O estranho caso dos episódios de compliance

Há umas semanas declarei, numa conferência, a minha relação emocional com o DORA e a Diretiva NIS 2, dois diplomas de origem europeia sobre cibersegurança e resiliência operacional digital. Causei sobretudo estupefação – e alguma curiosidade, acredito – ao referir que entendo serem diplomas necessários e, em geral, bem elaborados.

Defenderei o ponto: necessários, porque a digitalização de quase todos os aspetos da vida em sociedade exige uma maior proteção dos ativos e processos que suportam tecnologias de informação, responsabilidade que não deve ser deixada à discricionariedade das organizações; bem concebidos, porque permitem, através de uma interpretação cuidada e proporcional, a definição, de quadros de controlos inteligíveis para a proteção e recuperação dos negócios e operações na sua vertente digital.

Ambos os processos legislativos decorreram ao longo de vários anos e contaram com uma ampla participação de empresas, confederações, academia e sociedade civil em geral – ao bom estilo do lawmaking europeu. Ora, não conhecendo coisa alguma na vida corporativa que seja perfeita, há críticas a apontar à legislação, nomeadamente a imposição, em alguns casos, de um padrão demasiado exigente que limita a concorrência, impedindo a entrada de novos concorrentes, sobretudo os mais pequenos que desafiam o mercado instalado.

Sou, desde o início da minha carreira, um profissional de compliance (ou cumprimento), e os riscos dos meus clientes têm-me levado a estar mais próximo – ainda que não em exclusivo – das normas de cibersegurança (e segurança da informação). Muito embora os desafios da atividade de compliance não se esgotem nessas normas – que envolvem também, atualmente, a prevenção da corrupção, o branqueamento de capitais e a sustentabilidade, para nomear alguns –, os riscos digitais e de cibersegurança têm sido uma constante no topo da preocupação das organizações (públicas e privadas) nos últimos 10 anos, como conclui a mais recente edição do estudo ‘A Visão das Empresas Portuguesas sobre os Riscos 2025’. Numa altura em que vivemos na incerteza sobre se haverá regulação a mais, ou se essa mesma regulação será a principal exportação da velha Europa – algo ao estilo da romanização e descrito por Anu Bradford como o “Efeito Bruxelas” –, é importante reconhecer que o cumprimento regulatório eficaz traz vantagens competitivas claras, que começam no reforço da confiança e da reputação junto de clientes e parceiros, e terminam na minimização dos impactos financeiros causados por eventos adversos.

A realidade em Portugal é prova disso mesmo, tendo o último ano sido pródigo em acontecimentos mediáticos facilmente reconduzíveis a casos de estudo – os famosos “casos” – sobre alguns dos principais padrões regulatórios com os quais as organizações se veem a braços para implementar. O ponto é – pasme-se o leitor – que estes marcos normativos têm adesão à realidade e preparam as organizações, quando bem aplicados ao seu contexto, para riscos concretos que, uma vez materializados, lhes causam danos severos. Vejamos:

Apagão

Para o ecossistema dos serviços financeiros foi uma prova de fogo do DORA: das medidas de continuidade de negócio ao reporte de incidentes, passando pela gestão dos prestadores de serviços de tecnologias da informação, os operadores do setor foram postos à prova na sua capacidade de decidir e agir em situação de contingência. A rede de pagamentos, o “santo graal” de disponibilidade do setor financeiro, manteve-se, ainda que com constrangimentos, operacional, tendo a falta de energia elétrica das caixas automáticas e dos terminais de pagamentos sido o principal elemento de perturbação. Para outros setores essenciais, o conhecimento dos principais bottlenecks do negócio e a planificação de medidas de continuidade são sinais do que importa fazer.

Crime financeiro

Ainda no setor financeiro, soubemos no início do ano que o sistema de controlo interno alertou a estrutura do Novo Banco para operações suspeitas relacionadas com o seu Chief Risk Officer. Suspeita-se da prática de crimes de fraude fiscal qualificada, branqueamento de capitais e falsificação, investigados pelas autoridades durante meses, com o administrador ainda em funções. É uma vitória do sistema de prevenção de branqueamento de capitais e financiamento do terrorismo da instituição de crédito, bem como da sua governação, sobretudo pela dificuldade em manter o sigilo relativamente a uma operação em curso que envolve um funcionário com a autoridade, exposição e responsabilidade típicas de um administrador executivo.

Conflitos de interesses no setor público

O país corou ao perceber que um médico auferiu, de uma só instituição do Estado, 51 mil euros por um dia de trabalho. Da informação tornada pública na imprensa podemos perguntar: como pode o mesmo profissional codificar e ser beneficiário da codificação? Não soaram alertas internos face a pagamentos desta monta a um mesmo trabalhador? O canal interno de denúncias foi utilizado? Terão as atividades de SIGIC sido identificadas enquanto risco elevado no Plano de Prevenção de Riscos de Corrupção (PPR) do Hospital de Santa Maria? A existência do PPR leva-nos a acreditar que a instituição implementou as obrigações constantes do Regime Geral de Prevenção da Corrupção (RGPC), que visam precisamente prevenir e sancionar também este tipo de atos.

Corrupção no setor privado

Também no âmbito da corrupção – entendida em sentido amplo, também entre privados –, a evolução da Operação Picoas põe em evidência um caso de potencial utilização de expedientes corporativos para lesar interesses financeiros da própria Altice, dos seus fornecedores e do Estado. Só em impostos, o valor em causa poderá ultrapassar os 100 milhões de euros. Para a empresa, que prossegue com trabalhos de auditoria interna, o prejuízo é, para já, incontável, se considerarmos o dano reputacional a uma marca de grande alcance, não só junto de clientes, mas também de investidores e potenciais parceiros. Do que é conhecido, a maioria das atividades suspeitas poderiam e deveriam ser objeto de ação pelo Plano de Prevenção de Riscos de Corrupção (PPR) da Altice.

Os casos referidos devem levar os responsáveis das organizações – de todas as dimensões e setores – a refletirem sobre as vantagens claras de investir em sistemas eficazes de controlo interno nos vários domínios (segurança da informação, resiliência, prevenção da corrupção, para nomear alguns), aproveitando a legislação como elemento catalisador mudança. A quem muda…