Introdução — Quando dizer “não” deixa de ser uma escolha e passa a ser um sistema
A expressão “Basta Dizer Não”, tomada isoladamente, parece inadequada para enfrentar a complexidade da corrupção empresarial contemporânea. O suborno não surge apenas da decisão individual de um empregado de entregar dinheiro a um agente público; ele pode resultar de estruturas organizacionais deficientes, incentivos econômicos perversos, dependência excessiva de intermediários, controles financeiros inadequados, pressão por resultados, assimetria informacional e ambientes administrativos nos quais a empresa percebe que a continuidade de sua atividade depende de uma decisão pública. A contribuição de Michael Volkov consiste justamente em deslocar o problema da moral individual para a arquitetura institucional: recusar a propina somente funciona quando a organização está preparada para suportar as consequências da recusa. Essa perspectiva encontra hoje correspondência muito mais sofisticada no direito brasileiro e nos sistemas internacionais de integridade, que passaram a tratar prevenção, detecção, resposta, due diligence, controles internos, canais de denúncia e melhoria contínua como componentes de uma mesma estrutura de governança.
No Brasil, essa transformação possui fundamento direto na Lei nº 12.846/2013. A Lei Anticorrupção estabelece a responsabilização objetiva administrativa e civil das pessoas jurídicas por atos lesivos praticados contra a Administração Pública nacional ou estrangeira, quando realizados em seu interesse ou benefício, exclusivo ou não. O Decreto nº 11.129/2022, por sua vez, define programa de integridade como o conjunto de mecanismos e procedimentos internos de integridade, auditoria, incentivo à denúncia e aplicação efetiva de códigos de ética e conduta destinado a prevenir, detectar e sanar desvios, fraudes, irregularidades e atos ilícitos contra a Administração Pública nacional ou estrangeira. O mesmo Decreto determina que o programa seja estruturado, aplicado e atualizado conforme as características e os riscos atuais das atividades da pessoa jurídica, com constante aprimoramento.
A dimensão internacional reforça essa mesma lógica. A Convenção da OCDE contra o Suborno de Funcionários Públicos Estrangeiros trata da corrupção nas transações comerciais internacionais e é acompanhada por mecanismo de monitoramento entre os Estados Partes; o Brasil está submetido a esse sistema de avaliação, tendo sido publicado em março de 2026 o relatório de acompanhamento da Fase 4 brasileira. A Convenção das Nações Unidas contra a Corrupção — UNCAC — também exige medidas destinadas a prevenir a corrupção no setor privado, fortalecer padrões contábeis e de auditoria e estabelecer mecanismos de integridade empresarial. A questão, portanto, deixou de ser exclusivamente “não pagar propina”: trata-se de construir uma organização na qual pagar propina seja incompatível com seus processos decisórios, financeiros, contratuais e culturais.
A tese deste artigo é que o verdadeiro “Basta Dizer Não” não constitui uma simples técnica de comportamento ético, mas uma estrutura de resistência institucional à corrupção, composta por cinco elementos: identificação do risco, prevenção, capacidade de recusa, resposta documentada e aprendizagem organizacional. A recusa somente se torna sustentável quando a empresa conhece antecipadamente os pontos em que pode ser pressionada, possui alternativas legítimas para enfrentar a pressão, protege quem comunica a exigência ilícita, controla terceiros e mantém registros capazes de demonstrar a trajetória de suas decisões.
O resultado é uma mudança conceitual importante: compliance não é apenas obedecer à lei depois que o risco aparece; é construir uma organização capaz de não precisar violá-la quando o risco aparecer.
1. Da moral individual à responsabilidade objetiva da pessoa jurídica
A recusa ao suborno como princípio de governança, gestão de riscos e responsabilidade corporativa
A primeira transformação necessária é abandonar a concepção segundo a qual corrupção empresarial constitui simplesmente um problema de caráter individual. É evidente que pessoas concretas praticam atos concretos de corrupção. Entretanto, a existência de responsabilidade individual não elimina a dimensão organizacional do fenômeno. Uma empresa pode criar incentivos que favoreçam a corrupção, tolerar intermediários de alto risco, permitir pagamentos sem documentação ou estabelecer metas que, na prática, estimulem empregados a ignorar controles.
A Lei nº 12.846/2013 rompe parcialmente com a lógica de que seria necessário identificar primeiro o culpado individual para responsabilizar a organização. O art. 2º estabelece responsabilidade objetiva administrativa e civil da pessoa jurídica pelos atos lesivos previstos na lei praticados em seu interesse ou benefício. A responsabilidade da pessoa jurídica também não exclui a responsabilidade individual dos dirigentes, administradores ou demais pessoas naturais envolvidas, observada a culpabilidade destas.
Essa estrutura possui consequência decisiva para o compliance. A empresa não pode organizar seu sistema de integridade em torno da pergunta “quem será responsabilizado se alguma coisa acontecer?”. A pergunta adequada é anterior: “que características do nosso sistema poderiam permitir que isso acontecesse?” A investigação posterior identifica responsabilidades; o compliance anterior identifica vulnerabilidades.
É precisamente por isso que a Lei Anticorrupção deve ser lida conjuntamente com o Decreto nº 11.129/2022. O Decreto não reduz o programa de integridade a um código de conduta; exige mecanismos, procedimentos, auditoria, incentivo à denúncia e efetividade. E determina que o programa seja adaptado aos riscos concretos da organização.
A empresa madura, portanto, não pergunta apenas se possui um programa de compliance. Pergunta se o programa funciona quando submetido à pressão. O verdadeiro teste do sistema ocorre quando alguém exige uma vantagem indevida, quando um intermediário apresenta uma solução “informal”, quando uma licença deixa de avançar ou quando a área comercial informa que um contrato será perdido caso determinado pagamento não seja realizado.
Nesse momento, o “Basta Dizer Não” deixa de ser uma frase ética e transforma-se em teste de efetividade do programa de integridade.
2. A Convenção da OCDE e a internacionalização da responsabilidade anticorrupção
A Convenção da OCDE contra o Suborno de Funcionários Públicos Estrangeiros representa uma mudança paradigmática porque desloca o combate à corrupção para o ambiente das transações internacionais. Seu objetivo central é enfrentar o suborno de agentes públicos estrangeiros em operações empresariais internacionais, reduzindo a possibilidade de que vantagens ilícitas sejam utilizadas como instrumento de competição econômica.
A lógica da OCDE é especialmente relevante para a teoria do “Basta Dizer Não” porque rejeita a ideia de que costumes locais ou exigências de autoridades estrangeiras possam transformar a corrupção em comportamento empresarial legítimo. As recomendações associadas à Convenção tratam expressamente de controles contábeis, auditoria, controles internos, ética, compliance e due diligence de terceiros. Também recomendam atenção especial a pagamentos de facilitação e a solicitações ou extorsões relacionadas à corrupção.
A recomendação da OCDE sobre programas de integridade para parceiros de negócios é particularmente significativa. Ela contempla due diligence baseada em risco e devidamente documentada para contratação e supervisão de agentes, consultores, representantes, distribuidores, contratados, fornecedores, parceiros de joint venture e outros terceiros.
A consequência dogmática é importante: o risco de corrupção não termina na fronteira jurídica da pessoa jurídica. A empresa pode terceirizar uma atividade, mas não pode terceirizar a responsabilidade pelo controle do risco sem avaliar as consequências dessa terceirização.
Daí resulta uma regra fundamental para empresas brasileiras internacionalizadas: quanto mais internacionalizada for a cadeia de negócios, maior deve ser a capacidade de compreender jurisdições, intermediários, agentes públicos, estruturas societárias, fluxos financeiros e práticas locais. O desconhecimento não elimina necessariamente o risco; em determinadas circunstâncias, o próprio desconhecimento pode ser consequência de controles inadequados.
3. A Convenção da ONU contra a Corrupção e a integridade do setor privado
A Convenção das Nações Unidas contra a Corrupção amplia ainda mais o campo de análise. Seu art. 12 trata especificamente do setor privado e estabelece que os Estados devem adotar medidas para prevenir corrupção envolvendo o setor empresarial, fortalecer padrões contábeis e de auditoria e, quando apropriado, estabelecer sanções civis, administrativas ou criminais eficazes, proporcionais e dissuasivas.
Essa disposição é especialmente importante porque revela que a prevenção da corrupção não pode ser concebida exclusivamente como função repressiva do Estado. Existe também uma dimensão institucional da empresa privada. Códigos de conduta, controles contábeis, auditorias, padrões de governança e mecanismos de cooperação com autoridades passam a integrar uma arquitetura internacional de prevenção.
O direito brasileiro dialoga diretamente com essa concepção. A própria Lei de Improbidade Administrativa, em sua redação atual, afirma que o sistema tutela a probidade na organização do Estado e no exercício de suas funções, para assegurar a integridade do patrimônio público e social. A reforma promovida pela Lei nº 14.230/2021 também passou a exigir dolo para os atos tipificados nos arts. 9º, 10 e 11, definindo-o como vontade livre e consciente de alcançar o resultado ilícito tipificado.
Essa precisão é indispensável. Nem toda irregularidade administrativa é improbidade, assim como nem todo defeito de compliance constitui automaticamente ato de corrupção. A análise jurídica deve respeitar a estrutura de cada regime sancionatório. A Lei Anticorrupção, a Lei de Improbidade, o direito penal, o direito administrativo sancionador e as normas de governança possuem pressupostos próprios.
A integração correta, portanto, não significa confundir regimes. Significa compreender que todos eles participam de uma arquitetura maior de proteção da legalidade, da probidade, da transparência e da integridade das relações entre Estado e setor privado.
4. FCPA E UK BRIBERY ACT: a empresa brasileira diante do risco extraterritorial
O Foreign Corrupt Practices Act — FCPA — constitui uma das referências mais importantes do direito anticorrupção empresarial internacional. O guia oficial do Departamento de Justiça e da Securities and Exchange Commission aborda, entre outros temas, alcance jurisdicional, pagamentos impróprios, responsabilidade relacionada a terceiros, operações de M&A, controles contábeis e características de programas corporativos efetivos de compliance.
A importância do FCPA para empresas brasileiras decorre justamente da possibilidade de determinadas organizações e operações possuírem conexões jurisdicionais com os Estados Unidos. Uma empresa pode, portanto, estar sujeita simultaneamente ao regime brasileiro e a normas estrangeiras, criando uma situação em que compliance precisa ser pensado não apenas segundo a legislação do país onde a empresa está sediada, mas segundo a exposição jurisdicional de suas operações.
O UK Bribery Act apresenta outra contribuição importante. A legislação britânica prevê, além das formas tradicionais de suborno, uma infração específica de failure by commercial organisations to prevent bribery, isto é, falha da organização comercial em prevenir suborno praticado por pessoas associadas para obtenção ou retenção de negócios ou vantagem empresarial. A orientação oficial britânica estrutura a prevenção em seis princípios: proporcionalidade, compromisso da alta administração, avaliação de riscos, due diligence, comunicação/treinamento e monitoramento/revisão.
A comparação não deve ser feita para importar mecanicamente modelos estrangeiros para o Brasil. Sua utilidade é outra: demonstrar que os sistemas anticorrupção mais desenvolvidos convergem em torno de uma mesma ideia — a prevenção efetiva exige conhecimento do risco e controles proporcionais ao risco.
Assim, a empresa brasileira internacionalizada deveria trabalhar com uma matriz de exposição jurídica: Lei Anticorrupção brasileira; Lei de Improbidade quando pertinente; legislação penal; legislação setorial; normas estrangeiras potencialmente aplicáveis; contratos; regras de mercado de capitais; padrões contábeis; políticas internas; e obrigações assumidas perante clientes, financiadores ou parceiros.
Compliance contemporâneo é, portanto, também gestão da pluralidade normativa.
5. A ISO 37001:2025 e a transformação do “não” em sistema de gestão
A ISO 37001 representa um passo adicional porque transforma princípios anticorrupção em requisitos de um sistema de gestão. E há aqui uma atualização importante: a edição atualmente publicada é a ISO 37001:2025, segunda edição, que substituiu a edição de 2016. A norma estabelece requisitos e orientação para estabelecer, implementar, manter e melhorar sistemas destinados a prevenir, detectar e responder ao suborno, abrangendo organizações públicas, privadas e sem fins lucrativos e contemplando corrupção direta e indireta.
A evolução da ISO 37001 em sua versão 2025 consolida um modelo global de governança preventiva que dialoga diretamente com o arcabouço normativo brasileiro, como a Lei Anticorrupção (Lei nº 12.846/2013) e a Lei de Improbidade Administrativa (LIA – Lei nº 8.429/1992, atualizada pela Lei nº 14.230/2021). Enquanto a Lei Anticorrupção foca na responsabilidade objetiva das pessoas jurídicas por atos lesivos à administração pública e premia corporações que possuem programas de integridade efetivos, a norma internacional atualizada atua como o mapa prático e auditável para a construção desses sistemas. Elementos novos da ISO 37001:2025, como a gestão aprofundada de conflitos de interesse e a governança voltada à cultura antissuborno, fornecem os controles internos operacionais necessários para demonstrar a boa-fé e a proatividade exigidas pelo Decreto Regulamentador da Lei Anticorrupção (Decreto nº 11.129/2022) na redução de penalidades.
Ao mesmo tempo, o paralelo com a LIA evidencia como a conformidade técnica protege tanto os entes privados quanto os agentes públicos no ambiente de negócios. A LIA passou a exigir a comprovação de dolo específico para a caracterização de atos de improbidade administrativa, afastando sanções por simples negligência ou equívocos operacionais. Nesse cenário, o rigor da ISO 37001:2025 — ao formalizar papéis da alta direção, estruturar diligências em fusões e aquisições e exigir rastreabilidade via gestão da mudança — serve como evidência documental para afastar acusações de conduta dolosa, separando falhas formais de desvios intencionais.
Por fim, a transição para a ISO 37001:2025 até 2027 exige que o cumprimento das regras jurídicas brasileiras deixe de ser apenas um checklist estático e se torne um processo dinâmico. A integração do padrão ISO com ferramentas tecnológicas de gestão permite automatizar auditorias, monitorar terceiros e gerir riscos operacionais de forma contínua, garantindo que as diretrizes legais da LIA e da Lei Anticorrupção sejam aplicadas na rotina diária da organização. Assim, a norma técnica deixa de ser apenas uma certificação reputacional para se converter em um escudo de conformidade jurídica, reduzindo a exposição a penalidades administrativas e resguardando a perpetuidade das instituições.
Entre os elementos associados à ISO 37001 estão política anticorrupção, compromisso da liderança, função responsável pelo sistema, treinamento, avaliação periódica de riscos, due diligence de parceiros de negócios, controles financeiros e não financeiros, mecanismos de reporte, monitoramento, investigação, auditoria, ações corretivas e melhoria contínua.
A consequência conceitual é extraordinária: o “não” deixa de ser um ato isolado e passa a ser uma saída prevista pelo sistema.
Quando um funcionário recebe uma exigência de propina, ele deveria encontrar um procedimento que responda a perguntas previamente definidas: quem deve ser comunicado? Que evidências devem ser preservadas? Quando a situação deve ser escalada? Quem decide sobre a continuidade da operação? Como registrar a ocorrência? Como proteger o empregado? Como avaliar o terceiro envolvido? Como verificar se existe risco de retaliação?
O sistema anticorrupção eficaz não espera que o empregado invente uma solução em tempo real. Ele pré-constrói a solução institucional para o momento de pressão.
Esse é talvez o maior avanço conceitual em relação ao “Basta Dizer Não”: não se pede heroísmo ao empregado; constrói-se uma organização na qual a integridade seja a alternativa operacionalmente viável.
6. ISO 37301: compliance não é apenas anticorrupção
A ISO 37301:2021 possui escopo mais amplo. Trata de sistemas de gestão de compliance destinados a estabelecer, desenvolver, implementar, avaliar, manter e melhorar um sistema eficaz e responsivo de conformidade. A norma é aplicável a organizações de diferentes tamanhos, setores e naturezas e baseia-se, entre outros princípios, em boa governança, proporcionalidade, transparência e sustentabilidade.
A diferença entre ISO 37001 e ISO 37301 é, portanto, estrutural. A primeira concentra-se no risco de suborno; a segunda fornece uma arquitetura mais abrangente para o conjunto das obrigações de compliance da organização. As duas podem ser integradas. A própria ISO apresenta essa possibilidade de integração entre os sistemas.
Essa integração é fundamental porque a corrupção raramente aparece isoladamente. Pode estar associada a fraude contábil, conflito de interesses, lavagem de dinheiro, falsificação documental, violação de regras de contratação pública, irregularidades fiscais, problemas trabalhistas, proteção inadequada de dados ou violações regulatórias.
O compliance moderno precisa, portanto, abandonar a estrutura de departamentos estanques. Corrupção é risco jurídico, mas também risco financeiro, operacional, reputacional, contratual, regulatório e estratégico.
A combinação entre ISO 37001 e ISO 37301 permite pensar o sistema em duas camadas: uma camada geral de conformidade e uma camada especializada de prevenção ao suborno. Isso aproxima o compliance da governança corporativa e afasta a ideia de que ele seja apenas um conjunto de documentos produzidos pelo departamento jurídico.
7. Retaliação administrativa: quando a recusa à propina cria um segundo risco de corrupção
Aqui está uma das dimensões mais importantes do modelo.
A empresa pode receber uma exigência de pagamento ilícito e recusá-la. Mas o episódio não termina necessariamente com a recusa. Se a autoridade possui poder discricionário ou operacional sobre licenças, fiscalizações, alfândega, inspeções, autorizações ou outros procedimentos, pode surgir uma segunda categoria de risco: a retaliação administrativa.
Não se deve presumir que toda demora administrativa seja retaliação. A distinção é juridicamente indispensável. A Administração pode legitimamente exigir documentos, realizar fiscalizações, negar pedidos ou impor prazos quando houver fundamento legal. O problema aparece quando uma atuação pública passa a ser utilizada como instrumento ilegítimo de represália pela recusa de uma vantagem indevida.
O compliance deve, portanto, distinguir três situações: atuação administrativa legítima; atuação administrativa irregular; e eventual retaliação vinculada à exigência ou recusa de vantagem indevida. Essa diferenciação exige documentação, comparação de tratamento, cronologia dos eventos, identificação dos agentes envolvidos e análise jurídica.
É aqui que a teoria de Volkov ganha especial força. A empresa que simplesmente diz “não” sem preservar evidências pode ficar vulnerável a uma disputa factual posterior. A empresa que diz “não” e imediatamente registra o episódio cria uma trilha documental capaz de explicar por que determinado procedimento se tornou anormal justamente depois da recusa.
A política anticorrupção deve, portanto, conter uma categoria específica de retaliation risk. O protocolo deve prever que determinadas alterações abruptas de tratamento administrativo após uma solicitação de vantagem indevida sejam objeto de avaliação jurídica e de compliance.
A consequência prática é poderosa: a recusa à propina não deve encerrar o incidente; deve iniciar o protocolo de resposta.
8. “Knowing what you don’t know”: a nova fronteira da due diligence
Uma das maiores fragilidades dos programas de compliance é a falsa sensação de conhecimento. A empresa pergunta quem é o terceiro, recebe documentos, verifica o CNPJ, consulta uma lista de sanções e conclui que realizou due diligence. Mas talvez ainda não saiba o essencial.
“Knowing what you don’t know” significa reconhecer que a verdadeira pergunta da due diligence não é apenas “o que sabemos sobre o terceiro?”, mas também “o que deveríamos saber e ainda não sabemos?”
Imagine-se uma empresa que contrata um consultor para obter licenças públicas. O consultor possui empresa regularmente constituída, endereço conhecido, currículo aparentemente adequado e referências comerciais. Esses dados são positivos, mas insuficientes. É necessário perguntar: por que esse consultor consegue obter resultados significativamente mais rápidos que concorrentes? Possui relações familiares com agentes públicos? Tem remuneração compatível com o serviço? Solicita pagamentos a terceiros? Insiste em estruturas societárias incomuns? Evita cláusulas anticorrupção? Demonstra resistência a auditoria? Possui histórico de negócios com entidades públicas? Sua atuação depende de um relacionamento pessoal com determinado agente?
A ausência de respostas não é necessariamente prova de corrupção. Mas pode constituir um risco que precisa ser compreendido antes que a relação avance.
A OCDE recomenda due diligence baseada em risco, documentada e acompanhada de supervisão adequada de parceiros comerciais. A ISO 37001 também inclui due diligence de parceiros e avaliações de risco como componentes do sistema de gestão anticorrupção.
A due diligence madura, portanto, não busca apenas confirmar hipóteses favoráveis. Ela procura lacunas de conhecimento.
Essa é uma mudança epistemológica relevante: compliance não deve produzir apenas respostas; deve produzir perguntas melhores.
9. Terceiros: o ponto em que a empresa pode perder aquilo que pensa controlar
A figura do terceiro é especialmente sensível porque ele pode funcionar como ponte entre a empresa e o Estado. Agentes, representantes, despachantes, distribuidores, consultores, fornecedores, parceiros de joint venture e intermediários podem realizar atos que a empresa jamais autorizaria diretamente.
O problema não está simplesmente em contratar terceiros. O problema está em contratar terceiros sem compreender suficientemente o risco que eles introduzem na organização.
A OCDE expressamente recomenda programas de ética e compliance aplicáveis, quando apropriado, a terceiros, acompanhados de due diligence baseada em risco, supervisão, comunicação das políticas anticorrupção e compromisso recíproco. O FCPA Resource Guide também trata da responsabilidade relacionada a terceiros e das características de programas efetivos de compliance.
A consequência é que a due diligence não pode ser um evento único ocorrido na assinatura do contrato. Dependendo do risco, deve existir monitoramento durante a relação. Um terceiro que era de baixo risco pode tornar-se de alto risco após alteração de país de atuação, mudança societária, novo contrato público ou modificação de sua remuneração.
Da mesma maneira, contratos precisam funcionar como instrumentos de controle. Cláusulas anticorrupção, obrigações de cooperação, direitos de auditoria, deveres de comunicação, possibilidade de rescisão e mecanismos de investigação devem ser proporcionais ao risco.
A grande questão não é “confiamos nesse terceiro?”. É juridicamente mais sofisticado perguntar: “quais controles permanecerão funcionando caso nossa confiança esteja errada?”
10. O sistema contábil como fronteira jurídica da corrupção
Uma das contribuições mais importantes dos padrões internacionais é mostrar que corrupção não se manifesta apenas na relação com o agente público. Ela também deixa rastros contábeis.
A OCDE recomenda controles destinados a impedir contas paralelas, transações não registradas ou inadequadamente identificadas, despesas inexistentes, passivos incorretamente descritos e documentos falsos utilizados para ocultar corrupção.
Isso produz uma consequência prática: uma propina raramente termina quando o dinheiro é entregue; ela precisa ser registrada, ocultada ou justificada dentro da organização.
É justamente nessa segunda etapa que controles financeiros podem detectar o problema. Uma despesa extraordinária, uma comissão desproporcional, um pagamento a terceiro sem documentação suficiente, uma consultoria sem evidência de serviço ou uma alteração incomum na descrição contábil podem representar sinais de alerta.
Por isso, compliance e contabilidade não podem funcionar como sistemas separados. A política anticorrupção precisa conversar com contas a pagar, compras, tesouraria, auditoria interna e controladoria.
O verdadeiro sistema de integridade deve permitir que a pergunta “por que esse pagamento foi realizado?” produza uma resposta documentalmente verificável.
Se a resposta for “porque era necessário para liberar a operação”, a organização precisa investigar imediatamente. Necessidade operacional não transforma vantagem indevida em despesa legítima.
11. A cultura do “todo mundo faz” e a desconstrução da normalização
Existe uma dimensão comportamental particularmente perigosa na corrupção empresarial: a normalização. O empregado observa que concorrentes pagam, que determinados fornecedores utilizam intermediários, que determinadas autoridades “esperam alguma coisa” e que colegas anteriores aparentemente obtiveram resultados mediante pagamentos informais.
Surge então a racionalização: “todo mundo faz”.
É justamente nesse momento que a organização precisa substituir a percepção de inevitabilidade por previsibilidade institucional. O empregado deve saber que a empresa possui um padrão consistente, que as recusas serão apoiadas, que os incidentes serão documentados e que resultados comerciais não justificam violações.
O compromisso da liderança é essencial. O próprio modelo britânico de prevenção de suborno coloca o compromisso da alta administração entre os seis princípios fundamentais de procedimentos adequados. A ISO 37001 também contempla liderança, política anticorrupção, treinamento, controles, reporte e melhoria contínua.
A cultura, contudo, não pode ser reduzida a discursos. Ela é construída por decisões repetidas. Se a empresa pune o empregado que recusa uma vantagem indevida porque perdeu um contrato, mas premia o empregado que consegue o resultado utilizando métodos obscuros, a cultura real contradiz a cultura declarada.
Por isso, o “Basta Dizer Não” precisa aparecer também nos sistemas de remuneração, avaliação de desempenho, promoção e responsabilização.
A organização ensina seus valores principalmente pelo que recompensa, tolera e pune.
12. O protocolo brasileiro do “Basta Dizer Não”
A teoria pode ser transformada em um protocolo operacional.
Primeiro: reconhecer
O empregado deve identificar sinais de solicitação ou oferta de vantagem indevida. A política precisa apresentar exemplos concretos, inclusive situações aparentemente pequenas ou “facilitation payments”.
Segundo: recusar
A resposta deve ser clara, profissional e não provocativa: a empresa não está autorizada a realizar pagamentos que violem sua política ou a legislação aplicável.
Terceiro: registrar
Data, hora, local, pessoa envolvida, natureza da solicitação, circunstâncias e documentos relacionados devem ser preservados de maneira legítima.
Quarto: comunicar
O episódio deve ser encaminhado ao canal interno apropriado, jurídico, compliance ou superior designado.
Quinto: avaliar retaliação
Caso ocorram alterações relevantes no tratamento administrativo depois da recusa, o fato deve ser registrado e analisado sem presumir, automaticamente, que houve abuso.
Sexto: proteger
A empresa deve impedir que o empregado que agiu de acordo com a política seja penalizado por consequências decorrentes da recusa.
Sétimo: investigar
O episódio deve ser submetido a análise proporcional ao risco, especialmente quando envolver agente público, terceiro, contrato público ou jurisdição estrangeira.
Oitavo: remediar
Identificada uma deficiência de controle, ela deve ser corrigida.
Nono: aprender
O incidente deve alimentar a matriz de riscos, o treinamento e a revisão dos controles.
Décimo: melhorar
O programa precisa ser atualizado.
Essa última etapa é fundamental porque tanto o Decreto nº 11.129/2022 quanto os sistemas ISO trabalham com a ideia de atualização e melhoria contínua.
Conclusão — O “não” que transforma a organização
A fórmula “Basta Dizer Não” somente parece simples quando observada isoladamente. Na realidade, dizer “não” a uma exigência de propina pode representar uma das decisões mais complexas que uma empresa precisa enfrentar. Pode envolver risco operacional, perda de receita, atraso logístico, conflito com autoridades, exposição contratual, pressão interna e consequências comerciais. Por isso, uma organização não pode simplesmente ordenar que seus empregados sejam éticos e esperar que a ética resolva sozinha problemas estruturais.
O verdadeiro “Basta Dizer Não” é muito mais sofisticado. É uma arquitetura institucional de resistência à corrupção, construída sobre avaliação de riscos, controles internos, governança, liderança, treinamento, canais de denúncia, due diligence, controles financeiros, investigação, documentação e melhoria contínua. A Lei nº 12.846/2013 e o Decreto nº 11.129/2022 fornecem o núcleo brasileiro dessa arquitetura; a Lei de Improbidade Administrativa protege a probidade na organização do Estado e estabelece, após a reforma de 2021, pressupostos próprios para a responsabilização por improbidade; e os instrumentos internacionais ampliam a compreensão da responsabilidade empresarial.
A Convenção da OCDE demonstra que o combate ao suborno estrangeiro está inseparavelmente ligado a controles contábeis, auditoria, terceiros e compliance. A Convenção das Nações Unidas contra a Corrupção incorpora o setor privado à arquitetura internacional de prevenção. O FCPA evidencia a importância da combinação entre anticorrupção, contabilidade, terceiros e compliance efetivo. O UK Bribery Act acrescenta uma formulação particularmente expressiva ao responsabilizar organizações pela falha em prevenir suborno praticado por pessoas associadas, ressalvada a defesa baseada na existência de procedimentos adequados.
As normas ISO completam esse desenho ao oferecerem uma linguagem de sistemas de gestão. A ISO 37001:2025 concentra-se na prevenção, detecção e resposta ao suborno; a ISO 37301:2021 organiza um sistema mais amplo de gestão de compliance. O resultado é uma concepção de integridade muito diferente daquela baseada exclusivamente em códigos de ética: a empresa passa a ser avaliada pela capacidade de transformar princípios em processos verificáveis.
E aqui reside a verdadeira força do “Basta Dizer Não”. A empresa não precisa ser ingênua para ser íntegra. Ela pode reconhecer que haverá pressões, que poderão existir retaliações, que terceiros podem esconder informações, que documentos podem ser insuficientes e que determinadas operações possuem riscos superiores a outras. A integridade madura não ignora essas possibilidades; ela as incorpora ao desenho institucional.
“Knowing what you don’t know” talvez seja, nesse contexto, uma das expressões mais importantes da compliance contemporânea. O maior risco não é apenas aquilo que a empresa sabe que pode acontecer. É aquilo que deveria saber que pode acontecer, mas não criou mecanismos para descobrir.
A empresa verdadeiramente preparada não é aquela que afirma nunca ter encontrado corrupção. É aquela capaz de demonstrar que, quando o risco apareceu, sabia reconhecê-lo, sabia quem deveria agir, sabia como registrar, sabia como investigar, sabia como proteger seus empregados e sabia como corrigir o sistema depois do incidente.
Por isso, o “Basta Dizer Não” pode ser finalmente reconstruído em uma fórmula juridicamente mais precisa: Não pagar. Não ocultar. Não terceirizar o risco. Não falsificar os registros. Não retaliar quem denuncia. Não ignorar sinais de alerta. Não confundir desconhecimento com ausência de risco. E, sobretudo, não esperar que a corrupção aconteça para somente então construir o sistema que deveria tê-la prevenido.
O verdadeiro “não” anticorrupção não é uma palavra. É um sistema de governança.
[1]: https://www.iso.org/standard/37001?utm_source=chatgpt.com “ISO 37001:2025 – Anti-bribery management systems — Requirements with guidance for use”