O que é gerenciamento de conformidade?

Gerenciamento de conformidade é um termo que abrange todas as ferramentas, sistemas, pessoas e processos usados no cumprimento de regras e políticas de governança. Ele integra essa função em todas as áreas de uma organização. Além de garantir que regras sejam seguidas, com frequência, o gerenciamento de conformidade identifica riscos ou potenciais problemas, permitindo a implementação de medidas proativas de mitigação.

O gerenciamento de conformidade conta com auditorias (internas e terceirizadas), tecnologia, relatórios e documentação, além de controles de segurança que fornecem proteções que evitam a não conformidade. Além disso, exige que especialistas internos ou externos orientem sobre os casos em que leis, regulamentos e políticas se aplicam e o modo como a organização garante o cumprimento delas.

O processo faz valer regras e leis regulatórias externas estabelecidas por governos e grupos do setor, bem como políticas de governança interna e estatutos de organizações. Ao garantir que as regras sejam seguidas, evita-se que organizações arquem com despesas com multas, dificuldades associadas à recuperação de ataques e danos à reputação que podem ocorrer em casos de não conformidade.

“O custo de não conformidade é alto. Se você acha que a conformidade é cara, tente não tê-la.”

—Former U.S. Deputy Attorney, General Paul McNulty

Qual é a responsabilidade do gerenciamento de conformidade?

As responsabilidades do gerenciamento de conformidade são multifacetadas e essenciais ao cumprimento dos padrões regulatórios, bem como das políticas e procedimentos internos. Entre as suas principais responsabilidades estão:

• Aconselhamento e consultoria: O gestor de conformidade ou a equipe de gerenciamento de conformidade atua como consultor da alta gerência e das equipes operacionais em questões relacionadas à conformidade. Entre suas funções, estão a orientação sobre como as mudanças regulatórias afetarão a organização e a recomendação de ajustes operacionais ou estratégicos a fim de manter a conformidade.
• Elaboração de políticas e programas de conformidade: A elaboração e atualização de políticas e procedimentos internos alinhados aos requisitos regulatórios é uma função essencial do gerenciamento de conformidade. Políticas e programas abrangentes precisam ser elaborados e mantidos a fim de atender aos requisitos regulatórios e a padrões internos específicos de uma organização.
• Gerenciamento e resposta a incidentes: A identificação de problemas de conformidade, a investigação de violações e a implementação de ações corretivas são funções essenciais, ao qual também compete o desenvolvimento de um plano de resposta a possíveis violações de conformidade, a fim de mitigar riscos e prevenir sua recorrência.
• Monitoramento e fiscalização: O gerenciamento de conformidade inclui revisão e auditoria regulares dos processos internos para garantir que atendam aos padrões regulatórios. Isso inclui o monitoramento contínuo das operações e auditorias abrangentes periódicas, visando à identificação e ao tratamento de potenciais problemas de conformidade.
• Conhecimento regulatório: Para manter a conformidade, é necessário manter-se informado sobre as regulamentações existentes, bem como sobre novas regulamentações e alterações nas existentes. Isso requer o monitoramento das mudanças regulatórias que podem afetar o setor da organização e o ajuste das estratégias de conformidade de acordo com essas mudanças.
• Envio de relatórios e compilação de documentação: O gerenciamento de conformidade é responsável por compilar a documentação das atividades de conformidade, auditorias, treinamentos e incidentes, bem como pelo envio, em tempo hábil, dos relatórios necessários aos órgãos reguladores a fim de demonstrar o comprometimento da organização com a conformidade e a transparência.
• Avaliação de riscos: As avaliações de riscos de conformidade regulatória exigem a identificação e a avaliação dos riscos de não conformidade, incluindo a compreensão de potenciais sanções financeiras, danos à reputação e interrupções operacionais que podem resultar da não conformidade.
• Comunicação com stakeholders: Parte da sua responsabilidade é o envolvimento com stakeholders externos, como órgãos reguladores e grupos do setor, para se manter informado sobre as expectativas de conformidade e defender os interesses da organização. A comunicação com stakeholders internos, como funcionários e gestores, em relação às políticas de conformidade da organização e eventuais questões pertinentes também compete ao gerenciamento de conformidade.
• Emprego de tecnologia: O gerenciamento de conformidade frequentemente abrange a implementação e a gestão de soluções tecnológicas relacionadas à conformidade em suporte a seus esforços. Sistemas para gestão de documentos, avaliação de riscos, monitoramento e emissão de relatórios estão inclusos nesse processo.
• Treinamento e formação: Para garantir a eficácia da conformidade regulatória, todos os funcionários precisam de treinamento e formação contínuos para que entendam a importância da conformidade regulatória e das funções que lhes são atribuídas visando ao cumprimento dos requisitos.

Principais elementos do gerenciamento de conformidade

• Comunicação: Facilita a abertura de canais de comunicação entre funcionários, gerência e responsáveis pela conformidade, além de dar suporte à comunicação com stakeholders externos, incluindo órgãos reguladores, sempre que necessário.
• Governança e supervisão: Governança e supervisão envolvem o comprometimento da alta administração e do conselho de administração. Além de criar e manter um programa de conformidade eficaz, eles precisam fazer parte da supervisão para demonstrar o comprometimento da organização com a conformidade em todos os níveis e garantir que os recursos e o suporte necessários estejam disponíveis para as atividades de conformidade.
• Auditoria independente de conformidade: Uma auditoria independente de conformidade avalia a saúde geral do sistema de gerenciamento da mesma, avaliando sua eficácia e identificando áreas de melhoria. Essa função também garante aos gestores e ao conselho de administração que os riscos de conformidade estão sendo gerenciados de forma adequada.
• Identificação e resolução de problemas: O processo fornece mecanismos para a pronta identificação e o tratamento eficaz de problemas de conformidade. A função de identificação e resolução de problemas prevê o estabelecimento de canais de denúncia de violações, a condução de investigações e a modificação de políticas e práticas voltadas à prevenção de problemas futuros.
• Monitoramento, condução de testes e emissão de relatórios: O monitoramento e os testes regulares dos controles de conformidade facilitam a avaliação contínua dos processos. Isso envolve a revisão de operações e transações a fim de identificar potenciais áreas de não conformidade e a tomada de medidas corretivas, conforme sejam necessárias. Também envolve o fornecimento de mecanismos para a comunicação de problemas de conformidade e preocupações relacionadas, além de suporte a esses mecanismos.
• Políticas e procedimentos: Políticas e procedimentos bem definidos e minuciosos são a base de um programa eficaz de gerenciamento de conformidade. Tais políticas e procedimentos devem abranger os padrões de conduta esperados e os processos operacionais necessários ao cumprimento de leis e regulamentos aplicáveis. Políticas e procedimentos servem como um guia de referência para funcionários, ajudando-os a compreender suas responsabilidades em relação à conformidade, e para gestores, orientando a supervisão dos esforços de conformidade da organização.
• Avaliação de riscos: Identificar e avaliar os riscos de conformidade associados às operações, à presença no mercado e ao ambiente regulatório de uma organização ajuda a priorizar a implantação de recursos direcionados à correção.
• Treinamento e formação: Sistemas eficazes exigem programas de treinamento contínuos para funcionários, a fim de garantir que eles estejam cientes dos requisitos de conformidade e entendam como desempenhar suas funções de acordo com políticas e procedimentos. Além disso, ter um programa de treinamento robusto ajuda a construir uma cultura de conformidade em toda a organização.

O que é um sistema de gerenciamento de conformidade?

Um sistema de gerenciamento de conformidade é um conjunto de políticas, procedimentos, práticas, processos e controles implementados por uma organização para garantir que ela esteja em conformidade com os padrões regulatórios, requisitos legais e políticas internas. Ele fornece uma estrutura que ajuda organizações a gerenciar sistematicamente suas obrigações de conformidade a fim de prevenir e detectar violações de regras, reduzindo, assim, o risco de sanções legais ou regulatórias, prejuízos financeiros e danos à reputação. Um sistema de gerenciamento de conformidade bem concebido integra-se às operações de uma organização, oferecendo orientação para a tomada de decisões e gerenciamento de riscos.

Os principais componentes de um sistema de gerenciamento de conformidade compreendem:

• Auditoria, monitoramento e prestação de contas a órgãos reguladores e controles internos.
• Melhoria contínua com base em mudanças nas regulamentações, operações e resultados do monitoramento de conformidade.
• Gestão de problemas e implementação de ações corretivas quando problemas de conformidade são identificados.
• Supervisão para garantir que o sistema de gerenciamento de conformidade funcione de modo correto e os requisitos sejam atendidos.
• Políticas e procedimentos que descrevem como uma organização pretende conduzir suas operações para atender aos requisitos de conformidade, por meio de práticas, funções e responsabilidades específicas.
• Avaliação de riscos para identificar, avaliar e priorizar riscos relativos à conformidade.
• Treinamento e formação de funcionários para assegurar um entendimento claro de suas responsabilidades em relação à conformidade e os requisitos legais e regulamentares aplicáveis às suas funções.

Entre os muitos benefícios de um sistema de gerenciamento de conformidade estão:

• Prevenção de sanções resultantes de não conformidades
• Envolvimento dos funcionários
• Reputação elevada
• Consistência e eficiência operacional
• Mitigação de riscos
• Processo decisório estratégico

Como gerenciar a conformidade

Um gerenciamento de conformidade eficaz fundamenta-se em cinco funções principais:

1. Planejar: Desenvolver e atualizar regularmente uma estratégia para a implementação do sistema.
2. Avaliar: Identificar áreas que não estão em conformidade ou que correm o risco de se tornarem não conformes.
3. Priorizar: Classificar os problemas referentes à conformidade com base no esforço necessário, impacto e gravidade.
4. Corrigir: Adotar medidas para eliminar as áreas de não conformidade o mais rápido possível.
5. Prestação de contas: Documentar as mudanças feitas, os resultados e as lições aprendidas.

Além disso, é fundamental seguir as práticas recomendadas para o gerenciamento de conformidade e fazer uso das ferramentas adequadas.

Desafios do gerenciamento de conformidade

Embora sua importância seja inquestionável, o gerenciamento de conformidade tem seus desafios. São dificuldades comumente citadas:

• Cenários de conformidade em rápida evolução.
• Ambientes distribuídos que devem ser monitorados.
• A dificuldade de implementar programas de gerenciamento de conformidade de forma consistente em toda a organização.
• A criação de benchmarks e controles para acompanhar dados de gerenciamento de conformidade.
• Monitorar terceiros e fornecedores

O que significa “monitoramento” no gerenciamento de conformidade?

No contexto do gerenciamento de conformidade, o termo “monitoramento” refere-se ao processo contínuo de avaliação e revisão das operações, práticas e transações de uma organização a fim de garantir que elas estejam em conformidade com os padrões legais, regulatórios e internos aplicáveis. Os principais objetivos do monitoramento da conformidade são:

• Detecção dos riscos de conformidade: Com o monitoramento contínuo das operações, as organizações podem identificar proativamente potenciais riscos de conformidade, permitindo intervenção e correção preventivas.
• Aumento da transparência e da responsabilização: Estabelecer um programa de monitoramento de conformidade demonstra transparência e responsabilização nas operações de uma organização, o que contribui para a confiança entre stakeholders (por exemplo, funcionários, clientes e órgãos reguladores).
• Garantia da integridade operacional: O monitoramento de conformidade ajuda a garantir que os processos e atividades organizacionais sejam realizados em conformidade com as políticas internas e os requisitos regulatórios externos visando à manutenção da integridade das operações.
• Incentivo à melhoria contínua: O monitoramento de conformidade incentiva uma cultura de melhoria contínua, fornecendo as informações necessárias ao refinamento das estratégias e práticas de conformidade.
• Melhoria de políticas e controles: Por meio do monitoramento contínuo de conformidade, as organizações podem avaliar a eficácia de suas políticas e procedimentos de conformidade existentes e orientar ajustes e melhorias de sua estrutura.
• Processo decisório com base em informações: O monitoramento de conformidade fornece informações sobre as atividades e o desempenho de conformidade a fim de respaldar as decisões estratégicas.

Práticas recomendadas para o gerenciamento de conformidade

Observar as práticas recomendadas é essencial para desenvolver e manter uma iniciativa de sucesso. As recomendações a seguir têm sido adotadas por muitas organizações de diversos portes e setores. Embora nem todas sejam aplicáveis a todas as organizações, estas práticas fornecem uma visão geral do que é necessário para obter a eficácia do gerenciamento de conformidade.

• Alinhar as funções de negócios com a conformidade.
• Adotar uma estratégia baseada em riscos do gerenciamento de conformidade.
• Estabelecer uma iniciativa top-down, com a participação ativa da liderança na equipe de gerenciamento de conformidade.
• Usar ferramentas para se manter atualizado sobre as mudanças nas leis e regulamentações.
• Conduzir avaliações de risco com regularidade.
• Estabelecer e implementar políticas e procedimentos da empresa que garantam a conformidade, bem como revisar processos e procedimentos regularmente.
• Compartilhar o plano de gerenciamento de conformidade e fornecer treinamento robusto.

Quais são as seis etapas para a manutenção da conformidade?

1. Compreender o ambiente regulatório: Dê início ao gerenciamento de conformidade com a identificação e compreensão de todos os requisitos legais e regulatórios aplicáveis, tais como regulamentações específicas do setor, legislações comercial e trabalhista.
2. Obter a adesão da liderança ao gerenciamento de conformidade: Assegure o comprometimento da equipe de liderança da organização e garanta o sucesso de um programa de conformidade. Isso significa que os líderes devem apoiar ativamente as iniciativas de conformidade, demonstrando o comprometimento que possuem por meio de ações e da comunicação.
3. Desenvolver um amplo programa de gerenciamento de conformidade: Crie um programa formal de conformidade que descreva claramente as políticas, procedimentos e controles de conformidade da organização. O programa deve prever a documentação de funções e responsabilidades, estratégias de gerenciamento de riscos, programas de treinamento, mecanismos de monitoramento e auditoria, além de procedimentos para a comunicação e tratamento de não conformidades. Também deve definir comportamentos esperados, padrões operacionais e as consequências da não conformidade. A documentação do programa deve ser acessível e compreensível a todos os funcionários.
4. Atribuir responsabilidades: Nomeie um gerente ou equipe de conformidade para supervisionar o programa. Esta função envolve monitorar os esforços de conformidade, prestar contas à alta gerência e manter-se informado sobre mudanças regulatórias. Garanta que as responsabilidades da função de gerenciamento de conformidade estejam bem definidas em toda a organização.
5. Treinar e oferecer formação aos funcionários: Realize treinamentos regulares para funcionários sobre requisitos de conformidade, políticas organizacionais e suas responsabilidades. Ofereça treinamento especializado para funcionários em cargos com obrigações ou riscos regulatórios específicos. O treinamento em gerenciamento de conformidade deve ser contínuo, a fim de manter os funcionários informados sobre eventuais mudanças em políticas ou regulamentos.
6. Monitorar a conformidade e conduzir auditorias: Realize avaliações de risco regularmente para avaliar a eficácia das medidas de conformidade, identifique áreas de melhoria e detecte possíveis áreas de não conformidades e vulnerabilidades nas operações. Use as descobertas para priorizar as iniciativas e alocar recursos em áreas de maior risco. As auditorias internas devem ser complementadas por auditores externos para a obtenção de análises objetivas dos esforços de conformidade.

Ferramentas de gerenciamento de conformidade

A maioria das ferramentas de gerenciamento de conformidade faz parte de um sistema que integra diversos componentes e processos que dão suporte a stakeholders, como equipes de liderança, gestores, funcionários, responsáveis e gerentes de conformidade e auditores. O sistema também ajuda a otimizar processos essenciais, tais como:

• Gestão dos resultados de uma auditoria.
• Avaliação de violações e respostas a elas.
• Criação e oferecimento de treinamentos.
• Garantia de que ações corretivas sejam colocadas em prática no caso de violação.
• Atualização contínua sobre mudanças em leis, regulamentos e políticas pertinentes.

Um sistema de gerenciamento de conformidade também pode ser usado para:

• Automatizar tarefas e fluxos de trabalho relacionados à conformidade.
• Facilitar a elaboração de relatórios para auditores.
• Manter políticas e procedimentos alinhados a leis e requisitos regulatórios aplicáveis.
• Apoiar programas de gestão de riscos.
• Fornecer armazenamento seguro e centralizado para informações e documentos importantes.

Há diversos tipos de sistemas de gerenciamento de conformidade, tais como:

• Sistemas de gerenciamento de conformidade multifuncionais: São aqueles que oferecem um conjunto de ferramentas que pode ser usado por empresas, independentemente de sua natureza e setor. Esses sistemas apresentam eficácia diante de exigências simples, mas normalmente, não conseguem lidar com a prevenção de riscos nem dar suporte à governança corporativa.
• Sistemas de gerenciamento de conformidade próprios do setor: São os sistemas desenvolvidos especificamente para atender às necessidades exclusivas de organizações que atuam em setores rigorosamente regulamentados, como agências financeiras, de saúde, de manufatura e órgãos públicos.
• Sistemas de GRC (governança, risco e conformidade): São os sistemas criados para dar suporte a programas de gerenciamento de conformidade, de gestão e monitoramento de riscos e de governança, além de oferecer módulos específicos para cada setor.

Fortes sistemas de gerenciamento de conformidade, em geral, incluem os seguintes recursos:

• Análises automatizadas para a identificação proativa de problemas.
• Painéis de dados e análises com informações disponíveis para fundamentar as decisões.
• Recursos para avaliar o risco de não conformidade e estabelecer níveis aceitáveis de risco.
• Diretrizes para a resolução de problemas de não conformidade.
• Relatórios com informações detalhadas de incidentes de violação de conformidade e o status das iniciativas de correção.

Importância do gerenciamento de conformidade

A importância do gerenciamento de conformidade varia de acordo com a organização. Para algumas, pode ser uma questão de vida ou morte, uma vez que falhas ou defeitos podem acarretar resultados catastróficos (por exemplo, na área de saúde, fabricação de dispositivos médicos, fabricação automotiva, mineração).

Em outros setores, é importante por proteger consumidores (a Lei do Cadastro Positivo, o Código de Defesa do Consumidor, a Lei Geral de Proteção de Dados, etc.).

Outro motivo da importância do gerenciamento de conformidade é que as agências reguladoras têm aumentado o valor das multas pelo seu descumprimento. Uma violação da Regra de Privacidade da Lei de Portabilidade e Responsabilidade de Seguros de Saúde (HIPAA, Privacy Rule in the Health Insurance Portability and Accountability Act) acarreta multa de até US$ 50 mil e pena de até um ano de detenção. E o descumprimento do Regulamento Geral de Proteção de Dados (GDPR, General Data Protection Regulation) da União Europeia pode acarretar em multas que variam de EUR 10 milhões ou o equivalente a 2% da receita anual de uma empresa referente ao exercício anterior a até EUR 20 milhões ou o equivalente a 4% da receita anual de uma empresa referente ao exercício anterior.

Além disso, alguns órgãos reguladores específicos do setor podem suspender ou revogar a capacidade das organizações de usar seus produtos ou serviços caso não estejam em conformidade. Por exemplo, o descumprimento do Padrão de Segurança de Dados do Setor de Cartões de Pagamento (PCI DSS, Payment Card Industry Data Security Standard) pode acarretar a suspensão da capacidade de uma organização de aceitar cartões de crédito.

Requisitos para o gerenciamento contínuo da conformidade

O gerenciamento de conformidade está longe de ser uma prática do tipo “configure e esqueça”. Leis e regulamentos são constantemente gerados e atualizados a fim de garantir os melhores resultados e proteger contra agentes mal-intencionados. A maioria das organizações possui uma complexa rede de leis, regulamentos e políticas que exigem o gerenciamento da conformidade.

Uma vez implementados, os sistemas e processos exigem manutenção contínua para acompanhar as mudanças nos requisitos e a aplicação das regras de forma eficaz. No entanto, os recursos investidos no gerenciamento de conformidade oferecem um incontestável retorno sobre o investimento.

Perguntas frequentes sobre o gerenciamento de conformidade

Veja a seguir respostas a algumas das perguntas mais frequentes a respeito do gerenciamento de conformidade.

O que é conformidade regulatória?

Conformidade regulatória é a adesão de uma organização a leis, regulamentos, diretrizes e especificações aplicáveis, estabelecidas e aplicadas por governos e órgãos reguladores. Ela fornece uma estrutura que auxilia organizações a conduzir suas atividades de forma legal e ética, protegendo não apenas seus interesses, mas também os de seus clientes, funcionários e do público em geral. A conformidade regulatória visa garantir que as práticas das organizações atendam aos requisitos mínimos em diversas áreas, como integridade financeira, proteção de dados, privacidade de dados, segurança dos funcionários, proteção ambiental e qualidade e segurança dos produtos.

O gerenciamento de conformidade requer regularidade na avaliação dos processos operacionais, na manutenção de registros, na realização de auditorias e na prestação de contas aos órgãos reguladores, conforme sejam necessárias. O descumprimento das diretrizes de conformidade regulatória pode resultar em penalidades, como multas, sanções ou restrições às atividades operacionais, além de danos à reputação.

A conformidade regulatória eficaz exige uma compreensão abrangente das leis aplicáveis e a implementação de estratégias robustas de governança, risco e conformidade (GRC). Algumas organizações têm equipes ou executivos de conformidade exclusivos, responsáveis por se manterem atualizados sobre as mudanças regulatórias, aconselhar sobre questões de conformidade e garantir que políticas, procedimentos e controles estejam em vigor e sejam seguidos em cumprimento a todas as obrigações legais.

Quais são os principais aspectos da conformidade regulatória?

São aspectos essenciais da conformidade regulatória:

• Compreensão dos requisitos legais.
• Desenvolvimento e manutenção de políticas e procedimentos que garantam a conformidade.
• Treinamento e formação de funcionários nos tópicos de conformidade relevantes para suas funções e responsabilidades.
• Realização de monitoramento e auditoria regulares.
• Documentação comprobatória de que as medidas de conformidade estão em vigor e sendo seguidas.
• Prestação de contas a órgãos reguladores, conforme necessário, fornecendo informações como saúde financeira da organização, conformidade com requisitos regulatórios específicos e atualizações sobre os esforços contínuos de conformidade.

Como o treinamento influencia o gerenciamento de conformidade?

O treinamento é parte importante do gerenciamento de conformidade. Trata-se de uma estratégia preventiva e de um mecanismo para o desenvolvimento da consciência e da responsabilidade relativa à conformidade dentro de uma organização. São características de um treinamento eficaz:

• Interativo e envolvente.
• Monitorado e medido.
• Regular e contínuo.
• Relevante e próprio para a função.

Os principais objetivos do treinamento em gerenciamento de conformidade são:

• Demonstração do compromisso com a conformidade: ao priorizar programas de treinamento abrangentes e contínuos, uma organização demonstra seu compromisso com a adesão aos requisitos de conformidade.
• Aumento da conscientização legal e regulatória: ao garantir que os funcionários entendam como a conformidade regulatória se relaciona com suas funções e com o setor em que a organização atua.
• Melhoria da tomada de decisões: ao permitir que os funcionários tomem decisões embasadas que levem em conta as implicações da não conformidade e que estejam alinhadas tanto aos requisitos legais quanto aos padrões organizacionais.
• Aumento da transparência: ao incentivar o diálogo aberto e a comunicação de dilemas éticos, preocupações ou a denúncia de violações de conformidade observadas.
• Promoção de uma cultura de conformidade: ao reforçar a importância da conformidade e da ética como componentes essenciais da cultura organizacional.

Redução de riscos e mitigação de custos: ao prevenir a não conformidade que pode resultar em incidentes (por exemplo, violações de dados) e sanções.