Como montar um canal de denúncias do zero: passo a passo, anonimato e proteção contra retaliação

Atualizado em 04/10/2026: esclarecidos os limites do anonimato, o tratamento de conflitos e dados pessoais, a verificação de efetividade e o alcance das referências legais.

Muita empresa trata o canal de denúncias como assunto exclusivo de empresa grande ou de companhia listada. O Código das Melhores Práticas de Governança Corporativa do IBGC (6ª edição, 2023) recomenda o canal como parte do capítulo de Conduta, ao lado do código de conduta e das políticas organizacionais. Sua implementação deve considerar o porte, a maturidade e os requisitos aplicáveis à organização. A recomendação de boa prática não deve ser confundida com obrigação legal uniforme para todo negócio. IBGC, apresentação e seção 6.2

Por que o canal importa

Sem um caminho seguro para relatar irregularidades, problemas podem permanecer ocultos. Desvio de caixa na padaria, assédio na oficina mecânica e superfaturamento de fornecedor na transportadora são situações que podem chegar ao conhecimento de quem está na operação antes de alcançar a direção. O canal permite receber essas informações e avaliar as providências necessárias.

Do ponto de vista da governança, a evidência relevante está no tratamento dos relatos, nas medidas de proteção e na correção dos problemas. A simples existência de um endereço de e-mail ou formulário não demonstra que os controles funcionam. A CGU ressalta que estrutura formal precisa ser acompanhada de aplicação e efetividade. CGU, diretrizes 2024, pp. 38–39

Passo 1 — Escolha o meio certo para o seu porte

Considere os requisitos aplicáveis, os riscos e as condições de acesso de empregados e terceiros. Opções comuns:

• E-mail dedicado: simples e barato para receber relatos identificados sob confidencialidade. Conta pessoal ou serviço público de e-mail não assegura anonimato; endereço, cabeçalhos, anexos e conteúdo podem permitir identificação. Ofereça alternativa anônima tecnicamente verificada.
• Formulário online: a ausência de campo de nome não comprova anonimato. Verifique exigência de login, coleta de identificadores, registros de infraestrutura e integrações antes de anunciá-lo como anônimo.
• Caixa física ou ramal telefônico: alternativas para quem tem dificuldade de acesso à internet. Avalie localização, circulação de pessoas, custódia dos relatos e, no telefone, identificação de chamadas e gravação.
• Plataforma terceirizada: pode oferecer recepção, recursos de anonimato e triagem. Confira configuração, contrato, acessos e responsabilidades. Ter um fornecedor externo não assegura, por si só, independência ou proteção.

A combinação de meios deve ser compatível com o público. Comunique como acessar o canal em mural, manual do colaborador, e-mail e reuniões; inclua terceiros quando pertinentes. A CGU recomenda alternativas de acesso, confidencialidade e acompanhamento do relato. CGU, seção 4.4

Passo 2 — Defina e verifique as proteções de identidade

Confidencialidade exige restringir o acesso e a divulgação das informações. Anonimato permite relatar sem revelar a identidade ao receptor. Mesmo sem identificação solicitada, o conteúdo ou os anexos podem indicar a autoria; em equipes pequenas, esse risco é especialmente relevante. Explique as proteções oferecidas e seus limites, sem prometer impossibilidade de identificação.

Algumas medidas práticas:

• Verifique o percurso dos dados: coleta, registros técnicos, alertas, exportações e acessos administrativos. Uma submissão-teste não comprova, sozinha, ausência de registros no provedor ou na hospedagem; obtenha confirmação técnica e contratual.
• Defina quem pode acessar cada informação, separe a identidade do material de trabalho quando viável e mantenha registro de acessos. Não encaminhe o relato completo a pessoas que não precisam dele.
• Peça fatos, período, local e elementos úteis à verificação, sem exigir documentos pessoais ou provas conclusivas para receber o relato.
• Defina finalidade, hipótese legal e critérios de conservação e eliminação. Proteja também dados de pessoas citadas e testemunhas. Consentimento não é solução automática, e dados sensíveis exigem enquadramento específico no art. 11 da LGPD.

Essas medidas devem concretizar necessidade, segurança e prevenção; a investigação interna não autoriza coleta indiscriminada. LGPD, arts. 6º, 7º, 11, 15–16, 39 e 46

Passo 3 — Defina quem recebe e quem investiga

O fluxo precisa funcionar também quando a denúncia envolver o gestor imediato, o dono da empresa ou o próprio operador do canal. O IBGC recomenda estabelecer responsabilidades e tratar conflitos na apuração. IBGC, seção 6.2, p. 68

Boas práticas:

• Designe receptor e responsáveis pela triagem, apuração e decisão, com autoridade e recursos proporcionais à tarefa. Quem estiver envolvido no caso deve ser afastado dessas etapas.
• Preveja destinatário alternativo para relatos contra a direção ou contra o operador. Se o dono controla todas as decisões, uma caixa de entrada externa não resolve sozinha o conflito: é necessário definir uma rota com capacidade real de encaminhamento.
• Separe recepção, investigação e decisão quando possível. O investigado não deve controlar a autorização para obter evidências ou o destino do relato.
• Documente o fluxo: recebimento → avaliação de urgência e conflitos → triagem → apuração, quando cabível → decisão fundamentada → retorno e acompanhamento. Fixe prazos compatíveis com o risco e informe atrasos justificados.

Terceirizar parte da operação pode ajudar uma PME, desde que o contrato trate dos conflitos e da proteção das informações. A CGU recomenda preservar uma instância interna responsável pelo programa, mesmo com serviços externos. CGU, diretrizes 2024, pp. 17–19

Passo 4 — Feche o ciclo sem retaliação

Proteção contra retaliação precisa de mecanismos concretos:

• Inclua no código de conduta a proibição de retaliação e medidas disciplinares proporcionais, aplicáveis também a gestores.
• Acompanhe indícios de prejuízo a quem relata, testemunha ou auxilia a apuração, como alterações injustificadas de função, benefícios ou tratamento. Avalie os fatos sem presumir que toda mudança decorre do relato.
• Preserve a imparcialidade: receber uma denúncia não prova culpa, e a falta de confirmação não demonstra má-fé. Na triagem, registre por que o caso prossegue, pede esclarecimentos ou é encerrado.
• Comunique o andamento e a conclusão geral sem expor dados ou detalhes indevidos. Quando disponível, use protocolo com caixa de mensagens anônima para pedir esclarecimentos e dar retorno sem exigir identificação.

A ISO 37002 orienta a gestão de denúncias, mas não assegura que retaliação será impossível. Política escrita precisa de aplicação e acompanhamento. ISO 37002, perguntas 14, 15 e 23

Erros comuns

• Canal invisível ou inacessível: poucas denúncias podem refletir desconhecimento, dificuldade de acesso ou desconfiança.
• Conflito sem saída: receber o relato externamente e remetê-lo automaticamente à pessoa denunciada.
• Arquivamento sem critério: encerrar relatos sem registrar a análise dos elementos disponíveis e o motivo da decisão.
• Proteção apenas no papel: deixar indícios de retaliação sem avaliação ou concluir o caso sem acompanhar as providências.

O que isso significa para uma PME

Comece com um desenho viável para os riscos e recursos disponíveis: meios acessíveis, responsáveis definidos, informação protegida e capacidade de tratar o que chegar. Não existe número de páginas de política ou combinação de ferramentas que, isoladamente, demonstre suficiência.

Antes de lançar: teste o caso difícil

Faça simulações autorizadas, identificadas como teste, em ambiente apropriado e sem dados de pessoas reais. Inclua três cenários: relato sem identificação, relato envolvendo o dono e relato com risco imediato. Verifique:

1. Para quem o caso e os alertas vão, inclusive quando o destinatário habitual está impedido.
2. Quem consegue visualizar identidade, anexos e histórico de acesso.
3. Quem avalia a urgência e tem autoridade para encaminhar as medidas necessárias.
4. Como pedir esclarecimentos e dar retorno preservando a opção de anonimato oferecida.

Após o lançamento, acompanhe atrasos de triagem e apuração, providências concluídas e medidas de proteção efetivamente executadas. Use dados agregados com cuidado para não identificar pessoas em grupos pequenos. Quantidade de denúncias, sozinha, não mede confiança nem efetividade. Os testes e indicadores acima são sugestões de implementação, a ajustar ao contexto.

Confira o alcance das regras

• Empresas com Cipa: o art. 23 da Lei 14.457/2022 exige procedimentos relativos a assédio sexual e violência, com anonimato, além de outras medidas preventivas. O recebimento interno não substitui o procedimento penal. Divulgue rotas adequadas para autoridades e acolhimento quando cabíveis, sem exigir que a pessoa esgote o canal interno. Lei 14.457/2022, art. 23
• Proteções no setor público: os arts. 4º-A a 4º-C da Lei 13.608/2018 se inserem no regime de relatos às estruturas públicas ali previstas. Não devem ser apresentados como garantia geral de qualquer canal empresarial privado. Lei 13.608/2018
• Integridade e relações com o poder público: a Lei 12.846/2013 trata da responsabilização de pessoas jurídicas por atos lesivos à administração pública. Na avaliação do programa de integridade, o Decreto 11.129/2022 considera canais e proteção de denunciantes. Isso não torna certificação ISO uma obrigação geral de contratar com o poder público. Decreto 11.129/2022, art. 57, especialmente IX–X

Por onde seguir

• Leia a seção 6.2 do Código IBGC, 6ª edição, 2023, sobre canal de denúncias.
• Conheça a ISO 37002:2021, diretriz para gestão de denúncias, não concebida para certificação. A ISO 37001:2025 contém requisitos para sistemas de gestão antissuborno e pode ser adotada voluntariamente ou exigida por contrato. São referências com finalidades diferentes. ISO: classificação das normas; ISO 37001:2025
• Integre o canal ao programa de integridade, à prevenção de assédio, à proteção de dados e aos controles internos. Procure apoio especializado para situações complexas e requisitos jurídicos ou setoriais específicos.