Proteção de dados, sustentabilidade e prevenção à lavagem de dinheiro mostram uma mesma transformação: o compliance está deixando de ser uma função centrada exclusivamente em evitar contingências para se tornar uma ferramenta transversal de governança, gestão de riscos e competitividade.
As organizações que operam na América Latina enfrentam um ambiente regulatório cada vez mais complexo. Às normas locais somam-se padrões internacionais, expectativas de investidores, exigências de entidades financeiras, requisitos de clientes e novas condições para acessar determinados mercados ou cadeias de valor.
Nesse cenário, o desafio já não consiste apenas em identificar qual norma é aplicável e cumpri-la formalmente. A pergunta relevante é outra: como integrar essas exigências dentro do negócio de maneira que permitam gerenciar melhor os riscos, fortalecer os processos e gerar valor?
Essa foi uma das principais conclusões do webinar “Compliance na América Latina: como transformar exigências regulatórias em oportunidades de negócio, organizado pela B-Conex Latam no âmbito das atividades preparatórias do Congresso Latino-Americano de Gerências Jurídicas 2026.
A conversa reuniu Eugenio Rebolledo, Compliance Officer da EY Chile; María de los Ángeles Chévez, Gerente Sênior de Compliance da Invenergy / Energía del Pacífico; y José Juan Gari, consultor estratégico e Oficial de Conformidade da Aiva, sob a moderação de María Lucía Acosta, Diretora da B-Conex Latam.
A partir de três áreas —proteção de dados, sustentabilidade e prevenção de lavagem de dinheiro e financiamento do terrorismo (PLD/FT)— surgiu uma conclusão transversal: o compliance que realmente agrega valor é aquele que consegue traduzir regulamentação, risco e expectativas do mercado em processos concretos, proporcionais e funcionais para a operação.
Proteção de dados: um desafio transversal de governança
A proteção de dados é provavelmente um dos melhores exemplos de como uma questão inicialmente percebida como especializada terminou se tornando um desafio transversal para toda a organização.
As empresas processam hoje quantidades crescentes de informação em operações que envolvem diferentes áreas, fornecedores, plataformas tecnológicas e jurisdições. Ao mesmo tempo, os marcos regulatórios apresentam diferenças relevantes entre países e evoluem a velocidades distintas.
Isso obriga a abandonar uma abordagem exclusivamente jurídica.
A primeira tarefa consiste em mapear adequadamente os diferentes marcos regulatórios e de governança que atravessam uma operação, mas esse mapeamento deve ser complementado com capacidade de adaptação, já que nem todas as situações encontram uma resposta normativa expressa e, em muitos mercados, persistem áreas cinzentas ou desajustes entre a legislação e sua implementação prática.
Daí surge a importância de construir uma relação adequada com órgãos estatais e entidades reguladoras. A comunicação antecipada pode se tornar uma ferramenta importante para resolver incertezas e evitar que problemas de interpretação acabem se transformando em contingências.
De qualquer forma, a regulação representa apenas uma parte do problema.
Um programa de proteção de dados efetivo requer envolver desde o início diferentes áreas da organização: jurídica, compliance, tecnologia, segurança da informação, operações e negócio. Também exige revisar periodicamente a infraestrutura, atualizar processos e analisar onde se encontram realmente os pontos de vulnerabilidade.
A proteção de dados deixa assim de ser um custo operativo ou uma obrigação que deve ser administrada de forma defensiva, e a forma como uma companhia gerencia a informação incide diretamente em sua reputação e, sobretudo, na confiança que constrói com clientes, consumidores, fornecedores e demais públicos partes interessadas.
Por isso, diante do aumento da complexidade regulatória, a resposta não pode ser apenas mais documentação ou mais controles. É necessária uma governança mais sofisticada, capaz de determinar quais riscos existem, onde estão concentrados e qual resposta é adequada para cada um.
Sustentabilidade: cumprir para permanecer, gerenciar para competir
A evolução da agenda de sustentabilidade mostra uma transformação semelhante.
Durante anos, muitas organizações a associaram principalmente à reputação corporativa ou à responsabilidade social. Hoje, essa abordagem é insuficiente.
A sustentabilidade afeta decisões de investimento, financiamento, acesso a mercados, relações com comunidades, cadeias de suprimentos e, com frequência cada vez maior, a própria possibilidade de desenvolver determinados negócios.
Isso obriga a colocar sobre a mesa uma diversidade de questões e, em alguns casos, a revisar inclusive o propósito da companhia e a forma como gera valor para seus diferentes grupos de interesse.
O primeiro mudança relevante é passar de uma lógica reativa para uma gestão proativa.
A relação com comunidades, a gestão ambiental ou a resposta frente a expectativas ESG não deveriam ser ativadas unicamente quando aparece uma contingência. Incorporá-las antecipadamente permite antecipar conflitos, melhorar operações e construir relações mais sólidas com os diferentes partes interessadas.
Além disso, existe uma segunda dimensão ainda mais importante: uma gestão inadequada desses riscos pode se traduzir diretamente em perda de oportunidades de negócio.
As entidades financeiras incorporam progressivamente critérios de sustentabilidade em suas avaliações; os investidores analisam essas variáveis; as grandes empresas trasladam exigências para suas cadeias de suprimentos; determinadas jurisdições ou mercados demandam padrões específicos como condição de acesso; para citar apenas alguns.
Em consequência, cumprir adequadamente deixa de ser apenas uma questão de reputação, e passa a determinar se uma empresa obtém financiamento, pode participar de uma cadeia de valor ou pode ingressar em determinado mercado.
Isso também modifica o papel do setor jurídico e de conformidade, pois já não basta explicar quais são as obrigações legais. Pelo contrário, as equipes devem ser capazes de compreender como essas obrigações, riscos e expectativas afetam o modelo de negócio e, em seguida, ajudar a traduzi-las em decisões concretas.
Para isso são necessários processos internos de monitoramento efetivo, métricas úteis e mecanismos que permitam verificar se as políticas realmente estão sendo implementadas.
Um dos riscos frequentes é justamente a distância entre a política e a operação. Em sustentabilidade, muitas declarações corporativas continuam sendo mais aspiracionais do que operativas.
O verdadeiro desafio aparece quando chega o momento de responder a perguntas mais incômodas: quem é responsável?, como se mede?, que informação se produz?, como se documenta?, o que acontece quando o processo não funciona?
Ali volta a aparecer um elemento que muitas vezes fica relegado dentro da agenda ESG: o “G” de governança.
Sem estruturas claras de decisão, responsabilidades definidas, mecanismos de supervisão e processos de prestação de contas, dificilmente as agendas ambientais ou sociais poderão ser implementadas de maneira consistente.
Por isso, a profissionalização da governança corporativa é também uma ferramenta central de sustentabilidade.
PLDFT: nem checklist nem sobrerregulação
O terceiro eixo da conversa (a prevenção da lavagem de dinheiro e do financiamento do terrorismo) permitiu colocar outro desafio chave: como construir controles robustos sem transformar o compliance em uma fonte desnecessária de atrito para o negócio.
A imagem da “dosagem do medicamento” é especialmente ilustrativa.
Um sistema insuficiente expõe a organização, mas um sistema excessivamente complexo, burocrático ou desproporcionado também pode gerar efeitos negativos: consome recursos, ralentiza operações, desvia o foco para controles de baixo valor e pode acabar enfraquecendo a própria efetividade do programa.
A sofisticação, portanto, não consiste em acumular procedimentos, mas sim em identificar onde o risco realmente se encontra e alocar ali tempo, tecnologia, controles e capacidade humana.
Isso explica por que a abordagem tradicional baseada em checklists se mostra cada vez menos suficiente. Ter políticas, formulários e documentação é necessário, mas não demonstra por si só que um sistema funciona. As organizações devem se perguntar se os processos são efetivos na prática: como são implementados, quem os executa, como são monitorados e que evidência existe de seu funcionamento.
A documentação adquire então uma importância central. Não somente deve existir conformidade, mas deve ser possível demonstrar como ela foi cumprida, quais controles foram aplicados e como a organização reagiu diante dos riscos identificados.
Ao mesmo tempo, a tecnologia e a inteligência artificial estão abrindo novas possibilidades.
Determinadas tarefas de monitoramento, revisão ou análise podem ser automatizadas, permitindo liberar recursos para aquelas decisões que requerem critério, conhecimento do negócio e avaliação humana.
A pergunta certa deixa então de ser “quantos controles temos?” para passar a ser: em quais processos estamos investindo nosso tempo, nosso foco e nosso valor, e quais poderiam ser realizados de maneira mais eficiente?
Outro ponto relevante é a necessidade de alinhar toda a organização.
A prevenção não pertence unicamente ao oficial de cumprimento. Requer envolver aqueles que tomam decisões, administram equipes, contratam terceiros ou participam de operações sensíveis. A crescente atenção sobre a responsabilidade de empregadores e administradores reforça precisamente essa dimensão: os sistemas funcionam quando a organização assume o risco como próprio e não quando o delega exclusivamente a uma área.
GRC: integrar governança, risco e compliance
Os três blocos convergem finalmente em um mesmo conceito: GRC – Governança, Risco e Conformidade.
A governança define como as decisões são tomadas e quem responde por elas. A gestão de riscos permite identificar o que pode afetar os objetivos da organização. O compliance, por sua vez, estabelece os mecanismos necessários para operar dentro do marco regulatório e dos padrões assumidos.
Gerenciados separadamente, esses três componentes podem gerar estruturas paralelas, duplicação de controles e perda de informação. Integrados, permitem construir sistemas muito mais consistentes.
Por isso, o compliance moderno exige cada vez mais uma visão transversal. Ele não pode ser desenvolvido exclusivamente a partir da área jurídica nem permanecer isolado do negócio. Ele precisa interagir com tecnologia, finanças, operações, recursos humanos, sustentabilidade, auditoria e alta administração.
A função do compliance passa assim de responder unicamente “o que não podemos fazer” para participar de uma conversa mais estratégica: “como podemos fazê-lo de maneira segura, sustentável e competitiva”.
Da obrigação à vantagem competitiva
Proteção de dados, sustentabilidade e PLD/FT apresentam marcos regulatórios, riscos e desafios distintos. No entanto, a conversa permitiu identificar uma lógica comum.
As organizações mais maduras não são necessariamente aquelas que acumulam mais políticas ou controles. São aquelas capazes de: compreender seus riscos, priorizá-los, traduzi-los em processos concretos, monitorar seu funcionamento e adaptá-los à realidade do negócio.
Essa mudança de foco também redefine o papel de advogados e profissionais de compliance. Sua contribuição já não se mede apenas pela capacidade de evitar uma sanção, mas também por sua capacidade de antecipar cenários, facilitar decisões, preservar o acesso a mercados, fortalecer relações com partes interessadas e ajudar a organização a operar com maior confiança.
Em um contexto de crescente complexidade regulatória, a diferença competitiva pode estar justamente aí.
Compliance não é fazer mais. É fazer melhor: com critério, proporcionalidade, evidência e uma compreensão profunda do negócio. Quando essa lógica é incorporada à governança da organização, o cumprimento deixa de ser simplesmente uma obrigação para se tornar uma verdadeira ferramenta de criação de valor.