Source: https://www.cesarramos.com.br/artigos/gestao-dos-riscos-corporativos-e-a-lei-anticorrupcao/
Timestamp: 2018-11-15 02:16:59+00:00

Document:
Lei Anticorrupção - César Ramos & Cia
Gestão dos riscos corporativos no contexto da Lei Anticorrupção. O que muda?
Como adequar os controles internos e o sistema de gestão de riscos corporativos das empresas que participam de licitações públicas aos novos requerimentos da Lei Anticorrupção?
A Lei Nº 12.846 de 1 de Agosto de 2013, também conhecida como Lei anticorrupção, entrou em vigor no inicio do ano 2014, cento e oitenta dias após a data da sua publicação e foi regulamentada pelo Decreto Nº 8.420 de 18 de março de 2015. A Lei tem impactos relevantes para qualquer empresa, sociedade empresarial independentemente do modelo societário adotado, fundação ou associação, que participa de licitações públicas. A Lei cria punições civis e administrativas que podem atingir 20% do faturamento bruto (do ano anterior) da pessoa jurídica envolvida em ato de corrupção, ou até mesmo levar a dissolução da entidade quando a prática de corrupção é habitual. No âmbito da gestão integrada da governança, dos riscos corporativos e do controle interno dentro das organizações, a novidade introduzida pela Lei Anticorrupção consiste na exigência de implantação de mecanismos de gestão de riscos e controles internos que sejam capazes de reduzir o risco de ocorrência de atos ilícitos contra a administração pública, nacional ou estrangeira e sobre tudo, que impossibilitem a ocorrência habitual de corrupção pelos dirigentes, executivos ou empregados das pessoas jurídicas envolvidas em transações com a administração pública.
A Lei Anticorrupção no contexto do código penal brasileiro
O código penal brasileiro estabelece nos artigos 317 que trata da “corrupção passiva” e 333 que trata da “corrupção ativa” a pena de 2 a 12 anos de reclusão e multa por crimes de corrupção. O crime de “corrupção ativa” consiste em “oferecer ou prometer vantagem indevida a funcionário público, para determiná-lo a praticar, omitir ou retardar ato de ofício” e o crime de “corrupção passiva” consiste em “solicitar ou receber, para si ou para outrem, direta ou indiretamente, ainda que fora da função ou antes de assumi-la, mas em razão dela, vantagem indevida, ou aceitar promessa de tal vantagem”.
Até a entrada em vigor da Lei anticorrupção, o foco estava concentrado nas pessoas físicas envolvidas em atos de corrupção, ou seja, nos políticos, nos servidores públicos e nos executivos das organizações que, em caso de corrupção, perdiam seus mandatos, eram demitidos e podiam ser condenados à vários anos de reclusão. Mas no contexto do código penal, dificilmente as pessoas jurídicas sofriam punições.
A Lei Nº 12.846 de 1 de Agosto de 2013, também conhecida como Lei anticorrupção, dispõe sobre a responsabilização administrativa e civil de pessoas jurídicas pela prática de atos contra a administração pública, nacional ou estrangeira, e dá outras providencias. A Lei estabelece punições civis e administrativas para as pessoas jurídicas envolvidas em atos de corrupção que podem levar em casos graves até a dissolução da pessoa jurídica.
Apresentação dos principais dispositivos e sanções da Lei Anticorrupção
A Lei Nº12.846 aplica-se às sociedades empresárias e às sociedades simples, personificadas ou não, independentemente da forma de organização ou modelo societário adotado, bem como a quaisquer fundações, associações de entidades ou pessoas, ou sociedades estrangeiras, que tenham sede, filial ou representação no território brasileiro, constituídas de fato ou de direito, ainda que temporariamente.
O artigo 2 da Lei indica que as pessoas jurídicas serão responsabilizadas objetivamente, nos âmbitos administrativo e civil, pelos atos lesivos previstos nesta Lei praticados em seu interesse ou benefício, exclusivo ou não. Claramente, tal dispositivo tem como objetivo promover que as pessoas jurídicas elas mesmas instituam sistemas de gestão de riscos e controles internos que permitem controlar e monitorar a conduta dos seus agentes (dirigentes, executivos ou empregados) de forma a evitar que estes pratiquem atos lesivos contra a administração pública e a moral administrativa.
O artigo 3 da Lei indica que a responsabilização da pessoa jurídica não exclui a responsabilidade individual de seus dirigentes ou administradores ou de qualquer pessoa natural, autora, coautora ou partícipe do ato ilícito. Porém, os dirigentes ou administradores somente serão responsabilizados por atos ilícitos na medida da sua culpabilidade.
A Lei define no artigo 5 os atos lesivos à administração pública, nacional ou estrangeira.
Constituem atos lesivos, todos os atos praticados por pessoas jurídicas que atentem contra o patrimônio público nacional ou estrangeiro, contra os princípios da administração pública ou contra os compromissos internacionais assumidos pelo Brasil. Por exemplo, prometer, oferecer ou dar, direta ou indiretamente, vantagem indevida a agente público, ou a terceira pessoa a ele relacionada. No tocante a licitações e contratos, frustrar ou fraudar o caráter competitivo de procedimento licitatório público é outro exemplo de ato lesivo contra à administração pública.
O artigo 6 da Lei define as sanções que, na esfera administrativa, serão aplicadas às pessoas jurídicas consideradas responsáveis pelos atos lesivos previstos na Lei. A principal punição consiste na aplicação de uma multa, que poderá variar entre o valor de 0,1% (um décimo por cento) e o valor de 20% (vinte por cento) do faturamento bruto do último exercício anterior ao da instauração do processo administrativo, excluídos os tributos, da pessoa jurídica envolvida em ato de corrupção. A multa nunca poderá ser inferior à vantagem auferida, quando for possível sua estimação e a aplicação da multa não exclui, em qualquer hipótese, a obrigação da reparação integral do dano causado à administração pública.
O artigo 7 da Lei indica quais aspectos serão levados em consideração na aplicação das sanções, entre os quais: a gravidade da infração (inciso 1); a vantagem auferida ou pretendida pelo infrator (inciso 2); a consumação ou não da infração (inciso 3); o grau de lesão ou perigo de lesão (inciso 4); o efeito negativo produzido pela infração (inciso 5); a situação econômica do infrator (inciso 6); a cooperação da pessoa jurídica para a apuração das infrações (inciso 7); a existência de mecanismos e procedimentos internos de integridade, auditoria e incentivo à denúncia de irregularidades e a aplicação efetiva de códigos de ética e de conduta no âmbito da pessoa jurídica (inciso 8); e o valor dos contratos mantidos pela pessoa jurídica com o órgão ou entidade pública lesados (inciso 9). O paragrafo único do artigo 7 indica que os parâmetros de avaliação dos mecanismos e procedimentos de gestão de riscos e controle interno definidos no inciso 8 serão estabelecidos em regulamento do Poder Executivo federal.
O artigo 19 da Lei indica que em razão da prática de atos lesivos à administração, a União, os Estados, o Distrito Federal e os Municípios, por meio das respectivas Advocacias Públicas ou órgãos de representação judicial, ou equivalentes, e o Ministério Público, poderão ajuizar ação com vistas à aplicação das seguintes sanções às pessoas jurídicas infratoras: perdimento dos bens, direitos ou valores que representem vantagem ou proveito direta ou indiretamente obtidos da infração (inciso 1); suspensão ou interdição parcial de suas atividades (inciso 2); dissolução compulsória da pessoa jurídica (inciso 3); proibição de receber incentivos, subsídios, subvenções, doações ou empréstimos de órgãos ou entidades públicas e de instituições financeiras públicas ou controladas pelo poder público, pelo prazo mínimo de um e máximo de cinco anos (inciso 4). A dissolução compulsória da pessoa jurídica será determinada quando comprovado: ter sido a personalidade jurídica utilizada de forma habitual para facilitar ou promover a prática de atos ilícitos; ou ter sido constituída para ocultar ou dissimular interesses ilícitos ou a identidade dos beneficiários dos atos praticados.
Entrada em vigor da Lei Anticorrupção e Decreto regulamentar
A Lei entrou em vigor no inicio do ano 2014, cento e oitenta dias após a data da sua publicação e foi regulamentada pelo Decreto Nº 8.420 de 18 de março de 2015. O Decreto regulamentar define os requerimentos a serem implantados pelas pessoas jurídicas para melhorar seus mecanismos internos de gestão de riscos corporativos e de controle interno.
O capítulo 4 do Decreto Nº 8.420 define o conteúdo do programa de integridade mencionado pela Lei Nº 12.846.
O Decreto indica que “o programa de integridade consiste, no âmbito de uma pessoa jurídica, no conjunto de mecanismos e procedimentos internos de integridade, auditoria e incentivo à denúncia de irregularidades e na aplicação efetiva de códigos de ética e de conduta, políticas e diretrizes com objetivo de detectar e sanar desvios, fraudes, irregularidades e atos ilícitos praticados contra a administração pública, nacional ou estrangeira”.
Ao analisar o artigo 41 no âmbito da governança, da gestão dos riscos corporativos e do controle interno, o Decreto define claramente o “programa de integridade” como um conjunto de ferramentas que tem determinados objetivos. Entre as ferramentas, o Decreto cita mecanismos e procedimentos internos, políticas, códigos de ética, diretrizes e a existência de um canal de denúncias de irregularidades. Entre os objetivos, o Decreto cita um objetivo geral que consiste em detectar e sanear desvios, e objetivos específicos que consistem em detectar e sanear fraudes, irregularidades e atos ilícitos praticados contra a administração assim como promover a denúncia de irregularidades.
Em outras palavras, o Decreto exige das pessoas jurídicas envolvidas em transações com a administração pública tenham um “programa de integridade” que é usualmente chamado no mundo corporativo de sistema de “compliance” que seja integrado com a governança, a gestão dos riscos corporativos e o controle interno dentro das organizações.
O paragrafo único do artigo 41 do Decreto, claramente integra o programa de integridade que está definido na Lei com a gestão dos riscos corporativos dentro das organizações, ao indicar que “o programa de integridade deve ser estruturado, aplicado e atualizado de acordo com as características e riscos atuais das atividades de cada pessoa jurídica, a qual por sua vez deve garantir o constante aprimoramento e adaptação do referido programa, visando garantir sua efetividade”.
O artigo 42 do Decreto, é mais especifico com relação ao conteúdo do programa de integridade que espera-se que as pessoas jurídicas tenham implantado.
A seguir estão apresentados os requisitos definidos pelo Decreto nos e seus impactos esperados nas organizações.
(Artigo 42) Impactos esperados
(Reflexões e interpretações do Autor)
1 Comprometimento da alta direção da pessoa jurídica, incluídos os conselhos, evidenciado pelo apoio visível e inequívoco ao programa; Implantação das seguintes ferramentas:
2 Padrões de conduta, código de ética, políticas e procedimentos de integridade, aplicáveis a todos os empregados e administradores, independentemente de cargo ou função exercidos; Implantação das seguintes ferramentas:
3 Padrões de conduta, código de ética e políticas de integridade estendidas, quando necessário, a terceiros, tais como, fornecedores, prestadores de serviço, agentes intermediários e associados; Implantação das seguintes ferramentas:
4 Treinamentos periódicos sobre o programa de integridade; Implantação das seguintes ferramentas:
5 Análise periódica de riscos para realizar adaptações necessárias ao programa de integridade; Implantação das seguintes ferramentas:
7 Controles internos que assegurem a pronta elaboração e confiabilidade de relatórios e demonstrações financeiros da pessoa jurídica; Implantação das seguintes ferramentas:
8 Procedimentos específicos para prevenir fraudes e ilícitos no âmbito de processos licitatórios, na execução de contratos administrativos ou em qualquer interação com o setor público, ainda que intermediada por terceiros, tal como pagamento de tributos, sujeição a fiscalizações, ou obtenção de autorizações, licenças, permissões e certidões; Implantação das seguintes ferramentas:
9 Independência, estrutura e autoridade da instância interna responsável pela aplicação do programa de integridade e fiscalização de seu cumprimento Implantação das seguintes ferramentas:
10 Canais de denúncia de irregularidades, abertos e amplamente divulgados a funcionários e terceiros, e de mecanismos destinados à proteção de denunciantes de boa-fé; Implantação das seguintes ferramentas:
11 Medidas disciplinares em caso de violação do programa de integridade Implantação das seguintes ferramentas:
12 Procedimentos que assegurem a pronta interrupção de irregularidades ou infrações detectadas e a tempestiva remediação dos danos gerados; Implantação das seguintes ferramentas:
13 Diligências apropriadas para contratação e, conforme o caso, supervisão, de terceiros, tais como, fornecedores, prestadores de serviço, agentes intermediários e associados; Implantação das seguintes ferramentas:
14 Verificação, durante os processos de fusões, aquisições e reestruturações societárias, do cometimento de irregularidades ou ilícitos ou da existência de vulnerabilidades nas pessoas jurídicas envolvidas; Implantação das seguintes ferramentas:
15 Monitoramento contínuo do programa de integridade visando seu aperfeiçoamento na prevenção, detecção e combate à ocorrência dos atos lesivos previstos no art. 5o da Lei no 12.846, de 2013 Implantação das seguintes ferramentas:
16 Transparência da pessoa jurídica quanto a doações para candidatos e partidos políticos Implantação das seguintes ferramentas:
Como adequar-se a Lei Anticorrupção?
A gestão dos riscos corporativos, o controle interno, os programas de integridade (compliance) e a governança corporativa são assuntos que são geralmente abordados e tratados de forma separada e especializada.
Na hora de implementar um sistema de gestão de riscos corporativos e de integridade (compliance) o maior desafio dentro das organizações consiste em conseguir integrar adequadamente o processo nos sistemas de governança e de controle interno.
A circulação das informações dentro de um sistema integrado de gestão de riscos deve ter duas principais direções. As informações devem circular em duplo sentido de cima para abaixo (TOP-DOWN), definindo objetivos, prioridades, requerimentos e metodologias, e de baixo para cima (BOTTOM-UP) escalando decisões e comunicando resultados.
O tom da gestão de riscos, o ambiente e a cultura de controle interno precisam ser dados pelo nível mais alto da administração. A alta administração deve definir, promover e disseminar o sistema de gestão de riscos e de compliance em todos os níveis da organização. Para isso, é necessário que ela desenvolva as seguintes ferramentas:
Uma política de gestão de riscos e de compliance definindo os objetivos, estratégias, estrutura e recursos do sistema integrado de gestão de riscos.
O sistema deve definir normas, o ambiente de controle e um código de ética responsabilizando todos os profissionais da organização.
Uma vez identificados e mensurados, os riscos devem ser classificados, cartografados e priorizados pelos níveis mais alto da administração.
Os processos, procedimentos e planos de mitigação dos riscos devem ser documentados, claros, compreensíveis, simples de executar, detalhar responsabilidades e devem ser integrados em todos os níveis e processos da organização. Para isso, cada unidade operacional deve negociar com a unidade que está imediatamente subordinada a ela (unidade inferior), um conjunto de objetivos, produtos, requisitos de execução, indicadores de resultados recursos e cronogramas definindo as tarefas de gestão dos riscos que a unidade subordinada deverá executar (Prioridades determinadas TOP DOWN). Uma vez estabelecidos, a unidade inferior deverá gerenciar seus próprios riscos com relação aos requerimentos recebidos da unidade superior, e reportar para cima os seus riscos (Riscos reportados BOTTOM UP).
As funções devem ser adequadamente segregadas com atribuições e responsabilidades adequadamente documentadas.
Os controles internos devem ser adequadamente desenhados, documentados, implementados e eficazes.
Os planos de revisão, controle e auditoria devem ser executados e adequadamente comunicados para inibir fraudes e desvios.
O sistema de gestão de riscos e de compliance deve ser iterativo e ser capaz de identificar, imaginar e desenhar melhorias.
A adoção de um sistema integrado de gestão de riscos consiste também em subsidiar a alta administração com informações relevantes e tempestivas que permitam adaptar a política e as estratégias com as novas condições do ambiente interno e externo. Estas informações devem poder transpirar em todos os níveis da organização, desde os níveis mais baixo da hierarquia (BOTTOM-UP).
Para isso, é necessário que o processo de comunicação interna faça com que a alta administração receba periodicamente e tempestivamente informações úteis para a tomada de decisões:
Informações sobre a aparição de novos riscos criando novas ameaças ao alcance dos objetivos da organização.
Relatórios gerenciais de qualidade sobre riscos inclusive relatórios das auditorias internas e externas permitindo:
Entender as exposições aos riscos, as tendências, o posicionamento com relação a limites e os planos desenvolvidos pela organização para o tratamento dos riscos;
Avaliar a existência, extensão e eficácia dos processos, controles internos e sistemas da entidade;
Mensurar os riscos financeiros ou operacionais aos que a entidade está exposta; e
Tomar decisões estratégicas ou táticas tempestivas.
Demonstrações financeiras transparentes, claras e auditadas, detalhando informações relevantes, materiais, compreensíveis, comparáveis e permitindo avaliar em cada data de reporte:
A posição patrimonial e financeira e o desempenho da entidade;
As tendências dos negócios;
A natureza e a extensão dos riscos financeiros aos quais a entidade está exposta; e
Relatórios periódicos apresentando novos requerimentos a serem respeitados ou mudanças do ambiente legal e regulatório.
Relatórios gerenciais objetivos relativos à revisão do processo de gestão de riscos e a identificação de melhorias a serem implementadas.
Atas claras da alta administração formalizando a tomada de decisão com relação à gestão dos riscos corporativos e aprovação de mudanças e melhorias.
Quanto mais veloz a circulação das informações top-down e bottom-up, maior será a eficácia do sistema integrado de gestão de riscos. O inimigo de qualquer sistema de gestão de riscos é a existência de burocracia impedindo que decisões de risco sejam tomadas rapidamente e com todas as informações relevantes disponíveis de forma tempestiva. O sistema e o processo de gestão de riscos devem ser leves, não burocráticos, claros e velozes e simples de aplicar em todos os níveis da organização.
A seguir apresento um modelo de integração da gestão dos riscos corporativos com a estratégia, a governança e o controle interno que desenvolvi para auxiliar as empresas na tarefa de integração. O modelo proposto está alinhado com os princípios da estrutura do COSO e da norma ISSO 31000, mas foi aprimorado aplicando ao mundo corporativo, as regras e princípios de integração da gestão dos riscos nas missões espaciais, nos programas, nos projetos e nos processos da NASA (National Aeronautics and Space Administration) e as regras de avaliação dos riscos da Marina Americana (US Marine).
Esse modelo pode ser usado para implantar ou desenvolver um sistema integrado de gestão de riscos e de integridade (compliance) dentro das organizações.
As 11 atividades propostas no modelo de gestão integrada de riscos corporativos são as seguintes:
Diagnóstico da situação inicial;
Definição dos objetivos e metas da administração;
Desenho da estrutura de gestão de riscos;
Identificação e mapeamento dos riscos;
Mapeamento e avaliação dos processos e controles;
Definição dos planos de tratamento dos riscos;
Implementação dos planos de tratamento dos riscos;
Adaptação das atividades de supervisão e controle;
Adaptação dos reportes financeiros e gerenciais;
Adaptação das regras de monitoramento do processo de gestão de riscos; e
Implementação de mudanças e melhorias;
A tabela apresentada a seguir, mostra que o modelo proposto foi desenvolvido com base na Estrutura da norma ISO 31000 e cobre os 8 componentes da gestão de riscos corporativos definidos pelo COSO.
Atividade da Estrutura Ambiente Atividades relacionadas da Norma ISO 31000 Atividades relacionadas do COSO
0. Diagnóstico inicial Planejamento estratégico 1. Mandato e compromisso 1. Ambiente interno
1. Objetivos e metas da administração Governança 1. Mandato e compromisso 2. Fixação de objetivos
2. Desenho da Estrutura de Gestão de riscos Governança 2. Desenho da Estrutura de Gestão de riscos 1. Ambiente interno
3. Identificação e mapeamento dos riscos Governança 3. Implementação da Gestão de riscos 3. Identificação de eventos;4. Avaliação de riscos
4. Mapeamento e avaliação dos processos e controles internos Controle interno 2. Desenho da Estrutura de Gestão de riscos 1. Ambiente interno
5. Definição dos planos de tratamento dos riscos Governança 2. Desenho da Estrutura de Gestão de riscos 5. Resposta a risco
6. Implementação dos planos de tratamento dos riscos Gestão 3. Implementação da Gestão de riscos 5. Resposta a risco
7. Supervisão e controle Gestão 4. Monitoramento e revisão da Estrutura 6. Atividades de controle
8. Reportes financeiros e gerenciais Gestão 2. Desenho da Estrutura de Gestão de riscos 7. Informações e comunicações
9. Monitoramento do processo de gestão de riscos Monitoramento 4. Monitoramento e revisão da Estrutura 8. Monitoramento
10. Implementação das mudanças e melhorias Gestão de mudanças 5. Desenvolvimento continuo da Estrutura 8. Monitoramento
Para poder adequar-se a todos os requisitos definidos no Decreto regulamentar Nº 8.420 da Lei Nº 12.846 de 1 de Agosto de 2013, as empresas precisam implantar um sistema independente e eficaz de gestão de riscos corporativos e de integridade (“compliance”) que seja adequadamente integrado com a governança e os controles internos dentro das organizações de forma a assegurar a proteção da própria pessoa jurídica contra a prática de atos lesivos à administração pública que possam ser cometidos em qualquer nível da organização, do mais baixo nível da organização ao mais alto cargo da alta direção.
A análise detalhada da Lei Anticorrupção e do seu Decreto regulamentar mostra que a Lei é bastante inovadora por exigir de forma detalhada e abrangente a implantação dentro das organizações de mecanismos e procedimentos de gestão de riscos corporativos, governança, controle interno e “compliance” que sejam independentes e eficazes não somente para detectar e sanear desvios, fraudes e irregularidades, mas também para estruturar um canal de denúncias anônimas.
A Lei Anticorrupção de Agosto de 2013 e o seu Decreto regulamentar de março de 2015 colocam claramente na agenda de qualquer organização que tenha relações comerciais com a administração pública, a necessidade de integração dos sistemas de gestão de riscos corporativos, compliance, governança e controle interno dentro das organizações. Os requisitos da Lei vão além da definição de um código de ética e da implantação de um canal de denuncias anônimas e requerem planos de ação detalhados e específicos.
TODOS OS DIREITOS RESERVADOS – É proibida a reprodução total ou parcial, de qualquer forma ou qualquer meio, sem previa autorização.
Lei Nº 12.846 de 1 de Agosto de 2013 (Lei anticorrupção);
Decreto Nº 8.420 de 18 de março de 2015;
Código Penal; e
César Ramos, Gestão de riscos corporativos. Como integrar a gestão dos riscos com a estratégia, a governança e o controle interno?, Editora César Ramos, 1ª edição, São Paulo, 2015, ISBN 978-85-911432-6-9.
Precisa adequar sua empresa? Participe do nosso curso sobre o tema.
Curso: Gestão de riscos corporativos
Link permanente para este artigo: https://www.cesarramos.com.br/artigos/gestao-dos-riscos-corporativos-e-a-lei-anticorrupcao/
Artigos A função fiscalizadora do Conselheiro Fiscal Efetividade, o que muda na prática com a norma IFRS 9? Gestão integrada dos riscos corporativos Hedge Accounting – CPC 48 / IFRS 9 Instrumentos financeiros – CPC 38 / IAS 39 Instrumentos financeiros – CPC 48 / IFRS 9 Lei Anticorrupção

References: artigo 2
 artigo 3
 artigo 5
 artigo 6
 artigo 7
 artigo 7
 artigo 19
 artigo 41
 artigo 41
 artigo 42