Programa de compliance na grande empresa

Os pilares de um programa de compliance e o que impacta o back-office

Um programa de compliance eficaz tem oito pilares reconhecidos. O gestor administrativo não precisa entender todos em profundidade — mas precisa saber quais impactam diretamente a sua área e o que se espera dele em cada um.

O papel concreto do gestor administrativo dentro do programa

O gestor administrativo não é o compliance officer — não cria, não audita e não governa o programa. É o guardião da conformidade na sua área e o colaborador que mantém o programa funcionando na prática. Cinco responsabilidades concretas definem esse papel:

1. Alimentar o inventário de dados e mantê-lo atualizado: cada novo sistema, novo processo de coleta ou novo fornecedor com acesso a dados pessoais precisa ser registrado no inventário da área administrativa. O gestor é o responsável por garantir que essa atualização acontece — sem esperar pela próxima auditoria.
2. Garantir que contratos com fornecedores passem pela revisão de privacidade e anticorrupção: antes de qualquer assinatura sob sua responsabilidade, o gestor verifica se o contrato passou pelo processo de revisão definido pelo programa — cláusula de proteção de dados, due diligence de fornecedor, verificação de histórico de irregularidades.
3. Reportar ao canal correto quando identifica risco ou irregularidade: seja via canal de denúncias, seja diretamente ao compliance officer ou ao DPO, conforme o tipo de situação e o processo interno definido. Não cabe ao gestor investigar — cabe reportar e cooperar.
4. Assegurar que a equipe completou os treinamentos obrigatórios: verificar nos relatórios do sistema de treinamento (ou junto ao RH e ao compliance) se todos os colaboradores da sua área completaram os módulos obrigatórios. Treinamento não realizado é evidência de falha no programa — e pode ser argumento de defesa do colaborador em caso de irregularidade.
5. Ser o ponto de contato do DPO e do compliance para os processos do back-office: demandas do DPO (atualização do inventário, revisão de contrato, resposta a solicitação de titular) e do compliance (informações para auditoria, evidências de controles) chegam ao gestor, que as encaminha ou resolve dentro do prazo definido.

DPIA: quando o gestor precisa acionar

A Avaliação de Impacto à Proteção de Dados (DPIA — Data Protection Impact Assessment) é um processo formal conduzido pelo DPO para avaliar os riscos de privacidade de um novo tratamento de dados. O gestor não conduz a DPIA — mas precisa saber quando acionar o DPO para que ela seja feita.

O gestor deve acionar o DPO antes de implementar qualquer processo ou sistema que envolva:

• Dados sensíveis em larga escala (dados de saúde de funcionários, dados biométricos, dados financeiros de clientes em volume alto).
• Novo tipo de tratamento que não estava previsto no inventário de dados (nova finalidade de uso de dados já coletados, por exemplo).
• Sistemas que cruzam dados de fontes diferentes para gerar perfis ou análises de comportamento.
• Fornecedores que processarão dados pessoais em infraestrutura fora do Brasil.

O acionamento precoce — antes da contratação ou da implementação — é o que permite que a DPIA gere valor: identificar riscos a tempo de ajustar o design do processo, não depois que ele já está operando.

Canal de denúncias: o papel do gestor no incentivo e na resposta

O canal de denúncias (whistleblowing) só funciona se os colaboradores confiam que podem usá-lo sem consequências negativas. O gestor administrativo tem papel central nessa confiança — não o sistema, não a política.

Três comportamentos do gestor constroem ou destroem a credibilidade do canal:

1. Nunca retaliar quem reporta: qualquer demonstração de desconforto, exclusão ou punição velada ao colaborador que usou o canal destrói o programa. O compliance officer investiga — o gestor coopera, não reage.
2. Dar encaminhamento a toda situação reportada diretamente a ele: quando um colaborador reporta uma situação informalmente (sem usar o canal), o gestor tem a obrigação de encaminhar ao compliance ou DPO, conforme o tipo de situação. Ignorar é conivência.
3. Comunicar que o canal existe e como usá-lo: em reuniões de equipe e no onboarding de novos colaboradores, o gestor menciona o canal como recurso disponível. Não precisa de discurso — basta incluir no onboarding e reforçar quando relevante.

Como se preparar para uma auditoria interna

A auditoria interna verifica se os processos da área estão em conformidade com as políticas do programa. O gestor que mantém os registros em ordem ao longo do ano não precisa de preparação emergencial — a auditoria é uma verificação, não uma surpresa.

O que o gestor deve ter disponível para uma auditoria da área administrativa:

• Inventário de dados pessoais da área atualizado.
• Contratos com fornecedores que acessam dados, com cláusulas de proteção presentes.
• Evidência de que treinamentos obrigatórios foram completados pela equipe (relatório do sistema ou lista assinada).
• Registros de aprovações de pagamentos e contratos acima dos limites definidos.
• Log de controle de acesso a sistemas com dados pessoais (fornecido por TI, mas o gestor deve saber que existe e como acessar).