RESUMO
O compliance contemporâneo não pode mais ser compreendido como simples mecanismo de verificação do cumprimento formal de leis e regulamentos. A complexidade das relações econômicas, a multiplicidade de regimes normativos e a internacionalização das atividades empresariais transformaram a conformidade em sistema permanente de identificação, avaliação, prevenção, monitoramento, detecção, investigação, correção e aprendizagem institucional. Nesse contexto, este artigo sustenta que a maturidade de um programa de compliance não deve ser avaliada exclusivamente pela existência de políticas, códigos, controles e procedimentos, mas também pela capacidade institucional de reconhecer os limites do próprio conhecimento, identificar lacunas informacionais relevantes e impedir que a incerteza seja convertida em decisão empresarial sem controle. Propõe-se, para esse fim, o conceito de “knowing what you don’t know” como princípio metodológico de governança da incerteza. A pesquisa adota abordagem qualitativa, bibliográfica, documental e analítico-comparativa, examinando o ambiente normativo brasileiro e norte-americano, especialmente a Lei nº 12.846/2013, o Decreto nº 11.129/2022, a Lei nº 9.613/1998, a Lei nº 14.133/2021, a LGPD, o Foreign Corrupt Practices Act (FCPA), o Sarbanes-Oxley Act (SOX), o Bank Secrecy Act (BSA), o FinCEN e o OFAC, além de referenciais internacionais de integridade e due diligence. Sustenta-se, ao final, que o compliance maduro não pretende eliminar toda incerteza, objetivo impossível em organizações complexas, mas desenvolver mecanismos capazes de reconhecer a insuficiência informacional, qualificá-la como variável de risco e determinar respostas proporcionais, inclusive investigação adicional, escalonamento decisório ou interrupção da operação.
Palavras-chave: compliance; integridade; governança; gestão de riscos; “due diligence”; incerteza; “knowing what you don’t know”; aprendizagem organizacional.
1. INTRODUÇÃO
O compliance contemporâneo encontra-se diante de uma transformação conceitual que ultrapassa a compreensão tradicional da conformidade como simples obrigação de “cumprir a lei”. A complexidade das relações econômicas, a multiplicidade de regimes regulatórios e a crescente internacionalização das atividades empresariais fazem com que uma mesma organização esteja simultaneamente submetida a normas trabalhistas, tributárias, ambientais, concorrenciais, anticorrupção, de proteção de dados, de prevenção à lavagem de dinheiro, de segurança da informação, de relações com o Poder Público e de comércio internacional. O problema central, portanto, não consiste apenas em conhecer as normas aplicáveis, mas em construir uma estrutura organizacional capaz de identificar quais normas incidem sobre cada atividade, reconhecer os riscos decorrentes de sua violação e perceber, antecipadamente, quais informações relevantes ainda permanecem desconhecidas. O compliance passa, assim, a constituir uma arquitetura dinâmica de governança do risco, na qual identificação, DUE DILIGENCE, classificação, controle, monitoramento, detecção, investigação, correção e aprendizagem institucional se articulam continuamente.
No Brasil e nos Estados Unidos, embora mediante estruturas jurídicas e institucionais distintas, observa-se essa progressiva transformação da conformidade em mecanismo de governança empresarial. No ordenamento brasileiro, a Lei nº 12.846/2013, o Decreto nº 11.129/2022, a Lei nº 9.613/1998, a Lei nº 14.133/2021, a legislação de improbidade administrativa e a Lei Geral de Proteção de Dados compõem um ambiente normativo no qual integridade, prevenção e gestão de riscos assumem crescente relevância. Nos Estados Unidos, a arquitetura é igualmente complexa e envolve instrumentos como o Foreign Corrupt Practices Act (FCPA), o Sarbanes-Oxley Act (SOX), o Bank Secrecy Act (BSA), as normas administradas pelo Financial Crimes Enforcement Network (FinCEN) e os regimes de sanções administrados pelo Office of Foreign Assets Control (OFAC). A comparação revela que a existência formal de códigos de conduta, políticas internas e manuais de procedimentos constitui apenas o ponto de partida de um programa de integridade, não sua demonstração de efetividade.
O problema científico deste artigo emerge precisamente dessa distinção entre possuir mecanismos de compliance e possuir capacidade organizacional de utilizá-los para tomar decisões adequadas diante do risco e da informação imperfeita. Uma organização pode dispor de extensos procedimentos de due diligence e, ainda assim, desconhecer o beneficiário efetivo de determinado parceiro, seus vínculos com agentes públicos, sua exposição a sanções, a origem de determinados recursos ou a existência de intermediários não revelados. Da mesma maneira, uma empresa pode possuir políticas formalmente adequadas de proteção de dados e segurança da informação e, entretanto, desconhecer uma vulnerabilidade relevante existente em determinado fornecedor ou prestador de serviços. A mera acumulação documental não elimina o risco quando a própria organização desconhece a extensão de sua ignorância.
A tese sustentada neste artigo é, portanto, a seguinte: a maturidade de um sistema de compliance deve ser medida não apenas por aquilo que a organização sabe ou pelos controles que formalmente possui, mas também pela sua capacidade institucional de identificar aquilo que não sabe, avaliar a materialidade dessas lacunas informacionais e impedir que a incerteza juridicamente relevante seja convertida em decisão empresarial sem controle. O conceito de knowing what you don’t know é empregado, nesse sentido, não como metáfora, mas como princípio metodológico de governança da incerteza. A proposta não consiste em exigir uma impossível onisciência empresarial, mas em transformar a percepção da insuficiência informacional em variável objetiva de risco, capaz de produzir consequências procedimentais: investigação adicional, aprofundamento da due diligence, escalonamento da decisão, adoção de controles suplementares ou, quando necessário, suspensão ou interrupção da operação.
A contribuição pretendida consiste, assim, em deslocar o centro de gravidade do compliance. Em vez de perguntar exclusivamente se a empresa possui políticas suficientes, deve-se investigar se ela possui mecanismos para descobrir quando essas políticas, informações ou controles são insuficientes diante da realidade concreta. A questão fundamental deixa de ser apenas “qual é a regra?” e passa a compreender uma sequência decisória mais sofisticada: “o que precisamos saber para decidir?”, “quais informações possuímos?”, “quais são confiáveis?”, “o que ainda desconhecemos?”, “qual a relevância dessa lacuna?” e “o que devemos fazer enquanto essa incerteza persistir?”. É nessa perspectiva que o compliance pode ser compreendido como verdadeira arquitetura de governança da incerteza.
2. DO CUMPRIMENTO FORMAL À EFETIVIDADE ORGANIZACIONAL
A concepção tradicional de compliance está associada à ideia de conformidade com as normas jurídicas e regulatórias aplicáveis à organização. Embora essa dimensão permaneça indispensável, ela é insuficiente para explicar o funcionamento de programas contemporâneos de integridade. O simples conhecimento das obrigações jurídicas não assegura que a organização consiga identificar os riscos concretos que surgem de suas operações, de seus empregados, de seus fornecedores, de seus intermediários ou de suas relações com agentes públicos. O compliance eficaz precisa converter conhecimento normativo em comportamento organizacional, controles operacionais e decisões concretas. Por essa razão, a existência formal de um código de conduta ou de uma política interna não pode ser confundida com a efetividade do sistema de integridade.
Essa distinção permite compreender o fenômeno conhecido como paper compliance. Uma organização pode possuir códigos sofisticados, políticas extensas, treinamentos periódicos, canais de denúncia e procedimentos formalmente adequados e, ainda assim, permanecer vulnerável a ilícitos e falhas sistêmicas. O problema surge quando o programa existe documentalmente, mas não consegue influenciar a conduta dos agentes, detectar irregularidades, investigar sinais de alerta, proteger denunciantes, responsabilizar infratores, monitorar terceiros ou corrigir deficiências identificadas. A efetividade, portanto, exige que o sistema de compliance seja incorporado à governança e às decisões cotidianas da organização, e não permaneça restrito aos documentos produzidos pelo departamento jurídico ou pela área de integridade.
Essa perspectiva aproxima o compliance da gestão baseada em riscos. O objetivo não é estabelecer controles idênticos para todas as situações, mas identificar riscos relevantes, avaliar sua probabilidade e impacto, determinar mecanismos proporcionais de prevenção e acompanhar sua evolução. A due diligence de terceiros constitui exemplo paradigmático dessa lógica, pois não se limita à coleta de documentos: deve considerar a natureza da relação, o perfil do terceiro, a jurisdição envolvida, os vínculos com agentes públicos, os fluxos financeiros, a estrutura societária, o beneficiário efetivo e os sinais de alerta existentes. O nível de investigação necessário deve ser proporcional ao risco identificado, e a ausência de informação relevante pode constituir, ela própria, um sinal de alerta.
O verdadeiro desafio do compliance, consequentemente, não consiste em produzir o maior número possível de controles, mas em construir uma organização capaz de saber quando determinado controle é insuficiente. A maturidade institucional manifesta-se quando a organização consegue distinguir entre informação disponível e informação confiável, entre ausência de evidência e evidência de ausência, entre risco conhecido e risco ainda não identificado. Essa distinção é particularmente importante em ambientes empresariais complexos, nos quais a informação pode ser incompleta, contraditória, desatualizada ou deliberadamente manipulada. A governança do risco exige, portanto, uma capacidade institucional de questionar as próprias premissas decisórias.
3. DUE DILIGENCE: CONCEITO, FINALIDADE E IMPLICAÇÕES PARA O COMPLIANCE
Antes de examinar a relação entre due diligence e governança da incerteza, é necessário esclarecer o significado da própria expressão. Para o leitor que não esteja familiarizado com a linguagem de compliance empresarial, due diligence pode ser compreendida, em termos gerais, como um processo estruturado de investigação, verificação e avaliação de informações relevantes para uma decisão empresarial. Sua finalidade é permitir que a organização conheça, dentro de limites razoáveis e proporcionais ao risco, as características, circunstâncias, antecedentes e potenciais riscos relacionados a determinada pessoa, empresa, operação, investimento, fornecedor, parceiro comercial ou intermediário. Não se trata, portanto, de simples coleta burocrática de documentos, mas de procedimento destinado a produzir conhecimento suficientemente confiável para orientar uma decisão. Quanto maior a complexidade ou o risco da relação, maior tende a ser a necessidade de aprofundamento das diligências realizadas.
Na prática, uma due diligence pode envolver a análise da estrutura societária e de controle, identificação dos beneficiários efetivos, verificação da reputação e do histórico empresarial, pesquisa sobre processos e sanções, identificação de vínculos com agentes públicos, análise de conflitos de interesses, avaliação de intermediários, exame de aspectos financeiros e regulatórios e verificação de informações relacionadas à integridade do terceiro. O conteúdo da investigação, entretanto, não é universal nem imutável. Uma diligência adequada deve ser orientada pelo risco e pela natureza da relação examinada. A investigação necessária para contratar um fornecedor de baixo risco não será necessariamente suficiente para uma empresa que pretende contratar um intermediário para atuar perante órgãos públicos em uma jurisdição de elevado risco. A due diligence, por isso, deve ser proporcional à relevância, à complexidade e às consequências potenciais da operação.
A importância da due diligence decorre do fato de que as organizações frequentemente tomam decisões em condições de assimetria informacional. A empresa que pretende contratar determinado terceiro sabe menos sobre esse terceiro do que ele próprio sabe sobre sua estrutura, seus relacionamentos e suas atividades. O mesmo ocorre em operações de fusão e aquisição, contratação de representantes comerciais, formação de joint ventures, estabelecimento de relações com fornecedores internacionais ou utilização de prestadores de serviços críticos. A due diligence procura reduzir essa assimetria mediante investigação estruturada, permitindo que a organização identifique riscos que poderiam permanecer invisíveis caso a decisão fosse tomada exclusivamente com base nas declarações fornecidas pelo próprio interessado.
Entretanto, existe uma consequência da due diligence que merece especial atenção e que é fundamental para a tese deste artigo: uma investigação não revela apenas aquilo que foi descoberto; ela também revela aquilo que não pôde ser suficientemente conhecido. Se a organização não consegue determinar quem é o beneficiário efetivo de uma estrutura societária, não consegue esclarecer a origem de determinados recursos, encontra informações contraditórias sobre o histórico de um terceiro ou não consegue verificar adequadamente seus vínculos com pessoas politicamente expostas ou agentes públicos, o resultado da diligência não deve ser simplesmente registrado como “documentação incompleta”. A lacuna pode representar um risco em si mesma, especialmente quando a informação ausente possui capacidade de alterar substancialmente a decisão empresarial. Nesse ponto, a due diligence deixa de ser apenas instrumento de descoberta e passa a funcionar como instrumento de identificação da própria insuficiência do conhecimento organizacional.
Essa distinção possui importantes implicações práticas. Uma organização pode concluir, após determinada investigação, que dispõe de informações suficientes para aprovar uma operação; pode concluir que existem riscos conhecidos que podem ser controlados; ou pode concluir que permanece uma lacuna informacional material que impede uma decisão segura. As três situações são juridicamente e gerencialmente diferentes. No primeiro caso, a operação pode prosseguir dentro dos controles estabelecidos; no segundo, pode prosseguir mediante medidas adicionais de mitigação; no terceiro, a organização deve considerar o aprofundamento da investigação, o escalonamento da decisão ou, dependendo da gravidade e da impossibilidade de redução do risco, a suspensão ou interrupção da operação.
É justamente nesse ponto que a due diligence se conecta ao princípio knowing what you don’t know. Uma organização madura não considera encerrada a diligência simplesmente porque recebeu determinado número de documentos ou completou um formulário de verificação. Ela pergunta se as informações obtidas são suficientes, confiáveis, atuais e relevantes para a decisão que pretende tomar. Mais importante ainda, procura identificar quais informações deveriam existir para fundamentar racionalmente a decisão e quais delas permanecem ausentes. A pergunta deixa de ser apenas “o que descobrimos sobre este terceiro?” e passa a ser também “o que precisamos saber sobre este terceiro antes de decidir e ainda não conseguimos saber?”.
A partir dessa perspectiva, a due diligence pode ser compreendida como uma tecnologia organizacional de redução e governança da incerteza. Seu resultado não precisa ser necessariamente uma conclusão positiva ou negativa sobre determinado terceiro ou operação. Pode ser também uma conclusão intermediária: as informações disponíveis ainda não são suficientes para decidir. Essa possibilidade é fundamental para evitar que a ausência de evidência seja equivocadamente tratada como evidência de ausência. Em um programa de compliance maduro, a insuficiência informacional relevante deve produzir uma consequência institucional proporcional ao risco, e não simplesmente desaparecer no arquivo documental da organização.
A verdadeira eficácia da due diligence, portanto, não deve ser medida exclusivamente pela quantidade de informações coletadas, pelo número de documentos examinados ou pela extensão dos formulários preenchidos. Deve ser avaliada também pela capacidade de produzir uma decisão racionalmente justificável diante das informações disponíveis e, sobretudo, pela capacidade de revelar quando essa base informacional ainda é insuficiente. A diligência alcança sua finalidade quando permite à organização saber não apenas aquilo que conhece sobre determinada relação, mas também aquilo que desconhece, a relevância desse desconhecimento e o que deve fazer enquanto a incerteza persistir. É nessa passagem da simples coleta de informações para a governança consciente das lacunas informacionais que a due diligence adquire importância central para o compliance contemporâneo.
4. KNOWING WHAT YOU DON’T KNOW: UM PRINCÍPIO METODOLÓGICO DE COMPLIANCE
A expressão knowing what you don’t know sintetiza a principal proposição deste estudo. Em organizações complexas, o risco não deriva exclusivamente da existência de informações falsas ou de comportamentos deliberadamente ilícitos. Ele também pode surgir da falsa percepção de que a organização possui conhecimento suficiente para tomar determinada decisão. A ignorância organizacional torna-se especialmente perigosa quando é invisível para aqueles que decidem, porque uma lacuna desconhecida não produz necessariamente qualquer mecanismo de investigação ou escalonamento.
O princípio proposto pressupõe, inicialmente, uma distinção entre ignorância, incerteza e informação insuficiente. Ignorância corresponde à ausência de conhecimento sobre determinado elemento relevante; incerteza corresponde à impossibilidade de determinar com segurança qual das hipóteses disponíveis corresponde à realidade; e informação insuficiente ocorre quando os dados existentes não permitem fundamentar adequadamente a decisão. Embora conceitualmente distintas, essas situações podem produzir consequência comum para o compliance: a necessidade de impedir que uma decisão material seja tomada como se existisse um grau de certeza que efetivamente não existe.
O princípio também exige uma avaliação da materialidade da lacuna informacional. Nem toda informação desconhecida constitui risco relevante. Uma organização não precisa alcançar conhecimento absoluto sobre todos os aspectos de uma operação. O que se exige é a capacidade de determinar quais desconhecimentos podem alterar substancialmente a avaliação jurídica, financeira, operacional ou reputacional do risco. Quanto maior a potencial consequência da lacuna, maior deve ser a exigência de investigação, documentação, aprovação e controle.
Desse modo, knowing what you don’t know pode funcionar como verdadeiro gatilho decisório. Quando uma lacuna informacional ultrapassar determinado nível de materialidade, o sistema de compliance deve produzir uma resposta institucional previamente definida. Essa resposta pode consistir na solicitação de documentos adicionais, realização de pesquisa independente, entrevista com terceiros, auditoria, investigação interna, consulta jurídica especializada, escalonamento para instância superior de governança, imposição de cláusulas contratuais adicionais ou interrupção da operação. O elemento central é que a ignorância relevante deixe de permanecer invisível e passe a produzir consequências organizacionais.
A maturidade do programa pode, nessa perspectiva, ser representada por uma escala progressiva. No primeiro nível, a organização não identifica adequadamente os riscos. No segundo, reconhece apenas riscos evidentes. No terceiro, identifica riscos e estabelece controles correspondentes. No quarto, monitora alterações nos riscos e reavalia seus controles. No quinto, desenvolve mecanismos sistemáticos para identificar lacunas informacionais relevantes. No sexto, transforma essas lacunas em gatilhos automáticos de investigação, escalonamento ou interrupção decisória. A maturidade máxima não corresponde à eliminação da incerteza, mas à capacidade de governá-la institucionalmente.
5. COMPLIANCE COMO SISTEMA DE APRENDIZAGEM ORGANIZACIONAL
A concepção do compliance como governança da incerteza conduz naturalmente à compreensão da organização como sistema de aprendizagem. Um programa de integridade não deve apenas prevenir eventos futuros; precisa aprender com incidentes, quase-incidentes, denúncias, investigações, auditorias, mudanças regulatórias, falhas de terceiros e alterações no ambiente econômico. Cada evento deve produzir informação capaz de modificar, quando necessário, os pressupostos, controles e procedimentos anteriormente adotados.
Essa lógica altera a relação entre monitoramento e correção. O monitoramento não deve ser concebido como atividade destinada exclusivamente a verificar se as regras estão sendo cumpridas, mas como mecanismo de produção contínua de conhecimento sobre o funcionamento real da organização. Uma denúncia, por exemplo, pode revelar não apenas uma conduta individual inadequada, mas uma deficiência estrutural de supervisão. Uma falha de fornecedor pode revelar insuficiência na due diligence. Uma auditoria pode demonstrar que determinado controle formalmente existente não funciona na prática. A resposta institucional adequada consiste não apenas em corrigir o evento individual, mas em perguntar o que ele revela sobre o próprio sistema.
Nesse sentido, a investigação interna assume função epistemológica. Investigar significa reconstruir fatos, testar hipóteses, verificar informações, identificar causas e produzir conhecimento para a tomada de decisão. A investigação que termina exclusivamente na responsabilização individual perde parte de sua função de compliance quando não examina as condições organizacionais que permitiram a ocorrência do evento. Uma organização madura procura identificar não apenas quem fez, mas também como foi possível fazer, por que os controles não detectaram e o que precisa ser modificado para reduzir a probabilidade de repetição.
A aprendizagem institucional completa o ciclo: risco → informação → controle → monitoramento → evento → investigação → correção → novo conhecimento → reavaliação do risco. Cada etapa deve alimentar a seguinte. O compliance deixa, portanto, de ser uma estrutura estática de prevenção e passa a operar como sistema adaptativo. Quanto mais rapidamente a organização transforma sinais de risco em conhecimento e conhecimento em mudança de comportamento ou controle, maior tende a ser sua capacidade de responder a ambientes regulatórios e empresariais dinâmicos.
6. COMPARAÇÃO ENTRE OS MODELOS BRASILEIRO E NORTE-AMERICANO
No Brasil, a Lei nº 12.846/2013 ocupa posição central na estrutura normativa anticorrupção empresarial ao estabelecer responsabilidade objetiva administrativa e civil da pessoa jurídica por determinados atos lesivos à Administração Pública nacional ou estrangeira. O Decreto nº 11.129/2022 regulamenta a matéria e disciplina parâmetros relacionados aos programas de integridade. A Lei nº 9.613/1998 acrescenta uma dimensão específica de prevenção à lavagem de dinheiro, com obrigações de identificação, registro e comunicação aplicáveis aos setores submetidos ao regime. A Lei nº 14.133/2021, por sua vez, incorporou de modo mais explícito a integridade ao regime de contratações públicas, enquanto a legislação de improbidade e a LGPD ampliam o espectro dos riscos que precisam ser considerados pelas organizações.
O sistema brasileiro caracteriza-se, portanto, pela sobreposição de diferentes regimes normativos e autoridades. Empresas que mantêm relações com o Poder Público, movimentam recursos financeiros, processam dados pessoais, atuam em setores regulados ou realizam operações internacionais precisam identificar quais obrigações incidem especificamente sobre suas atividades. A consequência é relevante para a tese aqui defendida: não existe uma lista universal de regras aplicável indistintamente a todas as empresas. O primeiro trabalho de compliance consiste precisamente em descobrir qual é o universo normativo relevante para determinada organização e quais riscos decorrem de sua atividade.
Nos Estados Unidos, a fragmentação é igualmente significativa. O FCPA ocupa posição central na prevenção e repressão do suborno de funcionários públicos estrangeiros e contém, para determinadas companhias, importantes exigências relacionadas a livros, registros e controles contábeis. O SOX ampliou a relevância dos controles internos, da responsabilidade dos administradores e da confiabilidade das informações financeiras. O BSA e a atuação do FinCEN constituem componentes essenciais do regime de prevenção à lavagem de dinheiro, enquanto o OFAC administra regimes de sanções econômicas e comerciais relacionados à política externa e à segurança nacional dos Estados Unidos.
A experiência norte-americana oferece contribuição particularmente relevante para a compreensão da efetividade. A atuação de DOJ e SEC no campo do FCPA demonstra que a existência formal de um programa não esgota a análise. Questões como avaliação de riscos, due diligence de terceiros, treinamento, canais de denúncia, investigação, monitoramento, autonomia, recursos e remediação tornam-se fundamentais para verificar se o sistema realmente funciona. A distinção entre paper compliance e effective compliance é, nesse sentido, essencial para compreender a evolução do conceito.
A comparação entre os dois sistemas permite identificar uma convergência fundamental: apesar das diferenças de estrutura normativa e institucional, ambos deslocam progressivamente o compliance da mera declaração formal de compromisso para a demonstração de capacidade concreta de prevenção, detecção e resposta. A questão relevante deixa de ser apenas se a organização possui um programa e passa a ser se o programa é capaz de enfrentar os riscos que razoavelmente poderiam ser identificados. Essa convergência oferece fundamento para a proposição de que a capacidade de reconhecer lacunas informacionais constitui componente relevante da maturidade de qualquer sistema contemporâneo de integridade.
7. APLICAÇÕES SETORIAIS: AVIAÇÃO E LEGAL TECH
A aviação constitui exemplo particularmente expressivo de compliance baseado em decisões sob incerteza. As regras norte-americanas de atrasos prolongados em pista impõem limites relevantes ao tempo de permanência de passageiros a bordo e exigem das companhias mecanismos capazes de antecipar situações nas quais a operação pode ultrapassar os limites regulatórios. A dificuldade prática não está simplesmente em conhecer a regra, mas em decidir quando as circunstâncias concretas — meteorologia, tráfego aéreo, disponibilidade de portões, infraestrutura aeroportuária, condições operacionais e jornada das tripulações — tornam provável a violação.
Nesse ambiente, procedimentos de corte antecipado, coordenação entre centro de operações, equipes de solo e controle de tráfego aéreo, recursos móveis de desembarque e protocolos de decisão constituem mecanismos de governança da incerteza. Simulações de estresse e exercícios de preparação podem revelar gargalos que não aparecem durante a operação ordinária. A análise posterior de incidentes e quase-incidentes, quando utilizada como instrumento de aprendizagem e não exclusivamente de punição, permite transformar experiências operacionais em conhecimento institucional. A efetividade do compliance depende, nesse contexto, da capacidade de tomar decisões antes que a violação esteja consumada.
A mesma lógica pode ser observada em uma empresa de tecnologia jurídica que armazena documentos processuais em serviços de computação em nuvem, recebe pagamentos eletrônicos e administra dados sensíveis de clientes. Nesse cenário hipotético, a organização pode estar submetida simultaneamente a normas trabalhistas, proteção de dados, segurança da informação, processamento de pagamentos, propriedade intelectual, contratação de fornecedores e, dependendo de sua atuação internacional, diferentes regimes estrangeiros. O desafio não é simplesmente produzir uma lista de normas, mas determinar quais são efetivamente aplicáveis à atividade desenvolvida.
A utilização de fornecedores externos torna o problema ainda mais complexo. Uma empresa pode possuir políticas internas adequadas e, entretanto, permanecer exposta a riscos decorrentes de seu provedor de nuvem, processador de pagamentos ou outro terceiro estratégico. A due diligence deve, portanto, alcançar a cadeia de relações empresariais proporcionalmente ao risco, e o monitoramento não deve terminar com a assinatura do contrato. Mudanças regulatórias, alterações societárias, incidentes de segurança, sanções, investigações ou mudanças no modelo operacional do terceiro podem alterar significativamente o risco originalmente avaliado.
Os dois exemplos demonstram que o compliance eficaz depende de uma característica comum: capacidade de perceber a mudança enquanto o evento ainda está em desenvolvimento. No setor aéreo, a organização precisa perceber que determinada combinação de fatores pode conduzir a uma violação regulatória. Na Legal Tech, precisa reconhecer que determinado fornecedor ou mudança operacional pode criar um risco que não estava presente na avaliação inicial. Em ambos os casos, o sistema maduro não espera pela confirmação retrospectiva do dano; procura identificar sinais, avaliar incertezas e agir preventivamente.
8. PROPOSTA DE UM MODELO DE MATURIDADE EPISTÊMICA DO COMPLIANCE
A tese do knowing what you don’t know pode ser operacionalizada mediante um modelo de maturidade epistêmica composto por diferentes níveis de capacidade institucional. O objetivo não é substituir modelos existentes de avaliação de compliance, mas acrescentar uma dimensão específica: a capacidade da organização de reconhecer e governar suas próprias limitações informacionais.
No primeiro nível encontra-se a ignorância não reconhecida, caracterizada pela ausência de mecanismos adequados de identificação de riscos. No segundo, existe conhecimento reativo, no qual a organização responde principalmente a eventos já ocorridos. No terceiro, surge a gestão formal do risco, com políticas, procedimentos e controles estabelecidos. No quarto, encontra-se a gestão dinâmica, na qual os riscos são monitorados e os controles periodicamente reavaliados. O quinto nível corresponde à consciência das lacunas, caracterizada pela capacidade de identificar informações relevantes ainda desconhecidas. Finalmente, o sexto nível corresponde à governança da incerteza, na qual a existência de lacuna material desencadeia respostas institucionais previamente estruturadas.
Esse modelo permite estabelecer indicadores qualitativos e quantitativos. Entre os indicadores possíveis estão a quantidade de avaliações de terceiros que identificaram informações insuficientes; o percentual de operações submetidas a escalonamento por insuficiência informacional; o tempo necessário para resolver lacunas materiais; a frequência de reavaliações de risco; a quantidade de incidentes que produziram alterações nos controles; a proporção de recomendações de auditoria efetivamente implementadas; e a capacidade de demonstrar documentalmente a razão pela qual determinada informação foi considerada suficiente para fundamentar uma decisão.
A vantagem do modelo está em deslocar a avaliação da maturidade do compliance de uma lógica predominantemente documental para uma lógica de capacidade decisória. Uma empresa que possui centenas de políticas, mas não consegue identificar quando suas informações são insuficientes, pode apresentar elevada maturidade documental e baixa maturidade epistêmica. Inversamente, uma organização que possui mecanismos mais simples, mas consegue identificar rapidamente lacunas materiais, escalonar decisões e adaptar seus controles, pode demonstrar maior efetividade funcional.
O modelo também permite uma importante consequência jurídica e gerencial: a documentação da incerteza. Registrar que determinada informação não estava disponível, explicar sua materialidade, indicar as diligências realizadas, justificar a decisão adotada e estabelecer mecanismos de monitoramento posterior pode demonstrar que a organização não ignorou conscientemente o risco. O objetivo não é criar burocracia adicional, mas produzir uma trilha racional de decisão proporcional ao risco. O compliance maduro não precisa demonstrar que sabia tudo; precisa demonstrar que sabia o que não sabia e o que fez diante disso.
CONCLUSÃO
A análise desenvolvida demonstra que o compliance contemporâneo ultrapassa substancialmente a concepção de simples cumprimento formal de leis e regulamentos. A complexidade normativa, a internacionalização das operações, a multiplicidade de terceiros e a velocidade das transformações tecnológicas tornam impossível imaginar uma organização capaz de conhecer antecipadamente todos os riscos que poderá enfrentar. Nesse ambiente, a efetividade do compliance depende menos da quantidade de documentos produzidos do que da capacidade institucional de transformar normas, informações e sinais de risco em decisões concretas. A distinção entre paper compliance e programa efetivo representa, por isso, uma das principais chaves para compreender a maturidade dos sistemas de integridade.
A tese central deste artigo sustenta que a maturidade deve ser analisada também sob uma perspectiva epistemológica. Uma organização madura não é simplesmente aquela que conhece muitos riscos, mas aquela que possui mecanismos para descobrir quando seu conhecimento é insuficiente. A lacuna informacional relevante precisa ser identificada, qualificada e incorporada ao processo decisório. Quando o desconhecimento puder produzir consequências jurídicas, financeiras, operacionais ou reputacionais significativas, a organização deve possuir mecanismos capazes de desencadear investigação adicional, aprofundamento da due diligence, escalonamento decisório, controles suplementares ou interrupção da operação.
O conceito de knowing what you don’t know permite, nessa perspectiva, aproximar compliance, gestão de riscos, due diligence e aprendizagem organizacional. A due diligence deixa de ser mero procedimento de coleta documental e passa a funcionar como processo de redução e governança da incerteza. O monitoramento deixa de representar simples fiscalização retrospectiva e passa a produzir conhecimento sobre mudanças no ambiente de risco. A investigação deixa de limitar-se à atribuição individual de responsabilidade e passa a identificar falhas sistêmicas. A correção deixa de representar o encerramento do incidente e passa a constituir fonte de aprendizagem institucional.
A comparação entre Brasil e Estados Unidos reforça essa conclusão. Embora possuam estruturas normativas, autoridades e mecanismos de enforcement distintos, ambos os sistemas demonstram progressiva preocupação com a efetividade dos programas de integridade, com a gestão baseada em riscos, com a due diligence de terceiros, com os controles internos, com o monitoramento e com a capacidade de prevenção, detecção e resposta. A experiência norte-americana, particularmente, evidencia a importância de distinguir a existência formal de um programa de sua capacidade concreta de funcionar. A experiência brasileira, por sua vez, revela crescente integração entre anticorrupção, prevenção à lavagem de dinheiro, contratações públicas, proteção de dados e governança empresarial.
Os exemplos da aviação e da Legal Tech demonstram que a principal dificuldade do compliance surge precisamente quando a organização precisa decidir sob informação incompleta, dinâmica ou contraditória. Nesses ambientes, a conformidade não pode esperar pela certeza retrospectiva. Ela precisa operar enquanto os fatos ainda estão em desenvolvimento, identificando sinais, testando hipóteses, avaliando lacunas e adotando medidas proporcionais ao risco. O compliance transforma-se, assim, em mecanismo de governança preventiva da decisão.
A contribuição proposta pode ser sintetizada em uma proposição final: o grau de maturidade de um programa de compliance é determinado não apenas pela capacidade de conhecer e controlar riscos conhecidos, mas pela capacidade de identificar, qualificar e governar os riscos decorrentes daquilo que a organização ainda não conhece. O objetivo não é alcançar uma impossível onisciência empresarial. É construir uma organização epistemicamente consciente de seus próprios limites, capaz de reconhecer a insuficiência informacional antes que ela produza uma decisão inadequada. Nesse sentido, compliance maduro não significa saber todas as respostas; significa possuir uma arquitetura institucional suficientemente sofisticada para saber quando ainda não se possui a resposta, por que isso importa e o que deve ser feito enquanto ela não existe.