Siemens transformou pagamentos não contabilizados e o controle de consultores em um teste de responsabilidade de compliance corporativo

Resumo

• Quatro confissões de culpa não significam quatro crimes idênticos.A Siemens AG confessou-se culpada de uma acusação de controles internos e de uma acusação de violação de deveres contábeis e de registro. A Siemens Argentina confessou-se culpada de conspiração para violar deveres contábeis e de registro. A Siemens Bangladesh e a Siemens Venezuela confessaram-se culpadas de conspiração com objetivos anticorrupção e de violação de deveres contábeis e de registro. Esses limites de personalidade jurídica e acusações são fatos centrais, não notas de rodapé legais.

• O caso da SEC era civil e processualmente independente.Sua queixa alegava violações de regras anticorrupção, contábeis e de controles internos em um espectro mais amplo de transações. A Siemens AG liquidou o caso sem admitir ou negar as acusações, concordou com uma injunção e devolução de lucros e aceitou condições, incluindo um monitor. As confissões criminais da empresa não devem ser usadas para reescrever a ordem da SEC.

• A falha de controle era uma arquitetura de pagamento alternativa.Caixas, títulos ao portador, contas não contabilizadas, intermediários, faturas fictícias, comprovantes de aprovação removíveis e acordos de consultoria podiam deslocar valor enquanto ocultavam propósito, aprovador e beneficiário. Uma política que não regulava esses caminhos não era um limite eficaz.

• As medidas alemã e do Banco Mundial tinham suas próprias bases legais.Os procedimentos de Munique resultaram em multas separadas, incluindo uma ordem de 2008 por violação de deveres de supervisão. O acordo com o Banco Mundial combinou uma restrição voluntária de licitações, cooperação e uma iniciativa de integridade; a OOO Siemens foi separadamente excluída de um projeto financiado pelo banco na Rússia. Nenhum deles foi uma condenação adicional pela FCPA.

• Processos individuais permanecem individuais.Uma acusação de 2011 acusou oito ex-executivos e agentes no caso argentino; alegações não são condenações. Andres Truppel posteriormente se declarou culpado, admitindo seu próprio comportamento. Confissões de empresas, uma acusação e uma confissão individual não podem ser trocadas como prova mútua.

• O trabalho de um monitor é uma garantia limitada.O mandato de quatro anos cobriu controles atuais, contabilidade, relatórios financeiros e compliance anticorrupção. A Siemens posteriormente relatou que as recomendações do monitor foram implementadas e o mandato terminou. Isso é evidência de um mecanismo concluído, não a prova de que cada transação foi auditada ou que a repetição se tornou impossível.

• A reparação permanente deve ocorrer no nível da transação.Um sistema defensável conecta propriedade beneficiária, necessidade comercial, qualificações, contrato, objeto de desempenho, contato com servidores públicos, fatura, beneficiário bancário, aprovação, lançamento contábil e verificação pós-pagamento. Exceções, overrides e alertas não resolvidos devem chegar a tomadores de decisão independentes antes que o valor seja movimentado.

Comece pelos réus, não pelo título

O anúncio do acordo de dezembro de 2008 do Departamento de Justiça é o mapa mais claro dos quatro casos criminais corporativos. Em uma audiência, a Siemens AG e três empresas regionais fizeram confissões, mas cada réu assinou seu próprio documento. A Siemens AG confessou dois crimes relacionados à contabilidade. A Siemens Argentina confessou conspiração para violar deveres contábeis e de registro. A Siemens Bangladesh e a Siemens Venezuela confessaram conspirações com objetivos tanto de suborno quanto de contabilidade e registro. A matriz pagou uma multa criminal de US$ 448,5 milhões;

cada subsidiária pagou a multa máxima legal da época de US$ 500.000 pela conspiração.

Essa atribuição corrige uma simplificação comum. É impreciso dizer que a Siemens AG se declarou culpada de acusação de suborno da FCPA, que foi feita contra as duas subsidiárias. É igualmente impreciso descrever a acusação contra a Siemens Argentina como idêntica à de Bangladesh ou Venezuela. O comportamento descrito nos autos estava ligado por um grupo, sistemas comuns e contabilidade consolidada, mas a independência legal das empresas determinou os crimes e as sentenças.

A distinção é operacionalmente útil. Uma falha de controle no nível da matriz pergunta se os livros consolidados, controles financeiros, auditoria interna, pessoal de compliance e supervisão da alta administração poderiam detectar problemas em uma matriz. Uma conspiração no nível regional pergunta o que gerentes locais, equipes de projeto, consultores, intermediários de pagamento e canais bancários fizeram em uma determinada contratação pública. A reparação eficaz requer ambas as perspectivas. Os controles centrais devem estabelecer um limite não negociável;

as evidências locais devem provar que determinadas pessoas, serviços e pagamentos são legítimos.

Um registro de caso deve, portanto, registrar separadamente réu, jurisdição, número do processo, acusação, confissão de fatos, ordem, categoria de penalidade e obrigações. Painéis de grupo podem agregar riscos, mas nunca devem substituir o registro corporativo subjacente. Sem essa disciplina, um conselho pode acreditar que um acordo da matriz encerrou um problema local, ou que a confissão de uma subsidiária estabeleceu fatos contra qualquer funcionário nomeado em outro lugar.

O que a Siemens AG admitiu – e o que não admitiu

A denúncia criminal contra a Siemens AG descreve uma matriz complexa com grupos operacionais e empresas regionais, relatórios centrais mínimos além dos relatórios financeiros e mais de 1.800 entidades legais. Acusou a matriz de conscientemente não implementar ou contornar controles contábeis internos, bem como violações de deveres contábeis e de registro. O documento também rastreia alertas, esforços políticos, investigações e mecanismos de pagamento ao longo do tempo.

O separado acordo de confissão da Siemens AG é o contrato autoritativo para este caso criminal. A Siemens AG concordou em se declarar culpada das duas acusações, pagar a multa estipulada, cooperar e manter medidas de compliance aprimoradas. A confissão não tornou a matriz uma ré condenada por suborno. Também não condenou nominalmente executivos, funcionários, consultores ou funcionários públicos não nomeados. A responsabilidade criminal corporativa e a responsabilidade criminal pessoal usam réus, provas e proteções processuais diferentes.

Essa distinção não minimiza a falha de controle admitida. Os livros de um emissor devem refletir fielmente as transações, e seus controles devem fornecer segurança razoável de que as transações são autorizadas e registradas. Se as unidades de negócios podem usar contas não contabilizadas, contratos retroativos ou serviços fictícios, a falha atinge a confiabilidade dos relatórios consolidados. Os investidores não podem avaliar o risco se os resultados do projeto contiverem pagamentos ocultos, e os gerentes não podem administrar um grupo se o razão distorcer intencionalmente por que o valor saiu da empresa.

A lição no nível da matriz é que a descentralização é uma decisão de design, não uma desculpa. Delegar a execução comercial pode melhorar a velocidade e o conhecimento local. Também cria a obrigação de definir o que nunca pode ser delegado: contabilidade verdadeira, beneficiários verificados, aprovação independente de terceiros de alto risco, instruções de pagamento auditáveis e escalação de suspeitas de má conduta. Uma matriz precisa de responsabilidade de controle explícita em cada ponto de conexão onde um grupo operacional e uma empresa regional compartilham uma transação.

O sistema de pagamento alternativo

A declaração sobre o crime e os anexos de monitoramento de compliance mostra por que isso foi mais do que apenas uma coleção de faturas falsas. O registro descreveu pagamentos diretos a consultores, caixas, cheques ao portador, intermediários de pagamento, caixas dois, sistemas de pagamento confidenciais, contas de comissões internas e outros mecanismos. Também estabeleceu elementos mínimos de compliance e um mandato de monitor de quatro anos.

De março de 2001 a 2007, a informação relacionou cerca de US$ 1,36 bilhão em pagamentos por meio de vários mecanismos. Subdividiu o valor em cerca de US$ 554,5 milhões pagos para fins desconhecidos – incluindo cerca de US$ 341 milhões em pagamentos diretos a consultores empresariais para fins desconhecidos – e cerca de US$ 805,5 milhões destinados, total ou parcialmente, como pagamentos de suborno a funcionários públicos estrangeiros. Essas categorias são importantes. “Propósito desconhecido” não é sinônimo legal de suborno.

É uma falha de controle: os registros e as provas eram insuficientes para determinar por que o dinheiro foi movimentado.

Vários mecanismos anularam a segregação de funções comum. Gerentes que solicitavam dinheiro também podiam autorizar a coleta. Notas removíveis podiam ocultar signatários. Intermediários podiam faturar a Siemens, reter uma porcentagem e repassar o restante. Caixas não contabilizadas podiam acumular fundos antes que uma necessidade específica do projeto surgisse. Contas internas podiam contornar os detalhes habituais da contabilidade a pagar. Acordos escritos de consultoria podiam ser criados após a adjudicação para fornecer cobertura documental, em vez de antes do trabalho para definir um serviço genuíno.

O problema de controle fundamental era, portanto, a capacidade. A organização possuía caminhos pelos quais o valor podia fluir sem uma conexão permanente entre propósito, autoridade, serviço e beneficiário. Fechar uma conta bancária não eliminaria outros caminhos. Demitir um gerente não impediria um sucessor de usar outro intermediário. A reparação precisava inventariar todo o perímetro de transferência de valor e fazer convergir controles de tesouraria, procurement, contratos e contabilidade.

Isso significa que cada transferência de valor econômico deve receber uma identidade de transação única antes do compromisso. O registro deve conectar a entidade legal solicitante, o projeto, o orçamento, o parceiro contratual, as pessoas físicas como proprietários, os pontos de contato com o setor público, o contrato, as entregas, a fatura, a conta do beneficiário, os aprovadores e a classificação do razão. Se faltar um elo, o padrão é reter – não um atalho manual sustentado por urgência comercial.

Siemens Argentina: livros, registros e um projeto de identidade nacional

A declaração sobre o crime da Siemens Argentina tratou do projeto argentino de carteira de identidade nacional e de uma conspiração para falsificar os livros e registros do emissor. O relato admitido descreveu supostos pagamentos a consultores, faturas fictícias, autorizações retroativas e custos atribuídos a projetos ou entidades que não refletiam o propósito real. Afirmou que, durante o período relevante, cerca de US$ 31,263 milhões em supostos pagamentos a consultores foram feitos ou causados, dos quais alguns ou todos foram destinados como pagamentos de suborno.

A Argentina ilustra por que a evidência contratual deve preceder o pagamento. Um contrato criado após o suposto trabalho, uma descrição genérica ou uma fatura copiada de um modelo provam pouco. O patrocinador comercial deve explicar a necessidade antes do engajamento, o procurement deve avaliar o preço, o compliance deve identificar proprietários e conexões oficiais, e um auditor qualificado deve verificar as entregas antes que uma fatura seja aprovada. Documentos criados após o início de uma disputa merecem escrutínio elevado.

Também ilustra a contaminação entre projetos. Os fatos admitidos descreveram mecanismos que deslocavam ou ocultavam custos por meio de acordos não relacionados. Um sistema corporativo deve, portanto, evitar que um projeto financie um consultor, a menos que o consultor seja aprovado para essa entidade legal e esse escopo. Transferências entre projetos, unidades de negócios ou empresas regionais exigem uma base econômica documentada e um verificador independente que não participe do incentivo de vendas.

O contexto do documento de identidade nacional aumenta os interesses públicos. A integridade da contratação pública afeta não apenas concorrentes e orçamentos públicos, mas também a confiança na infraestrutura usada para estabelecer identidade. Isso não altera os elementos do crime corporativo. Altera a perspectiva de impacto: um pagamento opaco relacionado a um sistema público pode minar a confiança tanto no fornecedor quanto na instituição que compra o serviço.

Siemens Bangladesh: consultores e uma licitação de telecomunicações

A declaração sobre o crime da Siemens Bangladesh envolveu uma licitação da empresa estatal de telecomunicações. A Siemens Bangladesh admitiu ter contratado ou causado a contratação de supostos consultores para pagar subornos em troca de tratamento preferencial e causou pagamentos a eles de pelo menos cerca de US$ 5,32 milhões, incluindo pagamentos por intermediários e canais bancários dos EUA. Sua conspiração tinha objetivos de suborno e de contabilidade e registro.

A lição de controle não é que todos os consultores locais sejam suspeitos. Muitos projetos globais exigem legitimamente experiência técnica, regulatória ou comercial. A lição é que “acesso local” não pode substituir um serviço definido. A due diligence deve estabelecer qualificações, funcionários, proprietários beneficiários, relacionamentos com funcionários públicos, subcontratados, local de trabalho e lógica de remuneração. A empresa deve verificar declarações de forma independente, em vez de permitir que um consultor autoateste os fatos mais relevantes para a aprovação.

O monitoramento contínuo é tão importante quanto o engajamento. A residência, conta bancária, propriedade, relacionamentos políticos ou subcontratados de um consultor podem mudar. Os sistemas de pagamento devem acionar uma reavaliação quando esses fatos mudarem, quando uma fatura vier de uma jurisdição inesperada ou quando a conta receptora pertencer a uma pessoa diferente da parte contratual. Um fornecedor previamente aprovado não é permanentemente de baixo risco.

Siemens Venezuela: dois projetos de metrô e administração local

A declaração sobre o crime da Siemens Venezuela envolveu os projetos de metrô de Valência e Maracaibo. Descreveu as responsabilidades administrativas da Siemens Venezuela, incluindo a contratação e pagamento de consultores, e admitiu pagamentos de pelo menos cerca de US$ 18,78 milhões a agentes e empresas de consultoria com o entendimento de que alguns ou todos seriam repassados a funcionários públicos. Sua conspiração, como a de Bangladesh, continha objetivos de suborno e de contabilidade e registro.

Projetos de infraestrutura concentram várias janelas de risco: design da licitação, avaliação, terras e licenças, financiamento, aditivos, inspeção, aceitação e certificação de pagamento. Um programa de controle de consultores que verifica apenas a adjudicação inicial ignora oportunidades posteriores de influência. O registro do projeto deve mapear cada decisão pública, cada intermediário associado, o histórico de contato, mudanças de escopo e qualquer pagamento dependente de ações governamentais.

Aditivos requerem aprovação separada da proposta original. Auditores devem comparar as mudanças cumulativas com o valor original, testar preços unitários, confirmar o progresso físico e identificar quem propôs cada mudança. Consultores remunerados por honorários de sucesso ou vinculados a aprovações representam um risco de conflito de interesses que exige escrutínio reforçado. Uma fatura nunca deve ser aceita apenas porque o gerente do projeto confirma que “o problema foi resolvido”.

Os limites corporativos também são importantes dentro de um consórcio. A entidade legal que contrata com o cliente, a entidade que contrata um consultor e a entidade que libera fundos podem ser diferentes. Um registro de caso comum deve mostrar cada função, mas o conselho e os diretores de cada entidade mantêm seus próprios deveres. “O consórcio aprovou” não é evidência suficiente de que uma entidade da Siemens autorizou legalmente seu próprio pagamento.

Determinação da pena, cooperação e os registros alemães

O memorando de determinação da pena do Departamento de Justiça apresentou as acusações, multas propostas, cooperação, reparação e monitoramento. Também descreveu um trabalho investigativo significativo e reconheceu as medidas alemãs correspondentes. O memorando é valioso porque explica por que uma pena foi proposta; não substitui os acordos ou os instrumentos alemães.

As multas devem manter suas categorias. As quatro multas criminais totalizaram US$ 450 milhões. Os US$ 350 milhões da SEC foram uma devolução de lucros em um acordo civil. Os valores alemães resultaram de processos alemães. Os totais globais anunciados podem transmitir a magnitude, mas sua adição sem rotulagem cria um julgamento unitário falso. Os custos de investigação, negócios perdidos, danos à contratação pública e reconstrução da compliance são novamente diferentes e não devem ser apresentados como penalidades legais.

O reconhecimento da cooperação também é limitado. Coleta extensiva de documentos, entrevistas, divulgação e reparação podem influenciar uma recomendação de pena. Não apaga o comportamento admitido. Por outro lado, o reconhecimento da cooperação não significa que todo funcionário renunciou a direitos ou que toda alegação foi provada. Um relatório de governança defensável deve registrar o que a empresa produziu, quando produziu, qual autoridade avaliou a cooperação e quais obrigações permaneceram.

O memorando descreveu o monitor como um mecanismo de salvaguarda prospectivo. O mandato era avaliar os controles atuais e a compliance por quatro anos, não renegociar casos históricos. Essa distinção deve orientar os conselhos hoje: uma investigação reconstrói transações passadas; um monitor testa se um sistema redesenhado funciona. Um não pode substituir o outro.

O caso civil da SEC

A queixa civil da SEC contra a Siemens AG alegou um padrão mais amplo de violações de suborno, contabilidade e controles internos relacionadas a vários projetos. Descreveu milhares de pagamentos, caracterizações falsas, consultores empresariais, intermediários e controles inadequados. Alegações em uma queixa não são confissões criminais da empresa apenas porque confissões criminais relacionadas ocorreram no mesmo dia.

O comunicado de processo e resumo da decisão final da Comissão declara expressamente a distinção processual: a Siemens concordou com a decisão final sem admitir ou negar as acusações. A decisão proibiu permanentemente futuras violações, exigiu US$ 350 milhões em devolução de lucros e impôs condições de compliance, incluindo um monitor independente por quatro anos. O comunicado também observa que o tribunal emitiu a decisão final em 15 de dezembro de 2008.

Essa distinção entre civil e criminal altera os verbos responsáveis. A SEC “alegou” os fatos da queixa; a Siemens “concordou” com a decisão civil; a Siemens AG “confessou” a declaração criminal que sustenta suas duas acusações contábeis. Um jornalista, um documento do conselho ou um modelo de risco não deve usar um verbo para todos os três. Verbos precisos protegem a integridade do registro e impedem que alegações se tornem silenciosamente condenações.

O registro da SEC ainda fortalece o diagnóstico de controle. Lançamentos contábeis falsos não se limitaram a um nome de conta. Honorários de consultoria, comissões, taxas administrativas, contratos de fornecimento e outras descrições podiam ocultar o propósito. Um sistema de análise moderno deve, portanto, evitar uma regra ingênua que busca apenas “consultor”. Deve vincular parceiros contratuais, beneficiários, evidências de desempenho, fase do projeto, aprovadores, jurisdição e comportamento em muitas categorias de razão.

Duas ordens alemãs, não uma confissão global

O mandado de multa do Ministério Público de Munique de 2008 tratou de um processo administrativo alemão por violação de deveres de supervisão pelo antigo conselho. A Siemens aceitou uma multa de 395 milhões de euros. Este mandado difere das confissões dos EUA e da medida alemã anterior de 2007 relativa ao antigo grupo de comunicações.

O anúncio simultâneo do acordo da Siemens relatou a conclusão de 395 milhões de euros e o valor alemão anterior de 201 milhões de euros, observando ao mesmo tempo que as investigações contra ex-membros do conselho, funcionários e outras pessoas não foram afetadas. Descreveu separadamente as multas criminais dos EUA, a devolução de lucros da SEC e a nomeação de um monitor. Como declaração corporativa, é útil para o que a Siemens apresentou; os documentos oficiais subjacentes determinam a classificação legal.

A separação alemã é importante para a responsabilização. Uma multa administrativa contra uma empresa por violação de deveres de supervisão não prova que cada membro do conselho cometeu um crime. Tampouco o encerramento de processos contra a empresa encerra investigações individuais. A evidência de supervisão do conselho deve identificar qual órgão tinha quais informações quando, o que podia decidir e se realizou acompanhamentos. Designações coletivas como “a administração sabia” são imprecisas demais para análise legal ou de governança.

Os conselhos precisam de um registro de escalação que possa mostrar alertas não respondidos. Cada alerta deve ter um responsável, avaliação de risco, solicitação de evidências, verificação intermediária, data de vencimento e motivo de encerramento. Se o compliance local relatar que faltam contratos de consultores, um comitê do conselho deve ver o denominador, a população ausente e as suspensões de pagamento resultantes – não apenas uma declaração de que houve uma implementação de política.

Acordo com o Banco Mundial e exclusão da subsidiária russa

O acordo da Siemens com o Banco Mundial de julho de 2009 teve vários componentes: a Siemens AG e suas subsidiárias consolidadas renunciaram voluntariamente a licitar em negócios do banco por dois anos, a Siemens comprometeu-se com US$ 100 milhões em quinze anos para apoiar o combate à corrupção, e o grupo concordou com condições de cooperação e troca de informações. O acordo seguiu-se a uma admissão de má conduta global e a uma investigação do banco envolvendo uma subsidiária russa.

O posterior anúncio de exclusão da OOO Siemens identifica a entidade sancionada e o limite do projeto. A Limited Liability Company Siemens, uma subsidiária russa, foi excluída por quatro anos por práticas fraudulentas e corruptas relacionadas ao projeto de transporte urbano de Moscou. A exclusão não foi uma sanção contra a Siemens Argentina, Bangladesh ou Venezuela e não fez parte da sentença criminal dos EUA.

As medidas reparadoras dos bancos de desenvolvimento protegem os sistemas de contratação pública. Podem restringir a elegibilidade para licitar, prever liberação condicional e exigir cooperação, mesmo que a instituição não seja um tribunal criminal. As equipes de procurement devem, portanto, vincular os dados de exclusão à verificação de fornecedores e consórcios. Um nome de grupo corporativo não é suficiente: o sistema deve identificar a entidade exatamente sancionada, as subsidiárias cobertas por uma decisão, as datas de vigência e as condições de liberação.

A iniciativa de integridade também mostra por que pagamentos reparadores e multas não devem ser misturados. O financiamento de ação coletiva pode trazer benefícios públicos, mas não é devolução de lucros nem multa criminal. Seu teste de governança é se seleção, direitos de auditoria, gastos e resultados são rastreáveis independentemente ao longo do período comprometido.

Acusações individuais e uma confissão individual

A acusação de 2011 contra oito ex-executivos e agentes envolveu o sistema argentino de carteira de identidade. Uma acusação formula acusações e alegações. Não estabelece culpa, e confissões corporativas não podem anular a presunção de inocência dos réus individuais nem constituir prova contra eles.

O posterior anúncio da confissão de Andres Truppel em 2015 registra um status diferente. O ex-diretor financeiro da Siemens Argentina admitiu seu papel em um esquema de uma década e confessou-se culpado de conspiração relacionada à FCPA e fraude eletrônica. Esta confissão pertence a Truppel. Não transforma acusações pendentes contra outros em condenações.

Medidas disciplinares internas, decisões civis e condenações criminais também usam padrões diferentes. Uma empresa pode disciplinar um funcionário por violação de política sem provar um crime além de dúvida razoável. Os relatórios públicos devem identificar o padrão aplicado e preservar evidências contraditórias ou não resolvidas. “Implicado” não é uma designação processual adequada.

O que o monitor de quatro anos pôde determinar

O relatório de sustentabilidade de 2012 da Siemens sobre o monitor de compliance afirmou que o quarto relatório anual considerou o programa de compliance adequadamente projetado e implementado para detectar e prevenir violações anticorrupção, que as recomendações anteriores foram implementadas e que o mandato terminou em 15 de dezembro de 2012. Este é um relatório corporativo sobre as conclusões do monitor, não o relatório confidencial do monitor em si.

O mandato original exigia a avaliação de controles internos, contabilidade, relatórios financeiros e conformidade com leis anticorrupção. Concedeu direitos de acesso e relatórios regulares. Tal mecanismo pode fornecer verificações independentes valiosas: amostragem de transações, verificação da implementação em várias jurisdições, exigência de recomendações e comunicação de deficiências não resolvidas às autoridades.

A conclusão do trabalho do monitor tem um limite, no entanto. Uma amostra não pode verificar cada consultor, fatura ou projeto. Um controle eficaz durante o mandato pode deteriorar-se após mudanças de liderança, sistemas ou incentivos. A confidencialidade limita o que as partes interessadas externas podem verificar. A conclusão, portanto, apoia a conclusão de que um processo de salvaguarda definido foi encerrado; não certifica conformidade permanente.

A resposta permanente é internalizar os testes do monitor. A auditoria interna deve usar amostragem independente, reter testes reprovados e acompanhar a reparação. A compliance não deve selecionar apenas transações limpas. Os conselhos devem receber taxas de exceção, perfis de idade e padrões de repetição. Auditorias externas podem ser apropriadas para os controles de maior risco, especialmente propriedade beneficiária, suspensões de pagamento e integração pós-aquisição.

O próprio relatório da Siemens sobre investigação e reparação

O resumo da investigação e resultados da empresa descreveu as investigações externas, a revisão de documentos e transações, a supervisão do comitê, programas de anistia e delação premiada e uma organização de compliance redesenhada. O próprio documento adverte que é um resumo para conveniência e que não se deve confiar em seu conteúdo. Essa isenção de responsabilidade reforça a hierarquia de evidências: explica a apresentação da empresa, enquanto instrumentos judiciais e regulatórios estabelecem os resultados legais.

A extensão de uma revisão é relevante, mas não autovalidante. Entrevistas, buscas de documentos e análises de transações mostram o esforço e podem melhorar a cobertura. Não provam que todos os registros relevantes estavam disponíveis, que cada testemunha disse a verdade ou que cada conclusão estava correta. Um registro de salvaguarda deve capturar a população base, a amostra, exclusões, limitações de dados e problemas não resolvidos, não apenas totais impressionantes.

A anistia pode trazer informações ocultas à tona, mas levanta questões de governança sobre elegibilidade, consistência e disciplina. Executivos de alto escalão não devem receber o mesmo tratamento que funcionários que agem sob pressão sem um padrão fundamentado. As decisões de cooperação devem ser documentadas, revisadas legalmente e separadas de retaliação. A empresa deve mostrar que falar reduz o dano sem deixar a má conduta grave impune.

Causa: política sem capacidade de controle

O registro do caso contrasta repetidamente regras escritas com fraquezas operacionais. Políticas existiam, diretrizes para consultores foram discutidas e funções de compliance foram criadas. No entanto, as responsabilidades eram fragmentadas, alguns funcionários de compliance tinham outras funções em tempo integral, a falta de documentação de consultores não era acompanhada, as investigações nem sempre se expandiam após sinais de alerta e os mecanismos comerciais permaneciam disponíveis fora do processo formal.

Esta é a diferença entre design de controle e capacidade de controle. Um sistema de controle projetado afirma que consultores exigem due diligence. Capacidade significa que a plataforma de pagamento não pode liberar fundos até que as evidências necessárias estejam completas, verificadores independentes podem desafiar patrocinadores poderosos, a tesouraria pode identificar o beneficiário real e a auditoria pode reconstruir a decisão posteriormente. Uma política é uma instrução; capacidade é a combinação de autoridade, dados, fluxo de trabalho, pessoal e aplicação que torna a instrução real.

Os incentivos comerciais ampliam a lacuna. Grandes projetos públicos podem trazer receita por anos, posição de mercado local e prestígio para executivos. Funcionários que questionam um intermediário podem ser responsabilizados por perder um negócio. A organização deve neutralizar essa pressão com aprovação independente, escalação protegida e regras de remuneração que reconheçam uma transação interrompida como uma bem-sucedida entrega de controle.

A complexidade é outra causa. Milhares de entidades legais, práticas locais e grupos operacionais sobrepostos criam ambiguidade sobre quem é responsável por um consultor. A resposta nunca deve ser “todos”. Um executivo responsável deve responder pela necessidade comercial; o procurement deve responder pelas condições comerciais; o compliance deve responder pela aprovação de risco; as finanças devem responder pela evidência de serviço e contabilidade; a tesouraria deve responder pela validação do beneficiário; a auditoria deve auditar toda a cadeia.

Uma cadeia de controle de consultores que produz evidências

O primeiro portão é a necessidade. Antes de contatar um candidato, o patrocinador deve descrever o serviço, o projeto, a saída esperada, as qualificações necessárias, a interação com funcionários públicos, a duração e por que funcionários ou um fornecedor existente não podem fornecê-lo. O compliance deve rejeitar mandatos vagos como “suporte de mercado”, “gestão de relacionamento” ou “facilitação”, a menos que atividades mensuráveis sejam adicionadas.

O segundo portão é a identidade. O registro deve incluir registro legal verificado, pessoas físicas como proprietários beneficiários, diretores, funcionários, subcontratados, endereços, status fiscal e titularidade bancária. A verificação deve cobrir sanções, exclusões, exposição política, litígios e informações adversas. Registros independentes devem confirmar o questionário do consultor.

O terceiro portão é competência e economicidade. Auditores devem testar se o consultor tem pessoal e experiência para prestar o serviço, se a remuneração corresponde ao valor de mercado e se honorários de sucesso criam incentivos desproporcionais. Pagamentos para um país não relacionado, conta pessoal ou empresa de fachada exigem uma explicação legítima documentada e aprovação reforçada; um desvio não explicado deve interromper o engajamento.

O quarto portão é a estrutura contratual. O acordo deve preceder o trabalho e definir entregas, preços, despesas, subcontratados, contatos oficiais, direitos de auditoria, obrigações anticorrupção, retenção de dados e direitos de rescisão. Acordos paralelos e alterações verbais devem ser proibidos. Uma alteração significativa deve reabrir a avaliação de risco.

O quinto portão é a evidência de desempenho. Atas de reuniões, análises, trabalhos técnicos, correspondência e resultados do projeto devem mostrar quem fez o quê e quando. A certificação do patrocinador é necessária, mas insuficiente para consultores de alto risco. Um verificador independente deve comparar as entregas com o contrato e a fatura, e o procurement deve questionar descrições repetitivas ou horas implausíveis.

O sexto portão é a integridade do pagamento. O parceiro contratual, o emissor da fatura e o beneficiário bancário devem corresponder. Mudanças de conta exigem verificação fora da banda. A tesouraria deve rejeitar faturas divididas, valores redondos em dólares, overrides de urgência e evasão de limites, a menos que um registro de exceção independente os explique. Nenhum executivo deve possuir um caminho de liberação manual não registrado.

Livros, pagamentos e automação corporativa

A automação pode tornar as evidências de controle mais consistentes, mas apenas se os sistemas compartilharem identificadores. O cadastro de fornecedores, o registro de contratos, o procurement, o gerenciamento de projetos, a contabilidade a pagar, a tesouraria, o razão geral, os casos de compliance e a linha direta de denúncias devem estar conectados pelos mesmos IDs de terceiros e projetos. Caso contrário, um padrão suspeito pode permanecer invisível em painéis separados.

As regras devem combinar sinais, em vez de equiparar uma anomalia a suborno. Um novo consultor, um projeto público de alto risco, um honorário de sucesso elevado, uma jurisdição bancária não relacionada, desempenho fraco e um override de executivo justificam juntos uma parada. Cada fato isoladamente pode ser legítimo. O sistema deve explicar por que escalou e preservar as evidências usadas, para que um revisor humano possa confirmar ou rejeitar o alerta.

A governança dos dados mestre é crucial. Apenas funcionários independentes devem criar ou alterar fornecedores e contas de beneficiários. A detecção de duplicatas deve incluir nomes, endereços, proprietários, contas bancárias, números de telefone e informações de dispositivos. Alterações próximas à aprovação da fatura devem acionar períodos de resfriamento. Dados excluídos ou substituídos devem permanecer disponíveis para auditoria.

A classificação contábil deve seguir a substância econômica. Um pagamento a consultor não se torna seguro por ser rotulado como taxa administrativa, custo de fornecimento ou custas judiciais. As análises devem examinar descrições em linguagem natural, tipo de contrato, função do parceiro contratual e eventos do projeto em todas as contas. Lançamentos contábeis que deslocam custos após o pagamento exigem um motivo, um aprovador e um vínculo com a transação original.

A automação também cria modos de falha. A correspondência de entidade deficiente pode perder empresas de fachada; regras amplas podem sobrecarregar os auditores; administradores privilegiados podem alterar fluxos de trabalho; equipes locais podem trabalhar fora da plataforma. Os responsáveis pelo controle devem testar a integridade dos dados, falsos negativos, direitos de substituição e logs do sistema. Uma cadeia de aprovação digital só é útil se todas as transferências de valor relevantes entrarem nela.

Escalação, comitês de auditoria e contestação protegida

Um sistema de escalação deve definir quando o compliance local deve notificar as funções regionais e corporativas, quando os pagamentos devem ser congelados e quando o comitê de auditoria ou compliance deve receber um assunto. Os gatilhos devem incluir propriedade ausente, suspeita de conexões oficiais, solicitações de dinheiro, retroatividade, serviços não comprovados, mudanças incomuns de beneficiário, retaliação e indicações de que comportamento semelhante se estende por entidades.

A autoridade de encerramento deve ser independente da responsabilidade pela receita. Um gerente de vendas pode contribuir com fatos, mas não deve encerrar o alerta. O aconselhamento jurídico deve ser documentado, sem que o privilégio se torne uma exceção geral que impeça o conselho de conhecer a gravidade do risco. Onde a confidencialidade limita os detalhes, o conselho ainda deve receber a natureza do problema, o risco, as verificações intermediárias e a decisão necessária.

Denunciantes e funcionários financeiros precisam de proteção prática. A capacidade de recusar um pagamento deve ser assegurada por não retaliação, canais de denúncia alternativos e investigação oportuna. As avaliações de desempenho não devem punir os funcionários por uma retenção de boa-fé. A reportagem de tendências anônimas pode mostrar se determinados executivos, países ou unidades de negócios geram pressão repetidamente.

Os comitês de auditoria precisam de denominadores. “Todos os consultores de alto risco verificados” significa pouco sem o número classificado como alto risco, as regras usadas, casos vencidos, exceções e pagamentos liberados durante verificação incompleta. Os pacotes do comitê devem mostrar pagamentos interrompidos, tentativas de override, constatações repetidas e se a reparação resistiu ao novo teste.

Testando a reparação permanente

O melhor teste começa com dinheiro, não com políticas. Auditores devem selecionar transferências enviadas de dados bancários e rastrear de volta para um beneficiário válido, fatura, entrega, contrato, decisão de engajamento e necessidade comercial. Essa abordagem pode descobrir pagamentos que nunca entraram na população oficial de fornecedores. Uma segunda amostra deve começar com consultores de alto risco e rastrear adiante através de cada pagamento e interação com o setor público.

Os testes devem incluir casos negativos. Auditores precisam de evidências de que o sistema rejeitou ou atrasou transações, não apenas que os arquivos aprovados contêm marcas de verificação. Devem tentar alterações controladas em dados bancários, fornecedores duplicados, contratos atrasados e overrides de executivos. Se os funcionários podem contornar um portão sem alerta permanente, o controle não é eficaz.

A cobertura geográfica é importante. Uma amostra da sede pode perder dinheiro local, reembolsos, joint ventures ou canais de distribuição. A auditoria baseada em risco deve alcançar idiomas, entidades legais e sistemas onde a contratação pública e o uso de intermediários são maiores. Empresas adquiridas e participações minoritárias precisam de planos de integração explícitos e direitos de auditoria.

Medidas reparadoras só devem ser concluídas após um novo teste. Instalar um fluxo de trabalho ou realizar treinamentos é implementação, não eficácia. O responsável deve mostrar que as transações após a mudança foram bloqueadas ou corretamente apoiadas, que as exceções diminuíram e que os usuários não migraram para outro canal. Constatações repetidas devem levar a consequências para remuneração e liderança.

A garantia pública deve permanecer modesta. Uma empresa pode relatar design de programa, pessoal, treinamentos e casos, mas deve distinguir atividades autorrelatadas de constatações independentes. Métricas úteis incluem cobertura de propriedade beneficiária, taxas de suspensão de pagamento, exceções de alto risco não resolvidas, idade média de investigação, confirmações, constatações de retaliação e falhas de controle repetidas.

Um registro de controle sobre o ciclo de vida do consultor

Um registro individual de consultor deve armazenar mudanças de estado desde a proposta até a rescisão. Na proposta, captura o patrocinador, a necessidade e a hipótese de risco. Durante a due diligence, captura as fontes verificadas, propriedade esclarecida, conflitos encontrados e perguntas dos auditores. Na assinatura do contrato, fixa o escopo aprovado, preço, conta bancária e restrições. Durante a execução, vincula entregas e contatos oficiais. No pagamento, captura a fatura, verificação do beneficiário, aprovações e contabilidade. Na renovação ou rescisão, captura o que mudou, o que ainda é devido e se é necessária uma revisão histórica.

O histórico de versões é importante porque um arquivo final limpo pode ocultar uma decisão problemática. Auditores devem ver que um proprietário foi inicialmente omitido, uma conta bancária alterada, um auditor objetou ou um contrato foi retroativo. Correções devem permanecer possíveis, mas o registro anterior e o motivo devem ser imutáveis. Administradores não devem poder excluir uma objeção ou substituir um anexo sem um evento registrado e revisão independente.

A governança de exceções merece design próprio. Trabalho urgente legítimo pode ocorrer antes da conclusão de um processo completo, especialmente em eventos de segurança ou continuidade. A exceção deve identificar a emergência, o valor máximo, controles temporários, o executivo responsável, a data de expiração e a revisão retroativa. Não deve se tornar uma aprovação reutilizável para faturas não relacionadas. A análise de tendências deve revelar patrocinadores que geram urgência repetidamente.

Joint ventures, distribuidores e revendedores exigem evidências equivalentes, mesmo que o pagamento seja indireto. Uma empresa pode transferir valor por meio de margem, desconto, fundos de marketing, rebates, equipamentos gratuitos ou um subcontratado de um parceiro. Controles devem examinar a substância econômica e os direitos downstream, não apenas transferências diretas de contas a pagar. Acordos devem permitir a auditoria de livros relevantes, proprietários, subcontratados e contatos com o setor público, e a recusa de acesso deve acionar escalação.

Dinheiro e reembolsos de funcionários permanecem parte do perímetro. Caixas pequenos, despesas de viagem, entretenimento, adiantamentos e reembolsos podem fragmentar uma transferência maior em itens de aparência comum. Sistemas devem agregar gastos por projeto, beneficiário, funcionário público e patrocinador. Destinos incomuns, valores redondos repetidos, recibos ausentes e reembolsos por serviços de terceiros exigem verificação antes da liquidação.

Aquisições criam outra fronteira de risco. A due diligence pré-fechamento pode não alcançar todos os contratos de consultores ou contas locais, portanto, o plano de integração deve priorizar o acesso a pagamentos. Intermediários legados de alto risco devem ser suspensos ou aprovados condicionalmente até a verificação de propriedade, serviços e dados bancários. A entidade adquirida deve entrar nos sistemas comuns de caso e fornecedor em um cronograma definido, com desvios relatados ao conselho.

A retenção de dados deve corresponder à realidade investigativa. Projetos públicos, litígios e acordos de intermediários podem durar muitos anos. Contratos, autorizações, mensagens, dados de beneficiários e histórico contábil devem permanecer pesquisáveis pelo período legalmente exigido e quaisquer ordens de retenção aplicáveis. Controles de retenção devem respeitar a privacidade e o direito trabalhista, evitando que a exclusão de rotina destrua uma trilha de auditoria. O acesso deve ser baseado em funções, e pesquisas ou exportações envolvendo casos confidenciais devem ser registradas.

Por fim, a responsabilização exige decisões humanas nomeadas. A automação pode recomendar uma parada, mas um auditor identificado deve decidir se as evidências afastam o risco. O registro deve conter a pergunta, os fatos, a regra, evidências contrárias e a justificativa. Overrides de executivos requerem um segundo aprovador independente e auditoria posterior. Se uma empresa não pode explicar quem aceitou um risco e por que, o registro de controle reproduziu a ambiguidade que permitiu sistemas não contabilizados.

Impactos e o teste de responsabilidade

Pagamentos opacos a consultores deslocam custos para além da empresa. Concorrentes podem perder negócios apesar de melhor preço ou qualidade. Contribuintes podem arcar com contratações infladas ou mal direcionadas. Instituições públicas perdem legitimidade. Funcionários ficam expostos a pressão e incerteza, enquanto acionistas arcam com multas, investigações, reparações e exclusões de negócios. Comunidades podem receber infraestrutura escolhida por decisões distorcidas.

Esses danos não devem ser reduzidos a penalidades anunciadas. Os pagamentos legais medem reparações específicas, não a perda social total. Tampouco se deve suspeitar que todo projeto associado ao grupo seja corrupto. A análise de impacto deve seguir evidências: identificar o projeto, a decisão, o pagamento, o beneficiário e a parte interessada afetada, e declarar o que permanece desconhecido.

O caso Siemens torna a responsabilidade corporativa testável. A questão não é se um código proíbe suborno. É se uma organização global pode demonstrar, antes e depois do pagamento, quem é um consultor, qual serviço era necessário, quem o prestou, por que o preço era razoável, quais funcionários públicos foram contatados, quem aprovou a instrução, onde o dinheiro chegou e como o razão o descreveu.

Essa demonstração deve resistir à pressão comercial e à complexidade organizacional. Deve distinguir a matriz das subsidiárias, confissões criminais de acordos civis, ordens alemãs de sentenças dos EUA, sanção do Banco Mundial de condenação judicial, acusação de confissão e o prazo limitado de um monitor de uma garantia permanente. Quando esses limites e registros de transação são ambos preservados, a compliance se torna um sistema de controle operacional e não uma promessa de papel.