Programa de integridade: o que é, quais são os pilares e como construir um programa que funciona, não só existe

Programa de integridade é o conjunto estruturado de políticas, processos e controles que uma empresa implementa para prevenir, detectar e remediar atos de corrupção, fraude e desvios de conduta.

Ele é o instrumento central da Lei Anticorrupção (Lei 12.846/2013) como fator de atenuação de penalidades, requisito da Nova Lei de Licitações para contratos de grande vulto e, crescentemente, uma exigência de clientes, investidores e parceiros comerciais como critério de qualificação.

A distinção que o ambiente regulatório brasileiro impõe desde a publicação da Portaria CGU 226/2025 é precisa: é preciso ter um programa que funcione.

A CGU passou a avaliar não a existência de documentos, mas a efetividade real dos controles e, para isso, criou um sistema digital de avaliação com 17 parâmetros objetivos que separam, de forma mensurável, o compliance que protege do compliance que apenas parece proteger.

Este guia explica o que um programa de integridade precisa ter, o que o Decreto 11.129/2022 e a Portaria 226/2025 exigem de cada elemento e como estruturar o programa do zero com evidências que sustentam a avaliação da CGU.

O que é um programa de integridade?

Um programa de integridade é o sistema organizacional que garante que os valores e as regras de conduta da empresa não fiquem apenas no código publicado na intranet. Ele opera em três dimensões complementares:

1. Prevenção: políticas, treinamentos e controles que reduzem a probabilidade de que um ato irregular aconteça;
2. Detecção: mecanismos que permitem identificar atos irregulares quando acontecem, antes que causem dano maior, incluindo o canal de denúncias, auditorias internas e monitoramento de indicadores de risco;
3. Remediação: processos de investigação interna, aplicação de medidas disciplinares, notificação de autoridades quando necessário e revisão dos controles que falharam.

Um programa que previne bem, mas não detecta, cria uma falsa sensação de segurança. Um programa que detecta, mas não remedia, inibe as denúncias futuras porque os colaboradores veem que nada acontece.

As três dimensões precisam funcionar juntas para que o programa seja efetivo no sentido que a lei e a CGU avaliam.

Programa de integridade vs. política de compliance: qual a diferença?

A política de compliance é um documento: define regras, proíbe comportamentos, estabelece consequências. O programa de integridade é um sistema operacional: garante que as regras definidas no documento sejam conhecidas, compreendidas, aplicadas e monitoradas na prática.

Uma empresa que tem código de conduta publicado, mas não treina seus colaboradores sobre ele, tem uma política.

Uma empresa que treina, avalia a absorção, monitora o cumprimento, investiga desvios e atualiza o código quando surgem novos riscos tem um programa.

A CGU, nos processos de avaliação e nos processos administrativos de responsabilização, avalia o programa, não a política.

Essa distinção é o que a Portaria 226/2025 formalizou como “obrigação de resultado”: o programa precisa demonstrar que produziu efeitos reais na cultura e nos comportamentos da organização e não que seus documentos foram aprovados e publicados.

Quando o programa de integridade é obrigatório?

O programa de integridade é obrigatório em dois contextos principais, além de ser fortemente incentivado em outros:

• Contratos públicos acima de R$ 200 milhões (Lei 14.133/2021, art. 25, §4º): a empresa vencedora de licitação nesse valor tem 6 meses após a assinatura do contrato para implementar o programa de integridade. A lei define os parâmetros mínimos e remete à regulamentação da CGU para os critérios de avaliação;
• Processos de responsabilização pela Lei 12.846/2013: o programa de integridade não é obrigatório para existir, mas é obrigatório para quem quer ter o benefício da atenuação da multa em um processo administrativo de responsabilização (PAR). Empresa punida sem programa efetivo paga a multa integral ou próximo disso;
• Exigências contratuais de clientes e parceiros: crescentemente, grandes empresas, especialmente as com ações em bolsa ou com contratos internacionais, exigem que seus fornecedores e parceiros demonstrem programas de integridade como condição contratual. Essa exigência se expandiu significativamente com a entrada em vigor da Nova Lei de Licitações e com as pressões de governança ESG;
• Setores regulados específicos: empresas do setor financeiro, de saúde, de energia e de defesa frequentemente têm exigências setoriais adicionais de compliance que incluem os elementos de um programa de integridade.

Base legal: Lei 12.846, Decreto 11.129/2022 e Portaria CGU 226/2025

O arcabouço legal do programa de integridade no Brasil se construiu em camadas progressivamente mais exigentes. Para entender o que o programa precisa ter hoje, é necessário conhecer cada uma dessas camadas.

A Lei 12.846/2013 criou o incentivo estrutural: a empresa que tem programa de integridade efetivo tem direito à atenuação da multa. A lei não detalha o que o programa precisa ter; remeteu isso à regulamentação.

O Decreto 11.129/2022 (que revogou o Decreto 8.420/2015) regulamentou a lei e estabeleceu os parâmetros de avaliação do programa de integridade. Foi o primeiro instrumento a definir, de forma estruturada, quais elementos o programa precisa ter e como a CGU vai avaliar sua efetividade em um PAR. O decreto trouxe parâmetros mais objetivos do que seu antecessor e enfatizou a necessidade de aplicação real dos controles.

A Lei 14.133/2021 (Nova Lei de Licitações) tornou o programa de integridade um requisito legal para contratos acima de R$ 200 milhões e um critério de desempate e de atenuação de sanções para contratos menores.

O que mudou com a Portaria 226/2025: o fim do compliance de fachada

A Portaria Normativa SE/CGU 226, publicada em setembro de 2025, representa a maior mudança na avaliação de programas de integridade desde o Decreto 11.129/2022.

Ela criou o SAMPI (Sistema de Avaliação e Monitoramento de Programas de Integridade), uma plataforma digital por meio da qual empresas prestam informações sobre seus programas e a CGU os avalia com base em 17 parâmetros objetivos.

O que mudou na prática:

• Da avaliação qualitativa à avaliação quantificável: antes da Portaria, a CGU avaliava o programa de forma mais subjetiva. Com o SAMPI e os 17 parâmetros, cada elemento do programa recebe uma pontuação que se traduz em um score de efetividade;
• Da existência à efetividade: o SAMPI não pergunta “você tem canal de denúncias?”, mas sim “quantas denúncias foram recebidas, investigadas e encerradas com medida disciplinar no último ano?” Não pergunta “você faz treinamentos?”, mas “qual o percentual de cobertura, qual a nota média nas avaliações e com qual frequência?”;
• Obrigação de resultado: a Portaria formalizou o conceito de que o programa é avaliado pelos resultados que produz, não pelos documentos que o descrevem. Um código de conduta que ninguém leu, um canal de denúncias que nunca recebeu uma denúncia e um treinamento com 30% de cobertura geram pontuação baixa independentemente de estarem formalizados;
• Alinhamento a padrões internacionais: os 17 parâmetros do SAMPI incorporam referências da ISO 37001 (antissuborno), dos princípios da OCDE e do UK Bribery Act, posicionando a avaliação brasileira no mesmo patamar das principais jurisdições globais.

O apelido que o mercado jurídico deu à Portaria resume seu impacto: “o fim do compliance de fachada”. Empresas que mantinham programas documentados mas não aplicados perderam a proteção que achavam ter.

Os pilares do programa de integridade segundo o Decreto 11.129/2022

O Decreto 11.129/2022 lista os parâmetros que a CGU considera na avaliação do programa de integridade. Para fins práticos de implementação, esses parâmetros se organizam em sete pilares operacionais, cada um com seus elementos constitutivos e suas evidências esperadas.

1. Comprometimento da alta direção

O comprometimento da alta direção é o primeiro parâmetro avaliado e o mais determinante para a efetividade de todo o programa. Um programa de integridade que não tem o apoio visível e ativo da liderança não funciona: os colaboradores percebem rapidamente quando o compliance é uma exigência para eles, mas não para quem decide.

O que o comprometimento da alta direção precisa incluir, de forma documentável, é:

• Participação dos membros do conselho e da diretoria nos treinamentos de código de conduta e anticorrupção, com registro individual de conclusão. Liderança que não foi treinada sinaliza que o programa não é prioridade;
• Comunicações formais da liderança sobre a importância da integridade: mensagens institucionais, declarações no código de conduta, vídeos de abertura dos treinamentos assinados por executivos;
• Alocação de recursos adequados para a função de compliance: orçamento, equipe dedicada, acesso a sistemas e a consultoria externa quando necessário;
• Garantia de independência funcional do compliance: o responsável pelo programa precisa ter acesso direto ao conselho ou ao comitê de auditoria, sem subordinação à diretoria operacional que seria auditada;
• Inclusão da integridade como critério de avaliação de desempenho da liderança: executivos que atingem metas violando regras de conduta não podem ser promovidos sem sinalizar que o programa é decorativo.

2. Análise periódica de riscos

O programa de integridade precisa ser construído sobre os riscos reais da empresa, não sobre uma lista genérica de riscos de corrupção. A análise de riscos (ou Compliance Risk Assessment, CRA) é o processo pelo qual a empresa identifica onde está mais exposta a práticas de corrupção, fraude e desvio de conduta, priorizando seus controles conforme essa exposição.

Uma análise de riscos bem conduzida mapeia:

• Quais processos e funções têm interface com agentes públicos e em que contextos (licitações, licenças, fiscalizações, contratos);
• Quais terceiros (fornecedores, distribuidores, agentes, consultores) atuam em nome da empresa em contextos de risco;
• Quais países ou jurisdições estão envolvidos nas operações, especialmente aqueles com índices elevados de percepção de corrupção;
• Onde a empresa já teve incidentes, denúncias ou achados de auditoria relacionados à integridade;
• Quais mudanças no modelo de negócio ou na regulação criaram novos riscos desde a última análise.

O resultado da análise de riscos deve ser uma matriz de risco documentada, que alimenta diretamente o plano de controles do programa: onde o risco é maior, os controles precisam ser mais robustos e o treinamento precisa ser mais específico. A análise precisa ser revisada ao menos anualmente ou sempre que houver mudança significativa no modelo de negócio, na estrutura da empresa ou na regulação aplicável.

3. Código de conduta e políticas específicas

O código de conduta é o documento fundacional do programa: define os valores da empresa, os comportamentos esperados e os comportamentos proibidos. Contudo, o código sozinho não é suficiente. Situações de risco específicas exigem políticas dedicadas com orientações mais detalhadas do que um código genérico consegue oferecer.

As políticas específicas mais comuns em programas de integridade robustos incluem:

• Política de presentes, hospitalidade e entretenimento: define os limites de valor, as situações em que presentes são aceitáveis, os procedimentos de registro e aprovação, e as regras específicas para interações com agentes públicos;
• Política de conflito de interesses: define o que constitui um conflito, como deve ser declarado, quem aprova exceções e como são gerenciados os casos em que o conflito não pode ser eliminado;
• Política de doações e patrocínios: define o processo de aprovação de doações a entidades sem fins lucrativos, patrocínios de eventos e contribuições políticas, com critérios que previnam o uso dessas práticas para obter vantagem indevida;
• Política de relacionamento com o setor público: orientações específicas para situações de contato com agentes públicos em contextos de licitação, aprovação regulatória, fiscalização e negociação de contratos;
• Política de due diligence de terceiros: define o processo de avaliação prévia e contínua de parceiros de negócio com exposição a risco de corrupção.

Para que as políticas sejam efetivas, precisam ser comunicadas formalmente, revisadas periodicamente e atualizadas quando a análise de riscos identificar novas exposições. A versão vigente de cada política precisa ser rastreável, com controle de versão e registro de quem recebeu e quando.

4. Canal de denúncias e investigações internas

O canal de denúncias é o mecanismo de detecção central do programa de integridade. Ele permite que colaboradores, terceiros e parceiros reportem suspeitas de violações com garantia de sigilo e proteção contra retaliação.

Um programa de integridade sem canal de denúncias operacional é cego: depende de que irregularidades apareçam em auditorias, o que geralmente acontece tarde demais.

Para que o canal seja efetivo, o Decreto 11.129/2022 e a Portaria 226/2025 avaliam não apenas sua existência, mas sua utilização e sua gestão:

• O canal pode ser acessado anonimamente e por múltiplos meios (telefone, plataforma digital, e-mail);
• As denúncias recebidas são investigadas de forma independente e imparcial, com prazo definido e documentação do processo;
• Os denunciantes de boa-fé são protegidos contra retaliação de forma efetiva, não apenas formal;
• Os resultados das investigações geram medidas disciplinares quando há violação confirmada, com registro auditável;
• O volume e o tipo de denúncias são monitorados como indicador de saúde do programa: um canal que nunca recebe denúncias em uma empresa com centenas de colaboradores sinaliza que algo está errado, na percepção dos colaboradores sobre sigilo e proteção, ou na comunicação sobre o canal.

A gestão das investigações internas precisa ser documentada com rigor: quem investigou, qual metodologia foi usada, quais evidências foram coletadas, qual foi a conclusão e quais medidas foram tomadas. Essa documentação é solicitada pela CGU em processos de responsabilização e demonstra que a empresa trata as denúncias com seriedade.

5. Due diligence de terceiros

A responsabilidade objetiva da Lei 12.846 se estende aos atos praticados por representantes da empresa, o que inclui terceiros que atuam em seu nome. Uma empresa que contrata um agente para facilitar contratos com o governo e não realiza due diligence sobre esse agente assume o risco de ser responsabilizada pelos atos corruptos que ele praticou em seu interesse.

A due diligence de terceiros precisa ser proporcional ao risco: um fornecedor de materiais de escritório tem um perfil de risco diferente de um agente comercial que intermedia contratos com o setor público. O processo precisa incluir, conforme o nível de risco:

• Verificação de cadastros públicos de sanções: CEIS, CNEP, OFAC (para operações internacionais), listas de PEPs (Pessoas Expostas Politicamente);
• Análise de histórico de envolvimento em processos judiciais, investigações ou escândalos de corrupção;
• Avaliação da estrutura societária e identificação dos beneficiários finais, especialmente em cadeias com empresas offshore ou estruturas complexas;
• Verificação da compatibilidade da remuneração com o mercado e com a natureza do serviço: comissões ou honorários despropositalmente elevados são red flags clássicos de corrupção intermediada;
• Monitoramento periódico para terceiros em relacionamentos contínuos: a due diligence inicial não é suficiente para relacionamentos de longa duração.

Os registros da due diligence, com as datas, os critérios utilizados e as conclusões de cada avaliação, são as evidências que demonstram que a empresa adotou diligência razoável na gestão dos seus terceiros.

6. Treinamento periódico

O treinamento é o pilar que torna todos os outros operacionais. Um código de conduta que ninguém leu, uma política de conflito de interesses que ninguém entendeu e um canal de denúncias que ninguém sabe usar são controles que existem no papel e não existem na prática. O treinamento é o que transforma documentos em comportamentos.

O Decreto 11.129/2022 estabelece periodicidade mínima anual para o treinamento de todos os colaboradores e administradores sobre o código de conduta e sobre os princípios do programa de integridade. Para os administradores, há ainda a obrigação específica de treinamento sobre política de gestão de riscos.

O que a Portaria 226/2025 e o SAMPI avaliam no pilar de treinamento vai além da existência do evento:

• Cobertura real: qual o percentual de colaboradores que efetivamente concluiu o treinamento no período? Coberturas abaixo de 90% indicam que o programa não está atingindo toda a organização;
• Segmentação por risco: o treinamento é diferente para funções com maior exposição a risco de corrupção, ou é o mesmo conteúdo genérico para todos?;
• Resultado de avaliações de aprendizagem: qual a nota média nas avaliações? Há reciclagem para quem não atingiu o mínimo?;
• Participação da liderança: administradores e gestores foram treinados, com registro individual de conclusão?;
• Rastreabilidade: os registros de conclusão são individualizados, com data, conteúdo e resultado, e estão armazenados em sistema auditável?

A diferença entre um treinamento que aconteceu e um treinamento que pode ser comprovado é a diferença entre um programa que protege e um que apenas parece proteger. O certificado de conclusão individual, o log de acesso à plataforma e o relatório de cobertura por função são as evidências que sustentam o SAMPI.

7. Monitoramento e melhoria contínua

Um programa de integridade é um sistema que precisa ser monitorado, testado e atualizado continuamente (e não é um projeto com data de conclusão). O monitoramento do programa serve a dois propósitos: verificar se os controles estão funcionando como esperado e identificar onde precisam ser fortalecidos antes que uma auditoria ou investigação o faça.

Os elementos de monitoramento que a CGU avalia incluem:

• Indicadores de saúde do programa: volume de denúncias recebidas e investigadas, taxa de conclusão de treinamentos, número de situações de conflito de interesses declaradas, percentual de terceiros com due diligence atualizada;
• Auditorias internas periódicas do programa, com avaliação independente de cada pilar e produção de relatório com achados e recomendações;
• Ciclo de retroalimentação: denúncias e investigações que revelam falhas nos controles precisam gerar atualização das políticas e dos treinamentos correspondentes;
• Revisão anual do programa com base nos resultados da análise de riscos atualizada: novos riscos identificados precisam gerar novos controles e novos conteúdos de treinamento;
• Reporte regular ao conselho ou ao comitê de auditoria sobre o status do programa, com dados quantitativos sobre cada indicador.

Programa de integridade nas licitações: o que a Lei 14.133/2021 exige

A Nova Lei de Licitações transformou o programa de integridade de incentivo (atenuante de multa) em obrigação legal para contratos de grande porte, e em vantagem competitiva para contratos menores. Para empresas com modelo de negócio orientado ao setor público, essa mudança é estrutural.

Contratos acima de R$ 200 milhões: quando vira obrigação legal

O artigo 25, §4º da Lei 14.133/2021 estabelece que em contratações de grande vulto, definidas como aquelas cujos valores estimados superem R$ 200 milhões, a empresa vencedora tem o prazo de 6 meses contados da celebração do contrato para implementar o programa de integridade.

A implementação dentro do prazo precisa atender aos parâmetros do Decreto 11.129/2022 e, com a entrada do SAMPI, será avaliada pela CGU com base nos 17 parâmetros da Portaria 226/2025. Uma empresa que chega ao fim dos 6 meses com um código de conduta publicado e um treinamento com 40% de cobertura não cumpre a obrigação legal.

As consequências do descumprimento incluem a possibilidade de rescisão contratual e aplicação das sanções previstas na lei de licitações, além da exposição a penalidades pela Lei 12.846 caso a ausência do programa seja considerada agravante em eventual investigação.

Como o programa vira critério de desempate e atenuante de sanção

Para contratos abaixo de R$ 200 milhões, o programa de integridade opera como diferencial competitivo em dois momentos do processo licitatório:

• Desempate: o artigo 60 da Lei 14.133/2021 lista o desenvolvimento de programa de integridade como um dos critérios de desempate entre propostas com o mesmo valor. Em licitações competitivas com propostas igualadas, ter o programa pode ser o fator determinante para a vitória;
• Atenuante de sanções: o artigo 156 da lei estabelece que o programa de integridade deve ser considerado quando da aplicação de penalidades administrativas. Uma empresa sancionada por descumprimento contratual que demonstra programa efetivo tem direito à consideração do programa na dosimetria da penalidade.

Como avaliar se o programa de integridade da empresa é efetivo

Antes de submeter o programa à avaliação da CGU, é possível e recomendável conduzir uma autoavaliação estruturada. O objetivo é identificar os gaps entre o que o programa tem e o que o SAMPI vai verificar, priorizando-os antes que a avaliação formal aconteça.

O que o SAMPI (sistema da CGU) verifica na prática

O SAMPI opera por meio de dois formulários: o formulário de perfil, que coleta informações sobre o porte, o setor de atuação e a estrutura da empresa, e o formulário de conformidade, que avalia cada um dos 17 parâmetros do programa de integridade.

Para cada parâmetro, o sistema solicita evidências documentais. Nos parâmetros relacionados a treinamento, por exemplo, a empresa precisa informar e comprovar:

• Percentual de colaboradores treinados nos últimos 12 meses, segmentado por função;
• Nota média obtida nas avaliações de aprendizagem;
• Participação dos administradores, com registro individual;
• Conteúdo programático dos treinamentos, demonstrando cobertura dos temas exigidos pelo decreto;
• Evidência de que o treinamento foi atualizado para incorporar novos riscos ou mudanças nas políticas.

Para o canal de denúncias, o SAMPI verifica o volume de denúncias recebidas e o percentual que foi investigado e encerrado com decisão documentada.

Para a due diligence de terceiros, verifica o percentual de fornecedores de alto risco com avaliação atualizada.

Cada parâmetro tem critérios objetivos que se traduzem em pontuação, e a pontuação total determina o score de efetividade do programa.

Uma autoavaliação honesta com base nesses critérios, antes da avaliação formal, permite identificar os pilares mais frágeis e priorizar os investimentos de melhoria com mais precisão do que uma análise documental convencional.

Como estruturar um programa de integridade do zero

A implementação de um programa de integridade é um projeto que tipicamente leva de 6 a 12 meses para a primeira versão funcional, dependendo do porte da empresa e da maturidade dos controles existentes. O processo segue quatro etapas sequenciais.

Passo 1: diagnóstico e mapeamento de riscos

O ponto de partida é entender a realidade da empresa antes de prescrever soluções. O diagnóstico inicial precisa responder a três perguntas:

1. Quais são os riscos de corrupção e desvio de conduta mais relevantes para o modelo de negócio?
2. Quais controles já existem?
3. Onde estão os gaps mais críticos?

O diagnóstico envolve entrevistas com as principais lideranças e funções expostas a risco, revisão dos processos de maior exposição (compras, contratos com o poder público, relações institucionais, pagamentos a terceiros) e análise do histórico de incidentes, denúncias e achados de auditoria.

O resultado é um mapa de riscos com a exposição de cada área ou processo e a prioridade de cada controle a ser implementado.

Passo 2: construção dos documentos e políticas

Com o mapa de riscos em mãos, a empresa constrói os documentos do programa: o código de conduta, as políticas específicas, os procedimentos de due diligence, o regulamento do canal de denúncias e a política de investigações internas.

Cada documento precisa refletir os riscos identificados no diagnóstico, não ser uma adaptação genérica copiada de outra empresa.

A aprovação dos documentos pela alta direção e pelo conselho é o momento formal de comprometimento institucional com o programa.

Esse ato de aprovação precisa ser registrado em ata ou documento equivalente, que será uma das evidências do pilar de comprometimento da liderança na avaliação do SAMPI.

Passo 3: implementação e treinamento

Com os documentos aprovados, começa a fase de maior impacto na efetividade do programa: a implementação dos controles e o treinamento de toda a organização. É nessa fase que o programa sai do papel e entra na operação.

O treinamento precisa ser estruturado por público, com conteúdo diferenciado para a alta liderança, para as funções de maior exposição e para o conjunto de colaboradores.

A plataforma de treinamento precisa gerar registros individuais de conclusão e relatórios de cobertura que sejam exportáveis para os formulários do SAMPI.

Paralelamente, o canal de denúncias é ativado e comunicado para toda a organização. Os processos de due diligence de terceiros são implantados com os formulários e critérios definidos na política. Os controles financeiros e contábeis são revisados para garantir o registro preciso das transações.

Passo 4: monitoramento e atualização contínua

Após a implementação inicial, o programa entra em modo de operação e monitoramento contínuo. Os indicadores são acompanhados mensalmente ou trimestralmente, as denúncias são gerenciadas conforme o processo definido, os treinamentos anuais são agendados e executados e a due diligence de terceiros é atualizada conforme o cronograma.

A revisão anual do programa é o momento de incorporar os aprendizados do ciclo anterior: o que os indicadores revelaram? O que as denúncias e investigações mostraram sobre os riscos reais? O que mudou na regulação ou no modelo de negócio que exige atualização das políticas e dos controles?

As respostas a essas perguntas alimentam a próxima versão do programa, garantindo que ele evolua junto com os riscos da empresa.

Como a Twygo apoia a implementação e a comprovação do programa de integridade

A Twygo é uma plataforma LMS com recursos de IA que suporta o pilar de treinamento do programa de integridade com automação, segmentação por risco e geração automática das evidências que o SAMPI e os processos de due diligence vão solicitar.

• Trilhas segmentadas por público e nível de risco: conteúdos diferenciados para alta liderança, funções de maior exposição (comercial, compras, financeiro, relações institucionais) e toda a organização, acionados conforme o cargo do colaborador;
• Criação de cursos narrados em vídeo com IA: sua empresa pode enviar todos os documentos de código de conduta e políticas criadas após o diagnóstico, por exemplo, e criar rapidamente cursos para os colaboradores, tudo já integrado no LMS;
• Certificados individuais auditáveis: cada conclusão gera um certificado com nome, cargo, data, carga horária e resultado de avaliação, rastreável e exportável para os formulários do SAMPI;
• Relatório de cobertura em tempo real: percentual de colaboradores treinados por área, por função e por programa, com identificação dos pendentes e alertas automáticos de renovação anual;
• Log imutável de acessos e conclusões: registro que comprova data, conteúdo acessado e resultado de avaliação, sem possibilidade de edição retroativa;
• Integração com mapeamento de competências: identificação dos gaps específicos por função que o treinamento obrigatório não cobre, com trilhas de desenvolvimento conectadas ao perfil de risco de cada cargo.

Se a sua empresa está estruturando ou atualizando o programa de integridade e precisa de uma plataforma que entregue o pilar de treinamento com as evidências que o SAMPI exige, agende uma demonstração com a Twygo e veja como a plataforma automatiza o treinamento e gera os relatórios de cobertura que a CGU vai pedir.

Perguntas frequentes sobre programa de integridade

Programa de integridade e programa de compliance são a mesma coisa?

Os termos são usados de forma intercambiável no mercado, mas há uma distinção técnica relevante no contexto brasileiro. “Programa de integridade” é o termo usado pela Lei 12.846/2013 e pelo Decreto 11.129/2022 para designar o conjunto de controles voltados especificamente à prevenção de corrupção e atos lesivos à administração pública. “Programa de compliance” é um conceito mais amplo, que pode incluir conformidade com qualquer tipo de regulação (trabalhista, ambiental, tributária, de proteção de dados). Na prática, um programa de compliance bem estruturado incorpora o programa de integridade como um de seus módulos.

Quanto tempo leva para implementar um programa de integridade?

Uma primeira versão funcional do programa leva tipicamente entre 6 e 12 meses, dependendo do porte da empresa e da maturidade dos controles existentes. Empresas que já têm elementos parciais (código de conduta, canal de denúncias) conseguem implementar mais rapidamente; empresas partindo do zero precisam de mais tempo para o diagnóstico, a construção dos documentos e o treinamento de toda a organização. A Lei 14.133/2021 estabelece um prazo de 6 meses para empresas vencedoras de contratos acima de R$ 200 milhões, o que é um cronograma apertado para quem parte do zero.

O que é o SAMPI e como funciona na prática?

O SAMPI (Sistema de Avaliação e Monitoramento de Programas de Integridade) é a plataforma digital criada pela Portaria CGU 226/2025 para avaliar os programas de integridade das empresas. As empresas preenchem um formulário de perfil e um formulário de conformidade com 17 parâmetros, enviando evidências documentais para cada um. O sistema gera uma pontuação de efetividade que é usada pela CGU tanto nos processos administrativos de responsabilização quanto nas avaliações de programas de integridade exigidas pela Lei 14.133/2021 para contratos de grande vulto.

Qual o impacto do programa de integridade na multa da Lei 12.846?

O programa de integridade é um fator de atenuação na dosimetria da multa prevista na Lei 12.846. O Decreto 11.129/2022 estabelece os critérios de avaliação do programa, e a CGU aplica uma redução proporcional à efetividade demonstrada. Um programa avaliado como efetivo pode gerar reduções expressivas no valor da multa calculado antes da aplicação dos atenuantes. Um programa que existe apenas formalmente, sem aplicação real, tem valor de atenuação muito reduzido ou nenhum, conforme o julgamento da autoridade com base nos parâmetros do decreto e da Portaria 226/2025.

Empresas de pequeno porte precisam de programa de integridade?

A Lei 12.846 não exclui empresas de pequeno porte da responsabilização objetiva, o que significa que todas as empresas têm interesse em algum nível de programa de integridade. O que varia é a complexidade e o formalismo esperados: o Decreto 11.129/2022 reconhece explicitamente que o programa deve ser proporcional ao porte, à natureza e ao perfil de risco da empresa. Para pequenas empresas sem interface com o setor público, um programa simplificado com código de conduta, treinamento anual e canal de denúncias básico pode ser suficiente. Para pequenas empresas que participam de licitações ou que têm relacionamento frequente com agentes públicos, a exigência é maior.

Com que frequência o programa de integridade precisa ser atualizado?

A revisão mínima recomendada é anual, coincidindo com o ciclo de análise de riscos. Além da revisão anual, o programa precisa ser atualizado sempre que houver mudança significativa no modelo de negócio (nova unidade, novo produto, novo mercado), na regulação aplicável, na estrutura societária (fusão, aquisição, cisão) ou após um incidente ou investigação que revele falhas nos controles existentes. A Portaria 226/2025 avalia se o programa foi atualizado de forma adequada ao longo do tempo, o que torna o histórico de atualizações um elemento de evidência do pilar de monitoramento e melhoria contínua.

A ISO 37001 é necessária para ter um programa de integridade efetivo no Brasil?

A ISO 37001 (Sistema de Gestão Antissuborno) não é exigida pela legislação brasileira, mas a certificação pode ser um diferencial competitivo relevante para empresas que operam em mercados internacionais ou que participam de processos de due diligence de grandes compradores globais. O SAMPI da CGU alinha seus 17 parâmetros com os princípios da ISO 37001, o que significa que uma empresa certificada na norma tem boa aderência natural aos critérios de avaliação brasileiros. Para quem ainda não tem certificação, o caminho mais direto é implementar o programa com base no Decreto 11.129/2022 e na Portaria 226/2025, que definem o que o mercado e o regulador brasileiro efetivamente avaliam.

Milena Silva

Como Chief Revenue Officer na Twygo, combino experiência em liderança de operações de marketing, vendas e pós-vendas com a minha paixão por impulsionar o crescimento através do LMS.