O "tone at the top" como dever jurídico dos administradores

Reza o ditado popular que "o exemplo vem de cima", expressão que ganha concretude no meio empresarial ao falarmos da importância do chamado tone at the top (ou tone from the top) para programas de integridade, de gerenciamento de riscos ou de segurança da informação.

O "tom da liderança"¹ traz a ideia de que o sucesso de um programa de conformidade parte, necessariamente, da iniciativa e engajamento da alta administração (entendida como o Conselho de Administração, a Diretoria Executiva ou, na falta destes órgãos, como o mais alto nível hierárquico, responsável pelas decisões em nível estratégico).

O comprometimento da alta administração é fundamental para se desenvolver uma cultura organizacional em que a conformidade, a integridade, a segurança da informação etc., sejam realidades vividas e praticadas por todas as partes interessadas (tanto internas, como empregados e estagiários; quanto externas, como clientes e prestadores de serviço). Para tanto, o engajamento da administração deve ser ostensivamente publicizado, por meio de manifestações orais e escritas, formais e informais, sendo exigência de normas técnicas sobre a matéria.

A DSC 10.000 (Diretrizes para o Sistema de Compliance)², por exemplo, dispõe que a "cultura do compliance deve permear a organização através do exemplo de seus dirigentes e atingir todos os níveis hierárquicos por meio de atitude e ações da chefia", e que a alta administração deve demonstrar que:

a) estabelece um clima de confiança, transparência e lealdade, de forma a tornar propício o ambiente para a efetiva aplicação do sistema de Compliance;

b) comunica à organização e ao público externo a importância da aderência aos requisitos do sistema de Compliance e aos princípios de ética e integridade constantes no código de conduta;

c) assegura que os objetivos do sistema de Compliance são estabelecidos, compreendidos e acompanhados, visando o seu alcance;

d) conduz análise crítica regular do sistema de Compliance;

e) provê os recursos necessários para garantir a eficácia do sistema de Compliance.³

Devemos ter sempre em mente que o engajamento da alta administração não se resume, porém, em manifestações de apoio ao programa, mas exige a adoção de medidas concretas para fornecer os meios e recursos (humanos, materiais e financeiros) necessários para que os programas de conformidade sejam implementados de maneira efetiva (em todas as suas fases, do planejamento à implementação, revisão, monitoramento e melhoria contínua). O tone at the top, portanto, se traduz em uma série de compromissos dos administradores, que são mais bem detalhados em outras normas técnicas.

A norma ABNT NBR ISO 22.301:2020 (Sistema de Gestão de Continuidade de Negócios)⁴ traz a seção "5. Liderança", dispondo que a alta administração deve demonstrar o comprometimento com o Sistema de Gestão de Continuidade de Negócios - SGCN, garantindo que: a) haja o estabelecimento de uma política de continuidade de negócios e que os objetivos de continuidade de negócios estejam alinhados com o planejamento estratégico da organização; b) os requisitos do SGCN estejam integrados aos processos da organização; c) os recursos necessários para o SGCN estejam disponíveis; d) a relevância da conformidade com o SGCN seja devidamente comunicada ao restante da organização; e) o SGCN alcance os objetivos estabelecidos; f) os colaboradores envolvidos no SGCN recebam o suporte adequado para garantir a efetividade do programa; g) haja o aprimoramento contínuo do programa; h) outras funções gerenciais relevantes para o sucesso do SGCN também recebam o suporte necessário. Na sequência, a norma ABNT NBR ISO 22.301:2020 determina que a alta administração estabeleça uma Política de Continuidade de Negócios compatível com os objetivos estratégicos da organização, e que a política seja disponibilizada a todos os empregados e partes interessadas. Por fim, a norma exige que as atribuições e responsabilidades relacionadas ao SGCN sejam devidamente estabelecidas e formalizadas (o que pode ser feito por meio de uma Matriz RACI, que será objeto de artigo futuro).

Estruturas semelhantes de deveres da alta administração estão presentes em outras normas técnicas aplicáveis a programas de conformidade, tais como: ABNT NBT ISO/IEC 27.001:2013 - Tecnologia da informação - Técnicas de segurança - Sistemas de Gestão da Segurança da Informação - Requisitos, que exige o comprometimento da alta administração na Seção 5. Liderança⁵; ABNT NBR ISO 31.000:2018 - Gestão de Risco - Diretrizes, que traz a Seção 4.2 - Mandato e Comprometimento⁶ dedicada ao tema; ABNT NBR ISO 37.001:2017 - Sistemas de Gestão Antissuborno - Requisitos com orientações para uso⁷, em sua Seção 5 - Liderança; e a norma recém-publicada ABNT NBR ISO 37.301 - Sistemas de Gestão de Compliance - Requisitos com orientações para uso⁸.

E, para além do âmbito das normas citadas acima, é possível extrair da própria legislação brasileira a existência de deveres jurídicos dos administradores relacionados ao "tom da liderança"⁹.

A Lei Geral de Proteção de Dados, por exemplo, estabelece como dever dos agentes de tratamento a adoção de "medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais" (art. 46), sendo as "medidas administrativas" justamente os "procedimentos, políticas e planos de resposta a incidentes. Uma política de segurança de informação, um código de conduta, ou um processo de homologação de fornecedores seriam medidas administrativas"¹⁰. O estabelecimento de medidas administrativas para a proteção de dados, ademais, é elemento a ser futuramente avaliado pela Autoridade Nacional de Proteção de Dados - ANPD para a dosimetria das sanções em caso de infrações à LGPD, nos termos do art. 52, § 1º, incisos VIII e IX.

Da mesma maneira, quando a Lei Anticorrupção Empresarial prevê a responsabilização objetiva da pessoa jurídica por atos de corrupção "praticados em seu interesse ou benefício, exclusivo ou não" (art. 2º), e traz em seu regulamento (decreto Federal 8.420/2015) a possibilidade de mitigação de eventuais sanções com base na avaliação do programa de integridade (art. 42), avaliação esta que levará em consideração o "comprometimento da alta direção da pessoa jurídica, incluídos os conselhos, evidenciado pelo apoio visível e inequívoco ao programa" (art. 42, inciso I, do decreto Federal 8.420/2015), temos a demonstração inequívoca de que o tone at the top é não apenas um padrão desejável de conduta, mas legítimo dever jurídico dos administradores.

---------