Livro Compliance e proteção de dados

Prévia do material em texto

Giovani Saavedra e Ana Cláudia Redecker
COMPLIANCE E 
PROTEÇÃO DE DADOS
Fernanda Luiza Fontoura de Medeiros
O código de conduta é a minha bússola.
2
Conheça o livro da disciplina
CONHEÇA SEUS PROFESSORES 3
Conheça os professores da disciplina. 
EMENTA DA DISCIPLINA 4
Veja a descrição da ementa da disciplina. 
BIBLIOGRAFIA DA DISCIPLINA 5
Veja as referências principais de leitura da disciplina. 
O QUE COMPÕE O MAPA DA AULA? 6
Confira como funciona o mapa da aula.
MAPA DA AULA 7
Veja as principais ideias e ensinamentos vistos ao longo da aula.
RESUMO DA DISCIPLINA 35
Relembre os principais conceitos da disciplina. 
AVALIAÇÃO 36
Veja as informações sobre o teste da disciplina. 
3
Ao longo de mais de 25 anos de experiência, atua em consultoria, 
planejamento e estruturação patrimonial e de atividades 
empresariais com foco no desenvolvimento de soluções práticas e 
efetivas representando clientes brasileiros e estrangeiros. Também 
atua como árbitra em disputas contratuais e societárias. É árbitra 
listada na Câmara de Arbitragem da Federasul. É professora da 
Escola de Direito da Pontifícia Universidade Católica do Rio Grande 
do Sul (PUCRS), onde leciona nos cursos de graduação e de pós-
graduação. É autora de diversos artigos e livros sobre contratos, 
arbitragem, direito societário, recuperação de empresas e falência. 
Trabalha em estreita colaboração com outras áreas do direito 
em parceria com profissionais com vasta experiência quando a 
demanda requer uma abordagem interdisciplinar.
ANA CLÁUDIA REDECKER
Professora PUCRS
Um dos maiores nomes em Compliance da atualidade, Giovani 
Saavedra é presidente de um instituto e de uma associação 
focados em Auditoria. Advogado e professor, reúne habilidades 
em Conformidade, Sistemas Operacionais e Crimes de Colarinho 
Branco. Doutor, Giovani Saavedra é professor adjunto de Direito 
Penal Empresarial, Compliance e Filosofia na PUCRS e sócio-
fundador da Saavedra & Gottschefsky Advogados Associados, 
onde é responsável pela área de Direito Penal Empresarial e 
Compliance. Saavedra também é presidente do Instituto ARC, 
da ABRARC e do Comitê Especial de Prevenção de Corrupção 
da OAB-RS, além de ser membro da Comissão Especial de 
Compliance do Conselho Federal da OAB.
GIOVANI SAAVEDRA
Professor Convidado
Conheça seus professores
4
Ementa da Disciplina
Compliance: noções gerais. Sistema de Gestão de Proteção de Dados. Estudo 
do Compliance e suas possíveis contribuições para a compreensão do fenômeno 
jurídico e da formação de uma cultura ética empresarial. Assessments. Comitê de 
Ética / Comitê de Privacidade e Proteção de Dados; Política de Terceiros. Auditoria 
e revisão do Sistema de Gestão de Compliance de Proteção de Dados.
5
Bibliografia da Disciplina
As publicações destacadas têm acesso gratuito. 
Bibliografia básica
ALBERS, Marion. A complexidade da proteção de dados. In: Revista Direitos 
Fundamentais & Justiça, a. 10, n. 35, jul./dez. 2016. 
BIONI, Bruno Ricardo. Proteção de dados pessoais: a função e os limites do 
consentimento. Rio de Janeiro: Forense, 2019.
LÓSSIO, Claudio Joel Brito. Proteção de dados e compliance digital. São Paulo: 
Almedina, 2021.
SAAVEDRA, Giovani Agostini. Governança corporativa, compliance e gestão de Riscos. 
São Paulo: ESENI, 2021.
SAAVEDRA, Giovani Agostini. Governança Corporativa, Compliance e Proteção de 
Dados - volume 1. São Paulo: ESENI, 2021. 
SOUSA LIMA, Fernando Rister de; SMANIO, Gianpaolo Poggio. Proteção de Dados, 
Compliance e Insider Trading. São Paulo: Almedina, 2021.
Bibliografia complementar
DONEDA, Danilo. A proteção dos dados pessoais como um direito fundamental. In: 
Espaço Jurídico Journal of Law, v. 12, n. 2, p. 91-108, jul./dez. 2011. 
DONEDA, Danilo. Da privacidade à proteção de dados pessoais. Fundamentos da Lei 
Geral de Proteção de Dados. 2. ed. São Paulo: Revista dos Tribunais, 2019.
IMONIANA, Joshua Onome. Auditoria de Sistemas de Informação. 3ª. Edição. São 
Paulo: Atlas, 2017. 
MALDONADO, Viviane Nóbrega. Lei Geral de Proteção de Dados. Manual de 
Implementação. São Paulo: Thompson Reuters Brasil, 2019.
SAAVEDRA, Giovani; SARLET, Ingo Wolfgang. Fundamento Jusfilosóficos e Âmbito 
de Proteção do Direito Fundamental. In: Revista de Direito Público (RDP), Vol. 17, n. 
93, maio/junho, 2020, pp. 33-57. 
https://primo-pmtna01.hosted.exlibrisgroup.com/permalink/f/ei1pdl/TN_cdi_crossref_primary_10_30899_dfj_v10i35_93
https://primo-pmtna01.hosted.exlibrisgroup.com/permalink/f/ei1pdl/TN_cdi_crossref_primary_10_30899_dfj_v10i35_93
https://periodicos.unoesc.edu.br/espacojuridico/article/view/1315
https://periodicos.unoesc.edu.br/espacojuridico/article/view/1315
https://primo-pmtna01.hosted.exlibrisgroup.com/permalink/f/1paomtm/sfx4340000000020919
https://primo-pmtna01.hosted.exlibrisgroup.com/permalink/f/1paomtm/sfx4340000000020919
https://www.portaldeperiodicos.idp.edu.br/direitopublico/article/view/4315
https://www.portaldeperiodicos.idp.edu.br/direitopublico/article/view/4315
https://www.portaldeperiodicos.idp.edu.br/direitopublico/article/view/4315
6
O que compõe o 
Mapa da Aula?
MAPA DA AULA
São os capítulos da aula, demarcam 
momentos importantes da disciplina, 
servindo como o norte para o seu 
aprendizado.
Frases dos professores que resumem 
sua visão sobre um assunto ou situação. 
DESTAQUES
Conteúdos essenciais sem os quais você 
pode ter dificuldade em compreender a 
matéria. Especialmente importante para 
alunos de outras áreas, ou que precisam 
relembrar assuntos e conceitos. Se você 
estiver por dentro dos conceitos básicos 
dessa disciplina, pode tranquilamente 
pular os fundamentos.
FUNDAMENTOS
Questões objetivas que buscam 
reforçar pontos centrais da disciplina, 
aproximando você do conteúdo de 
forma prática e exercitando a reflexão 
sobre os temas discutidos. Na versão 
online, você pode clicar nas alternativas.
EXERCÍCIOS DE FIXAÇÃO
Fatos e informações que dizem 
respeito a conteúdos da disciplina.
CURIOSIDADES
Conceituação de termos técnicos, 
expressões, siglas e palavras específicas 
do campo da disciplina citados durante 
a videoaula. 
PALAVRAS-CHAVE
Assista novamente aos conteúdos 
expostos pelos professores em vídeo. 
Aqui você também poderá encontrar 
vídeos mencionados em sala de aula. 
VÍDEOS
Inserções de conteúdos para tornar 
a sua experiência mais agradável e 
significar o conhecimento da aula. 
ENTRETENIMENTO
Apresentação de figuras públicas 
e profissionais de referência 
mencionados pelo(a) professor(a).
PERSONALIDADES
Neste item, você relembra o case 
analisado em aula pelo professor. 
CASE
A jornada de aprendizagem não 
termina ao fim de uma disciplina. Ela 
segue até onde a sua curiosidade 
alcança. Aqui você encontra uma lista 
de indicações de leitura. São artigos e 
livros sobre temas abordados em aula. 
LEITURAS INDICADAS
Aqui você encontra a descrição detalhada 
da dinâmica realizada pelo professor. 
MOMENTO DINÂMICA
7
Embora seja comum descrever o 
compliance como “estar em conformidade”, 
essa definição não abrange completamente 
o seu significado, uma vez que estar em 
conformidade é o mínimo esperado de uma 
organização. Outro erro comum é esperar 
que as normas estejam descritas em um 
modelo genérico, quando, na realidade, 
cada organização deve adaptá-las às suas 
particularidades. 
Para compreender melhor a complexidade 
do tema, é necessário conectar três 
conceitos fundamentais: compliance, 
governança corporativa e proteção de 
dados/privacidade.
Conceitos de compliance
Mapa da Aula
Os tempos marcam os principais momentos das videoaulas.
AULA 1 • PARTE 1
03:00
06:01
Princípio da legalidade: É uma norma 
que estabelece que o poder estatal 
só pode ser exercido nos limites da 
lei, ou seja, o Estado só pode fazer o 
que a lei permite.
PALAVRA-CHAVE
09:38 ‘‘Compliance naturalmente 
envolve, em alguma medida, 
cumprir normas [...], mas não se 
limita a isso.
’’19:43
LTDA é a sigla de Sociedade Limitada, um 
tipo de empresa em que a responsabilidadeda disciplina.​
	Ementa da Disciplina
	Veja a descrição da ementa da disciplina. ​
	Bibliografia da Disciplina
	Veja as referências principais de leitura da disciplina.​
	O que compõe o Mapa da Aula?
	Confira como funciona o mapa da aula.
	Mapa da Aula
	Veja as principais ideias e ensinamentos vistos ao longo da aula.
	Resumo da disciplina
	Relembre os principais conceitos da disciplina.​
	Avaliação
	Veja as informações sobre o teste da disciplina.​
	Botão 313: 
	Botão 314: 
	Botão 315: 
	Botão 316: 
	Botão 317: 
	Botão 323: 
	Botão 324: 
	Botão 325: 
	Botão 326: 
	Botão 327: 
	Botão 328: 
	Botão 329: 
	Botão 330: 
	Botão 331: 
	Botão 332: 
	Botão 338: 
	Botão 339: 
	Botão 340: 
	Botão 341: 
	Botão 342: 
	Botão 343: 
	Botão 344: 
	Botão 345: 
	Botão 346: 
	Botão 333: 
	Botão 334: 
	Botão 335: 
	Botão 336: 
	Botão 337: 
	Botão 348: 
	Botão 349: 
	Botão 350: 
	Botão 351: 
	Botão 352: 
	Botão 353: 
	Botão 354: 
	Botão 355: 
	Botão 356: 
	Botão 357: 
	Botão 368: 
	Botão 369: 
	Botão 370: 
	Botão 371: 
	Botão 372: 
	Botão 358: 
	Botão 359: 
	Botão 360: 
	Botão 361: 
	Botão 362:de cada sócio é restrita ao valor de 
suas quotas, mas todos respondem 
solidariamente pela integralização do 
capital social. É o modelo de pessoa jurídica 
mais comum no Brasil. Assim como as 
responsabilidades, a divisão de lucros, em 
regra, também é feita de acordo com a 
participação de cada sócio na empresa.
SA é a sigla de Sociedade Anônima. Neste 
modelo, participação dos sócios no capital 
social é chamada de ações. As SA podem 
ser de dois tipos: de capital aberto ou 
capital fechado. As de capital aberto são 
aquelas que oferecem suas ações na Bolsa 
de Valores, enquanto as de capital fechado 
não possuem essa prerrogativa.
LTDA e S/A
FUNDAMENTO
23:46 ‘‘Quando a gente faz gastos 
com dinheiro de terceiro a gente 
gasta mais.
’’
8
Uma das consequências da Globalização 
Econômica foi o crescimento exponencial 
das corporações. Esse processo foi 
acompanhado pela dispersão do controle 
das corporações, influenciado por cinco 
fatores:
 1. a constituição de grandes empresas na 
forma de S/As abertas;
 2. a abertura do capital das empresas 
fechadas; 
 3. o aumento do número de investidores no 
mercado de capitais; 
 4. os processos sucessórios; 
 5. as fusões e aquisições, que diminuem a 
participação dos sócios no total do capital.
O sistema acionário possibilitou não apenas 
o expansionismo e o crescimento do mundo 
corporativo, mas também um movimento 
de concentração do poder econômico. No 
entanto, ocorreu um fenômeno oposto: 
a dispersão do número de acionistas e 
a despersonalização da propriedade. 
Gradualmente, os acionistas se tornaram 
proprietários passivos.
Esse processo teve por consequência 
uma gradual separação entre propriedade 
e gestão, desencadeando mudanças 
profundas nas empresas: os fundadores 
proprietários foram substituídos por 
executivos contratados e surgiram os 
conflitos de interesse entre os acionistas e 
os administradores.
Governança corporativa 33:30
No campo da Governança Corporativa, 
os conflitos de interesse são conhecidos 
como conflitos de agência. Eles surgem 
quando ocorre a separação entre a 
propriedade e a gestão, com a outorga 
da direção das corporações a executivos 
contratados. Os outorgantes são as 
grandes massas de acionistas que 
investem seus recursos na aquisição de 
ações das empresas ou as recebem em 
processos sucessórios. Os outorgados 
são os gestores contratados para 
direção executiva das companhias. 
Os interesses dos outorgantes visam 
obter o máximo retorno possível 
de seus investimentos, enquanto 
os outorgados normalmente têm 
interesses conflitantes, buscando status, 
altas remunerações, preferência por 
crescimento em detrimento de retornos, 
além das diversas formas de benefícios 
autoconcedidos.
Para evitar o choque de interesses 
entre essas partes, são necessários 
contratos que regulem a relação entre 
esses agentes e uma mudança de 
comportamento. No entanto, pesquisas 
têm demonstrado que esses conflitos 
dificilmente são eliminados. O axioma 
de Klein demonstrou que não existem 
contratos completos. Segundo o autor, 
os contratos completos são impossíveis, 
devido a três razões. 
 1. A grande quantidade de situações 
imprevisíveis no mundo dos negócios. 
 2. A multiplicidade de reações 
possíveis a essas ocorrências. 
 3. A crescente frequência com que 
ocorrem situações imprevisíveis na 
prática. 
Conflitos de agência37:42
9
AULA 1 • PARTE 2
O termo significa “partes interessadas” e 
abrange pessoas, grupos ou instituições 
com interesses legítimos nas empresas 
e que são afetados pelas diretrizes 
definidas, ações praticadas e resultados 
alcançados. São divididos em: shareholders 
(proprietários e investidores), internos 
(efetivamente envolvidos na administração), 
externos (integrados à cadeia de negócios) 
e entorno.
Legitimidade dos interesses dos 
Shareholders:
• valor, para a sociedade, do espírito de 
empreendimento, iniciativa e geração de 
riquezas;
• a busca pela maximização do lucro 
é uma condição essencial para a 
continuidade da atividade empresarial;
• o capital social é passível de não 
exigibilidade, ou seja, só terão acesso os 
proprietários se houver interessados na 
sua aquisição.
Legitimidade dos interesses dos demais 
Stakeholders:
• grupos sem os quais a empresa deixaria 
de existir;
• existem interesses sociais difusos, 
que dependem das diretrizes e ações 
da empresa e que não podem ser 
desconsiderados;
• o entorno da empresa atua como 
suporte para o seu desenvolvimento 
sustentável.
Existem duas abordagens da Governança 
Corporativa: a shareholders oriented e 
a stakeholders oriented. A tendência 
mundial é a convergência deses dois 
modelos, ou seja, priorizar os interesses 
dos shareholders, mas administrar 
estrategicamente os interesses dos demais 
stakeholders. 
Stakeholders 00:28
02:34
A série acompanha a vida e os negócios 
da família Roy, composta por Logan Roy 
(interpretado por Brian Cox) e seus quatro 
filhos. Logan, já idoso, sofre um infarto, 
desencadeando uma disputa de poder 
dentro da família sobre quem será o sucessor 
do cargo de CEO.
Série: Succession
ENTRETENIMENTO
06:53 ‘‘A gente não vive mais em 
um mundo em que a empresa 
consegue fazer tudo que 
quer e fica imune a quaisquer 
situações.
’’
10
10:07
Lei Sarbanes-Oxley: Aprovada em 
julho de 2002 pelo Congresso dos 
EUA, é, de longe, a mais notável 
e abrangente regulamentação da 
Governança Corporativa. Essa lei 
promoveu uma ampla regulação da 
vida corporativa, fundamentada nas 
práticas de governança. Os valores 
focados por essa lei são: Compliance 
(conformidade legal), Accountability 
(prestação de contas responsável), 
Disclosure (mais transparência) e 
Fairness (senso de justiça).
PALAVRA-CHAVE
Accountability, disclosure e 
fairness
Accountability: o principal executivo e 
o diretor financeiro, respectivamente, 
o CEO e o CFO, devem-se certificar-se, 
na divulgação dos relatórios periódicos 
previstos em lei, de que revisaram os 
relatórios e que não existem falsas 
declarações ou omissões de fatos 
relevantes. Além disso, são responsáveis 
pelo estabelecimento de controles 
internos, pelos seus desenhos e 
processos, bem como pela avaliação e 
monitoramento de sua eficácia. Todas as 
empresas de grande porte devem ter um 
comitê de auditoria para acompanhar a 
atuação dos auditores e os números da 
companhia, em conformidade com as 
diretrizes estabelecidas. 
Disclosure: empresas com múltiplos 
acionistas devem garantir transparência 
em todas as informações, impedindo 
qualquer pessoa de se beneficiar de 
informações privilegiadas.
Fairness: refere-se ao tratamento 
isonômico de todos os sócios e demais 
partes interessadas. Uma boa governança 
assegura uma maior justiça nas relações 
internas de um negócio.
11:23
15:41
Insider trading: O uso de 
informações privilegiadas refere-se 
ao conhecimento de informações 
relevantes que ainda não são de 
conhecimento público, com o objetivo 
de obter lucro ou vantagem no 
mercado.
PALAVRA-CHAVE
O histórico do ESG relacionado compliance 
desenvolveu-se a partir de 5 fases:
Fase 01: Relatório Cadbury (Inglaterra, 
1992) – Códigos de Melhores Práticas de 
Governança;
Fase 02: Lei Sarbanes Oxley (2002);
Fase 03: Crise financeira de 2008;
Fase 04: Proteção de dados pessoais;
Fase 05: ESG (Environmental, Social & 
Governance que, traduzido, significa 
Ambiental, Social e Governança).
ESG e compliance 16:58
19:01
Objetivos de Desenvolvimento 
Sustentável (ODS): Resultam de 
um apelo global à ação para acabar 
com a pobreza, proteger o meio 
ambiente e o clima, e garantir que as 
pessoas em todos os lugares possam 
desfrutar de paz e de prosperidade. 
Consiste em 17 objetivos a serem 
alcançados até 2030.
PALAVRA-CHAVE
11
Measuring stakeholder capitalism 
Documento publicado pelo Fórum 
Econômico Mundial, que tem sido utilizado 
como referência para órgãos reguladores no 
Brasil, bem como empresas e cooperativas 
de todos os segmentos, para desenvolver 
suas métricas internas deESG e cuidado 
com pessoas. Para acessar, clique aqui. 
LEITURA INDICADA
21:41
O professor propõe como exercício prático 
a análise da sua rede de stakeholders/
partes interessadas de sua organização 
com base no quadro disponível na 
apresentação de apoio da aula. 
 Exercício prático
A relação entre compliance e 
governança abrange diversos aspectos 
relevantes, tais como: 
 • dimensão estratégica: envolve a 
conexão com a gestão por meio da 
avaliação de riscos;
 • integridade: estabelece as métricas 
de valores e conduta que definem a 
cultura de uma organização;
 • sustentabilidade: por meio de seu 
caráter preventivo, garante que as 
dimensões estratégica e operacional 
da empresa operem visando ganhos a 
longo prazo.
A governança aplicada à área de 
investigações corporativas precisa ser 
composta de:
 • Comitê de Investigação;
 • Equipe de Investigação;
 • Comitê de Auditoria;
 • Auditoria externa;
 • Shadow Investigation.
Compliance e governança
40:20
28:51
É uma norma que estabelece que o 
poder estatal só pode ser exercido 
nos limites da lei:
EXERCÍCIO DE FIXAÇÃO
R
e
sp
o
st
a
 d
e
st
a
 p
á
g
in
a
: 
a
lt
e
rn
a
ti
v
a
 3
.
https://www3.weforum.org/docs/WEF_IBC_Measuring_Stakeholder_Capitalism_Report_2020.pdf
12
AULA 1 • PARTE 3
A preocupação com compliance surgiu 
e se difundiu nos EUA, na década de 
1960, quando a Securities and Exchange 
Commission começou a exigir que as 
instituições financeiras e empresas de 
capital aberto na bolsa, além das instituições 
financeiras, instituíssem Compliance Officers 
para criar procedimentos internos de 
controle, treinar pessoas e monitorar, com o 
objetivo de auxiliar as áreas de negócios a 
terem uma supervisão efetiva.
Regulamentação no Brasil:
Carta Circular 2.826 do Bacen, de 04 de 
dezembro de 1998;
Em 12 de março de 2012, o Bacen publica a 
Carta Circular no. 3.452, que revoga a Carta 
Circular 2.826 e amplia substancialmente 
a relação de operações e situações que 
podem configurar indícios de ocorrência 
dos crimes previstos na Lei 9.613, de 03 de 
março de 1998, passíveis de comunicação 
ao Conselho de Controle de Atividades 
Financeiras (Coaf);
Lei nº 12.683, de 9 de julho de 2012, que 
altera a Lei no 9.613, de 3 de março de 1998, 
“para tornar mais eficiente a persecução 
penal dos crimes de lavagem de dinheiro”.
Comunicado nº 25.306 de 19 de fevereiro 
de 2014: Assuntos de Política Monetária 
e assuntos de regulação. Propõe a edição 
de comunicado alertando sobre os riscos 
decorrentes de operações de guarda 
e negociações das chamadas “moedas 
virtuais”;
Comunicado nº 31.379 de 19 de novembro 
de 2017: Assuntos de Política Monetária e 
assuntos de regulação. Propõe a edição 
de comunicado alertando sobre os riscos 
decorrentes de operações de guarda 
e negociações das chamadas “moedas 
virtuais”.
Histórico do compliance 01:02
Função de compliance 
Disponibilizada pela Febraban, a “Cartilha 
Função de Compliance” tem como foco 
integrar as atividades de Compliance com as 
boas práticas de governança corporativa e 
de gestão de riscos, as quais os bancos têm 
buscado implementar em suas rotinas.
LEITURA INDICADA
03:16
03:39
Basileia I: O Acordo de Basileia I 
(1988) estabeleceu recomendações 
para os requisitos mínimos de 
capital para instituições financeiras 
internacionalmente ativas, com o 
objetivo de mitigar o risco de crédito.
PALAVRA-CHAVE
07:12
Prevenção à Lavagem de Dinheiro 
(PLD): É um conjunto de mecanismos 
adotados pelo poder público, 
juntamente com as instituições 
financeiras, com o objetivo de tentar 
evitar a inserção ilegal de bens e 
valores na economia.
PALAVRA-CHAVE
13
19:54
Principais leis
As principais leis sobre compliance no 
Brasil, que todos que desejam trabalhar na 
área devem conhecer, são:
 • Lei de Lavagem de Dinheiro (Lei 9.613, 
de 03 de Março de 1998);
 • Nova Lei de Lavagem de Dinheiro (Lei 
12.683, de 09 de Julho de 2012);
 • Lei de Conflito de Interesses (Lei 12.813, 
de 16 de Maio de 2013);
 • Lei Anticorrupção (Lei 12.846/2013), 
seu Decreto regulamentador nº 11.129, de 11 
de Julho de 2022;
 • Lei das Organizações Criminosas (Lei 
12.850, de 02 de Agosto de 2013);
 • Lei das Estatais (Lei 13.303 de 30 de 
Junho de 2016);
 • Lei do RJ exigindo programa de 
compliance para participar de licitações 
(RJ - Lei estadual Nº 7.753 de 17 de 
outubro de 2017);
 • Lei do DF exigindo programa de 
compliance para participar de licitações 
(DF - Lei Distrital nº. 6.112/2018 de 06 de 
fevereiro de 2018).
 • Lei do RS exigindo programa de 
compliance para participar de licitações 
(RS – Lei 15.228/2018 do Rio Grande do 
Sul);
 • Lei 13.709, de 14 de Agosto de 2018 
(Lei Geral de Proteção de Dados – LGPD, 
Modificada pela Lei 13.853 de 08 de Julho 
de 2019);
20:25
31:41‘‘Não existe o jeito certo de 
fazer a coisa errada.
’’
 
A obra explora temas relacionados ao 
Environmental, Social and Governance (ESG), 
discutindo desde direito ambiental, direitos 
humanos e questões sociais, até aspectos 
de governança corporativa, com uma 
perspectiva de futuro global. 
Livro: ESG: O Cisne Verde e o 
Capitalismo de Stakeholder
LEITURA INDICADA
33:19‘‘Quando a gente tem normas 
isso significa que transcende a 
nossa opinião sobre o mundo.
’’
 
14
 • Decreto nº 9.571, de 21 de Novembro de 
2018 (Due Diligence de Direitos Humanos);
 • Nova Lei de Licitações (Lei 
14.133/2021);
 • Lei 14.457/22 (Assédio e violência 
contra a mulher em empresas, canal de 
denúncias).
EXERCÍCIO DE FIXAÇÃO
De acordo com o Axioma de 
Klein, os contratos completos são 
impossíveis devido à/ao:
Sancionada em agosto de 2013, a Lei 
Anticorrupção (12.846/13) completou 
10 anos em 2023. A norma, que 
prevê a punição de pessoas jurídicas 
envolvidas em atos de corrupção e 
outros ilícitos contra a administração 
pública, foi regulamentada no âmbito 
Federal em 2015, por meio do decreto 
nº 8.420. Este Decreto foi revogado 
pelo Decreto 11.129/2022 que deu novas 
regulamentações para a Lei Anticorrupção. 
Até o momento apenas 14 Estados 
brasileiros promulgaram regulamentações 
correspondentes: AL, DF, ES, GO, MA, MT, 
MS, MG, PE, PR, RN, SC, RS, SP e TO.
De acorco com o Art. 2º, as pessoas 
jurídicas serão responsabilizadas 
objetivamente, nos âmbitos administrativo 
e civil, pelos atos lesivos previstos nesta 
Lei praticados em seu interesse ou 
benefício, exclusivo ou não. 
O Art. 4º determina a responsabilidade da 
pessoa jurídica na hipótese de alteração 
contratual, transformação, incorporação, 
fusão ou cisão societária.
(...)
O parágrado § 2º estabelece que as 
sociedades controladoras, controladas, 
coligadas ou, no âmbito do respectivo 
contrato, as consorciadas serão 
solidariamente responsáveis pela prática 
dos atos previstos nesta Lei, restringindo-
se tal responsabilidade à obrigação de 
pagamento de multa e reparação integral 
do dano causado.
Lei anticorrupção - Parte I 34:22
R
e
sp
o
st
a
 d
e
st
a
 p
á
g
in
a
: 
a
lt
e
rn
a
ti
v
a
 4
.
15
AULA 1 • PARTE 4
Art. 3º A responsabilização da pessoa 
jurídica não exclui a responsabilidade 
individual de seus dirigentes ou 
administradores ou de qualquer pessoa 
natural, autora, coautora ou partícipe do 
ato ilícito.
Art. 6º Na esfera administrativa, 
serão aplicadas às pessoas jurídicas 
consideradas responsáveis pelos atos 
lesivos previstos nesta Lei as seguintes 
sanções:
I - multa, no valor de 0,1% (um décimo 
por cento) a 20% (vinte por cento) do 
faturamento bruto do último exercício 
anterior ao da instauração do processo 
administrativo, excluídos os tributos, a qual 
nunca será inferior à vantagem auferida, 
quando for possível sua estimação; e
II - publicação extraordinária da decisão 
condenatória.
Art. 19. (...) poderão ajuizar ação com 
vistas à aplicação das seguintes sanções 
às pessoas jurídicas infratoras:
I - perdimento dos bens, direitos ou 
valores que representem vantagem ou 
proveito direta ou indiretamente obtidos 
da infração, ressalvadoo direito do lesado 
ou de terceiro de boa-fé;
II - suspensão ou interdição parcial de suas 
atividades;
III - dissolução compulsória da pessoa 
jurídica;
IV - proibição de receber incentivos, 
subsídios, subvenções, doações ou 
empréstimos de órgãos ou entidades 
públicas e de instituições financeiras 
públicas ou controladas pelo poder 
público, pelo prazo mínimo de 1 (um) e 
máximo de 5 (cinco) anos.
Lei anticorrupção - Parte II 00:28
12:46 ‘‘Programa de integridade 
é um conceito específico da lei 
anticorrupção brasileira.
’’
Compliance no novo decreto 
anticorrupção
O Decreto nº 11.129, de 11 de julho de 
2022 revoga o Decreto nº 8.420/2015 e 
regulamenta a Lei nº 12.846/2013. 
Art. 56. Para fins do disposto neste 
Decreto, programa de integridade 
consiste, no âmbito de uma pessoa 
jurídica, no conjunto de mecanismos e 
procedimentos internos de integridade, 
auditoria e incentivo à denúncia de 
irregularidades e na aplicação efetiva de 
códigos de ética e de conduta, políticas 
e diretrizes, com objetivo de: I - prevenir, 
detectar e sanar desvios, fraudes, 
irregularidades e atos ilícitos praticados 
contra a administração pública, nacional 
ou estrangeira; e II - fomentar e manter 
uma cultura de integridade no ambiente 
organizacional.
Parágrafo único. O programa de 
integridade deve ser estruturado, 
aplicado e atualizado de acordo com 
as características e os riscos atuais das 
atividades de cada pessoa jurídica, a qual, 
por sua vez, deve garantir o constante 
aprimoramento e a adaptação do 
referido programa, visando garantir sua 
efetividade.
Art. 57. Para fins do disposto no inciso 
VIII do caput do art. 7º da Lei nº 12.846, 
de 2013, o programa de integridade 
será avaliado, quanto a sua existência e 
aplicação, de acordo com os seguintes 
parâmetros: 
15:16
16
Art. 22. Fica criado no âmbito do Poder 
Executivo federal o Cadastro Nacional de 
Empresas Punidas - CNEP, que reunirá 
e dará publicidade às sanções aplicadas 
pelos órgãos ou entidades dos Poderes 
Executivo, Legislativo e Judiciário de todas 
as esferas de governo com base nesta Lei.
I - comprometimento da alta direção da 
pessoa jurídica, incluídos os conselhos, 
evidenciado pelo apoio visível e 
inequívoco ao programa, bem como pela 
destinação de recursos adequados; IV - 
treinamentos e ações de comunicação 
periódicos sobre o programa de 
integridade; V - gestão adequada de 
riscos, incluindo sua análise e reavaliação 
periódica, para a realização de adaptações 
necessárias ao programa de integridade 
e a alocação eficiente de recursos; XIII 
- diligências apropriadas, baseadas em 
risco, para:
a) contratação e, conforme o caso, 
supervisão de terceiros, tais como 
fornecedores, prestadores de serviço, 
agentes intermediários, despachantes, 
consultores, representantes comerciais e 
associados; b) contratação e, conforme 
o caso, supervisão de pessoas expostas 
politicamente, bem como de seus 
familiares, estreitos colaboradores e 
pessoas jurídicas de que participem; e c) 
realização e supervisão de patrocínios e 
doações;
§ 1º Na avaliação dos parâmetros de 
que trata o caput, serão considerados 
o porte e as especificidades da pessoa 
jurídica, por meio de aspectos como: I - a 
quantidade de funcionários, empregados 
e colaboradores; II - o faturamento, 
levando ainda em consideração o fato 
de ser qualificada como microempresa 
ou empresa de pequeno porte; III - a 
estrutura de governança corporativa e 
a complexidade de unidades internas, 
tais como departamentos, diretorias ou 
setores, ou da estruturação de grupo 
econômico; IV - a utilização de agentes 
intermediários, como consultores ou 
representantes comerciais; V - o setor 
do mercado em que atua; VI - os países 
em que atua, direta ou indiretamente; 
VII - o grau de interação com o setor 
público e a importância de contratações, 
investimentos e subsídios públicos, 
autorizações, licenças e permissões 
governamentais em suas operações; e 
VIII - a quantidade e a localização das 
pessoas jurídicas que integram o grupo 
econômico.
29:21‘‘A pessoa que trabalha em 
compliance tem que ser uma 
pessoa especialista em lidar com 
riscos.
’’
 
O valor focado no tratamento 
isonômico de todos os sócios e 
demais partes interessadas em uma 
organização é chamado de:
EXERCÍCIO DE FIXAÇÃO
R
e
sp
o
st
a
 d
e
st
a
 p
á
g
in
a
: 
a
lt
e
rn
a
ti
v
a
 2
.
28:52‘‘Compliance é uma área de 
conhecimento cujo objeto é risco. 
Não são normas.
’’
 
17
§ 2º A efetividade do programa de 
integridade em relação ao ato lesivo 
objeto de apuração será considerada para 
fins da avaliação de que trata o caput.
AULA 2 • PARTE 1
Compliance e responsabilidade 
penal
O compliance surgiu nos EUA diretamente 
conectado à esfera criminal. Portanto o 
termo “compliance criminal” geralmente 
é utilizado apenas na América Latina e 
Europa (em países não anglófonos). Dada 
a estrutura do sistema jurídico brasileiro, 
o sistema de compliance acaba por se 
tornar um elemento que aumenta a 
responsabilidade penal.
Ação como capacidade: “O propósito 
da conduta criminosa é de quem exerce 
o controle, de quem tem poder sobre o 
resultado. Desse modo, no crime com 
utilização da empresa, autor é o dirigente 
ou dirigentes que podem evitar que o 
resultado ocorra. Domina o fato quem 
detém o poder de desistir e mudar a 
rota da ação criminosa. Uma ordem 
do responsável seria o suficiente para 
não existir o comportamento típico. 
Nisso está a ação final. Assim, o que 
se há de verificar, no caso concreto, é 
quem detinha o poder de controle da 
organização para o efeito de decidir pela 
consumação do delito. Se a resposta 
for negativa haverá de concluir-se pela 
inexistência da autoria” (Inteiro Teor do 
Acórdão – Pp. 1161-62 de 8405 STF-fl. 
52776)
Presunção de autoria: “Ora, se a vontade 
do homem de trás, sobre quem recai a 
presunção de autoria do crime, constitui 
a própria ação final da ação delituosa 
da empresa, o que se há de descrever 
na denúncia é como referida empresa 
desenvolveu suas ações. Basta isso. 
A autoria presumida do ato é de seus 
dirigentes. Isso, como se viu, não se aplica 
aos auxiliares cujo comportamento
01:11
10:44
Mensalão: É um esquema de 
corrupção descoberto em 2005, 
que envolveu repasses de fundos de 
empresas, feitos como doações ao 
Partido dos Trabalhadores (PT) para 
conquistar o apoio de políticos.
PALAVRA-CHAVE
15:11 ‘‘Diferente dos Estados Unidos, 
o compliance no Brasil não surgiu 
conectado à responsabilidade 
penal da pessoa jurídica.
’’
Segundo o Decreto 11.129/2022: 
“Programa de integridade consiste, 
no âmbito de uma pessoa jurídica, 
no conjunto de mecanismos e 
procedimentos internos de integridade, 
auditoria e incentivo à denúncia de 
irregularidades e na aplicação efetiva de 
códigos de ética e de conduta, políticas 
e diretrizes, com objetivo de:
I - prevenir, detectar e sanar desvios, 
fraudes, irregularidades e atos ilícitos 
praticados contra a administração 
pública, nacional ou estrangeira; 
e II - fomentar e manter uma 
cultura de integridade no ambiente 
organizacional.” (Art. 56).
Noções gerais de compliance16:18
18
em nível de colaboração tem de ser 
esclarecido na peça. Importante salientar 
que, nesse estreito âmbito da autoria 
nos crimes empresariais, é possível 
afirmar que se opera uma presunção 
relativa de autoria dos dirigentes. Disso 
resultam duas consequências: a) é viável 
ao acusado comprovar que inexistia o 
poder de decisão; b) os subordinados ou 
auxiliares que aderiram à cadeia causal 
não sofrem esse juízo que pressupõe 
uma presunção juris tantum de autoria.” 
(Inteiro Teor do Acórdão – Pp. 1161-62 de 
8405 STF-fl. 52776)
Os requisitos básicos do programa de 
compliance são:
1. padrões de conduta e política e 
procedimentos escritos;
2. designação de um Compliance 
Officer e/ou Comitê de Compliance;
3. educação e treinamento para 
fornecer conhecimento de forma 
efetiva;
4. canal de comunicação anônima de 
eventuais problemas de compliance;
5. monitoramentoproativo 
de processos específicos e 
documentados para fins de 
compliance e ajuda na redução de 
problemas identificados;
6. comunicação efetiva e ações 
disciplinares e corretivas.
23:13
Análise SWOT: É uma técnica 
de planejamento estratégico 
utilizada para auxiliar pessoas ou 
organizações a identificar forças, 
fraquezas, oportunidades e ameaças 
relacionadas à competição em 
negócios ou ao planejamento de 
projetos.
PALAVRA-CHAVE
As principais normas ISO da área de 
compliance são: 
• ISO 37000 Guidance for the 
Governance of Organizations;
• ISO 37002 Whistleblowing 
management systems - guidelines;
• ISO 37301 Compliance management 
systems - requirements with 
guidance for use (substitui a ISO 
19600).
Normas ISO - Parte I40:15
É um conjunto de mecanismos 
adotados para tentar evitar a 
inserção ilegal de bens e valores na 
economia.
EXERCÍCIO DE FIXAÇÃO
R
e
sp
o
st
a
 d
e
st
a
 p
á
g
in
a
: 
a
lt
e
rn
a
ti
v
a
 1
.
44:32 ‘‘Sempre o sistema de gestão 
de compliance é criado a partir de 
uma avaliação de risco.
’’
19
AULA 2 • PARTE 2
As etapas de implementação de um 
Compliance Management System são:
1. Identificação: riscos internos/externos, 
intermed parties requirements (ex.: 
ética e saúde), compliance obligations, 
compliance requirements (leis) e 
compliance commitments (acordos 
voluntários);
2. Pressupostos: Governança Corporativa.
Em resumo, as etapas do sistema de 
gestão de compliance são: 
• identificar compliance obligations e 
avaliação de riscos;
• planejar medidas para evitar riscos 
de compliance e atingir objetivos 
de conformidade com compliance 
obligations;
• planejar operacionalmente 
responsabilidades, políticas, 
procedimentos e controles internos;
• Avaliar performance e relatórios de 
compliance;
• Gerir inconformidades e revisar o 
programa do compliance.
Normas ISO - Parte II 00:27
04:26 ‘‘Obrigação de compliance são 
aquelas coisas que podem gerar 
risco de compliance.
’’
Do maneira geral, as metodologias 
que são aceitas mundialmente como 
referência de melhores práticas de 
gestão de riscos são:
1) COSO Enterprise Risk Management 
(COSO-ERM) criada pelo Committee 
of Sponsoring Organizations of the 
Treadway Commission – COSO em 
1992, tendo duas atualizações muito 
importantes em 2013 e 2017;
2) a ISO 31.000;
3) No Brasil, o Instituto ARC – Auditoria, 
Riscos e Compliance desenvolveu 
metodologia, que integra os dois 
modelos em um mais abrangente: a 
Análise de Riscos Parametrizada, que é 
utilizada em seus cursos de certificação.
Gestão de riscos consiste em um 
conjunto de atividades coordenadas 
para identificar, analisar, avaliar, tratar e 
monitorar riscos. É o processo que visa 
oferecer razoável segurança em relação 
ao alcance dos objetivos. Ela é inserida, 
então, em três dimensões fundamentais 
à gestão de uma organização:
• Missão, visão e valores centrais;
• Objetivos estratégicos e de 
negócios;
• Desempenho organizacional.
Gestão de riscos18:10
26:25‘‘Na área de compliance, 
avaliação de risco não significa 
ponderar se a gente vai cumprir 
ou não normas.
’’
 
20
E é analisada sobre três diferentes 
perspectivas:
• a possibilidade de que os objetivos 
estratégicos e/ou de negócios não 
se alinhem com a missão, a visão e 
os valores centrais da organização;
• as implicações da estratégia 
escolhida;
• os riscos para a execução da 
estratégia.
Cabe ressaltar que risco é o efeito da 
incerteza sobre objetivos estabelecidos. 
É a possibilidade de ocorrência de 
eventos que afetem a realização ou 
alcance dos objetivos, combinada com 
o impacto dessa ocorrência sobre os 
resultados pretendidos.
31:05
ISO 31000: Essa norma aprofunda 
todos os processos de gestão de 
riscos descritos na IS 37.301 e serve 
como um apoio importante para esta 
fase.
PALAVRA-CHAVE
A análise de risco parametrizada está 
alinhada com as melhores práticas de 
Gestão de Riscos e de Governança 
disponíveis no mercado, como ISO 
31.000, COSO, COSO ERM, entre outras. 
Essa metodologia visa analisar o risco 
da organização, avaliando o impacto da 
realização de cada risco nos seus fatores 
críticos de sucesso, missão, proposta de 
valor, objetivos estratégicos e visão de 
futuro. Em outras palarvas, ela começa 
com uma análise da estratégia do negócio 
e examina como cada risco pode afetá-la.
Após esta análise inicial, definem-se quais 
os riscos são considerados críticos e são 
definidas quais as ações de mitigação 
devem ser adotadas para cada risco de 
forma prática e sistemática. Dessa forma, 
a metodologia começa como uma análise 
em nível estratégico e desce até o nível de 
controle das ações de mitigação de riscos 
em processos considerados críticos.
Uma vez definidos os riscos críticos e seu 
sistema de proteção, é necessário avaliar 
sua adequação. Isso envolve uma análise 
detalhada do mercado e da empresa 
(negócio) objeto da avaliação. Além 
disso, é necessário avaliar a Quantificação 
do Impacto (QI) e a Estimativa de 
Probabilidade (EP), através das seguintes 
variáveis:
• Quantificação do Impacto (QI);
• Estimativa de Probabilidade.
Análise de risco parametrizada 2.0 32:50
EXERCÍCIO DE FIXAÇÃO
O compliance surgiu nos EUA 
diretamente conectado com a área:
R
e
sp
o
st
a
 d
e
st
a
 p
á
g
in
a
: 
a
lt
e
rn
a
ti
v
a
 2
,
21
AULA 2 • PARTE 3
Dados pessoais, de maneira geral, são 
tudo aquilo que permite identificar 
alguém. Quem tiver mais conhecimento 
sobre o seu negócio e seus clientes irá agir 
mais rápido e terá vantagem competitiva.
Os princípios da Lei Geral de Proteção de 
Dados Pessoais são:
Art. 6º As atividades de tratamento de 
dados pessoais deverão observar a boa-fé 
e os seguintes princípios:
I - finalidade: realização do tratamento 
para propósitos legítimos, específicos, 
explícitos e informados ao titular, sem 
possibilidade de tratamento posterior de 
forma incompatível com essas finalidades;
II - adequação: compatibilidade do 
tratamento com as finalidades informadas 
ao titular, de acordo com o contexto do 
tratamento;
III - necessidade: limitação do tratamento 
ao mínimo necessário para a realização 
de suas finalidades, com abrangência dos 
dados pertinentes, proporcionais e não 
excessivos em relação às finalidades do 
tratamento de dados;
IV - livre acesso: garantia, aos titulares, 
de consulta facilitada e gratuita sobre a 
forma e a duração do tratamento, bem 
como sobre a integralidade de seus dados 
pessoais;
V - qualidade dos dados: garantia, aos 
titulares, de exatidão, clareza, relevância 
e atualização dos dados, de acordo com 
a necessidade e para o cumprimento da 
finalidade de seu tratamento;
VI - transparência: garantia, aos titulares, 
de informações claras, precisas e 
facilmente acessíveis sobre a realização 
do tratamento e os respectivos agentes 
de tratamento, observados os segredos 
comercial e industrial;
Compliance e proteção de dados 01:18
05:08 ‘‘Dado pessoal não é só 
nome, endereço, RG, mas é tudo 
aquilo que permite identificar 
alguém.
’’
Tratamento de dados pessoais - 
Parte I
Lei Geral de Proteção de Dados Pessoais:
Art. 5º Para os fins desta Lei, considera-se:
X - tratamento: toda operação realizada 
com dados pessoais, como as que se 
referem a coleta, produção, recepção, 
classificação, utilização, acesso, 
reprodução, transmissão, distribuição, 
processamento, arquivamento, 
armazenamento, eliminação, avaliação 
ou controle da informação, modificação, 
comunicação, transferência, difusão ou 
extração;
Art. 7º O tratamento de dados pessoais 
somente poderá ser realizado nas 
seguintes hipóteses:
I - mediante o fornecimento de 
consentimento pelo titular;
II - para o cumprimento de obrigação 
legal ou regulatória pelo controlador;
III - pela administração pública, para 
o tratamento e uso compartilhado de 
dados necessários à execução de políticas 
públicas previstas em leis e regulamentos 
ou respaldadas em contratos, convênios 
ou instrumentos congêneres, observadas 
as disposições do Capítulo IV desta Lei;IV - para a realização de estudos por 
órgão de pesquisa, garantida, sempre 
que possível, a anonimização dos dados 
pessoais;
16:51
22
VII - segurança: utilização de medidas 
técnicas e administrativas aptas a 
proteger os dados pessoais de acessos 
não autorizados e de situações acidentais 
ou ilícitas de destruição, perda, alteração, 
comunicação ou difusão;
VIII - prevenção: adoção de medidas para 
prevenir a ocorrência de danos em virtude 
do tratamento de dados pessoais;
IX - não discriminação: impossibilidade 
de realização do tratamento para fins 
discriminatórios ilícitos ou abusivos;
X - responsabilização e prestação de 
contas: demonstração, pelo agente, da 
adoção de medidas eficazes e capazes de 
comprovar a observância e o cumprimento 
das normas de proteção de dados 
pessoais e, inclusive, da eficácia dessas 
medidas.
V - quando necessário para a execução 
de contrato ou de procedimentos 
preliminares relacionados a contrato do 
qual seja parte o titular, a pedido do titular 
dos dados;
VI - para o exercício regular de direitos 
em processo judicial, administrativo ou 
arbitral, esse último nos termos da Lei nº 
9.307, de 23 de setembro de 1996 (Lei de 
Arbitragem);
VII - para a proteção da vida ou da 
incolumidade física do titular ou de 
terceiro;
VIII - para a tutela da saúde, 
exclusivamente, em procedimento 
realizado por profissionais de saúde, 
serviços de saúde ou autoridade sanitária;
IX - quando necessário para atender aos 
interesses legítimos do controlador ou de 
terceiro, exceto no caso de prevalecerem 
direitos e liberdades fundamentais do 
titular que exijam a proteção dos dados 
pessoais; ou
X - para a proteção do crédito, inclusive 
quanto ao disposto na legislação 
pertinente.
Tratamento de dados pessoais - 
Parte II
Art. 11. O tratamento de dados pessoais 
sensíveis somente poderá ocorrer nas 
seguintes hipóteses:
I - quando o titular ou seu responsável 
legal consentir, de forma específica e 
destacada, para finalidades específicas;
II - sem fornecimento de consentimento 
do titular, nas hipóteses em que for 
indispensável para:
a) cumprimento de obrigação legal ou 
regulatória pelo controlador;
b) tratamento compartilhado de 
dados necessários à execução, pela 
administração pública, de políticas 
públicas previstas em leis ou 
regulamentos;
c) realização de estudos por órgão de 
pesquisa, garantida, sempre que possível, 
a anonimização dos dados pessoais 
sensíveis;
d) exercício regular de direitos, inclusive 
em contrato e em processo judicial, 
35:50
Art. 50. Os controladores e 
operadores, no âmbito de suas 
competências, pelo tratamento de 
dados pessoais, individualmente ou 
por meio de associações, poderão 
formular regras de boas práticas e 
de governança que estabeleçam as 
condições de organização, o regime 
de funcionamento, os procedimentos, 
incluindo reclamações e petições de 
titulares, as normas de segurança, 
os padrões técnicos, as obrigações 
específicas para os diversos envolvidos 
no tratamento, as ações educa[vas, os 
mecanismos internos de supervisão e de 
mitigação de riscos e outros aspectos 
relacionados ao tratamento de dados 
pessoais.
Governança e privacidade - Parte I40:34
23
administrativo e arbitral, este último nos 
termos da Lei nº 9.307, de 23 de setembro 
de 1996 (Lei de Arbitragem);
e) proteção da vida ou da incolumidade 
física do titular ou de terceiro;
f) tutela da saúde, exclusivamente, em 
procedimento realizado por profissionais 
de saúde, serviços de saúde ou autoridade 
sanitária; ou
g) garantia da prevenção à fraude e à 
segurança do titular, nos processos de 
identificação e autenticação de cadastro 
em sistemas eletrônicos, resguardados os 
direitos mencionados no art. 9º desta Lei 
e exceto no caso de prevalecerem direitos 
e liberdades fundamentais do titular que 
exijam a proteção dos dados pessoais.
§ 1º Ao estabelecer regras de boas 
práticas, o controlador e o operador 
levarão em consideração, em relação ao 
tratamento e aos dados, a natureza, o 
escopo, a finalidade e a probabilidade e 
a gravidade dos riscos e dos benefícios 
decorrentes de tratamento de dados do 
titular.
§ 2º Na aplicação dos princípios indicados 
nos incisos VII e VIII do caput do art. 6º 
desta Lei, o controlador, observados a 
estrutura, a escala e o volume de suas 
operações, bem como a sensibilidade 
dos dados tratados e a probabilidade e a 
gravidade dos danos para os titulares dos 
dados, poderá:
AULA 2 • PARTE 4
I - implementar programa de 
governança em privacidade que, no 
mínimo:
a) demonstre o comprometimento 
do controlador em adotar processos 
e políticas internas que assegurem o 
cumprimento, de forma abrangente, 
de normas e boas práticas relativas à 
proteção de dados pessoais; 
b) seja aplicável a todo o conjunto de 
dados pessoais que estejam sob seu 
controle, independentemente do modo 
como se realizou sua coleta; 
c) seja adaptado à estrutura, à escala 
e ao volume de suas operações, bem 
como à sensibilidade dos dados 
tratados; 
d) estabeleça políticas e salvaguardas 
adequadas com base em processo de 
avaliação sistemática de impactos e 
riscos à privacidade; 
Governança e privacidade - Parte II00:27
Assinale a alternativa que 
corresponde a uma das dimensões 
fundamentais à gestão de uma 
organização:
EXERCÍCIO DE FIXAÇÃO
R
e
sp
o
st
a
 d
e
st
a
 p
á
g
in
a
: 
a
lt
e
rn
a
ti
v
a
 4
.
24
e) tenha o objetivo de estabelecer relação 
de confiança com o titular, por meio de 
atuação transparente e que assegure 
mecanismos de participação do titular; 
f) esteja integrado a sua estrutura geral 
de governança e estabeleça e aplique 
mecanismos de supervisão internos e 
externos; 
g) conte com planos de resposta a 
incidentes e remediação; e 
h) seja atualizado constantemente com 
base em informações obtidas a partir de 
monitoramento contínuo e avaliações 
periódicas;
II - demonstrar a efetividade de seu 
programa de governança em privacidade 
quando apropriado e, em especial, a 
pedido da autoridade nacional ou de 
outra entidade responsável por promover 
o cumprimento de boas práticas ou 
códigos de conduta, os quais, de forma 
independente, promovam o cumprimento 
desta Lei.
§ 3º As regras de boas práticas e de 
governança deverão ser publicadas e 
atualizadas periodicamente e poderão 
ser reconhecidas e divulgadas pela 
autoridade nacional.
Art. 51. A autoridade nacional estimulará a 
adoção de padrões técnicos que facilitem 
o controle pelos titulares dos seus dados 
pessoais.
Em resumo, as etapas do projeto podem 
ser definidas da seguinte forma:
 1. Entendimento: inclui entrevistas, 
workshop e análise de documentos;
 2. Data mapping: envolve catalogar os 
dados;
 3. Vulnerabilidades de TI: aborda ativos 
de TI;
 4. Vulnerabilidades legais/compliance: 
comprenrede Due Diligence e avaliação de 
riscos;
 5. IRD & plano de ação: contempla o IRD 
(Índice de Risco de Dados), a integração 
do IRD com a matriz de risco e plano de 
ação para adequação.
Etapas do projeto 25:06
36:44
Este livro prático e de fácil leitura explica de 
forma clara as abordagens, ou políticas, de 
gerenciamento de segurança da informação 
que muitas organizações podem analisar e 
implementar em seus negócios.
Livro: Fundamentos de 
Segurança da Informação
LEITURA INDICADA
25
AULA 3 • PARTE 1
Os objetivos da LGPD abrangem questões 
de privacidade, direitos dos titulares que 
devem ser resguardados e atendidos, 
segurança e estabelecimento de medidas 
de segurança para controlar os riscos que 
foram mapeados durante a fase inicial do 
projeto de implementação das regras da 
Lei Geral de Proteção de Dados.
Os §§ 1º e 2º do Art. 50, LGPD estabelecem 
que o controlador ao elaborar o programa 
de governança em privacidade deve 
observar:
I. A estrutura, a escala e o volume de suas 
operações;
É fundamental ter a compreensão da 
atividade econômica que é exercida 
para definir as regras que deverão ser 
observadas e se a Organização está 
alocada em um SetorObrigado (art. 9º da 
Lei nº 9.613/98) ou Regulado (CVM, ANS, 
SUSEP, etc);
II. A sensibilidade dos dados tratados;
III. A probabilidade e a gravidade dos 
danos para os titulares dos dados 
mapeamento dos riscos (data mapping).
LGPD 03:30
11:41 ‘‘O ideal é que se tenha um 
bom sistema de gestão [...] e de 
controles em relação às políticas 
que vierem a ser criadas.
’’
O Código de Ética e de Conduta 
em conformidade com a LGPD é 
fundamental para garantir que uma 
organização esteja em conformidade 
com as regulamentações de privacidade 
de dados. Alguns princípios e diretrizes 
que poderiam ser incluídos em um 
código de ética e conduta sob a 
perspectiva da LGPD são: objetivos 
da LGPD, definir como a organização 
trata e espera que os dados dos 
titulares de dados pessoais sejam 
tratados, incluir suas bases legais e 
os direitos dos titulares de dados. A 
política de privacidade e uso de dados 
pessoais tem como objetivo atender 
aos princípios legais da necessidade, 
da finalidade e da transparência, 
ou seja, é o instrumento no qual a 
organização informa todas as práticas e 
os procedimentos adotados na atividade 
de tratamento de dados pessoais.
O controle de gestão de consentimento 
refere-se aos processos e sistemas 
utilizados por uma organização 
para garantir que o consentimento 
dos titulares de dados seja obtido, 
registrado e gerenciado de acordo com 
os requisitos legais e éticos, como os 
estabelecidos pela LGPD. 
Código de ética e de conduta11:41
26
Todas as políticas devem ser aprovadas 
pelo Conselho, se houver, e assinadas pela 
Diretoria. Essas políticas e procedimentos 
devem ser disponibilizados em repositório, 
seja físico ou eletrônico, e estar disponíveis 
para todos os colaboradores e terceiros, 
se for o caso. A linguagem utilizada nas 
políticas e procedimentos deve ser clara, 
acessível e de fácil entendimento. É 
importante deixar claro aos colaboradores 
o que se quer garantir ou evitar com 
cada política e o que é requerido dele. 
Além disso, é necessário ter um sistema 
de gestão que engaje continuamente 
toda a organização na mesma visão da 
privacidade de dados.
Este controle trata da manifestação 
livre, informada e inequívoca pela qual 
o titular concorda com o tratamento de 
seus dados pessoais para uma finalidade 
determinada. O consentimento deverá 
ser fornecido por escrito ou por outro 
meio que demonstre a manifestação de 
vontade do titular.
Política de privacidade
O artigo “10 Perguntas que devem ser 
respondidas pela política de privacidade” 
foi elaborado e construído para relacionar o 
que deve constar na política de privacidade 
para que ela esteja em conformidade com 
a LGPD. O artigo completo está disponível 
neste link. 
LEITURA INDICADA
15:51
Hipóteses legais de tratamento de 
dados 
A publicação traz orientações sobre a 
interpretação e a aplicação da hipótese legal, 
dispondo sobre as definições dos institutos 
que os cercam, além de parâmetros de 
interpretação. O guia completo está 
disponível neste link. 
LEITURA INDICADA
23:11
EXERCÍCIO DE FIXAÇÃO
De forma geral, são considerados 
dados pessoais: 
R
e
sp
o
st
a
 d
e
st
a
 p
á
g
in
a
: 
a
lt
e
rn
a
ti
v
a
 2
.
https://www.conjur.com.br/2021-set-05/opiniao-perguntas-serem-respondidas-politica-privacidade/ 
https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/guia_legitimo_interesse.pdf
27
AULA 3 • PARTE 2
O Relatório de Impacto à Proteção de 
Dados Pessoais, também conhecido pela 
sigla em inglês DPIA (Data Protection 
Impact Assessment), é uma ferramenta 
utilizada para identificar e avaliar os 
impactos potenciais das atividades de 
tratamento de dados pessoais sobre a 
privacidade e os direitos dos titulares de 
dados. A principal finalidade de um RIPD 
é ajudar as organizações a entenderem 
e gerenciarem os riscos associados 
ao tratamento de dados pessoais, 
especialmente aqueles que podem resultar 
em violações da privacidade ou não 
conformidade com as leis de proteção 
de dados, como a LGPD (Lei Geral de 
Proteção de Dados) no Brasil ou o GDPR 
(Regulamento Geral de Proteção de 
Dados) na União Europeia.
Relatório de impacto 00:48
Os cookies são amplamente utilizados 
para diversas finalidades, incluindo 
lembrar informações de login, 
personalizar experiências de usuário, 
rastrear atividades de navegação e 
fornecer publicidade direcionada. 
Devido às preocupações com a 
privacidade e segurança dos dados, 
muitos sites agora são obrigados a 
informar aos usuários sobre o uso de 
cookies e obter consentimento explícito 
antes de armazenar certos tipos de 
cookies em seus dispositivos. 
Alguns cookies, como os cookies de 
rastreamento, são usados por empresas 
de análise e publicidade para coletar 
dados sobre a atividade de navegação 
dos usuários. Os navegadores da web 
geralmente oferecem opções para os 
usuários controlarem como os cookies 
são armazenados e utilizados. Isso 
pode incluir a capacidade de aceitar 
ou recusar cookies, excluir cookies 
existentes e configurar preferências de 
cookies para sites específicos.
A política de cookies é uma declaração 
pública que disponibiliza informações 
mais detalhadas aos usuários de 
um site ou aplicativo e pode ser 
acessada geralmente por meio de link 
apresentado no banner. Ela também 
pode estar integrada, de forma 
destacada e de fácil acesso, à Política 
de Privacidade. O principal objetivo da 
política é atender aos princípios do livre 
acesso e da transparência.
Cookies 03:36
12:32
Prazo de prescrição: É a perda da 
pretensão ao exercício do direito 
de ação, ou seja, significa dizer que 
o titular do direito deixou passar o 
prazo para agir. O prazo prescricional 
começa a contar a partir do momento 
em que o direito foi violado.
PALAVRA-CHAVE
17:32
Banco Central do Brasil (BACEN): É 
o principal executor das orientações 
do Conselho Monetário Nacional e 
responsável por garantir o poder de 
compra da moeda nacional.
PALAVRA-CHAVE
28
Atendimento de requisições do 
titular de dados
O art. 19 define as regras de atendimento 
de requisições relacionadas à proteção 
de dados pessoais. É recomendável 
padronizar o procedimento cobrindo todo 
o ciclo de vida das requisições, como no 
caso do recebimento, encaminhamento 
e resposta. Também é preciso atender 
as requisições de proteção de dados 
pessoais em tempo hábil de até 15 dias 
contados da data do requerimento, 
mantendo o cadastro eletrônico 
atualizado de todas as solicitações, com 
respectivos estados de atendimento:
• data da solicitação; 
• autor da solicitação; 
• responsável pela recepção; 
• descrição da solicitação e nível de 
complexidade;
• responsável pelo atendimento;
• data do atendimento;
• observações.
26:18
AULA 3 • PARTE 3
Política da segurança da 
informação - Parte I
Esta política define as diretrizes, 
regras e procedimentos relacionados 
à segurança da informação em uma 
organização. Ela estabelece as medidas 
necessárias para proteger os ativos 
de informação da empresa contra 
ameaças internas e externas, garantindo 
sua confidencialidade, integridade 
e disponibilidade. Uma política de 
segurança da informação geralmente 
possui os seguintes objetivos:
 • Confidencialidade: somente as pessoas 
autorizadas têm acesso às informações 
e aos dados pessoais ou dados pessoais 
sensíveis;
02:05
03:26 ‘‘Esse processo de segurança é 
um processo contínuo.
’’
EXERCÍCIO DE FIXAÇÃO
É uma ferramenta utilizada para 
identificar e avaliar os impactos 
potenciais das atividades de 
tratamento de dados pessoais sobre 
a privacidade e os direitos dos 
titulares de dados.
R
e
sp
o
st
a
 d
e
st
a
 p
á
g
in
a
: 
a
lt
e
rn
a
ti
v
a
 1
.
29
 • Integridade: a informação não será 
manipulada, nem alterada; e de que é 
possível confiar nela, por estar íntegra;
 • Disponibilidade: a informação estará 
acessível sempre que necessário e 
seguindo os pilares de confidencialidade e 
integridade.
Qualquer medida de segurança que se 
aplique precisa ser necessariamente de um 
dos trêsseguintes tipos:
 • Medidas físicas: são aquelas aplicadas 
ao mundo real, tangível. Podem ser muros, 
grades, portões ou até o fosso.
 • Medidas técnicas: são adequadas 
à governança e à gestão dos dados 
pessoais. Tem cunho mais tecnológico 
(infraestrutura digital).
 • Medidas administrativas: estão 
relacionadas aos procedimentos, políticas 
e planos de resposta a incidentes. 
Podem ser uma política de segurança de 
informação, um processo de homologação 
de fornecedores, treinamentos, etc.
Segurança da informação 
O guia “Segurança da informação para 
agentes de tratamento de pequeno porte” 
estabelece algumas medidas de segurança 
que poderão ser utilizadas com o fim de 
proteger os dados pessoais que estejam sob 
a tutela dos agentes de pequeno porte. O 
guia completo está disponível neste link. 
LEITURA INDICADA
05:55
Política da segurança da 
informação - Parte II
A política da segurança da informação 
pode ser elaborada com base nas 
recomendações propostas pela norma 
ABNT NBR ISO/IEC 27001. Uma política 
de segurança da informação eficaz é 
fundamental para proteger os ativos de 
informação de uma organização e manter 
a confiança dos clientes, parceiros e 
partes interessadas. Ela deve ser revisada 
regularmente e atualizada, conforme 
necessário, para acompanhar as mudanças 
no ambiente de ameaças e nos requisitos 
regulatórios.
O glossário descreve os conceitos 
relevantes, como normas relativas à 
utilização de programas, downloads, 
acesso a internet, redes sociais, uso de 
dispositivos móveis, e-mail (profissional 
e pessoal), backup, descarte, senhas e 
recursos tecnológicos compatíveis com 
os riscos da atividade do agente de 
tratamento. É fundamental estabelecer 
controles de segurança. Ao implementar 
a ISO/IEC 27001, as organizações podem 
demonstrar seu compromisso com a 
segurança da informação, melhorar 
sua resiliência a ameaças cibernéticas 
e aumentar a confiança das partes 
interessadas.
11:51
A contratação de um seguro cibernético 
é uma medida importante para as 
organizações se protegerem contra 
os riscos relacionados à segurança da 
informação e aos incidentes cibernéticos. 
Contratar um seguro cibernético pode 
fornecer à organização uma camada 
adicional de proteção financeira e ajudar 
a mitigar os custos associados a violações 
de dados, interrupções de negócios 
e outras consequências de incidentes 
cibernéticos. No entanto, é importante 
entender que o seguro cibernético não 
substitui a necessidade de implementar 
medidas robustas de segurança da 
informação.
Alguns exemplos de políticas 
complementares de segurança que uma 
empresa pode implementar incluem:
Contratação de seguro cibernético 15:31
https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/guia-vf.pdf
30
 • Política de controle de segurança física: 
define regras de classificação, processos 
e procedimentos padrões de operação e 
controle de segurança física de perímetro, 
edificações, salas de equipamentos, etc.
 • Política de controle de segurança 
por imagens de vídeo: estabelece a 
classificação, princípios de projeto e 
monitoramento de segurança física por 
imagens de câmeras de vídeo.
 • Política de destruição de mídias de 
armazenamento de dados: define as 
regras de classificação, processos e 
procedimentos padrões de controle de 
destruição de mídias e dispositivos de 
armazenamento de dados.
A política de resposta a incidentes de 
segurança da informação estabelece 
os procedimentos e diretrizes a serem 
seguidos quando ocorre um incidente 
de segurança da informação em uma 
organização. Ela descreve como a 
organização deve detectar, relatar, 
avaliar, responder e recuperar-se de 
incidentes de segurança, com o objetivo 
de minimizar os danos e interrupções 
causadas por tais eventos. Essa política 
é essencial para garantir uma resposta 
rápida, coordenada e eficaz a incidentes 
de segurança, como violações de dados, 
malware, ataques de negação de serviço 
(DDoS), intrusões de rede, entre outros. 
O comitê de crise é formado para 
coordenar a resposta a incidentes de 
segurança cibernética significativos 
dentro de uma organização. Esse 
comitê é responsável por tomar 
decisões estratégicas e coordenar as 
atividades de resposta a incidentes 
para lidar com situações que exigem 
uma ação imediata e coordenada. As 
responsabilidades do Comitê de Crise 
de Política de Resposta a Incidentes de 
Segurança da Informação incluem:
 • avaliar a gravidade e o impacto do 
incidente.
 • coordenar a resposta e atribuir 
tarefas às equipes relevantes.
 • tomar decisões estratégicas, como 
a necessidade de notificar autoridades 
regulatórias ou acionar serviços de 
resposta a incidentes externos.
 • comunicar-se regularmente com 
partes interessadas internas e externas.
 • supervisionar a implementação de 
medidas corretivas e preventivas.
 • realizar análises pós-incidente e 
identificar lições aprendidas para 
melhorar os processos de resposta a 
incidentes no futuro.
Política de resposta17:01
23:41
O filme retrata o escândalo dos Panamá 
Papers, um vazamento de proporções 
gigantescas ocorrido em 2016, cujos dados 
sigilosos mostraram como um escritório de 
advocacia no Panamá dava respaldo legal 
para a criação de dezenas de milhares de 
empresas.
Filme: A Lavanderia
ENTRETENIMENTO
31
Política de terceiros e due 
diligence
A política de terceiros é um conjunto de 
diretrizes e procedimentos estabelecidos 
por uma organização para gerenciar 
os riscos associados às relações com 
terceiros, como fornecedores, parceiros 
comerciais, prestadores de serviços e 
contratados. A política de terceiros visa 
garantir que os terceiros com os quais 
a organização se relaciona estejam em 
conformidade com os padrões éticos, 
legais e de segurança da informação da 
organização.
A due diligence é um processo de 
investigação e avaliação realizada pela 
organização para entender os riscos 
potenciais associados a um terceiro antes 
de estabelecer uma relação comercial 
com ele. Isso pode incluir uma análise 
detalhada das práticas de segurança da 
informação, conformidade regulatória, 
histórico de segurança cibernética, 
integridade financeira, reputação ética e 
outros fatores relevantes. A Política de 
Terceiros e Due Diligence pode abordar 
várias áreas, incluindo:
• realizar due diligence prévia com o 
fornecedor em potencial para verificar 
o nível de maturidade no que diz 
respeito ao compliance de dados;
• verificar se as medidas de segurança 
apresentadas pelo fornecedor são 
satisfatórias;
• selecionar o fornecedor: estabelecer 
contratualmente as suas 
responsabilidades e obrigações, 
considerando o contexto da relação;
• monitorar a execução das atividades 
do fornecedor, durante a vigência do 
contrato, e o cumprimento das novas 
exigências legais e regulatórias;
• garantir que a devolução ou o 
descarte dos dados pessoais tratados 
pelo fornecedor seja realizado de 
forma adequada e segura, bem como 
a remoção de acessos, se for o caso.
25:35
As cláusulas contratuais de compliance, 
privacidade e proteção de dados são 
disposições incluídas em contratos entre 
partes que estabelecem obrigações 
e responsabilidades relacionadas 
à conformidade legal, proteção 
de dados pessoais e privacidade. 
Essas cláusulas são especialmente 
importantes em contratos que envolvem 
o compartilhamento ou processamento 
de dados pessoais, mas também podem 
ser aplicadas de forma mais ampla para 
garantir a conformidade com outras leis 
e regulamentos relevantes. 
Manter o termo de conduta ou 
acordo de confidencialidade anexo 
aos contratos de trabalho estabelece 
as obrigações e responsabilidades 
de um funcionário em relação à 
confidencialidade e proteção das 
informações confidenciais da empresa. 
Esses acordos são comuns em muitas 
organizações e desempenham um papel 
fundamental na proteção dos segredos 
comerciais, informações proprietárias 
e dados confidenciais da empresa. 
Para atualizar ou incluir cláusulas 
em novos contratos, especialmenteem relação a termos de conduta 
ou acordos de confidencialidade, é 
importante considerar as necessidades 
da empresa e as mudanças no ambiente 
regulatório para que a responsabilidade 
e obrigações de cada parte estejam bem 
definidas.
Cláusulas contratuais32:52
39:00 ‘‘A grande maioria das pessoas 
não é disciplinada.
’’
32
AULA 3 • PARTE 4
Os canais de denúncia devem ser 
amplamente divulgados e, além disso, o 
processo de acolhimento da denúncia e a 
investigação (quando for o caso) devem 
ter como pilar a confidencialidade a fim 
de evitar danos à reputação de alguém. Se 
outros souberem das alegações, o sucesso 
da investigação pode ser prejudicado, a 
empresa poderá enfrentar publicidade 
negativa, a capacidade da empresa 
para se defender de qualquer ação legal 
poderia ser comprometida e a divulgação 
da informação poderia causar retaliação. É 
necessário que o canal gere confiança para 
que a denúncia seja realizada. Ao pensar 
no canal de denúncia é fundamental ter 
presente a jornada do denunciante.
 1º. O denunciante tem que ser capaz 
de identificar que algo errado (fraude 
ou má-conduta) está, potencialmente, 
acontecendo. E que é sua responsabilidade 
comunicar este fato para a organização.
É importante comunicar que é uma 
obrigação com o programa que os 
colaboradores reportem os casos certos 
ou suspeitos de violação à LGPD ou 
políticas da empresa a fim de que, na 
dúvida, seja realizada a denúncia. O 
denunciante está convencido de que o 
processo é seguro. O próximo passo é 
identificar os canais que ele pode utilizar 
para realizar a denúncia.
 2º. Formalização do canal, de seus 
instrumentos, das responsabilidades e dos 
processos.
 3º. Ter uma política de não-retaliação que 
seja descrita de forma clara.
 4º. Definir o formato do canal de 
denúncias: criação de um 0800 gratuito, 
abertura de uma conta de e-mail 
específica para esse propósito, divulgação 
de canais como SAC para também 
receberem denúncias, disponibilização de
Canal de denúncias 00:27
10:21 ‘‘Temos que pensar que para 
termos uma denúncia, nós temos 
que contar com a boa vontade do 
denunciante.
’’
10:47
Documentário, com seis episódios, que 
aborda grandes escândalos de corrupção 
corporativa dos Estados Unidos, como o 
caso de fraude no dispositivo catalisador de 
veículos a diesel da montadora Volkswagen. 
Filme: Na Rota do Dinheiro Sujo
ENTRETENIMENTO
33
“urnas” distribuídas pela empresa para as 
pessoas depositarem suas denúncias em 
papel.
 5º. O canal pode ser implementado de 
forma simples com o uso de profissionais 
da própria empresa ou contratar um 
fornecedor especializado com acesso mais 
universalizado.
A política de consequências compõe um 
conjunto de diretrizes e procedimentos 
estabelecidos por uma organização para 
definir as consequências ou medidas 
disciplinares que serão aplicadas em 
caso de violação das políticas, normas 
ou padrões estabelecidos pela empresa. 
Essa política tem como objetivo 
promover a conformidade com as 
regras da organização, incentivando 
comportamentos adequados e 
desencorajando comportamentos 
inadequados por meio da aplicação 
consistente e justa de consequências 
para violações. Essa medida visa 
estabelecer treinamentos para que a 
equipe, colaboradores, prestadores 
de serviços e fornecedores tenham 
a possibilidade de melhorar. Se não 
houver política de consequência 
dificilmente as pessoas irão cumprir com 
as regras. 
A política de consequências incentiva 
o cumprimento das políticas e 
normas da organização e promove 
uma cultura de responsabilidade e 
prestação de contas. É fundamental 
fazer o monitoramento e medir riscos 
para verificar se a implementação do 
programa de compliance está surtindo 
os efeitos desejados, além de identificar 
se os riscos apresentados previamente 
continuam se comportando da forma 
esperada e, ainda, se novos riscos não 
surgiram no decorrer das operações. 
Quando o exercício de monitoramento 
é realizado de forma disciplinada, 
planejada e documentada dificilmente 
uma surpresa acontecerá no âmbito do 
programa de compliance.
Política de consequências e
monitoramento12:47
Uma auditoria de proteção de dados 
pode abranger uma variedade de áreas, 
incluindo políticas de privacidade, controle 
de acesso, segurança da informação, 
conformidade legal, gerenciamento de 
incidentes e treinamento dos funcionários. 
Após a auditoria, são produzidos relatórios 
que destacam os achados, as áreas de 
risco e as recomendações para melhorias. 
Esses relatórios são usados para orientar 
ações corretivas e melhorias contínuas na 
proteção de dados. O objetivo da auditoria 
é verificar se as políticas e procedimentos 
de proteção de dados estão sendo 
seguidos adequadamente, bem como 
identificar áreas de não conformidade ou 
vulnerabilidades e recomendar medidas 
corretivas. 
Auditoria 19:50
Assinale a alternativa que 
corresponde a uma política de 
segurança da informação:
EXERCÍCIO DE FIXAÇÃO
R
e
sp
o
st
a
 d
e
st
a
 p
á
g
in
a
: 
a
lt
e
rn
a
ti
v
a
 4
.
34
A auditoria pode ser dividida em 4 partes.
 • Auditoria de adequação: é verificado se 
os procedimentos criados são suficientes 
para mitigar todos os riscos apontados.
 • Auditoria de conformidade: o foco é 
verificar se todas as evidências foram 
geradas de acordo com as especificações 
dos procedimentos.
 • Auditoria de eficácia dos processos e 
controles: os auditores visitam as áreas 
e entrevistam os responsáveis pelos 
processos e controles. 
 • Auditoria de maturidade: os auditores 
irão verificar o quanto os novos processos 
e controles são de conhecimento da 
organização, se as pessoas conhecem os 
objetivos e os princípios do compliance 
de dados, se o processo de comunicação 
e treinamento estão atingindo o público 
conforme o requerido e se as pessoas 
agem no dia a dia em conformidade com 
as regras de compliance.
Após a conclusão da auditoria, um 
relatório deve ser elaborado. Este relatório 
deve ser apresentado ao comitê de 
ética, a fim de chegar a um consenso 
sobre as melhorias necessárias ou as 
responsabilidades pelos atos praticados. 
Em seguida, as conclusões devem ser 
apresentadas à alta direção.
EXERCÍCIO DE FIXAÇÃO
É um processo de investigação e 
avaliação realizada pela organização 
para entender os riscos potenciais 
associados a um terceiro
R
e
sp
o
st
a
 d
e
st
a
 p
á
g
in
a
: 
a
lt
e
rn
a
ti
v
a
 3
.
35
Resumo da disciplina
Veja, nesta página, um resumo dos principais conceitos vistos ao longo da disciplina. 
AULA 1
AULA 2
AULA 3
Os canais de denúncia devem ser 
amplamente divulgados e precisam 
gerar confiança.
O compliance surgiu nos EUA 
diretamente conectado com a área 
criminal.
 O objetivo da auditoria é verificar 
se as políticas e procedimentos de 
proteção de dados estão sendo 
seguidos adequadamente.
A política de consequências 
incentiva o cumprimento das 
políticas e normas da organização.
“Estar em conformidade” não 
abrange completamente o 
significado de compliance.
Uma das consequências da 
Globalização Econômica foi o 
agigantamento das corporações.
Compliance envolve cumprir normas, mas 
não se limita a isso.
O compliance no Brasil não surgiu 
conectado à responsabilidade penal da 
pessoa jurídica.
Dado pessoal não é só nome, 
endereço, RG, mas é tudo aquilo 
que permite identificar alguém.
R
e
sp
o
st
a
 d
e
st
a
 p
á
g
in
a
: 
a
lt
e
rn
a
ti
v
a
 4
.
36
Veja as instruções para realizar a avaliação da disciplina.
Já está disponível o teste online da disciplina. O prazo para realização 
é de dois meses a partir da data de lançamento das aulas. 
Lembre-se que cada disciplina possui uma avaliação online. 
A nota mínima para aprovação é 6. 
Fique tranquilo! Caso você perca o prazo do teste online, ficará aberto 
o teste de recuperação, que pode ser realizado até o final do seu curso. 
A única diferença é que a nota máxima atribuída na recuperação é 8. 
Avaliação
	Conheça seus professores
	Conheça os professores