Cliente grande exigindo ESG do fornecedor: como responder com governança e não com promessa

Seu maior cliente enviou um questionário de homologação ESG. Ou pediu que você assine um código de conduta. Ou simplesmente disse: "precisamos que vocês tenham um programa de integridade". A primeira reação costuma ser buscar um selo ou emitir uma declaração. As duas reações estão erradas — e este artigo explica o porquê e o que fazer em vez disso.

Por que a exigência quase sempre vem pelo "G" de governança

Empresas de grande porte, especialmente as listadas em bolsa ou fornecedoras do governo, respondem a reguladores que exigem delas controles anticorrupção sobre toda a cadeia. No Brasil, a Lei Anticorrupção (Lei 12.846/2013) responsabiliza a empresa pelos atos de seus representantes e, em alguns casos, de seus parceiros. Para se proteger, o cliente transfere parte dessa diligência para você.

O que ele quer, na prática, é uma resposta à pergunta: "se algo errado acontecer, você tem evidência de que tentou evitar?". Declaração não responde essa pergunta. Evidência datada responde.

O que conta como evidência defensável

A lógica da ISO 37001 — norma internacional de sistema de gestão antissuborno, adotada no Brasil como ABNT NBR ISO 37001 — é útil aqui não como certificação obrigatória, mas como mapa do que precisa existir. Em paráfrase dos seus requisitos centrais, uma organização precisa demonstrar:

• Política antissuborno formal, aprovada pela direção, que proíba o suborno e oriente o comportamento esperado de todos os colaboradores.
• Avaliação de risco de suborno: onde a empresa está exposta — que tipo de transação, que tipo de contato com o setor público, que intermediários usa.
• Due diligence sobre terceiros: verificar quem são os parceiros, fornecedores e representantes antes e durante o relacionamento, de forma proporcional ao risco.
• Controles financeiros e não financeiros: aprovações, alçadas, conferência de fornecedores, separação de funções.
• Canal para receber denúncias ou preocupações: pode ser simples, mas precisa existir e ser comunicado.
• Monitoramento e registro: o sistema precisa ser revisado periodicamente, e essa revisão precisa estar documentada.

A norma prevê também uma função de compliance antissuborno — alguém responsável por supervisionar tudo isso. Numa PME, pode ser o próprio dono ou um gerente designado, desde que com autonomia real para agir.

Você não precisa estar certificado na ISO 37001 para usar esse mapa. A certificação por terceira parte é um passo adicional, com custo e esforço próprios. Mas os controles descritos acima são o que qualquer auditor ou comprador experiente vai procurar quando avaliar sua cadeia.

O que o IBGC chama de conduta — e por que importa para PME

O Código de Melhores Práticas de Governança Corporativa do IBGC (6ª edição, 2023) dedica um capítulo inteiro a conduta: código de conduta, canal de denúncias e políticas organizacionais. Não é norma certificável, é orientação voluntária — mas é a referência de mercado no Brasil para o pilar "G" do ESG.

Para a PME, o recado prático do IBGC é que governança começa por decisões bem registradas, papéis claros e políticas simples que sejam de fato usadas. Uma política de conduta que ninguém leu não vale nada para fins de evidência. Uma política curta, assinada pela direção, comunicada em reunião e com registro de ciência dos colaboradores vale muito.

Roteiro prático: o mínimo que você precisa montar

A seguir, um checklist para a Mariana construir a resposta ao cliente — não como promessa, mas como conjunto de evidências:

1. Política de conduta/antissuborno: um documento de uma a duas páginas, aprovado pela direção, com data, que diga claramente o que é proibido (suborno, pagamento de facilitação, conflito de interesses não declarado) e como reportar irregularidades.

2. Responsável definido: nome e cargo de quem responde por integridade/compliance na empresa. Em PME, pode ser o sócio-diretor — desde que esteja escrito e datado.

3. Mapa de risco básico: uma planilha ou documento que liste onde a empresa enxerga maior exposição (ex.: licitações, agentes de vendas, importação) e o que faz para mitigar. Não precisa ser sofisticado; precisa ser honesto e revisado pelo menos uma vez por ano.

4. Procedimento de verificação de terceiros: como a empresa verifica fornecedores e representantes antes de contratar. No mínimo: consulta a listas de impedimentos, verificação de regularidade fiscal, confirmação de existência legal. Documente o processo e guarde os registros.

5. Canal de denúncias: um e-mail específico, uma caixa postal ou um serviço terceirizado. O que importa é que exista, seja comunicado e tenha um responsável por responder.

6. Registros de treinamento ou ciência: ata de reunião, lista de presença, e-mail com confirmação de leitura. Algo que prove que as pessoas conhecem as regras.

Due diligence reversa: você também pode (e deve) avaliar o cliente

Um ponto que costuma ser ignorado: a lógica de due diligence funciona nos dois sentidos. Se um cliente exige que você comprove integridade, você também pode — e é razoável que o faça — verificar a reputação dele antes de assumir compromissos. Relacionar-se com uma empresa envolvida em escândalos pode criar riscos reputacionais e legais para a sua PME. Isso não é desconfiança; é gestão.

O que não funciona: erros comuns

• Declaração sem controle por trás: assinar um formulário afirmando que "a empresa tem programa de integridade" sem ter política, responsável ou registros é o caminho mais rápido para perder a homologação — e eventualmente responder por falsidade.
• Certificação como atalho: buscar um selo sem construir os controles é gastar dinheiro sem reduzir risco. A certificação ISO 37001 é válida e reconhecida, mas exige que o sistema de gestão esteja de fato implementado.
• Governança na gaveta: política que ninguém conhece, canal de denúncias sem endereço funcional, mapa de risco de 2019 nunca revisado — tudo isso pode ser pior do que não ter nada, porque cria aparência de diligência sem substância.

Por onde seguir

Se o cliente pediu apenas a assinatura de um código de conduta, comece pela política interna e pelo responsável designado. Se ele pediu um questionário estruturado, use o mapa de risco e o procedimento de verificação de terceiros como base das respostas. Se a exigência for certificação ISO 37001, envolva um consultor de compliance para avaliar o esforço real — e consulte um profissional habilitado para orientação jurídica antes de assumir compromissos formais com o cliente.

O ponto central: prova datada vale mais que declaração. Construa o sistema antes de assinar qualquer coisa.