O risco penal pode surgir de informações omitidas, decisões mal documentadas ou falhas na integração. Veja como organizar controles, responsabilidades e provas em cada etapa de uma operação de M&A.
O que é compliance penal em operações de M&A e por que ele importa
O compliance penal em operações de M&A é o conjunto de procedimentos destinados a identificar, prevenir, documentar e responder a condutas que possam gerar investigação ou responsabilização criminal durante uma fusão, aquisição, incorporação ou operação de investimento. Ele complementa a análise societária, contábil, trabalhista, ambiental, tributária e regulatória, sem substituir nenhuma delas.
Uma operação pode parecer financeiramente atraente e ainda conter riscos relevantes. Pagamentos sem justificativa econômica, contratos com agentes públicos, registros contábeis incompletos, comissões atípicas, dados obtidos de forma irregular e práticas comerciais toleradas pela administração podem alcançar sócios, diretores e conselheiros, conforme sua participação e conhecimento sobre os fatos.
A Lei Anticorrupção prevê a responsabilização administrativa e civil de pessoas jurídicas por atos contra a administração pública. Embora a responsabilidade da empresa não se confunda automaticamente com a responsabilidade penal de pessoas físicas, a existência de controles efetivos, registros confiáveis e resposta adequada influencia a compreensão do contexto em que as decisões foram tomadas.
Considere uma aquisição no setor de logística. Durante a integração, a compradora descobre pagamentos recorrentes a um intermediário ligado a contratos públicos, mas mantém o fluxo financeiro sem investigação documentada. Meses depois, uma autoridade solicita os registros. A pergunta não será apenas quem recebeu o dinheiro, mas quem sabia, quem decidiu manter o procedimento e quais providências foram adotadas.
O objetivo do compliance penal não é criar uma camada burocrática sobre toda decisão empresarial. É permitir que a companhia demonstre, com documentos e rastreabilidade, que avaliou riscos razoavelmente previsíveis, delimitou responsabilidades e reagiu quando surgiram sinais de irregularidade.
Checklist jurídico por etapa da operação de M&A
- Defina o escopo penal antes da due diligence: Registre quais temas serão examinados conforme o setor, a presença de contratos públicos, o uso de dados pessoais, a estrutura de pagamentos e o histórico de investigações. A análise deve indicar responsáveis, prazo, fontes documentais e critérios para escalar um achado.
- Faça perguntas que testem a prática, não apenas a existência de políticas: Peça evidências de treinamento, aprovações, investigações internas, pagamentos a terceiros, doações, hospitalidades e relacionamento com agentes públicos. Uma política assinada, sem aplicação verificável, não responde sozinha ao risco identificado.
- Separe achados, hipóteses e fatos comprovados: Cada apontamento deve indicar a fonte, o período, as pessoas envolvidas, a materialidade econômica e o grau de confirmação. Evite conclusões criminais prematuras em relatórios de negócio, mas não dilua sinais que exijam apuração especializada.
- Documente a decisão de prosseguir, renegociar ou interromper: A ata ou memorando deve explicar quais informações foram consideradas, quais medidas foram exigidas e por que a administração escolheu determinado caminho. A decisão pode ser empresarial e ainda assim precisa demonstrar que riscos jurídicos foram avaliados.
- Proteja documentos e comunicações relevantes: Estabeleça retenção de e-mails, mensagens corporativas, contratos, registros contábeis, logs e arquivos de investigação. A preservação deve respeitar regras de acesso, proteção de dados e cadeia de custódia, especialmente quando houver suspeita de fraude digital.
- Insira condições de fechamento e planos de remediação: Quando apropriado, vincule o fechamento a providências como troca de controles, suspensão de pagamentos, revisão de terceiros ou comunicação a órgãos competentes. O contrato também deve distribuir obrigações de cooperação, acesso a documentos e tratamento de passivos descobertos depois.
- Inicie a integração com governança penal definida: Nos primeiros dias após o fechamento, confirme quem pode aprovar pagamentos, contratar intermediários, responder a autoridades e autorizar investigações internas. A ausência de uma matriz de responsabilidades cria zonas de indefinição justamente quando sistemas e equipes estão sendo combinados.
Que diligências jurídicas e penais devem entrar na due diligence
A due diligence penal começa pela seleção de temas relevantes, e não pelo envio indiscriminado de milhares de documentos. Empresas reguladas, fintechs, indústrias, hospitais, agronegócios e negócios de tecnologia possuem exposições diferentes, que devem orientar a profundidade da investigação.
O primeiro bloco envolve investigações, processos, autos de infração, acordos, denúncias internas e auditorias com indícios de fraude, corrupção, lavagem de dinheiro, crimes tributários, ambientais, contra consumidores, contra investidores ou relacionados a dados. Solicite informações sobre fatos encerrados e também sobre apurações em andamento, inclusive aquelas conduzidas por comitês internos.
O segundo bloco examina terceiros. Intermediários, representantes comerciais, consultores, despachantes, distribuidores e parceiros locais podem operar em nome da empresa sem que a administração acompanhe adequadamente suas atividades. Devem ser revisados contratos, critérios de contratação, beneficiários finais, remuneração, entregas comprovadas e aprovações extraordinárias.
Em empresas de tecnologia, a análise deve alcançar acesso a sistemas, permissões privilegiadas, incidentes de segurança, uso de dados e contratação de fornecedores. O guia da ANPD sobre agentes de tratamento e encarregado ajuda a organizar papéis relacionados ao tratamento de dados, mas não substitui a avaliação penal de um incidente concreto.
O terceiro bloco é contábil e financeiro. Compare razão contábil, notas fiscais, contratos, comprovantes de entrega, aprovações e movimentações bancárias. Despesas redondas, pagamentos fracionados, fornecedores recém-criados, adiantamentos sem prestação de contas e lançamentos descritos de forma genérica justificam perguntas adicionais, sem significarem, isoladamente, a existência de crime.
Uma boa diligência também entrevista pessoas-chave. O roteiro deve evitar perguntas sugestivas e registrar data, participantes, documentos apresentados e pontos que precisam de confirmação. Se houver risco de autoincriminação de uma pessoa física ou possibilidade de investigação oficial, a estratégia de entrevistas deve ser coordenada com defesa criminal antes da coleta.
Como documentar deliberações para reduzir a exposição penal futura
A documentação societária não deve ser produzida para criar uma narrativa posterior. Ela precisa refletir o processo real de decisão, incluindo informações disponíveis naquele momento, perguntas formuladas, respostas recebidas, divergências e providências aprovadas.
Uma ata útil identifica o assunto, a origem da proposta, os documentos analisados, os responsáveis pela apuração e os limites da aprovação. Também registra ressalvas relevantes. Frases genéricas como “aprovado conforme apresentado” são frágeis quando o tema envolve pagamentos incomuns, aquisição de ativos litigiosos ou continuidade de contratos com terceiros sensíveis.
A decisão deve separar três planos: o que foi comprovado, o que permanece como hipótese e o que será investigado. Essa distinção evita que uma suposição seja tratada como fato, ao mesmo tempo em que impede o encerramento artificial de um alerta antes da conclusão da apuração.
Quando houver parecer jurídico, contábil ou de integridade, a ata pode indicar sua existência, escopo e conclusão, preservando o tratamento adequado de informações protegidas. Não é recomendável transformar o documento societário em um relatório excessivamente detalhado com dados pessoais ou conteúdo sensível que não seja necessário à deliberação.
A elaboração das atas deve conversar com a gestão de riscos já existente. O conteúdo sobre riscos penais em contratos, atas e decisões societárias mostra como linguagem, competência decisória e registro de ressalvas podem interferir na leitura posterior de uma conduta.
Um exemplo prático: o conselho decide manter um fornecedor durante a aquisição para evitar interrupção operacional, mas condiciona a continuidade a uma revisão de beneficiários, comprovação das entregas e aprovação independente de novos pagamentos. A decisão não elimina o risco, porém demonstra que o órgão reconheceu o alerta e estabeleceu controles verificáveis.
Cláusulas e documentos que ajudam a organizar o risco penal em M&A
- Declarações e garantias sobre investigações, sanções, pagamentos a agentes públicos, registros contábeis, terceiros relevantes, incidentes de dados e existência de canais de denúncia. O texto deve delimitar período, sociedades abrangidas e conhecimento efetivo dos declarantes.
- Obrigação de cooperação após o fechamento, com acesso a documentos, pessoas e sistemas necessários para esclarecer fatos anteriores. A cláusula deve prever procedimento, prazo, confidencialidade e respeito às normas de proteção de dados.
- Condições de fechamento relacionadas a achados críticos, como suspensão de determinado contrato, substituição de intermediário, regularização de livros ou conclusão de apuração independente. A medida precisa ser proporcional ao risco e operacionalmente verificável.
- Mecanismo para tratar passivos descobertos depois da aquisição, definindo comunicação, preservação documental, autoridade para investigar e coordenação entre áreas. A redação contratual não impede investigação criminal, mas reduz improvisos e conflitos internos.
- Matriz de aprovação para pagamentos, contratação de consultores e relacionamento com agentes públicos durante a transição. Ela deve indicar quem propõe, quem revisa, quem aprova e quais evidências devem acompanhar a operação.
- Protocolo de comunicação externa e interna para incidentes. Mensagens precipitadas, exclusão de conversas ou divulgação de acusações sem confirmação podem prejudicar a apuração, a reputação e a posição jurídica das pessoas envolvidas.
O papel do conselho e dos diretores na integração pós-aquisição
O fechamento da operação não transfere automaticamente a cultura, os controles ou os arquivos da empresa adquirida. Nos primeiros 100 dias, a administração precisa transformar compromissos contratuais em rotinas verificáveis, sem presumir que a simples publicação de um novo código de conduta resolverá problemas antigos.
O conselho deve acompanhar indicadores de integração, como treinamentos concluídos, terceiros revisados, denúncias recebidas, pagamentos excepcionais, acessos privilegiados e planos de remediação vencidos. A análise deve buscar tendências e não apenas números favoráveis, pois uma queda abrupta em denúncias pode indicar perda de confiança no canal.
Diretores precisam conhecer os limites de sua autoridade. Aprovar um pagamento não significa apenas assinar uma ordem, mas compreender sua finalidade, documentação, beneficiário e compatibilidade com o contrato. Quando a informação é insuficiente, a providência adequada pode ser suspender a decisão, pedir esclarecimentos ou escalar o assunto.
A integração digital merece atenção própria. Sistemas antigos podem manter usuários ativos, permissões incompatíveis e registros em formatos que não conversam com a infraestrutura da compradora. O conteúdo sobre responsabilidade penal da diretoria por falhas de segurança cibernética ajuda a compreender por que governança de acesso e resposta a incidentes alcançam a esfera pessoal dos administradores.
Se surgir suspeita concreta, evite iniciar uma “limpeza” informal de arquivos ou convocar entrevistas sem planejamento. Mensagens e documentos devem ser preservados, os acessos precisam ser controlados e a apuração deve ter escopo definido. O checklist de preservação probatória no inquérito policial apresenta medidas úteis para proteger fontes de prova desde os primeiros sinais.
A resposta deve coordenar compliance, jurídico societário, tecnologia, recursos humanos, auditoria e defesa criminal. Cada área possui finalidade própria: compliance organiza controles, o jurídico avalia obrigações, a tecnologia preserva dados, a auditoria reconstrói fluxos e a defesa define a estratégia relacionada à exposição pessoal.
Erros frequentes e fluxo de resposta para achados sensíveis
- Não tratar o inquérito como fase estratégica: Esperar uma denúncia para agir pode permitir perda de documentos, consolidação de versões e adoção de medidas cautelares evitáveis. A existência de uma apuração preliminar já exige avaliação sobre preservação, comunicação e participação de cada executivo.
- Apresentar documentos sem compreender o contexto: Entregar arquivos isolados pode gerar interpretações incompletas ou revelar dados de terceiros sem necessidade. Antes de responder a uma autoridade, organize a origem, a integridade, a finalidade e a relação de cada documento com os fatos.
- Misturar investigação interna com defesa individual: A empresa e o diretor podem ter interesses convergentes no início e divergentes depois. As entrevistas, comunicações e decisões devem considerar essa possibilidade, deixando claros o objetivo da apuração e os limites de representação.
- Apagar mensagens para proteger a reputação: A exclusão de e-mails, conversas ou arquivos pode destruir prova defensiva e criar suspeita adicional. A resposta correta é preservar, restringir acessos, registrar medidas adotadas e buscar orientação sobre coleta adequada.
- Confiar apenas em declarações contratuais: Garantias do vendedor são relevantes, mas não substituem diligência, controles e monitoramento pós-fechamento. O comprador deve testar informações relevantes e criar um caminho documentado para tratar inconsistências.
- Ignorar a comunicação pública: Publicações em redes profissionais, comunicados e mensagens a investidores podem ser confrontados com documentos da operação. Toda comunicação sobre suspeitas deve ser verdadeira, necessária, aprovada e compatível com direitos individuais e deveres regulatórios.
Como transformar o checklist em uma rotina de governança
Um roteiro aplicável começa com um mapa de exposição: setor, jurisdições, agentes públicos, terceiros, dados, ativos regulados, histórico de incidentes e pessoas com poder de decisão. Em seguida, cada risco recebe um responsável, uma evidência esperada e um prazo de revisão.
O segundo passo é criar um arquivo de decisão da operação. Ele pode reunir matriz de riscos, pedidos de informação, respostas, entrevistas, pareceres, atas, aprovações, medidas de remediação e justificativas para seguir ou alterar o negócio. O acesso deve ser restrito e auditável, especialmente quando houver dados pessoais ou informações de investigação.
O terceiro passo é testar a integração por amostragem. Se a política exige três aprovações para contratar um intermediário, verifique operações reais depois do fechamento. Se o procedimento exige validação de beneficiário final, confira se a documentação foi obtida e se alguém avaliou o resultado.
Em situações com possível investigação, a preservação probatória deve ocorrer antes de mudanças estruturais que possam sobrescrever dados. O uso de ferramentas forenses e a definição de uma cadeia de custódia podem ser necessários para e-mails, celulares corporativos, sistemas financeiros e registros de acesso.
A Cicotti atua com empresas, sócios e executivos em análises preventivas, investigações e estratégias relacionadas a riscos penais empresariais, com atendimento direto pelos sócios e proteção das informações compartilhadas. A abordagem pode integrar a leitura criminal às decisões societárias, à gestão de crise e à preservação de provas, sem substituir as responsabilidades internas de governança.
Para operações em São Paulo e em outras localidades, a necessidade de resposta pode surgir ainda durante uma negociação, antes de qualquer processo judicial. O valor de um checklist está justamente em orientar decisões enquanto os fatos, documentos e alternativas ainda podem ser examinados com cuidado.
Perguntas que o conselho deve fazer antes de aprovar a operação
A empresa conhece as pessoas físicas e jurídicas que receberão pagamentos, comissões ou benefícios econômicos? Existem contratos públicos, licenças sensíveis, operações internacionais ou relações com agentes públicos que exijam diligência ampliada? As respostas devem estar acompanhadas de fontes, e não apenas de declarações orais.
Quais achados foram confirmados, quais permanecem inconclusivos e quais foram tratados como impeditivos? Uma classificação clara ajuda a distinguir uma irregularidade documental corrigível de um padrão que pode afetar a decisão de aquisição ou exigir investigação independente.
Quem terá autoridade para interromper pagamentos e preservar sistemas depois do fechamento? Se ninguém possui essa atribuição expressa, a operação pode avançar com controles temporários insuficientes, especialmente quando as equipes ainda não conhecem os fluxos umas das outras.
Como a empresa responderá se uma autoridade solicitar informações na semana seguinte à aquisição? O plano deve indicar porta-voz, preservação, análise jurídica, comunicação ao conselho e proteção dos direitos de pessoas físicas. A matriz de decisão para inquéritos, diligências, preservação de provas ou colaboração oferece uma referência para estruturar escolhas sem respostas automáticas.
Finalmente, a administração consegue explicar por que aprovou a operação com os dados disponíveis? Essa pergunta não exige certeza absoluta sobre todos os eventos futuros. Exige demonstrar um processo coerente, informado, proporcional e compatível com a responsabilidade atribuída a cada órgão.
Perguntas Frequentes
Quais são os principais riscos penais em uma operação de fusão ou aquisição?
Os riscos dependem do setor e da estrutura da operação, mas podem envolver corrupção, lavagem de dinheiro, crimes tributários, fraude contábil, crimes ambientais, delitos contra consumidores, investidores ou sistemas digitais. Também podem surgir problemas relacionados a pagamentos a intermediários, ocultação de passivos e uso irregular de dados. A existência de um achado não significa automaticamente que houve crime, pois é necessário examinar fatos, intenção, participação e provas.
A due diligence de M&A deve incluir investigação criminal dos sócios e diretores?
A análise deve ser proporcional, baseada em finalidade legítima e compatível com a legislação aplicável à proteção de dados e à privacidade. É possível verificar fontes públicas, processos, sanções e informações relacionadas ao risco da operação, evitando coleta indiscriminada ou conclusões baseadas em homônimos. Quando houver informação sensível ou risco de exposição pessoal, a metodologia deve ser definida com orientação jurídica específica.
Como documentar uma decisão do conselho para reduzir risco de responsabilização penal?
A ata deve registrar o tema, os documentos examinados, as perguntas feitas, as respostas recebidas, as ressalvas e as providências aprovadas. Também deve indicar limites da decisão e responsáveis pelo acompanhamento, sem inserir dados desnecessários ou afirmações que não tenham sido verificadas. Uma ata fiel ao processo decisório ajuda a demonstrar como os administradores agiram com base nas informações disponíveis.
O que fazer quando a empresa descobre uma irregularidade depois do fechamento da aquisição?
Primeiro, preserve documentos e restrinja alterações nos sistemas relacionados ao fato. Depois, delimite o escopo, evite entrevistas improvisadas, avalie possíveis conflitos entre empresa e pessoas físicas e defina quem conduzirá a apuração. A resposta pode envolver remediação, suspensão de pagamentos, comunicação contratual ou institucional e outras medidas, sempre conforme os fatos confirmados e as obrigações aplicáveis.
Qual é o papel dos diretores na prevenção de riscos penais durante a integração?
Diretores devem conhecer suas competências, exigir documentação compatível com pagamentos e contratações e escalar alertas relevantes. Também precisam assegurar que acessos, sistemas, terceiros e canais de denúncia sejam revisados após o fechamento. A responsabilidade não decorre apenas do cargo, mas decisões concretas, conhecimento, omissões relevantes e participação nos fatos podem ser analisados em uma investigação.
Uma política de compliance basta para proteger a empresa e seus executivos?
Não. Políticas são apenas uma parte do programa e precisam ser acompanhadas por treinamento, monitoramento, controles financeiros, diligência de terceiros, canais confiáveis e resposta documentada. Uma regra que não é aplicada ou não alcança situações reais pode ter pouca utilidade para explicar a conduta da administração. A efetividade deve ser verificada por amostras, indicadores e correção de falhas.
Quando a defesa criminal deve participar de uma operação de M&A?
A participação pode ser necessária antes da conclusão da due diligence quando existirem investigações, suspeitas de fraude, riscos de autoincriminação, incidentes digitais ou documentos que possam ser solicitados por autoridades. A atuação antecipada ajuda a separar comunicação empresarial, investigação interna e defesa de pessoas físicas. Esperar o oferecimento de uma denúncia pode significar perda de oportunidades probatórias e de decisões estratégicas importantes.
