Consultoria Empresarial · Compliance e Governança
Diagnóstico de Riscos Empresariais e Compliance
Avaliação jurídica e documental dos pontos de exposição da empresa, de seus controles internos e das medidas necessárias para tratar riscos prioritários. Um trabalho delimitado, com relatório técnico e plano de ação aplicável à realidade do negócio.
Análise jurídica orientada à gestão
Do risco identificado à decisão de governança
Um diagnóstico jurídico útil não se limita a listar não conformidades. É necessário verificar a probabilidade, a repercussão e a capacidade dos controles existentes, separando problemas documentais de exposições que afetam contratos, patrimônio, administradores ou continuidade das atividades.
A entrega orienta uma agenda executiva: riscos críticos de tratamento imediato, medidas estruturais que dependem de orçamento e pontos que exigem validação por profissionais de outras áreas. A escolha e a implementação das medidas cabem à administração; o parecer jurídico oferece critérios, alternativas e registro fundamentado para essa decisão.
- Qual é o risco e sua evidência verificável?
- Que controle existe e onde está a lacuna?
- Quem decide, executa e comprova a correção?
A empresa conhece os riscos que assume nas decisões do dia a dia?
Contratos assinados sem critérios claros, pagamentos aprovados por uma única pessoa, fornecedores contratados sem verificação mínima, responsabilidades pouco definidas e políticas internas que não refletem a operação são situações que podem ampliar a exposição jurídica de uma empresa.
O diagnóstico examina como decisões relevantes são tomadas, documentadas e supervisionadas. Seu objetivo é identificar vulnerabilidades jurídicas e de integridade, avaliar os controles existentes e oferecer à administração uma base organizada para definir prioridades.
Não se presume a existência de irregularidades. O trabalho parte das informações e evidências disponíveis e considera o setor, o porte, a estrutura e o nível de maturidade da organização.
Quais áreas podem ser examinadas?
As frentes de análise são selecionadas no início da contratação. O diagnóstico pode ser geral ou concentrado em processos específicos, quando essa delimitação oferecer maior utilidade à empresa.
Governança e decisões dos administradores
Competências e alçadas de aprovação, poderes de representação, delegações, registros de decisões, conflitos de interesses e mecanismos de supervisão.
Contratos, compras e fornecedores
Fluxos de contratação, diligência de terceiros, cláusulas de integridade, obrigações críticas, gestão de aditivos, documentação de entregas e riscos de inadimplemento.
Integridade, fraudes e interação com o setor público
Controles sobre presentes, hospitalidades, patrocínios, intermediários, pagamentos, contratações públicas e tratamento de relatos de irregularidades, conforme a exposição da empresa.
Riscos trabalhistas e relações com terceiros
Exame jurídico preliminar de rotinas de contratação, terceirização, jornada, conduta de lideranças e documentação essencial. Auditorias trabalhistas aprofundadas podem ser contratadas separadamente.
Proteção de dados e documentos
Revisão jurídica de bases documentais, políticas, atribuições e instrumentos com operadores de dados. Avaliações técnicas de cibersegurança exigem escopo e profissionais próprios.
Exposição penal econômica e regulatória
Identificação de processos sensíveis a riscos de fraude, corrupção, ilícitos tributários, financeiros ou ambientais, conforme a atividade, sem substituir investigação criminal ou auditoria pericial.
Situações em que o diagnóstico se torna especialmente relevante
- Crescimento da empresa sem atualização dos procedimentos internos e dos níveis de aprovação.
- Contratação de prestadores, representantes comerciais, intermediários ou parceiros estratégicos.
- Ausência de regras claras para compras, reembolsos, pagamentos e gestão contratual.
- Alterações no quadro societário, profissionalização da administração ou preparação para operação de M&A.
- Notificações de órgãos públicos, questionamentos contratuais ou sinais de passivos recorrentes.
- Necessidade de revisar um código de conduta ou verificar se as políticas existentes são efetivamente aplicadas.
- Demanda da direção por um relatório documentado antes de decidir onde investir em controles e prevenção.
O diagnóstico pode ser preventivo, periódico ou dirigido a um evento específico, observados a confidencialidade e os limites do mandato.
O que a empresa recebe ao final do trabalho?
As entregas são definidas contratualmente e proporcionais ao universo analisado. Conforme o escopo, podem compreender:
Relatório jurídico de diagnóstico
Síntese executiva das áreas examinadas, das exposições identificadas, da documentação considerada e das limitações da análise.
Matriz de riscos e controles
Registro de eventos de risco, controles existentes, lacunas, possíveis impactos e classificação qualitativa de prioridade, com critérios definidos para o projeto.
Plano de ação priorizado
Recomendações de tratamento, indicação de responsáveis internos a serem definidos pela empresa, sequência sugerida de medidas e necessidade de apoio técnico complementar.
Reunião de apresentação à administração
Exposição dos achados e alternativas para subsidiar decisões sobre políticas, contratos, fluxos de aprovação, treinamentos e monitoramento.
A implementação das medidas, a redação integral de novas políticas e o acompanhamento continuado podem constituir fases posteriores, mediante contratação específica.
Quais documentos podem ser solicitados?
O conjunto documental é ajustado ao diagnóstico e à disponibilidade da empresa. Entre os exemplos estão:
- Contrato social, alterações, acordos de sócios, atas, organograma e instrumentos de delegação de poderes.
- Contratos relevantes com clientes, fornecedores, terceiros, representantes e prestadores, inclusive aditivos e modelos-padrão.
- Código de conduta, políticas de contratação, compras, brindes, reembolsos, conflitos de interesses e resposta a relatos.
- Fluxos de autorização, registros de aprovação, modelos de prestação de contas e evidências de supervisão.
- Documentos trabalhistas selecionados e instrumentos relacionados à terceirização, quando incluídos no escopo.
- Políticas e contratos de tratamento de dados pessoais e registros pertinentes às rotinas avaliadas.
O acesso é limitado ao necessário para o trabalho. Documentos sensíveis devem ser compartilhados por meios adequados, observadas as regras aplicáveis de confidencialidade e proteção de dados.
Como o diagnóstico é conduzido
1. Delimitação do trabalho: compreensão do modelo de negócio, dos objetivos da direção, das unidades e dos processos que serão examinados.
2. Levantamento de evidências: solicitação documental, entrevistas com responsáveis e compreensão dos fluxos selecionados.
3. Avaliação jurídica e dos controles: confronto entre normas aplicáveis, procedimentos formais e evidências da prática, com registro de lacunas e controles identificados.
4. Classificação e recomendações: organização da matriz de riscos, definição de prioridades e elaboração do relatório com propostas proporcionais à operação.
5. Apresentação executiva: reunião para esclarecer achados e apoiar a administração na definição de responsáveis e das próximas etapas.
A duração depende das áreas abrangidas, do volume de documentos, do acesso às informações e da disponibilidade dos interlocutores. O cronograma é estabelecido após a definição do escopo.
Parâmetros jurídicos e de integridade
A avaliação é orientada pelas normas efetivamente aplicáveis ao negócio. Em matéria de integridade e relacionamento com a administração pública, a Lei nº 12.846/2013 e os arts. 56 e 57 do Decreto nº 11.129/2022 tratam de mecanismos de integridade e da gestão de riscos, incluindo avaliação periódica e controles internos.
Como referência metodológica, as diretrizes da Controladoria-Geral da União para empresas privadas enfatizam proporcionalidade, comprometimento da direção, análise de riscos, documentação e aperfeiçoamento contínuo.
Esses referenciais não significam que todas as empresas tenham a mesma obrigação legal ou que o diagnóstico, por si só, equivalha à implementação ou certificação de um programa de integridade. Exigências setoriais e contratuais devem ser examinadas caso a caso.
Fontes de referência: Lei nº 12.846/2013; Decreto nº 11.129/2022; CGU — Diretrizes para Empresas Privadas (2024).
Perguntas frequentes
Toda empresa é obrigada a ter um programa de compliance?
Não existe uma obrigação geral idêntica para todas as empresas. Deveres específicos podem decorrer do setor regulado, da legislação aplicável, de contratos e de determinadas contratações públicas. O diagnóstico auxilia a identificar o que é exigível e o que é recomendável em cada contexto.
A empresa precisa ter políticas ou controles já implantados?
Não. O trabalho pode começar com procedimentos pouco formalizados. A análise identifica práticas existentes, lacunas documentais e prioridades realistas de estruturação.
O diagnóstico inclui a elaboração de todos os documentos internos?
Não automaticamente. A entrega central é o relatório, a matriz de riscos e o plano de ação previstos no escopo. Códigos, políticas, treinamentos e implantação de controles podem ser contratados em etapa posterior.
O diagnóstico substitui auditoria contábil, técnica ou investigação interna?
Não. É uma avaliação jurídica e de integridade delimitada. Perícias contábeis, auditorias de segurança da informação, inspeções técnicas, investigações forenses e outras especialidades exigem escopo e profissionais adequados.
Como a empresa utiliza o resultado do diagnóstico?
A administração poderá priorizar medidas conforme a relevância dos riscos, os recursos disponíveis e os responsáveis pelos processos. A adoção, a supervisão e a revisão dos controles dependem de atuação interna continuada.
Avaliação jurídica dos riscos do seu negócio
O escritório pode examinar a necessidade de um diagnóstico global ou direcionado a uma área da empresa, mediante definição prévia do objeto e da documentação disponível.
Rodrigo F. Santos Advocacia · OAB/SP 60.539
Rodrigo Faria dos Santos · Advogado · OAB/SP 458.274
Conteúdo jurídico institucional e informativo. A análise depende do escopo contratado, das evidências disponíveis e das particularidades da empresa; não há garantia de eliminação de riscos ou de resultados determinados.