Canal de denúncias externo ou interno: 7 critérios para escolher

Todo canal de denúncias é testado pelo relato mais desconfortável: aquele que aponta um diretor, alguém do próprio time de compliance ou quem tem influência sobre a área de TI. É nesse momento que a diferença entre um canal de denúncias externo e uma caixa de e-mail interna deixa de ser detalhe técnico e vira questão de governança. Este guia mostra onde os canais improvisados costumam falhar, o que a independência realmente muda e quais critérios usar na hora de escolher.

Onde os canais improvisados costumam falhar

E-mail, formulário genérico e planilha compartilhada resolvem o "onde as pessoas escrevem". Só que um canal de denúncias precisa resolver outras perguntas, e é nelas que as ferramentas de uso geral deixam a desejar:

• Quem consegue ler? Em e-mail e sistemas internos, administradores de TI, pessoas com acesso a backups e quem herda uma caixa compartilhada podem ver o conteúdo, mesmo sem ter relação com o caso.
• E se o relato for sobre quem tem poder? Se o denunciado influencia a área que administra a ferramenta, a separação entre quem opera a tecnologia e quem conduz a apuração fica frágil.
• O anonimato é real? Endereço de e-mail, registros do servidor e metadados de fotos e arquivos podem identificar a pessoa mesmo quando ela não escreveu o nome.
• Existe rastro do que foi feito? Sem histórico confiável de quem abriu, encaminhou e respondeu cada caso, fica difícil provar que a empresa agiu, e é essa prova que interessa numa auditoria ou num processo.
• Há prazo e acompanhamento? Uma mensagem perdida numa caixa de entrada não tem status, responsável nem cobrança.

Nada disso significa que toda ferramenta interna seja insegura. Significa que ela foi feita para outra finalidade e cada uma dessas lacunas precisa ser fechada à mão, com disciplina que tende a se perder com o tempo.

O que "externo" muda, e o que não muda

Um canal externo é operado por uma plataforma especializada, fora da infraestrutura cotidiana da empresa. O ganho principal é a separação de papéis: quem recebe e organiza o relato não é a mesma estrutura que decide o desfecho, e o acesso ao conteúdo segue perfis definidos, e não a hierarquia de TI.

O que não muda é a responsabilidade. A empresa continua sendo quem apura, decide e aplica medidas. A plataforma organiza a entrada, guarda o registro e dá visibilidade; não substitui o comitê de ética nem transfere a decisão. Desconfie de qualquer oferta que sugira o contrário.

Quando há um relato contra alguém da alta gestão, essa separação ajuda a levar o caso a quem realmente tem independência para conduzi-lo, seja outro sócio, o conselho ou um comitê. Ter previsto esse desvio antes de precisar dele é o que separa um processo confiável de um improviso.

Segurança da informação: as perguntas certas para o fornecedor

O canal guarda alguns dos dados mais sensíveis da empresa: acusações, nomes, provas, às vezes saúde e vida pessoal. A LGPD exige, no art. 46, medidas de segurança técnicas e administrativas contra acessos não autorizados e situações acidentais ou ilícitas, e determina que elas sejam observadas desde a concepção do serviço até a sua execução. O art. 48 obriga a comunicar à ANPD e aos titulares incidentes que possam gerar risco ou dano relevante.

Na prática, isso vira um roteiro de perguntas a fazer antes de contratar, e a resposta deve vir por escrito:

Segurança também não é só tecnologia: políticas, responsabilidades, treinamento e resposta a incidentes fazem parte do pacote. Um fornecedor sério responde a essas perguntas sem rodeios, e a ausência de resposta já é uma resposta.

Dados estruturados: do relato isolado ao mapa de risco

Um relato solto numa caixa de e-mail resolve um caso. Relatos registrados em campos padronizados (categoria, área, período, situação, prazo) permitem enxergar o conjunto: onde há concentração de queixas, quais tipos de conduta se repetem, quanto tempo os casos levam para ser encerrados.

Esse retrato ajuda RH, compliance e alta gestão a priorizar treinamento, revisar políticas e agir antes que um problema localizado vire crise. E conversa diretamente com outras obrigações, como o gerenciamento dos riscos psicossociais que a NR-1 passou a exigir, tema do nosso guia sobre o que continua valendo depois da decisão do STF.

Duas cautelas evitam usar mal esses números:

1. Cuidado com grupos pequenos. Um indicador por unidade com três pessoas pode identificar quem relatou. Agregue o suficiente para proteger o anonimato.
2. Indicador não é veredito. Muitos relatos numa área podem significar problema, mas também confiança no canal. Os números orientam a investigação; não a substituem.

Cultura de integridade: o canal é uma peça, não o edifício

Ter um canal independente comunica que a empresa trata relatos com processo, e isso pesa para investidores, auditorias e parceiros. O Decreto 11.129/2022, ao definir os parâmetros para avaliar programas de integridade, cita canais de denúncia abertos e amplamente divulgados, além de mecanismos para tratar as denúncias e proteger quem relata de boa-fé. Repare que o texto fala em tratar, não apenas em receber.

Para empresas com CIPA, a Lei 14.457/22 também pede procedimentos para receber e acompanhar denúncias de assédio e violência no trabalho.

Nenhuma plataforma cria cultura sozinha. O canal só funciona se estiver ligado ao código de conduta, aos treinamentos, ao processo de investigação e, principalmente, à postura da liderança diante de um relato. Se as pessoas veem que quem relata sofre retaliação, nenhuma tecnologia as faz voltar.

Os 7 critérios para escolher

Use esta lista como base de comparação entre alternativas, incluindo a de manter o canal dentro de casa:

Quando um canal interno pode bastar? Em uma empresa muito pequena, com poucos relatos e uma liderança que não é alvo natural deles, um processo interno bem desenhado e documentado pode ser proporcional. O risco cresce com o número de pessoas, com a exposição a auditoria e com a chance de um relato envolver quem controla os sistemas.

Como a VeritasGuard trata esses pontos

A VeritasGuard é uma plataforma externa de canal de denúncias para empresas brasileiras. Cada empresa recebe um endereço próprio para o canal. Quem relata pode escolher não se identificar e recebe um número de protocolo, com o qual acompanha o caso e conversa com a equipe responsável sem revelar quem é. Nos anexos, os metadados de localização das imagens são removidos e cada arquivo recebe um código de integridade. Cada acesso e cada passo da apuração ficam registrados em uma trilha de auditoria, e os relatos alimentam relatórios para a gestão.

A decisão sobre cada caso continua sendo da sua empresa. Para conhecer os planos, veja a página de planos e preços ou crie o canal da sua empresa.

Este texto tem caráter informativo e não constitui orientação jurídica. A adequação de um canal à sua organização depende do porte, do setor e dos riscos de cada empresa.