
As organizações que almejam ser bem-sucedidas a longo prazo precisam estabelecer e manter uma cultura de compliance, considerando as necessidades e expectativas das partes interessadas. O compliance não é, portanto, apenas a base, mas também uma oportunidade para uma organização bem-sucedida e sustentável. A figura abaixo dá uma visão geral dos elementos comuns de um sistema de gestão de compliance.

O compliance é um processo contínuo e o resultado de uma organização que cumpre suas obrigações. Ele se torna sustentável ao ser incorporado na cultura da organização, e no comportamento e na atitude das pessoas que trabalham para ela. Enquanto mantém sua independência, é preferível que a gestão de compliance seja integrada com os outros processos de gestão da organização e os seus requisitos e procedimentos operacionais.
Um sistema de gestão de compliance eficaz em toda a organização permite que uma organização demonstre seu comprometimento em cumprir leis pertinentes, requisitos regulamentares, códigos setoriais da indústria e normas organizacionais, assim como normas de boa governança, melhores práticas geralmente aceitas, ética e expectativas da comunidade. A abordagem de compliance de uma organização é moldada pela liderança, por meio da aplicação de valores centrais e padrões geralmente aceitos de boa governança, de ética e da comunidade.
Incorporar o compliance no comportamento das pessoas que trabalham para uma organização depende acima de tudo da liderança em todos os níveis e dos valores claros de uma organização, assim como do reconhecimento e implementação de medidas para promover o comportamento de compliance. Se este não for o caso em todos os níveis de uma organização, há um risco de não compliance.
Em um número de jurisdições, os tribunais têm considerado o comprometimento da organização com o compliance por meio do seu sistema de gestão de compliance ao determinar a penalidade adequada a ser imposta por violação de leis pertinentes. Portanto, os órgãos regulatórios e judiciais podem também se beneficiar deste documento como uma referência.
As organizações estão cada vez mais convencidas de que, ao aplicar valores vinculativos e uma gestão de compliance apropriada, elas podem salvaguardar a sua integridade e evitar ou minimizar o não compliance das obrigações de compliance da organização. A integridade e o compliance eficaz são, portanto, elementos chave de uma gestão boa e diligente. O compliance também contribui para o comportamento socialmente responsável das organizações.
A NBR ISO 37301 de 06/2021 – Sistemas de gestão de compliance – Requisitos com orientações para uso especifica os requisitos e fornece diretrizes para estabelecer, desenvolver, implementar, avaliar, manter, e melhorar um sistema de gestão de compliance eficaz dentro de uma organização. Um dos objetivos desse documento é auxiliar as organizações a desenvolverem e disseminarem uma cultura positiva de compliance, considerando que convém que uma gestão de riscos relacionados ao compliance, sólida e eficaz, seja considerada como uma oportunidade a ser perseguida e aproveitada, devido aos diversos benefícios que ela provê para a organização.
As vantagens desse processo incluem melhorar as oportunidades de negócio e sua sustentabilidade; proteger e melhorar a credibilidade e a reputação da organização; considerar as expectativas das partes interessadas; demonstrar o comprometimento de uma organização para gerenciar eficaz e eficientemente seus riscos de compliance; aumentar a confiança de terceiras partes na capacidade da organização de alcançar sucesso sustentado; e minimizar o risco da ocorrência de uma violação aos custos associados e dano reputacional. A ideia é ter as orientações necessárias para possuir as abordagens e os tipos de ações que uma organização pode tomar ao implementar seu sistema de gestão de compliance.
Esses processos descritos não pretendem serem abrangentes ou prescritivos, nem uma organização é obrigada a implementar todas as sugestões desta orientação, para ter um sistema de gestão de compliance que atenda aos requisitos deste documento. As medidas tomadas pela organização devem ser razoáveis em relação à natureza e à extensão dos riscos de compliance que ela enfrenta, para cumprir com as suas obrigações de compliance.
Uma organização pode escolher implementar este sistema de gestão de compliance como um sistema separado, entretanto, idealmente ele deveria ser implementado em conjunto com outros sistemas de gestão, tais como risco, antissuborno, qualidade, meio ambiente, segurança da informação e responsabilidade social, apenas para dar alguns poucos exemplos. Nesses casos, a organização pode se referir às NBR ISO 31000, NBR ISO 37001, NBR ISO 9001, NBR ISO 14001, NBR ISO/IEC 27001, assim como à NBR ISO 26000.
O interessante é que empresas de qualquer porte, complexidade ou setores podem aplicar esse documento para criar um sistema de gestão de compliance, seguindo os seus requisitos. Isso dará as organizações um entendimento do seu contexto, das operações do seu negócio, das obrigações resultantes e dos riscos de compliance e auxiliará na implementação de passos razoáveis para cumprir com as suas obrigações. Cada um dos requisitos nesse documento deve ser seguido.
Na prática, é sempre mais fácil implementar um sistema de gestão de compliance alinhado com esse documento nas pequenas organizações, porque elas são menos complexas. As pequenas e médias organizações irão melhorar as suas práticas organizacionais, usando os princípios dos requisitos desse documento.
Para começar, deve-se estabelecer um entendimento das necessidades e expectativas das pessoas ou organizações que possam afetar, ser afetadas ou se perceberem afetadas pelo sistema de gestão de compliance. Algumas são mandatórias porque precisam ser incorporadas como requisitos formais, como leis, regulamentos, permissões e licenças, e ações governamentais ou judiciais. Podem existir outros requisitos formais, não apresentados, que sejam aplicados.
Outras necessidades e expectativas de uma parte interessada podem se tornar uma obrigação quando elas são especificadas, e a organização decide que irá adotá-las, voluntariamente, por meio de um acordo ou contrato. Uma vez que a organização tenha decidido sobre elas, elas se tornam obrigações de compliance.
Dessa forma, a gestão de compliance é uma estrutura que integra procedimentos, processos, políticas e estruturas essenciais para alcançar os resultados de compliance pretendidos, e agir para prevenir, detectar e responder a um não compliance. Tipicamente, a estrutura de um sistema de gestão de compliance é uma questão estrutural: a infraestrutura necessária sobre a qual se constrói esse sistema.
Em seguida, ela precisa se tornar operacional por meio de toda a implementação de políticas, processos e procedimentos. Em seguida, isso necessita ser mantido e melhorado continuamente. Existem muitos elementos para um sistema de gestão de compliance.
Alguns elementos do sistema de gestão serão projetados para apoiar os comportamentos desejados, enquanto outros serão projetados para prevenir comportamentos indesejáveis. Alguns elementos são apenas para monitorar o desempenho do compliance da organização ou prover alertas caso o não compliance aconteça.
O sistema de gestão de compliance reconhecerá quais erros podem ocorrer e terá processos para assegurar que haja reações apropriadas. Uma reação apropriada incluirá processos de remediação, sistemas e partes impactadas.
A avaliação de riscos de compliance constitui a base para a implementação do sistema de gestão de compliance e a locação de recursos e processos adequados e apropriados para gerenciar os riscos de compliance identificados. Os riscos de compliance podem ser caracterizados pela probabilidade de ocorrência e as consequências do não compliance com a política e as obrigações de compliance da organização.
Os riscos de compliance incluem os riscos de compliance inerentes e os riscos de compliance residuais. Os inerentes se referem a todos os riscos de compliance enfrentados por uma organização em uma situação descontrolada sem qualquer medida correspondente de tratamento dos riscos de compliance. Os residuais são os riscos de compliance não controlados efetivamente pelas medidas existentes de tratamento de risco de compliance de uma organização.
Muitas organizações possuem uma pessoa dedicada (por exemplo, compliance officer) responsável pela gestão do compliance no dia a dia e algumas têm um comitê de compliance interfuncional, para coordenar o compliance em toda a organização. A função de compliance trabalha em conjunto com a gestão. Nem todas as organizações criarão uma função de compliance discreta e algumas atribuirão esta função a uma posição já existente ou irão terceirizar essa função.
Ao terceirizar, a organização deve considerar não atribuir toda a função de compliance para terceiras partes. Mesmo se ela terceirizar parte desta função, deve-se considerar manter a autoridade sobre ela e que supervisione essas funções. É fundamental possuir um programa de treinamento, que pode assegurar que as pessoas sejam competentes para cumprir os seus papéis de forma consistente com a cultura de compliance da organização e com o seu comprometimento com o compliance.
Um treinamento adequadamente projetado e executado pode prover uma maneira eficaz para o pessoal comunicar riscos de compliance previamente não identificados. A educação e o treinamento devem ser, quando apropriados, com base em uma avaliação de lacunas de conhecimento e competência dos funcionários; suficientemente flexíveis para responder a uma série de técnicas para acomodar as diferentes necessidades das organizações e do pessoal; projetados, desenvolvidos e disponibilizados por pessoal qualificado e experiente; disponibilizados no idioma local, quando aplicável; avaliados e estimados quanto a sua eficácia, em bases regulares.
O treinamento interativo pode ser a melhor forma de treinamento se o não compliance puder resultar em sérias consequências. Um mecanismo que funciona no compliance é uma investigação completa e em tempo hábil de quaisquer alegações ou suspeitas de má conduta pela organização, de seu pessoal ou de terceiras partes pertinentes.
Isso inclui a documentação de resposta da organização, incluindo qualquer medida disciplinar ou de remediação tomada, e de revisões do sistema de gestão de compliance considerando as lições aprendidas. Um mecanismo de investigação eficaz identifica as causas-raiz da má conduta, das falhas de responsabilização e das vulnerabilidades do sistema de gestão de compliance. Uma análise cuidadosa da causa-raiz contempla a extensão e a abrangência do não compliance, o número e o nível do pessoal envolvido, a duração e a frequência do não compliance.
Enfim, a eficácia de um sistema de gestão de compliance é caracterizada pelo fato de que ele tem a capacidade de melhorar continuamente e evoluir. Os ambientes interno e externo da organização e os negócios mudam ao longo do tempo, assim como a natureza de seus clientes e as obrigações de compliance aplicáveis. A falha em prevenir ou detectar um não compliance pontual não significa necessariamente que o sistema de gestão de compliance não seja geralmente eficaz na prevenção e detecção de um não compliance.
As informações sobre análise de uma não conformidade ou um não compliance podem ser usadas para considerar: a avaliação do desempenho dos produtos e serviços; a melhoria ou a reprojeção dos produtos e serviços; as mudanças nas práticas e procedimentos organizacionais; o retreinamento das pessoas; a reavaliação da necessidade de informar as partes interessadas; o provimento de aviso prévio sobre um potencial não compliance; a reprojeção ou a análise crítica dos controles; o reforço das etapas de notificação e de escalonamento (interno e externo); a comunicação de fatos relacionados ao não compliance e a posição de organização em relação ao não compliance.
Filed under: administração, competitividade, comportamento humano, corrrupção, estratégia, gerenciamento de empreendimentos, Gestão de contratos, gestão de riscos, normalização | Leave a comment »