Questão de Segurança da Informação — Auditoria e Compliance (NBR ISO/IEC 27001, 27002, 27003, 27004 e 27007) — FGV 2024

Compliance corporativo: objetivos e benefícios

Gabarito: letra D. As três afirmativas estão corretas: a estrutura de compliance visa à redução de riscos (I), melhora a transparência do negócio (II) e preserva os controles éticos e de sustentabilidade corporativa (III). Esses são objetivos centrais de um programa de compliance, alinhados às boas práticas de governança e às normas de gestão, como a família ISO 27000, que orienta a gestão de riscos e a conformidade.

O compliance, em sua essência, é o conjunto de mecanismos que uma organização adota para garantir que suas operações, processos e condutas estejam em conformidade com leis, regulamentos, normas internas e padrões éticos. O termo vem do inglês "to comply", que significa "estar em conformidade". Um programa de compliance eficaz não é um departamento isolado, mas uma cultura que permeia toda a organização, desde a alta direção até os colaboradores da ponta.

A relação entre compliance e gestão de riscos é intrínseca. Ao identificar, avaliar e tratar riscos — sejam eles legais, operacionais, financeiros ou de imagem —, a organização reduz a probabilidade de incidentes e suas consequências. A norma ISO 27001, por exemplo, estabelece um Sistema de Gestão de Segurança da Informação (SGSI) cujo objetivo é justamente "reduzir a probabilidade e/ou o impacto provocado por algum tipo de incidente de segurança da informação". Esse é o mesmo espírito do compliance: antecipar-se aos problemas em vez de apenas reagir a eles.

A transparência é outro pilar. Um programa de compliance exige que as regras sejam claras, que as decisões sejam documentadas e que haja canais de comunicação abertos, como ouvidorias e canais de denúncia. Isso gera confiança entre stakeholders — investidores, clientes, órgãos reguladores e a sociedade —, pois demonstra que a empresa opera de forma íntegra e previsível. A transparência também facilita a auditoria e o controle, permitindo que desvios sejam detectados e corrigidos rapidamente.

Por fim, o compliance preserva os controles éticos e de sustentabilidade. Isso significa que a organização não se limita a cumprir a lei, mas adota padrões mais elevados de conduta, como políticas anticorrupção, respeito aos direitos humanos, responsabilidade ambiental e práticas de governança que consideram o longo prazo. A sustentabilidade corporativa, nesse contexto, não é apenas ambiental, mas também social e econômica — a empresa busca gerar valor de forma duradoura e responsável.

A banca explora aqui um conceito amplo e consolidado: o compliance como ferramenta de gestão que integra riscos, transparência e ética. Não há pegadinha sutil de troca de termos; a questão é direta e conceitual. O candidato que domina os objetivos do compliance reconhece imediatamente que as três afirmativas são verdadeiras.

Item I — ✅ Correto

A redução de riscos é um dos objetivos primordiais do compliance. Ao mapear processos, identificar vulnerabilidades e implementar controles, a organização diminui a probabilidade de ocorrência de eventos que possam causar prejuízos financeiros, legais ou reputacionais. A gestão de riscos é, inclusive, um dos pilares das normas de governança e da família ISO 27000, que orienta a identificação, análise e tratamento de riscos de segurança da informação.

Item II — ✅ Correto

A adoção de um programa de compliance melhora a transparência do negócio. Isso ocorre porque o compliance exige documentação de processos, definição clara de responsabilidades, divulgação de políticas e canais de comunicação abertos. Essa abertura permite que acionistas, órgãos reguladores, clientes e a sociedade em geral conheçam as práticas da empresa, aumentando a confiança e reduzindo a assimetria de informações.

Item III — ✅ Correto

O compliance preserva os controles éticos e de sustentabilidade corporativa. Um programa de compliance robusto vai além da mera legalidade: estabelece códigos de conduta, políticas anticorrupção, mecanismos de prevenção a fraudes e diretrizes de responsabilidade social e ambiental. Esses controles garantem que a empresa atue de forma íntegra e sustentável, alinhada aos valores que declara defender.

Gabarito: letra D — corretos os itens I, II e III.