O que fazer depois de descobrir uma violação de compliance

Quando você descobre uma violação de compliance dentro da sua empresa, os primeiros dias definem o tom de tudo o que vem depois. Interrompa a conduta, preserve os registros, envolva um advogado antes que alguém escreva um longo e-mail sobre o que aconteceu e só então decida se a empresa precisa comunicar o fato ou se deve optar por fazê-lo. Os erros mais prejudiciais nessa janela costumam ser bem-intencionados: um gestor confronta o funcionário e, sem querer, apaga a trilha de provas, ou alguém envia uma explicação franca a um órgão regulador antes que se conheçam todos os fatos.

Nossos advogados de gestão de riscos e conformidade legal conduzem essa sequência para empresas que precisam agir rápido sem agravar o problema. Esta é a ordem que seguimos.

Passo 1: interrompa a conduta e contenha o dano

Se o problema continua acontecendo, encerre-o. Isso pode significar suspender uma prática de cobrança, retirar do seu site uma alegação sobre um produto, congelar um pagamento a um terceiro ou cortar o acesso de um prestador de serviços aos seus sistemas. A contenção não exige decidir quem é o culpado. Exige agir rápido, porque continuar a conduta depois de tomar conhecimento dela muda a forma como órgãos reguladores e tribunais a enxergam: um erro vira uma violação consciente.

Se a questão envolver um vazamento de dados, a contenção inclui medidas técnicas da sua equipe de TI ou de uma empresa externa de perícia forense, e os prazos de notificação talvez já estejam correndo. Todos os estados têm uma lei de notificação de vazamentos de dados, e os prazos e os destinatários variam.

Passo 2: preserve documentos e dados

A partir do momento em que uma empresa pode razoavelmente prever um litígio ou uma investigação governamental, ela tem o dever de preservar as provas relevantes. Suspenda a exclusão automática nas contas de e-mail, nos canais de chat e nas pastas compartilhadas relevantes e envie um aviso escrito de preservação às pessoas envolvidas. Não deixe ninguém fazer uma limpeza nos arquivos, mesmo com boas intenções. A destruição de provas pode levar a sanções judiciais e transformar um problema administrável em uma questão de obstrução. Nosso guia sobre quando uma empresa deve emitir um litigation hold explica a mecânica.

Passo 3: investigue sob a direção do advogado

Antes de decidir qualquer outra coisa, descubra o que aconteceu, por quanto tempo, quem sabia e quanto dano causou. Peça que o advogado dirija a investigação, para que entrevistas, análises e conclusões tenham a melhor chance de permanecer protegidas pelo sigilo. Os fatos em si nunca são sigilosos, mas a análise que o advogado faz deles pode ser. Explicamos como estruturar isso em nosso artigo sobre o sigilo advogado-cliente em investigações internas.

Mantenha a investigação proporcional. Um erro isolado em uma única fatura não exige o mesmo processo que um padrão de certificações falsas a um cliente governamental.

Passo 4: você é obrigado a comunicar a violação de compliance?

São duas perguntas diferentes.

Comunicação obrigatória

Algumas obrigações exigem a divulgação dentro de um prazo. Exemplos incluem avisos de vazamento de dados às pessoas afetadas e, às vezes, aos procuradores-gerais estaduais (state attorneys general), o dever do contratado federal de divulgar provas críveis de certas fraudes e de violações relacionadas a declarações falsas (false claims) e condições de comunicação previstas em licenças e alvarás de setores regulados. Contratos também podem exigir que você notifique clientes ou credores sobre uma violação da lei. O advogado deve mapear todas as obrigações aplicáveis, porque deixar de fazer uma comunicação obrigatória muitas vezes é pior do que o problema original.

Autodenúncia voluntária

Muitos órgãos dão crédito a quem se apresenta espontaneamente. A política de fiscalização corporativa do Department of Justice recompensa a autodenúncia voluntária (voluntary self-disclosure), a cooperação e a correção. O OFAC trata a autodenúncia voluntária de violações de sanções como um atenuante significativo, e as autoridades de controle de exportações e as autoridades fiscais têm seus próprios caminhos de divulgação. A autodenúncia é uma escolha estratégica: pode reduzir as penalidades, mas garante que o órgão tome conhecimento da questão e pode atrair uma revisão mais ampla. Tome essa decisão com todos os fatos em mãos e com a orientação do advogado, e não na primeira semana.

Passo 5: corrija a causa, não apenas o incidente

Órgãos reguladores e tribunais se importam com o que você mudou. A correção normalmente inclui:

• Ressarcir ou creditar quem foi prejudicado, como clientes cobrados a mais ou funcionários que receberam a menos.
• Aplicar medidas disciplinares aos responsáveis, de forma coerente com a prática anterior.
• Mudar o processo que permitiu o problema: uma etapa de aprovação, um controle de sistema, uma política revisada ou treinamento para a equipe envolvida.
• Documentar o que foi feito e quando, para que você possa comprovar isso mais tarde.

Tenha cuidado se a pessoa que levantou a questão for um funcionário. Leis federais e estaduais protegem muitos tipos de denunciantes (whistleblowers) contra retaliação, e uma ação por retaliação pode durar mais do que a própria violação original.

Passo 6: leve as lições de volta ao seu programa

Uma violação é um teste do seu programa de compliance. Pergunte por que os controles existentes não a detectaram antes e se existem riscos semelhantes em outras áreas do negócio. Se a empresa não tinha um programa de verdade, este é o momento de criar um; nosso guia sobre os elementos de um programa de compliance para pequenas empresas é um ponto de partida prático.

Se o assunto tende a terminar em uma disputa com um cliente, um parceiro ou um ex-funcionário, envolva cedo um advogado de contencioso. A equipe de contencioso comercial e resolução de disputas da Capitol Law Partners trabalha ao lado da área de compliance para que o registro da investigação sustente a posição da empresa mais tarde.

Se a sua empresa acabou de encontrar um problema de compliance e precisa decidir o que vem a seguir, a Capitol Law Partners pode ajudar a contê-lo, investigá-lo e avaliar a divulgação. Agende uma consulta.

Este artigo tem caráter meramente informativo e não constitui aconselhamento jurídico. Esta comunicação não estabelece uma relação advogado-cliente.

Cagatay Ersoy. Estratégia prática para fundadores, investidores e empresas em crescimento.

Precisa de ajuda com este tema? Veja nossa página de compliance corporativo e gestão de riscos ou agende uma consulta.