1. O Novo Paradigma da Gestão Pública e Corporativa
O cenário contemporâneo, caracterizado pela volatilidade, interconectividade e crescente complexidade, impôs a redefinição das estruturas de comando tanto no ambiente corporativo privado quanto na Administração Pública. A tradicional visão de controle, pautada no apego cego ao formalismo e na mera verificação documental a posteriori, tem se mostrado manifestamente insuficiente para tutelar o patrimônio coletivo, mitigar passivos e garantir a eficiência operacional. Diante de demandas sociais cada vez mais exigentes, emerge um novo paradigma de governança, no qual a busca por resultados institucionais sólidos exige uma postura proativa, focada na gestão de riscos e na cultura de integridade.
No plano constitucional brasileiro, esse movimento encontra eco imediato no artigo 37, caput, da Constituição da República de 1988, que consagra os princípios da legalidade, impessoalidade, moralidade, publicidade e eficiência. O princípio da eficiência, introduzido pela Emenda Constitucional nº 19/1998, atua como verdadeiro vetor de transição da administração puramente burocrática para a administração gerencial. Sob essa ótica, a atuação do administrador público não deve apenas conformar-se estritamente à lei sob o aspecto formal, mas também buscar a otimização dos recursos e a maximização dos resultados sociais, blindando a instituição contra desvios de finalidade e ineficiências crônicas.
Paralelamente, o ordenamento jurídico nacional sofreu uma profunda virada cultural com o advento da Lei nº 12.846/2013, a chamada Lei Anticorrupção ou Lei da Empresa Limpa. Ao instituir a responsabilidade objetiva, administrativa e civil de pessoas jurídicas pela prática de atos lesivos contra a administração pública, nacional ou estrangeira, o legislador brasileiro alterou a matriz de incentivos do mercado. A integridade corporativa e a conformidade (compliance) deixaram de ser meros adornos de relações públicas ou estratégias cosméticas de imagem para se transformarem em exigências jurídicas e de sobrevivência econômica.
O reflexo dessa legislação estendeu-se ao próprio setor público por meio de diplomas como o Decreto nº 9.203/2017, que dispõe sobre a política de governança da administração pública federal direta, autárquica e fundacional, consolidando a integridade, a confiabilidade e a prestação de contas como pilares fundamentais da gestão do Estado. O que se observa, portanto, é uma convergência normativa e conceitual, tanto o setor público quanto o privado passaram a reconhecer que governar exige, fundamentalmente, gerenciar incertezas.
Dessa forma, o presente artigo propõe-se a analisar como os instrumentos de Governança, Riscos e Compliance, com especial ênfase no refinamento metodológico trazido pelo Modelo de Três Linhas do The Institute of Internal Auditors (IIA), funcionam como a engrenagem vital para a sustentabilidade institucional. Afasta-se a visão mitigadora baseada no medo ou no excesso de burocracia para dar lugar a um sistema coordenado e dinâmico, onde a integridade qualifica o processo de tomada de decisão e viabiliza a entrega real de valor à sociedade.
2. Apetite, Tolerância e Capacidade de Risco
Para que a governança de uma organização transite do plano abstrato para a eficácia operacional, é indispensável estabelecer parâmetros quantificáveis e qualificáveis acerca do comportamento institucional diante das incertezas. No desenho das estratégias contemporâneas, essa delimitação ocorre por meio de uma tríade conceitual frequentemente confundida, mas tecnicamente distinta: (i) o apetite ao risco (risk appetite); (ii) a tolerância ao risco (risk tolerance); e (iii) a capacidade de risco (risk capacity). Desmistificar esses conceitos e compreender a fronteira de cada um é o que impede que uma instituição incorra em vulnerabilidades financeiras catastróficas ou em paralisias operacionais severas.
O ponto de partida dessa engrenagem é o apetite ao risco, que se traduz no nível macro de incerteza que a alta administração, o corpo diretivo ou o conselho de administração, está disposta a aceitar, de forma ampla, na persecução de sua missão, visão e objetivos estratégicos. Conforme preconiza o framework Enterprise Risk Management (ERM) do COSO (Committee of Sponsoring Organizations of the Treadway Commission), o apetite ao risco reflete a filosofia de gestão e a cultura da organização. Organizações com metas de crescimento agressivas ou voltadas à disrupção tecnológica naturalmente apresentarão um apetite expandido, enquanto entidades inseridas em setores fortemente regulados ou vocacionadas a serviços públicos essenciais tendem a desenhar um apetite marcadamente conservador. Trata-se, em suma, de uma escolha estratégica de liderança sobre onde e como alocar capital e esforço.
Diferente do apetite, que possui natureza qualitativa e direcionamento estratégico, a tolerância ao risco guarda uma relação íntima com a performance e a operação. Ela representa o nível aceitável de variação em relação ao atingimento de metas específicas. Se o apetite define o rumo geral, a tolerância estabelece os desvios toleráveis no plano tático. No gerenciamento de projetos, por exemplo, enquanto o apetite dita que a organização aceita correr riscos para implementar um novo sistema de tecnologia, a tolerância fixará se um atraso cronológico de 10% ou um estouro orçamentário de 15% são suportáveis sem inviabilizar o empreendimento. A ausência de parâmetros claros de tolerância retira dos gerentes operacionais a capacidade de discernir entre uma flutuação normal de mercado e um ponto de atenção crítica que exige mitigação imediata.
Por fim, sustentando esses dois conceitos, encontra-se a capacidade de risco, que não se confunde com a "vontade" ou "disposição" dos gestores, mas sim com a resiliência real e objetiva da estrutura. A capacidade de risco é o limite máximo de perda que a organização consegue suportar antes de comprometer sua própria sobrevivência ou violar de forma irremediável suas obrigações legais e regulatórias. Como bem adverte a International Federation of Accountants (IFAC), a capacidade é uma métrica estritamente factual, delimitada pela liquidez financeira, robustez patrimonial e solidez da reputação institucional. O somatório cumulativo das exposições a riscos de uma entidade, a sua exposição real, jamais deve tangenciar a sua capacidade de risco.
O balanço harmônico dessa tríade gera três cenários de exposição que servem de bússola para os tomadores de decisão:
-
Exposição Inaceitável: o risco materializado ou projetado ultrapassa a tolerância e o apetite estabelecidos, exigindo a aplicação compulsória de medidas de mitigação, compartilhamento ou, no limite, a interrupção da atividade correspondente.
-
Ponto de Atenção: o risco situa-se na zona limítrofe dos parâmetros definidos, demandando monitoramento intensificado e avaliação imediata sobre a necessidade de implementação de planos de contingência.
-
Exposição Aceitável: o risco encontra-se perfeitamente contido nos limites fixados, configurando-se como um fator gerencial ordinário e absorvível pela resiliência da entidade.
O grande erro gerencial e jurídico reside na desconexão desses fatores. Uma organização que ostente um apetite ao risco agressivo, porém desprovida de capacidade de risco real ou de controles de tolerância eficientes, caminha celeremente para a insolvência ou para a responsabilização civil e administrativa. Inversamente, um apetite excessivamente baixo, pautado pelo medo ou pela inércia burocrática, aniquila a competitividade no setor privado e, no setor público, resulta no desperdício da oportunidade de modernização dos serviços prestados ao cidadão. O equilíbrio estratégico, portanto, consiste em explorar a tolerância ao risco até o seu limite ótimo, garantindo que o apetite jamais ultrapasse a capacidade institucional de absorver os impactos normais da incerteza.
3. Ética e Compliance Estrito: Mecanismos Complementares de Proteção do Valor
A sedimentação de uma estrutura de governança eficiente passa, invariavelmente, pela desconstrução de um dos mitos mais arraigados na cultura corporativa e administrativa: o de que o gerenciamento de riscos e os sistemas de conformidade representam apenas "mais trabalho" ou um acréscimo de entraves burocráticos. Essa percepção equivocada decorre do desconhecimento da verdadeira função do compliance, que não visa engessar a atividade institucional, mas sim integrá-la aos processos já existentes para proteger o valor gerado pela organização. Nesse ecossistema de proteção, a integridade se sustenta sobre dois pilares fundamentais e complementares: os incentivos internos de conduta, representados pela ética, e os incentivos externos, consolidados no compliance estrito.
Embora frequentemente utilizados como sinônimos no jargão empresarial, a distinção técnico-jurídica entre o caráter principiológico dos Códigos de Ética e a natureza impositiva dos Códigos de Conduta é substancial. O Código de Ética situa-se no plano da abstração. Trata-se de um documento vocacionado a proclamar os princípios universais, os valores fundamentais e as diretrizes morais que devem inspirar a atuação de cada indivíduo. Inspirado em modelos internacionais, como os célebres Seven Principles of Public Life (Princípios de Nolan) desenvolvidos no Reino Unido, que consagram a honestidade, a objetividade e a liderança, o Código de Ética apela à consciência individual e ao engajamento voluntário, não prevendo, via de regra, sanções punitivas de natureza direta para o seu descumprimento. É o norte axiológico da instituição.
Por outro lado, o Código de Conduta e as normas de compliance estrito operam no plano da concretude e da impositividade. Este diploma traduz os princípios abstratos em padrões de comportamento mandatórios e específicos para o dia a dia da operação. Enquanto o Código de Ética preconiza o valor abstrato da "impessoalidade", o Código de Conduta estabelece regras claras e restritivas sobre o recebimento de brindes, a contratação de parentes (nepotismo) ou a vedação ao uso de informações privilegiadas em benefício próprio ou de terceiros. Trata-se de um instrumento de natureza essencialmente coercitiva e sancionadora, no qual a inobservância das condutas prescritas atrai a aplicação de penalidades administrativas, civis e disciplinares severas.
No cenário nacional, esse arranjo normativo encontra arrimo no artigo 37 da Constituição Federal e foi robustecido pela Lei Anticorrupção (Lei nº 12.846/2013). Ao internalizar o instituto do compliance, a legislação brasileira consagrou os chamados Programas de Integridade como mecanismos estruturados para prevenir, detectar e remediar atos ilícitos. A complementaridade entre esses instrumentos revela que a ética atua de dentro para fora, moldando o caráter e a tomada de decisão do agente por meio do exemplo e da cultura da "liderança virtuosa", enquanto o compliance opera de fora para dentro, estabelecendo as balizas de conformidade legal e as punições indispensáveis para mitigar riscos de desvios, fraudes e corrupção.
Superar o mito do "trabalho adicional" exige compreender que um programa de integridade maduro não cria novos processos isolados, mas atua como uma camada protetiva invisível sobre as operações diárias, reduzindo o retrabalho, blindando a reputação da marca ou da autarquia e, em última análise, garantindo a sustentabilidade de longo prazo. Como pontua a literatura especializada, a governança honesta vai muito além do simples cumprimento mecânico de regras formais. Significa assegurar que cada decisão institucional, desde a contratação de um fornecedor até a formulação de uma política pública, esteja imunizada contra conflitos de interesses e alinhada ao bem comum.
4. O Modelo das Três Linhas do IIA: Sinergia, Independência e Mitigação de Silos
A engrenagem da governança corporativa e administrativa exige uma arquitetura de controle que supere a antiga e ineficaz fragmentação de funções. Historicamente, as organizações padeciam com a criação de "silos" organizacionais, departamentos isolados que comunicavam mal entre si, gerando sobreposição de tarefas, desperdício de recursos e, pior, zonas cegas onde os riscos se materializavam sem qualquer monitoramento. Para sanar essa patologia gerencial, o The Institute of Internal Auditors (IIA) promoveu uma ampla revisão metodológica que culminou no atual Modelo das Três Linhas. Afastando-se da antiga e puramente reativa lógica de "defesa", o framework contemporâneo redesenhou a engenharia de governança sob a égide da sinergia, da clara delimitação de responsabilidades e da geração de valor.
A Primeira Linha desse ecossistema é constituída pelas funções de gerenciamento de operações. Trata-se da gerência de linha de frente, responsável pela execução diária das atividades e pela entrega direta de produtos, serviços ou políticas públicas. É fundamental compreender a premissa jurídica e gerencial da primeira linha: os gestores operacionais são os verdadeiros proprietários dos riscos. Cabe a eles, de forma primária, identificar, avaliar e mitigar as incertezas inerentes à sua especialidade, além de implementar rotineiramente os procedimentos de controle interno e as ações corretivas. A primeira linha lidera e direciona os recursos para o alcance das metas, mantendo o diálogo com o órgão de governança.
Contudo, em organizações de elevada complexidade, a linha de frente necessita de assessoria técnica especializada. Surge, assim, a Segunda Linha, composta por áreas estruturantes de suporte, tais como comitês de gestão de riscos, controladoria, segurança da informação, assessoria jurídica e compliance. A missão da segunda linha é estabelecer diretrizes, padrões e metodologias para apoiar os gestores operacionais no mapeamento de processos e na mitigação de ameaças setoriais. Detentoras de capacidade normativa e fiscalizadora, essas secretarias ou diretorias instrumentais intervêm diretamente para aprimorar os sistemas de controle.
O ponto de atenção teórica reside no fato de que a segunda linha possui uma independência mitigada. Por funcionarem como extensões orgânicas da própria administração, seus membros estão inseridos na estrutura hierárquica executiva, o que lhes retira a isenção necessária para uma avaliação puramente neutra da macrogestão. Outro desafio imperativo é evitar o desvio de função, impedindo que os agentes da segunda linha assumam tarefas executivas que pertencem exclusivamente à primeira linha, o que geraria conflitos de interesse e aniquilaria o sistema de contrapesos.
Para suprir essa necessidade de validação isenta, a engenharia do IIA consagra a Terceira Linha, representada pela auditoria interna. Esta função detém a máxima independência e objetividade dentro da organização. A sua linha invisível de demarcação, a chamada "linha vermelha" da auditoria, estabelece que os auditores internos jamais projetam ou implementam controles, e tampouco respondem por decisões operacionais. A sua atribuição restringe-se a avaliar de forma retrospectiva e prospectiva a eficácia de tudo o que foi desenhado e executado pela primeira e pela segunda linhas.
Para que a terceira linha sobreviva de forma autônoma às pressões políticas e administrativas, o modelo impõe uma estrutura de reporte duplo: administrativamente, ela se reporta ao nível executivo mais alto, mas funcionalmente possui um canal direto e ativo com o órgão máximo de governança (como o Conselho de Administração ou o Comitê de Auditoria).
A grande inovação do Modelo das Três Linhas do IIA não reside na simples segregação formal de funções, mas sim na imposição de um fluxo contínuo de informação e no compartilhamento de conhecimento entre elas. Na esfera do Direito Administrativo contemporâneo, esse arranjo tem sido internalizado de forma expressiva por órgãos centrais de controle interno estaduais e federais. Ao harmonizar a atuação das linhas de controle, esses órgãos centrais funcionam como os maestros do sistema, garantindo que a primeira linha execute com segurança, a segunda assessore com precisão técnica e a terceira audite com independência inabalável, blindando a alta administração e convertendo a conformidade em um vetor real de eficiência pública.
5. A Harmonização de Sistemas como Vetor de Sustentabilidade Institucional
A análise sistêmica das estruturas de Governança, Riscos e Compliance demonstra que a integridade e a conformidade não podem mais ser tratadas como meras formalidades burocráticas ou reações espasmódicas a escândalos corporativos. Para que uma organização, seja uma corporação privada ou uma autarquia pública, alcance a sustentabilidade de longo prazo, faz-se imperativa a transição de um modelo de controle estático e punitivo para um ecossistema integrado e dinâmico. O sucesso dessa transição repousa fundamentalmente na harmonização de sistemas, isto é, na coordenação fina e no fluxo oportuno de informações entre as diferentes linhas de atuação institucional.
O Modelo de Três Linhas do IIA, quando despido de formalismos estéreis e aplicado à luz do Direito Administrativo gerencial, revela que a eficácia da gestão de riscos reside na quebra de silos comunicacionais. A ausência de um fluxo informacional fluido faz com que a primeira linha opere às cegas, a segunda emita diretrizes desconectadas da realidade e a terceira produza relatórios de auditoria que funcionam como meras autópsias de falhas passadas. Inversamente, quando a comunicação é tratada como um canal bidirecional e contínuo, a gestão de riscos se converte em um mecanismo vivo de governança, capaz de antecipar contingências, otimizar a alocação de recursos escassos e, no âmbito do Estado, assegurar a legítima entrega de resultados sociais ao cidadão.
Nesse processo de combinação de sistemas, sobressai o papel estratégico e centralizador desempenhado pelos órgãos centrais de controle interno, tanto na esfera federal quanto nas estruturas estaduais. Ao atuarem como os harmonizadores normativos e metodológicos do sistema, essas controladorias e secretarias executivas impedem a pulverização de esforços e a sobreposição de fiscalizações. Cabe a essas instâncias centrais o papel de desenhar os mecanismos que lubrificam as engrenagens de controle, garantindo que o conhecimento técnico e os dados sobre riscos circulem em tempo hábil para subsidiar o processo decisório.
Essa sinergia estruturada produz um efeito jurídico e gerencial de suma relevância: a blindagem técnica da alta administração. Em tempos de expansão do controle externo e de responsabilização rigorosa dos gestores por erro grosseiro ou omissão, conforme os contornos delineados pela Lei de Introdução às Normas do Direito Brasileiro (LINDB) e pela Lei Anticorrupção, a tomada de decisões pautada em um arcabouço robusto de gestão de riscos confere ao administrador público e ao diretor corporativo a necessária segurança jurídica. Demonstrar que a instituição operou dentro de limites previamente delimitados de apetite e tolerância ao risco, chancelados por uma segunda linha técnica e validados por uma terceira linha independente, afasta a pecha da negligência e legitima o mérito administrativo perante os órgãos de controle externo e o Poder Judiciário.
Conclui-se, portanto, que a governança pautada pela integridade não se confunde com a busca por um ambiente utópico de risco zero, o qual, além de inexistente, conduziria à paralisia institucional. Governar de forma honesta e eficiente significa conhecer as incertezas, mensurar os impactos e guiar a organização por meio de uma bússola coordenada de controles. É a harmonização desse sistema que transforma a conformidade em um ativo reputacional e operacional, blindando as lideranças, racionalizando o gasto público e garantindo que as instituições cumpram, com sustentabilidade e honradez, a sua verdadeira razão de ser.
REFERÊNCIAS
BRASIL. Constituição da República Federativa do Brasil de 1988. Diário Oficial da União, Brasília, DF, 5 out. 1988.
BRASIL. Lei nº 12.846, de 1º de agosto de 2013 (Lei Anticorrupção). Dispõe sobre a responsabilização administrativa e civil de pessoas jurídicas pela prática de atos contra a administração pública, nacional ou estrangeira. Diário Oficial da União, Brasília, DF, 2 de ago. 2013.
BRASIL. Decreto nº 9.203, de 22 de novembro de 2017. Dispõe sobre a política de governança da administração pública federal direta, autárquica e fundacional. Diário Oficial da União, Brasília, DF, 23 nov. 2017.
BRASIL. Decreto nº 12.122, de 30 de julho de 2024. Altera o Decreto nº 9.203, de 22 de novembro de 2017, para dispor sobre a gestão de riscos, a integridade e os controles internos da administração pública federal. Diário Oficial da União, Brasília, DF, 31 jul. 2024. (Nota: Este decreto atualizou as regras de aplicação prática da gestão de riscos no Executivo Federal).
COMMITTEE OF SPONSORING ORGANIZATIONS OF THE TREADWAY COMMISSION (COSO). Gerenciamento de Riscos Corporativos - Estrutura Integrada. Tradução de PwC Brasil. São Paulo: COSO, 2017.
INSTITUTO DOS AUDITORES INTERNOS (IIA). O Modelo das Três Linhas do IIA 2020: Uma atualização das Três Linhas de Defesa. Tradução e disponibilização por IIA Brasil. São Paulo: IIA, 2020.
INSTITUTO BRASILEIRO DE GOVERNANÇA CORPORATIVA (IBGC). Gerenciamento de Riscos Corporativos: Evolução em Governança e Estratégia. Cadernos de Governança Corporativa, nº 19. São Paulo: IBGC, 2017.
INTERNATIONAL FEDERATION OF ACCOUNTANTS (IFAC). Evaluating and Improving Governance in Organizations. International Good Practice Guidance. New York: IFAC, 2014.
TRIBUNAL DE CONTAS DA UNIÃO (TCU). Referencial Básico de Governança Organizacional. 3. ed. Brasília: TCU, Secretaria de Planejamento, Governança e Gestão, 2020.
UNITED KINGDOM. Committee on Standards in Public Life. The Seven Principles of Public Life (The Nolan Principles). London: Cabinet Office, 1995.
