Empresas que crescem depressa demais, sem que a estrutura de gestão acompanhe o ritmo do negócio, costumam desabar não apesar do crescimento, mas por causa dele. Foi assim com boa parte das companhias que expandiram operações em múltiplos países na década de 1990 sem jamais formalizar processos de controle interno, e foi assim, de forma mais recente, com startups que multiplicaram receita e headcount sem que a governança evoluísse na mesma proporção. O crescimento, nesses casos, não é a cura de nada. É um acelerador do problema que já existia.
A mesma lógica vale, quase palavra por palavra, para programas de compliance. E é sobre isso que quero escrever aqui, porque tenho visto o argumento inverso ganhar espaço em rodas de discussão do nosso mercado: a ideia de que produzir mais é sempre sinal de maturidade. Mais dossiês de due diligence, mais políticas, mais treinamentos, mais canais, mais investigações abertas. Como se volume fosse, por si só, evidência de robustez. Não é. Um sistema de gestão de compliance que cresce em volume sem crescer em estrutura não está amadurecendo. Está se aproximando do ponto de ruptura.
O que Greiner já sabia em 1972
Larry Greiner, num dos artigos mais citados na história da Harvard Business Review, descreveu as organizações como sistemas que evoluem por fases de crescimento seguidas de crises previsíveis. Toda fase de expansão sustentada por um determinado modelo de gestão eventualmente esgota esse modelo e provoca uma crise de natureza diferente da anterior. A empresa que cresce por criatividade individual entra em crise de liderança. A que cresce por direção centralizada entra em crise de autonomia. A que cresce por delegação entra em crise de controle. O ponto central de Greiner não é que o crescimento seja perigoso. É que cada fase de crescimento exige uma estrutura própria, e usar a estrutura da fase anterior na fase seguinte é o que gera a ruptura.
Um programa de compliance segue exatamente essa curva. Na fase inicial, ele cresce por energia e improviso: um profissional dedicado, algumas políticas, um canal de denúncias recém-implantado, entusiasmo da liderança. Funciona, porque o volume é baixo e o relacionamento pessoal supre a ausência de processo. Mas assim que a empresa decide escalar due diligence de terceiros, ampliar treinamentos para múltiplas geografias, ou responder a uma exigência de certificação como ISO 37001 e ISO 37301, essa mesma energia individual deixa de ser suficiente. O que sustentava a fase anterior se torna, na fase seguinte, o próprio gargalo. Sem uma estrutura de triagem de risco, cadência de revisão, critérios de priorização e capacidade de investigação proporcional ao volume de casos, o sistema não amadurece com o crescimento. Ele se sobrecarrega até ceder.
Selznick e a diferença entre organização e instituição
Philip Selznick, um dos fundadores da teoria institucional em ciências organizacionais, fez uma distinção que considero essencial para quem lidera GRC: a diferença entre uma organização, que é um instrumento técnico desenhado para cumprir uma tarefa, e uma instituição, que incorpora valores e adquire identidade própria ao longo do tempo. Um programa de compliance que apenas produz artefatos, documento atrás de documento, dossiê atrás de dossiê, permanece no nível técnico. Ele processa, mas não institucionaliza. E um sistema que não se institucionaliza é frágil por definição, porque depende inteiramente da pessoa ou do volume de esforço que o mantém funcionando, e não de uma estrutura que sobreviva à ausência de qualquer indivíduo específico.
Crescer sem institucionalizar é multiplicar produtos sem multiplicar significado. É gerar cem due diligences quando a capacidade real de análise crítica e follow up de red flags só suporta vinte. O número sobe, o relatório de gestão parece impecável, e o risco real da organização aumenta, porque agora existem cem dossiês supostamente avaliados, mas a maior parte deles não recebeu o exame que o próprio processo promete entregar. Isso não é maturidade de programa.
O limite da racionalidade e a função real da estrutura
Herbert Simon, ganhador do Nobel por seu trabalho sobre tomada de decisão nas organizações, argumentou que a racionalidade humana é sempre limitada pela quantidade de informação que conseguimos processar conscientemente. As estruturas organizacionais, disse ele, existem justamente para compensar essa limitação: elas simplificam o ambiente de decisão, definem o que precisa e o que não precisa de atenção deliberada, e permitem que decisões complexas sejam tomadas sem que cada pessoa precise reconstruir o raciocínio inteiro a cada vez.
Aplicado a compliance, isso significa que estrutura não é burocracia decorativa. É o mecanismo que permite que o volume cresça sem que a qualidade da decisão desabe. Uma matriz de risco bem calibrada, critérios objetivos de escalonamento, protocolos definidos de investigação, tudo isso existe para que a pessoa que recebe o caso número trezentos do mês não precise reinventar o critério que foi usado no caso número um. Quando essa estrutura não existe, ou existe apenas no papel, cada novo volume adicionado ao sistema não é absorvido, é apenas empilhado. E pilha, em algum momento, desaba.
A engenharia como metáfora, não como floreio
Uso, propositalmente, uma analogia da engenharia estrutural, porque ela é mais precisa do que parece à primeira vista. Um edifício pode, sim, ganhar novos andares. Mas só pode ganhar novos andares se a fundação e a estrutura de sustentação tiverem sido projetadas, desde o início, para suportar aquela carga adicional. Quando isso não acontece, o edifício não desaba no primeiro andar extra. Ele resiste por um tempo, às vezes por anos, acumulando tensão em pontos que ninguém está monitorando, até que a carga acumulada supera o limite de tolerância de algum elemento estrutural específico, geralmente o mais frágil, e o colapso, quando vem, parece súbito, embora tenha sido construído lentamente, decisão após decisão.
Programas de compliance colapsam da mesma forma. Não existe um dia em que o sistema quebra por causa do último dossiê produzido. Existe um acúmulo de decisões de volume sem decisões correspondentes de estrutura, até que um caso específico, geralmente o mais comum e o mais evitável, expõe a fragilidade que já existia havia meses.
Antifragilidade não é produzir mais rápido
Nassim Taleb propôs o conceito de antifragilidade para descrever sistemas que não apenas resistem ao estresse, mas se fortalecem com ele, desde que o estresse seja absorvido de forma correta e em doses que o sistema consiga processar. O ponto que costuma passar despercebido na leitura apressada de Taleb é que a antifragilidade depende de exposição controlada, não de exposição ilimitada. Um sistema exposto a mais volume do que consegue processar não se torna antifrágil. Torna-se, na linguagem dele, simplesmente frágil, e frágil de um jeito mais perigoso, porque a fragilidade fica mascarada por indicadores de produtividade que sobem enquanto a resiliência real cai.
Um programa de compliance verdadeiramente antifrágil não é o que produz o maior número de dossiês, treinamentos ou investigações no menor tempo possível. É o que consegue calibrar o ritmo de expansão à capacidade real de absorção da estrutura, aprendendo com cada ciclo de auditoria, cada caso investigado, cada revisão normativa, e usando esse aprendizado para reforçar a fundação antes de adicionar o próximo andar.
O que isso exige de quem lidera a função
A conclusão prática disso não é desacelerar por desacelerar. É inverter a pergunta que costuma orientar o planejamento de compliance. A pergunta não deveria ser quanto conseguimos produzir neste trimestre, mas qual é a capacidade real de absorção da nossa estrutura, e só depois disso decidir quanto volume essa estrutura suporta sem se romper. Isso significa, na prática, dosar a ambição de expansão de due diligence à capacidade real de análise crítica dos casos identificados como de maior risco. Significa que um canal de denúncias que recebe mais casos do que a equipe de investigação consegue tratar em tempo hábil não é sinal de que o canal está funcionando bem, é sinal de que a estrutura de investigação está prestes a ceder. Significa que uma certificação como ISO 37301 não deveria ser tratada como destino final, mas como o próprio desenho da fundação, porque um sistema de gestão, no sentido literal da norma, existe precisamente para que o crescimento seguinte não repita o erro de crescer sem alicerce.
Empresas quebram por crescer rápido demais sem estrutura. Programas de compliance quebram pelo mesmo motivo, porque o colapso raramente aparece como manchete. Aparece como um caso que passou despercebido, uma due diligence superficial que validou um terceiro problemático, um treinamento que cumpriu a métrica de horas sem mudar nenhum comportamento. A estrutura, no fim, não é o obstáculo ao crescimento do programa de compliance. É a única coisa que torna esse crescimento sustentável.
Documento consultado na Okai.
