Pilares da Governança, Riscos e Compliance para atuação no Mercado Corporativo

Tempo de leitura: 7 minutos

Uma decisão mal documentada, uma falha nos controles internos ou um risco que passou despercebido pode trazer consequências graves para diferentes áreas de uma empresa. É por isso que o setor de governança e riscos precisa fazer parte da gestão e não apenas entrar em pauta quando surge um problema.

O GRC (Governança, Riscos e Compliance) organiza essa atuação ao conectar regras, processos, responsabilidades e mecanismos de prevenção.

Na prática, essa estrutura ajuda a empresa a identificar vulnerabilidades, melhorar seus controles e atuar na mitigação preventiva de riscos corporativos.

Mas como levar esses conceitos para a rotina da empresa?

Neste artigo, a Trevisan explica, entre outras coisas, como estruturar um programa de compliance, qual é a diferença entre compliance e auditoria interna, o que faz um profissional da área e como o ESG se relaciona com a governança corporativa.

Continue a leitura e saiba mais!

O que é governança, riscos e compliance (GRC)?

GRC é a sigla para Governança, Riscos e Compliance, uma abordagem inovadora que integra três frentes importantes para a gestão de uma empresa.

A governança, por exemplo, estabelece diretrizes e responsabilidades; a gestão de riscos identifica situações que podem afetar os objetivos do negócio e o compliance ajuda a garantir que a atuação esteja de acordo com leis, normas e políticas internas.

Ou seja, embora tenham funções diferentes, essas áreas se complementam.

Quando trabalham de forma integrada, governança, riscos, compliance e controles internos compartilham informações e processos, evitando sobreposições e pontos cegos e fortalecendo, assim, a mitigação de riscos corporativos.

Essa integração também deve ser orientada por princípios que levem a empresa a tomar decisões e definir responsabilidades de forma assertiva.

No Brasil, uma das principais referências é o Código das Melhores Práticas de Governança Corporativa do IBGC, revisado em 2023, que estabelece cinco princípios:

Integridade;
Transparência;
Equidade;
Responsabilização;
Sustentabilidade.

O avanço dessas práticas pode ser observado também na área de compliance.

A 6ª Pesquisa de Maturidade de Compliance no Brasil, comandada pela KPMG, registrou um índice médio de 3,09 no nível de evolução do compliance brasileiro.

A escala vai de 1 a 5 e esse é o maior nível desde o início da série, em 2015.

O resultado aponta uma evolução, mas também mostra que ainda há espaço para tornar o compliance mais integrado aos controles internos das organizações.

Como implementar um programa de compliance do zero?

Implementar um programa de compliance significa criar uma estrutura capaz de prevenir, identificar e responder a riscos e irregularidades de forma contínua.

Para isso, a empresa precisa conhecer suas principais vulnerabilidades, estabelecer responsabilidades e definir controles internos adequados à sua realidade.

No Brasil, essa estrutura encontra alguns respaldos, como:

A Lei Anticorrupção (nº 12.846/2013);
O Decreto nº 11.129/2022 que regulamenta a Lei Anticorrupção;
E as orientações da Controladoria-Geral da União (CGU).

Todas essas composições estabelecem referências não apenas para a criação, mas também para o aperfeiçoamento de programas de integridade.

Na prática, esse processo envolve ainda algumas etapas:

Comprometimento da alta liderança

Um programa de compliance precisa começar pelo envolvimento de quem está à frente das principais decisões da empresa. Conselho e diretoria devem apoiar as diretrizes, definir responsabilidades e demonstrar, na prática, que as regras também se aplicam à liderança, incorporando o compliance à cultura e à gestão do negócio.

Avaliação dos riscos

Cada empresa está exposta a riscos diferentes, de acordo com seu setor, porte e modelo de operação. Por isso, é importante mapear situações que podem gerar irregularidades e descumprimento de normas, como relações com os agentes públicos, contratação de terceiros, processos financeiros e LGPD.

Políticas e código de conduta

Depois de mapear e identificar os principais riscos, a empresa deve estabelecer regras que orientem a atuação de colaboradores, gestores e terceiros.

O código de conduta e as políticas internas podem abordar temas como conflitos de interesse, relacionamento com fornecedores e interação com o poder público.

As orientações devem ser claras e compatíveis com a realidade da organização.

Canal de denúncias e treinamentos

É claro que não basta estabelecer regras; as pessoas precisam conhecê-las e saber como agir diante de situações inadequadas.

Os treinamentos ajudam a levar as políticas para a rotina, enquanto o canal de denúncias oferece um meio para comunicar suspeitas ou irregularidades. Também é importante estabelecer procedimentos para receber, analisar e tratar os relatos.

Monitoramento e atualização

O programa de compliance é um “instrumento vivo”, ou seja, ele deve acompanhar constantemente as mudanças da própria empresa e do ambiente regulatório.

Para isso, é necessário

Monitorar indicadores.
Avaliar a efetividade dos controles internos.
Identificar novas exposições.
Revisar políticas e procedimentos periodicamente.

Isso fortalece a mitigação de riscos corporativos ao longo do tempo.

Qual é a diferença entre auditoria interna e compliance?

Embora complementares, compliance e auditoria interna têm funções diferentes.

O compliance atua, basicamente, de maneira contínua na prevenção de irregularidades, orientando as áreas sobre leis, normas e políticas internas.

Ou seja, o acompanhamento de riscos de conformidade nunca para.

Já a auditoria interna realiza uma avaliação independente dos processos e controles internos, verificando se eles são adequados e funcionam conforme o esperado.

O Modelo das Três Linhas, do Instituto dos Auditores Internos (IIA), ajuda a entender como essas responsabilidades se dividem dentro da empresa.

A primeira linha é formada pelas áreas que conduzem as atividades do negócio e também gerenciam os riscos relacionados a elas. A segunda reúne funções como compliance e gestão de riscos, que orientam e acompanham esse trabalho.

Já a terceira é a auditoria interna, responsável por avaliar de forma independente se a governança, a gestão de riscos e os controles estão funcionando adequadamente.

Assim, o compliance ajuda a prevenir e acompanhar riscos de conformidade, já a auditoria interna avalia se os processos e controles da empresa são eficazes.

Qual é a importância do ESG na governança corporativa?

O ESG está diretamente relacionado às boas práticas de governança corporativa.

Isso porque compromissos ambientais e sociais também precisam fazer parte das decisões, dos controles e, principalmente, das responsabilidades da empresa.

Não basta estabelecer metas de sustentabilidade, por exemplo, é necessário definir quem responde por elas, como os resultados serão acompanhados, quais são os prazos e de que forma essas informações serão apresentadas aos diferentes públicos.

É nesse ponto que ESG e GRC (Governança, Riscos e Compliance) se conectam.

Questões relacionadas ao clima, aos direitos humanos, à diversidade e a outros aspectos socioambientais podem representar riscos e oportunidades para o negócio e, por isso, precisam entrar nos processos de avaliação e tomada de decisão.

Essa integração também contribui para gerar informações mais consistentes sobre as iniciativas da empresa e reduzir riscos relacionados ao descumprimento de compromissos ou à divulgação de práticas que não correspondam à realidade.

O que faz um gestor de riscos e compliance?

O gestor de riscos e compliance atua para identificar situações que podem gerar impactos para a empresa e desenvolver formas de preveni-las ou reduzi-las.

Entre suas responsabilidades, estão mapear riscos, estabelecer e acompanhar controles internos, apoiar a criação de políticas, conduzir ou acompanhar investigações e promover treinamentos para orientar colaboradores e lideranças.

Esse profissional também acompanha indicadores e mudanças regulatórias.

Além de reportar à alta administração os principais riscos identificados e as medidas adotadas para tratá-los. Por isso, a atuação combina conhecimento sobre legislação, visão de negócio, análise de dados e capacidade de dialogar com diferentes áreas.

O GRC pode ser um diferencial para a carreira?

Sim. Afinal de contas, à medida que governança, riscos e compliance ganham espaço na estratégia das empresas, cresce também a necessidade de profissionais capazes de compreender essas frentes de forma integrada e analítica.

Pois, mais do que conhecer normas e processos, atuar com GRC (Governança, Riscos e Compliance) exige entender o negócio, identificar riscos, fortalecer controles internos e apoiar decisões que envolvem diferentes áreas de uma organização.

Para quem já trabalha com gestão, auditoria e compliance (ou pretende desenvolver carreira nessas áreas), aprofundar esse conhecimento amplia as possibilidades de atuação e prepara o profissional para assumir responsabilidades mais estratégicas.

Quer desenvolver sua atuação em GRC? Conheça o MBA Executivo em Governança, Riscos e Compliance da Trevisan e aprofunde seus conhecimentos para atuar nos desafios de governança e gestão de riscos das organizações.