Direito Penal Empresarial — Prevenção de Riscos

O que é Criminal Compliance e por que sua empresa precisa

O criminal compliance é o conjunto de mecanismos que uma empresa adota para prevenir riscos penais em suas operações e proteger seus gestores de investigações criminais. Neste artigo, explicamos o que é, como funciona e o que a legislação brasileira estabelece sobre o tema.

O termo criminal compliance ainda gera dúvidas em muitos gestores e empreendedores brasileiros — em parte porque é recente, em parte porque é frequentemente confundido com o compliance regulatório mais amplo que as empresas já conhecem. A distinção é importante: enquanto o compliance tradicional abrange conformidade com normas trabalhistas, tributárias, ambientais e de governança corporativa, o criminal compliance tem foco específico na prevenção de riscos penais — ou seja, na identificação e no controle de condutas que podem resultar em investigação criminal de pessoas físicas e, em alguns casos, da própria pessoa jurídica.

No Brasil, o tema ganhou relevância decisiva a partir das grandes operações da Polícia Federal e do Ministério Público que, ao longo da última década, revelaram como crimes praticados no ambiente empresarial podem atingir toda a cadeia de comando de uma organização — do operador ao sócio majoritário. Esse cenário tornou o criminal compliance uma preocupação real não apenas para grandes corporações, mas para empresas de médio porte, prestadoras de serviços públicos, construtoras, distribuidoras e qualquer organização que interaja com o poder público ou opere em setores regulados.

Este artigo foi preparado pela Dra. Cristiane Dupret — especialista em Direito Penal Econômico pela Universidade de Coimbra — e pelo Dr. Ulisses Pessôa — Doutor em Direito com atuação em Direito Penal Empresarial —, sócios fundadores do escritório Dupret Pessôa Advogados Associados, com o objetivo de oferecer uma visão técnica e acessível sobre o que é o criminal compliance, sua base legal no ordenamento brasileiro e como funciona na prática.

O que é criminal compliance: definição precisa

O criminal compliance pode ser definido como o conjunto estruturado de políticas, controles internos, procedimentos e mecanismos de monitoramento que uma empresa implementa com o objetivo específico de prevenir que suas operações, seus colaboradores e seus gestores cometam crimes no exercício da atividade empresarial — e de estar preparada para responder adequadamente caso uma investigação criminal seja iniciada.

A palavra “compliance” vem do inglês to comply, que significa conformar-se, obedecer, cumprir. No contexto criminal, significa estar em conformidade com o ordenamento penal — não apenas evitando condutas ilícitas, mas documentando ativamente essa conformidade de modo que, diante de uma investigação, a empresa possa demonstrar que adotou todas as medidas razoáveis para prevenir o crime.

Os pilares do criminal compliance na prática

Um programa de criminal compliance efetivo não é um manual de boa conduta guardado em gaveta. É uma estrutura viva, com componentes interdependentes que precisam funcionar de forma integrada. Os pilares fundamentais são:

A base legal do criminal compliance no Brasil

O criminal compliance no Brasil tem amparo em diversas normas que criam incentivos diretos para a implementação de programas de integridade. As mais relevantes são:

Lei Anticorrupção — Lei 12.846/2013

A Lei 12.846/2013 foi o marco central do compliance no Brasil. Ela estabelece responsabilidade objetiva da pessoa jurídica por atos de corrupção contra a administração pública — o que significa que a empresa pode ser punida independentemente de dolo ou culpa comprovados. A existência de um programa de integridade efetivo é expressamente prevista como circunstância atenuante das sanções, podendo reduzir multas de até 20% do faturamento bruto. O Decreto 11.129/2022 regulamentou os critérios de avaliação desse programa.

Lei das Organizações Criminosas — Lei 12.850/2013

A Lei 12.850/2013 ampliou os instrumentos investigativos do Estado contra crimes organizados, incluindo o ambiente empresarial. A colaboração premiada, a infiltração de agentes e a captação ambiental de sinais são ferramentas que o Ministério Público e a Polícia utilizam em investigações de crimes empresariais. Ter um programa de criminal compliance documentado é, nesse contexto, uma linha de defesa relevante.

Código Penal e legislação penal especial

Crimes tributários (Lei 8.137/1990), lavagem de dinheiro (Lei 9.613/1998), crimes ambientais (Lei 9.605/1998) e crimes contra o sistema financeiro (Lei 7.492/1986) são os principais diplomas que tipificam condutas com alta incidência no ambiente empresarial. O criminal compliance mapeia os riscos de incidência dessas normas nas operações específicas de cada empresa.

Criminal compliance e a proteção pessoal de sócios e diretores

Um dos aspectos menos compreendidos — e mais relevantes — do criminal compliance é seu papel na proteção pessoal dos gestores. Como a responsabilidade penal no Brasil é individual, recaindo sobre pessoas físicas e não sobre a empresa, são os sócios, diretores, CFOs, gerentes e compliance officers que enfrentam investigações e processos criminais quando algo dá errado na organização. Saiba mais sobre advocacia criminal para empresas.

Um programa de criminal compliance bem estruturado cria, para cada gestor, uma documentação de suas decisões e dos controles internos existentes que pode ser fundamental na defesa criminal. Demonstrar que o gestor não tinha ciência da irregularidade, que existiam controles internos que tornavam a conduta improvável de ser detectada por quem estava acima na hierarquia, ou que o gestor adotou medidas corretivas ao tomar conhecimento do problema — são argumentos que dependem de documentação prévia para serem efetivos.

Diferença entre criminal compliance e compliance regulatório

Como funciona a implementação de um programa de criminal compliance

A implementação de um programa de criminal compliance começa com um diagnóstico jurídico-penal da empresa — uma análise conduzida pelo advogado especialista para identificar quais crimes são mais prováveis dado o setor de atuação, o modelo de negócio, os contratos existentes e o perfil das operações. Esse diagnóstico é o que diferencia um programa real de um documento genérico.

A partir do diagnóstico, o programa é estruturado em etapas:

1. Mapeamento de riscos penais — identificação das operações, contratos e relações que apresentam maior exposição a crimes específicos (tributários, ambientais, de corrupção, etc.).

2. Elaboração de políticas internas — código de conduta, política de conflito de interesses, política de brindes e hospitalidade, política de relacionamento com agentes públicos e demais normas internas adaptadas ao perfil da empresa.

3. Estruturação do canal de denúncias — mecanismo seguro, preferencialmente anônimo, para que colaboradores reportem irregularidades. A Lei 14.457/2022 tornou obrigatório o canal de denúncias para empresas com CIPA.

4. Treinamento de equipes — capacitação periódica com foco nos riscos penais específicos de cada área da empresa, com documentação de presença e conteúdo.

5. Due diligence de terceiros — análise de fornecedores, parceiros e agentes antes da contratação, para evitar que a empresa seja implicada em crimes praticados por sua cadeia de valor.

6. Protocolo de resposta a crises — procedimentos claros sobre o que fazer em caso de busca e apreensão, intimação de gestores ou prisão de colaboradores, incluindo contato imediato com o advogado criminalista.

O que muda para a empresa que tem criminal compliance diante de uma investigação

Quando uma empresa com programa de criminal compliance estruturado passa a ser alvo de investigação, a diferença em relação a uma empresa sem o programa é concreta e imediata. Na prática do relacionamento com o Ministério Público e com o STJ:

• O programa demonstra boa-fé institucional e cultura de conformidade, o que influencia a postura do Ministério Público nas negociações de Acordos de Não Persecução Penal (ANPP) e de colaboração.

• A documentação gerada pelo programa — atas de treinamento, registros do canal de denúncias, due diligence de parceiros — é prova concreta de que a empresa adotou medidas preventivas.

• A existência de controles internos pode enfraquecer a tese de que os gestores tinham ciência ou domínio do crime, especialmente em organizações de médio e grande porte.

• Na esfera administrativa da Lei Anticorrupção, o programa é fator expresso de atenuação das sanções, podendo reduzir significativamente o valor das multas.

Por que o criminal compliance deve ser conduzido por advogado criminalista

O criminal compliance é frequentemente delegado a profissionais de compliance sem formação específica em Direito Penal — o que resulta em programas tecnicamente insuficientes para o objetivo de proteção penal. A distinção não é acadêmica: o advogado criminalista especializado em Direito Penal Empresarial conhece precisamente quais condutas configuram crimes, como o Ministério Público investiga, quais provas têm valor processual e como a documentação do programa pode ser usada na defesa.

Isso significa que o programa elaborado por um criminalista é desenhado de trás para frente — a partir das teses de defesa que poderão ser necessárias — e não apenas como exercício de conformidade formal. Essa diferença de perspectiva é o que torna o criminal compliance jurídico-penal genuinamente protetivo para os gestores da empresa.