Resposta rápida: programa de integridade de papel é aquele que existe em documentos (política, código de conduta, organograma), mas não deixa rastro de uso. Sem treinamento registrado, estatística de canal, investigações com desfecho, due diligence de terceiros e orçamento próprio, ele não resiste a uma avaliação. Os oito sinais abaixo mostram onde a evidência costuma faltar e como corrigi-la.
Muita empresa descobre na hora da avaliação que o programa de integridade existe no papel, mas não consegue mostrar evidência de que funciona. O Decreto 11.129/2022 lista, no artigo 57, os quinze parâmetros usados para avaliar um programa, e o Empresa Pró-Ética, da CGU, segue a mesma lógica: pergunta menos sobre o que a empresa escreveu e mais sobre o que ela consegue provar que fez.
A diferença entre efetividade e formalidade está aí. Um programa formal tem política, código de conduta e organograma. Um programa efetivo tem registro de treinamento, estatística de canal, histórico de investigação com desfecho e orçamento próprio para funcionar. Este artigo apresenta oito sinais de que um programa é mais formalidade do que efetividade e, para cada um, a evidência que resolve o problema.
O que é um programa de integridade e como ele é avaliado
O Decreto 11.129/2022, que regulamenta a Lei Anticorrupção (Lei 12.846/2013), define programa de integridade como um conjunto de mecanismos voltados a prevenir, detectar e sanar desvios, com foco na cultura de integridade da organização. A avaliação olha para dois pontos: se o programa existe e se ele é aplicado. Os quinze parâmetros do artigo 57 cobrem, entre outros temas, o apoio da alta direção, os treinamentos periódicos, a gestão de riscos, a instância interna responsável, os canais de denúncia, as medidas disciplinares, as diligências sobre terceiros e o monitoramento contínuo. Para entender a lógica por trás desses parâmetros, veja compliance como sistema de decisão.
Na prática, três situações colocam o programa à prova:
Cálculo da multa: o art. 23, inciso V, do Decreto 11.129/2022 prevê atenuante de até 5% para a empresa que comprova possuir e aplicar um programa de integridade.
Contratações públicas de grande vulto: o Decreto 12.304/2024 e a Portaria Normativa SE/CGU 226/2025 tratam da avaliação do programa. Acima de R$ 239 milhões, ele é requisito obrigatório do vencedor.
Empresa Pró-Ética: programa voluntário e gratuito da CGU que avalia programas de integridade. No ciclo 2025-2026, o formulário de compliance tem 223 itens em 10 áreas, exige documentos e pede ao menos 70 pontos no total e 45% em cada área. Não é uma certificação.
Figura 1. O que está em jogo quando o programa de integridade é avaliado.
Texto alternativo: Três cartões: atenuante de até 5% no cálculo da multa da Lei Anticorrupção; R$ 239 milhões como valor acima do qual o programa é obrigatório em contratações públicas federais de grande vulto; 70 pontos como mínimo de aprovação no Empresa Pró-Ética 2025-2026.
O peso de cada parâmetro varia conforme o avaliador (CGU, tribunal ou cliente em due diligence). Este guia é uma orientação geral e não uma garantia de aprovação.
Os 8 sinais de um programa de integridade de papel
Cada sinal abaixo está ligado a um parâmetro do artigo 57 e vem com a evidência que o corrige.
1. Código de conduta sem treinamento registrado
Um código de conduta assinado pela diretoria não prova que alguém leu, entendeu ou aplicou o documento. O inciso IV do artigo 57 trata de treinamentos e ações de comunicação periódicos sobre o programa, e é nesse ponto que a prova costuma faltar.
Sem lista de presença, certificado de conclusão ou registro de reciclagem, a empresa não consegue demonstrar que o código saiu do documento e chegou à rotina. Numa avaliação, isso tende a pesar mais do que a existência do texto.
Evidência que corrige: registro de treinamento com data, conteúdo, lista de participantes e reciclagem periódica programada, e não só na admissão.
2. Matriz de risco genérica
Uma matriz de risco copiada de um modelo, sem relação com a operação real, é fácil de reconhecer. O risco de suborno de uma construtora não é o de uma fintech, e o risco de conflito de interesses de uma empresa familiar não é o de uma companhia com conselho independente.
O inciso V do artigo 57 exige gestão adequada de riscos, com análise e reavaliação periódica. Priorizar cada risco por probabilidade e impacto não é uma exigência literal do decreto, mas é a prática usual para mostrar critério, e uma lista padrão aplicada sem adaptação não mostra nenhum.
Evidência que corrige: matriz construída a partir da operação real, com critério de priorização por escrito, data da última revisão e responsável pela atualização.
3. Canal de denúncias sem estatística
O inciso X do artigo 57 fala em canais de denúncia abertos e amplamente divulgados, com tratamento das denúncias e proteção a denunciantes de boa-fé. Um canal que existe, mas cuja empresa não sabe dizer quantas denúncias recebeu no último ano, em quanto tempo respondeu e quantas concluiu, tem dificuldade de responder a uma pergunta direta de avaliação.
A ausência de estatística costuma ser lida de duas formas: ou o canal não é usado, porque ninguém confia nele, ou a empresa não acompanha o próprio canal. As duas leituras são ruins para o programa. Para quem prefere um canal independente, a DataGuide também atua com gestão de canal de denúncias e apuração de investigações.
Evidência que corrige: indicadores periódicos de volume de denúncias, tempo médio de resposta e taxa de conclusão, disponíveis a qualquer momento.
4. Investigação que nunca gerou consequência
Os incisos XI e XII do artigo 57 tratam de medidas disciplinares em caso de violação do programa e de procedimentos para interromper irregularidades e reparar os danos. Uma empresa que investiga toda denúncia, mas nunca aplica consequência, passa a mensagem de que o programa existe para constar, e não para corrigir.
Zero consequência em anos de operação tende a levantar mais suspeita do que alguns casos com medida aplicada, porque é raro uma organização de porte relevante operar sem nenhum desvio de conduta. O avaliador costuma perguntar pelo desfecho dos casos, e não só pelo volume de denúncias.
Evidência que corrige: histórico de casos com desfecho registrado, incluindo a medida disciplinar aplicada quando cabível.
5. Terceiros sem due diligence
O inciso XIII do artigo 57 pede diligências apropriadas, baseadas em risco, para a contratação e a supervisão de terceiros, como fornecedores, consultores, despachantes e representantes comerciais. Contratar sem nenhuma verificação prévia costuma ser uma das lacunas mais fáceis de identificar numa avaliação.
O risco de integridade não para na operação da própria empresa: ele alcança a cadeia de terceiros que agem em nome dela. A due diligence não precisa ser complexa para todo fornecedor, mas precisa existir e ser proporcional ao risco de cada relação, considerando o valor do contrato, a exposição a agente público e o histórico do parceiro.
Evidência que corrige: processo de due diligence documentado, com profundidade proporcional ao risco de cada terceiro, e registro por contrato.
6. Comitê que não se reúne
O inciso IX do artigo 57 avalia a independência, a estrutura e a autoridade da instância interna responsável pelo programa. Um comitê de ética ou de integridade que existe no organograma, mas não tem ata de reunião recente, mostra uma estrutura que não funciona na prática.
Sem reunião registrada, não há como comprovar que decisões relevantes, como mudança de política, análise de caso complexo ou revisão de risco, passaram por uma instância colegiada e não pela decisão isolada de uma pessoa. Não existe uma frequência de reunião fixada em lei: o que se espera é periodicidade definida e cumprida.
Evidência que corrige: ata de reunião com periodicidade definida e cumprida, pauta registrada e decisões documentadas.
7. Programa sem orçamento próprio
O inciso I do artigo 57 trata do comprometimento da alta direção, incluindo a destinação de recursos adequados ao programa. Um programa que depende de sobra de orçamento de outra área, sem linha própria, sinaliza baixa prioridade. Isso aparece na prática quando o comitê que não se reúne coincide com um programa sem verba para treinamento, ferramenta ou canal terceirizado.
O orçamento não precisa ser grande, precisa ser identificável: uma linha de custo específica, aprovada e executada. O Pró-Ética, por exemplo, pergunta sobre o orçamento próprio pré-aprovado da instância responsável pelo programa.
Evidência que corrige: linha orçamentária própria do programa, aprovada formalmente e com execução registrada ano a ano.
8. Ausência de revisão depois de um incidente
Os incisos XII e XV do artigo 57 tratam da interrupção e da remediação de irregularidades e do monitoramento contínuo para o aperfeiçoamento do programa. Uma empresa que passa por um incidente (fraude, vazamento, denúncia grave) e segue com o mesmo programa, sem revisar política, controle ou risco, mostra que o programa não aprende com a própria experiência.
Este é um dos sinais mais graves, porque o incidente é a evidência mais concreta de que algo no desenho do programa falhou. O avaliador pergunta, direta ou indiretamente, o que mudou depois do último incidente relevante, e “nada mudou” é a pior resposta possível. Quando o incidente envolve dados pessoais, o prazo também conta: veja como agir nas primeiras 24 horas de um incidente.
Evidência que corrige: relatório de revisão pós-incidente, com causa raiz identificada e ajuste de controle, política ou risco.
Os oito sinais lado a lado
Reunidos numa tabela, os oito sinais mostram um padrão: em cada um, o problema não é a ausência do documento, e sim a ausência do rastro de uso.
Figura 2. Os oito sinais de um programa de integridade de papel, o parâmetro do art. 57 relacionado e a evidência que corrige.
Texto alternativo: Tabela com os oito sinais (código sem treinamento, matriz de risco genérica, canal sem estatística, investigação sem consequência, terceiros sem due diligence, comitê que não se reúne, programa sem orçamento próprio e ausência de revisão pós-incidente), o parâmetro do art. 57 do Decreto 11.129/2022 de cada um e a evidência que corrige.
O que separa um programa formal de um efetivo não é o número de políticas escritas, é a quantidade de rastro que ele deixa ao longo do ano: treinamento com data, denúncia com número, reunião com ata, revisão com relatório.
Checklist: diagnóstico rápido em 8 perguntas
Responda com base nas evidências que a empresa consegue apresentar hoje, e não no que está previsto em política.
Cada resposta “não” aponta uma lacuna na operação do programa. O ponto de partida é priorizar os sinais que mais pesam na avaliação que a empresa enfrenta, seja da CGU, de um cliente em due diligence ou de um processo de responsabilização.
Conclusão: avalie o seu programa antes que outro avalie
Um programa de integridade de papel não resiste à primeira pergunta específica de um avaliador, seja da CGU, de um cliente em due diligence ou de um tribunal em um processo de responsabilização. Muitas vezes, a diferença entre passar e falhar está nesses oito pontos.
Corrigir um sinal de cada vez, com evidência documentada, é mais realista do que reconstruir o programa inteiro às pressas quando o edital ou a auditoria já estão marcados.
Quer saber o que um avaliador encontraria no seu programa? A DataGuide revisa programas de integridade contra os parâmetros do art. 57 do Decreto 11.129/2022 e a lógica do Pró-Ética, apontando onde a evidência falta antes que um avaliador externo aponte. Peça um diagnóstico do programa de integridade.
Fontes
Normas: Lei 12.846/2013; Decreto 12.304/2024; Portaria Normativa SE/CGU 226/2025. Demais fontes consultadas:
Decreto 11.129/2022: Texto oficial no Planalto
Art. 57 do Decreto 11.129/2022: Cria.AI: parâmetros de avaliação do programa de integridade
Art. 23, V, do Decreto 11.129/2022: Justen: Decreto 11.129/2022, nova regulamentação da Lei Anticorrupção
Decreto 12.304/2024: Mattos Filho: novo decreto define parâmetros de avaliação de programas de integridade
Portaria SE/CGU 226/2025: Migalhas: a Portaria CGU 226/25 e a integridade nas contratações públicas
Empresa Pró-Ética 2025-2026: Mattos Filho: CGU anuncia novidades do ciclo
Empresa Pró-Ética 2025-2026: Okai: a evolução da avaliação de programas de compliance no Brasil
Perguntas Frequentes
O que diferencia um programa de integridade formal de um efetivo?
O programa formal tem documento: política, código de conduta e organograma. O programa efetivo tem evidência de funcionamento: registro de treinamento, estatística de canal, histórico de investigação com desfecho, due diligence de terceiros e orçamento próprio. É essa evidência que os parâmetros do artigo 57 do Decreto 11.129/2022 e o Pró-Ética avaliam.
Programa de integridade é obrigatório?
Em regra, não é obrigatório para empresas privadas em geral. Ele é exigido, por exemplo, do vencedor de contratações públicas federais de grande vulto (acima de R$ 239 milhões), e algumas leis estaduais e municipais também o exigem em contratos com o poder público. Mesmo quando não é obrigatório, ele pode atenuar a multa da Lei Anticorrupção e funciona como prova de boa-fé em due diligence de clientes.
É preciso corrigir os oito sinais de uma vez?
Não necessariamente. O ideal é priorizar os sinais que mais pesam na avaliação específica que a empresa enfrenta. Canal sem estatística e investigação sem consequência tendem a ser os primeiros pontos questionados, porque mostram se o programa é usado de verdade.
Um incidente recente prejudica a avaliação do programa?
O incidente em si nem sempre prejudica, porque é raro uma organização operar sem nenhum desvio. O que prejudica é não revisar o programa depois dele. Uma revisão documentada, com causa raiz e ajuste de controle, é inclusive evidência positiva de que o programa funciona.
Devo aplicar due diligence em todo fornecedor da mesma forma?
Não. O inciso XIII do artigo 57 fala em diligências baseadas em risco, ou seja, proporcionais ao valor do contrato, à exposição a agente público e ao histórico do parceiro. O que a avaliação cobra é que o processo exista e esteja documentado, e não que todo fornecedor passe pelo mesmo nível de verificação.
Com que frequência o comitê de integridade deve se reunir?
Não há frequência única definida em lei. O que a avaliação verifica é se existe periodicidade definida e cumprida, com ata registrada e decisões documentadas. Um comitê sem nenhuma reunião recente é o sinal de alerta, e não a frequência específica.
