Uma denúncia interna informa que determinado gestor estaria desviando recursos da empresa por meio de pagamentos feitos a um fornecedor. O relato menciona valores, nomes e supostas relações pessoais. Talvez contenha documentos. Talvez seja anônimo. Talvez pareça extremamente convincente.
A primeira responsabilidade do compliance não é decidir se o denunciado é culpado.
É organizar uma apuração capaz de testar o que foi relatado.
Uma denúncia interna de fraude deve ser tratada como uma informação relevante que pode justificar investigação, e não como prova automática de que determinada pessoa praticou fraude. O processo precisa preservar independência, confidencialidade, proporcionalidade e rastreabilidade, ao mesmo tempo em que impede que informações potencialmente relevantes sejam destruídas ou que eventual irregularidade continue produzindo danos.
Esse equilíbrio é difícil.
Investigar pouco pode deixar uma fraude continuar. Investigar de maneira precipitada pode contaminar evidências, destruir reputações, provocar conflitos trabalhistas, comprometer futuras medidas judiciais e fazer a organização enxergar apenas aquilo que espera encontrar.
É justamente por isso que o método importa.
O que uma denúncia interna de fraude realmente significa?
Significa que a organização recebeu uma alegação que precisa ser avaliada.
Nada mais deve ser presumido inicialmente.
Uma denúncia pode ser:
- correta em todos os pontos;
- correta apenas parcialmente;
- baseada em fatos verdadeiros interpretados de maneira equivocada;
- imprecisa;
- resultado de conflito profissional;
- ou completamente falsa.
O canal de denúncias não existe para transformar relatos em sentenças. Ele existe para tornar fatos potencialmente relevantes visíveis à organização e permitir que sejam tratados adequadamente.
O Decreto nº 11.129/2022 coloca os canais de denúncia, os mecanismos destinados ao tratamento dos relatos e a proteção do denunciante de boa-fé entre os parâmetros utilizados para avaliar programas de integridade. A regulamentação também valoriza independência da instância responsável, controles internos e mecanismos para interrupção e remediação de irregularidades detectadas.
A CGU, por sua vez, é bastante direta: recebida uma denúncia, a empresa deve apurá-la mediante políticas e procedimentos definidos. A sanção aparece posteriormente, diante da confirmação da irregularidade.
A sequência importa.
Denúncia → apuração → avaliação das evidências → conclusão → decisão.
Não o contrário.
Denúncia, hipótese, indício e evidência não são sinônimos
Em investigações corporativas, precisão terminológica evita muitos erros.
| Conceito | Significado prático |
|---|---|
| Denúncia ou relato | Informação apresentada ao canal ou à organização sobre possível irregularidade |
| Hipótese investigativa | Explicação provisória criada para ser testada |
| Indício | Elemento que sugere determinada possibilidade, mas não a comprova isoladamente |
| Evidência | Informação, documento, registro ou outro elemento verificável relevante para a apuração |
| Achado | Resultado factual obtido pela análise das evidências |
| Conclusão | Avaliação fundamentada produzida após consideração dos elementos favoráveis e contrários à hipótese |
Essa distinção protege tanto a empresa quanto as pessoas envolvidas.
Se um empregado denuncia que o diretor financeiro possui relação com determinado fornecedor, a existência do relacionamento pode ser um fato relevante.
Mas relação não significa necessariamente fraude.
Se pagamentos elevados foram realizados ao fornecedor, eles também podem ser fatos.
Mas pagamentos elevados não comprovam desvio.
É a análise conjunta de documentos, autorizações, contratos, prestação efetiva dos serviços, fluxos de aprovação, vínculos, beneficiários econômicos e demais circunstâncias que poderá sustentar — ou enfraquecer — determinada hipótese.
Qual deve ser a primeira providência depois da denúncia?
Preservar o caso antes de tentar resolvê-lo.
Isso significa registrar adequadamente o relato, avaliar sua materialidade inicial e identificar informações que possam desaparecer ou ser alteradas.
A organização deve responder algumas perguntas básicas:
- O que exatamente está sendo alegado?
- Qual período estaria envolvido?
- Quais pessoas, empresas ou contratos aparecem no relato?
- Há operações financeiras específicas?
- Existem documentos mencionados?
- A irregularidade, se verdadeira, ainda pode estar acontecendo?
- Existe risco imediato de perda de informação ou continuidade do dano?
- Alguém da estrutura responsável pela investigação possui potencial conflito de interesse?
A partir dessas respostas pode ser construída uma primeira delimitação do caso.
A ideia não é investigar toda a vida profissional do denunciado. É definir inicialmente quais fatos precisam ser testados.
Como definir o escopo sem transformar a investigação em uma busca ilimitada?
Uma boa apuração começa com perguntas investigativas.
Considere uma denúncia hipotética de pagamento indevido a fornecedor.
Em vez de estabelecer como objetivo “provar que o diretor desviou dinheiro”, a investigação pode formular perguntas como:
Os pagamentos mencionados ocorreram?
Possuíam suporte contratual?
Os serviços correspondentes foram efetivamente prestados?
Quem solicitou, aprovou e executou os pagamentos?
Existem exceções aos controles usuais?
Há relação relevante entre pessoas ligadas ao fornecedor e empregados responsáveis pela contratação ou aprovação?
Outras transações semelhantes ocorreram?
Essa mudança aparentemente pequena é fundamental.
A primeira formulação parte da conclusão.
As demais procuram fatos.
O Departamento de Justiça dos Estados Unidos utiliza exatamente esse tipo de preocupação como benchmark ao perguntar como as empresas determinam quais denúncias justificam aprofundamento, como delimitam o escopo e como asseguram investigações independentes, objetivas e devidamente documentadas. Embora não seja uma regra jurídica brasileira, é uma referência internacional importante sobre maturidade de compliance.
Preserve documentos antes que a investigação fique conhecida
Quando a denúncia envolve movimentação financeira, alguns registros podem se tornar críticos:
- contratos;
- propostas comerciais;
- notas fiscais;
- pedidos de compra;
- ordens de pagamento;
- aprovações;
- alterações cadastrais de fornecedores;
- comunicações corporativas pertinentes;
- registros de sistemas;
- documentos societários;
- históricos de alterações;
- informações contábeis.
A CGU recomenda expressamente a preservação das evidências de irregularidades que possam futuramente ser relevantes inclusive em colaboração com autoridades.
Isso não significa copiar indiscriminadamente todos os dados da empresa.
Significa impedir perda ou alteração de informações materialmente relacionadas ao escopo.
Em ambientes mais sensíveis, a organização pode documentar origem do arquivo, data de coleta, responsável pela obtenção, local de armazenamento e movimentações posteriores, criando uma trilha de rastreabilidade.
Quando houver perspectiva de litígio, responsabilidade penal, perícia digital ou uso judicial posterior, o jurídico deve avaliar desde cedo os procedimentos adequados de preservação.
Quem deve conduzir a apuração?
Depende da natureza do caso.
Compliance pode coordenar determinados casos.
Auditoria interna pode contribuir em análises de controles e transações.
Jurídico pode orientar questões legais e preservar a estratégia jurídica.
Contabilidade forense pode aprofundar fluxos financeiros.
Especialistas em tecnologia podem ser necessários quando há evidência digital.
E uma investigação externa pode ser recomendável quando a complexidade, sensibilidade ou conflito de interesse tornam a condução interna inadequada.
O ponto essencial é independência em relação ao objeto investigado.
O Decreto nº 11.129 valoriza expressamente independência, estrutura e autoridade da instância responsável pelo programa de integridade.
O guia da CGU vai além ao recomendar fluxos específicos quando denúncias envolvem membros da alta direção, justamente para reduzir interferências.
Se a denúncia envolve o diretor a quem o compliance se reporta, por exemplo, o processo não pode depender exclusivamente desse diretor para definir escopo, acesso a informações ou continuidade da investigação.
Conselho, comitê de auditoria ou outra instância independente pode precisar assumir governança sobre o caso.
Como evitar o viés de confirmação?
Uma das maiores ameaças a qualquer investigação é procurar apenas elementos que confirmem a primeira hipótese.
O investigador recebe uma denúncia dizendo que “o fornecedor X pertence secretamente ao gerente Y”.
A partir daí, tudo parece suspeito.
Mesmo endereço? Fraude.
Amizade nas redes sociais? Fraude.
Pagamento alto? Fraude.
Parente em comum? Fraude.
Esse raciocínio é metodologicamente frágil.
O IIA estabelece que auditores internos devem manter objetividade e exercer ceticismo profissional, avaliando criticamente a confiabilidade das informações e buscando evidência adicional quando declarações forem incompletas, inconsistentes ou possivelmente incorretas.
Uma investigação madura deve testar também hipóteses alternativas.
Talvez o fornecedor tenha sido contratado legitimamente.
Talvez o pagamento esteja de acordo com o contrato.
Talvez o vínculo pessoal exista, mas tenha sido declarado.
Talvez o problema não seja desvio, mas quebra do procedimento de contratação.
Talvez exista fraude, mas tenha sido praticada por atores diferentes dos mencionados na denúncia.
Investigar não é confirmar uma história. É testar explicações concorrentes contra evidências.
Como analisar um possível desvio financeiro?
Quando o relato envolve dinheiro, a análise costuma ganhar profundidade quando três dimensões são examinadas em conjunto:
1. A transação
O pagamento existiu?
Qual valor?
Qual origem?
Qual destino?
Qual justificativa documental?
Quem aprovou?
Qual centro de custo?
Qual contrato ou pedido o suporta?
2. O processo
O fluxo normal de aprovação foi seguido?
Houve exceções?
Alçadas foram ultrapassadas?
Um mesmo responsável conseguiu solicitar e aprovar?
O fornecedor passou pelo processo normal de contratação?
3. As relações
Quem controla o fornecedor?
Quem são seus administradores?
Existem vínculos societários, empresariais ou pessoais relevantes com pessoas internas?
Existem outras empresas relacionadas?
Outros fornecedores apresentam o mesmo padrão?
É nessa terceira dimensão que uma frente de compliance investigativo da MONTAX pode complementar informações internas com análise empresarial, societária e relacional.
A própria metodologia publicada pela MONTAX enfatiza a necessidade de separar fatos confirmados, alertas, hipóteses, coincidências, limitações e pontos inconclusivos.
E as entrevistas?
Entrevistas podem esclarecer processos, contextualizar documentos e revelar novas fontes de informação. Mas seu momento e sua ordem importam.
Entrevistar cedo demais pode alertar envolvidos antes da preservação de documentos.
Entrevistar tarde demais pode prolongar desnecessariamente o caso.
Não existe uma sequência universal.
Em muitos casos, faz sentido compreender documentos e processos antes de confrontar pessoas com questões específicas, porque isso reduz dependência de memória e permite formular perguntas objetivas.
Também é importante separar entrevista investigativa de decisão disciplinar.
A pessoa responsável pela entrevista deve compreender o objeto da apuração e evitar perguntas construídas para induzir respostas.
O registro da entrevista deve refletir com fidelidade aquilo que foi dito e o contexto em que foi obtido.
A empresa pode acessar qualquer dado porque está investigando fraude?
Não.
A existência de uma investigação interna não elimina as obrigações relacionadas à proteção de dados.
A LGPD estabelece princípios como finalidade, adequação, necessidade, segurança e responsabilização. Ela também determina que o tratamento de dados possua fundamento jurídico apropriado.
Isso é especialmente relevante em apurações envolvendo:
- caixas de e-mail;
- mensagens corporativas;
- registros de acesso;
- imagens;
- dados bancários eventualmente disponíveis à organização;
- dados sensíveis;
- dispositivos;
- informações sobre familiares e terceiros.
A base legal adequada e a extensão legítima do acesso dependerão do contexto.
A ANPD orienta que, quando o legítimo interesse for utilizado como hipótese de tratamento, sejam avaliadas finalidade, necessidade, impactos sobre os titulares e salvaguardas. A autoridade também oferece modelo de teste de balanceamento, embora ele não seja vinculativo.
Portanto:
“precisamos investigar” não significa “podemos coletar tudo”.
A investigação deve buscar a informação necessária para responder às perguntas do caso utilizando meios juridicamente adequados e proporcionais.
A empresa pode tomar medidas antes de terminar a investigação?
Pode haver situações nas quais medidas preventivas precisem ser avaliadas para impedir continuidade do dano ou preservar a apuração.
A CGU menciona, conforme a gravidade, exemplos como restrição de acesso a sistemas, afastamento preventivo, inclusão de novos níveis de alçada para pagamentos e suspensão de determinados contratos.
Mas uma distinção é fundamental:
medida preventiva não deve ser automaticamente tratada como declaração de culpa.
Imagine que determinado empregado possui acesso capaz de alterar registros relevantes.
Restringir temporariamente esse acesso pode ter finalidade de preservação.
Isso não significa que a investigação já concluiu que ele praticou fraude.
Decisões trabalhistas, contratuais e disciplinares devem ser avaliadas pelo jurídico conforme o caso concreto.
Auditoria interna, investigação e decisão disciplinar são coisas diferentes
Embora possam colaborar, essas funções não são idênticas.
Auditoria interna avalia controles, riscos, processos e governança.
Investigação corporativa procura esclarecer fatos específicos e testar hipóteses relacionadas a uma possível irregularidade.
Compliance administra políticas, riscos de integridade, canais e mecanismos de resposta.
Jurídico avalia consequências legais e estratégias cabíveis.
Gestão, comitês ou conselho tomam determinadas decisões dentro de sua competência.
O IIA ressalta que a auditoria interna fortalece governança e gestão de riscos por meio de avaliações independentes e objetivas e que a função deve estar livre de influência indevida.
Por isso, a organização deve evitar situações em que a mesma pessoa receba a denúncia, investigue sem supervisão, determine responsabilidade e aplique a sanção sem qualquer mecanismo de governança.
Exemplo hipotético: pagamentos recorrentes a um fornecedor
Considere uma situação exclusivamente hipotética.
O canal de denúncias recebe um relato anônimo:
“O gerente de manutenção está desviando dinheiro por meio da empresa Beta. Beta pertence a um amigo dele e emite notas de serviços que nunca foram prestados.”
A denúncia contém três alegações diferentes:
- existem pagamentos para Beta;
- existe relação entre Beta e o gerente;
- os serviços faturados não foram prestados.
Cada uma precisa ser testada.
A análise inicial confirma que Beta recebeu R$ 1,8 milhão em 18 meses.
Isso é um fato.
Os registros cadastrais mostram que um dos administradores de Beta trabalhou anteriormente com o gerente.
Isso também pode ser um fato, caso seja documentalmente confirmado.
Nenhum dos dois prova desvio.
A investigação continua.
Notas fiscais são confrontadas com ordens de serviço. Algumas não possuem evidência operacional correspondente. Um grupo de pagamentos foi aprovado por procedimento excepcional. A exceção foi autorizada pelo gerente.
Agora existem elementos adicionais.
Entrevistas indicam que técnicos que deveriam ter recebido determinados serviços desconhecem sua execução.
Posteriormente, outros registros demonstram uma relação econômica não declarada entre pessoas ligadas às duas partes.
É o conjunto dessas informações — e não uma única coincidência — que poderá sustentar conclusões.
Também pode acontecer o contrário: documentos podem confirmar a prestação dos serviços e demonstrar que a relação anteriormente existente foi declarada e submetida aos controles internos.
A hipótese inicial, nesse cenário, enfraquece.
Uma investigação competente precisa estar preparada para ambos os resultados.
Erros comuns ao receber uma denúncia grave
Tratar o denunciado como culpado desde o primeiro dia
Isso cria viés de confirmação e pode contaminar todas as decisões subsequentes.
Compartilhar o relato com pessoas demais
A exposição desnecessária pode comprometer confidencialidade, reputação, preservação de evidências e segurança do denunciante.
Avisar imediatamente todos os envolvidos
Dependendo do caso, isso pode permitir alteração ou desaparecimento de informações relevantes.
Investigar sem escopo
A apuração se transforma em busca indefinida por qualquer informação desfavorável sobre determinada pessoa.
Ignorar evidência favorável ao investigado
Investigações devem testar hipóteses, não construir acusações.
Confundir vínculo com fraude
Relações pessoais, societárias ou comerciais precisam ser contextualizadas. Sua existência isolada não comprova irregularidade.
Coletar dados indiscriminadamente
A investigação continua submetida a limites jurídicos, de privacidade, governança e proporcionalidade.
Produzir relatório categórico diante de evidência inconclusiva
Há casos em que a conclusão tecnicamente correta é:
“não foi possível confirmar nem afastar integralmente a hipótese com as informações disponíveis”.
Isso é muito mais profissional do que transformar incerteza em certeza artificial.
Como deve ser estruturado o relatório de apuração?
O relatório final precisa permitir que outra pessoa compreenda como a conclusão foi construída.
Uma estrutura possível contém:
- objetivo da investigação;
- origem da demanda;
- escopo;
- período analisado;
- pessoas e empresas pertinentes;
- metodologia;
- fontes utilizadas;
- limitações;
- cronologia;
- fatos confirmados;
- evidências relevantes;
- elementos que sustentam cada hipótese;
- elementos que contradizem cada hipótese;
- pontos inconclusivos;
- avaliação final dentro do escopo;
- riscos ou falhas de controle identificados;
- recomendações de aprofundamento ou remediação.
Na atuação de investigação corporativa e empresarial da MONTAX, a separação entre fatos, sinais, hipóteses e limitações é particularmente importante porque o relatório investigativo não deve substituir decisões que pertencem ao jurídico, compliance, conselho ou direção.
O verdadeiro objetivo não é encontrar um culpado
É produzir informação confiável.
Esse ponto muda completamente a qualidade da investigação.
Se a hipótese de fraude for confirmada, a organização precisará compreender:
- o que ocorreu;
- como ocorreu;
- durante quanto tempo;
- quem participou;
- qual impacto houve;
- que controles falharam;
- se existem terceiros relacionados;
- que medidas devem ser avaliadas.
Se a hipótese não for confirmada, isso também é resultado.
Se a investigação identificar outra irregularidade diferente daquela denunciada, ela precisa ser tratada como um novo achado e analisada segundo sua própria materialidade.
Uma boa investigação interna não mede seu sucesso pela quantidade de culpados encontrados.
Mede pela capacidade de transformar uma alegação em fatos verificáveis, distinguir certeza de possibilidade e permitir que a organização decida com base em evidências em vez de suspeitas.
FAQ
1. Uma denúncia interna significa que houve fraude?
Não. A denúncia é uma alegação que pode justificar apuração. A existência de fraude depende dos fatos e evidências identificados posteriormente.
2. Toda denúncia precisa ser investigada?
Toda denúncia deve receber tratamento adequado. A profundidade da apuração pode variar conforme materialidade, especificidade, risco e informações disponíveis. A CGU orienta que empresas possuam procedimentos definidos para tratamento e apuração dos relatos.
3. Uma denúncia anônima pode ser investigada?
Sim. A impossibilidade de identificar o denunciante não torna automaticamente o conteúdo falso. O relato deve ser analisado pelo que apresenta e pelo que pode ser verificado.
4. Compliance deve investigar sozinho?
Não necessariamente. A composição depende do caso. Auditoria, jurídico, tecnologia, contabilidade forense ou investigação externa podem ser necessários.
5. Quando uma investigação independente é recomendável?
Especialmente quando existe conflito de interesse, envolvimento de alta direção, complexidade técnica significativa, repercussão elevada ou necessidade de recursos que a organização não possui internamente.
6. Um vínculo entre funcionário e fornecedor comprova fraude?
Não. O vínculo pode justificar aprofundamento, mas precisa ser contextualizado com decisões, transações, declarações de conflito, controles e demais evidências.
7. A empresa pode afastar um empregado antes do fim da apuração?
Medidas preventivas podem ser avaliadas conforme gravidade e risco, mas sua adequação trabalhista e jurídica depende do caso concreto e deve ser avaliada pelos profissionais responsáveis.
8. A LGPD impede uma investigação interna?
Não. Mas a investigação precisa observar as regras aplicáveis de proteção de dados, incluindo finalidade, necessidade, segurança e fundamento jurídico apropriado.
9. Quanto tempo uma investigação interna deve durar?
Não existe prazo universal para empresas privadas. A duração deve ser compatível com a complexidade, materialidade, volume de evidências e necessidade de resposta. Como benchmark internacional, o DOJ valoriza investigações tempestivas e adequadamente delimitadas.
10. O relatório investigativo deve apontar crime?
Não necessariamente. O relatório deve apresentar aquilo que as evidências permitem concluir. Qualificações criminais, trabalhistas, cíveis ou regulatórias devem ser analisadas pelos profissionais jurídicos competentes.
11. E se as evidências forem inconclusivas?
Isso deve ser declarado expressamente. Inconclusivo é uma categoria legítima quando as informações disponíveis não permitem confirmar ou afastar determinada hipótese.
Conclusão estratégica
Quando uma denúncia grave chega ao compliance, a organização enfrenta duas ameaças simultâneas.
A primeira é a possibilidade de uma fraude real estar em andamento.
A segunda é transformar suspeita em certeza antes que os fatos sejam conhecidos.
Empresas maduras conseguem administrar as duas.
Elas preservam informações, restringem o conhecimento do caso ao necessário, definem governança, controlam conflitos de interesse, formulam hipóteses verificáveis e documentam o caminho entre o relato inicial e a conclusão.
É assim que uma denúncia deixa de ser apenas uma narrativa e passa a produzir inteligência para decisão.
Quando uma denúncia exige aprofundamento além dos registros internos
A MONTAX Inteligência pode apoiar departamentos jurídicos, compliance, auditoria e direção em apurações empresariais que exijam análise de pessoas, empresas, relações societárias, vínculos econômicos e movimentações relevantes.
O trabalho não parte da premissa de culpa. Parte de perguntas investigativas, cruza informações e organiza fatos, indícios, hipóteses, evidências, limitações e pontos ainda inconclusivos.
Em casos sensíveis, a finalidade é oferecer aos responsáveis pela decisão uma base informacional mais clara para que as providências jurídicas, disciplinares, operacionais ou de governança sejam avaliadas pelas instâncias competentes.
| Fonte | Documento | Data | Utilização |
|---|---|---|---|
| Presidência da República | Decreto nº 11.129/2022 | 11/07/2022 | Programa de integridade, independência, canal, tratamento de denúncias, controles e remediação. Consultar Decreto nº 11.129/2022 |
| Controladoria-Geral da União | Programa de Integridade: Diretrizes para Empresas Privadas — Vol. II | 2024 | Apuração, proteção ao denunciante, alta direção, medidas preventivas e preservação de evidências. Consultar guia da CGU |
| Presidência da República | Lei nº 13.709/2018 — LGPD | 14/08/2018, texto vigente consultado | Finalidade, necessidade, segurança e hipóteses de tratamento de dados. Consultar LGPD |
| ANPD | Guia Orientativo — Hipóteses Legais de Tratamento de Dados: Legítimo Interesse | 02/02/2024; página atualizada posteriormente | Finalidade, necessidade, balanceamento e salvaguardas. Consultar orientação da ANPD |
| The Institute of Internal Auditors | Global Internal Audit Standards | Emitidos em 09/01/2024; vigentes desde 09/01/2025 | Objetividade, independência, competência, confidencialidade e ceticismo profissional. Consultar Global Internal Audit Standards |
| U.S. Department of Justice | Evaluation of Corporate Compliance Programs | Atualização de setembro de 2024 | Benchmark internacional sobre escopo, independência, documentação, qualificação e tempestividade de investigações. Consultar ECCP do DOJ |
SOBRE OS AUTORES
Marcelo Carvalho de Montalvão é Advogado criminalista especialista em Direito Penal Econômico e investigação de crimes financeiros. Diretor da Montax Inteligência, franquia de Inteligência Financeira & Investigações Corporativas para a Recuperação de Ativos, Consultoria de Risco, Compliance e Due Diligence com sede no Rio de Janeiro-RJ que já auxiliou centenas de escritórios de advocacia e departamentos jurídicos de corporações como The Coca-Cola Company (Atlanta), Petrobras S/A, PSA Group (Peugeot Citroën), Claro S/A, LG Eletronics, Kellog, Sonangol Oil & Gas e muitas outras marcas.
Autor do livro Inteligência & Indústria – Espionagem e Contraespionagem Corporativa.
Conecte-se com o Marcelo no Linkedin. Ouça-o no YouTube.
Envie um e-mail para montax@montaxbrasil.com.br
