O que um programa de compliance para pequenas empresas deve incluir?

Um programa de compliance para pequenas empresas não precisa de um departamento de compliance. Precisa de um responsável nomeado, regras escritas para os seus riscos reais, treinamentos de que as pessoas se lembrem, uma forma segura de levantar problemas e o hábito de corrigir o que for encontrado. São as mesmas peças que os promotores federais e os órgãos reguladores procuram em uma grande empresa. A diferença é a escala: uma empresa de 40 pessoas pode cobri-las com algumas políticas, um gestor responsável e um treinamento anual curto.

Por que se preocupar antes que algo dê errado? Porque um programa que funciona muda o desfecho quando algo dá errado. Ele detecta problemas mais cedo, serve como prova de boa-fé se um órgão público bater à sua porta e responde às perguntas sobre compliance que clientes, credores e investidores agora incluem em seus questionários. Nossa área de gestão de riscos e conformidade legal estrutura esses programas para empresas que já superaram as regras informais.

Os elementos que as diretrizes federais esperam

O referencial mais citado é o padrão das U.S. Sentencing Guidelines (as diretrizes federais de fixação de pena) para um programa eficaz de compliance e ética (Seção 8B2.1). Formalmente, ele se aplica quando uma organização é condenada por um crime federal, mas órgãos reguladores e grandes clientes o adotam como referência geral. Em termos simples, ele espera:

• Padrões e procedimentos escritos, desenhados para prevenir e detectar condutas ilícitas.
• Uma liderança que conheça o programa e o supervisione, com uma pessoa específica responsável por conduzi-lo no dia a dia.
• Cuidado razoável para não colocar em cargos de autoridade pessoas com histórico de condutas ilícitas.
• Treinamento e comunicação adequados à função de cada pessoa.
• Monitoramento e auditoria, além de uma forma de relatar preocupações sem medo de retaliação, inclusive de forma anônima.
• Aplicação consistente, com medidas disciplinares para as violações e reconhecimento para quem age corretamente.
• Um plano de resposta para quando uma conduta ilícita for descoberta, incluindo mudanças para evitar que se repita.

As diretrizes também exigem uma avaliação de riscos periódica, para que o programa acompanhe os riscos que você realmente tem. Quando o Department of Justice (DOJ) avalia o programa de uma empresa, faz três perguntas: ele é bem desenhado? Tem autoridade e recursos para funcionar? Funciona na prática? Uma pequena empresa pode responder sim às três sem um grande orçamento.

Como dimensionar um programa de compliance ao seu risco

Comece por uma avaliação de riscos, não por um modelo pronto. Um código de conduta escrito para uma companhia aberta falará de insider trading e de suborno de funcionários estrangeiros e ignorará o que realmente pode prejudicar você, como o cálculo de horas extras, licenças vencidas ou o tratamento de dados de clientes. Se você ainda não mapeou seus riscos, nosso artigo sobre como funciona uma avaliação de riscos jurídicos explica esse primeiro passo. Depois, ajuste cada elemento ao seu porte.

Responsável

Escolha uma pessoa com autoridade suficiente para obter respostas de todos os departamentos. Em uma empresa pequena, costuma ser o COO, o CFO ou o diretor jurídico (general counsel). Dê a essa pessoa uma linha direta com o CEO ou com o conselho, porque um responsável pelo compliance que se reporta a quem talvez precise questionar não é independente.

Políticas escritas

Mantenha-as curtas e específicas. Um conjunto típico para uma empresa em crescimento abrange código de conduta, combate ao assédio e à discriminação, práticas de salário e jornada, privacidade e segurança de dados, conflitos de interesse, brindes e despesas e retenção de documentos. Acrescente políticas setoriais quando forem aplicáveis: regras antipropina (anti-kickback) na área da saúde, controles de exportação para certas tecnologias ou integridade em contratações públicas para empresas que prestam serviços ao governo.

Treinamento

Treinamentos curtos e específicos para cada função são melhores do que um longo vídeo anual. Os gestores precisam saber como lidar com uma reclamação. A equipe de vendas precisa saber o que pode prometer por escrito. A equipe financeira precisa reconhecer fraudes de pagamento.

Canal de denúncia

Dê aos funcionários uma forma de levantar preocupações fora da sua cadeia hierárquica, como um endereço de e-mail exclusivo monitorado pelo responsável pelo compliance ou um serviço externo de linha direta (hotline). Diga claramente que a retaliação é proibida, e cumpra isso. Muitas ações por retaliação nascem da forma como um gestor reagiu a uma reclamação, e não do problema original.

Investigação e medidas disciplinares

Decida com antecedência quem apura uma denúncia, quando o advogado externo entra em cena e como os resultados são documentados. Aplique as medidas disciplinares da mesma forma, independentemente da posição hierárquica. Punições inconsistentes são uma das primeiras coisas que o advogado de quem processa a empresa ou um órgão regulador procura.

Revisão

Revise o programa pelo menos uma vez por ano e sempre que o negócio mudar. Atualize as políticas quando a lei mudar, e não apenas quando alguém se lembrar.

Onde os programas de compliance de pequenas empresas costumam falhar

O padrão é conhecido. Uma empresa adota um conjunto de políticas durante uma rodada de investimento ou na avaliação de fornecedores de um grande cliente, arquiva tudo e nunca treina ninguém. Dois anos depois, um gestor faz o contrário do que a política diz, e a política vira prova de que a empresa conhecia a resposta certa e a ignorou.

A segunda falha é o canal de denúncia que não leva a lugar nenhum. Se os funcionários relatam problemas e nada visível acontece, eles param de relatar internamente e passam a relatar a órgãos públicos ou a advogados.

A terceira é a supervisão que existe apenas no papel. Os sócios ou o conselho devem receber uma breve atualização de compliance em intervalos regulares: denúncias recebidas, investigações concluídas, treinamentos realizados, políticas alteradas. Nossa equipe de governança corporativa e políticas internas frequentemente ajuda a incorporar esse relatório aos materiais do conselho.

Qual é o papel do advogado

Você pode montar um programa internamente. O advogado agrega mais valor em três pontos: desenhar a avaliação de riscos para que as conclusões fiquem protegidas pelo sigilo sempre que possível, redigir políticas compatíveis com a lei vigente em cada estado onde você tem funcionários e conduzir investigações quando uma denúncia sugere responsabilidade jurídica real. Quando algo de fato der errado, o plano de resposta do programa deve remeter às etapas do nosso guia sobre o que fazer depois de descobrir uma violação de compliance.

Se você está montando seu primeiro programa de compliance ou reconstruindo um que nunca saiu da gaveta, nossos advogados podem ajudar a dimensioná-lo de acordo com os seus riscos reais. Agende uma consulta.

Este artigo tem caráter meramente informativo e não constitui aconselhamento jurídico. Esta comunicação não estabelece uma relação advogado-cliente.

Cagatay Ersoy. Estratégia prática para fundadores, investidores e empresas em crescimento.

Precisa de ajuda com este tema? Veja nossa página de programas de compliance e gestão de riscos jurídicos ou agende uma consulta.