A cultura ágil e o trabalho distribuído exigem novas abordagens de governança. Entenda como implementar um Canal de Denúncias seguro, com proteção de dados, criptografia e estrutura adequada à LGPD para acompanhar os riscos do setor de tecnologia.

O Canal de Denúncias em empresas de tecnologia precisa acompanhar os padrões de segurança aplicados aos demais processos críticos da operação. Em equipes distribuídas e com comunicação concentrada em plataformas digitais, assédio, discriminação, fraude e outras violações também podem ocorrer nesses ambientes.

Para a gestão, o desafio é contar com uma estrutura independente e preparada para tratar informações sensíveis. Ferramentas de uso cotidiano, como Slack, Google Forms ou sistemas internos, podem ampliar o acesso aos registros e dificultar a rastreabilidade.

A seguir, veja os principais critérios para estruturar um Canal de Denúncias em empresas de tecnologia, considerando segurança da informação, LGPD e trabalho remoto.

O desafio do trabalho remoto: assédio e compliance além das barreiras físicas

O trabalho remoto mudou a forma como as equipes interagem e, com isso, também modificou alguns pontos de atenção para RH, Compliance e liderança. 

Situações que antes poderiam ocorrer em uma sala, corredor ou reunião presencial agora podem aparecer em mensagens privadas, chats de equipe ou videochamadas.

Isso exige que a gestão considere os diferentes ambientes digitais usados pela organização. Uma situação envolvendo assédio, discriminação ou comportamento inadequado pode estar registrada em uma conversa, captura de tela, áudio ou outro arquivo digital.

Um Canal de Denúncias em empresas de tecnologia precisa estar preparado para receber essas informações dentro de uma estrutura própria, sem transformar ferramentas de comunicação cotidiana em repositórios de casos sensíveis.

Entre os riscos que podem exigir acompanhamento estão:

• Assédio moral ou sexual em reuniões e canais digitais;
• Discriminação e comportamentos incompatíveis com o Código de Conduta;
• Pressão excessiva, microgerenciamento e conflitos recorrentes;
• Fraudes e conflitos de interesse;
• Uso inadequado de informações ou recursos corporativos;
• Violações de políticas internas e de segurança da informação.

O Canal não substitui a investigação, mas oferece uma estrutura organizada para receber informações sobre possíveis irregularidades, registrar cada manifestação com segurança e encaminhá-la às áreas responsáveis, de acordo com os procedimentos definidos pela organização.

Por que chamados internos e ferramentas de gestão não substituem um Canal de Denúncias?

Empresas de tecnologia já possuem diversas ferramentas para organizar tarefas, comunicação e atendimento interno. 

Jira, Trello, Slack, Microsoft Teams, Google Forms e sistemas de chamados podem ser excelentes para suas finalidades originais, mas isso não significa que estejam preparados para administrar manifestações de Compliance.

Um formulário criado internamente, por exemplo, pode registrar informações, mas nem sempre oferece os recursos necessários para controlar quem acessa cada etapa, preservar o anonimato ou organizar um fluxo de apuração.

A mesma lógica vale para ferramentas de comunicação. Quando uma manifestação sensível é registrada em um ambiente administrado pela própria estrutura de TI, surge uma questão relevante sobre separação de acessos e independência do processo.

A diferença fica mais clara quando os dois modelos são comparados:

A preocupação não é deixar de utilizar as ferramentas que já fazem parte da operação. O ponto é separar os ambientes de trabalho dos processos que exigem confidencialidade, controle de acesso e tratamento especializado.

Criptografia e infraestrutura SaaS: requisitos técnicos para o Canal

Em uma empresa de tecnologia, a segurança do Canal precisa ser avaliada com critérios semelhantes aos utilizados na análise de outros fornecedores críticos de tecnologia.

A proteção deve considerar os dados durante a transmissão e enquanto permanecem armazenados. 

A criptografia de ponta a ponta reduz a exposição das informações e deve estar acompanhada por controles de acesso, gestão de credenciais, monitoramento e políticas de segurança.

Testes de segurança, como Pentests, também podem fazer parte da avaliação técnica do fornecedor. O objetivo é identificar vulnerabilidades na aplicação e na infraestrutura antes que elas sejam exploradas.

Outro ponto é a existência de um sistema formal de gestão da segurança da informação. A ISO/IEC 27001 estabelece requisitos para sistemas de gestão da segurança da informação e considera aspectos como confidencialidade, integridade, disponibilidade e gestão de riscos.

Para a área de Tecnologia e Segurança da Informação, uma avaliação técnica do fornecedor pode considerar:

• Criptografia dos dados em trânsito e em repouso;
• Controle de acesso baseado em perfis e responsabilidades;
• Autenticação e gestão segura de credenciais;
• Testes de segurança e Pentests periódicos;
• Registro e monitoramento de atividades;
• Políticas de backup, retenção e descarte;
• Gestão de vulnerabilidades e incidentes;
• Certificações e controles de segurança aplicáveis ao serviço.

O Canal de Denúncias em empresas de tecnologia precisa fazer parte dessa análise porque os registros podem conter informações pessoais, dados sensíveis, documentos e anexos relacionados a investigações.

A interseção entre o Canal de Denúncias, a LGPD e a proteção de dados sensíveis

Um relato corporativo pode reunir nome, cargo, informações sobre terceiros, documentos, mensagens e detalhes de situações envolvendo saúde, relações de trabalho ou outros dados pessoais sensíveis.

A Lei nº 13.709/2018 (LGPD) estabelece que os agentes de tratamento adotem medidas técnicas e administrativas para proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas. 

A  Autoridade Nacional de Proteção de Dados (ANPD) orienta que essas medidas sejam consideradas desde a concepção do produto ou serviço até sua execução.

Por isso, a proteção de dados precisa fazer parte da arquitetura do Canal desde o início. O conceito de Privacy by Design ajuda a orientar essa abordagem, incorporando privacidade e segurança ao desenvolvimento e ao ciclo de vida de sistemas, produtos e processos.

Para o DPO e as áreas de Jurídico, Compliance e Tecnologia, alguns pontos merecem avaliação:

• Quais dados são realmente necessários para o funcionamento do Canal;
• Quem pode acessar as manifestações e em quais circunstâncias;
• Como os dados são armazenados e protegidos;
• Por quanto tempo os registros são mantidos;
• Como ocorre o descarte das informações;
• Quais responsabilidades pertencem à organização e ao fornecedor;
• Como são tratados incidentes relacionados à segurança dos dados.

A proteção de dados corporativos não depende apenas da ferramenta. Contratos, políticas internas, controles de acesso e processos de gestão também precisam estar alinhados às responsabilidades de cada parte.

Rastreabilidade e logs de auditoria no fluxo de investigação

Rastreabilidade é outro requisito relevante para a gestão de manifestações. Uma plataforma especializada pode registrar informações como data de recebimento, encaminhamentos, alterações, responsáveis e conclusão do caso.

Esses registros ajudam a reconstruir o histórico do tratamento da manifestação sem expor desnecessariamente o conteúdo ou a identidade de quem fez um relato anônimo.

Segundo Marcelo Borowski Gomes, especialista em Compliance, “a tecnologia melhora exponencialmente a captação e a rastreabilidade das denúncias. As investigações corporativas serão cada vez mais tecnológicas, mas o ‘olho no olho’ nunca vai mudar. Ainda somos humanos.”

Os logs de auditoria também permitem acompanhar os acessos e movimentações realizadas dentro do sistema, de acordo com a arquitetura e as políticas de segurança adotadas. Isso contribui para auditorias internas, controles de Compliance e avaliações do funcionamento do processo.

A rastreabilidade precisa caminhar junto com a proteção de dados. Registrar cada etapa não significa disponibilizar todas as informações para qualquer administrador ou usuário da plataforma. O acesso deve seguir critérios compatíveis com a função exercida e com a necessidade de conhecimento.

Governança ágil: como a terceirização protege a cultura organizacional

A terceirização do Canal pode criar uma separação relevante entre o recebimento da manifestação e as estruturas internas envolvidas na gestão do caso.

Esse aspecto ganha peso em empresas de tecnologia com estruturas horizontais, equipes pequenas ou relações muito próximas entre liderança e colaboradores. Uma manifestação envolvendo um gestor, fundador, executivo ou integrante da própria equipe de Compliance exige um processo capaz de reduzir conflitos de interesse.

A empresa terceirizada especializada pode assumir etapas como recebimento, registro, triagem e encaminhamento, enquanto a organização mantém a responsabilidade pelas decisões relacionadas à apuração e às medidas cabíveis.

Essa divisão também reduz a dependência da equipe interna de TI. Em vez de administrar formulários, permissões, armazenamento e fluxos improvisados, a área pode concentrar seus esforços na infraestrutura e nos controles tecnológicos que fazem parte da atividade principal.

Para uma empresa em crescimento, esse modelo pode acompanhar a expansão da operação sem exigir a criação de uma estrutura própria para cada nova unidade, equipe ou localidade.

Canal de Denúncias em empresas de tecnologia: segurança e escalabilidade

O crescimento de uma empresa de tecnologia costuma vir acompanhado de novas equipes, investidores, fornecedores, escritórios e modelos de trabalho. A governança precisa acompanhar essa expansão sem criar processos difíceis de administrar.

Um Canal de Denúncias SaaS pode centralizar as manifestações em uma estrutura específica, com recursos voltados ao recebimento, triagem, acompanhamento e geração de indicadores. 

A escalabilidade permite adaptar o uso da plataforma ao tamanho e à complexidade da organização. Para a alta gestão, os indicadores podem ajudar a identificar recorrências por categoria, área, unidade ou período. 

O objetivo não é transformar denúncias em métricas isoladas, mas utilizar essas informações como uma das fontes para compreender riscos e orientar decisões.

O Canal também pode se integrar a outras estruturas de governança, como:

• Programa de Compliance;
• Código de Conduta;
• Políticas de segurança da informação;
• Gestão de riscos;
• Processos de investigação corporativa;
• Gestão de riscos psicossociais;
• Auditorias internas e externas;
• Controles relacionados à LGPD.

A tecnologia oferece a infraestrutura, mas os critérios de governança e as responsabilidades pelo tratamento das manifestações continuam pertencendo à organização.

Próximos passos para consolidar a ética e a segurança na sua operação

Empresas de tecnologia lidam diariamente com dados, sistemas e ambientes digitais. Por isso, a gestão de manifestações precisa seguir os mesmos padrões de segurança aplicados aos processos críticos da operação. 

Na Contato Seguro, a plataforma oferece estrutura terceirizada para recebimento e gestão de manifestações, com diferentes canais de acesso, confidencialidade e rastreabilidade. A Inteligência Artificial, disponível como pacote adicional, pode apoiar a triagem e organização dos relatos, enquanto a análise e a apuração permanecem sob responsabilidade da equipe designada. 

A escolha deve considerar os requisitos de segurança, privacidade e governança, além da integração com compliance em TI e proteção de dados corporativos.

Sua empresa de tecnologia precisa de uma estrutura de governança compatível com a complexidade da operação. Fale com os especialistas da Contato Seguro e solicite uma apresentação técnica da plataforma SaaS.

FAQ

1. Como fortalecer o anonimato em redes corporativas e VPNs?
O anonimato depende da arquitetura do Canal e dos controles adotados pelo fornecedor. A organização deve avaliar se a plataforma separa adequadamente a identidade do manifestante das informações do caso, além de verificar políticas de acesso, registros técnicos e proteção dos dados.

2. O que a ISO/IEC 27001 tem a ver com o Canal de Denúncias?
A ISO/IEC 27001 estabelece requisitos para um sistema de gestão da segurança da informação, incluindo processos relacionados à gestão de riscos, confidencialidade, integridade e disponibilidade. Por isso, pode ser um critério relevante na avaliação de fornecedores de tecnologia que tratam informações sensíveis.

3. Por que não usar Slack, Jira ou Google Forms para receber denúncias?
Essas ferramentas são desenvolvidas para comunicação, gestão de tarefas ou coleta de informações, e não necessariamente para administrar manifestações de Compliance. O uso improvisado pode dificultar o anonimato, o controle de acessos, a rastreabilidade e a separação entre recebimento e apuração.

4. Como a LGPD se aplica a um Canal de Denúncias?
A organização precisa avaliar todo o ciclo de tratamento dos dados, desde a coleta até o armazenamento, acesso e descarte. A LGPD exige medidas técnicas e administrativas para proteger dados pessoais contra acessos não autorizados e outras situações que possam comprometer sua segurança.

5. A terceirização do Canal reduz a sobrecarga da equipe de TI?
Pode reduzir a necessidade de a equipe interna administrar uma estrutura própria para recebimento e tratamento de manifestações. A operação terceirizada concentra a infraestrutura específica do Canal no fornecedor, enquanto a área de Tecnologia mantém suas responsabilidades de segurança, integração e governança de acordo com o modelo adotado pela organização.