O que as empresas deveriam colocar na mesa quando começarem a desenhar seu GRC para 2027
Todo fim de ano tem um ritual.
Fechamos números. Revisamos metas. Apresentamos resultados. Construímos o orçamento. Preenchemos a agenda do ano seguinte.
E, por alguns instantes, existe a confortável sensação de que alguma coisa terminou.
Mas riscos não conhecem calendário.
Uma fraude não espera janeiro. Uma falha de controle não respeita o fechamento do exercício. Uma denúncia não consulta o planejamento estratégico antes de chegar. Uma nova tecnologia não pede licença para alterar o perfil de risco da organização.
Talvez seja justamente por isso que o planejamento de GRC para 2027 não devesse começar com a pergunta:
“O que faremos no próximo ano?”
Talvez devesse começar com outra:
“O que mudou no nosso negócio enquanto estávamos ocupados executando o plano deste ano?”
Porque Governance, Risk and Compliance não é uma coleção de treinamentos, políticas, matrizes e reuniões de comitê.
É uma forma de enxergar a empresa.
E, principalmente, de enxergá-la antes que alguma coisa dê errado.
Comece pelo risco. Não pelo calendário.
É tentador repetir.
Treinamento em março. Semana de Compliance em maio. Revisão do Código de Ética em julho. Risk assessment no segundo semestre.
Ano novo. Calendário velho.
O problema é que um programa de integridade não deveria ser construído de acordo com o que cabe na agenda. Deveria ser construído de acordo com o risco.
A própria regulamentação brasileira estabelece que programas de integridade devem ser estruturados, aplicados e atualizados considerando as características e os riscos atuais das atividades da empresa, com reavaliação periódica e aprimoramento contínuo.
Por isso, antes de preencher o calendário de 2027, seria interessante esvaziá-lo.
E perguntar:
Onde crescemos?
Que mercados novos acessamos?
Que intermediários passaram a representar a companhia?
Que processos foram automatizados?
Que decisões passaram a ser tomadas por algoritmos?
Onde aumentamos nossa interação com o poder público?
Onde existem grandes volumes financeiros com poucos controles?
Que controles falharam em 2026?
Quais denúncias se repetiram?
Quais auditorias encontraram o mesmo problema mais de uma vez?
É daí que deveria nascer o plano.
Porque risco não é aquilo que está escrito na matriz.
Risco é aquilo que pode acontecer enquanto todos acreditam que a matriz está atualizada.
Inteligência Artificial deixou de ser assunto apenas da Tecnologia.
Há alguns anos, muitas empresas discutiam se deveriam usar Inteligência Artificial.
Essa discussão acabou.
Agora a pergunta é outra:
Como estamos usando?
E talvez exista uma pergunta ainda mais importante:
Quem está governando esse uso?
Empregados já utilizam ferramentas de IA para escrever documentos, analisar contratos, resumir informações, produzir códigos, avaliar candidatos, estruturar decisões e manipular grandes volumes de dados.
A tecnologia chegou muitas vezes antes da governança.
E isso muda o jogo para GRC.
O Departamento de Justiça dos Estados Unidos passou a incluir explicitamente, em sua orientação para avaliação de programas de Compliance, perguntas sobre como as empresas identificam e administram riscos associados à Inteligência Artificial e outras tecnologias emergentes e se esses riscos estão integrados à gestão corporativa de riscos.
O NIST também mantém um framework específico para gestão de riscos de IA, atualmente em revisão, abordando aspectos como segurança, confiabilidade, transparência, explicabilidade, privacidade e responsabilização.
No Brasil, a própria ANPD colocou Inteligência Artificial e tecnologias emergentes entre os temas prioritários de fiscalização para 2026–2027, além de manter discussões regulatórias sobre IA, LGPD, decisões automatizadas e governança.
Portanto, talvez 2027 seja o ano em que muitas áreas de Compliance precisarão acrescentar uma nova pergunta ao tradicional:
“Isso está de acordo com a política?”
A nova pergunta será:
“Quem ensinou a máquina a fazer isso?”
Terceiros continuam sendo terceiros. Mas o risco nunca foi de terceiros.
Distribuidores.
Representantes.
Consultores.
Despachantes.
Fornecedores.
Parceiros comerciais.
Intermediários.
Podemos dar muitos nomes.
Mas há uma verdade desconfortável: quando um terceiro age em nome da empresa, parte do risco deixa rapidamente de ser dele.
E passa a ser nosso.
Por isso, Due Diligence não pode ser apenas uma fotografia tirada no momento do cadastro.
O planejamento de 2027 deveria discutir também monitoramento, segmentação por risco, beneficiários finais, conflitos de interesse, pagamentos, comissões, interação com agentes públicos, alterações societárias e evidências de execução dos serviços contratados.
Não basta saber quem contratamos.
Precisamos compreender por que contratamos, como pagamos e o que recebemos em troca.
Talvez seja hora de falar mais sobre fraude.
Durante muito tempo, muitos programas corporativos concentraram boa parte de sua energia no suborno.
E corretamente.
Mas fraude é um universo maior.
Manipulação de informações. Pagamentos indevidos. Conluio. Conflitos de interesse. Desvio de ativos. Documentos falsos. Fornecedores relacionados. Reembolsos fictícios. Comissões sem fundamento econômico.
Em 2025, a ISO publicou a ISO 37003, dedicada à gestão do risco de fraude e estruturada em torno de prevenção, detecção, resposta e melhoria contínua.
Talvez isso ajude a provocar uma discussão necessária para 2027:
Compliance, Riscos, Auditoria e Controles Internos estão olhando para os mesmos sinais ou cada área continua protegendo apenas o seu pedaço do mapa?
Porque fraude costuma prosperar exatamente nos espaços entre departamentos.
Controle que não produz evidência é quase memória.
“Esse processo é controlado.”
Talvez seja uma das frases mais perigosas dentro de uma organização.
Controlado como?
Por quem?
Com qual frequência?
Onde está registrado?
Qual é a evidência?
Quantas exceções ocorreram?
Quem analisou essas exceções?
O controle funcionou?
Existe uma diferença enorme entre afirmar que existe um controle e conseguir demonstrar que ele funcionou.
Para 2027, talvez as organizações precisem abandonar alguns indicadores de esforço e perseguir indicadores de efetividade.
Não apenas quantas pessoas fizeram treinamento.
Mas se compreenderam.
Não apenas quantos terceiros passaram por Due Diligence.
Mas se os terceiros de maior risco receberam diligência proporcional.
Não apenas quantas denúncias foram encerradas.
Mas quais causas se repetem.
Não apenas quantas auditorias aconteceram.
Mas quantos problemas deixaram de acontecer novamente.
Compliance não deveria provar que trabalhou muito.
Deveria conseguir demonstrar que o risco mudou.
E existe a cultura.
A palavra que aparece em quase todas as apresentações.
E desaparece em muitas decisões.
A revisão da ISO 37001 publicada em 2025 reforçou, entre outros pontos, aspectos relacionados à cultura de Compliance, conflitos de interesse e à função antissuborno. A ISO 37301, por sua vez, permaneceu vigente após revisão sistemática concluída em 2026.
Mas nenhuma norma consegue fabricar cultura.
Cultura aparece quando um diretor aceita perder uma venda porque algo parece errado.
Quando um gestor prefere investigar a explicação conveniente.
Quando um vendedor entende que resultado não justifica qualquer caminho.
Quando alguém denuncia e não é punido informalmente por ter denunciado.
Quando Compliance pode discordar da liderança sem precisar calcular previamente o impacto daquela discordância na própria carreira.
Esse talvez seja o teste mais simples.
E mais difícil.
A cultura de integridade não aparece quando alguém pergunta:
“Temos um programa de Compliance?”
Ela aparece quando ninguém está olhando.
Antes de planejar 2027, talvez devêssemos fazer uma última reunião sobre 2026.
Sem apresentações sofisticadas.
Sem cinquenta páginas de indicadores.
Sem celebrar primeiro.
Colocar na mesa os incidentes, as denúncias, as exceções, os findings, as perdas, as investigações, os terceiros problemáticos, os controles que falharam e as decisões difíceis tomadas durante o ano.
E perguntar:
O que tudo isso está tentando nos ensinar?
Porque todo ano deixa pistas.
Algumas empresas as transformam em aprendizado.
Outras transformam em arquivo.
Depois chega janeiro.
Novos objetivos. Novo orçamento. Novas metas. Novo planejamento.
E os velhos riscos continuam lá.
Talvez com nomes diferentes.
Talvez com tecnologias novas.
Talvez esperando apenas uma nova oportunidade.
O calendário vira.
A responsabilidade, não.
Indexação documental: Okai.
