Compliance na pequena empresa: o que é e como começar

Compliance é obrigatório por lei?

Para a pequena empresa privada em geral, não encontrei norma que imponha um programa de compliance. O que existe são três coisas diferentes, e misturá-las gera medo à toa.

1. A Lei Anticorrupção. A Lei 12.846/2013 vale para sociedades empresárias e simples "independentemente da forma de organização", mas trata de atos contra a administração pública, como "prometer, oferecer ou dar" vantagem indevida a agente público (art. 5º, I). Nesses casos, a multa vai de 0,1% a 20% do faturamento bruto do último exercício (art. 6º). O programa de integridade não é exigido; ele entra como um dos fatores considerados na aplicação das sanções (art. 7º, VIII). O risco que a lei descreve está na relação com o poder público.
2. Contratos públicos de grande vulto. A Lei 14.133/2021 (art. 25, § 4º) prevê que o edital exija programa de integridade do vencedor, em 6 meses. O valor que define "grande vulto" está no art. 6º, XXII, da própria lei; vale conferir se o seu contrato chega a ele.
3. Obrigações trabalhistas, de segurança e de licença. Essas existem por norma própria, e é nelas que a maioria dos negócios pequenos precisa estar em dia (veja a seção seguinte).

A CGU mantém publicada a Portaria Conjunta 2.279/2015, que admite "medidas de integridade mais simples, com menor rigor formal" para microempresas e empresas de pequeno porte. Ela foi editada sob o Decreto 8.420/2015, revogado em 2022, e não localizei norma que a substitua, então não a trato como regra atual. O decreto novo (art. 67, III) atribui à CGU editar normas sobre a avaliação do programa, inclusive a forma simplificada para microempresas e empresas de pequeno porte; acompanhe o site de normativos da CGU.

A conclusão que eu tiro: o que a lei já exige você cumpre por obrigação. O resto (código de conduta, canal de relato, alçadas, calendário) é boa prática que eu recomendo, porque reduz erro e conflito. Chamar isso de obrigatório seria exagero.

Compliance trabalhista: o que a lei já exige de quem tem funcionário

É o terreno onde o compliance deixa de ser opção. Cada item vem do texto oficial; multas e prazos de transmissão eu não cito.

• Registro e CTPS. A CLT obriga o registro dos empregados (art. 41) e dá 5 dias úteis para anotar a admissão na CTPS (art. 29).
• Jornada. O horário de trabalho é anotado no registro de empregados (art. 74). O registro de entrada e saída é obrigatório para estabelecimentos com mais de 20 trabalhadores (art. 74, § 2º), então abaixo disso o controle é mais flexível. A leitura é minha: confirme com o contador.
• Segurança e saúde. Na NR-1, o MEI está dispensado de elaborar o PGR (item 1.8.1). Microempresas e empresas de pequeno porte de graus de risco 1 e 2 que não identificarem exposição a agentes físicos, químicos e biológicos, e fizerem a declaração digital, também (item 1.8.4). Ela depende do grau de risco (NR-4): uma oficina mecânica pode ficar fora. A dispensa não afasta as demais normas (1.8.5) nem os exames médicos e o ASO (1.8.7.1).
• Riscos psicossociais. Segundo o gov.br, a nova redação do capítulo 1.5 da NR-1, que inclui os fatores de risco psicossociais no gerenciamento de riscos, entrou em vigor em 26 de maio de 2026. Leia o capítulo com o contador ou o responsável por segurança do trabalho.
• eSocial. O eSocial é o sistema em que o empregador comunica ao governo vínculos, folha, FGTS e acidentes. O cronograma incluiu os optantes do Simples Nacional entre 2019 e 2022, e há canal próprio para o MEI.

Antes de contratar, veja o custo na calculadora de custo de funcionário.

Como começar o compliance da sua empresa em 5 passos

Os passos seguem a linha do art. 57 do Decreto 11.129 (riscos, conduta, canal). A ordem, as alçadas e o calendário são critérios meus.

1. Mapeie os riscos que você realmente tem

Liste de 5 a 8 coisas que, se dessem errado, custariam dinheiro, tempo ou cliente: funcionário sem registro, licença vencida, pagamento duplicado, desconto sem controle. Dê a cada uma uma nota de 1 a 3 para a chance e outra para o estrago. Pronto quando: a lista está ordenada por chance vezes estrago.

2. Defina quem aprova, quem compra e quem paga

Esta é a regra central: quem pede não aprova, e quem aprova não paga sozinho. Para cada decisão de dinheiro, escreva até quanto cada pessoa decide e quem confere depois (a tabela de exemplo vem logo abaixo). Pronto quando: cada decisão tem um nome que aprova e outro que paga ou confere.

3. Escreva um código de conduta de uma página

Poucas regras, em linguagem de conversa, sobre cliente, presente de fornecedor e dinheiro da empresa. O decreto lista o código entre os parâmetros de um programa (art. 57, II). Pronto quando: cabe em uma folha, todos leram e assinaram. Um modelo está mais abaixo.

4. Abra um canal para relatar problemas

O decreto fala em "canais de denúncia de irregularidades, abertos e amplamente divulgados", com proteção a quem relata de boa-fé (art. 57, X). O critério que eu uso: um e-mail ou WhatsApp que chegue a alguém fora da cadeia do problema, como o sócio que não gere a área ou o contador. Pronto quando: a equipe sabe o canal, e quem relata sabe que não sofre retaliação.

5. Monte o calendário de licenças e prazos

Cada obrigação com órgão, responsável, data e aviso antecipado. Comece pelas trabalhistas da seção anterior e some o alvará e as licenças do seu setor. Um plano com marcos ajuda a tirar as pendências do papel. Pronto quando: não existe vencimento sem responsável.

Infográfico

Ler o infográfico em texto

Do mapa de riscos ao calendário de prazos, em ordem

1. Mapeie os riscos: Liste de 5 a 8 riscos que você realmente tem e ordene por chance e estrago.
2. Defina as alçadas: Quem aprova, quem compra e quem paga, com limites em R$.
3. Escreva o código de conduta: Uma página, em linguagem de conversa, lida e assinada por todos.
4. Abra um canal de relato: E-mail ou WhatsApp que chega a alguém fora da cadeia do problema.
5. Monte o calendário: Cada obrigação com órgão, responsável, data e aviso antecipado.

Fonte: Decreto 11.129/2022, art. 57 (parâmetros de programa de integridade); ordem, alçadas e calendário são critérios do autor. Alçadas e calendário são critérios do autor, não parâmetros do decreto.

Exemplo completo: tabela de alçadas de uma oficina mecânica em Londrina

A oficina é fictícia, com números redondos: 5 pessoas, dois sócios (um administra, o outro cuida da parte técnica), um chefe de oficina, uma atendente e um auxiliar administrativo. A estrutura é a da tabela de alçadas do Manual de Governança e Compliance; os valores são ilustrativos.

Em outubro, a oficina fez 8 compras de peças: R$ 180, R$ 420, R$ 90, R$ 750, R$ 1.200, R$ 2.800, R$ 3.400 e R$ 5.600, num total de R$ 14.440.

Faixa de aprovação	Compras	Valor
Até R$ 500 (chefe de oficina)	3	R$ 690
De R$ 500,01 a R$ 3.000 (sócio técnico)	3	R$ 4.750
Acima de R$ 3.000 (os dois sócios)	2	R$ 9.000
Total	8	R$ 14.440

Só 2 das 8 compras, ou 25%, exigem os dois sócios, mas elas somam R$ 9.000, ou 62,3% do dinheiro (9.000 ÷ 14.440). A regra põe a atenção dos sócios onde está o valor e deixa as 3 compras pequenas (R$ 690, 4,8% do total) andarem sem fila. Sem faixa, o dono aprova tudo e vira gargalo.

Modelo pronto: calendário de obrigações e código de conduta

Copie sem cadastro. Alvará e licenças variam por município e atividade, e ficam para você.

Para conversar com a equipe sobre conduta, use o feedback.

Quanto compliance o seu negócio pede

É a régua que eu uso, um critério da Consylion e não uma norma: ela cresce com o risco e o porte.

1. Sem funcionário e sem licença especial (um MEI que presta serviço sozinho): conta separada da pessoal e registro de quem decidiu o quê. Meia hora por mês.
2. Com equipe, dinheiro de terceiros ou licenças: os cinco passos completos, com tabela de alçadas, código de conduta, canal e calendário. Procure o contador para as obrigações trabalhistas.
3. Setor regulado (saúde, alimentos, finanças, dados sensíveis) ou contrato com o poder público: tudo do nível 2 e orientação de advogado ou especialista do setor, porque as normas próprias mandam. Dados pessoais de clientes têm lei própria, a LGPD, que também pede cuidado específico.

O custo é tempo: cerca de duas horas para a primeira versão e meia hora por mês, mais o contador ou o advogado quando precisar.

O erro mais comum

Copiar o código de ética de uma empresa grande, arquivar na pasta e achar que acabou. Código que ninguém lê não muda nada. A equipe usa a tabela de alçadas e o calendário, porque respondem ao dia a dia: posso dar esse desconto? Quem paga essa nota? Quando vence essa licença?

Exercício de 15 minutos

A empresa que decide antes quem decide dorme melhor.