relatório de fechamento com decisão pedida. O documento do dia 90 precisa comparar o retrato inicial com o atual, apresentar os quatro indicadores, listar as exceções em aberto e terminar com decisões explícitas para o ciclo seguinte: quais riscos entram, o que precisa de investimento, o que foi tentado e não funcionou.
Há um teste simples para saber, no dia 90, se o que foi construído é um programa ou uma pasta de documentos. Escolha alguém que não participou da estruturação e faça três perguntas: qual é o maior risco de compliance da empresa hoje, qual controle trata esse risco, e onde está a prova de que ele rodou no mês passado. Se as três respostas vierem sem consulta a terceiros, o programa entrou na operação. Se a primeira já exigir “preciso perguntar para alguém”, o que existe é documentação — o que não é pouco, mas não é o que 90 dias deveriam produzir.
Um segundo teste, para a diretoria: peça o número de exceções abertas no último mês e há quanto tempo a mais antiga está pendente. Programa saudável responde isso em minutos, porque exceção é registro e não conversa. Programa que precisa levantar essa informação por e-mail ainda não tem trilha, independentemente de quantas políticas foram publicadas.
O que atrasa a implementação de compliance na empresa
Os atrasos são previsíveis e quase sempre os mesmos cinco:
Começar pela redação. Escrever política antes de mapear risco produz documento que ninguém consegue amarrar a controle. É o atraso mais comum e o mais difícil de corrigir, porque gera sensação de progresso.
Escopo grande demais no primeiro ciclo. Vinte riscos priorizados significam zero controles maduros em 90 dias. Cinco a oito é o intervalo que cabe.
Ausência de dono por risco. Programa com dono geral e nenhum dono por risco trava na execução, porque cada controle depende de negociação nova.
Evidência inventada depois. Quando o artefato de comprovação não existe no fluxo natural, a evidência passa a ser produzida sob demanda — e a operação abandona isso na primeira semana cheia.
Confundir ferramenta com programa. Contratar plataforma no dia 10 não acelera nada: sem processo desenhado, a configuração fica genérica e a implantação vira o projeto, deslocando o programa para o segundo semestre.
Quando o cronograma já atrasou — e ele atrasa com frequência — a recuperação tem uma ordem específica. Primeiro, corte escopo em vez de esticar prazo: reduza os riscos priorizados de oito para três e leve esses três até a evidência. Um programa com três controles comprovados no dia 90 é defensável; um com oito controles pela metade não é, porque nenhum gera prova completa. Segundo, proteja o bloco de evidência: é a única entrega que não pode ser postergada, porque sem ela não existe como demonstrar que o programa saiu do papel. Treinamento pode escorregar duas semanas; trilha de evidência não. Terceiro, comunique o corte explicitamente à diretoria com a justificativa técnica — programa que reduz escopo por decisão declarada mantém credibilidade, programa que reduz escopo silenciosamente perde.
Um último padrão que atrasa e raramente é nomeado: a expectativa de que compliance seja construído sem atrito com a área comercial. Vai haver atrito, principalmente em due diligence de terceiro e em aprovação de despesa. O cronograma precisa reservar tempo para essa negociação — normalmente duas a três semanas dentro do bloco 31-60 — em vez de tratá-la como imprevisto.
Recapitulando o roteiro: os pré-requisitos são dono nomeado e escopo regulatório escrito; o bloco 1-30 entrega matriz de risco justificada e política mínima viável; o bloco 31-60 entrega controles ativos, evidência em local único, treinamento por público e canal aberto; o bloco 61-90 entrega monitoramento com calendário, quatro indicadores e um teste de auditoria real. No dia 90 a empresa não tem um programa maduro — tem um programa que opera e produz prova, que é a única base a partir da qual maturidade se constrói.
Próximo passo
A Better Consultoria estrutura o ecossistema de plataformas que sustenta operação, dado e decisão — do diagnóstico à implantação. Solicite o contato de um especialista para desenhar o roteiro de 90 dias com risco e evidência do seu contexto.