Como implementar um programa de integridade do zero: guia em 9 etapas
Por DataGuide | Atualizado em outubro de 2026
Resposta rápida: para implementar um programa de integridade do zero, comece pelo apoio formal da alta direção e avance em nove etapas: instância responsável, riscos, políticas, treinamento, controles contábeis, terceiros, canal de denúncias e monitoramento. Cada etapa gera evidência. O prazo costuma ser de 6 a 12 meses, e o investimento de referência, de R$ 30 mil a R$ 70 mil.
Um dado da CGU mostra por que a implementação precisa começar pela evidência, e não pelo documento. No Relatório de Dosimetria de Sanções em Processos Administrativos de Responsabilização (2ª edição, 2025), que reúne 159 decisões, o programa de integridade foi reconhecido em apenas 11,3% dos casos. O próprio relatório registra que a empresa que não comprova ao menos um programa minimamente documentado não recebe nenhum valor de atenuante.
Este guia parte do zero: sem área de compliance, sem política escrita e sem orçamento aprovado. O plano de nove etapas é a metodologia de planejamento da DataGuide, organizada a partir dos 15 parâmetros do art. 57 do Decreto 11.129/2022 e dos cinco pilares do guia da CGU. Prazos, esforços e custos são referências da DataGuide, variam conforme o segmento e o porte da empresa e devem ser ajustados à sua realidade. Não são exigência legal.
O que é um programa de integridade e quando ele é exigido
O Decreto 11.129/2022, que regulamenta a Lei Anticorrupção (Lei 12.846/2013), define no art. 56 o programa de integridade como o conjunto de mecanismos e procedimentos internos de integridade, auditoria e incentivo à denúncia, somado à aplicação efetiva de códigos de ética, políticas e diretrizes. Seus objetivos são prevenir, detectar e sanar desvios, fraudes e atos ilícitos contra a administração pública e fomentar uma cultura de integridade. O parágrafo único do mesmo artigo determina que o programa seja estruturado, aplicado e atualizado conforme as características e os riscos atuais de cada empresa. Para entender a lógica de decisão por trás dessas regras, veja compliance como sistema de decisão.
Em regra, a Lei Anticorrupção não obriga a empresa privada a ter um programa de integridade. Mas há situações em que ele passa a ser exigido ou a contar a favor da empresa:
Figura 1. A régua de consequências da Lei Anticorrupção e o peso do programa de integridade.
Texto alternativo: Quatro cartões: multa de 0,1% a 20% do faturamento bruto; atenuante de até 5% para o programa de integridade; atenuante de até 2% para a admissão voluntária de responsabilidade; redução de até 2/3 da multa em acordo de leniência. Abaixo, o dado de que 11,3% dos casos do relatório de dosimetria da CGU tiveram programa de integridade reconhecido.
Quanto tempo leva e quanto custa implementar um programa de integridade
Não existe prazo nem preço únicos, porque o esforço depende do segmento de atuação e do porte da empresa. Como referência, a DataGuide trabalha com os valores da tabela. Eles valem para implementar o programa do zero e devem ser confirmados pelo escopo de cada proposta.
Antes da etapa 1: quatro decisões que destravam o cronograma
O programa de integridade não começa com documento, começa com escopo. Quatro definições evitam o retrabalho que mais atrasa os projetos.
A primeira é o perímetro: quais empresas do grupo, unidades e países entram. A segunda é o patrocinador: uma pessoa nominal da alta direção, não um colegiado difuso. A terceira é o orçamento mínimo do ano, ainda que modesto, porque o art. 57 exige apoio evidenciado pela destinação de recursos adequados, e verba zero prova que o apoio não existe.
A quarta é a proporcionalidade. O § 1º do art. 57 manda considerar o porte e as especificidades da empresa: número de colaboradores, faturamento, estrutura de governança, uso de intermediários, setor, países de atuação, grau de interação com o setor público e tamanho do grupo econômico. Para microempresas e empresas de pequeno porte, o art. 67, III, atribui ao ministro da CGU a edição de normas sobre uma forma simplificada de avaliação. Isso autoriza uma empresa de trinta pessoas a ter um programa enxuto, mas não a ter um programa inexistente. O guia da CGU para empresas privadas diz o mesmo: não há modelo único, e cada empresa deve adaptar o programa ao seu perfil e aos seus riscos.
Os cinco pilares da CGU e as nove etapas
O guia Programa de Integridade: Diretrizes para Empresas Privadas, publicado pela CGU em 2015, organiza o programa em cinco pilares. Os 15 parâmetros do art. 57, que vieram depois, detalham o que se espera em cada um deles. A tabela mostra onde cada pilar aparece nas nove etapas deste guia. O agrupamento dos incisos por pilar é da DataGuide.
O peso dos pilares não é igual. Contando cada inciso uma única vez, dois terços dos 15 parâmetros (10 de 15) ficam no pilar 4, o de regras e instrumentos, como mostra a figura 2. Por isso, essa é a parte do programa que mais consome tempo e evidência.
Figura 2. Distribuição dos 15 parâmetros do art. 57 pelos cinco pilares da CGU.
As 9 etapas para implementar um programa de integridade
A sequência abaixo é a de referência da DataGuide para uma empresa sem estrutura prévia e usa o limite superior de 12 meses. Empresas menores ou com menos exposição ao setor público tendem a comprimir o cronograma em direção a 6 meses. A figura 3 resume as nove etapas e o pilar de cada uma, e a figura 4 mostra como elas se sobrepõem ao longo dos doze meses. As etapas 5 e 9 continuam de forma recorrente depois do primeiro ciclo.
Figura 3. A roda das nove etapas para implementar um programa de integridade e o pilar da CGU de cada uma.
Figura 4. Cronograma de referência de 12 meses para as nove etapas.
Etapa 1: Patrocínio da alta direção
O inciso IX cobra três atributos da instância interna responsável pela aplicação do programa e pela fiscalização do seu cumprimento: independência, estrutura e autoridade. Não exige um departamento com dez pessoas, mas exige que quem responde pelo programa não seja subordinado a quem precisa fiscalizar.
É aqui que empresas pequenas erram por conveniência, colocando o programa dentro do jurídico contencioso ou debaixo do diretor comercial. Se a única saída for o acúmulo de funções, documente a salvaguarda: reporte direto ao sócio ou ao conselho e impedimento formal de conduzir apuração que envolva a própria área. O regimento escrito é o que transforma um arranjo improvisado em um desenho defensável.
Etapa 3: Avaliação de riscos de integridade
Esta etapa dá sentido a todas as outras e costuma ser a mais pulada. O inciso V não fala em ter uma avaliação: fala em gestão adequada de riscos, com análise e reavaliação periódicas, para adaptar o programa e alocar recursos de forma eficiente. Sem matriz, todo controle criado depois é chute.
O método é entrevistar as principais áreas: administrativo, gestão de pessoas, comercial, compras, fiscal, logística, licenciamento e relações institucionais. Para cada processo, levante o cenário concreto (quem poderia pagar o quê, a quem, com qual justificativa contábil), classifique por probabilidade e impacto e nomeie um dono. O inciso VIII exige procedimentos específicos para prevenir fraudes e ilícitos em licitações, na execução de contratos administrativos e em qualquer interação com o setor público, incluindo o pagamento de tributos, a sujeição a fiscalização e a obtenção de licenças, permissões e certidões. A matriz é o que diz quais desses pontos merecem controle reforçado.
Figura 5. Exemplo de pontos de contato com o setor público que a matriz de riscos deve cobrir.
Etapa 4: Código de conduta e políticas de integridade
O inciso II exige padrões de conduta, código de ética, políticas e procedimentos aplicáveis a todos os empregados e administradores, independentemente do cargo. O inciso III determina que os padrões também alcancem terceiros, quando necessário. O inciso XI cobra medidas disciplinares em caso de violação, o que significa ter uma matriz que diga qual conduta gera advertência e qual gera demissão por justa causa.
Por isso, escreva as políticas a partir da matriz de riscos, não antes dela. Duas regras práticas: um limite numérico para brindes e hospitalidades, com atenção ao Decreto 10.889/2021, que trata do recebimento de brindes e hospitalidades por agentes públicos federais, e a proibição expressa de pagamento a agente público fora dos canais oficiais, inclusive por meio de despachante. O entregável que conta não é o PDF do código, mas a lista de aceites com data e nome.
Etapa 5: Treinamento e comunicação
O inciso IV pede treinamentos e ações de comunicação periódicos sobre o programa. A palavra periódico elimina o vídeo único enviado por e-mail na integração.
Segmente por exposição. Diretoria e conselho recebem uma sessão curta sobre responsabilidade objetiva e dever de supervisão. Comercial, compras, fiscal e licenciamento recebem casos reais do próprio setor. O restante da empresa recebe o essencial do código. Guarde três evidências de cada turma: presença, material aplicado e resultado da avaliação. Treinamento sem avaliação prova frequência, não entendimento, e é justamente o entendimento que se discute quando um caso aparece.
Etapa 6: Controles contábeis e controles internos
Os incisos VI e VII são os menos comentados e estão entre os mais decisivos em uma investigação. Eles exigem registros contábeis que reflitam de forma completa e precisa as transações da empresa e controles internos que assegurem a confiabilidade de relatórios e demonstrações financeiras.
A razão é simples: propina raramente aparece na contabilidade com o nome que tem. Aparece como consultoria sem entrega, comissão acima do padrão, reembolso sem nota ou doação sem contrapartida. Os controles que resolvem isso podem ser simples, baratos e eficientes: alçada por valor e natureza de despesa, segregação entre quem aprova, quem paga e quem registra, exigência documental reforçada em rubricas sensíveis e trilha de auditoria que não se apaga. Rode este trabalho junto com o financeiro, em paralelo à etapa de políticas.
Etapa 7: Due diligence de terceiros e de M&A
O inciso XIII exige diligências apropriadas e baseadas em risco para três frentes: a contratação e a supervisão de terceiros (fornecedores, prestadores de serviço, intermediários, despachantes, consultores, representantes comerciais e associados); a contratação e a supervisão de pessoas expostas politicamente (PEP), seus familiares e estreitos colaboradores; e a realização e a supervisão de patrocínios e doações. A expressão baseada em risco é o que autoriza a empresa a não investigar todo fornecedor com a mesma profundidade.
Classifique os terceiros em três faixas, como na figura 6. O terceiro que fala com agente público em nome da empresa passa por diligência reforçada: questionário, comprovação de capacidade de entrega e aprovação da instância de integridade. O fornecedor relevante sem contato com o setor público passa por consulta a cadastros públicos, como o Cadastro Nacional de Empresas Inidôneas e Suspensas (CEIS) e o Cadastro Nacional de Empresas Punidas (CNEP), e por cláusula contratual. O restante segue o fluxo normal de compras. O checklist prático dessa triagem está no artigo sobre due diligence de fornecedores críticos, e o ciclo completo de contratação e monitoramento está no de gestão de fornecedores.
Figura 6. Três faixas de criticidade de terceiros e a profundidade de diligência de cada uma.
O inciso XIV trata de fusões, aquisições e reestruturações societárias e exige verificar, durante o processo, irregularidades e vulnerabilidades nas empresas envolvidas. O motivo está no art. 4º da Lei 12.846/2013: a responsabilidade da pessoa jurídica subsiste em caso de alteração contratual, transformação, incorporação, fusão ou cisão. Na fusão e na incorporação, a sucessora responde pela multa e pela reparação integral do dano até o limite do patrimônio transferido (§ 1º). Olhar a integridade da empresa-alvo antes da operação evita herdar esse passivo.
Etapa 8: Canal de denúncias e procedimento de investigação
O inciso X exige canais de denúncia abertos e amplamente divulgados a funcionários e terceiros, além de mecanismos de tratamento das denúncias e de proteção ao denunciante de boa-fé. Repare em duas palavras: terceiros, ou seja, um canal de denúncias acessível no site; e tratamento, ou seja, um fluxo com prazo e responsável, não uma caixa de e-mail que ninguém abre.
O inciso XII completa o quadro com procedimentos que assegurem a pronta interrupção de irregularidades detectadas e a tempestiva remediação dos danos. Traduzido: quando o canal acusa algo, precisa existir um roteiro pronto de preservação de evidências, entrevistas, conclusão e ação corretiva, com registro do que foi decidido, inclusive nos casos arquivados.
Há ainda um incentivo maior. A Lei 12.846/2013 permite o acordo de leniência com a empresa que colabora efetivamente com as investigações, desde que ela seja a primeira a se manifestar, cesse o envolvimento na infração e admita sua participação no ilícito (art. 16, § 1º). O acordo pode reduzir em até 2/3 o valor da multa (art. 16, § 2º). Na prática, chegar a esse ponto depende de a empresa conseguir identificar e apurar os fatos antes de qualquer terceiro, e um canal com procedimento é o que permite isso.
Etapa 9: Monitoramento, indicadores e revisão
O inciso XV fecha o ciclo exigindo monitoramento contínuo do programa, para aperfeiçoá-lo na prevenção, na detecção e no combate aos atos lesivos. Junto com o inciso V, ele define a diferença entre um programa vivo e um programa congelado no ano da implantação.
Escolha poucos indicadores e reporte sempre os mesmos (veja a figura 7 mais adiante). Leve os resultados ao patrocinador em ciclo trimestral e ao conselho uma vez por ano, com ata. Revise a matriz anualmente e sempre que houver mudança relevante: novo mercado, nova aquisição, novo contrato público.
Os 15 parâmetros do art. 57 e onde cada um fica documentado
Cada inciso do art. 57 do Decreto 11.129/2022 é um item que um avaliador pode pedir. A tabela mostra em qual etapa do cronograma ele nasce e qual documento serve de prova.
Contratações públicas: Decreto 12.304/2024 e Portaria SE/CGU 226/2025
Quem vende ao governo federal precisa conhecer duas normas recentes. O Decreto 12.304/2024 regulamenta, no âmbito da administração pública federal, a exigência de programa de integridade em contratações de grande vulto, no desempate entre propostas e na reabilitação. Ele também alcança outros entes que usem recursos de transferências voluntárias da União. O art. 3º lista 17 parâmetros de avaliação: os 15 do art. 57 do Decreto 11.129/2022, com acréscimos sobre respeito a direitos humanos e trabalhistas e proteção ao meio ambiente. A Portaria Normativa SE/CGU 226/2025 detalha a metodologia de avaliação, com áreas de conformidade, notas mínimas, formulários eletrônicos, análise documental e o sistema SAMPI, usado pela CGU na avaliação.
Quem avalia: a CGU avalia a aderência do programa aos parâmetros do decreto, e a avaliação favorável vale por 24 meses (art. 14, § 1º). Se o programa for considerado insuficiente, a empresa pode apresentar um plano de conformidade.
Dispensa de nova avaliação: a empresa reconhecida no Pró-Ética, ou avaliada nos últimos 24 meses por órgão público com metodologia compatível, pode ficar dispensada de nova comprovação.
Desempate: o licitante declara possuir programa de integridade e comprova por autoavaliação no Pacto Brasil pela Integridade, pela inclusão na lista do Pró-Ética ou por certidão de avaliação dos últimos 24 meses. Declaração falsa é infração grave.
Penalidades: o descumprimento das obrigações pode gerar advertência, multa de 1% a 5% do valor da licitação ou do contrato e, conforme o caso, impedimento de licitar e contratar ou declaração de inidoneidade.
O Pró-Ética é o programa de reconhecimento da CGU: voluntário, gratuito e baseado em documentos. No ciclo 2025-2026, o formulário de compliance tem 223 itens em 10 áreas, e a aprovação exige ao menos 70 pontos no total e 45% em cada área. Não é uma certificação. Para quem acabou de implementar o programa, ele funciona como uma validação externa do primeiro ciclo.
Os cinco erros que estouram o cronograma
O primeiro é escrever política antes de avaliar risco. O resultado é um conjunto de documentos genéricos, que não conversa com a operação e que ninguém aplica.
O segundo é começar pelo canal de denúncias porque parece rápido. Canal sem procedimento de investigação e sem política de não retaliação cria passivo, porque a empresa passa a ter conhecimento formal de fatos que não sabe tratar.
O terceiro é tratar due diligence como consulta de certidão. Certidão negativa não responde se aquele intermediário fala com fiscal em nome da empresa.
O quarto é confundir treinamento com comunicado. Sem lista e sem avaliação, a empresa não tem evidência, e sem evidência o parâmetro não é considerado. É a mesma armadilha do programa de integridade de papel.
O quinto é esperar o incidente. O parágrafo único do art. 23 do Decreto 11.129/2022 condiciona o percentual máximo de redução à existência de um programa anterior à prática do ato lesivo. O programa criado depois da denúncia pode ajudar na negociação, mas não garante o desconto cheio.
Como medir se o programa funciona
Um programa só é avaliável se deixa números. A figura 7 reúne quatro indicadores que sustentam a revisão trimestral. As metas são ilustrativas e devem ser calibradas por porte e exposição da empresa.
Figura 7. Painel mínimo de quatro indicadores para a revisão do programa de integridade.
Acrescente a esses indicadores o volume de denúncias recebidas e o tempo médio de apuração. Quando os números são acompanhados trimestre a trimestre, a empresa consegue mostrar a um avaliador, a um cliente ou a um conselho que o programa está em funcionamento, e não apenas em vigor.
Conclusão: comece pela ata, não pelo PDF
Ao final do ciclo, o resultado não é uma pasta com quinze arquivos. É a capacidade de responder, com documento na mão, a uma pergunta: como esta empresa identifica, previne, detecta e corrige riscos de integridade, e desde quando? Essa resposta pesa em quatro lugares: no cálculo de uma eventual multa, em que o programa é atenuante de até 5%; em uma eventual negociação de leniência, que depende de a empresa conseguir apurar os fatos; nas contratações públicas, em que o programa pode ser exigido, valer como desempate ou pesar na reabilitação; e na relação com clientes que pedem comprovação de integridade de seus fornecedores.
Compliance do zero não é um projeto de documentação. É um projeto de evidência. Comece pela ata, não pelo PDF.
Quer sair do zero com método? A DataGuide faz o diagnóstico do seu programa de integridade contra os 15 parâmetros do art. 57 do Decreto 11.129/2022 e monta o plano de implementação com prazos, responsáveis e entregáveis. Peça um diagnóstico do programa de integridade.
Fontes
Decreto 11.129/2022: Texto oficial no Planalto
Decreto 12.304/2024: Texto oficial no Planalto
Lei 12.846/2013: Lei Anticorrupção, texto oficial no Planalto
Lei 14.133/2021: Nova Lei de Licitações, texto oficial no Planalto
Arts. 23 e 57 do Decreto 11.129/2022: Justen: Decreto 11.129/2022, nova regulamentação da Lei Anticorrupção
Arts. 23 e 57 do Decreto 11.129/2022: Grupo GEN: programas de integridade no novo regulamento da Lei Anticorrupção
Cinco pilares: CGU: Programa de Integridade, Diretrizes para Empresas Privadas (2015), na página de guias da CGU
Dosimetria de sanções: CGU: Relatório de Dosimetria de Sanções em PAR, 2ª edição (2025)
Dosimetria de sanções: Mattos Filho: CGU divulga novo relatório sobre dosimetria de sanções
Lei 14.133 e programa de integridade: Machado Meyer: licitações e a exigência de programa de integridade
Valor de grande vulto em 2026: Effecti: Decreto 12.807/2025 e os novos valores da Lei 14.133
Grande vulto e leis estaduais: Confidata: programa de integridade em licitações, quando a Lei 14.133 obriga
Decreto 12.304/2024: Mattos Filho: novo decreto define parâmetros e avaliação de programas de integridade
Portaria SE/CGU 226/2025: Migalhas: a Portaria CGU 226/25 e a integridade nas contratações públicas
Decreto 10.889/2021: Demarest: decreto federal sobre agenda de compromissos e brindes e hospitalidades
Empresa Pró-Ética 2025-2026: Mattos Filho: CGU anuncia novidades do ciclo
Empresa Pró-Ética 2025-2026: Okai: a evolução da avaliação de programas de compliance no Brasil
