Três leis, um só canal: o que o Brasil passou a exigir do seu programa de denúncias

Antes de qualquer tática, entenda o desenho:

Vale um ajuste fino de nomenclatura: por costume, muitos chamam a última de “lei 12.304”. Não é lei: é decreto presidencial, que regulamenta a Lei de Licitações. Parece detalhe. Em compliance, o detalhe é o negócio.

Em setembro de 2022, a Lei 14.457 mudou até o nome da CIPA: a antiga Comissão Interna de Prevenção de Acidentes virou Comissão Interna de Prevenção de Acidentes e de Assédio. A palavra acrescentada não é cosmética; é a missão da comissão.

O art. 23 impõe a toda empresa com CIPA quatro medidas, “além de outras que entenderem necessárias”, e a segunda é praticamente o esqueleto do que o Decreto de Licitações exigiria dois anos depois:

“Fixação de procedimentos para recebimento e acompanhamento de denúncias, para apuração dos fatos e, quando for o caso, para aplicação de sanções administrativas aos responsáveis diretos e indiretos pelos atos de assédio sexual e de violência, garantido o anonimato da pessoa denunciante, sem prejuízo dos procedimentos jurídicos cabíveis.”

Quem está obrigado? Quem tem CIPA. A obrigação de constituí-la e o seu dimensionamento seguem a NR-5: o Quadro I cruza o número de empregados do estabelecimento com a atividade econômica (CNAE), e em algumas atividades a comissão passa a ser exigida a partir de 20 empregados (confira o seu enquadramento no Quadro I vigente). Abaixo do mínimo, a empresa designa um responsável pelo cumprimento da NR-5 e escapa da obrigação formal, mas não da responsabilidade. O Código Civil (arts. 932 e 933) faz o empregador responder pelo assédio praticado por seus empregados mesmo sem culpa. A empresa pequena sem canal não está isenta de indenizar; está apenas isenta da ferramenta que ajudaria a evitar a indenização.

Prazo: a lei deu 180 dias a partir da sua vigência (22/09/2022) para adotar as medidas, o que venceu em março de 2023. Empresa com CIPA que não tem procedimento estruturado de denúncias está irregular hoje. E, num litígio, pesa mais o que a empresa consegue provar que fez do que o que diz que faria: reação rápida e documentada ajuda a defesa; ausência de registro a enfraquece.

Se a Lei 14.457 mira empresas com CIPA, a NR-1 mira toda organização com empregado CLT, incluindo órgãos públicos com celetistas e micro e pequenas empresas, observadas as regras de simplificação previstas na própria norma.

A Portaria MTE nº 1.419/2024 fixou no texto da norma que gerenciar riscos ocupacionais inclui os fatores de risco psicossociais relacionados ao trabalho: assédio, sobrecarga, metas abusivas, jornadas exaustivas, comunicação hostil. Após prorrogação, a exigibilidade plena começou em 26 de maio de 2026. Mesmo a decisão do STF na ADPF 1316 que suspendeu as multas ligadas a esses itens (suspensão que o relator prorrogou por mais 90 dias em 24/09/2026) manteve a norma em vigor: o dever de identificar, avaliar e prevenir continua. O que oscilou foi a sanção.

A receita da norma cabe em três verbos: identificar, avaliar e controlar, documentando tudo no PGR, que se materializa em Inventário de Riscos e Plano de Ação, ambos acessíveis aos trabalhadores e à CIPA.

E aqui vem a pergunta que a fiscalização faz e o mercado finge não ouvir: como se identifica um risco de assédio sem um canal por onde as pessoas o contem? O MTE admite vários métodos, mas na operação real o canal de denúncias é a principal fonte de eventos observados. Uma NR-1 sem canal é um PGR que só descobre o risco quando ele já virou afastamento ou processo.

O decreto, que regulamenta a Lei 14.133 no âmbito da administração pública federal direta, autárquica e fundacional, trata de três situações em que o programa de integridade deixa de ser virtude e vira exigência verificável:

1. Contratos de grande vulto. Obras, serviços e fornecimentos acima do limite do art. 6º, XXII, da Lei 14.133, atualizado anualmente (R$ 261,97 milhões em 2026, segundo o Decreto 12.807/2025; confira o valor vigente). Contam o valor inicial e os aditivos. Prazo: seis meses da assinatura (ou do aditivo que alcança o limite) para comprovar o programa. Em consórcio, todas as empresas comprovam.
2. Critério de desempate. Declarar ter programa é o quarto critério legal de desempate (art. 60, IV). A declaração basta na proposta, mas a CGU pode convocar o licitante para comprovar. Declarar sem ter não é estratégia: é infração prevista no decreto.
3. Reabilitação após sanção. Quem foi sancionado por infrações específicas da Lei 14.133 (art. 155, VIII e XII) só se reabilita comprovando a implantação ou o aperfeiçoamento do programa, com as medidas de remediação.

Três efeitos colaterais ampliam o alcance: o decreto vale também para contratações estaduais, distritais e municipais custeadas com transferências voluntárias da União; concessões, permissões e PPPs entram no seu alcance; e a avaliação da CGU, uma vez favorável, vale 24 meses, previsibilidade que cobra manutenção constante. Entre as infrações estão entregar fora do prazo ou omitir a documentação, fraudar informações e apresentar declaração falsa de desempate. As sanções vão de advertência e multa de 1% a 5% do valor da licitação ou do contrato a impedimento de licitar e declaração de inidoneidade.

Um atalho pouco conhecido: a CGU pode dispensar a avaliação de quem foi aprovado, com reconhecimento ainda vigente, em programa próprio de fomento à integridade, como o Pró-Ética. Preparar-se voluntariamente compra velocidade.

A nota de corte

A Portaria Normativa SE/CGU nº 226/2025 detalhou o exame: 105 questões em 11 áreas. Em contratos de grande vulto, o programa é considerado implantado com pontuação integral nos quesitos fundamentais, mínimo de 45% em cada área e 70% no total (consulte sempre a versão vigente no site da CGU). Para o desempate, os mínimos escalonam com o valor do contrato. Os dados do Pró-Ética, metodologia irmã com critérios próprios, mostram um mapa útil de onde as empresas brasileiras passam e onde tropeçam. A tabela é um parâmetro de comparação, não uma meta:

O canal de denúncias é a área em que as empresas avaliadas mais demonstram efetividade. As fragilidades moram no monitoramento contínuo e nos controles financeiros, exatamente o que exige constância, não projeto. E um recorte revelador: das 84 empresas aprovadas em 2022-2023 (de 254 avaliadas), 85,7% eram de grande porte; nenhuma micro ou pequena empresa foi aprovada. O decreto manda considerar o porte e as especificidades de cada empresa (art. 3º, § 1º), mas, no Pró-Ética, a distância entre as pequenas e o patamar de aprovação ainda é grande.

No art. 3º, XI, o decreto lista entre os parâmetros de avaliação “canais de denúncia de irregularidades, abertos e amplamente divulgados a funcionários e terceiros, e mecanismos destinados ao tratamento das denúncias e à proteção de denunciantes de boa-fé”. Quatro exigências, e, para cada uma, o mercado já tem referências:

1. Aberto e amplamente divulgado, inclusive a terceiros. Na Pesquisa Perfil do Hotline no Brasil 2024 (KPMG, 67 empresas consultadas), 93% têm canal e 82% o disponibilizam ao público interno e externo: fornecedores, clientes, parceiros. Atenção ao sinal: a própria KPMG registra uma queda de cerca de 10% nessa abertura externa em relação à edição anterior. Para quem contrata com o governo, o parâmetro avaliado pressupõe um canal acessível também a terceiros.
2. Tratamento estruturado. A NAVEX, que opera a maior base de dados de denúncias do mundo (2,15 milhões de relatos de mais de 4 mil organizações, em 2024), dá a régua global: 1,57 relatos por 100 empregados por ano na mediana e, na América do Sul, 2,97, o maior volume regional do estudo (a própria NAVEX adverte que essa é a menor amostra regional, sujeita a outliers). Se sua empresa de mil funcionários recebe duas denúncias ao ano, vale investigar: pode ser baixa confiança no canal ou baixa divulgação, e desvios grandes, em qualquer direção, pedem um olhar mais atento. A taxa de comprovação (relatos confirmados ao menos em parte) bateu recorde: 46% na mediana global. Quase metade do que chega é fato, não boato. E o canal de entrada mudou de era: pela primeira vez, a web (33,4%) superou o telefone (29,4%) na frequência de relatos.
3. Proteção ao denunciante, o calcanhar de aquiles. O dado é desconfortável: no Global Business Ethics Survey (ECI, 2023, mais de 70 mil empregados, 42 países), 46% de quem reportou condutas diz ter sofrido retaliação, índice que ficou estável em relação a 2020. Na pesquisa da KPMG, 85% das empresas respondentes dizem que a maioria das denúncias que recebem é anônima. Prometer proteção num código de ética é fácil; o que as três normas exigem são mecanismos: anonimato técnico real, acompanhamento do denunciante e consequência para quem retaliar. E um ponto de honestidade: nenhum canal promete anonimato absoluto, e a própria Lei 14.457 ressalva os procedimentos jurídicos cabíveis. A promessa correta, e defensável, é o anonimato preservado na medida da lei.
4. Independência e controle de acesso. Quem é citado na denúncia não pode ter acesso ao caso. O mercado brasileiro já se moveu: em 84% das empresas com hotline, a plataforma e o primeiro atendimento são feitos por empresa externa, e a gestão do canal migrou do RH (com seus conflitos naturais) para a área de compliance, hoje responsável em 57% das organizações (eram 48% um ano antes). E-mails e planilhas internas não sustentam anonimato técnico nem trilha de auditoria com valor probatório. O cálculo correto nunca é “grátis versus pago”, e sim “risco não documentado versus investimento previsível com evidência”.

Aqui está a síntese: não construa três canais. Construa um canal único com múltiplas saídas. O relato entra por uma porta só, acessível a empregados e terceiros, com anonimato real, e a triagem o roteia conforme a natureza:

• Assédio e violência no trabalho: fluxo da Lei 14.457, com apuração com anonimato e sanção com direito de defesa e, em paralelo, alimentação do Inventário de Riscos da NR-1, porque cada caso individual deve virar medida preventiva no Plano de Ação;
• Fraude, conflito de interesses, ilícitos em licitação: fluxo do programa de integridade do Decreto 12.304, com seus procedimentos específicos;
• Dados sensíveis (saúde mental, assédio sexual): compartimentação de acesso, exigência da LGPD que atravessa as três normas, e que uma caixa de e-mail do RH dificilmente consegue cumprir.

O erro estratégico mais comum fica evidente nesse desenho: tratar o canal como “ferramenta do RH”. No desenho correto, ele é infraestrutura de governança, com três consumidores (comitê de ética, gestor do PGR e compliance de contratos públicos) e um único repositório auditável.

Dias 1–30: diagnóstico e desenho. Mapeie riscos (interação com o poder público, perfil psicossocial da operação, terceiros), defina a instância responsável com independência real e escreva o procedimento de tratamento: categorias, triagem, apuração, conclusão documentada. Defina prazos internos para cada etapa e cumpra-os: é exatamente isso que as avaliações verificam.

Dias 31–60: estrutura. Implemente o canal acessível a empregados e terceiros, com anonimato real, protocolo de acompanhamento, controle de acesso por caso e compartimento para dados sensíveis. Documente a política antirretaliação com mecanismo de monitoramento.

Dias 61–90: divulgação e painel de indicadores. Lançamento ativo, treinamento de lideranças e equipe de apuração (a Lei 14.457 exige capacitação de todos os níveis hierárquicos no mínimo a cada 12 meses) e um painel com os indicadores-calibradores: relatos por 100 empregados (compare com 1,57 global e 2,97 América do Sul), taxa de comprovação (use os 46% globais como parâmetro de comparação; desvios grandes em qualquer direção merecem investigação), tempo de fechamento, percentual de anônimos e casos convertidos em medida preventiva no PGR.

A empresa que comprou um “canal de denúncias” em 2023 para cumprir a Lei da CIPA e o abandonou no canto do RH está hoje duplamente exposta: provavelmente não alimenta o PGR (falha de NR-1, exigível desde maio de 2026) e dificilmente atende ao padrão de evidência que a CGU exige dos licitantes. O inverso também é verdade, e é a boa notícia: uma única estrutura bem desenhada pode atender às três frentes ao mesmo tempo, sem dispensar o que cada norma exige de política, treinamento e liderança. O que era custo de compliance trabalhista virou, com o decreto, requisito de habilitação comercial. A conta mudou de sinal.

Então a pergunta certa não é “precisamos de um canal de denúncias?”. É: se uma denúncia entrar amanhã de manhã, sua empresa conseguiria reconstruir, diante de um juiz, de um auditor-fiscal e de um avaliador da CGU, exatamente o que aconteceu com ela: quem viu, quando, o que foi decidido, como o denunciante foi protegido e o que o caso ensinou ao PGR?

Quem responde “sim” com documentos na mão já está no grupo que as estatísticas separam do resto do mercado. Quem hesitou: duas dessas obrigações já estão exigíveis, e a terceira começa a contar na assinatura do próximo contrato público.

Conteúdo informativo; não substitui assessoria jurídica. Valores, portarias e dados de mercado estão sujeitos a atualização: consulte sempre a versão vigente.