Compliance de terceiros: o que a Lei Anticorrupção exige na prática

Este texto é um guia informativo geral sobre a Lei nº 12.846/2013 (Lei Anticorrupção, também chamada de Lei da Empresa Limpa) e seu impacto na gestão de terceiros. Não substitui orientação jurídica sobre um caso concreto — para isso, o caminho é consultar um advogado ou escritório especializado em compliance e direito anticorrupção.

A Lei Anticorrupção em uma frase

A Lei nº 12.846/2013 dispõe sobre a responsabilização administrativa e civil de pessoas jurídicas pela prática de atos lesivos contra a administração pública, nacional ou estrangeira. Ela foi sancionada em 2013 e ficou popularmente conhecida como Lei Anticorrupção ou Lei da Empresa Limpa — um marco na legislação brasileira porque, pela primeira vez, criou um regime de responsabilização da pessoa jurídica em si, e não só das pessoas físicas envolvidas.

O conceito central: responsabilidade objetiva

O ponto mais importante da lei para quem gerencia fornecedores é o regime de responsabilidade objetiva. Nas esferas administrativa e civil previstas na lei, a empresa pode ser responsabilizada pela prática de atos lesivos independentemente de se comprovar dolo ou culpa da própria pessoa jurídica — basta que o ato tenha sido praticado em seu interesse ou benefício, exclusivo ou não.

Na prática, isso desloca o centro da discussão: não se trata apenas de saber se a alta administração da empresa sabia ou autorizou um ato de corrupção. Um ato lesivo praticado por um empregado, um representante ou um intermediário contratado — um agente, consultor ou parceiro comercial que atua em nome da empresa — pode, em tese, gerar responsabilização da pessoa jurídica que se beneficiou dele, mesmo sem participação direta de seus dirigentes.

Por que isso importa para due diligence de fornecedores

Se a exposição de risco de uma empresa inclui atos de terceiros contratados, a lógica de gestão de risco muda: verificar a idoneidade de quem se contrata deixa de ser apenas uma questão de reputação e passa a ser parte da própria defesa jurídica da empresa. A cadeia de due diligence de fornecedores — checar sanções administrativas, histórico de irregularidades, situação fiscal e judicial — é um dos elementos que compõem essa gestão de risco de terceiros.

Isso é especialmente relevante em relações que envolvem intermediação com o poder público: representantes comerciais, despachantes, consultores contratados para obter licenças, aprovações ou vantagens em processos administrativos. Esse tipo de relação concentra boa parte do risco que a lei endereça.

O programa de integridade como fator de mitigação

O Decreto nº 8.420/2015, que regulamenta a Lei Anticorrupção no âmbito federal, estabelece os parâmetros para avaliação de um programa de integridade — o conjunto de mecanismos e procedimentos internos voltados a prevenir, detectar e corrigir desvios, fraudes, irregularidades e atos ilícitos praticados contra a administração pública.

Entre os elementos que o decreto lista como parte de um programa de integridade efetivo estão o comprometimento da alta direção, a análise periódica de riscos, a existência de canais de denúncia, a aplicação de medidas disciplinares e, especificamente relevante para este contexto, procedimentos de due diligence para contratação de terceiros. A existência e a efetividade desse programa são fatores considerados no cálculo da multa administrativa aplicável em um eventual processo — o decreto não promete imunidade, mas trata o programa de integridade como circunstância relevante na dosimetria da penalidade.

• →Comprometimento da alta direção com o programa de integridade
• →Padrões de conduta e código de ética aplicados a todos os empregados e terceiros
• →Análise periódica de riscos para direcionar as medidas de integridade
• →Procedimentos de due diligence para contratação de terceiros e antes de fusões e aquisições
• →Canais de denúncia e mecanismos de proteção a denunciantes de boa-fé
• →Aplicação efetiva de medidas disciplinares em caso de violação

O CNEP: o cadastro que a própria lei criou

A Lei nº 12.846/2013 criou o Cadastro Nacional de Empresas Punidas (CNEP), mantido pela CGU, que registra publicamente as empresas sancionadas com base nela — multas administrativas, publicação extraordinária da decisão condenatória, e, em casos de reincidência ou gravidade, outras sanções previstas na lei. Verificar se um fornecedor ou parceiro já consta no CNEP é uma checagem direta e objetiva dentro de qualquer processo de due diligence de terceiros.

Como o CNEP é atualizado continuamente pela CGU, uma consulta única no momento da contratação não garante que o fornecedor continue fora do cadastro seis meses depois. É esse o motivo pelo qual o monitoramento contínuo — não apenas do CNEP, mas do conjunto de fontes que compõem o perfil de risco de um CNPJ — se tornou parte da rotina de compliance de empresas com exposição relevante a terceiros.

Perguntas frequentes