Checklist de Investigação Interna: O Passo a Passo para uma Apuração Imparcial e Legal

Antes do passo a passo, vale entender por que cada etapa deste checklist existe — e o peso que a pesquisa internacional dá a elas.

• Relatos internos (tips) são, disparado, o método mais eficaz de detecção de fraude — responsáveis por 43% dos casos identificados, mais do que auditoria interna, controles automatizados e qualquer outro mecanismo combinado. Colaboradores foram a origem do relato em 52% desses casos.
• Organizações com canal de denúncias anônimo (hotline) detectam fraudes mais rápido e com metade do prejuízo financeiro em comparação às que não têm esse mecanismo.
• Mais da metade das fraudes ocupacionais ocorre por ausência de controles internos ou por burla desses controles pela própria gestão — reforçando por que a investigação não pode se limitar a punir o indivíduo, mas precisa também revisar os controles que falharam.
• Fraudes cometidas por sócios e executivos geram perdas até sete vezes maiores do que as cometidas por funcionários de nível operacional — um dado que justifica por que casos envolvendo lideranças exigem comitês de apuração com participação externa.

• O relato foi registrado e documentado, com data e canal de origem?
• A denúncia contém elementos mínimos de credibilidade (fatos, datas, pessoas envolvidas, indícios)?
• O caso foi classificado por nível de risco (baixo, médio, crítico)?
• Há conflito de interesse entre alguém da equipe de compliance e o caso relatado? Se sim, essa pessoa foi afastada da análise?
• Foi definido se o caso demanda investigação interna, apoio jurídico externo, ou ambos?

Denúncias vagas, sem qualquer elemento verificável, ainda merecem registro — mas nem sempre justificam abertura de investigação formal imediata. A decisão de avançar (ou não) precisa ser documentada, com justificativa, para proteger a empresa de questionamentos futuros sobre omissão.

• Foi definido um responsável (ou comitê) pela condução da investigação, sem vínculo direto com os envolvidos?
• O escopo da apuração está claramente delimitado — o que será investigado e o que fica de fora?
• Existe um cronograma estimado, com prazos razoáveis para cada etapa?
• Foi avaliado se o caso exige apoio jurídico, forense digital ou perícia especializada?
• As fontes de evidência (e-mails, sistemas, documentos, testemunhas) foram mapeadas antes do início da coleta?

Pular esta etapa é um dos erros mais comuns: começar entrevistando pessoas ou revisando documentos sem um plano definido aumenta o risco de contaminar evidências, gerar inconsistência entre depoimentos e comprometer a credibilidade da apuração inteira. Não por acaso, independência é o primeiro dos cinco princípios da ISO 37008 — e ela começa a ser garantida (ou comprometida) já na escolha de quem conduz o caso.

• Toda evidência coletada foi registrada com data, hora, origem e responsável pela coleta?
• Documentos e mensagens digitais foram preservados sem alteração de metadados?
• Há um registro formal de cadeia de custódia — quem teve acesso à evidência, quando e por quê?
• O acesso a e-mails corporativos, sistemas ou dispositivos seguiu a política interna da empresa e a legislação aplicável?
• Evidências físicas (se houver) foram armazenadas em local controlado e com acesso restrito?

Uma evidência coletada sem cuidado — por exemplo, um e-mail copiado sem preservar seus metadados originais, ou um documento manuseado por múltiplas pessoas sem registro — pode perder valor probatório completamente, mesmo que o conteúdo seja verdadeiro. A forma como a evidência é obtida importa tanto quanto o que ela revela.

• As entrevistas foram planejadas com roteiro prévio, evitando perguntas indutivas?
• Cada entrevistado foi informado sobre o propósito geral da conversa, sem comprometer o sigilo da apuração?
• As entrevistas foram documentadas (gravação autorizada ou ata assinada)?
• O investigado teve oportunidade de se manifestar sobre os fatos apurados, respeitando o contraditório interno?
• Testemunhas foram entrevistadas separadamente, evitando contaminação de relatos entre si?

Uma pergunta como “por que você fez isso?” já pressupõe culpa antes da apuração terminar. Perguntas abertas e neutras — “o que você pode me contar sobre esse episódio?” — preservam a imparcialidade do processo e a validade do que for apurado.

• As evidências foram cruzadas com os depoimentos para identificar convergências e contradições?
• A conclusão está baseada em fatos documentados, não em suposições ou impressões pessoais da equipe investigadora?
• Foi elaborado um relatório final estruturado, com resumo do caso, metodologia, evidências e conclusão?
• O relatório distingue claramente entre fatos comprovados, indícios e pontos que permaneceram inconclusivos?
• A recomendação de desfecho (arquivamento, sanção disciplinar, encaminhamento a autoridades) está alinhada às políticas internas e à gravidade apurada?

Vale revisitar aqui o dado da ACFE sobre controles internos: como mais da metade das fraudes ocorre por ausência ou burla de controles, o relatório final não deve se limitar a “quem fez o quê” — deve também apontar qual controle falhou e permitir que a empresa o corrija.

• A decisão final foi comunicada às partes cabíveis, respeitando sigilo e política de dados pessoais?
• Medidas disciplinares, quando aplicáveis, seguiram o processo formal previsto internamente?
• O caso indicou falhas de processo ou controle que precisam ser corrigidas — não apenas a conduta individual?
• O denunciante foi protegido de qualquer forma de retaliação durante e após o processo?
• Os documentos da investigação foram armazenados de forma segura, com controle de acesso e prazo de retenção definido?

Este último ponto merece atenção: os documentos gerados numa apuração — depoimentos, evidências, conclusões — contêm dados pessoais sensíveis. A forma como são armazenados e descartados depois do encerramento do caso é também uma questão de LGPD e governança de dados, não apenas de arquivo interno.

Se houvesse uma forma de condensar tudo o que foi dito até aqui em cinco palavras, seriam estas — os princípios que a norma internacional estabelece como fundamento de qualquer investigação interna:

Cada etapa deste checklist é, na prática, uma forma de operacionalizar esses cinco princípios.

Vale destacar: mesmo quando a irregularidade realmente aconteceu, a forma como a apuração foi conduzida pode inviabilizar seu uso — inclusive numa eventual defesa em processo trabalhista ou judicial. Os erros mais recorrentes são:

• Investigador com conflito de interesse direto no caso
• Ausência de registro formal da cadeia de custódia das evidências
• Entrevistas conduzidas com perguntas indutivas ou sem neutralidade
• Investigado sem qualquer oportunidade de se manifestar
• Conclusão baseada em opinião da equipe, sem lastro documental suficiente

Qualquer um desses pontos, isoladamente, já é suficiente para um investigado questionar judicialmente a validade da apuração — e, dependendo do caso, transformar uma investigação sobre uma irregularidade em um novo passivo trabalhista para a empresa.