A história do compliance em seis datas

Quando apresento a linha do tempo do compliance em sala de aula, ela costuma chegar como uma lista de siglas: FCPA, SOX, UK Bribery Act, 12.846, 11.129. Mas cada uma dessas datas tem um contexto próprio, e nenhuma delas surgiu no abstrato — todas responderam a alguma coisa que já havia acontecido. Lidas nessa ordem, formam uma sequência bastante coerente, e entender essa sequência ajuda mais do que memorizar os números.

1977 — o FCPA e o controle interno como obrigação legal

Na esteira de Watergate, os investigadores encontraram algo que não procuravam: os fundos secretos usados para financiar campanhas também estavam pagando autoridades no exterior. A SEC abriu um programa de autodenúncia e mais de 400 empresas americanas admitiram pagamentos questionáveis ou ilegais a funcionários estrangeiros, na casa das centenas de milhões de dólares, lançados de maneira que não aparecessem na contabilidade.

A resposta foi o Foreign Corrupt Practices Act, sancionado em 19 de dezembro de 1977. Vale reparar num detalhe pouco lembrado: a lei tem duas partes. Uma proíbe o suborno. A outra exige que a empresa mantenha livros que reflitam a realidade das transações e um sistema de controles contábeis internos. Além de não subornar, portanto, era preciso ter uma contabilidade capaz de sustentar isso. É a partir daí que o controle interno passa a ser tratado como obrigação legal, e não apenas como boa prática do setor contábil.

2002 — a SOX e a responsabilidade de quem assina

Vinte e cinco anos depois vieram a Enron e, na sequência, a WorldCom. As demonstrações financeiras estavam auditadas e publicadas dentro do rito, e ainda assim não correspondiam à realidade da empresa. O problema não era ausência de norma contábil, mas a distância entre quem produzia o número e quem respondia por ele.

A Sarbanes-Oxley Act, promulgada em 30 de julho de 2002, endereçou isso de forma bastante direta: passou a exigir que o presidente e o diretor financeiro certifiquem pessoalmente os relatórios da companhia, e obrigou a empresa a avaliar e reportar a eficácia dos seus controles internos. É nesse ponto que o que hoje chamamos de tone at the top ganha uma expressão concreta: não como orientação de treinamento, mas como assinatura em um documento.

2010 — o UK Bribery Act e o dever de prevenir

O Reino Unido legislou sobre o tema mais tarde e, ao fazê-lo, deslocou um pouco o eixo da discussão. O UK Bribery Act, aprovado em 2010 e em vigor desde 1º de julho de 2011, trouxe na seção 7 uma figura que acabaria virando referência internacional: a responsabilidade da organização por falhar em prevenir o suborno. A empresa responde não por ter subornado, mas por não ter impedido que alguém associado a ela subornasse em seu benefício.

Junto com essa figura veio uma consequência prática relevante. A lei prevê uma defesa completa para quem demonstrar que tinha “adequate procedures” — procedimentos adequados para prevenir aquela conduta. O programa de integridade deixa de ser apenas boa prática e passa a ter efeito jurídico. O guia oficial do Ministério da Justiça britânico ainda registrou uma observação que vale para qualquer sala de conselho: organizações pequenas dificilmente precisarão de procedimentos tão extensos quanto os de uma grande multinacional. A proporcionalidade, portanto, já estava no texto desde o início.

2013 — a Lei Anticorrupção 12.846 e o programa na dosimetria da sanção

O Brasil havia assinado a Convenção da OCDE contra o suborno transnacional em 1997 e a promulgado internamente em 2000, pelo Decreto 3.678. Faltava a lei interna que desse efetividade a esse compromisso.

Ela veio em 1º de agosto de 2013: a Lei 12.846, a Lei Anticorrupção. Duas opções do legislador merecem atenção. A primeira é a responsabilização objetiva: para punir a empresa não é necessário provar que ela quis ou soube — basta o ato lesivo praticado em seu interesse ou benefício. A segunda está no artigo 7º, inciso VIII, que manda considerar, na dosimetria da sanção, a existência de mecanismos internos de integridade, auditoria, incentivo à denúncia e códigos de ética efetivamente aplicados. É quando o programa de integridade passa a ter, também no Brasil, um efeito econômico mensurável. A lei entraria em vigor 180 dias depois, no fim de janeiro de 2014.

2014 — a Lava Jato e a entrada do tema na pauta do conselho

Em 17 de março de 2014 foi deflagrada a primeira fase da Operação Lava Jato. Não é um marco normativo, e talvez por isso seja fácil subestimá-lo — mas é provavelmente o mais influente da lista.

Até ali, compliance no Brasil circulava sobretudo entre multinacionais e escritórios de advocacia. Depois, passou a aparecer em pauta de reunião de conselho, em cláusula de contrato, em questionário de banco e em exigência de cliente grande sobre fornecedor pequeno. A lei existia desde 2013; foi em 2014 que ela se tornou visível para o mercado.

2022 — o Decreto 11.129 e os parâmetros de avaliação

Restava detalhar o que caracteriza um programa de integridade efetivo. O Decreto 11.129, de 11 de julho de 2022, cumpriu esse papel e revogou o Decreto 8.420/2015, que o antecedia.

O decreto define o programa e lista os parâmetros pelos quais ele será avaliado: comprometimento da alta direção, código de conduta, treinamentos periódicos, gestão de riscos, registros contábeis fiéis, controles internos, canal de denúncias com proteção ao denunciante, medidas disciplinares e monitoramento contínuo. Para quem não é multinacional, porém, o dispositivo mais relevante é o parágrafo 1º do artigo 57: a avaliação deve considerar o porte, o número de empregados, o faturamento, a estrutura de governança e o setor de atuação da empresa. O artigo 67 ainda prevê avaliação simplificada para microempresas e empresas de pequeno porte.

O que essa sequência sugere

Lidas em conjunto, as seis datas apontam três coisas.

A primeira é que o compliance se desenvolveu de forma reativa. Nenhuma dessas normas antecipou um episódio; todas vieram depois de um, e cada uma tratou daquilo que havia acabado de se mostrar frágil.

A segunda é que a direção se manteve constante. O eixo foi de “não faça” (1977) para “assine que é verdade” (2002) e daí para “demonstre que procurou impedir” (2010 em diante). Década a década, a exigência foi migrando do ato isolado para a estrutura que o cerca.

A terceira, e talvez a menos percebida, é que a proporcionalidade está no texto das normas desde cedo — no Reino Unido em 2011 e no Brasil na regulamentação da Lei Anticorrupção. O que se pede não é um manual extenso, mas evidência de que a empresa tratou o risco na medida do risco que efetivamente corre.

São quase cinquenta anos de construção, sempre no mesmo sentido. Conhecer essa trajetória ajuda menos a decorar siglas e mais a entender o que, afinal, está sendo pedido às empresas hoje.

Referências