Compliance empresarial: Guia completo para empresas

Um programa de compliance bem escrito no papel pode falhar no primeiro minuto da jornada do cliente. Basta que a empresa aceite um cadastro com documento adulterado ou uma selfie gerada por IA.

A partir daí, a política de integridade existe, o comitê se reúne, o treinamento acontece, e mesmo assim a operação carrega dentro de casa um cliente que nunca deveria ter entrado.

Este guia trata do compliance empresarial pelos dois lados: a estrutura de governança que a lei exige e os controles técnicos que sustentam essa estrutura na prática.

O que é compliance empresarial

Compliance empresarial é o conjunto de políticas, controles e processos que uma empresa mantém para cumprir leis, normas regulatórias e regras internas.

O programa combina governança, gestão de riscos, treinamento, canais de denúncia e monitoramento contínuo das operações.

O termo vem do verbo inglês to comply, cumprir. Na prática brasileira, o compliance deixou de ser área jurídica e passou a ser função transversal, com braço em risco, produto, tecnologia e atendimento.

Compliance, governança corporativa e gestão de riscos

As três funções se sobrepõem, mas respondem a perguntas diferentes:

• Governança corporativa define quem decide o quê, com qual alçada e qual prestação de contas.
• Gestão de riscos identifica e mensura o que pode dar errado, e qual o apetite da empresa para cada risco.
• Compliance assegura que a operação siga as regras externas e internas, e produz a evidência disso.

A diferença prática está na prova. Um programa de compliance precisa deixar rastro auditável. Sem registro, o controle existe na intenção e desaparece na fiscalização.

Por que o compliance empresarial virou uma questão de fraude

O risco de integridade migrou da mesa de negociação para o formulário de cadastro. A Serasa Experian registrou 2,8 milhões de tentativas de fraude de identidade no primeiro semestre de 2026, alta de 32,9% sobre o mesmo período do ano anterior. Meios de pagamento concentraram 42,6% das ocorrências e telefonia, 22,1%.

Somadas, as três frentes financeiras (meios de pagamento, bancos e cartões, e financeiras) responderam por 61,1% do total.

Esse dado muda a natureza do problema. Fraude de identidade não é incidente isolado de segurança. É falha de controle de compliance, porque compromete a diligência que a norma exige sobre quem entra na base.

Quando um fraudador abre conta com documento falso, a empresa passa a descumprir três frentes ao mesmo tempo: a obrigação de conhecer o cliente, a obrigação de reportar operações suspeitas e a obrigação de tratar dados pessoais de forma íntegra.

O que a legislação brasileira exige de um programa de compliance

Não existe uma lei geral de compliance no Brasil. Existe um conjunto de normas que, somadas, desenham o que um programa precisa ter.

Lei 12.846/2013 e Decreto 11.129/2022

A Lei Anticorrupção responsabiliza a pessoa jurídica por atos contra a administração pública. O Decreto 11.129/2022, de 11 de julho de 2022, revogou o Decreto 8.420/2015 e passou a definir os parâmetros de avaliação do programa de integridade.

O artigo 57 do decreto lista quinze parâmetros. Entre os que mais afetam operações digitais:

• comprometimento da alta direção com apoio visível e recursos adequados (inciso I);
• gestão de riscos com análise e reavaliação periódica (inciso V);
• controles internos que assegurem a confiabilidade dos relatórios (inciso VII);
• diligências apropriadas, baseadas em risco, para a contratação de terceiros (inciso XIII);
• verificação em fusões, aquisições e reestruturações societárias (inciso XIV);
• monitoramento contínuo voltado ao aperfeiçoamento preventivo (inciso XV).

O inciso XIII é o que conecta compliance a verificação de identidade. Diligência baseada em risco significa checar com quem a empresa se relaciona, e conseguir provar depois que a checagem aconteceu.

Circular BACEN 3.978/2020 e o compliance financeiro

Para instituições autorizadas pelo Banco Central, a Circular 3.978, de 23 de janeiro de 2020 (em vigor desde 1º de outubro de 2020), é a norma central de prevenção à lavagem de dinheiro e ao financiamento do terrorismo (PLD/FT).

Ela estrutura o programa em torno da avaliação interna de risco e do conhecimento do cliente:

• Art. 10: a instituição deve identificar e mensurar o risco de uso de seus produtos e serviços para crimes financeiros, considerando perfis de clientes, da própria instituição, das operações e dos funcionários e parceiros.
• Art. 12: a avaliação precisa ser documentada, aprovada pelo diretor responsável, comunicada à governança e revisada a cada dois anos ou quando houver alteração significativa.
• Art. 13: obrigação de manter procedimentos de conhecimento do cliente, com diligência na identificação, qualificação e classificação.
• Art. 16: verificação e validação da identidade, com coleta de nome completo, endereço e CPF, ou razão social, CNPJ e sede.
• Art. 18: coleta de informações que permitam avaliar a capacidade financeira, com reavaliação permanente.
• Art. 20: classificação dos clientes em categorias de risco.

Os artigos 13 e 16 traduzem, em linguagem regulatória, o que o mercado chama de KYC. A norma pede validação de identidade, e não coleta de dado declarado.

LGPD e o compliance digital

A Lei 13.709/2018 acrescenta a camada de dados. Todo controle de identidade trata dado pessoal, e parte dele é dado biométrico, classificado como sensível.

Isso impõe três exigências ao desenho técnico do programa:

• base legal definida para cada tratamento, com finalidade específica;
• minimização, ou seja, coletar o dado necessário para a validação e nada além;
• medidas técnicas de proteção, com registro de acesso e política de retenção.

Compliance digital, na prática, é conciliar duas obrigações que puxam em direções opostas: validar identidade com profundidade suficiente e tratar o mínimo de dado possível.

ISO 37301 como referência de gestão de compliance

A ISO 37301:2021 estabelece requisitos para sistemas de gestão de compliance e substituiu a ISO 19600, que era só diretriz. Ela é certificável, o que dá ao programa uma referência externa de maturidade.

Para empresas que atendem clientes corporativos, a norma costuma abreviar processos de diligência de fornecedor.

Os pilares de um programa de compliance

Consolidando o que as normas pedem, um programa de compliance empresarial se apoia em sete pilares:

1. Apoio da alta direção. Sem orçamento e autoridade formal, o programa vira documento.
2. Avaliação de riscos. Mapa dos riscos regulatórios, de fraude e reputacionais, com classificação e revisão periódica.
3. Políticas e código de conduta. Regras escritas, acessíveis e aplicáveis a empregados e terceiros.
4. Controles internos. Os mecanismos que impedem o risco de se materializar, incluindo os controles automatizados de entrada.
5. Treinamento e comunicação. Ações periódicas, com registro de participação.
6. Canal de denúncia. Aberto, com proteção ao denunciante e tratamento formal.
7. Monitoramento e auditoria. Indicadores, testes de efetividade e trilha auditável.

O quarto pilar é onde a maioria dos programas trava. Política de integridade se escreve em semanas. Controle interno automatizado exige integração, orçamento de tecnologia e alinhamento com produto.

Onde a identidade entra no programa de compliance

A porta de entrada é o ponto mais frágil

O programa de compliance define quem a empresa aceita como cliente, parceiro ou fornecedor. Esse critério só vale se a empresa souber quem está do outro lado.

Três vetores comprometem essa checagem hoje:

• Documentos adulterados ou sintéticos, montados a partir de dados reais vazados. Sobre esse ponto, vale a leitura de falsidade documental.
• Ataques de apresentação, em que o fraudador exibe foto, vídeo ou máscara para a câmera. É o spoofing.
• Mídia sintética gerada por IA, que reproduz rosto e movimento de uma pessoa real. É o deepfake.

Nenhum dos três é detectável por conferência manual em escala. Um analista consegue revisar dezenas de cadastros por dia. Uma fintech em crescimento recebe milhares.

Módulos que sustentam o controle de identidade

A CertiFace organiza esse controle em módulos que atuam em pontos distintos da jornada:

• Hub Liveness: prova de vida em modo passivo, ativo ou híbrido, para confirmar que existe uma pessoa real diante da câmera no momento da captura. Detalhes conceituais em liveness.
• SmartCap e OCR: captura otimizada do documento e extração dos campos, com feedback de imagem ao usuário para reduzir retrabalho.
• Autenticação de Documentos: checagem de integridade e sinais de adulteração no documento apresentado.
• FaceMatch: comparação entre a face capturada e a face do documento. Explicação técnica em FaceMatch.
• Bureau de Faces: consulta em base de faces para identificar reincidência e tentativas repetidas com identidades diferentes.
• FaceToken: tokenização da referência facial, para reautenticação em eventos sensíveis sem novo ciclo de cadastro.

O encaixe com o programa de compliance é direto. O inciso XIII do Decreto 11.129/2022 pede diligência baseada em risco. Os artigos 13 e 16 da Circular 3.978/2020 pedem identificação e qualificação com validação.

Esses módulos produzem a evidência técnica dessas duas obrigações, com registro do que foi checado, quando e com qual resultado.

A CertiFace opera hoje sobre uma base de mais de 120 milhões de faces únicas, com validação em 1 a 2 segundos. São números de operação, e não promessa de que nenhuma tentativa passa.

Nenhuma camada isolada resolve fraude de identidade. O que reduz risco é a combinação de camadas, calibrada pelo apetite de risco que a própria avaliação interna definiu.

Para o desenho operacional dessa camada, o material complementar é KYC compliance.

Como estruturar a gestão de compliance em seis etapas

1. Mapear o perímetro regulatório. Liste as normas aplicáveis ao setor e ao porte da empresa. Uma fintech de pagamento responde ao BACEN, à LGPD e à Lei Anticorrupção ao mesmo tempo, com prazos distintos.

2. Rodar a avaliação interna de risco. Classifique produtos, canais e perfis de cliente por risco. Documente o método, porque a norma cobra o documento, e não só a conclusão.

3. Escrever políticas conectadas ao risco. Cada política deve responder a um risco mapeado. Política sem risco correspondente é texto morto.

4. Automatizar os controles de entrada. Traduza a política de aceitação em regra de sistema: qual nível de validação para qual faixa de risco, qual ação em caso de divergência, qual fila de revisão manual.

5. Instrumentar a trilha de auditoria. Todo evento de decisão precisa de log: o que foi checado, o resultado, o horário e quem ou o que decidiu. Sem isso, a defesa em fiscalização depende de memória.

6. Revisar em ciclo fixo. A Circular 3.978/2020 pede revisão da avaliação de risco a cada dois anos, no mínimo. Programas maduros revisam o desenho de controles a cada trimestre, acompanhando a mudança dos vetores de ataque.

Erros que enfraquecem um programa de compliance

• Tratar compliance como área jurídica isolada. O controle acontece no produto, no fluxo de cadastro e na régua de crédito.
• Confiar em dado declarado. Preencher CPF e nome não valida identidade. A norma pede verificação.
• Aplicar o mesmo nível de atrito para todos. Fricção uniforme derruba conversão sem reduzir risco na proporção. Validação escalonada por risco resolve melhor.
• Não registrar as checagens. Controle sem log não é auditável, e o que não é auditável não conta na avaliação do programa.
• Congelar o desenho. Ataques com mídia sintética mudam de técnica em meses. Um programa revisado a cada dois anos fica defasado no intervalo.

Indicadores para medir a maturidade do programa

Um programa de compliance empresarial precisa de números próprios. Os mais usados por times de risco:

• taxa de aprovação no onboarding, segmentada por faixa de risco;
• taxa de reprovação por falha de prova de vida;
• reincidência detectada em base de faces;
• tempo médio da fila de revisão manual;
• percentual de decisões com trilha de auditoria completa;
• chargebacks e perdas por fraude de identidade, por safra de entrada.

Acompanhar essas métricas por safra mostra se o controle melhorou, ou se só o volume mudou.

Compliance empresarial deixou de ser uma pilha de políticas assinadas. Virou um conjunto de controles que precisam funcionar em tempo real, deixar rastro e resistir a fraudadores que testam a porta de entrada todo dia.

A estrutura de governança define as regras. A camada técnica de identidade prova que a regra foi aplicada em cada cadastro. Quando as duas conversam, o programa para de ser papel e passa a mitigar risco de forma mensurável.

Para ver como integrar prova de vida, comparação facial e análise documental ao seu fluxo de onboarding, a documentação técnica está no DevCenter da CertiFace.

FAQ