---
titulo: "Canal de denúncias externo ou interno: 7 critérios para escolher"
url: https://www.veritasguard.com.br/blog/canal-de-denuncias-externo-ou-interno-como-escolher
autor: "Equipe VeritasGuard"
categoria: "Canal de denúncias"
publicado_em: 2026-09-01T14:46:00+00:00
atualizado_em: 2026-09-21T14:47:15.042+00:00
descricao: "Canal de denúncias externo ou interno? Veja onde os canais improvisados falham, as perguntas de segurança e LGPD e os 7 critérios para escolher."
---

# Canal de denúncias externo ou interno: 7 critérios para escolher

> Um canal de denúncias externo separa quem recebe o relato de quem decide o caso e concentra registro, acesso e histórico numa plataforma própria. Veja quando isso importa e os 7 critérios para avaliar.

Todo canal de denúncias é testado pelo relato mais desconfortável: aquele que aponta um diretor, alguém do próprio time de compliance ou quem tem influência sobre a área de TI. É nesse momento que a diferença entre um **canal de denúncias externo** e uma caixa de e-mail interna deixa de ser detalhe técnico e vira questão de governança. Este guia mostra onde os canais improvisados costumam falhar, o que a independência realmente muda e quais critérios usar na hora de escolher.

## Onde os canais improvisados costumam falhar

E-mail, formulário genérico e planilha compartilhada resolvem o "onde as pessoas escrevem". Só que um canal de denúncias precisa resolver outras perguntas, e é nelas que as ferramentas de uso geral deixam a desejar:

- **Quem consegue ler?** Em e-mail e sistemas internos, administradores de TI, pessoas com acesso a backups e quem herda uma caixa compartilhada podem ver o conteúdo, mesmo sem ter relação com o caso.
- **E se o relato for sobre quem tem poder?** Se o denunciado influencia a área que administra a ferramenta, a separação entre quem opera a tecnologia e quem conduz a apuração fica frágil.
- **O anonimato é real?** Endereço de e-mail, registros do servidor e metadados de fotos e arquivos podem identificar a pessoa mesmo quando ela não escreveu o nome.
- **Existe rastro do que foi feito?** Sem histórico confiável de quem abriu, encaminhou e respondeu cada caso, fica difícil provar que a empresa agiu, e é essa prova que interessa numa auditoria ou num processo.
- **Há prazo e acompanhamento?** Uma mensagem perdida numa caixa de entrada não tem status, responsável nem cobrança.

Nada disso significa que toda ferramenta interna seja insegura. Significa que ela foi feita para outra finalidade e cada uma dessas lacunas precisa ser fechada à mão, com disciplina que tende a se perder com o tempo.

## O que "externo" muda, e o que não muda

Um canal externo é operado por uma plataforma especializada, fora da infraestrutura cotidiana da empresa. O ganho principal é a **separação de papéis**: quem recebe e organiza o relato não é a mesma estrutura que decide o desfecho, e o acesso ao conteúdo segue perfis definidos, e não a hierarquia de TI.

O que **não** muda é a responsabilidade. A empresa continua sendo quem apura, decide e aplica medidas. A plataforma organiza a entrada, guarda o registro e dá visibilidade; não substitui o comitê de ética nem transfere a decisão. Desconfie de qualquer oferta que sugira o contrário.

Quando há um relato contra alguém da alta gestão, essa separação ajuda a levar o caso a quem realmente tem independência para conduzi-lo, seja outro sócio, o conselho ou um comitê. Ter previsto esse desvio *antes* de precisar dele é o que separa um processo confiável de um improviso.

## Segurança da informação: as perguntas certas para o fornecedor

O canal guarda alguns dos dados mais sensíveis da empresa: acusações, nomes, provas, às vezes saúde e vida pessoal. A [LGPD](https://www.planalto.gov.br/ccivil_03/_ato2018/2015-2018/lei/l13709.htm) exige, no art. 46, medidas de segurança técnicas e administrativas contra acessos não autorizados e situações acidentais ou ilícitas, e determina que elas sejam observadas **desde a concepção** do serviço até a sua execução. O art. 48 obriga a comunicar à ANPD e aos titulares incidentes que possam gerar risco ou dano relevante.

Na prática, isso vira um roteiro de perguntas a fazer antes de contratar, e a resposta deve vir por escrito:

| Tema | Pergunta para o fornecedor |
|---|---|
| Acesso | Quem, dentro do fornecedor e da minha empresa, consegue ler um relato? Como o acesso é concedido e retirado? |
| Registro | Existe trilha de auditoria de cada acesso e de cada movimentação do caso? Por quanto tempo ela é guardada? |
| Anonimato | O que a plataforma coleta de quem relata? Metadados de arquivos e imagens são tratados? |
| Integridade | Como provar que um anexo não foi alterado depois do envio? |
| Incidentes | Qual é o procedimento e o prazo para me avisar de um incidente de segurança? |
| Dados | Onde os dados ficam, por quanto tempo, e como são eliminados no fim do contrato? |

Segurança também não é só tecnologia: políticas, responsabilidades, treinamento e resposta a incidentes fazem parte do pacote. Um fornecedor sério responde a essas perguntas sem rodeios, e a ausência de resposta já é uma resposta.

## Dados estruturados: do relato isolado ao mapa de risco

Um relato solto numa caixa de e-mail resolve um caso. Relatos registrados em campos padronizados (categoria, área, período, situação, prazo) permitem enxergar o **conjunto**: onde há concentração de queixas, quais tipos de conduta se repetem, quanto tempo os casos levam para ser encerrados.

Esse retrato ajuda RH, compliance e alta gestão a priorizar treinamento, revisar políticas e agir antes que um problema localizado vire crise. E conversa diretamente com outras obrigações, como o gerenciamento dos riscos psicossociais que a NR-1 passou a exigir, tema do nosso guia sobre o [que continua valendo depois da decisão do STF](/blog/nr-1-riscos-psicossociais-o-que-vale-apos-decisao-do-stf).

Duas cautelas evitam usar mal esses números:

1. **Cuidado com grupos pequenos.** Um indicador por unidade com três pessoas pode identificar quem relatou. Agregue o suficiente para proteger o anonimato.
2. **Indicador não é veredito.** Muitos relatos numa área podem significar problema, mas também confiança no canal. Os números orientam a investigação; não a substituem.

## Cultura de integridade: o canal é uma peça, não o edifício

Ter um canal independente comunica que a empresa trata relatos com processo, e isso pesa para investidores, auditorias e parceiros. O [Decreto 11.129/2022](https://www.planalto.gov.br/ccivil_03/_ato2023-2026/2022/decreto/d11129.htm), ao definir os parâmetros para avaliar programas de integridade, cita canais de denúncia abertos e amplamente divulgados, além de mecanismos para tratar as denúncias e proteger quem relata de boa-fé. Repare que o texto fala em **tratar**, não apenas em receber.

Para empresas com CIPA, a [Lei 14.457/22](https://www.planalto.gov.br/ccivil_03/_ato2019-2022/2022/lei/l14457.htm) também pede procedimentos para receber e acompanhar denúncias de assédio e violência no trabalho.

Nenhuma plataforma cria cultura sozinha. O canal só funciona se estiver ligado ao código de conduta, aos treinamentos, ao processo de investigação e, principalmente, à postura da liderança diante de um relato. Se as pessoas veem que quem relata sofre retaliação, nenhuma tecnologia as faz voltar.

## Os 7 critérios para escolher

Use esta lista como base de comparação entre alternativas, incluindo a de manter o canal dentro de casa:

| # | Critério | O que a gestão deve verificar |
|---|---|---|
| 1 | Independência | Separação entre recebimento, triagem e decisão; caminho previsto para relato contra a alta gestão |
| 2 | Anonimato | O que é coletado de quem relata; tratamento de metadados de arquivos; conversa possível sem identificação |
| 3 | Segurança | Controle de acesso por perfil, trilha de auditoria, integridade dos anexos, procedimento de incidente |
| 4 | LGPD | Base legal, retenção, eliminação, responsabilidades entre a empresa e o fornecedor |
| 5 | Rastreabilidade | Histórico de cada etapa e de cada acesso ao caso |
| 6 | Gestão | Protocolo de acompanhamento, prazos, relatórios e indicadores |
| 7 | Escala e suporte | Capacidade de crescer com a empresa e ajuda humana quando algo dá errado |

**Quando um canal interno pode bastar?** Em uma empresa muito pequena, com poucos relatos e uma liderança que não é alvo natural deles, um processo interno bem desenhado e documentado pode ser proporcional. O risco cresce com o número de pessoas, com a exposição a auditoria e com a chance de um relato envolver quem controla os sistemas.

## Como a VeritasGuard trata esses pontos

A VeritasGuard é uma plataforma externa de canal de denúncias para empresas brasileiras. Cada empresa recebe um **endereço próprio** para o canal. Quem relata pode escolher **não se identificar** e recebe um **número de protocolo**, com o qual acompanha o caso e conversa com a equipe responsável sem revelar quem é. Nos anexos, os metadados de localização das imagens são removidos e cada arquivo recebe um código de integridade. Cada acesso e cada passo da apuração ficam registrados em uma **trilha de auditoria**, e os relatos alimentam relatórios para a gestão.

A decisão sobre cada caso continua sendo da sua empresa. Para conhecer os planos, veja a página de [planos e preços](/planos) ou [crie o canal da sua empresa](/cadastro).

*Este texto tem caráter informativo e não constitui orientação jurídica. A adequação de um canal à sua organização depende do porte, do setor e dos riscos de cada empresa.*

## Perguntas frequentes

### O que é um canal de denúncias externo?

É um canal operado por uma plataforma especializada, fora da infraestrutura cotidiana da empresa, que recebe, registra e organiza os relatos. A separação entre quem opera o canal e quem decide os casos favorece a independência do processo.

### Por que terceirizar o canal de denúncias?

Para separar papéis (quem recebe não é quem decide), restringir o acesso ao conteúdo por perfis definidos e ter registro, prazos e histórico numa ferramenta feita para isso, em vez de depender de e-mail ou formulários de uso geral.

### Terceirizar o canal tira o controle da empresa sobre a investigação?

Não. A empresa continua responsável por apurar, decidir e aplicar medidas. A plataforma organiza a entrada dos relatos, guarda o registro e dá visibilidade; ela não substitui o comitê de ética.

### Canal externo é sempre mais seguro que um canal interno?

Não automaticamente. A segurança depende dos controles adotados: acesso por perfil, trilha de auditoria, integridade dos anexos, tratamento de metadados e procedimento de incidentes. Por isso vale pedir por escrito as respostas do fornecedor antes de contratar.

### Como o canal de denúncias se relaciona com a LGPD?

O canal trata dados pessoais sensíveis, então a LGPD exige medidas de segurança técnicas e administrativas desde a concepção do serviço (art. 46) e a comunicação de incidentes com risco relevante à ANPD e aos titulares (art. 48). Empresa e fornecedor precisam definir responsabilidades, retenção e eliminação.

### Como os dados do canal ajudam na gestão de riscos?

Relatos registrados em campos padronizados permitem enxergar categorias, áreas, recorrências e prazos. Isso orienta treinamentos, revisão de políticas e prioridades de compliance, desde que os números não exponham grupos pequenos e sejam usados como indício, não como veredito.

### Uma empresa pequena precisa de canal externo?

Nem sempre. Com poucos relatos e sem risco de o relato envolver quem controla os sistemas, um processo interno bem documentado pode ser proporcional. O risco aumenta com o tamanho da empresa, a exposição a auditorias e a chance de relatos contra a liderança.

## Fontes

- [Lei 13.709/2018 (LGPD) — arts. 46 e 48](https://www.planalto.gov.br/ccivil_03/_ato2018/2015-2018/lei/l13709.htm)
- [Decreto 11.129/2022 — art. 57, parâmetros do programa de integridade](https://www.planalto.gov.br/ccivil_03/_ato2023-2026/2022/decreto/d11129.htm)
- [Lei 14.457/2022 — prevenção e combate ao assédio e à violência no trabalho](https://www.planalto.gov.br/ccivil_03/_ato2019-2022/2022/lei/l14457.htm)
- [ANPD — Autoridade Nacional de Proteção de Dados](https://www.gov.br/anpd/pt-br)