Maturidade do Compliance - Edição 44 - Business Insights - KPMG Brasil
Adoção de procedimentos de compliance ocorre nos mais diversos países, e cada vez mais seus modelos de implantação e gestão se aprimoram. No Brasil, também temos obtido avanços importantes, como bem demonstra a pesquisa Maturidade do Compliance no Brasil, realizada em 2017-2018 pela KPMG com base em respostas obtidas por meio da plataforma web com representantes de 450 empresas de diferentes estruturas e regiões. E, dentre esses representantes, 85% são tomadores de decisão -- por exemplo, conselheiros de administração, membros de comitês de auditoria, CEOs etc.
O relatório da pesquisa da KPMG abrange uma ampla série de temas. Vamos começar pelos temas de governança e cultura, reconhecidas como bases de um programa de Ética e compliance efetivo. A governança refere-se às estruturas de compliance existentes na empresa; já a Cultura de compliance consiste em uma combinação de costumes e crenças presentes no dia a dia na empresa. Ela atinge um grau de maturidade importante quando, por exemplo, os funcionários entendem o valor que esta atribui à integridade, à confiança e ao respeito pelas leis. Transformar a cultura com o objetivo de fortalecer as práticas de compliance é difícil, mas fundamental – e, nesse processo, um papel decisivo cabe aos líderes na empresa. Dentre os respondentes no levantamento da KPMG, 59% informaram que os líderes "insistem sempre que a governança e a cultura de
compliance são essenciais para o êxito da estratégia da empresa". Não basta, porém, reiterar de tempos em tempos esses aspectos. É preciso dotar a empresa de estruturas de compliance e atribuir-lhes
responsabilidades. A pesquisa registra que, em 2017-2018, apenas 9% das empresas não contavam com nenhuma estrutura desse tipo, enquanto o percentual com estruturas de compliance instaladas era de 42%. Ainda assim, tais práticas estavam sob a responsabilidade de outras áreas, principalmente da Auditoria Interna (12%), do jurídico (12%) ou das finanças/controladoria (9%). Como essas práticas se manifestam no dia a dia da empresa? Em 2017-2018, segundo 86% dos respondentes da pesquisa, o maior desafio consistia justamente em integrar a área de compliance às demais áreas de negócios. Mais ainda: 38% declararam que as áreas de negócios tinham um entendimento limitado dos riscos de conduta eventualmente relacionados ao compliance.
Esse dado sugere que, em alguns casos, esses procedimentos podem despontar como um objetivo proclamado e valorizado, porém distante da "guerra" diária por fatias do mercado.
Embora a maioria das empresas reconheça a importância de avaliar riscos para melhor abordá-los – e combatê-los – por meio de seu Programa de Ética e Compliance, as maneiras de realizar tais avaliações, de documentar os riscos detectados e até de envolver a equipe na "linha de defesa" variam muito. A Pesquisa apontou que 64% das empresas afirmam contar com um processo de avaliação de riscos de compliance, mas 54% admitem não dispor de um processo eficiente de due diligence para terceiros. Além disso, 38% dos respondentes afirmaram que as áreas de negócios têm entendimento dos riscos de compliance e apenas 33% disseram haver envolvimento do compliance em decisões estratégicas.
Além disso, para as empresas globais – que estão submetidas a diferentes obrigações regulatórias, posto que estas variam de país para país –, um inventário formalizado de seus regulamentos deve ser a base dos Programas de Ética e Compliance – inclusive para que a organização se prepare para capturar as mudanças e as tendências regulatórias. Sem um inventário das obrigações regulatórias, os executivos são desafiados a entender completamente quais são os riscos de compliance inerentes a cada regulamentação, e avaliar se os controles existentes bastam para mitigá-los. Regulamentações não inventariadas podem ser a fonte de graves riscos.
Chama atenção que 86% dos respondentes tenham afirmado que um dos maiores desafios da área de compliance é identificar, avaliar e monitorar os aspectos de compliance e regulatório, mas apenas 47% afirmem dispor de um inventário regulatório bem estabelecido e monitorado.
Mediante os problemas detectados, a pesquisa permite concluir que o nível de maturidade em avaliação de riscos de compliance é baixo – e que adotar boas práticas seria a única forma de as empresas se prevenirem, fosse para compreender suas próprias lacunas em termos de política de prevenção de riscos, fosse para priorizar medidas ou implementar as melhorias necessárias em todas as frentes envolvidas – da comunicação às áreas responsáveis por toda e qualquer forma de gestão e administração.
Vamos imaginar – e, infelizmente, no caso brasileiro, é fácil fazê-lo – que um departamento da empresa que gere grandes lucros distribua regularmente propinas às autoridades responsáveis pela aprovação de projetos. E que, ao serem questionados sobre essas ações, os responsáveis pelo setor declarem que, sem o pagamento dessas propinas, o volume de negócios e os lucros cairiam drasticamente. Além de interromper imediatamente essas práticas ilegais, de que modo a empresa deveria agir em relação aos funcionários envolvidos? Essa pergunta incômoda remete a outro item do Relatório de Pesquisa: Pessoas e Competências. Segundo o relatório, 69% dos respondentes afirmam que abordam "as infrações de compliance oportunamente e que ações disciplinares são apropriadamente aplicadas". No entanto, prossegue o documento, "muitas empresas ainda não vinculam o descumprimento dos requisitos de compliance com a remuneração variável dos funcionários ou com avaliações de desempenho".
A conclusão do relatório, portanto, pode ser resumida da seguinte forma: as empresas devem estar dispostas a tomar decisões difíceis, especialmente as de alto impacto. A ausência da atitude correta, por mais complicada que esta possa parecer, enfraquece a governança e a cultura de compliance. Já o oposto, isto é, a ação assertiva, ética e corajosa, desestimula qualquer tolerância em relação a malfeitos.
As políticas e procedimentos, em muitos casos referidos em um Código de Ética e Conduta, são outro item de um Programa de Ética e Compliance – e da pesquisa. Segundo o relatório, apenas 10% das empresas não possuem um Código de Ética e Conduta formalizado. Para as empresas restantes, porém, os percentuais de efetividade desses procedimentos variam.
Assim, 81% dos respondentes afirmaram que o Código de Ética e Conduta de suas empresas faz referência aos aspectos regulatórios e de compliance, enquanto 71% sustentaram que a Política e o Programa de Ética e Compliance são implementados de modo eficiente, com o objetivo de identificar condutas inadequadas e assegurar a investigação e a prevenção. Contudo, apenas 64% mencionaram a existência de incentivos e ações disciplinares em suas empresas, formalizados em políticas e procedimentos.
Pode-se imaginar que boa parte desses 81% de respondentes esteja satisfeita com o simples enunciado dos procedimentos do Código de Ética e Conduta, sem pensar muito na necessidade de concretizá-los por meio de incentivos e ações disciplinares. Seja como for, a distância entre os 81% e os 64% de respondentes sugere o quanto os procedimentos de compliance podem se expandir, tornando-se mais efetivos. As empresas devem reconhecer que eventuais melhorias em outras áreas do Programa de Ética e Compliance – como treinamento, comunicação e avaliação de riscos – precisam ser incorporadas às avaliações de impacto e planos de trabalho.
Como os quadros responsáveis pela área do compliance (os CCOs) avaliam se os seus programas de treinamento são efetivos? Qual é a relação entre o treinamento e a cultura de compliance? Cada vez mais empresas tentam responder a essas e outras questões semelhantes. A pesquisa revelou que 72% dos entrevistados receberam treinamento sobre compliance e anticorrupção; para um percentual ainda maior – 80% –, a principal ferramenta de treinamento foi o Código de Ética e Conduta da empresa. Esse instrumental é suficiente? Aparentemente, não: apenas 31% dos respondentes informaram que seus funcionários tiveram um grau de conformidade alto (superior a 90%) nos treinamentos. Isso coloca em pauta a adoção de medidas como uma supervisão e patrocínio mais rigorosos da governança e o reforço da cultura de compliance na empresa.
Análise de Dados e Tecnologia
Praticamente todos reconhecem que a utilização da tecnologia e a análise de dados são necessárias para reforçar, na empresa, a governança e a cultura de compliance. Contudo, segundo a pesquisa, apenas 32% das empresas recorrem à tecnologia para apoiar iniciativas como avaliação de riscos, testes, monitoramento, treinamento e relatórios. Os executivos que lançam mão da tecnologia para a análise dos dados nesse setor também devem considerar se a sua infraestrutura tecnológica suporta as atividades e Programas de Ética e Compliance, e se eventuais melhorias estão na ordem do dia. Em muitos casos, eles empregam tecnologias ultrapassadas, que não acompanham a evolução das mudanças regulatórias e dos padrões da indústria. O resultado é a incapacidade de identificar os riscos no momento certo, e, consequentemente, de fornecer respostas rápidas, bem como a impossibilidade de executar compliance em tempo real e de avaliar com precisão se o programa implementado tem efetividade, gera e protege valor, e promove vantagem competitiva. Vale ressaltar que a implementação de um sistema para monitoramento dos principais riscos de compliance é fundamental para manter a efetividade do programa de ética e compliance bem como para possibilitar que os executivos façam a identificação tempestiva de necessidades de aperfeiçoamento de seus processos e controles, além de contribuir para identificar e agir rapidamente, sanando eventuais desvios nos padrões de conduta ética.
Os pontos ressaltados aqui e outros constantes da pesquisa Maturidade do Compliance no Brasil comprovam que essas práticas atingiram a maturidade em nosso país e que o tema compliance tem sido cada vez mais pauta nas de Conselhos de Administração, Comitês de Auditoria e do C-Level. Isso não significa que a cultura do compliance tenha se universalizado no mundo empresarial. Estamos longe disso, infelizmente. Mas resta evidente que as exigências cresceram e em muitas organizações os procedimentos e ações disciplinares associados a essa cultura acompanharam tal evolução. Não basta uma empresa dispor de um Código de Ética e Conduta; trata-se agora de reforçar os procedimentos previstos nesses códigos por todos os meios – comunicações e treinamentos, políticas e procedimentos robustos, recursos tecnológicos (Compliance Analytics), gestão de riscos de terceiros e due diligence, ações disciplinares, investigação, monitoramento da efetividade do programa de compliance, entre outros – para fazer dos procedimentos de compliance uma realidade irreversível que proteja e gere valor e vantagem competitiva às organizações.