Por onde aprender governança e compliance: trilha de estudo, competências e o que faz um profissional da área

Governança e compliance figuram entre as áreas com maior demanda de profissionais qualificados no ecossistema ESG brasileiro. Ao mesmo tempo, são os temas mais mal compreendidos por quem está entrando na carreira: muita gente confunde o que é norma certificável, o que é orientação voluntária e o que é exigência legal. Antes de montar sua trilha de estudo, vale entender o que o campo cobre e quais competências ele exige.

O que a área abrange

O pilar "G" do ESG trata de como uma organização toma decisões, distribui responsabilidades, controla riscos e responde por suas ações perante sócios, colaboradores, clientes e sociedade. Na prática, isso se traduz em quatro grandes blocos de trabalho:

• Estrutura e processos de governança — desenho de conselhos, comitês, alçadas e políticas internas.
• Gestão de riscos e controles internos — identificação, avaliação e mitigação de riscos operacionais, financeiros e de integridade.
• Compliance e integridade — programas antissuborno, canais de denúncia, due diligence de terceiros, código de conduta.
• Relacionamento com partes interessadas — comunicação, transparência, relato e prestação de contas.

Profissionais como Diego, que está aprendendo ESG, ou Paula, que presta serviços de consultoria, vão atuar em algum ponto desse mapa — às vezes em todos ao mesmo tempo.

Competências necessárias

Não existe uma grade fechada, mas o mercado converge em torno de algumas habilidades centrais:

1. Leitura e análise de risco — entender como riscos são identificados, classificados e priorizados. Sem isso, é difícil montar qualquer programa de integridade ou de controles.
2. Conhecimento de frameworks e normas — saber o que é voluntário, o que é certificável e o que é lei. Confundir os três gera erros graves de orientação.
3. Desenho de políticas e procedimentos — traduzir princípios em documentos operacionais: política antissuborno, código de conduta, matriz de alçadas.
4. Comunicação com stakeholders — apresentar temas de governança para conselho, diretoria, auditores e, quando necessário, para o público externo.
5. Visão sistêmica — conectar o "G" com o "E" e o "S": uma política de clima, por exemplo, tem implicações diretas de governança e compliance.

Os dois referenciais de base para começar

Código IBGC — o mapa da governança corporativa no Brasil

O ponto de partida nacional é o Código das Melhores Práticas de Governança Corporativa do IBGC (Instituto Brasileiro de Governança Corporativa), cuja 6ª edição está em vigor desde agosto de 2023. É um documento de adoção voluntária — soft law —, não uma lei e nem uma norma certificável. Sua força vem da autoridade técnica do IBGC e da adesão do mercado.

A 6ª edição organiza boas práticas em seis capítulos: fundamentos, sócios, conselho de administração, diretoria, órgãos de fiscalização e controle, e conduta. Para quem está começando, os pontos mais importantes são:

• Os cinco princípios que sustentam toda a edição: integridade, transparência, equidade, responsabilização (accountability) e — novidade relevante desta edição — sustentabilidade. A entrada formal da sustentabilidade aproxima o "G" das agendas ambiental e social.
• A nova definição de governança corporativa, que desloca o foco da otimização de valor para o acionista em direção à geração de valor compartilhado, considerando impactos sociais e ambientais.
• O capítulo 5, que trata de auditoria, gerenciamento de riscos, controles internos e compliance — exatamente onde boa parte dos profissionais de integridade atua no dia a dia.
• O capítulo 6, sobre conduta: código de conduta, canal de denúncias e políticas para transações entre partes relacionadas.

O Código é proporcional: uma padaria familiar e uma S.A. de capital aberto podem seguir os mesmos princípios em intensidades diferentes. Isso o torna útil para orientar PMEs também, não só grandes empresas.

ISO 37001 — o padrão para quem quer trabalhar com antissuborno

Se o Código IBGC é o mapa da governança, a ISO 37001 é o manual de operação do compliance antissuborno. Diferente do Código, ela é uma norma de requisitos certificável: uma organização pode ser auditada por terceira parte e receber um certificado de conformidade, como acontece com ISO 9001 ou ISO 14001.

A versão vigente é a ISO 37001:2025 (2ª edição), publicada em fevereiro de 2025. Ela substitui a edição de 2016 e introduz orientações ampliadas sobre conflito de interesses e subcláusulas relacionadas a ações climáticas. Organizações certificadas pela edição de 2016 têm prazo de transição até por volta de fevereiro de 2027.

Os pilares operacionais que o profissional precisa conhecer:

• Avaliação de risco de suborno — base de proporcionalidade de todo o sistema.
• Política antissuborno — aprovada pela alta direção, comunicada interna e externamente.
• Função de compliance antissuborno — pessoa ou área com autonomia para supervisionar o programa e acesso direto ao órgão de governança.
• Due diligence — avaliação de parceiros, intermediários e fornecedores antes e durante os relacionamentos.
• Controles financeiros e não financeiros — aprovações, controles contábeis, gestão de presentes e hospitalidades.
• Canal de denúncias e investigação — mecanismo para levantar preocupações e tratar irregularidades.

No Brasil, a ISO 37001 dialoga diretamente com a Lei Anticorrupção (Lei 12.846/2013) e com os programas de integridade regulados pelo Decreto 11.129/2022. Conhecer essa conexão é diferencial imediato para quem atua com clientes ou empregadores sujeitos a esse regime.

Erros comuns de quem está começando

• Confundir voluntário com irrelevante. O Código IBGC não é lei, mas empresas listadas na B3, financiadas por bancos de desenvolvimento ou que participam de cadeias de suprimento exigentes são pressionadas a segui-lo.
• Tratar certificação como fim em si mesma. A ISO 37001 certifica o sistema de gestão, não a ausência de suborno. Um certificado não é garantia de que a organização não comete ilícitos — é evidência de que ela tem controles implantados.
• Ignorar a camada de lei. Frameworks orientam; a lei obriga. Sempre que um tema tocar obrigações legais — anticorrupção, proteção de dados, relações trabalhistas — oriente o cliente a buscar assessoria jurídica especializada.

O que isso significa para quem quer atuar na área

Uma trilha realista do zero ao intermediário passa por:

1. Dominar os cinco princípios do Código IBGC e a estrutura dos seis capítulos.
2. Entender a arquitetura da ISO 37001 (Estrutura Harmonizada, ciclo PDCA, pilares de compliance).
3. Conhecer o contexto legal brasileiro: Lei Anticorrupção, programas de integridade e, para relato, as resoluções da CVM.
4. Praticar leitura de documentos reais: políticas de integridade publicadas, códigos de conduta, relatórios de sustentabilidade com capítulo de governança.
5. Conectar o "G" com os outros pilares — quem entende governança e sabe dialogar com as agendas ambiental e social tem perfil mais completo para o mercado.

Por onde seguir

O próprio site do IBGC disponibiliza materiais introdutórios e o sumário do Código. A ABNT publica a versão brasileira da ISO 37001 como ABNT NBR ISO 37001 (documento pago). Para quem quer aprofundar o ecossistema de normas do ISO/TC 309, vale mapear também a ISO 37000 (governança de organizações) e a ISO 37002 (sistemas de gestão de whistleblowing), que complementam a 37001. Nenhum desses documentos substitui formação prática; busque casos reais e, quando possível, acompanhe processos de implementação em empresas.