Como implantar compliance é uma das perguntas mais frequentes que recebo de gestores e diretores que entenderam a importância do tema — mas não sabem por onde começar. A boa notícia é que o processo tem uma lógica clara, pode ser adaptado ao porte e à realidade de qualquer empresa e, quando bem executado, gera resultados concretos desde as primeiras etapas.

Neste guia, vou mostrar as 6 etapas essenciais para implantar um Programa de Compliance do zero — alinhado às exigências da Lei Anticorrupção, da Portaria CGU 226/2025 e das melhores práticas internacionais.

Por que e como implantar compliance agora?

Antes de entrar nas etapas, é importante entender o contexto que torna essa decisão urgente. A Portaria CGU 226/2025 tornou o Programa de Integridade critério de habilitação em licitações de maior valor. A Lei Anticorrupção prevê multas de até 20% do faturamento para empresas sem estrutura de compliance que se envolverem em atos ilícitos. E o mercado, de forma geral, passou a valorizar e exigir governança e integridade como pré-requisito para parcerias estratégicas.

Implantar compliance hoje não é apenas uma obrigação regulatória — é uma decisão estratégica que abre portas, reduz riscos e fortalece a reputação da empresa.

Não existe momento perfeito para começar. Existe o momento em que o custo de não ter compliance supera o custo de implantá-lo — e esse momento, para a maioria das empresas, já chegou.

As 6 etapas para implantar compliance do zero

ETAPA 1  —  DIAGNÓSTICO DE MATURIDADE

Entender onde a empresa está antes de definir para onde vai

Toda implantação de compliance começa com um diagnóstico honesto. Antes de criar qualquer política ou contratar qualquer solução, é preciso entender o estágio atual da empresa: quais riscos ela enfrenta, quais obrigações legais se aplicam ao seu setor, quais controles já existem e onde estão os principais gaps.

O diagnóstico avalia dimensões como:

• Perfil de risco da empresa — setor de atuação, porte, relação com o poder público, histórico de irregularidades
• Existência e qualidade de políticas internas — código de ética, política de compras, política de relacionamento com agentes públicos
• Situação cadastral — verificação no CEIS, CNEP e SICAF
• Estrutura de governança — existência de conselhos, comitês e canais de reporte
• Cultura organizacional — percepção dos colaboradores sobre ética e integridade

O resultado do diagnóstico é um mapa de prioridades que orienta todas as etapas seguintes. Sem ele, a implantação corre o risco de focar nos elementos errados e deixar os riscos mais relevantes sem tratamento.

ETAPA 2  —  ENGAJAMENTO DA ALTA DIREÇÃO

Sem apoio do topo, o programa não sai do papel

O elemento mais crítico de qualquer Programa de Compliance é o comprometimento genuíno da alta direção. A CGU, o decreto regulamentador da Lei Anticorrupção e as melhores práticas internacionais são unânimes nesse ponto: sem ‘tone from the top’, o programa não funciona na prática.

Engajamento da liderança não significa assinar um documento declarando apoio ao compliance. Significa que os líderes da organização precisam demonstrar, de forma visível e consistente, que as regras se aplicam a todos — inclusive a eles. Isso inclui:

• Participar dos treinamentos de compliance junto com as equipes
• Comunicar publicamente os valores e o compromisso com a integridade
• Tomar decisões que priorizem a conformidade mesmo quando o custo de curto prazo é maior
• Apoiar a investigação de denúncias, inclusive quando envolvem pessoas próximas

Empresas onde a liderança trata compliance como obrigação burocrática criam uma cultura de ‘faz de conta’ — com programa no papel e risco real na prática. O engajamento genuíno é o que separa um programa que funciona de um programa que existe.

ETAPA 3  —  ELABORAÇÃO DAS POLÍTICAS E DOCUMENTOS ESSENCIAIS

A base documental que sustenta o programa

Com o diagnóstico feito e a liderança engajada, é hora de estruturar a base documental do programa. Os documentos essenciais que todo Programa de Compliance precisa ter são:

Código de Ética e Conduta

É o documento central do programa. Define os valores da empresa, os comportamentos esperados de colaboradores, fornecedores e parceiros, as situações de conflito de interesse e as consequências de violações. Precisa ser redigido em linguagem clara, acessível e aplicável à realidade da empresa — não um documento genérico copiado da internet.

Política de Brindes e Hospitalidade

Define os limites para recebimento e oferta de presentes, refeições, viagens e eventos por parte de colaboradores. É uma das políticas mais importantes para empresas com relacionamento com agentes públicos, pois estabelece a linha entre hospitalidade legítima e vantagem indevida.

Política de Conflito de Interesses

Estabelece como identificar, declarar e gerir situações em que interesses pessoais de colaboradores possam interferir nas decisões da empresa. Inclui regras para contratação de familiares, participação em negócios concorrentes e recebimento de benefícios de fornecedores.

Política de Relacionamento com Agentes Públicos

Define as regras para interação com servidores públicos, autoridades e representantes do governo. É especialmente relevante para empresas que participam de licitações ou mantêm contratos com o poder público.

Política de Due Diligence de Terceiros

Estabelece o processo de avaliação de fornecedores, parceiros, representantes e intermediários antes da contratação. Inclui critérios de avaliação, documentos exigidos e procedimentos para monitoramento contínuo.

ETAPA 4  —  IMPLANTAÇÃO DO CANAL DE DENÚNCIAS

O mecanismo que mantém o programa vivo

O canal de denúncias é o coração operacional do Programa de Compliance. É por meio dele que a empresa toma conhecimento de violações, irregularidades e riscos antes que se tornem crises. Para ser efetivo, o canal precisa atender a três requisitos fundamentais:

• Independência: o canal não pode ser gerido por pessoas que possam ser objeto de denúncias — como o próprio gestor ou o departamento jurídico interno. O ideal é que seja administrado por uma empresa especializada ou por um comitê independente.
• Anonimato garantido: colaboradores precisam ter certeza de que podem denunciar sem ser identificados. Canais que não garantem anonimato real geram subnotificação — as violações continuam acontecendo, mas ninguém reporta.
• Proteção contra represálias: a política do canal precisa prever explicitamente a proibição de qualquer forma de represália contra denunciantes, com consequências claras para quem descumprir essa regra.

Além disso, o canal precisa ter um fluxo claro de investigação: quem recebe a denúncia, quem investiga, em quanto tempo, como o resultado é comunicado ao denunciante e quais são as consequências para o infrator.

Canal de denúncias que não tem fluxo de investigação é caixa postal. Recebe, mas não resolve.

ETAPA 5  —  TREINAMENTO E COMUNICAÇÃO INTERNA

Compliance que ninguém conhece não funciona

De nada adianta ter políticas bem redigidas se os colaboradores não as conhecem, não as entendem e não sabem como aplicá-las no dia a dia. O treinamento é a etapa que transforma documentos em cultura.

Um programa de treinamento efetivo para compliance precisa:

• Ser obrigatório para todos os colaboradores — sem exceção, incluindo a liderança
• Ser periódico — pelo menos uma vez por ano, com atualização sempre que houver mudanças relevantes
• Usar linguagem e exemplos adaptados à realidade da empresa e ao cargo do colaborador
• Incluir avaliação de aprendizado — não apenas presença
• Gerar registros documentados — data, participantes, conteúdo e resultado da avaliação

A comunicação interna contínua também faz parte desta etapa. O compliance precisa estar presente no dia a dia da empresa — em comunicados, campanhas internas, reuniões de equipe e na conduta visível da liderança. Um programa que aparece apenas no treinamento anual não cria cultura.

ETAPA 6  —  MONITORAMENTO, AUDITORIA E MELHORIA CONTÍNUA

O programa precisa evoluir com a empresa

A última etapa — e a que mais diferencia programas efetivos de programas decorativos — é o monitoramento contínuo. Um Programa de Compliance não é um projeto com início, meio e fim. É um sistema vivo que precisa ser revisado, testado e aprimorado regularmente.

O monitoramento envolve:

• Indicadores de desempenho do programa — número de denúncias recebidas, tempo médio de investigação, percentual de colaboradores treinados, número de políticas revisadas
• Auditorias periódicas internas ou externas — para verificar se os controles estão funcionando na prática
• Revisão anual das políticas — para incorporar mudanças regulatórias, novas jurisprudências e aprendizados internos
• Relatório de compliance para a liderança — documento que apresenta o desempenho do programa e as recomendações de melhoria

É também nesta etapa que as evidências são produzidas e arquivadas. Lembre-se: para fins legais e regulatórios, um programa que não pode ser demonstrado com evidências documentadas equivale a um programa que não existe.

Quanto tempo leva para implantar compliance?

Depende do porte da empresa, do nível de maturidade atual e da complexidade do setor. Em linhas gerais, uma implantação básica — que cobre as 6 etapas com os documentos essenciais e o canal de denúncias ativo — pode ser concluída em 60 a 90 dias para empresas de pequeno e médio porte.

Programas mais robustos, que incluem certificações como a Pró-Ética ou adequação completa à Portaria CGU 226/2025, demandam entre 3 e 6 meses de trabalho estruturado.

O mais importante é começar. Cada etapa concluída já reduz o risco e aumenta a capacidade da empresa de participar de licitações, atrair parceiros e responder a eventuais questionamentos regulatórios.

Erros mais comuns na implantação de compliance

• Começar pelos documentos sem fazer o diagnóstico — criar políticas sem conhecer os riscos reais da empresa gera um programa genérico que não resolve os problemas específicos do negócio
• Tratar o programa como projeto de TI ou RH — compliance é responsabilidade da liderança, não de uma área de suporte
• Implantar sem evidências — um programa sem registros de treinamento, atas de reunião e registros de denúncias não tem valor legal nem regulatório
• Não atualizar as políticas — legislação muda, a empresa cresce, novos riscos surgem. Um programa estático rapidamente fica defasado
• Escolher ferramentas antes de definir processos — tecnologia facilita, mas não substitui a estrutura de governança

Conclusão

Implantar compliance do zero pode parecer uma tarefa complexa, mas com a metodologia certa e o apoio adequado, o processo é estruturado, previsível e com resultados mensuráveis desde as primeiras etapas.

As 6 etapas apresentadas neste guia — diagnóstico, engajamento da liderança, elaboração de políticas, canal de denúncias, treinamento e monitoramento — formam a espinha dorsal de qualquer Programa de Compliance efetivo, independentemente do porte ou setor da empresa.

Se a sua empresa está pronta para iniciar esse processo, a D’Souza Advocacia oferece uma metodologia própria de implantação de Programas de Compliance e Integridade, alinhada às exigências da Lei Anticorrupção, da Portaria CGU 226/2025 e das melhores práticas internacionais.

📲 Fale agora com o Dr. Daniel de Souza — (61) 98379-0033 | danielssouza.com