Como Investigar Relatos de um Canal de Denúncias: Protocolo, Imparcialidade e Boas Práticas

O risco que ninguém vê: investigar mal é pior do que não ter canal

Existe uma máxima que todo profissional de compliance experiente conhece, e que a maioria das empresas aprende da forma mais cara possível: o risco maior não está na denúncia recebida. Está na forma como a empresa a apura.

Investigações superficiais, ausência de critérios objetivos, vazamento de informações confidenciais, exposição indevida do denunciante, falhas na preservação de evidências, decisões tomadas sem fundamentação adequada: essas situações frequentemente produzem consequências jurídicas mais graves do que a própria conduta originalmente reportada.

Na prática, a empresa cria um problema maior do que aquele que buscava solucionar.

A inexistência de protocolos claros para tratamento das denúncias transforma o canal em um ambiente de insegurança jurídica, potencializando conflitos internos e ampliando riscos trabalhistas e reputacionais. E há um dado normativo que reforça isso: o Decreto nº 11.129/2022, que regulamenta a Lei Anticorrupção, introduziu explicitamente a palavra "tratamento" ao descrever as obrigações do canal de denúncias. Não basta receber a denúncia: é preciso apurá-la com qualidade e dar retorno ao denunciante.

Este artigo apresenta o protocolo completo de investigação interna de relatos: da triagem ao encerramento do caso, com os critérios de imparcialidade, a documentação necessária e as boas práticas que diferenciam uma apuração que protege a empresa de uma que a expõe.

Por que a qualidade da investigação é um requisito legal

Antes de entrar no protocolo, é importante entender o quadro normativo que impõe obrigações sobre o tratamento de relatos, não apenas sobre o recebimento.

O Decreto nº 11.129/2022 (regulamentação da Lei Anticorrupção) exige que o programa de integridade tenha "canais de denúncia de irregularidades abertos a funcionários e terceiros, e mecanismos destinados ao tratamento de denúncias". A palavra tratamento é intencional e abrangente: inclui triagem, investigação, decisão e retorno ao denunciante.

A Lei nº 14.457/2022 (Programa Emprega + Mulheres) estabelece que o canal de denúncias para empresas com CIPA deve ter um processo estruturado de apuração dos relatos de assédio moral e sexual, com prazos definidos e proteção ao denunciante.

A Portaria CGU nº 226/2025, que avalia Programas de Integridade para fins de contratação pública, verifica se a empresa tem histórico de relatos recebidos e tratados, não apenas se o canal existe. Um canal que recebe relatos mas não os apura adequadamente é evidência de programa inoperante.

E em maio de 2026, a CGU publicou orientações operacionais sobre proteção ao denunciante e apuração segura, sinalizando que o tratamento adequado dos relatos será cada vez mais verificado em auditorias e processos de avaliação de programas de integridade.

O quadro é claro: ter um canal de denúncias sem um processo de investigação estruturado é conformidade pela metade.

Etapa 1: Recebimento e triagem inicial

O processo de investigação começa antes de qualquer apuração: na triagem do relato recebido.

O que avaliar na triagem

Plausibilidade: o relato descreve um fato que poderia ter ocorrido? Há coerência interna na narrativa? Não se trata de julgar se ocorreu: isso é função da investigação. A triagem avalia se o relato tem elementos suficientes para ser investigado.

Materialidade inicial: o fato relatado, se verdadeiro, configuraria uma violação ao Código de Conduta, às políticas internas, à legislação vigente ou aos padrões éticos da empresa? Relatos que descrevem situações de conflito interpessoal sem natureza de infração precisam ser diferenciados de relatos de fraude, assédio ou corrupção.

Classificação: qual é a natureza do relato? As categorias mais comuns incluem assédio moral, assédio sexual, fraude financeira, corrupção, violação de dados, conflito de interesses, discriminação e descumprimento de políticas internas. A classificação define o fluxo de investigação e quem deve conduzi-la.

Urgência: o fato relatado indica risco imediato: à integridade de pessoas, à continuidade de operações ou à preservação de evidências? Se sim, medidas cautelares precisam ser tomadas antes do início formal da investigação.

Quem faz a triagem

A triagem deve ser feita por um número mínimo de pessoas: idealmente uma ou duas, com formação em compliance ou ética. O excesso de acesso é um dos erros mais comuns: triagens feitas por equipes grandes aumentam o risco de vazamento da identidade do denunciante, mesmo em relatos anônimos.

As orientações da CGU de maio de 2026 reforçam este ponto, mesmo quando a identidade não é formalmente compartilhada, ela pode ser inferida a partir de detalhes do relato: setor, turno, narrativa em primeira pessoa. Controlar o acesso desde a triagem é essencial para proteger o denunciante.

Prazos de triagem

Uma boa prática de mercado, referenciada em guias especializados, é:

• Acuse de recebimento ao denunciante: em até 5 dias úteis
• Conclusão da triagem: em até 10 dias úteis
• Início da investigação (se houver): em até 15 dias úteis do recebimento

Esses prazos precisam estar definidos no procedimento interno, e precisam ser cumpridos. Denunciantes que não recebem qualquer retorno perdem a confiança no canal e param de reportar.

Etapa 2: Planejamento da investigação

Relatos que passam pela triagem e são classificados como passíveis de investigação entram na segunda etapa: o planejamento da apuração.

Definir quem vai investigar

Esta é uma das decisões mais críticas do processo, e a que mais frequentemente gera passivos quando mal tomada.

O investigador não pode ter nenhuma relação com o investigado ou com o denunciante. Isso inclui vínculos hierárquicos diretos, relação de amizade conhecida, histórico de conflito ou qualquer outro elemento que comprometa a imparcialidade real ou percebida.

Relatos que envolvem a alta liderança exigem investigação independente. Se o relato envolve um diretor, um sócio ou o próprio CEO, a investigação não pode ser conduzida por ninguém que reporte a essa pessoa, o que frequentemente significa que a investigação precisa ser terceirizada para um consultor externo independente.

Do ponto de vista da cultura organizacional, o investigador externo tem uma vantagem estrutural, não convive com os envolvidos. Isso reduz o risco de pressão informal e aumenta a percepção de imparcialidade: o que, por si só, estimula o uso do canal no longo prazo.

Perfil do investigador interno: para investigações de menor complexidade, o responsável por compliance, o jurídico ou um comitê de ética pode conduzir a apuração: desde que atendidos os critérios de independência acima.

Elaborar o plano de investigação (planning memo)

O planning memo é o documento que estrutura a investigação antes que ela comece. Deve conter:

• Resumo do relato e classificação
• Hipóteses a serem investigadas
• Evidências que precisam ser coletadas e preservadas
• Pessoas que serão ouvidas (e em qual ordem)
• Documentos e sistemas que serão analisados
• Medidas cautelares necessárias
• Cronograma estimado
• Responsável pela condução

Esse documento tem valor duplo: organiza a investigação e cria evidência de que o processo foi planejado metodicamente, o que é relevante tanto em auditorias internas quanto em eventuais processos judiciais ou administrativos.

Etapa 3: Coleta e preservação de evidências

A qualidade de uma investigação interna é determinada, em grande medida, pela qualidade das evidências coletadas e pela forma como foram preservadas.

Princípios da cadeia de custódia

Evidências digitais: e-mails, mensagens de WhatsApp, registros de sistemas, gravações: precisam ser preservadas de forma que sua autenticidade não possa ser questionada. Algumas práticas fundamentais:

Não altere o original. Sempre trabalhe com cópias das evidências digitais. Acessar e modificar um arquivo original pode torná-lo inadmissível.

Documente o acesso. Cada evidência coletada deve ter um registro de quem a coletou, quando e de onde. Essa cadeia de custódia é o que garante a autenticidade da evidência em um processo judicial.

Use certificação digital quando necessário. Para mensagens de WhatsApp, e-mails e outros registros digitais relevantes, a prática recomendada é a certificação por ata notarial ou por plataformas digitais de verificação técnica de conteúdo: que geram relatórios de extração com auditabilidade comprovada.

Preserve antes de notificar. Em investigações que envolvem acesso a sistemas ou comunicações corporativas, preserve as evidências antes de qualquer comunicação com o investigado: que poderia apagá-las ao ser informado da apuração.

Limites no acesso a dispositivos e comunicações

Um ponto crítico que frequentemente gera passivos trabalhistas: o acesso a dispositivos e comunicações dos colaboradores tem limites legais que precisam ser respeitados.

Dispositivos corporativos podem ser analisados pela empresa, mas o colaborador deve ter sido previamente informado sobre essa possibilidade: idealmente por cláusula no contrato de trabalho ou no Código de Conduta.

Dispositivos pessoais não podem ser acessados pela empresa sem consentimento do colaborador ou ordem judicial.

Comunicações em canais corporativos (e-mail corporativo, sistemas internos) são acessíveis à empresa. Comunicações em aplicativos pessoais (WhatsApp, Telegram) usados em dispositivos corporativos para fins profissionais são uma zona de maior complexidade jurídica: o ideal é colher o consentimento do colaborador ou buscar orientação jurídica antes de acessar.

Etapa 4: Condução das entrevistas

As entrevistas são o coração da investigação interna. A ordem, a preparação e a condução de cada entrevista impactam diretamente a qualidade das informações obtidas e a solidez do processo.

Ordem recomendada das entrevistas

1. Testemunhas primeiro. Pessoas que podem ter presenciado os fatos, mas que não são o denunciante nem o investigado. Ouvir testemunhas antes do investigado permite que o investigador chegue à entrevista principal com mais informações, e reduz o risco de que o investigado ajuste sua versão com base em informações externas.

2. Denunciante (se identificado e se necessário). Nem sempre é necessário ou recomendado entrevistar o denunciante, especialmente em relatos anônimos ou quando o relato já é suficientemente detalhado. Quando a entrevista é necessária, ela deve acontecer em ambiente seguro, com garantia de confidencialidade e proteção explícita contra retaliação.

3. Investigado por último. O investigado tem o direito ao contraditório: de conhecer as acusações e apresentar sua versão. Essa entrevista deve acontecer com base nas evidências já coletadas, e o investigado deve ser informado de que tem o direito de ser acompanhado por advogado de sua confiança.

Como conduzir as entrevistas

• Use perguntas abertas: deixe o entrevistado narrar livremente antes de fazer perguntas específicas
• Não sugira respostas nem demonstre julgamento antecipado
• Registre o conteúdo da entrevista por escrito, com data, local, participantes e principais pontos abordados
• Oriente o entrevistado sobre confidencialidade: que não deve comentar a investigação com colegas
• Esclareça que a cooperação com a investigação é esperada, mas documente qualquer recusa

Direitos do investigado

Uma investigação interna precisa respeitar um conjunto mínimo de garantias do investigado, mesmo que o processo seja informal e sem a rigidez de um processo judicial:

• Direito de conhecer a acusação em linhas gerais (sem revelar necessariamente a identidade do denunciante)
• Direito de apresentar sua versão dos fatos
• Direito de indicar testemunhas e documentos em sua defesa
• Direito de ser acompanhado por advogado na entrevista

O desrespeito a esses direitos não apenas compromete a validade ética do processo: pode tornar qualquer medida disciplinar subsequente judicialmente questionável.

Etapa 5: Análise e conclusão

Com as evidências coletadas e as entrevistas realizadas, a fase de análise consiste em avaliar os achados e chegar a uma conclusão fundamentada.

As três possíveis conclusões

Procedente: as evidências confirmam a ocorrência da conduta relatada. A investigação documenta os fatos apurados, identifica os responsáveis e indica as medidas recomendadas.

Improcedente: as evidências não confirmam a ocorrência da conduta relatada. Isso não significa necessariamente que o denunciante mentiu: pode significar que não havia evidências suficientes para confirmar o relato. A conclusão de improcedência precisa ser fundamentada, não apenas declarada.

Inconclusiva: as evidências coletadas não são suficientes para confirmar nem refutar o relato. Essa situação exige uma decisão sobre encerrar o caso ou ampliar a investigação com novas diligências.

O relatório de investigação

O relatório final é o documento que registra todo o processo de investigação e sua conclusão. Deve conter:

• Resumo do relato e data de recebimento
• Classificação do relato e fundamento normativo aplicável
• Metodologia da investigação (evidências coletadas, entrevistados)
• Análise das evidências
• Conclusão fundamentada
• Medidas recomendadas (quando procedente)
• Data de conclusão

O relatório é um documento sigiloso: seu acesso deve ser restrito às pessoas estritamente necessárias. A distribuição ampla do relatório: ou pior, seu vazamento: pode gerar responsabilidade civil e trabalhista para a empresa.

Um ponto crítico recomendado pela CGU em suas orientações de 2026: relatórios que circulam dentro da empresa precisam ser pseudonimizados em relação ao denunciante, com supressão de elementos de identificação, mesmo que a identidade não seja formalmente compartilhada. A identidade pode ser inferida a partir de detalhes do relato.

Etapa 6: Medidas e encerramento do caso

A conclusão da investigação desdobra-se em dois caminhos: medidas (quando o relato é procedente) e encerramento formal do caso.

Medidas disciplinares e corretivas

Quando a investigação confirma a ocorrência da infração, as medidas precisam ser:

Proporcionais: a sanção aplicada deve ser compatível com a gravidade da conduta. Penalidades desproporcionais: tanto brandas demais quanto severas demais: comprometem a credibilidade do programa de integridade.

Consistentes: a mesma conduta deve gerar a mesma sanção, independentemente do cargo ou tempo de empresa do infrator. A aplicação desigual de medidas disciplinares é um dos principais fatores de deterioração da cultura ética.

Documentadas: toda medida disciplinar precisa estar registrada: advertência escrita, suspensão, desligamento, com o fundamento factual e normativo que a sustenta.

Comunicadas ao infrator com o devido processo: o infrator deve ser informado da conclusão da investigação, das evidências que a sustentam e da medida a ser aplicada. Medidas disciplinares tomadas sem esse processo podem ser contestadas judicialmente.

Quando aplicável, a investigação pode também gerar medidas corretivas de processo: revisão de controles internos, atualização de políticas, treinamento de equipes: que reduzem o risco de recorrência da conduta.

Retorno ao denunciante

Esta é a etapa mais negligenciada em canais de denúncias no Brasil. E é uma das mais importantes.

O denunciante que não recebe nenhum retorno sobre o que aconteceu com seu relato não sabe se foi ouvido, se a investigação aconteceu ou se a empresa simplesmente ignorou o relato. Esse silêncio é um dos principais fatores que desincentivam futuros relatos.

O retorno ao denunciante não precisa, e não deve: revelar os detalhes da investigação, a identidade do investigado ou a conclusão específica. Deve apenas confirmar:

• Que o relato foi recebido e tratado
• Que o processo foi concluído
• Que medidas foram adotadas (em termos gerais, sem detalhes que comprometam a confidencialidade)

Esse retorno pode ser feito pelo próprio canal de denúncias, especialmente quando o denunciante é anônimo: através do código de acompanhamento que plataformas como o Eticonfidencial fornecem. O denunciante acessa a plataforma com seu código e verifica o status e o desfecho do seu relato, sem precisar se identificar.

Encerramento formal e arquivamento

Após todas as medidas adotadas, o caso deve ser formalmente encerrado com:

• Registro da data de encerramento
• Status final (procedente, improcedente, inconclusivo)
• Medidas adotadas (em resumo)
• Arquivamento seguro de toda a documentação da investigação

O prazo de arquivamento deve ser definido pela empresa: a recomendação geral é de no mínimo 5 anos: considerando que a documentação pode ser necessária em processos judiciais trabalhistas, fiscalizações da CGU ou auditorias de programas de integridade.

Os erros mais comuns que transformam a investigação em passivo

Com base na experiência prática e nas orientações da CGU e do mercado, estes são os erros que com mais frequência geram consequências jurídicas severas:

1. Investigar sem independência Designar para investigar alguém que tem relação hierárquica, pessoal ou de interesse com o investigado. Isso contamina o processo e, se houver processo judicial, pode invalidar as conclusões.

2. Vazar informações durante a investigação Comentários informais sobre o relato, e-mails enviados para equipes grandes, conversas de corredor: qualquer vazamento durante a investigação pode expor o denunciante, alertar o investigado e destruir evidências.

3. Ignorar os direitos do investigado Tomar medidas disciplinares sem dar ao investigado a oportunidade de apresentar sua versão. Isso cria passivo trabalhista independentemente de o relato ser verdadeiro.

4. Não documentar o processo Tomar decisões verbais, sem registro. Se a decisão for contestada judicialmente, a ausência de documentação é presumida contra a empresa.

5. Não dar retorno ao denunciante O silêncio institucional desacredita o canal. Colaboradores que percebem que seus relatos não geram nenhuma resposta param de usar o canal, e a empresa perde sua principal ferramenta de detecção precoce de riscos.

6. Aplicar medidas disciplinares inconsistentes Punir severamente um colaborador de nível operacional pela mesma conduta que gerou apenas uma advertência para um gestor. Essa inconsistência é documentada, torna-se pública internamente e destrói a credibilidade do programa de integridade.

7. Encerrar o caso sem medidas corretivas de processo Mesmo quando a conduta individual é endereçada, se o processo ou controle que permitiu a ocorrência não for revisado, a empresa permanece exposta à recorrência.

Como o Eticonfidencial estrutura o fluxo de investigação

O processo de investigação não começa quando o analista de compliance abre o relato: começa no momento em que o denunciante acessa o canal. Uma plataforma de canal de denúncias bem estruturada já condiciona a qualidade da investigação desde o recebimento.

O Eticonfidencial foi desenvolvido com esse fluxo completo em mente:

• Recebimento seguro e anônimo: o relato chega sem expor o denunciante, com código de acompanhamento que permite comunicação bidirecional sem identificação
• Triagem estruturada: classificação do relato por categoria, gravidade e urgência já no recebimento
• Controle de acesso restrito: apenas as pessoas designadas têm acesso ao conteúdo do relato: por definição de perfis, não por boa vontade
• Fluxo de investigação rastreável: cada etapa do processo é registrada: quem acessou, quando, quais ações foram tomadas: gerando a rastreabilidade que o Decreto 11.129/2022 e a CGU exigem
• Comunicação com o denunciante: o denunciante pode acompanhar o status do relato e receber o retorno sobre o desfecho pelo próprio canal, sem precisar se identificar
• Geração de relatórios: dados agregados sobre relatos recebidos, tempo médio de tratamento e categorias mais frequentes: os indicadores que demonstram que o canal está funcionando

Checklist: sua empresa está preparada para investigar relatos?

Triagem e classificação

• Processo de triagem documentado com critérios de plausibilidade e materialidade
• Acesso ao conteúdo dos relatos restrito ao mínimo necessário
• Prazos de triagem e resposta definidos e sendo cumpridos
• Categorias de relatos definidas para orientar o fluxo de investigação

Planejamento e independência

• Critérios de independência do investigador formalmente definidos
• Processo para investigação de relatos envolvendo alta liderança (investigação externa)
• Planning memo elaborado antes do início de cada investigação

Coleta de evidências

• Procedimento de preservação de evidências digitais documentado
• Cadeia de custódia registrada para cada evidência coletada
• Limites de acesso a dispositivos e comunicações formalizados

Condução das entrevistas

• Ordem de entrevistas definida (testemunhas: �� denunciante: �� investigado)
• Garantias do investigado (contraditório, direito a advogado) respeitadas
• Registro de cada entrevista documentado

Conclusão e medidas

• Relatório de investigação com conclusão fundamentada elaborado
• Relatório com acesso restrito e pseudonimização do denunciante
• Medidas disciplinares proporcionais, consistentes e documentadas
• Retorno ao denunciante sobre o desfecho do caso

Encerramento e arquivo

• Encerramento formal do caso registrado
• Documentação arquivada com prazo de guarda definido (mínimo 5 anos)
• Medidas corretivas de processo implementadas quando necessário

FAQ: Perguntas frequentes sobre investigação de relatos

1. A empresa é obrigada a investigar todos os relatos recebidos no canal de denúncias?

Não todos, mas deve ter critérios claros para decidir quais investigar. Relatos manifestamente improcedentes (por exemplo, reclamações sobre decisões de gestão sem natureza de infração ética ou legal) podem ser encerrados na triagem, com registro documentado do motivo. O que não é aceitável é ignorar relatos sem triagem ou tratamento. O Decreto 11.129/2022 exige mecanismos de tratamento, e a CGU verifica se os relatos recebidos foram de fato apurados.

2. O investigado pode ser afastado durante a investigação?

Sim, em casos onde há risco de interferência nas evidências ou nas pessoas envolvidas. O afastamento preventivo não é punição: é medida cautelar. Deve ser comunicado ao colaborador de forma clara, com prazo definido, e não deve ser usado de forma punitiva antes da conclusão da investigação. O afastamento sem justificativa adequada pode ser questionado como prática de retaliação invertida.

3. O denunciante pode ser identificado durante a investigação?

Apenas se o próprio denunciante concordar. A proteção à identidade do denunciante é um dos pilares do sistema, e sua violação, além de configurar retaliação, pode destruir a credibilidade do canal. Mesmo em relatos confidenciais (onde o denunciante se identifica para a gestão do canal), sua identidade não deve ser revelada ao investigado ou à liderança sem autorização expressa.

4. O que fazer quando o relato é anônimo e as evidências são insuficientes?

Investigar com o que está disponível: documentos, sistemas, testemunhas. Se ao final da investigação as evidências forem insuficientes para confirmar ou refutar o relato, a conclusão é "inconclusiva", não "improcedente". Manter o arquivo do caso permite que novos relatos sobre a mesma conduta sejam cotejados com o histórico, aumentando as chances de apuração em uma segunda oportunidade.

5. Quem deve ter acesso ao relatório final de investigação?

O acesso deve ser o mais restrito possível: idealmente o responsável de compliance, o jurídico e a liderança que precisa tomar a decisão sobre medidas. O relatório não deve circular amplamente na empresa nem ser compartilhado com pessoas que não têm necessidade de conhecer o conteúdo. A pseudonimização dos dados do denunciante é recomendada mesmo nas versões restritas.

Conclusão: o canal de denúncias vale o que vale seu processo de investigação

Um canal de denúncias sem processo de investigação estruturado é uma ilusão de conformidade. Pior: é um passivo disfarçado de proteção.

A empresa que recebe relatos e não os apura adequadamente não apenas perde a oportunidade de detectar riscos: ela demonstra, de forma documentada, que sabia dos problemas e não agiu. Em um processo judicial trabalhista, em uma fiscalização da CGU ou em uma auditoria de programa de integridade, esse histórico é devastador.

A qualidade do processo de investigação é o que diferencia um canal de denúncias que protege a empresa de um que a expõe. E essa qualidade começa antes do primeiro relato: na definição do protocolo, na capacitação dos responsáveis e na escolha de uma plataforma que estruture o fluxo de ponta a ponta.

A Compliance Brazil implementa canais de denúncias completos: da plataforma Eticonfidencial ao protocolo de investigação, treinamento dos responsáveis pelo tratamento de relatos e suporte na condução de investigações complexas, incluindo casos que envolvem a alta liderança.

Agende um diagnóstico gratuito e descubra se o processo de investigação do seu canal de denúncias está estruturado para proteger: ou expor: sua empresa.

Referências

• Decreto nº 11.129/2022: Regulamenta a Lei Anticorrupção (Art. 57, X)
• Lei nº 14.457/2022: Programa Emprega + Mulheres (Canal de Denúncias)
• Portaria CGU nº 226/2025: Avaliação de Programas de Integridade
• CGU: Orientações sobre proteção ao denunciante e apuração segura (maio de 2026)
• Portaria CGU nº 581/2021: Procedimento de proteção ao denunciante no Fala.BR
• Lei nº 12.846/2013: Lei Anticorrupção
• ISO 37002: Sistema de Gestão de Whistleblowing