No Brasil, os reguladores sussurram uma verdade antiga com roupa nova. Já não basta o gesto bonito. A pergunta que fica suspensa no ar é quase existencial: você consegue provar aquilo que diz ser?
Há mudanças que chegam com estrondo. E há aquelas que chegam pé ante pé, quase de fininho, e quando percebemos, já reorganizaram o mundo inteiro à nossa volta. É desse segundo tipo a transformação que atravessa o compliance e a governança no Brasil dos últimos anos.
Repare bem. O olhar de quem fiscaliza deixou de se contentar com a existência das coisas. A política pendurada na parede, o comitê no organograma, o código de conduta encadernado com esmero. Agora se quer algo mais difícil, e mais honesto: a prova de que aquilo tudo, de fato, funciona. Que respira. Que serve para alguma coisa além de enfeitar a estante.
E essa exigência, veja só, aparece em toda parte ao mesmo tempo, como se combinada. Proteção de dados, segurança cibernética, reforma tributária, integridade, os riscos que habitam a alma de quem trabalha, a prevenção à fraude, a inteligência artificial que já não pede licença para entrar. Tudo converge para uma mesma lição, quase um mandamento dos novos tempos: o controle precisa ser demonstrável, testável, amarrado ao risco que existe de verdade, não ao risco de papel.
Tome o exemplo da ANPD. Em julho de 2026, a agência abriu processo contra uma organização de saúde por falhas ligadas a um incidente que teria exposto os dados de cerca de meio milhão de pacientes. Meio milhão de vidas, pense nisso. O caso toca no coração de qualquer programa de privacidade: as medidas de segurança, o aviso aos titulares, a figura do encarregado, a prestação de contas. E aqui mora o essencial: a questão não é apenas se houve o ataque. A questão, mais funda, é se a organização consegue mostrar que tinha cuidado antes, durante e depois. Como quem pergunta não o que aconteceu na tempestade, mas se a casa estava preparada para ela.
A mesma agência encerrou um monitoramento sobre os encarregados de dados e avisou: vai avaliar sanções contra 21 empresas e órgãos que fizeram ouvidos moucos aos pedidos de adequação. Outras 27 se ajeitaram no caminho. A mensagem é seca, sem floreio: o encarregado, o canal, a governança dos dados; nada disso é mais enfeite de organograma. Virou ponto que se fiscaliza.
No mundo do dinheiro, o Banco Central caminha na mesma direção. Depois dos ataques a instituições financeiras e de pagamento, o regulador avançou sobre segurança, Pix, APIs, os terceiros críticos, os provedores de tecnologia. Aquilo que um dia coube inteiro na frase preguiçosa "a TI resolve" mudou-se para o centro da mesa, para o coração da gestão de risco. E o próprio BC apontou os buracos: falta avaliar riscos com regularidade, falta vigiar as anomalias, faltam os testes. As frestas por onde o perigo entra.
Há mudança também no terreno da integridade. O Pró-Ética 2025-2026 reforça o que já se anunciava: importa a evidência sobre a estrutura, a organicidade, a aplicação real do programa. Ou seja, não basta ter a política, o canal, o treinamento de fim de ano. É preciso mostrar como essas coisas vivem: como são usadas, vigiadas, melhoradas. A diferença entre ter um coração desenhado e ter um coração que bate.
A reforma tributária conta a mesma história por outro ângulo. Em julho de 2026, a Receita e o Comitê Gestor do IBS divulgaram o cronograma dos documentos fiscais com destaque de CBS e IBS, mais um programa para estimular a conformidade na travessia. E travessia é a palavra certa, porque não se trata de acompanhar leis de longe. Trata-se de mexer no ERP, nos cadastros, no faturamento, nos contratos, no preço, nos controles, nas conciliações. O compliance descendo do discurso para a lida do dia.
Até o chão de fábrica das relações de trabalho entrou nessa lógica. A nova NR-1, em vigor desde 26 de maio de 2026, pede que se tratem os riscos psicossociais como parte da gestão dos riscos do trabalho. A sobrecarga, o assédio, o modo como o trabalho se organiza deixaram de ser conversa de clima ou de café. Agora pedem inventário, avaliação, plano, acompanhamento. O sofrimento ganhando, enfim, um lugar na planilha.
E o que une todos esses fios? Uma coisa só e simples: o compliance está ficando menos declaratório e mais probatório. Menos promessa, mais prova.
Para os conselhos, os comitês, as lideranças, isso muda a natureza da pergunta que se faz. Não mais o singelo "nós temos política?", mas outras, mais incômodas e mais verdadeiras: conseguimos provar que o controle foi executado? Ele cobre o risco real ou apenas cumpre a formalidade? Tem dono, tem prazo, tem evidência, tem teste? O assunto conversa entre o jurídico, a tecnologia, o RH, o fiscal, as operações, a auditoria ou cada um mora na sua ilha? E a alta administração, recebe o que precisa para decidir de olhos abertos?
Essa virada premia quem trata a governança como um sistema vivo, e não como uma coleção de documentos empoeirados. E, no mesmo gesto, desnuda quem ainda opera aos pedaços, controles espalhados, planilhas órfãs, políticas vencidas, rastro nenhum.
O compliance de 2026 será medido menos pelo brilho da retórica e mais pela qualidade do que deixa para trás. E isso, quem sabe, seja uma boa notícia. Porque os programas maduros deixam rastros, como quem caminha na areia molhada: decisões registradas, riscos priorizados, incidentes que viraram aprendizado, terceiros avaliados, treinamentos com endereço certo, exceções justificadas, planos que alguém de fato acompanhou.
No fim de tudo, os reguladores parecem estar fazendo a mesma pergunta que todo conselho, todo executivo, deveria fazer diante do espelho, antes que outro a faça: Se amanhã nos perguntarem, saberemos provar que conhecemos nossos riscos e que controlamos aquilo que dizemos controlar?
E talvez, no fundo, seja essa a pergunta que a vida sempre nos faz, de mil maneiras diferentes.
Conteúdo indexado pela Okai.
