Matriz de obrigações de compliance

Quem chega aqui geralmente procurou "matriz de obrigações de compliance" ou "modelo de programa de compliance". Vale dizer por que a matriz pronta falha exatamente onde mais custa.

A matriz descreve obrigações de quem a montou

Obrigação de compliance é tudo que a organização precisa cumprir — lei, norma regulatória, contrato, licença — e tudo que escolheu cumprir: código de conduta, compromisso público, requisito de cliente, padrão setorial.

Nada disso é genérico. Depende do que você faz, onde faz, para quem vende e com que licença opera. Uma matriz baixada pronta traz as obrigações de um setor que pode não ser o seu, e — o que é pior — não traz as que são suas.

Obrigação esquecida não dá erro

É o que torna esta norma diferente: a obrigação que ninguém levantou não aparece em auditoria, não aparece em indicador e não aparece em relatório. Ela aparece na notificação, na multa ou no contrato rescindido.

Por isso o levantamento não é tarefa de implantação: é o processo central, com dono, fonte de atualização e frequência de revisão.

O que a ISO 37301 pede além da matriz

• Contexto e partes interessadas que expliquem de onde cada obrigação vem.
• Avaliação de risco de compliance — quais obrigações, se descumpridas, doem mais.
• Controles com dono na operação, não na área de compliance. Compliance que só existe dentro da área de compliance não muda comportamento.
• Cultura, medida. A norma cobra comportamento, e comportamento se evidencia.

O erro estrutural mais comum

Tratar compliance como sinônimo de jurídico. A obrigação é levantada pelo jurídico, o controle é operado pela produção, o desvio acontece no comercial — e o sistema só funciona quando os três sabem qual obrigação recai sobre o que fazem.

Como medir a distância

O diagnóstico de adequação mostra, sobre a sua operação, quais requisitos da ISO 37301 se aplicam, o que já existe funcionando e o tamanho real da lacuna até a certificação.