🛡️ Compliance para pequenas empresas: controles que reduzem fraudes, erros e prejuízos

Compliance para pequenas empresas: 10 controles que reduzem fraudes, erros e prejuízos

Separar responsabilidades, controlar acessos, conferir pagamentos e documentar decisões ajuda pequenos negócios a crescer com mais segurança e menos dependência do proprietário

Por Cleiton Celini e Gledson Alves, sócios e contadores da AUDICONT Contabilidade

Um funcionário cadastra o fornecedor, recebe a nota fiscal, prepara o pagamento, autoriza a operação e ainda realiza a transferência bancária.

Em outra empresa, várias pessoas utilizam a mesma senha, contratos vencem sem acompanhamento, dados bancários de fornecedores são alterados sem confirmação e decisões relevantes ficam registradas apenas em conversas de WhatsApp.

Enquanto o movimento é pequeno e o proprietário acompanha pessoalmente quase tudo, essas fragilidades podem passar despercebidas. O problema aparece quando ocorre um pagamento indevido, uma fraude, um vazamento de informações, a saída inesperada de um colaborador ou a exigência de controles por parte de um grande cliente.

É nesse momento que muitos empresários percebem que o crescimento da empresa não foi acompanhado pela organização dos processos.

Durante anos, o termo compliance foi associado principalmente a bancos, multinacionais e companhias abertas. Para pequenos empresários, o assunto parecia exigir departamentos jurídicos, auditorias permanentes e estruturas incompatíveis com a realidade de seus negócios.

Essa percepção precisa ser revista.

Uma pequena empresa não precisa reproduzir a estrutura de uma grande corporação. Precisa identificar os riscos mais relevantes da sua operação e criar controles compatíveis com seu porte, sua atividade e sua capacidade operacional.

Na prática, compliance proporcional significa estabelecer regras claras para pagamentos, contratações, acessos, tratamento de informações, relacionamento com terceiros e tomada de decisões.

O objetivo não é criar burocracia. É reduzir a possibilidade de que erros, fraudes ou operações sem documentação provoquem prejuízos financeiros, fiscais, trabalhistas, operacionais ou reputacionais.

Compliance, programa de integridade e controles internos não são a mesma coisa

Embora estejam relacionados, os três conceitos possuem funções diferentes.

Compliance é a gestão das obrigações que a empresa precisa cumprir. Essas obrigações podem decorrer da legislação, de contratos, regulamentos, normas técnicas, políticas internas, códigos de conduta e compromissos assumidos com clientes, fornecedores ou instituições financeiras.

Programa de integridade, especialmente no contexto da Lei Anticorrupção, é o conjunto de mecanismos utilizado para prevenir, detectar e corrigir irregularidades e atos ilícitos, além de promover uma cultura de ética e integridade dentro da organização.

Controles internos são os procedimentos aplicados à rotina para reduzir erros, fraudes, desperdícios e operações sem autorização. Conferência de pagamentos, segregação de funções, controle de acessos, inventários, conciliações e revisão de contratos são alguns exemplos.

Uma empresa pode possuir controles internos sem ter um programa formal de compliance. Também pode elaborar um código de conduta e continuar exposta se as regras não forem conhecidas, aplicadas e comprovadas.

O que torna um controle efetivo não é sua existência no papel, mas sua utilização consistente na rotina.

Pequenas empresas também estão expostas a riscos

O porte reduz a complexidade da estrutura, mas não elimina os riscos.

Pequenos negócios podem se relacionar com órgãos públicos para obter licenças, alvarás, registros, certidões e autorizações. Também podem participar de licitações, prestar serviços a grandes organizações ou integrar cadeias de fornecedores sujeitas a critérios de integridade.

Internamente, os riscos aparecem em situações comuns:

• pagamentos duplicados ou sem documentação;
• fornecedores fictícios ou com dados bancários adulterados;
• despesas pessoais pagas pela empresa;
• descontos concedidos sem autorização;
• conflitos de interesse;
• contratos assinados sem análise;
• senhas compartilhadas;
• acessos mantidos após desligamentos;
• alterações de estoque sem registro;
• vazamento de informações;
• ausência de comprovação das decisões;
• concentração excessiva de funções;
• dependência do proprietário ou de um único empregado.

Em pequenas empresas, é comum que a mesma pessoa desempenhe diversas atividades. Nem sempre será possível separar completamente quem compra, cadastra, confere e paga.

Quando a segregação integral não for viável, a empresa deve adotar controles compensatórios.

Uma operação pode ser preparada por um colaborador, por exemplo, mas conferida posteriormente pelo sócio ou por outro responsável. Também podem ser utilizados limites de valores, autorizações prévias, relatórios bancários, registros eletrônicos e revisões periódicas.

A Lei Anticorrupção também alcança pequenos negócios

A Lei nº 12.846/2013 estabelece a responsabilização administrativa e civil das pessoas jurídicas pela prática de atos contra a administração pública nacional ou estrangeira.

A responsabilização da empresa é objetiva. Isso significa que a pessoa jurídica pode ser responsabilizada independentemente da comprovação de culpa de seus dirigentes, sem prejuízo da responsabilização individual das pessoas envolvidas.

O enquadramento no Simples Nacional ou a condição de microempresa ou empresa de pequeno porte não afastam automaticamente a aplicação da legislação.

A existência e a aplicação efetiva de mecanismos internos de integridade, auditoria, incentivo ao relato de irregularidades e códigos de ética podem ser consideradas na avaliação do programa e na aplicação das sanções.

O Decreto nº 11.129/2022 determina que o programa de integridade seja estruturado, aplicado e atualizado conforme as características e os riscos atuais das atividades de cada pessoa jurídica. A norma também prevê parâmetros simplificados para microempresas e empresas de pequeno porte.

A Portaria Conjunta CGU/SMPE nº 2.279/2015 reconhece que os programas de integridade dessas empresas podem possuir menor complexidade e formalidade, desde que sejam compatíveis com os riscos e efetivamente aplicados.

Proporcionalidade, portanto, não significa ausência de controle. Significa concentrar esforços nos riscos que realmente podem afetar a continuidade, o caixa e a reputação do negócio.

A integridade empresarial continua em evolução

A Controladoria-Geral da União atualizou, em 2024, suas Diretrizes para Empresas Privadas, incorporando a regulamentação atual da Lei Anticorrupção, as disposições da Lei nº 14.133/2021 e práticas mais recentes de governança e integridade empresarial.

Em 2025, a CGU também instituiu uma nova regulamentação do Programa Empresa Pró-Ética, destinado a estimular a adoção voluntária de medidas para prevenir, detectar e remediar fraudes e atos de corrupção.

A Portaria Normativa CGU nº 203/2025 instituiu a edição atual do programa, enquanto a Instrução Normativa CGU/SIPRI nº 46/2025 regulamentou o Pró-Ética 2025–2026.

Essas iniciativas não criam uma obrigação geral para que toda pequena empresa participe do Pró-Ética. Demonstram, porém, que integridade, transparência, responsabilidade socioambiental e prevenção de fraudes ocupam espaço crescente nas relações empresariais.

O primeiro passo é identificar os riscos

Um dos erros mais frequentes é começar pela elaboração de políticas extensas, copiadas de modelos genéricos.

Antes de produzir documentos, a empresa precisa identificar onde estão seus principais riscos.

Algumas perguntas ajudam nesse diagnóstico:

• Quem cadastra, aprova e paga os fornecedores?
• Quem possui acesso às contas bancárias?
• Existem limites de aprovação conforme o valor?
• Como alterações de dados bancários são confirmadas?
• Contratos são revisados antes da assinatura?
• Quem acompanha vencimentos, reajustes e renovações?
• A empresa participa de licitações ou atende órgãos públicos?
• Há intermediários atuando em nome da organização?
• Como descontos e condições comerciais são autorizados?
• Quem pode acessar dados financeiros, fiscais e trabalhistas?
• O que acontece com os acessos quando um empregado deixa a empresa?
• Existe um meio confiável para relatar irregularidades?

As respostas mostram quais processos precisam de atenção imediata.

Dez controles que pequenas empresas podem começar a adotar

Esses controles não precisam começar com sistemas caros.

Planilhas controladas, checklists, usuários individualizados, fluxos de aprovação e relatórios periódicos podem atender às necessidades iniciais, desde que sejam atualizados e realmente utilizados.

Um controle deixa de cumprir sua finalidade quando existe apenas no papel ou pode ser ignorado sem justificativa.

A falta de organização afeta a contabilidade

Controles internos não protegem apenas o caixa. Eles interferem diretamente na qualidade das informações contábeis, fiscais e gerenciais.

Quando pagamentos são realizados sem documentos, movimentações de estoque não são registradas e despesas pessoais se confundem com gastos empresariais, a contabilidade recebe informações incompletas ou inconsistentes.

Entre os problemas que podem surgir estão:

• despesas sem comprovação;
• pagamentos registrados em duplicidade;
• saldos incorretos de clientes e fornecedores;
• retiradas de sócios classificadas inadequadamente;
• divergências entre o estoque físico e o contábil;
• ativos sem controle de aquisição, localização ou baixa;
• lançamentos realizados em contas incorretas;
• documentos entregues com atraso;
• contingências fiscais e trabalhistas;
• demonstrações contábeis menos confiáveis.

A conciliação contábil ajuda a identificar parte dessas divergências, mas não substitui a organização dos processos na origem.

Quando as operações possuem responsáveis definidos, documentos de suporte e autorizações registradas, a empresa melhora a qualidade da escrituração e das informações utilizadas pelos administradores.

Isso permite analisar com mais segurança o resultado, o endividamento, a geração de caixa, as margens e a necessidade de capital de giro.

O proprietário não pode ser o único controle

Em muitos pequenos negócios, todas as decisões passam pelo proprietário.

Essa centralização pode funcionar no início, mas cria sobrecarga e dependência.

Quando apenas o sócio conhece os procedimentos, possui as senhas, aprova as despesas e resolve todas as exceções, a empresa não desenvolve controles institucionais. Ela depende permanentemente da presença de uma única pessoa.

O objetivo não é retirar a autoridade do empresário, mas transformar decisões recorrentes em procedimentos claros.

A equipe precisa saber:

• o que pode executar;
• quem deve autorizar;
• quais documentos são necessários;
• como tratar situações excepcionais;
• quando o assunto deve ser encaminhado à liderança.

A documentação também protege o administrador, pois permite demonstrar quais regras foram definidas, quais aprovações foram concedidas e quais providências foram adotadas diante de uma falha.

As regras também precisam valer para os sócios

Um programa perde credibilidade quando as políticas se aplicam apenas aos empregados.

Se os sócios realizam pagamentos sem documentação, compartilham senhas, ignoram limites de aprovação ou permitem exceções informais, a equipe entende que os controles são facultativos.

Em pequenas empresas, o exemplo dos proprietários possui impacto ainda maior porque eles participam diretamente das operações.

A liderança precisa:

• respeitar os fluxos de aprovação;
• não misturar despesas pessoais e empresariais;
• registrar exceções;
• corrigir falhas identificadas;
• tratar relatos de irregularidades com seriedade;
• impedir retaliações;
• aplicar as regras de maneira coerente.

A cultura da empresa é formada mais pelo comportamento diário dos gestores do que pelo conteúdo de um manual.

Terceiros e fornecedores também fazem parte do risco

Representantes comerciais, despachantes, consultores, prestadores de serviços e fornecedores podem atuar em nome ou no interesse da empresa.

Por isso, a contratação de terceiros não deve considerar apenas preço e disponibilidade.

Conforme o nível de risco, podem ser verificados:

• regularidade cadastral;
• identidade dos sócios;
• licenças e certidões;
• capacidade técnica;
• referências comerciais;
• histórico de sanções;
• forma de remuneração;
• necessidade real do serviço;
• eventual relação com agentes públicos.

O nível de análise deve ser proporcional.

Um fornecedor de materiais de escritório não exige o mesmo procedimento aplicável a um intermediário contratado para representar a empresa perante órgãos públicos.

Os contratos também podem estabelecer obrigações relacionadas à integridade, confidencialidade, proteção de dados, cumprimento da legislação e rescisão em caso de irregularidade.

Licitações podem exigir programas de integridade

A Lei nº 14.133/2021 ampliou a importância dos programas de integridade nas contratações públicas.

A legislação prevê, entre outras situações, a exigência de implantação de programa de integridade pelo licitante vencedor em contratações de grande vulto, dentro do prazo estabelecido no contrato.

Também permite considerar a existência de programa de integridade em determinados critérios de desempate e na aplicação ou reabilitação de sanções.

Para pequenas empresas, a exigência concreta dependerá do valor e da natureza da contratação, do edital, da legislação aplicável e das regras do órgão contratante.

Mesmo quando a empresa não participa diretamente de uma licitação de grande vulto, pode integrar a cadeia de fornecedores de uma organização obrigada a adotar controles mais rigorosos.

Por isso, a análise não deve se limitar à pergunta “a lei obriga minha empresa?”. Também é necessário verificar o que clientes, contratos, editais e parceiros comerciais exigem.

Controle de acessos também faz parte da integridade

Com a digitalização das operações, informações financeiras, fiscais, trabalhistas e comerciais passaram a circular por sistemas, aplicativos e serviços em nuvem.

A empresa precisa saber quem acessa cada sistema e quais operações cada usuário pode executar.

Algumas medidas iniciais são:

• criar usuários individualizados;
• impedir o compartilhamento de senhas;
• liberar acessos conforme a função;
• utilizar autenticação em duas etapas;
• revisar permissões periodicamente;
• revogar acessos imediatamente após o desligamento;
• definir onde os documentos serão armazenados;
• manter cópias de segurança;
• registrar incidentes e providências adotadas.

Quando várias pessoas utilizam o mesmo usuário, torna-se difícil identificar quem realizou uma alteração, aprovou uma operação ou acessou determinada informação.

Permissões excessivas também aumentam a exposição. Cada colaborador deve acessar apenas os dados e as funcionalidades necessários ao exercício de sua atividade.

Código de conduta e canal de relatos devem ser proporcionais

O código de conduta deve refletir a realidade da empresa.

Um documento curto, claro e conhecido pela equipe costuma ser mais útil do que um manual extenso copiado de uma grande corporação.

Entre os assuntos que podem ser tratados estão:

• relacionamento com clientes e fornecedores;
• conflitos de interesse;
• presentes, brindes e hospitalidades;
• contato com agentes públicos;
• proteção de informações;
• uso de equipamentos e sistemas;
• prevenção ao assédio e à discriminação;
• utilização dos recursos da empresa;
• comunicação de irregularidades;
• consequências pelo descumprimento.

O meio utilizado para relatar irregularidades também deve ser compatível com o porte e os riscos da organização.

Pode ser um endereço eletrônico específico, um formulário, um responsável designado ou um canal administrado por terceiro.

O ponto central é garantir confidencialidade, impedir retaliações e definir como as manifestações serão recebidas, analisadas e documentadas.

Em estruturas muito pequenas, deve existir uma alternativa para situações que envolvam a pessoa normalmente responsável pelo recebimento do relato. A manifestação não pode ser encaminhada justamente ao gestor ou proprietário envolvido na situação.

Criar um canal sem estabelecer um procedimento de análise também não resolve o problema. A empresa precisa definir responsáveis, critérios mínimos de apuração e registro das providências adotadas.

Como começar sem criar burocracia

A implantação pode ocorrer gradualmente.

1. Mapear os principais riscos

Identificar onde um erro, fraude ou descumprimento pode provocar maior prejuízo financeiro, legal, operacional ou reputacional.

2. Definir responsabilidades

Determinar quem executa, quem confere e quem aprova cada operação relevante.

3. Priorizar processos críticos

Começar por pagamentos, fornecedores, contratos, acessos, estoques, dados e relacionamento com o setor público.

4. Estabelecer limites de aprovação

Definir quais operações podem ser autorizadas por cada cargo ou responsável, especialmente em compras, pagamentos, descontos e contratações.

5. Documentar as regras essenciais

Criar procedimentos objetivos, checklists e orientações para situações comuns e excepcionais.

6. Comunicar e treinar

Explicar as regras utilizando exemplos da rotina da própria empresa.

7. Registrar evidências

Manter autorizações, conferências, decisões, treinamentos e providências documentados.

8. Monitorar e atualizar

Verificar se os controles estão sendo cumpridos e revisá-los após falhas, mudanças na equipe, implantação de sistemas, crescimento da empresa ou alteração da legislação.

A ISO 37301 pode servir como referência

A ISO 37301 apresenta requisitos e orientações para sistemas de gestão de compliance e pode ser utilizada por organizações de diferentes portes.

Seu escopo envolve a identificação das obrigações de compliance, a avaliação de riscos, a definição de responsabilidades, a implementação de controles, o monitoramento dos resultados e a melhoria contínua.

A norma recebeu, em 2024, uma emenda relacionada à consideração das mudanças climáticas nos sistemas de gestão.

Isso não significa que toda pequena empresa precise buscar certificação.

A ISO pode ser utilizada apenas como referência para estruturar responsabilidades, controles e mecanismos de acompanhamento. A decisão de adotar integralmente a norma ou buscar certificação dependerá das exigências dos clientes, dos objetivos da empresa e da complexidade das operações.

Grandes clientes podem exigir controles dos fornecedores

Empresas de maior porte frequentemente realizam processos de homologação e avaliação de fornecedores.

Dependendo do setor e do contrato, podem ser solicitados:

• código de conduta;
• política anticorrupção;
• regras de proteção de dados;
• certidões;
• identificação dos sócios;
• declaração de conflitos de interesse;
• informações sobre processos e sanções;
• comprovação de treinamentos;
• canal de relatos;
• evidências de controles internos.

A ausência dessas estruturas pode dificultar uma contratação, mesmo quando o pequeno fornecedor possui preço, capacidade técnica e qualidade competitivos.

Controles organizados também podem ser relevantes em negociações com instituições financeiras, entrada de investidores, auditorias de clientes, sucessão empresarial e venda da empresa.

Compliance não garante crédito, contratos ou investimentos. No entanto, a capacidade de demonstrar organização, rastreabilidade e controle reduz a incerteza de quem pretende manter uma relação comercial com o negócio.

Erros que transformam compliance em burocracia

Alguns erros fazem com que o programa exista formalmente, mas não produza resultados:

• copiar políticas incompatíveis com a empresa;
• produzir documentos que ninguém conhece;
• criar controles sem definir responsáveis;
• exigir aprovações desnecessárias para operações de baixo risco;
• não registrar exceções;
• manter acessos de ex-empregados;
• concentrar cadastro, aprovação e pagamento na mesma pessoa;
• ignorar relatos de irregularidades;
• aplicar regras apenas aos empregados;
• deixar de revisar os procedimentos após o crescimento da operação.

O objetivo não é impedir decisões rápidas. É permitir que sejam tomadas com responsabilidade, autorização e rastreabilidade.

Segundo Cleiton Celini e Gledson Alves, sócios e contadores da AUDICONT Contabilidade, pequenas empresas normalmente não sofrem pela ausência de um departamento formal de compliance, mas pela concentração de tarefas, falta de registros, permissões excessivas nos sistemas e inexistência de conferências independentes.

O primeiro passo não é produzir um grande número de políticas. É identificar onde um erro, uma fraude ou uma decisão sem documentação pode provocar maior prejuízo.

A partir desse diagnóstico, a empresa pode implantar controles proporcionais, melhorar a qualidade das informações contábeis e evoluir sua estrutura conforme o crescimento da operação.

Perguntas frequentes

1. Pequenas empresas são obrigadas a ter compliance?

Não existe uma obrigação geral que imponha a todas as pequenas empresas um programa idêntico. No entanto, determinadas atividades, contratos, licitações, clientes ou setores regulados podem estabelecer exigências específicas. Mesmo quando não existe obrigação formal, controles proporcionais ajudam a reduzir riscos.

2. Compliance e controles internos são a mesma coisa?

Não. Controles internos são procedimentos utilizados para reduzir erros, fraudes e operações sem autorização. Compliance é mais amplo e envolve a gestão das obrigações legais, regulatórias, contratuais, éticas e internas da empresa.

3. A Lei Anticorrupção aplica-se às empresas do Simples Nacional?

Sim. O enquadramento no Simples Nacional não exclui automaticamente a pessoa jurídica do alcance da Lei nº 12.846/2013. A legislação trata da responsabilização por atos praticados contra a administração pública.

4. Qual controle deve ser implantado primeiro?

A prioridade depende dos riscos da operação. Em muitas empresas, os primeiros controles envolvem pagamentos, cadastro de fornecedores, acessos bancários, contratos, estoques, proteção de informações e divisão de responsabilidades.

5. A empresa precisa contratar um profissional exclusivo de compliance?

Não necessariamente. As atribuições podem ser distribuídas conforme a estrutura da empresa, desde que as responsabilidades estejam definidas e exista independência suficiente para conferências e apurações.

6. Implantar controles internos é caro?

Nem sempre. Muitos controles iniciais dependem mais de organização, definição de responsabilidades, registros e conferências do que de grandes investimentos. Os custos aumentam conforme a complexidade da operação e as exigências do mercado.

Fontes consultadas

• Controladoria-Geral da União - Programa de Integridade: Diretrizes para Empresas Privadas, volume II.
• Controladoria-Geral da União - Coleção Programa de Integridade Privada.
• Controladoria-Geral da União - Normativos de Integridade Privada.
• Controladoria-Geral da União - Programa Empresa Pró-Ética 2025–2026.
• Lei nº 12.846, de 1º de agosto de 2013- Lei Anticorrupção.
• Decreto nº 11.129, de 11 de julho de 2022 - regulamentação da Lei Anticorrupção.
• Portaria Conjunta CGU/SMPE nº 2.279, de 9 de setembro de 2015.
• Lei nº 14.133, de 1º de abril de 2021 - Lei de Licitações e Contratos Administrativos.
• Portaria Normativa CGU nº 203, de 15 de abril de 2025.
• Instrução Normativa CGU/SIPRI nº 46, de 15 de abril de 2025.
• ISO 37301:2021 - Compliance management systems.
• ISO 37301:2021/Amd 1:2024 - Climate action changes.