Como auditar o sistema de compliance
Auditar compliance é auditar comportamento, não documento. E quem mantém o levantamento de obrigações não pode ser quem verifica se ele está completo.
Quem procura por isso já tem sistema de compliance certificado ou implantado e precisa verificar se ele funciona. A dificuldade específica desta norma: o objeto da auditoria é, em boa parte, comportamento.
A pergunta que abre a auditoria
Não é "existe política?". É:
Quem, na operação, sabe qual obrigação recai sobre o que faz?
Se a resposta estiver só na área de compliance, o sistema existe no organograma. E o desvio vai acontecer onde ninguém estava olhando, porque quem executa não sabia que havia regra.
O ponto cego estrutural
Quem mantém o levantamento de obrigações não pode ser quem verifica se ele está completo: obrigação esquecida não aparece para quem esqueceu. É o mesmo motivo pelo qual a função de compliance não deveria auditar a si mesma — e é o argumento mais forte para trazer alguém de fora.
O que auditar, na ordem
- O levantamento, por amostragem reversa: parta de uma atividade da operação e pergunte quais obrigações incidem sobre ela. O caminho contrário confirma o que já está escrito.
- Os controles, com dono declarado e evidência de operação — não de existência.
- O monitoramento: indicador de compliance que nunca piora costuma medir a coisa errada.
- As consequências: desvio identificado que não teve tratamento ensina que a regra é opcional.
- O canal de denúncia, com proteção real a quem denuncia.
Cultura não se audita com checklist, mas se evidencia
Treinamento que chegou a quem decide; exceção aprovada com registro; pressão por meta que não convive com a política. São perguntas de campo, feitas a quem executa.
Como medir o seu sistema
O questionário de maturidade mede como ele roda de verdade — o que sustenta resultado e o que só sustenta auditoria — em 10 a 15 minutos, sobre a sua operação.