Como fazer avaliação de risco de corrupção na empresa: roteiro por geografia, terceiros, compras e contato com agente público
Muitas empresas declaram que "repudiam a corrupção" no código de ética, instalam um canal de denúncias e consideram o tema resolvido. O problema é que isso não é um programa — é uma declaração. Um programa de anticorrupção começa com uma pergunta diferente: onde, especificamente, esta empresa está exposta?
A resposta exige um processo estruturado de avaliação de risco. É o que este roteiro cobre.
Por que o risco precisa vir antes dos controles
Controles sem avaliação de risco são como cadeado na porta errada. Uma transportadora que opera em fronteiras tem exposição diferente de uma padaria que vende só para consumidor final. Um prestador de serviço que participa de licitações tem um perfil distinto de quem nunca toca o setor público.
Guias de referência como os do UN Global Compact e da Transparência Internacional convergem nesse ponto: a maturidade de um programa anticorrupção se mede pela capacidade de mostrar que os controles implementados derivam do risco identificado — não o contrário.
Passo 1: Defina o universo de risco da sua empresa
O ponto de partida é listar as dimensões que criam exposição. Algumas perguntas úteis:
- Geografia: a empresa opera em regiões ou países com histórico de corrupção elevado? Passa por fronteiras? Depende de licenças emitidas por órgãos locais?
- Setor e tipo de transação: o negócio envolve obras, concessões, licenciamentos ambientais, importação, exportação, fiscalizações frequentes?
- Terceiros: há agentes, representantes comerciais, despachantes, consultores que intermediam relações com governo ou clientes?
- Compras e fornecedores: o processo de seleção é competitivo e documentado, ou informal?
- Contato com agente público: a empresa precisa de aprovações, inspeções, alvarás, registros — e quem faz esse contato?
- Incentivos internos: metas agressivas de vendas ou de prazo criam pressão para "resolver" situações de forma irregular?
Esse levantamento não precisa ser perfeito de saída. Serve para montar uma lista de unidades de negócio, processos e categorias de transação que serão avaliados.
Passo 2: Avalie probabilidade e impacto
Para cada item da lista, estime dois fatores:
- Probabilidade de ocorrência de um ato de corrupção — considerando histórico do setor, pressão sobre equipes, dependência de intermediários, nível de supervisão existente.
- Impacto caso ocorra — reputacional, financeiro, regulatório, operacional.
A combinação dos dois gera uma priorização. Não é preciso usar planilha sofisticada: uma matriz 3x3 (baixo/médio/alto) já organiza o raciocínio e permite decidir onde concentrar energia.
Exemplo prático: uma oficina mecânica credenciada a seguradoras pode ter risco médio de irregularidade na emissão de laudos (impacto alto, probabilidade média). Uma transportadora com frota própria que atravessa postos de fiscalização tem risco diferente — frequência de contato com agentes públicos é alta, e o incentivo para "facilitar" a passagem existe. Os controles para cada caso serão distintos.
Passo 3: Revise os controles existentes
Com os riscos priorizados, verifique o que já existe:
- Há política formal de presentes, hospitalidade e doações?
- O processo de contratação de terceiros inclui due diligence mínima?
- Quem faz contato com agente público tem orientação clara sobre o que é permitido?
- Existe canal de denúncias acessível e com proteção ao denunciante?
- Há treinamento voltado para as situações de risco identificadas — não apenas um módulo genérico?
A pergunta central é: os controles cobrem os riscos que você acabou de mapear? Se o maior risco está nos representantes comerciais e não há nenhum processo de verificação desses terceiros, o programa tem lacuna real.
Passo 4: Priorize a mitigação
Não dá para resolver tudo de uma vez. Use a priorização do Passo 2 para sequenciar ações:
- Riscos altos: controles imediatos, treinamento específico, monitoramento contínuo.
- Riscos médios: políticas claras, orientação às equipes envolvidas, revisão periódica.
- Riscos baixos: monitoramento simples, reavaliação no ciclo seguinte.
Documente as decisões. Quando o risco muda — novo contrato com governo, expansão geográfica, mudança de canal de vendas — a avaliação precisa ser revisitada.
Erros comuns que enfraquecem o processo
- Tratar o canal de denúncias como programa completo. Canal é um mecanismo de detecção, não substitui avaliação de risco.
- Fazer o mapeamento uma vez e arquivar. Risco muda quando o negócio muda.
- Ignorar terceiros. Agentes, representantes e parceiros que agem em nome da empresa criam exposição mesmo que o contrato diga o contrário.
- Confundir política com controle. Ter uma política escrita não garante que o comportamento mudou. Treinamento, monitoramento e consequências reais são parte do controle.
O que isso significa para uma PME
Uma pequena empresa não precisa de uma área de compliance estruturada para fazer esse exercício. Precisa de honestidade sobre onde o risco existe e disposição de documentar o raciocínio.
Se você participa de licitações, contrate ou oriente alguém para revisar o processo de due diligence de parceiros. Se depende de licenças e fiscalizações, defina quem faz esse contato e com quais limites. Se tem equipe comercial com metas agressivas, vale perguntar se as metas criam pressão indevida.
O tamanho da empresa não elimina o risco — muda a escala do processo para administrá-lo.
Por onde seguir
- Os frameworks ISO 37001 e ISO 37000 aprofundam sistemas de gestão anticorrupção e governança organizacional.
- O UN Global Compact Princípio 10 e as Diretrizes da OCDE para Empresas Multinacionais situam o tema no contexto de expectativas internacionais.
- Os padrões GRI 2 e os padrões temáticos legados de anticorrupção orientam como divulgar o programa para partes interessadas externas.
- Para estruturar ou revisar o programa, considere consultar profissional especializado em compliance e integridade — o roteiro acima organiza o raciocínio, mas não substitui assessoria técnica para casos específicos.