Normas e Frameworks de Compliance

Uma matriz de responsabilidades só ajuda a governança quando mostra quem tem autoridade para decidir, quem precisa executar, quem deve ser consultado e quem verifica o resultado. Se ela apenas repete cargos do organograma, não resolve as dúvidas que aparecem quando uma decisão atravessa áreas ou quando um risco exige resposta rápida.
A diferença está no objeto da matriz. O organograma mostra como a empresa se organiza. A matriz mostra como uma atividade, decisão ou controle deve funcionar. Uma pessoa pode ser responsável por um processo, consultada em outro e apenas informada em um terceiro. A governança precisa enxergar essas diferenças.
Este conteúdo é introdutório e não substitui orientação jurídica, avaliação profissional ou laudo assinado por pessoa habilitada. A matriz deve ser ajustada à estrutura, ao porte e às obrigações aplicáveis a cada organização.
Comece pelo fluxo, não pelos nomes
O primeiro impulso costuma ser abrir uma planilha e listar departamentos. O caminho mais seguro é escolher um processo concreto e descrevê-lo do início ao fim.
Pode ser a contratação de um terceiro crítico, o tratamento de uma manifestação, a revisão de um controle de segurança ou a aprovação de uma mudança operacional. Liste as etapas e as decisões que realmente acontecem. Só depois associe papéis.
A ISO 37000 destaca que a organização precisa esclarecer propósito, estratégia, supervisão, accountability e liderança. Esses elementos não aparecem quando a matriz é construída apenas como uma lista de cargos. Eles aparecem quando a empresa consegue mostrar como uma decisão percorre o processo e onde alguém precisa responder pelo resultado.
O que cada papel deve significar
Uma matriz pode usar siglas conhecidas, como RACI, mas a sigla não substitui a definição. Antes de escolher as letras, escreva o comportamento esperado de cada papel.
Responsável pela execução realiza a tarefa ou coordena quem a realiza. Deve ter prazo, recursos e condição de registrar o resultado.
Dono da decisão tem autoridade para aprovar, rejeitar, priorizar ou aceitar uma exceção. Não é necessariamente o chefe da área que executa.
Consultado fornece conhecimento necessário antes da decisão. Ser consultado não significa aprovar tudo nem assumir a responsabilidade pelo resultado final.
Verificador confere se o controle ocorreu e se o efeito esperado apareceu. Quando possível, deve manter distância suficiente da execução para fazer uma avaliação crítica.
Informado precisa receber a decisão ou o resultado para cumprir uma responsabilidade posterior. Informar não é pedir autorização.
Se a empresa usar outras categorias, o importante é que cada uma tenha um significado único. A mesma letra não pode significar “faz”, “coordena” e “responde” ao mesmo tempo.
Uma matriz que responde às perguntas difíceis
Para cada etapa, a matriz deve permitir responder:
- Quem pode tomar a decisão?
- Quem realiza a ação?
- Que informação precisa estar disponível antes?
- Qual exceção exige escalonamento?
- Quem verifica a execução?
- Qual evidência deve ser preservada?
- Quando o papel é reavaliado?
A última pergunta é frequentemente esquecida. Responsabilidades mudam quando a empresa abre uma unidade, troca um sistema, altera um fornecedor, cria um turno ou passa a tratar um risco diferente. Uma matriz sem data de revisão envelhece sem avisar.
| Etapa | Decisor | Executor | Verificador | Evidência |
|---|---|---|---|---|
| Classificar o risco | Dono do processo | Analista ou responsável local | Compliance ou liderança designada | Critério, classificação e justificativa |
| Aprovar o controle | Autoridade definida | Dono do processo | Função de governança | Decisão, limite e data de revisão |
| Executar a rotina | Dono da operação | Equipe designada | Supervisor ou segunda linha | Registro da execução e exceções |
| Avaliar o resultado | Autoridade do processo | Responsável pela coleta | Verificador independente quando necessário | Resultado, conclusão e próximo passo |
O quadro é um exemplo de desenho, não uma regra universal. Em empresas pequenas, uma mesma pessoa pode ocupar mais de um papel. Nesse caso, a matriz deve registrar a acumulação e indicar quando uma revisão independente será necessária.
Evite quatro erros comuns
Um responsável para tudo. Quando uma única pessoa aparece em todas as linhas, a matriz pode estar escondendo falta de capacidade ou centralização excessiva. Pergunte se ela tem tempo, autoridade e conhecimento para cumprir cada obrigação.
Vários aprovadores sem decisão clara. Consultar muitas pessoas pode melhorar a análise, mas também pode paralisar o processo. Diferencie opinião, veto e aprovação. Se todos aprovam, ninguém sabe quem decidiu.
Cargos em vez de funções. “Diretor”, “gerente” ou “analista” não explicam o que aquela pessoa deve fazer naquela etapa. Prefira o papel funcional e indique o cargo apenas como referência interna.
Nenhuma evidência associada. Uma responsabilidade sem registro é difícil de verificar. A matriz precisa dizer o que prova que a etapa foi realizada e quem guardará o registro.
Como lidar com exceções e conflitos
Uma matriz boa não tenta prever todos os casos, mas define o que acontece quando o fluxo normal não serve. Inclua pelo menos três tipos de exceção: conflito de interesses, ausência do responsável e risco acima do limite aprovado.
No conflito de interesses, a pessoa envolvida deve declarar a situação e ser substituída por um papel alternativo. Na ausência, o substituto precisa estar definido antes do problema, não escolhido informalmente no momento da urgência. Quando o risco supera o limite, a decisão deve subir para uma autoridade com poder compatível.
Registre também quem pode alterar a própria matriz. Mudanças de responsabilidade são decisões de governança. Elas precisam de motivo, data de vigência e comunicação para as equipes afetadas.
A matriz não substitui a conversa com a operação
Uma responsabilidade escrita no escritório pode ser impossível no turno, na loja ou no campo. Por isso, valide a matriz com quem executa a rotina. Pergunte se a pessoa tem acesso à informação, tempo, recurso e autoridade para fazer o que está sendo atribuído.
Esse teste também revela responsabilidades ocultas. Às vezes o procedimento atribui uma atividade ao gestor, mas quem realmente reúne as evidências é outra pessoa. Às vezes o verificador depende do mesmo registro que deveria questionar. Tornar essa dependência visível ajuda a ajustar o controle.
O artigo Do requisito à rotina: como criar controles que a loja consegue executar mostra como fazer essa tradução até chegar a uma rotina observável. Já Definir responsáveis no plano de ação sem cobrança infinita aborda o problema quando uma ação tem nome, mas não tem dono real.
Como manter a matriz viva
Defina uma revisão periódica e uma revisão por evento. A revisão periódica confirma se os papéis ainda fazem sentido. A revisão por evento acontece quando há mudança de processo, ocorrência relevante, auditoria, alteração de obrigação ou troca de pessoa-chave.
A cada revisão, compare a matriz com três evidências: decisões registradas, execução observada e verificações realizadas. Se a matriz diz que uma função verifica, mas nenhum registro mostra essa verificação, existe uma divergência a tratar.
A atualização não precisa gerar uma planilha maior. Uma matriz curta, ligada aos processos críticos, é mais útil do que um inventário completo que ninguém consulta.
Próximo passo para esta semana
Escolha um processo crítico e limite o exercício a cinco etapas. Para cada uma, nomeie o decisor, o executor, o verificador, a exceção principal e a evidência mínima. Valide o resultado com uma pessoa que executa a rotina e registre o que precisou ser alterado.
Quando a matriz consegue orientar uma decisão real sem exigir explicação adicional, ela deixou de ser organograma e passou a funcionar como instrumento de governança.
Leia também
Normas e Frameworks de CompliancePolítica aprovada não é governança: como chegar à operação
Uma política só produz governança quando vira orientação executável, responsabilidade definida, evidência verificável e revisão diante de mudanças.
Normas e Frameworks de ComplianceGovernança na prática: quem decide, quem executa e quem verifica
Governança começa quando a organização deixa claro quem decide, quem executa, quem verifica e qual evidência sustenta cada escolha importante.
