Política anticorrupção que funciona de verdade: programa de integridade vs. código de prateleira (Lei 12.846 e ISO 37001)

Muitas empresas têm uma política anticorrupção. Poucas têm um programa que realmente reduz o risco de suborno. A diferença não está no título do documento — está na pergunta que a Transparency International usa para separar o real do cosmético: o programa conecta avaliação de risco a controles concretos, ou é apenas uma frase de proibição?

O que está em jogo para uma PME

A Lei 12.846/2013, conhecida como Lei Anticorrupção, responsabiliza empresas por atos de corrupção praticados em seu nome ou benefício — independentemente de culpa individual. As sanções podem chegar a multas pesadas e publicação da condenação. O ponto relevante para quem está montando um programa: a lei prevê atenuação de sanção para organizações que demonstrem ter um programa de integridade efetivo. Não basta ter o documento. A efetividade é que conta.

Isso muda o cálculo. Um código de conduta guardado na gaveta não atenua nada. Um sistema estruturado, com evidência de funcionamento, pode fazer diferença concreta perante reguladores.

Código de prateleira: como reconhecer

O código de prateleira tem características fáceis de identificar:

• Proíbe o suborno em linguagem genérica, sem dizer como agir em situações reais.
• Não mapeia onde a empresa está de fato exposta — quais fornecedores, quais mercados, quais cargos, quais tipos de transação.
• Não tem responsável designado com autonomia para operar.
• O treinamento se resume a um clique de "li e concordo" no sistema de RH.
• O canal de denúncias existe no papel, mas ninguém sabe como acionar, o que acontece depois ou se há proteção para quem usa.
• Não é revisado. Foi feito uma vez e nunca mais tocado.

Esses sinais aparecem com frequência em divulgações ESG: linguagem de compliance vaga, menção a hotline sem detalhar governança, ausência de dados sobre treinamentos ou investigações concluídas. O material da Transparency International é direto nesse ponto — disclosures que descrevem um programa funcionando trazem evidência de avaliação de risco, gestão de terceiros, treinamento, canais de reporte, investigação, remediação e revisão periódica. Sem esses elementos, o que existe é uma declaração de intenção.

A arquitetura da ISO 37001: o que um programa real precisa ter

A ISO 37001 é a norma internacional de requisitos para sistemas de gestão antissuborno — certificável por terceira parte, adotada no Brasil pela ABNT como ABNT NBR ISO 37001. A versão vigente é a 2ª edição, de fevereiro de 2025. Ela não é uma norma de relato; é um padrão de controle, com a mesma lógica estrutural da ISO 9001 ou da ISO 14001.

Os pilares que a norma exige, em paráfrase:

1. Avaliação de risco de suborno
O ponto de partida. A organização precisa mapear onde está exposta: setores de atuação, geografias, tipos de transação, relacionamento com agentes públicos, uso de intermediários. Sem esse mapa, os controles são genéricos e ineficazes. A avaliação precisa ser revisada periodicamente — risco muda conforme o negócio muda.

2. Política antissuborno formal
Uma política aprovada pela alta direção, que vá além de "somos contra a corrupção". Ela deve orientar comportamentos concretos e ser comunicada dentro e fora da organização.

3. Função de compliance antissuborno
Uma pessoa ou área designada, com competência, recursos e autonomia para supervisionar o sistema — e com acesso direto ao órgão de governança. Em uma PME, pode ser o sócio-diretor acumulando a função, mas com clareza de papel e registro das decisões.

4. Devida diligência (due diligence) de terceiros
Avaliar fornecedores, agentes, consultores e parceiros antes e durante o relacionamento, com profundidade proporcional ao risco que cada um representa. Uma transportadora que opera em contratos públicos tem perfil de risco diferente de uma gráfica que faz panfleto promocional.

5. Controles financeiros e não financeiros
Regras de aprovação de despesas, controles de aquisição, limites para brindes e hospitalidade, procedimentos para doações e contribuições. Controles que fecham as janelas de oportunidade identificadas no mapeamento de risco.

6. Canal de denúncias funcional
A ISO 37001 trata isso como requisito operacional, não como detalhe. O canal precisa existir, ser conhecido, ser acessível e garantir proteção a quem usa. A ISO 37002, norma complementar do mesmo comitê, aprofunda o tema de whistleblowing.

7. Treinamento e cultura de integridade
A 2ª edição da norma reforça que o sistema precisa promover cultura de integridade — não apenas controles formais. Treinamento relevante, com conteúdo que faça sentido para quem trabalha no caixa, na expedição ou no comercial, é parte disso.

8. Monitoramento e melhoria contínua
Auditoria interna, análise crítica pela direção e pela função de compliance, indicadores de desempenho. O sistema precisa ser avaliado para saber se está funcionando — e corrigido quando não está.

O teste que separa os dois mundos

A pergunta da Transparency International é simples e implacável: cada controle do programa pode ser rastreado até um risco identificado? Se a resposta for não — se os controles existem porque "toda empresa tem isso" e não porque o mapeamento apontou aquela exposição específica — o programa é cosmético.

Aplique o teste a situações concretas: a padaria que fornece para licitações municipais tem risco diferente da que vende só ao varejo. A oficina mecânica que presta serviço a frotas de estatais precisa de due diligence que a que atende pessoa física não precisa. O controle certo para o risco certo é o que a norma chama de proporcionalidade.

Por onde seguir

• Leia o texto da Lei 12.846/2013 e o Decreto 11.129/2022, que regulamenta os programas de integridade para o contexto federal.
• Consulte a estrutura da ABNT NBR ISO 37001 para entender os requisitos formais — o texto integral da norma é pago, mas organismos de certificação e consultorias especializadas oferecem diagnósticos iniciais.
• Para PMEs sem área jurídica interna, buscar um profissional de compliance ou advogado especializado antes de estruturar o programa evita construir sobre base errada.
• Se a empresa divulga ESG, verifique se o que está escrito sobre anticorrupção passa no teste: risco mapeado, controle correspondente, evidência de funcionamento.

O programa de integridade não é garantia de resultado. É o conjunto de medidas que reduz a probabilidade de um problema acontecer — e que demonstra, com evidência, que a organização age de boa-fé para preveni-lo.