Canal de denúncias eficaz: o coração da ISO 37301

Um programa de compliance sem canal de denúncias eficaz é um corpo sem sistema nervoso: o sinal de problema existe, mas não chega a quem poderia agir. Quando chega, vem pela imprensa, pela fiscalização ou pela petição inicial. Não à toa, a ABNT NBR ISO 37301 trata o levantamento de preocupações como elemento central do sistema de gestão.

O que a ISO 37301 exige do canal

A 37301 é a norma certificável de compliance: cobre todas as obrigações da organização — legais, regulatórias, contratuais e voluntárias. Dois requisitos tratam do canal diretamente. A cláusula 8.3 pede processos acessíveis para levantar preocupações, com relato anônimo onde a lei permitir e com as pessoas informadas de seus direitos e proteções. A 8.4 trata da apuração: quem investiga precisa de competência, independência e objetividade, e o resultado vira informação documentada.

Repare no que a norma não faz: não fixa prazo, não define o comitê nem obriga a contratar fornecedor externo. Em auditoria, o prazo que vale é o do seu procedimento.

• Acessibilidade real a quem trabalha sob controle da organização e, quando aplicável, a terceiros;
• Proteção ao relator de boa-fé, comunicada — não apenas escrita em política;
• Confidencialidade da identidade e do conteúdo, com acesso restrito a quem apura;
• Tratamento formal — registro, triagem, apuração, decisão, consequência, retorno — e indicadores de eficácia.

Para quem tem exposição a suborno, a ISO 37001 acrescenta requisitos próprios — due diligence de parceiros, controles financeiros e não financeiros, investigação de suspeitas —, sempre nesse recorte; as duas costumam ser certificadas em conjunto, em auditoria integrada. Há ainda a ISO 37002, sobre gestão de denúncias: diretrizes, não norma certificável.

A camada brasileira: o canal que a lei já pede

Boa parte das organizações já tem obrigação legal de manter canal antes de pensar em certificar — e são obrigações distintas.

• Lei nº 12.846/2013, art. 7º, VIII — mecanismos internos de integridade e de incentivo à denúncia pesam na dosimetria das sanções;
• Decreto nº 11.129/2022, art. 57, X — canais abertos e amplamente divulgados a funcionários e terceiros, com tratamento das denúncias e proteção ao denunciante de boa-fé;
• Lei nº 13.303/2016, art. 9º, § 1º, III — estatais precisam de canal interno e externo, com proteção contra retaliação;
• Lei nº 14.457/2022, art. 23, II — empresas com CIPA devem apurar assédio sexual e violência, com anonimato garantido;
• Lei nº 14.611/2023, art. 4º, III — canais específicos para denúncias de discriminação salarial.

Um único canal atende a todas essas frentes, desde que a triagem separe o que cada uma exige: prazo, sigilo, quem apura e a quem se reporta. O erro comum é o oposto — canais paralelos por departamento, sem registro comparável.

Dados pessoais dentro do canal

Todo relato trata dados pessoais: do relator, do acusado, das testemunhas. A Lei nº 13.709/2018 incide desde o primeiro registro, e três pontos concentram os problemas.

• Base legal e finalidade — definidas antes do primeiro caso, no art. 7º ou no art. 11 quando há dado sensível;
• Acesso e retenção — quem vê o quê, por quanto tempo os registros ficam, o que se faz com o relato improcedente;
• Direitos do titular — o acusado também é titular; conciliar o art. 18 com o sigilo do relator exige regra escrita antes, não improviso.

Canal operado por fornecedor não transfere responsabilidade: ele é operador para a LGPD, e a decisão continua da organização.

O que a auditoria pede para ver

Documento nenhum sustenta esse requisito sozinho: o que se pede são rastros.

• Evidência de divulgação: onde, quando e para quem, inclusive fornecedores;
• Registros de tratamento com data de entrada, etapas percorridas e desfecho;
• Prova de que o prazo do próprio procedimento foi cumprido, ou o registro do desvio;
• Retorno ao relator, quando identificável, e reporte à alta direção com indicadores.

Praticamos o que auditamos: nosso Canal de Ética e Denúncias aceita relato com ou sem identificação e registra cada manifestação no portal de atendimento, com protocolo. Relato que não vira registro rastreável não demonstra tratamento.