Quando o teu chefe tem de assinar o documento

Pense na última vez que teve de assinar algo sobre o qual não tinha a certeza absoluta. Talvez tenha sido um formulário no consultório médico ou um contrato que só leu pela metade. Há aquele momento, com a caneta suspensa no ar, em que se espera silenciosamente que tudo o que acabou de atestar seja realmente verdade. Agora imagine o seu CEO, o seu CFO e o conselho de administração a fazerem o mesmo. Mas, em vez de um formulário de rotina, estão a assinar uma declaração pública no relatório anual da empresa, afirmando que a vossa estrutura de gestão de risco e controlo interno é eficaz. Não «acreditamos que seja eficaz». Não «não tivemos conhecimento de quaisquer problemas graves». Eficaz. Ponto final.

É exatamente isso que o Código de Governo das Sociedades atualizado do Reino Unido, nomeadamente a Disposição 29, exige agora aos conselhos de administração. E se a sua organização tiver qualquer ligação ao Reino Unido (uma subsidiária, uma relação comercial, operações no Reino Unido ou clientes no Reino Unido), é necessário compreender o que isso significa para o programa de GRC que gere no dia a dia.

A disposição 29 não é apenas um problema do Reino Unido

Muitas equipas de conformidade fora do Reino Unido lêem o «Código de Governação Empresarial do Reino Unido» e partem do princípio de que este não se aplica a elas. Isso é um erro. Os sinais de governação têm uma forma de se propagarem, e estes dois têm um alcance transfronteiriço real.

A disposição 29 do Código de Governo das Sociedades do Reino Unido, de janeiro de 2024, entra em vigor para os exercícios financeiros com início em ou após 1 de janeiro de 2026. Exige que os conselhos de administração declarem formalmente, no seu relatório anual, se os seus controlos internos relevantes estão a funcionar, abrangendo riscos financeiros, operacionais, de conformidade e de prestação de contas. Caso os controlos sejam insuficientes, o conselho de administração deve explicar a lacuna existente e apresentar o plano de correção no mesmo relatório. Garantias vagas e formulações genéricas sobre «monitorização contínua» já não serão suficientes.

A acompanhar esta legislação está a Lei de 2023 sobre Crimes Económicos e Transparência Empresarial (ECCTA), que introduz o crime de «incumprimento na prevenção da fraude», que entrou em vigor a 1 de setembro de 2025, com prazos para o cumprimento de determinados requisitos a terem início ao longo de 2026. O âmbito de aplicação desta lei é explicitamente extraterritorial. As grandes organizações com sede fora do Reino Unido podem ainda assim ser alvo de ação penal se uma pessoa associada, incluindo colaboradores no estrangeiro ou filiais, cometer um crime de fraude relacionado com o Reino Unido. A sanção consiste em multas ilimitadas, sendo que a única defesa consiste em demonstrar que existiam e estavam em vigor procedimentos razoáveis de prevenção da fraude.

Em conjunto, a Disposição 29 e a ECCTA 2023 estão a enviar um sinal claro: a era da governação baseada em boas intenções chegou ao fim.

O verdadeiro desafio não é conhecer as regras. É construir as bases.

A maioria dos analistas de conformidade já compreende, em teoria, o que constitui uma boa prática. Sabem que os controlos devem estar associados às obrigações. Sabem que as provas devem estar atualizadas, em vez de serem reunidas à pressa na semana que antecede uma auditoria. Sabem que, quando surge uma nova regulamentação, é necessário que alguém se responsabilize por ela, a atualize e a relacione com todos os aspetos a jusante a que se refere.

O desafio reside no facto de a maioria dos programas de GRC não ter sido, na realidade, concebida dessa forma. Baseiam-se em folhas de cálculo, cadeias de e-mails, ciclos de revisão anuais e esforços individuais heróicos. Produzem um instantâneo da conformidade num determinado momento, e esse instantâneo já fica desatualizado no momento em que é impresso.

Não há problema, até que alguém tenha de assinar o documento.

Quando um conselho de administração é obrigado a declarar formalmente que os controlos relevantes são eficazes à data do balanço, a questão não é se o programa parece bom no papel. A questão é se o programa consegue comprová-lo, de forma contínua e rastreável, sem ter de se apressar a reunir provas a posteriori.

Como é, na realidade, uma base sólida para um programa de GRC

Há uma mudança importante quando se passa de uma mentalidade centrada em projetos de conformidade para uma mentalidade centrada num programa contínuo de GRC: as provas deixam de ser algo que se recolhe e passam a ser algo que se produz como um subproduto natural do funcionamento do programa.

Na prática, isso significa monitorizar os controlos de forma contínua, em vez de os testar anualmente e esperar que nada tenha mudado nos onze meses que se passaram entretanto. Significa atualizar as correspondências entre obrigações e controlos à medida que a regulamentação evolui, de forma automática e com responsabilidades claras, em vez de deixar que um exercício pontual de correspondência fique gradualmente desatualizado. E quando chega a época das auditorias, significa recorrer a um único registo interligado que já reflete a realidade atual, em vez de reunir um conjunto de documentos e e-mails dispersos.

É esta a base que dá aos executivos a confiança necessária para emitirem uma declaração de controlos internos ao nível do conselho de administração. Nem um processo de auditoria melhorado nem uma revisão anual mais exaustiva os levarão a esse ponto. O que funciona é uma arquitetura de programa em que a garantia de conformidade seja um resultado contínuo, em vez de um projeto periódico. É isso que as entidades reguladoras procuram cada vez mais e é precisamente isso que a Disposição 29, em particular, se destina a revelar.

Por que razão a conformidade contínua com as normas de GRC é agora uma expectativa básica

As normas de governação subjacentes à Disposição 29 estão em consonância com uma tendência global mais ampla. As entidades reguladoras do Reino Unido, da UE, dos EUA e de outros países estão a afastar-se dos relatórios pontuais, optando por uma governação contínua e baseada em resultados, com uma verdadeira responsabilização ao mais alto nível. A lei Sarbanes-Oxley apontou esta direção para as empresas cotadas nos EUA há vários anos. A Disposição 29 está agora a exercer uma pressão análoga sobre as empresas cotadas no Reino Unido, e a ECCTA alarga a responsabilização às organizações com qualquer ligação significativa ao Reino Unido.

Para os analistas de conformidade, isto é importante porque os programas pelos quais são responsáveis de criar e manter constituem a base de provas diretas para o que os executivos terão de afirmar. A discrepância entre o que o conselho de administração precisa de declarar e o que a maioria dos programas consegue efetivamente demonstrar quando solicitado é onde reside o verdadeiro risco.

A gestão contínua das alterações regulamentares (acompanhamento de novas obrigações, associação das mesmas aos controlos, atribuição de responsabilidades e recolha de provas em tempo real) já não é uma aspiração. É o modelo operacional.

O papel do Archer Evolv™

É aqui que a tecnologia GRC especificamente concebida para o efeito ganha o seu lugar. O Archer Evolv foi concebido em torno precisamente deste modelo operacional: um ciclo contínuo de «Ouvir → Decidir → Agir → Garantir → Aprender» que mantém o programa GRC atualizado sem depender de esforços manuais para o manter em funcionamento.

As alterações regulamentares são detetadas e associadas automaticamente aos controlos afetados. As provas são registadas no decorrer do trabalho, não reunidas à última da hora. Quando surge uma lacuna num controlo, esta fica visível para as pessoas responsáveis pela sua correção, em vez de ser descoberta seis meses mais tarde por um auditor. E quando alguém ao nível do conselho de administração precisa de compreender se a estrutura de gestão de riscos e de controlo interno é eficaz, a resposta provém de um registo atualizado e rastreável, em vez de uma suposição feita sob pressão.

No que diz respeito às obrigações de prestação de contas a nível do conselho de administração que a Disposição 29 e a ECCTA 2023 estão a criar, essa é a diferença entre uma declaração que os vossos executivos podem apoiar com confiança e uma que os mantém acordados à noite.

Conclusão para os analistas de risco e conformidade

São vocês que, na prática, desenvolvem e mantêm estes programas. As declarações a nível do conselho de administração ao abrigo da Disposição 29 e as obrigações de prevenção de fraudes ao abrigo da ECCTA dependem, em última análise, do trabalho que realizam todos os dias: identificar as obrigações, manter a biblioteca de controlos, acompanhar as provas, assinalar lacunas e manter toda a estrutura atualizada.

A mudança na governação no Reino Unido é um sinal ao qual vale a pena prestar atenção, mesmo que a sua organização não esteja diretamente abrangida por esta mudança neste momento. As entidades reguladoras a nível mundial estão a avançar para uma governação de controlo interno contínua e responsável perante o conselho de administração, com consequências reais associadas, e os programas baseados em esforços periódicos e na integração manual terão dificuldade em acompanhar esta evolução. Serão os executivos acima de si que terão de confirmar publicamente o contrário.

A boa notícia é que a base não é complicada de descrever: uma biblioteca de controlo interligada, mantida atualizada, com dados que falam por si. Crie isso e os seus executivos não terão de ficar com a caneta na mão.

Para mais informações, leia um artigo recente da Governance Intelligence.

Perguntas frequentes

O que é a disposição n.º 29 do Código de Governo das Sociedades do Reino Unido?

A disposição n.º 29 do Código de Governo das Sociedades do Reino Unido de 2024 exige que os conselhos de administração das empresas cotadas no mercado principal façam uma declaração anual explícita no seu relatório anual, confirmando se a gestão dos riscos significativos e os controlos internos são eficazes. Esta disposição aplica-se aos exercícios financeiros com início em ou após 1 de janeiro de 2026 e abrange os controlos financeiros, operacionais, de conformidade e de prestação de contas.

A Disposição 29 aplica-se a empresas fora do Reino Unido?

A disposição n.º 29 aplica-se diretamente às empresas cotadas nos mercados do Reino Unido regulados pela FCA. No entanto, as organizações multinacionais com subsidiárias cotadas no Reino Unido, operações no Reino Unido ou sujeitas à regulamentação britânica devem avaliar cuidadosamente as suas obrigações, uma vez que as expectativas em matéria de governação que esta disposição sinaliza estão a influenciar normas internacionais mais amplas.

O que é a infração de «incumprimento na prevenção da fraude» prevista na ECCTA 2023?

A Lei sobre Crimes Económicos e Transparência Empresarial de 2023 introduziu um crime empresarial consistente na incapacidade de prevenir a fraude, que entrou em vigor a 1 de setembro de 2025. Aplica-se a grandes organizações a nível mundial — incluindo aquelas com sede fora do Reino Unido — nos casos em que uma pessoa associada cometa um crime de fraude relacionado com o Reino Unido. A única defesa consiste em demonstrar que estavam em vigor procedimentos razoáveis de prevenção da fraude.

De que forma um programa de GRC contribui para o cumprimento da Disposição 29?

Um programa contínuo de GRC mantém os controlos alinhados com as obrigações atuais, recolhe provas como resultado das operações diárias e mantém um registo rastreável que sustenta as declarações de controlo interno ao nível do conselho de administração. Isto substitui os instantâneos pontuais das abordagens tradicionais de conformidade por uma garantia sempre atualizada.

O que é que o Archer Evolv faz em matéria de conformidade com os controlos internos?

O Archer Evolv oferece um modelo operacional de GRC baseado em IA — o ciclo «Ouvir → Decidir → Agir → Garantir → Aprender» — que monitoriza continuamente as alterações regulamentares, associa as obrigações aos controlos, encaminha o trabalho para os responsáveis com todo o contexto e recolhe automaticamente provas prontas para auditoria. Isto proporciona aos conselhos de administração a base rastreável e defensável necessária para as declarações ao abrigo da Disposição 29 e para os procedimentos de prevenção de fraude da ECCTA.