O que é um programa de compliance e como provar que funciona

Programa de compliance previne, detecta e corrige desvios com políticas, controles e monitoramento contínuo. O Art. 57 do Decreto nº 11.129/2022 lista quinze parâmetros, obrigatórios em contratações de grande vulto, e a multa da Lei nº 12.846/2013 chega a 20% do faturamento. Cinco incisos só fecham com evidência de sistema, mapeada em inventário.

A cena se repete em auditoria. Alguém pede a evidência do controle de acesso a um sistema sensível nos últimos doze meses, e duas semanas depois chega um arquivo com quatro meses, porque o resto foi rotacionado. A política estava escrita. A evidência não existe.

O que é um programa de compliance

Um programa de compliance é o conjunto estruturado de políticas, procedimentos, controles internos, canais de denúncia e mecanismos de monitoramento que uma organização mantém para prevenir, detectar e sanar desvios, fraudes e atos ilícitos, além de fomentar cultura de integridade. Essa é a redação do Art. 56, incisos I e II, do Decreto nº 11.129/2022.

O mecanismo é um ciclo permanente de quatro tempos: definir a regra na política, aplicá-la nos processos, observar se ela foi cumprida e corrigir quando não foi. O ciclo é contínuo, em vez de um projeto com data de encerramento, e essa característica é o que separa programa de iniciativa.

O requisito principal não é a existência do documento. O Art. 7º, inciso VIII, da Lei nº 12.846/2013, a Lei Anticorrupção, exige a aplicação efetiva de códigos de ética e de conduta. Existir e aplicar são testes distintos, e o segundo é o que a autoridade avalia. O § 1º do Art. 57 acrescenta a restrição de proporcionalidade: o programa se ajusta ao porte e ao risco real, e quem avalia isso no âmbito federal é a Controladoria-Geral da União, ou CGU.

Três coisas são confundidas com o programa. O código de ética e de conduta é apenas o inciso II dos quinze parâmetros. A certificação ISO 37301, que sucedeu a ISO 19600, atesta o desenho do sistema em um momento, e não a operação no período apurado. Software também não é programa, porque nenhuma ferramenta implanta cultura ou tom de liderança.

Programa de compliance e programa de integridade são a mesma coisa?

São a mesma coisa, com uma nuance de origem. Programa de integridade é o termo da norma brasileira, definido no Art. 56 do Decreto nº 11.129/2022, e programa de compliance é o termo de mercado, que abriga também os recortes trabalhistas e de proteção de dados pessoais.

Compliance, auditoria interna e gestão de riscos: quem faz o quê

O modelo das três linhas de defesa, do Institute of Internal Auditors, ou IIA, responde à objeção de que compliance duplica a auditoria. A primeira linha é a gestão operacional, que opera o controle. A segunda é compliance, gestão de riscos e controles internos, que desenha a política e mede o cumprimento. A terceira é a auditoria interna, que avalia com independência e examina a evidência que a segunda produziu.

Os pilares de um programa de compliance: a lista oficial tem quinze itens

O mercado fala em oito, nove ou dez pilares do compliance, e nenhuma dessas listas tem valor jurídico. A lista oficial está no Art. 57 do Decreto nº 11.129/2022, com quinze parâmetros que se organizam em sete blocos.

A norma fala em instância responsável, e não em cargo de compliance officer. A diferença importa em organização pequena, onde a independência pode ser assegurada por comitê e por linha de reporte direta à alta direção, sem criação de cargo dedicado.

O parâmetro que quase ninguém consegue provar

Cada consultoria agrupa os quinze parâmetros do Art. 57 do seu jeito, e não há erro nisso enquanto o agrupamento não faz um inciso sumir. O que costuma sumir é o inciso XV, e contínuo é adjetivo com consequência operacional, porque exclui a foto anual.

Um programa monitorado uma vez por ano tem quatorze parâmetros atendidos e uma lacuna exatamente no item que fecha o ciclo. Em contratações públicas a régua é mais detalhada: a Portaria Normativa SE/CGU nº 226/2025 traz dezessete parâmetros, avaliados pela Secretaria de Integridade Privada por meio do sistema SAMPI.

Programa de compliance é obrigatório?

Para a generalidade das empresas privadas brasileiras não existe obrigação legal geral. A hipótese mais nítida está no Art. 25, § 4º da Lei nº 14.133/2021, segundo o qual o edital de contratação de grande vulto deve prever a implantação de programa de integridade pelo licitante vencedor, em até seis meses do contrato.

O piso é corrigido por decreto, e o Decreto nº 12.807/2025 fixou R$ 261.968.421,04, vigente desde 1º de janeiro de 2026. Fora desse recorte, o programa de compliance é decisão de risco, porque pesa na dosimetria da sanção pelo Art. 7º, VIII da Lei nº 12.846/2013 e responde à regulação setorial de bancos e de tratamento de dados pessoais.

Como o § 1º do Art. 57 manda ajustar o programa ao porte, uma cooperativa com quarenta agências e uma empresa de tecnologia com trinta pessoas podem ter programas legítimos e diferentes. Para o CIO, o CTO e o CEO, essa proporcionalidade é o que transforma compliance de custo fixo em decisão de risco discutível com o conselho de administração.

O que acontece quando o programa não existe ou não funciona

A Lei nº 12.846/2013 instituiu responsabilidade objetiva, e a empresa responde pelo ato lesivo independentemente de culpa do dirigente. Cinco consequências têm base legal própria, somadas à reparação integral do dano prevista no Art. 6º, § 3º.

• Multa de 0,1% a 20% do faturamento bruto do último exercício anterior ao processo, excluídos os tributos, nunca inferior à vantagem auferida (Art. 6º, I).
• Multa alternativa de R$ 6.000,00 a R$ 60.000.000,00 quando o critério do faturamento não se aplica (Art. 6º, § 4º).
• Publicação extraordinária da decisão condenatória, às expensas da pessoa jurídica (Art. 6º, II), com o dano reputacional embutido.
• Declaração de inidoneidade e registro em cadastros sancionadores, com impacto na habilitação em licitações.
• Multa da Lei Geral de Proteção de Dados, ou LGPD, de até 2% do faturamento no Brasil, limitada a R$ 50.000.000,00 por infração (Art. 52, II).

O programa entra como atenuante pelo Art. 7º, VIII, e é aqui que a expressão compliance de fachada ganha peso. Programa formalmente completo e materialmente inexistente não atenua nada, e em acordo de leniência a efetividade tem consequência financeira direta. O compliance de papel se reconhece por um sintoma: relatório rápido e evidência devagar.

O que mudou entre 2024 e 2026

Quatro marcos recentes mudaram a régua. O Decreto nº 12.304/2024, vigente em 8 de fevereiro de 2025, regulamentou o Art. 25, § 4º e atribuiu a avaliação à CGU. A Portaria Normativa SE/CGU nº 226/2025 estabeleceu a metodologia federal e instituiu o SAMPI.

As Resoluções CMN nº 5.274/2025 e BCB nº 538/2025 passaram a exigir trilhas de auditoria do processamento fim a fim, com adequação até 1º de março de 2026. O Decreto nº 12.807/2025 atualizou o piso de grande vulto.

A direção do movimento é uma só: de existência para efetividade. A pergunta do regulador deixou de ser se a organização tem o documento e passou a ser a demonstração da operação no período apurado. Para o profissional DevOps, isso significa que security by design, ou segurança desde a concepção, exigida no Art. 46, § 2º da LGPD, deixa de ser princípio e entra na esteira de entrega contínua como verificação executada a cada build.

Ler esses marcos e concluir que falta política costuma ser o diagnóstico errado. Na maioria dos ambientes a política existe, e o que falta é a origem do dado que comprova cada controle. Mapear essa origem antes de redigir qualquer coisa nova é o que evita a política número dezessete sobre o mesmo assunto.

Como implementar um programa de compliance, na ordem certa

São nove passos, nesta ordem. Apoio formal da alta direção e comitê de compliance, diagnóstico de riscos e de maturidade, desenho normativo com código de ética e política de compliance, e estrutura independente para a instância responsável. Depois vêm controles e due diligence de terceiros, canal de denúncias, treinamento por perfil profissional, monitoramento contínuo com indicadores de compliance e revisão periódica do programa.

Cada passo tem um sinal objetivo de conclusão. O primeiro termina quando existe ata, e o segundo quando existe matriz de riscos com dono por risco. O erro de ordem mais caro é escrever a política antes de mapear o risco, porque programa desenhado antes do diagnóstico atende ao risco de outra empresa.

O prazo legal de referência são os seis meses do Art. 25, § 4º, que medem implantação e não maturidade. Para o gerente de infraestrutura, o passo do monitoramento contínuo é o que traz orçamento junto, porque retenção de evidência pelo período apurado tem custo previsível e precisa entrar no plano antes da auditoria, e não depois dela.

Como provar que o programa funciona: de política a evidência

A auditoria não pergunta se a política existe. Ela pede a prova de que o controle rodou, no período, com integridade. Evidência produzida na véspera prova que a empresa sabe emitir relatório, e é isso que separa programa efetivo de compliance de fachada.

Três tipos de evidência sustentam um programa de compliance, e eles não são intercambiáveis. A evidência documental reúne política versionada, ata do comitê e lista de presença em treinamento, e prova a intenção, não a execução. A evidência processual reúne registro de due diligence, ficha de denúncia e medida disciplinar, prova o caso concreto e depende de alguém ter registrado.

A evidência sistêmica é a terceira e a mais difícil de improvisar. Ela reúne registro de acesso, log de transação, trilha de auditoria e telemetria, e prova a execução sem depender de quem lembra de anotar. Cinco parâmetros do Art. 57 só fecham com ela.

O regulador financeiro já escreveu isso por extenso

A Resolução CMN nº 5.274/2025, que alterou a Resolução CMN nº 4.893/2021, exige que a rastreabilidade abranja transações e operações. O § 7º do art. 3º lista o mínimo: trilhas de auditoria do processamento fim a fim, logs que permitam identificar falhas ou comportamentos atípicos, retenção definida por tipo de processamento e guarda segura dessas trilhas. O prazo de adequação é 1º de março de 2026.

O texto do regulador descreve, quase palavra por palavra, o que uma plataforma de observabilidade produz como subproduto da operação. Para o diretor de compliance de uma instituição financeira, a evidência técnica deixou de ser boa prática e virou obrigação com data.

Onde a observabilidade entra, e onde não entra

Observabilidade não é um pilar do programa de compliance. Ela não substitui política, cultura, canal de denúncia nem tom de liderança. O papel dela é sustentar a prova sistêmica dos parâmetros de controle, de monitoramento contínuo e de remediação.

É assim que a observabilidade full-stack, que reúne aplicações, infraestrutura, cloud e experiência digital no mesmo contexto correlacionado, entra no programa: como instrumento, e não como pilar. As métricas são o painel do carro, os logs são o diário de bordo e o trace é o GPS de uma viagem, mostrando cada parada do trajeto. Instrumentação são as câmeras instaladas na fábrica.

Correlação é o que transforma registro em prova

Registro solto responde que aconteceu algo. Prova responde que esta requisição, deste usuário, passou por estes seis serviços, e que o controle executou no quarto deles. O que amarra os dois é a propagação de contexto, o carimbo no passaporte, sem a qual cada sistema guarda um pedaço da história que ninguém consegue costurar depois.

Do alerta à causa: por que um dashboard não fecha o inciso XII

O inciso XII cobra remediação tempestiva, e isso exige causa raiz, não apenas sintoma. IA causal opera como o médico que diagnostica, enquanto o dashboard é apenas o termômetro. Na plataforma Dynatrace, essa análise cabe ao Davis, apoiado no mapa de dependências do Smartscape.

Para o dono do programa, esse mapa permite datar o início do evento, e não o momento em que alguém percebeu. Para o Site Reliability Engineer, ou SRE, a mesma diferença aparece no tempo médio de resolução, porque a triagem deixa de consumir a abertura do incidente.

O programa de compliance em ambientes complexos: quatro cenários

Órgão público com parque heterogêneo. Sistemas de gerações diferentes convivem, cada um com o próprio padrão de registro, e um portal de tributos fora do ar no vencimento da guia vira pedido formal de explicação. A transparência não admite a resposta de que aquele sistema não gera log. O caminho é uma camada de coleta que atravesse o parque, e o OpenTelemetry, padrão aberto e vendor-neutral da CNCF para gerar telemetria, é o padrão USB-C da telemetria. O modelo híbrido usa OneAgent onde há suporte nativo e OpenTelemetry onde esse suporte não alcança, o que cobre carga sem servidor, linguagens sem suporte nativo e componentes customizados, além dos sistemas legados.

Instituição financeira com prazo regulatório. Data marcada, escopo escrito e penalidade conhecida mudam a natureza da pergunta operacional, que deixa de ser quais dados coletar e passa a ser por quanto tempo e com que velocidade de consulta. Registro guardado e inalcançável é registro ausente. É aqui que Grail e o Dynatrace Query Language, ou DQL, deixam de ser conforto técnico: o primeiro retém logs, métricas, traces e eventos em volume massivo e por longos períodos, com consulta rápida sobre todo o histórico, e o segundo é a linguagem que faz as perguntas exploratórias sobre esse histórico.

Cooperativa multi-praça. Dezenas de agências e a necessidade de comparar praças em reunião de governança criam um obstáculo que raramente é falta de dado, e sim falta de padronização de atributo. Usar service.name em vez de app.name parece detalhe até o dia em que três equipes nomeiam de três jeitos e o painel regional não agrupa. As semantic conventions do OpenTelemetry definem service.name como o único atributo obrigatório de um recurso, em minúsculas e com namespace separado por ponto, e tratar essa convenção como decisão de arquitetura evita retrabalho e controla o custo de ingestão.

Empresa privada de grande porte. O programa convive com produto digital em concorrência aberta, onde cada implantação é uma oportunidade de degradar experiência e de criar exposição em dados pessoais. A evidência que sustenta o inciso VII precisa nascer da própria esteira de entrega, com verificação executada em cada versão publicada, e não de auditoria posterior. Compliance deixa de ser freio e vira condição para publicar rápido com risco conhecido.

O levantamento que vem antes da próxima política

O próximo passo não é escrever mais um documento. É montar um inventário de evidência, parâmetro a parâmetro, com quatro colunas.

O resultado é previsível. Governança, normativo e cultura saem bem, porque a evidência deles é documental. Os incisos VI, VII, VIII, XII e XV saem com a coluna de origem vazia, ou com o nome de um sistema que ninguém sabe se retém o período apurado.

Essa lacuna define a agenda técnica dos meses seguintes: quais serviços instrumentar primeiro, quais atributos padronizar e quanto tempo de retenção contratar. Programa maduro é aquele em que a evidência nasce do sistema, e não de um chamado aberto para a infraestrutura.

Perguntas frequentes sobre programa de compliance

Quantos pilares tem um programa de compliance?

A lista com valor jurídico tem quinze parâmetros, no Art. 57 do Decreto nº 11.129/2022. Os agrupamentos de mercado em oito, nove ou dez pilares são didáticos e não vinculam a autoridade. Em contratações públicas federais, a Portaria Normativa SE/CGU nº 226/2025 trabalha com dezessete parâmetros.

Quem é o responsável pelo programa de compliance na empresa?

O Art. 57 exige instância interna responsável, com independência, estrutura e autoridade, e não um cargo com nome específico. Em organização menor, a independência costuma ser assegurada por comitê e por linha de reporte direta à alta direção, sem criação de cargo dedicado.

A certificação ISO 37301 comprova que o programa funciona?

Não. A ISO 37301, que sucedeu a ISO 19600, atesta o desenho do sistema de gestão de compliance no momento da auditoria de certificação. Efetividade se demonstra com evidência da operação ao longo do período apurado, que é justamente o que o inciso XV cobra.

Quanto tempo leva para implantar um programa de compliance?

O prazo legal de referência são os seis meses do Art. 25, § 4º da Lei nº 14.133/2021, contados do contrato de grande vulto. Esse prazo mede implantação, e não maturidade. A evidência sistêmica só existe depois de um período de operação, porque série histórica não se produz retroativamente.

Um programa de compliance reduz a multa da Lei Anticorrupção?

Pode reduzir, pelo Art. 7º, inciso VIII da Lei nº 12.846/2013, que manda considerar a existência de mecanismos e procedimentos internos de integridade aplicados de forma efetiva. A palavra efetiva é o filtro: programa formalmente completo e sem evidência de operação não atenua.

Montar o inventário de evidência exige ler a norma e ler o ambiente ao mesmo tempo, competências que raramente moram na mesma equipe. A Rike IS conduz esse diagnóstico e a implantação que vem depois dele, com consultoria, implantação, treinamento e governança contínua em observabilidade sobre a plataforma Dynatrace, junto a órgãos públicos, instituições financeiras, cooperativas e empresas privadas de grande porte. O trabalho começa pela coluna que costuma estar vazia: a origem do dado que comprova cada controle.

Este conteúdo tem finalidade informativa e não constitui parecer jurídico. A adequação legal do programa de compliance é responsabilidade da organização contratante, que deve avaliar sua situação com assessoria jurídica própria.