Por Patricia Punder, advogada e CEO da Punder Advogados
Imagine uma sexta-feira, final de tarde, e uma ordem judicial de bloqueio chega ao e-mail do jurídico de uma fintech. O advogado de plantão já saiu, a equipe de tecnologia está em outro fuso e o profissional de compliance só toma ciência na segunda-feira. Nesse intervalo, o dinheiro circulou. Na segunda, a pergunta deixa de ser operacional e vira penal: quem deixou de agir?
Isso não é mais exercício de imaginação desde que a Lei 15.358/2026, o marco legal de combate ao crime organizado, foi sancionada no primeiro semestre desse ano. A lei acerta ao exigir que bancos, fintechs, meios de pagamento e plataformas de criptoativos identifiquem, bloqueiem e reportem recursos ligados a organizações criminosas. O problema não está no que ela cobra das instituições, mas no que pode acabar cobrando das pessoas.
O ponto sensível é a combinação do novo texto com o artigo 13, parágrafo 2º, do Código Penal, a chamada omissão imprópria: responde pelo crime quem tinha o dever de evitá-lo e, podendo, nada fez. Como as normas do Banco Central, entre elas a Circular 3.978 e a Resolução Conjunta 16, descrevem deveres de prevenção à lavagem cada vez mais explícitos, criminalistas já alertam que diretores e compliance officers podem ser enquadrados como garantidores. Se normas administrativas bastam para criar essa posição, a questão segue em aberto no direito penal brasileiro. E é justamente isso que me inquieta, ninguém deveria descobrir os limites da própria responsabilidade dentro de uma denúncia.
Vou ser direta, o Compliance existe para identificar, alertar e recomendar. Quem decide liberar, vender, bloquear ou calar é a alta direção. Governança é coerência entre poder, informação e responsabilidade. Quando o poder fica num andar e a responsabilidade penal em outro, o que se tem não é governança, é um fusível.
Os efeitos práticos são previsíveis, e nenhum é bom. Primeiro, a fuga de talentos, em que bons profissionais recusarão cargos em que assinam um risco que não controlam. Segundo, o compliance defensivo, que nega, bloqueia e encerra contas por precaução e empurra para fora do sistema muita gente honesta. Terceiro, o pior, o programa de fachada, montado menos para evitar o problema do que para ter um CPF a quem apontar quando ele vier.
Não defendo imunidade, e quem sabe e se cala, quem fecha os olhos, quem participa, deve responder, e com rigor. Defendo que a responsabilidade acompanhe o poder real de agir, que é, aliás, o que a própria omissão imprópria pressupõe. E as empresas não precisam esperar nem o legislador nem o tribunal para se proteger e proteger quem trabalha nelas. Há quatro providências ao alcance de qualquer diretoria.
A primeira é um mandato formal, por escrito, o que o compliance pode e não pode decidir, a quem se reporta e com qual acesso ao conselho. Sem poder de agir, não pode haver dever de garantia. A segunda é um registro de recomendações e de aceite de risco, com toda orientação relevante e a decisão que a contrariou, com nome, data e assinatura de quem decidiu. Esse papel separa quem alertou de quem se omitiu. A terceira é um fluxo de bloqueio que não dependa de uma caixa de e-mail: ordem judicial exige dono, plantão, prazo e prova de cumprimento, com jurídico, tecnologia, produto e prevenção a fraudes na mesma mesa. A quarta é proteção real ao profissional, com defesa jurídica contratada, seguro D&O que de fato alcance a função e a garantia de que nenhuma recomendação técnica virará motivo de demissão.
Sempre que um escândalo corporativo estoura, a palavra “compliance” corre para a manchete. A operação que investiga o Banco Master, por exemplo, foi batizada de Compliance Zero, sem que isso prejulgue ninguém. Convém perguntar com igual ênfase quem tinha o poder de decidir. Sem essa pergunta, o debate público tende a condenar a função e absolver o comando.
O país precisa, e muito, de compliance forte no combate ao crime organizado. Mas forte é o que tem voz, poder e proteção, não o que tem apenas CPF. Se a lei quer parceiros na linha de frente, que diga a eles, com clareza, de que lado da linha de responsabilidade estão.
Patricia Punder é partner e fundadora do escritório Punder Advogados. Advogada com 17 anos dedicados ao Compliance, é professora na FIA/USP, UFSCAR, LEC e Tecnológico de Monterrey, foi nomeada perita judicial no caso Americanas e é coautora de quatro livros de referência em compliance e governança.
