Certificaciones internacionales en compliance (ISO 37001 y 37301)

Transcripción en el idioma original de la grabación.

Fragmento de la grabación de 0:00 a 23:55. Cada párrafo indica quién habla; las marcas de tiempo abren el video en ese punto.

Fábio Medina Osório0:00Vou convidar a vir à mesa o Fábio Eduardo Galvão. Fábio Eduardo Galvão, próximo conferencista, advogado, sócio do Medina Osório Advogados, ex-gerente de fiscalização da CVM, e, aliás, além de advogado, sócio do Medina Osório Advogados, o Fábio Galvão também é, ele vai fazer uma palestra rápida, engenheiro de produção, professor de matemática, ex-gerente de fiscalização da CVM, ex-superintendente de enforcement da CVM, mestre em direito dos setores econômicos regulados pela Universidade Complutense de Madrid, em administração pública, pela Fundação Getúlio Vargas, auditor líder das normas ISO 37001 e 37301, membro do quadro especial grau de extinção da Ordem do Mérito Judiciário Militar.

1:12O Fábio Galvão fará sua palestra em 20 minutos, para depois nós assistirmos à conferência de encerramento do Walter Baère, que nós estamos aguardando ansiosamente por essa conferência de encerramento do diretor jurídico do BNDES. Pois não, Fábio Galvão, obrigado. Obrigado, é uma honra tê-lo aqui conosco. Como digo, é uma das grandes referências no Brasil em matéria de compliance.

Fábio Eduardo Galvão1:45Pois não, Fábio. Eu que agradeço o convite e, mais uma vez, tentando também dar sequência para a gente remir bem o tempo, vou comentar aqui, em linhas gerais, a questão das certificações internacionais, que é uma matéria que complementa esse assunto também da integridade, e a gente vai falar principalmente das normas ISO 37001, que é a ISO do sistema de gestão antissuborno, e a ISO 37301, que veio substituir a 19.600, que algumas pessoas aqui, eu tenho certeza, já tiveram contato, inclusive com essa questão do PDCA, essa figura que está aí representada. Essa norma, então, ela veio para se ter uma norma certificável da questão do sistema de gestão de compliance. Então, são dois conteúdos aí distintos, mas que, digamos assim, a ISO 37301 do sistema de gestão de compliance, ela engloba a ISO 37001 do sistema de gestão antissuborno.

2:48O tema do compliance, toda hora a gente vê uma definição diferente. Essa definição que fala de o compliance ser um processo contínuo e ele tem que gerar o resultado da adequação da organização às suas obrigações, é uma definição que está na própria norma ISO 37301. Por isso eu coloquei aí, porque eu acho que ela é mais precisa nesse sentido, já normatizado pela própria ISO. E também vou avançar aqui a questão que eu queria ressaltar da integração dos sistemas, porque a norma fala também sobre isso, a necessidade de que a gente tenha, enquanto o sistema de gestão antissuborno mantém a sua independência, mas também ele possa dialogar com outros processos de gestão da organização. E foi falado aqui pelo Marcelo Pontes, por exemplo, a questão da integridade, que é um outro subsistema, a questão também da lavagem de dinheiro, que já foi comentada, inclusive, pelo professor Medina.

3:50Então, todos esses sistemas, eles se comunicam e a gente vai ver de que forma isso é tratado. O que é valorado em termos de obrigações de compliance, para que a gente entenda qual é o quadrado de cada tipo de obrigação que a gente está tratando. A questão da ISO 37001, ela fala, obviamente, do tema suborno e a definição de suborno que nós temos aí é a definição do Conselho Nacional do Ministério Público, que fala exatamente, lá como a gente tem referência no artigo 317 do Código Penal, da oferta ou recebimento para si ou para outrem, direto ou indiretamente, de vantagem indevida. Então, isso está muito ligado, mais uma vez, à questão do relacionamento com o poder público. Foi tratado aqui o tema da CGU, mas a gente tem que ter em mente que essas normas internacionais, elas também versam sobre corrupção privada e sobre suborno entre entes privados.

4:51Por isso que aqui a gente tem alguma distinção em relação ao que é o programa de integridade da CGU. A gente vai estar falando especificamente do que o compliance para efeito da norma ISO internacional vai abordar. Então, nesse primeiro momento, queria também trazer para vocês esses benefícios. Acho que isso aí é um pouco, talvez chover no molhado, mas a gente tem que mencionar a conformidade em relação à redução também de riscos, de punições, esses riscos financeiros, exatamente sobre isso, sobre diminuição das sanções. Também a questão da reputação, vocês também certamente já ouviram falar sobre essa questão, e também da promoção da cultura de ética, de integridade. Isso não chega a ser uma novidade, mas é colocado na norma, e acho que é muito bom que tenha sido assim, como um requisito. Então, a gente vai tratar exatamente como que você prova que você tenha um compliance efetivo, é justamente comprovando que você cumpre os requisitos, à luz do que também a CGU faz.

5:58A CGU tem lá o manual de avaliação, e aqueles quesitos todos foram ali muito bem esmiuçados. Quem quer passar pela aprovação da CGU tem que enfrentar todos aqueles quesitos. Da mesma maneira que na norma ISO, nós temos aí também esmiuçados todos os componentes. A gente vai abordar isso aqui também rapidamente. Então, principalmente a questão de prevenção à fraude, isso é um benefício, sem dúvida nenhuma, de quem adere a essas normas. É um caminho, talvez, alternativo ao caminho da CGU, porque a CGU está muito ligada ali à avaliação dos atos lesivos, e aí à relação com o ente público. Aqui não, aqui a gente tem essa questão colocada, mas também tem outras questões que não se limitam ali à, vamos dizer, àquele mapa da 12.846. A gente vai avançar além um pouco dessa questão da relação com o ente público. Então, as normas ISO, aqui vou fazer uma pequena introdução, elas são, obviamente, desenvolvidas em termos de padrões internacionais.

7:07Na verdade, a gente tem que falar aqui de processos de certificação empresarial, enquanto, por exemplo, a CGU, a lei anticorrupção, ela promove a integridade empresarial, aqui a gente está tratando já de certificação, processos de certificação das empresas. Não é o corpo técnico, não é o dono da empresa, mas sim a PJ que está sendo ali, então, certificada. A ISO 37001, eu já mencionei, ela especifica que requisitos e dá orientações, ela tem um anexo que é um guia de como você implementa, à luz do manual da CGU para empresas privadas, também a norma ISO tem um guia do anexo lá, que fornece aí um guidance para a implementação, manutenção e a melhoria do sistema de gestão de suborno. E, da mesma forma, a 37301, já na parte do sistema de gestão de compliance, também tem um guia, e aqui a questão não é só suborno, ela vai tentar abordar práticas gerais, práticas mais abrangentes do que a questão da integridade, do que a questão propriamente do suborno.

8:21Outra questão também que foi tocada aqui e batida bastante também pelo professor Medina, a questão da abrangência dessa norma. Ela vai pegar o setor público, vai pegar o privado e vai pegar também aquelas empresas de menor porte, de pequeno e médio porte. Então, aqui a gente tem que... Não vou aqui especificar, acho que vocês conseguem aí na leitura identificar todas as hipóteses de suborno, mas é uma ampla gama e acho que vai bem além na norma internacional do que simplesmente o relacionamento com o poder público. Aqui também tratará da relação entre empresas privadas. Outra questão também, os requisitos da ISO 37001, a gente vai ver que tem um núcleo comum da ISO 37001 e da 37301, e, na verdade, eles adaptaram muito o sistema de gestão da qualidade, foi isso que foi feito. Então, tem esse núcleo comum.

9:21Mas acho que aqui, requisitos essenciais, a gente tem que ter uma política anti-suborno, é uma política que vai ter que ser comunicada, vai ter que ser treinada, vai ter que ser realmente gerado esse esforço da difusão, da cultura de integridade. A questão da avaliação de riscos, eu não vou aqui tratar novamente, foi muito bem colocado pelo Marcelo Pontes. Hoje é uma dificuldade muito grande essa questão da gestão de riscos. Por um outro lado, acho que foi o Spinelli que também mencionou que tem que haver também uso de ferramental tecnológico, indicadores. Então, há muito a avançar nessa questão de avaliação de riscos. A questão também do diligence, que é um requisito essencial, a gente vai ver o que é o do diligence. Vamos trazer isso aqui de uma forma mais coloquial possível, para que a gente possa entender que isso não é nenhum bicho de sete cabeças. E a questão também dos controles financeiros e comerciais, porque isso tudo vai resvalar na questão da transparência, do balanço contábil, da possibilidade de você ter uma auditoria externa, principalmente tratando de grandes companhias, companhias abertas, no caso a Petrobras, que têm esse dever de prestar informações à CVM, à B3, enfim.

10:38Esses controles são muito importantes para a auditoria também. Então, já avançando aqui, colocar que o do diligence é, na verdade, proporcional ao risco que você identificar. Quanto mais você vê materialidade no risco, também foi mencionado há pouco, você vai aprofundar essa investigação. Então, ajuda a garantir que a organização não vai se envolver em práticas de suborno, e tudo isso vai gerar possibilidades, por exemplo, de segregação de funções, de aprovação de alçadas, o que a Petrobras já vem fazendo, foi mencionado aqui pelo Spinelli, e também a questão da importância da auditoria interna, porque acaba sendo um sistema de retroalimentação do compliance. Se você quer saber se o seu compliance é efetivo, você tem que fazer a do diligence, você tem que passar por essas auditorias, porque é isso que vai te mostrar se você tem coisas a melhorar ou não. Ou seja, é realmente um processo contínuo e de retroalimentação dessa avaliação.

11:38A CGU tem um panorama ali muito interessante, foi acabado de divulgar aqui, que você pode ir lá, ser essa base de dados e fazer essa checagem. Mas a ISO vai fazer isso através de auditorias de certificação, é uma forma diferente. O auditor vai em loco, ele vai conversar com as pessoas, ele vai pedir informações, vai fazer você entrar no computador, mostrar o que tem. Então, é uma perspectiva diferente, talvez. Passos para a implementação, a gente vai ter planejamento, eu não vou aprofundar nisso, porque o tempo está bem escasso. A questão do comprometimento da auto-administração, que é um desafio, eu acho que, na conclusão, a gente vai tratar disso também. E a questão dessa mudança de cultura, e passa principalmente pelos dirigentes. Bom, também a designação dessa função de compliance, o que é a função de compliance? Eu digo que, na verdade, você tem numa empresa, numa organização, vários agentes de compliance.

12:38Não é só o diretor, não é só o compliance officer, você tem, em cada setor, você tem um agente de compliance atuando, e essa função de fazer, cumprir, no caso aqui, a norma ISO 37001, assim como você tem a função de fazer cumprir o programa de integridade, ela é muito importante, e ela tem que ser descentralizada. Então, isso é a função de compliance. E, mais uma vez, também a questão da comunicação, do treinamento, porque é isso que vai reforçar essa mentalidade, e vai formar esses agentes de compliance atuando aí junto do CCO. Falei aqui também já do que acontece em termos de responsabilidade, supervisionar a implementação do programa, dar aconselhamento interno, assegurar conformidade, ou seja, responder às auditorias internas e externas, principalmente os órgãos de controle e fiscalização. Aí, no caso, vai CVM, Banco Central, para quem é instituição financeira, mas também vai tribunais de contas, para quem é licitante com órgãos estaduais ou com órgãos federais, enfim, todo aí um espectro de controle, que a gente sabe que o poder público exerce também.

13:52E reportar o desempenho, que isso também é muito importante para a alta direção e para o órgão diretivo. Eu vou pular aqui, para a gente otimizar o tempo, mas as vantagens aí estão muito claras, a redução dos riscos, a melhora da reputação, a questão da vantagem competitiva, não vou repetir aqui, o Marcelo abordou muito bem, e acho que aqui a nossa apresentação acaba tendo aí uma superposição, vai me poupar também um tempo, porque já foi esclarecido. E tem essa linha de tempo que a gente também tem que analisar, porque a ISO 19600, de 2014, ela já provia todo esse ferramental, isso não é nenhuma novidade, essa figura do PDCA que eu mostrei no início está mais do que batida. O que a gente teve a partir de 2021, que é a novidade, é a possibilidade de certificação. A 19600, a gente era uma espécie de uma carta de intenções, talvez fosse ali o nível 1 de quem começa no Proética, mas hoje você já tem as empresas certificadas.

14:54Então, esses dados, que no caso do Poder Público, estão lá na base de dados da CGU, no caso da ISO, ela tem a ISO Survey. Todo ano, ela divulga lá quais são as empresas que estão certificadas, quantas são em cada tipo de norma. E o dado interessante é que a gente ainda não tem a ISO Survey de 2023, ou seja, a gente ainda não sabe quais são as empresas que estão certificadas pela ISO do Sema de Gestão de Compliance. Essas empresas já começaram a certificar, já tem, inclusive, empresas brasileiras certificadas, na 37301, mas a gente não tem ainda essa quantificação, digamos assim. Então, novamente, mencionando a questão também dos objetivos, dos princípios. O princípio não vai trazer um requisito, mas ele vai guiar a implementação. E essa implementação, ela começa, o primeiro capítulo, vamos dizer assim, da norma ISO, essa questão de entender a organização, entender o contexto da empresa.

16:01E aí tem a ver com o setor, tem a ver com a forma como a empresa se organiza. E a gente vai ver que a governança, ela, embora dialogue com a questão do compliance, com a questão do suborno, ela não é um requisito. Na verdade, a governança vai facilitar a implementação. Você tem todas ali as questões do ASG, muito bem colocado, essa tradução que foi feita pela Petrobras. E a gente sabe que isso só vai refletir, a governança só vai refletir na questão da independência, isso que é muito importante, que é ressaltado, inclusive, no decreto regulamentador da linha de corrupção, a necessidade de você demonstrar essa independência. E como é que isso é demonstrado? Não só o professor Medina comentou, em função do modelo de compliance officer que você adota, mas também em função da governança. A governança vai mostrar essa independência. Onde tiver um órgão diretivo, aqui a gente viu a estrutura da Petrobras, ela é densa, maravilhosa, mas onde não tiver um órgão diretivo, não vai, vamos dizer assim, impedir que a gente consiga fazer os requisitos da norma serem cumpridos.

17:12Por quê? Porque você vai na alta direção, você vai ter que questionar quem é lá o sócio proprietário, talvez, da empresa que esteja atuando na administração. Aí a gente já está falando de empresas de médio e menor porte. Então, quando você não tem a estrutura de conselho de administração, comitês de auditoria, como é a estrutura da Petrobras, por exemplo, e das grandes companhias abertas brasileiras, você ainda assim vai fazer com que a necessidade de comprometimento da alta direção tenha que ser demonstrada. Aqui a gente, se tiver o órgão diretivo, essa observação é importante, ele tem que participar. E é isso que a Petrobras mostrou ali também. Toda decisão maior faz com que saia um parecer de compliance. Eu vou passar aqui, por conta do tempo já avançado, a questão do diligence que eu tinha comentado, na verdade, é você fazer um processo para conhecimento dos riscos, e avançando aqui também, essa avaliação de matriz de risco.

18:19Todos os processos têm que estar mapeados, isso tem análise de probabilidade de impacto, não vou me estender também. Os principais pontos aí seriam exatamente a questão do suborno, quando a gente vai para o programa de integridade, o que a gente está tratando é da corrupção, e aí é um espectro menor de que a ISO 37301. Eu vou aqui passar novamente, aqui muito rápido, os manuais da CGU, eles vão fornecer muito subsídio, tem os pilares de integridade, mas esses requisitos, eles estão basicamente ilustrados aí nesses 18 pontos. Não vou avançar nisso pelo tempo, mas se você abrir a norma, você vai ver cada um deles. E aí eu tenho aqui políticas para cada tipo de requisito que a CGU, por exemplo, vai pedir, eu tenho como fazer concatenadamente a produção dessas políticas para atender a CGU e também atender a norma ISO.

19:29Só quero aqui concluir, vou pular vários slides até em função do tempo, mas a legenda aqui vai mostrar o seguinte, olha, onde é o cor-de-rosa claro, é o texto da norma ISO 37301, que é específico para o sistema de gestão de compliance. Onde é o azul clarinho, é o específico para a ISO 37001. Então, eu vou dar só um único exemplo, a cláusula 3, por exemplo, você vai ver lá, quando fala de termos e definições adicionais, A gente tem componentes, requisitos que têm que ser comprovados, da cláusula 4 até a cláusula 10. Então, a gente não entrou ainda nos requisitos, mas veja que a norma varia num pequeno trecho. O que é a cor de rosa, ele é específico da ISO de compliance, o que é azul é específico da ISO anti-suborno. E aqui, só para concluir, a gente tem a questão das vantagens, já foi comentado.

20:29Em função da nova lei de licitações, você tem lá duas situações que são mandamentais hoje, você ter o compliance, que são as licitações de grande vulto, e também nos processos de reabilitação. E você tem outras duas situações que são voluntárias, no caso de critério de desempate. Você, principalmente, também tem um estímulo muito grande para que a empresa tenha o compliance implantado. e os estados já replicaram essa norma. Então, a gente vai ver aí que a gente tem estado de São Paulo, Rio, Paraná, Minas, Pernambuco, Espírito Santo, Santa Catarina, enfim, 12 estados aí, pelo menos, já fizeram essa adaptação. E a gente tem um julgamento do Recurso Extraordinário 1410340, que foi julgado em abril de 2023, que fala exatamente isso, que o estabelecimento dessas regras de compliance pelas entidades da federação e no nível abaixo da União, isso não transgride a Constituição.

21:42Ou seja, é constitucional estabelecer através dos normativos de cada estado. E também agora, já das prefeituras também, as grandes prefeituras de São Paulo, Curitiba, Rio de Janeiro, já estão também com as suas exigências de compliance em vigência. Então, concluindo, a gente sabe aí da importância, eu não vou bater novamente, dessa certificação. Talvez, se a gente tivesse maior tempo, poderíamos fazer aqui mais digressões, mas é importante o seguinte, você tem hoje um modelo privado de você mostrar que você tem um compliance efetivo. Não fica só congestionado. Claro, aquelas empresas que têm a necessidade de mostrar que têm um compliance efetivo para fins do relacionamento com a administração pública, elas vão caminhar no sentido da CGU. Mas aquelas outras que querem provar para fins de licitações, principalmente perante prefeituras e estados, elas já têm uma forma, um caminho, que é um caminho de você contratar uma auditoria de certificação.

22:46As vantagens foram colocadas, estão lá na própria lei, nova lei de licitações, e replicadas no regimento, no ordenamento de cada entidade da federação, em nível estadual e em nível municipal. Desafios, eu mencionei a questão da alta administração, da alta direção, porque muitas vezes ainda se tem aquela mentalidade de que isso é só para apresentar perante o órgão público. Então, você fazer que realmente haja recursos disponíveis, haja investimento em tecnologia, haja pessoal o suficiente para não ficar congestionado na figura do compliance officer, isso é um problema, mas você tem as soluções. As soluções é o quê? Exatamente caminhar por esse caminho da certificação privada, que vai te dar a reputação, vai te dar a prova do compliance efetivo. E essas certificações, elas têm realmente mostrado um aumento da confiança, principalmente no caso de empresas que captam recursos públicos, o aumento da confiança desses stakeholders.

23:54Era isso. Então, pessoal, agradeço a oportunidade e devolvo para o professor Medina a palavra.