Canal de denúncias nas empresas: o que a lei exige e o que ele precisa garantir

O canal de denúncias costuma ser lembrado como peça dos programas de compliance de grandes companhias. A legislação brasileira, contudo, já o trata de modo bem mais amplo: ele aparece como parâmetro de avaliação do programa de integridade na Lei Anticorrupção, como dever das empresas que mantêm Cipa, como item pontuado nas contratações públicas e como operação de tratamento de dados pessoais sujeita à LGPD. Cada fonte tem alcance próprio, e confundi-las conduz a erros nos dois sentidos — supor obrigações que não existem ou ignorar as que existem.

A Lei Anticorrupção e o Decreto nº 11.129/2022

A Lei nº 12.846/2013 manda considerar, na aplicação das sanções, a existência de mecanismos e procedimentos internos de integridade, auditoria e incentivo à denúncia de irregularidades (art. 7º, VIII). O Decreto nº 11.129/2022, que a regulamenta, define o programa de integridade a partir desses mesmos elementos (art. 56) e, entre os quinze parâmetros de avaliação, inclui os canais de denúncia de irregularidades, abertos e amplamente divulgados a funcionários e terceiros, e os mecanismos destinados ao tratamento das denúncias e à proteção de denunciantes de boa-fé (art. 57, X).

O peso prático está na dosimetria. A multa varia de 0,1% a 20% do faturamento bruto do exercício anterior à instauração do processo (Lei nº 12.846/2013, art. 6º, I), e o decreto autoriza subtrair até 5% da base de cálculo quando a empresa comprova possuir e aplicar programa de integridade conforme aqueles parâmetros (art. 23, V). O percentual máximo, todavia, só é atribuído se o programa for anterior à prática do ato lesivo (art. 23, parágrafo único, III). Um canal instituído depois do problema vale, portanto, menos do que um canal que já funcionava.^{1, 2}

Assédio no trabalho: o dever das empresas com Cipa

Para as empresas privadas em geral, a obrigação legal mais direta veio da legislação trabalhista. A Lei nº 14.457/2022, que instituiu o Programa Emprega + Mulheres, determina que as empresas com Comissão Interna de Prevenção de Acidentes e de Assédio (Cipa) adotem medidas de prevenção e combate ao assédio sexual e às demais formas de violência no âmbito do trabalho (art. 23). Entre elas está a fixação de procedimentos para recebimento e acompanhamento de denúncias, para apuração dos fatos e, quando for o caso, para aplicação de sanções administrativas aos responsáveis diretos e indiretos, garantido o anonimato da pessoa denunciante (inciso II).

A lei exige, ademais, regras de conduta sobre assédio nas normas internas, com ampla divulgação aos empregados (inciso I), a inclusão do tema nas atividades da Cipa (inciso III) e ações de capacitação, orientação e sensibilização ao menos a cada doze meses (inciso IV). O prazo de adaptação foi de 180 dias da entrada em vigor da lei (§ 2º), e o dispositivo mantém a redação original. Duas observações completam o quadro: o canal interno não substitui o procedimento penal quando a conduta configurar assédio sexual ou outro crime (§ 1º), e a lei fala em anonimato, garantia mais intensa do que o simples sigilo da identidade.

Informante e recompensa: um regime do setor público

A Lei nº 13.608/2018, com os arts. 4º-A a 4º-C incluídos pela Lei nº 13.964/2019, costuma ser invocada como se impusesse canal de denúncias a toda empresa. Não é esse o seu alcance. O art. 4º-A obriga a União, os Estados, o Distrito Federal, os Municípios e suas autarquias, fundações, empresas públicas e sociedades de economia mista a manter unidade de ouvidoria ou correição, para assegurar a qualquer pessoa o direito de relatar crimes contra a administração pública, ilícitos administrativos ou ações e omissões lesivas ao interesse público.

Considerado razoável o relato e encaminhado para apuração, o informante tem proteção integral contra retaliações e isenção de responsabilidade civil ou penal pelo relato, salvo se apresentar, conscientemente, informações ou provas falsas (art. 4º-A, parágrafo único). Tem direito à preservação da identidade, cuja revelação depende de relevante interesse público ou interesse concreto para a apuração e, ainda assim, de comunicação prévia e concordância formal do informante (art. 4º-B). A lei descreve as retaliações vedadas — demissão arbitrária, alteração injustificada de funções, sanções, prejuízos remuneratórios, retirada de benefícios, negativa de referências profissionais —, prevê ressarcimento em dobro dos danos materiais e admite recompensa de até 5% do valor recuperado quando as informações levarem à recuperação de produto de crime contra a administração pública (art. 4º-C). Para a empresa privada, o regime não cria dever de manter canal; seu valor é de referência, porque descreve com precisão o que o legislador entende por proteção efetiva ao denunciante.

Contratações públicas

A Lei nº 14.133/2021 exige do vencedor de contratação de grande vulto a implantação de programa de integridade em seis meses da celebração do contrato (art. 25, § 4º) e faz do programa o quarto critério de desempate entre propostas (art. 60, IV). No âmbito federal, o Decreto nº 12.304/2024 regulamenta esses dispositivos e repete, entre os parâmetros de avaliação, os canais de denúncia abertos e amplamente divulgados e a proteção aos denunciantes de boa-fé (art. 3º, XI).

A metodologia veio com a Portaria Normativa CGU nº 226/2025, que tornou o exame mais objetivo. No formulário de conformidade (Anexo II), a existência de canal de denúncias disponível em português e informado na página institucional da empresa é questão de nível QN1, isto é, elemento mínimo de pontuação integral obrigatória para que o programa seja considerado implantado em contrato de grande vulto (Anexo I, item 3.1). Também são avaliados, entre outros pontos, se o canal oferece expressamente garantias de anonimato e de não retaliação, se permite ao denunciante acompanhar a apuração, se funciona quando testado pelo avaliador, se há fluxo específico para denúncias que envolvam a alta direção e se as denúncias recebidas nos últimos 24 meses foram efetivamente tratadas. O tema foi examinado em artigo anterior do Núcleo sobre o programa de integridade nas licitações.³

Dados pessoais do denunciante e do denunciado

Todo canal de denúncias trata dados pessoais: de quem relata, de quem é apontado e de testemunhas, não raro com informações sensíveis. A LGPD não contém regra específica sobre o tema, mas seus princípios e bases legais o alcançam integralmente. Conforme o caso, o tratamento pode apoiar-se no cumprimento de obrigação legal, como a do art. 23 da Lei nº 14.457/2022 (art. 7º, II), no exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 7º, VI) ou no legítimo interesse do controlador (art. 7º, IX), hipótese em que se exige atenção redobrada ao registro das operações (art. 37). Dados sensíveis seguem as hipóteses próprias do art. 11.

Três deveres pesam de modo especial. A necessidade limita a coleta ao pertinente e proporcional à apuração (art. 6º, III). A segurança impõe medidas técnicas e administrativas contra acessos não autorizados e qualquer tratamento inadequado (arts. 6º, VII, e 46), e o vazamento da identidade de um denunciante pode configurar incidente de segurança a ser comunicado à ANPD e ao titular quando houver risco ou dano relevante (art. 48). E a governança do canal — quem acessa, por quanto tempo os dados são guardados, como se conciliam os direitos do denunciado com a proteção de quem relatou — deve estar definida antes da primeira denúncia.⁴

A referência técnica

No plano técnico, a ISO 37002:2021, adotada no Brasil como ABNT NBR ISO 37002:2022 (Sistemas de gestão de denúncias — Diretrizes), oferece diretrizes de adoção voluntária para estruturar o sistema com base nos princípios de confiança, imparcialidade e proteção, em quatro etapas: receber, avaliar, abordar e concluir os relatos de irregularidades. Não é norma jurídica, mas é parâmetro útil de desenho.⁵

O que um canal efetivo precisa garantir

Reunidas as fontes, o desenho de um canal que funcione deixa de ser questão de preferência. A independência vem em primeiro lugar: as denúncias devem chegar a uma instância com estrutura e autoridade para apurá-las, inclusive quando envolvem a alta direção — exigência que o Decreto nº 11.129/2022 formula ao tratar da instância responsável pelo programa (art. 57, IX) e que a Portaria CGU nº 226/2025 converte em fluxo específico. A confidencialidade, e o anonimato quando a lei o exige, é condição de confiança; sem ela, o canal recebe pouco ou recebe tarde. A não retaliação precisa estar escrita e ser aplicada, com consequências disciplinares para quem a viole.

Igualmente, toda denúncia admissível deve ser apurada por procedimento conhecido, com acesso a documentos e pessoas e com encaminhamento às autoridades quando os fatos o exigirem. O registro de cada etapa é o que permite, mais tarde, demonstrar a uma comissão processante ou a um avaliador da CGU que o programa existia e era aplicado. Por derradeiro, o denunciante deve receber resposta — ao menos sobre o andamento e o encerramento do caso —, porque é o retorno que sustenta a credibilidade do canal ao longo do tempo. À luz do exposto, resta evidente que o canal de denúncias não é acessório do programa de integridade, mas o ponto em que se verifica se ele é real.

← Voltar a Notícias e Artigos