“Os maiores perigos à liberdade residem na invasão insidiosa praticada por homens zelosos, bem-intencionados, mas sem discernimento”.
Justice Louis D. Brandeis, voto dissidente em Olmstead v. United States, 277 U.S. 438 (1928)
Um cenário sem precedentes
O Brasil vive o período de maior rigor regulatório de sua história recente. Em 2024, a CVM aplicou R$ 1,053 bilhão em multas - o maior valor já registrado, representando crescimento superior a 2.000% em relação a 2022. O Ibama quadruplicou sua arrecadação com sanções ambientais no mesmo período. A SENACON ultrapassou R$ 70 milhões em penalidades. E, no plano estadual, os Procons intensificaram a fiscalização de forma coordenada e com crescente eficiência operacional.
Ao mesmo tempo, sete novos marcos regulatórios entraram em vigor ou avançaram significativamente entre o final de 2025 e o início de 2026 - entre eles o ECA Digital (com multas de até R$ 50 milhões por infração), a transformação da ANPD em agência reguladora com poder pleno de fiscalização, a regulamentação de criptoativos pelo Banco Central, o novo regulamento de sanções da Anatel, o aumento de até 170% nas multas da ANS e a tramitação do projeto de regulação de inteligência artificial. O resultado é uma convergência inédita: o enforcement avança em todas as frentes ao mesmo tempo, e o ritmo das mudanças regulatórias ultrapassa, com frequência, a capacidade de adequação das empresas.
Nesse contexto, a exposição das empresas a autuações e multas administrativas deixou de ser uma eventualidade e passou a integrar o cálculo regular do risco corporativo. O que surpreende, porém, é que a resposta estratégica a esse fenômeno ainda não evoluiu na mesma proporção.
Dois pilares robustos - e uma lacuna estratégica
Ao longo das últimas duas décadas, as empresas brasileiras de médio e grande porte incorporaram dois pilares fundamentais de proteção jurídica e corporativa. O primeiro é o compliance - a estrutura de normas internas, treinamentos, controles e auditorias destinada a prevenir condutas irregulares e a demonstrar, diante dos reguladores, a cultura de conformidade da organização. O segundo é a auditoria interna - o mecanismo de revisão periódica que identifica falhas e inconformidades antes que se tornem passivos.
Ambos os pilares são indispensáveis. Mas há uma lacuna que os dados tornam cada vez mais evidente: mesmo empresas com programas de compliance robustos e sistemas de auditoria maduros são autuadas. A razão é simples: o compliance protege contra o risco interno, mas não controla a interpretação que o regulador fará da norma, a profundidade com que conduzirá sua fiscalização nem os critérios que adotará para quantificar a sanção.
Quando a autuação chega - e o cenário regulatório atual indica que ela chegará com frequência crescente -, a maioria das empresas não dispõe de uma estratégia estruturada de resposta. O auto de infração é tratado como um fato consumado, e não como o início de um processo que admite contestação qualificada. É exatamente aí que reside a lacuna.
O terceiro pilar: Defesa regulatória estratégica
A defesa regulatória estratégica é, em essência, a capacidade de contestar autuações e multas administrativas com o mesmo rigor técnico e a mesma profissionalização com que se conduz o compliance ou a auditoria interna. Trata-se de reconhecer que a fiscalização dos entes regulatórios - expressão do poder de polícia do Estado - está sujeita a um conjunto preciso de princípios e requisitos jurídicos, e que o descumprimento desses requisitos pelos agentes públicos é mais comum do que se imagina.
A atividade fiscalizatória orienta-se por princípios claros do direito administrativo: legalidade, motivação, proporcionalidade, razoabilidade, contraditório e ampla defesa, além do dever de busca da verdade real - o que significa, entre outras coisas, que não há inversão do ônus da prova contra o particular e que o agente público não está dispensado de fundamentar seus atos em fatos devidamente apurados e comprovados. O exercício do poder de polícia não comporta arbítrio, nem se orienta por conveniência ou oportunidade: é um ato vinculado, que deve ser exercido dentro dos limites da lei e com estrita observância da competência legalmente atribuída.
Na prática, porém, o que se observa com frequência são autuações em que o agente público parte da premissa de que a infração ocorreu - e que cabe à empresa demonstrar o contrário. Essa inversão, além de juridicamente equivocada, leva a vícios que comprometem a validade do auto de infração e do próprio processo administrativo.
O que a análise técnica revela
A experiência prática em defesa regulatória revela um padrão recorrente de falhas que contamina autuações nos mais diversos segmentos: agentes que extrapolam a competência legalmente atribuída ao órgão fiscalizador; autos de infração que não descrevem com clareza a conduta imputada nem a vinculam expressamente ao tipo legal - reportando-se apenas a resoluções, portarias e atos normativos infralegais, sem o necessário suporte na lei; processos administrativos que se desenvolvem sem a produção efetiva de provas da conduta atribuída à empresa, sustentando-se em presunções ou em meras reclamações de terceiros; julgamentos administrativos com flagrantes vícios de motivação, seja por desconsiderarem os argumentos e as provas apresentados pela empresa em exercício do contraditório, seja por decidirem de forma explicitamente contrária à letra da lei.
Como escreveu o célebre administrativista Hely Lopes Meirelles, o poder de punir não é um poder arbitrário; é um poder condicionado pela legalidade e pela prova.
Aos vícios de forma e de procedimento soma-se, com frequência, uma distorção substancial: multas aplicadas sem qualquer proporcionalidade ou razoabilidade, sem avaliação adequada da extensão do dano, da culpabilidade do agente, da situação econômica do autuado ou da dimensão real dos bens jurídicos afetados. Em muitos casos, a sanção imposta simplesmente não resiste a uma análise técnica criteriosa.
Esse padrão não é ocasional. Ele reflete, em larga medida, a pressão por resultados fiscalizatórios que recai sobre os órgãos reguladores - uma pressão que, como antecipava Brandeis há quase cem anos, não raro resulta em excessos praticados não por má-fé, mas por zelo sem discernimento.
A contestação como estratégia - não como reação
A diferença entre uma defesa bem-sucedida e uma defesa meramente formal está, em grande parte, no momento em que a empresa começa a agir. A defesa regulatória estratégica não se inicia com a resposta ao auto de infração: ela começa na leitura criteriosa da autuação, na identificação imediata dos vícios formais e materiais, na investigação interna dos fatos relevantes, na construção de uma narrativa técnica e fática consistente e, ainda, na avaliação da melhor via de impugnação - seja ela o processo administrativo, a via judicial ou a combinação de ambas.
Esse trabalho exige domínio dos princípios do direito administrativo sancionador, conhecimento especializado do marco regulatório setorial e experiência acumulada nos padrões de atuação dos diferentes órgãos reguladores. Não é, portanto, uma atividade que se improvisa diante do prazo de defesa - e é precisamente por essa razão que ela precisa ser tratada como o terceiro pilar da estratégia corporativa de gestão de riscos jurídicos.
Maturidade regulatória como vantagem competitiva
Empresas que constroem uma estrutura integrada - compliance para prevenir, auditoria para identificar e defesa regulatória para contestar com eficácia - estão em posição significativamente melhor para navegar o atual ambiente de enforcement. Essa integração não é apenas uma proteção patrimonial: é um ativo estratégico que preserva o balanço, protege a reputação e garante previsibilidade nas relações com os reguladores.
O cenário regulatório brasileiro continuará evoluindo. Novas agências ganharão poder de fiscalização. Novos marcos regulatórios entrarão em vigor. As multas, em vários setores, seguem trajetória de aumento programado. A pergunta relevante para o gestor jurídico e para o executivo não é mais "se" sua empresa será autuada, mas "quando" - e se ela estará preparada para responder.
A maturidade regulatória de uma organização mede-se, cada vez mais, não apenas pela qualidade de seus programas de compliance, mas pela capacidade de exercer seus direitos com rigor e efetividade diante do Estado que fiscaliza. Esse é o terceiro pilar - e ele ainda está ausente da estratégia da maioria das empresas brasileiras.