A LkSG continua em vigor em 2026, mas com uma fiscalização mais ligeira. O que se aplica hoje, o que mudou e como se relaciona com a diretiva europeia CSDDD.
O DORA exige que as entidades financeiras abrangidas gerem o risco de prestadores terceiros de serviços de TIC e mantenham informação sobre os seus acordos contratuais de TIC, com requisitos reforçados quando os prestadores suportam funções críticas ou importantes. A NIS2 exige que as entidades essenciais e importantes abordem a segurança da cadeia de fornecimento, em particular os riscos que envolvem fornecedores diretos e prestadores de serviços. Os dois regimes sobrepõem-se, mas o DORA é mais prescritivo na gestão do risco de terceiros de TIC.
A MiCA regula a autorização e a operação dos prestadores de serviços de criptoativos na UE, enquanto o quadro de AML da UE rege a forma como essas empresas previnem o branqueamento de capitais e o financiamento do terrorismo. A MiCA não substitui os requisitos de AML: os CASPs autorizados têm de cumprir ambos, incluindo a diligência devida ao cliente, verificações do beneficiário efetivo, controlos de sanções e de PEP, monitorização de transações e reporte de atividade suspeita.
A conformidade com o EUDR não exige que as PME comprem cacau através de um comerciante, um pequeno ou médio produtor pode continuar a importar diretamente.
O período de transição do MiCA que permitia aos prestadores de serviços de criptoativos pré-existentes continuar a operar sem autorização terminou a 1 de julho de 2026 em todos os Estados-Membros, sem qualquer mecanismo de prorrogação no regulamento. Os CASPs autorizados continuam a operar em toda a UE com direitos de passaporte. Os CASPs sem autorização devem parar de servir clientes da UE agora e proceder a um encerramento ordenado, ou enfrentarão multas, suspensão ou encerramento forçado pelas autoridades nacionais.
A gestão do risco de terceiros no âmbito da DORA é partilhada entre as entidades financeiras e os seus prestadores de TIC. Desde 17 de janeiro de 2025, o artigo 13.º, n.º 6, exige que bancos, seguradoras e empresas de investimento realizem formação de sensibilização para a segurança das TIC e resiliência operacional digital e, sempre que adequado, incluam os seus prestadores de TIC nessa formação, e o artigo 30.º, n.º 2, alínea i), exige que todos os contratos de TIC definam de que forma o prestador participa. Os prestadores que conseguem comprovar isto mantêm o contrato.
A formação de conformidade para colaboradores funciona quando mede a compreensão, não a assiduidade. A Trusty Compliance App transforma qualquer política ou documento num módulo de formação em minutos, com perguntas geradas por IA, explicações de cada resposta e um certificado na aprovação, para que possas provar que as pessoas compreenderam as regras que protegem a organização, e não apenas que clicaram nos slides.
Os colaboradores não leem as políticas de compliance porque são difíceis de encontrar, demasiado longas, escritas em linguagem jurídica e dispersas por PDFs, anexos de e-mail e pastas partilhadas, e não porque não se importem. A solução não é mais um documento: coloca todas as políticas num só sítio que funcione em qualquer dispositivo, começa pela própria regra, dá orientação em vez de texto e mede quem as leu e compreendeu de facto.
O teste de evidência do SFO é simples: uma política antifraude escrita, sobre a qual ninguém recebe formação, que não é monitorizada e que não deixa qualquer registo do seu próprio funcionamento, não satisfará a defesa de procedimentos razoáveis ao abrigo da secção 199 da ECCTA, em vigor desde 1 de setembro de 2025. O que protege uma organização é a evidência de que o procedimento funciona: registos de formação, monitorização, canais de denúncia e acompanhamento documentado.
O contexto empresarial moderno exige programas de compliance eficazes para evitar a responsabilidade penal e garantir um funcionamento ético e em conformidade com a lei. Além disso, este cumprimento normativo reforça a imagem e a reputação da empresa perante a sociedade. No entanto, não está isento de desafios.
O encarregado de proteção de dados (DPO) assegura que os dados pessoais são tratados em conformidade com o RGPD e a Lei n.º 58/2019. O compliance officer acompanha o cumprimento da regulamentação aplicável. As funções são distintas mas complementares e têm de ser coordenadas, por exemplo no canal de denúncias exigido pela Lei n.º 93/2021.
Cobrimos o que precisas de saber sobre a conformidade com o MiCA este ano. O Regulamento dos Mercados de Criptoativos está em vigor desde 30
O Trusty FinTech Booster Pack normaliza a conformidade em toda a rede de parceiros: um conjunto de políticas distribuído a comerciantes, agentes, distribuidores e prestadores terceiros, prova de que cada parceiro as leu e recebeu formação sobre elas, sanções integradas e rastreio de PEPs, e visibilidade em tempo real para a instituição licenciada. Transforma a supervisão fragmentada e manual de parceiros num sistema que os reguladores podem auditar.
A triagem de PEP identifica se um cliente, fornecedor ou parceiro de negócio é uma pessoa politicamente exposta: alguém que ocupa ou ocupou um cargo público de destaque, ou um familiar ou associado próximo de uma dessas pessoas. Uma correspondência de nome é apenas o início. Uma triagem eficaz verifica o cargo, o nível de influência, o país e se a pessoa ainda está em funções, documentando depois a decisão de risco e repetindo a verificação à medida que as circunstâncias mudam.
A Diretiva Anticorrupção da UE harmoniza as infrações de corrupção em todos os Estados-Membros, acrescentando o tráfico de influências, a apropriação indevida, a obstrução à justiça e a ocultação de ativos relacionados com a corrupção ao suborno, e alarga a responsabilidade das empresas a atos cometidos em benefício de uma empresa. As coimas podem chegar a cinco por cento do volume de negócios global, com exclusão da contratação pública, além disso. As empresas precisam de políticas anticorrupção em funcionamento, formação e um canal de denúncia, e não de documentos numa gaveta.
A conformidade na gestão de políticas significa provar que as políticas são seguidas, estão atualizadas e são aplicadas de forma consistente, e não apenas que existem. Os reguladores olham agora para três coisas que a maioria das organizações não consegue ver: se os colaboradores acedem realmente às políticas, se todos trabalham com a versão aprovada mais recente e se as equipas as aplicam da mesma forma. Fechar estas lacunas exige distribuição, controlo de versões e confirmação de leitura, e não mais documentos.
As PME podem cumprir as expectativas de ESG sem uma equipa de compliance, mantendo tudo simples: um código de conduta curto, algumas políticas claras que as pessoas realmente leem, formação básica, um canal para reportar preocupações e uma verificação rápida de due diligence a fornecedores e parceiros de negócio, onde se concentra a maior parte da exposição a ESG. O objetivo é reduzir o risco real e demonstrar evidência disso, não replicar um departamento de ESG ao nível de uma grande empresa.
O rastreio de terceiros para empresas em crescimento responde a uma questão antes de um contrato ser assinado: com quem estamos, na verdade, a fazer negócios? Na prática, verifica três sinais: se a contraparte consta de uma lista de sanções, se um indivíduo é uma pessoa politicamente exposta, e se a cobertura mediática adversa aponta para fraude, corrupção ou outra conduta imprópria. Feito de forma consistente, proporcional e com registo, é uma parte básica da gestão de riscos de negócio, não um exercício exclusivo de bancos.
A conformidade com sanções para PME já não é opcional em 2026. A Diretiva 2024/1226 torna as violações graves de sanções em infrações penais em toda a UE, estabelece sanções mínimas e alarga a responsabilidade às empresas, pelo que a fiscalização chega agora às pequenas empresas que comercializam, exportam ou compram a nível internacional. O que as PME precisam é de um processo claro e repetível: verificar todas as contrapartes em listas de sanções, registar o resultado e monitorizar alterações ao longo do tempo.
A formação em conformidade no local de trabalho para PME falha frequentemente, não por falta de esforço, mas por ser entregue em PDFs genéricos, apresentações longas ou sessões gravadas que os colaboradores confirmam sem absorver, e nada verifica se compreenderam. Em 2026, a formação eficaz é curta, relevante para cenários reais, integra-se na forma como as pessoas trabalham e produz evidências de compreensão que a organização pode apresentar quando solicitada.
A conformidade da cadeia de abastecimento para PME muda em 2026 porque as regras da UE já se estendem para além da empresa regulada, chegando aos seus fornecedores: os pedidos de informação sobre origem, propriedade e risco vêm de clientes e parceiros, não de reguladores, e chegam com maior frequência e mais estruturados. As PME não precisam de uma grande equipa, mas precisam de um processo claro para saber com quem trabalham, recolher a informação uma vez e responder a todos os pedidos a partir dela.
As PME podem cumprir os requisitos da NIS2 relativos ao tratamento de vulnerabilidades com um processo de comunicação simples e estruturado: um canal onde funcionários, fornecedores e investigadores podem comunicar uma fragilidade de segurança, tratamento confidencial, um responsável definido que avalia e corrige, e um registo do que foi feito. Um sistema de denúncia já disponibiliza este fluxo de trabalho, pelo que o mesmo canal pode servir ambos os regimes.
A UNI/PdR 125:2022 é a norma italiana para a certificação da igualdade de género. Avalia uma empresa com KPI em seis áreas (cultura e estratégia, governação, processos de RH, oportunidades de carreira para as mulheres, igualdade salarial entre géneros e equilíbrio entre vida profissional e pessoal) e atribui uma certificação formal acima do limiar. Para as PME, pode significar uma vantagem em concursos públicos, possíveis benefícios fiscais e um perfil ESG mais forte, e exige um canal confidencial para denunciar discriminação.
As cadeias de abastecimento globais estão a mudar. Estão a tornar-se mais frágeis, mais transparentes e mais regulamentadas ao mesmo tempo. As tensões geopolíticas estão
A última milha do compliance é a lacuna entre redigir uma política e colocá-la nas mãos das pessoas que tomam decisões todos os dias. A maioria das falhas de compliance acontece aí: a política existe, mas os colaboradores nunca a veem, não a encontram ou não a compreendem. Fechar a lacuna significa distribuir as políticas digitalmente em todos os dispositivos, confirmar a sua leitura e medir quem interage com elas.
A formação em denúncia e um protocolo de denúncia são os dois pilares de um local de trabalho saudável e ético. O protocolo define como o canal interno é gerido: confidencialidade para o denunciante, um procedimento para receção e acompanhamento de denúncias e sanções quando a irregularidade é confirmada. A formação garante que os funcionários sabem que o canal existe, confiam nele e compreendem o que denunciar, para que os problemas surjam precocemente em vez de se agravarem.
A Diretiva (UE) 2024/1226 obriga todos os Estados-Membros a criminalizar as violações graves e o contornamento das sanções da UE, harmoniza as definições dessas infrações e fixa penas mínimas, incluindo a responsabilidade das empresas. Para as PME que comercializam ou se abastecem além-fronteiras, transforma o screening de sanções de clientes, fornecedores e parceiros, antes uma prática de grandes empresas, num controlo empresarial básico, proporcionado e com registo claro.
Para as PME, a avaliação de parceiros de negócio já não é opcional.
Não precisa de um departamento de conformidade dedicado. Mas precisa de um processo estruturado e defensável.
Os fundos de capital de risco precificam cuidadosamente o risco do produto, do mercado e do fundador, mas deixam a conformidade do portefólio por precificar. Não exigir um código de conduta, formação e um canal de denúncia em todas as empresas do portefólio é um risco fiduciário: os reguladores aplicam normas de falha na prevenção a sistemas e evidências, as falhas de governação descarrilam saídas e valorizações, e sem políticas e registos não há nada com que defender-se. A solução é uma base de governação leve, aplicada a todo o portefólio.
Como Implementar um Programa de Compliance numa Pequena Empresa As expectativas regulamentares para as pequenas empresas estão a aumentar, sobretudo no que diz respeito a
A infração de “Falha em Prevenir Fraude” da ECCTA aplica-se a grandes organizações, mas chega às PME através dos seus contratos. Como a única defesa legal é comprovar a existência de procedimentos razoáveis, as grandes empresas do Reino Unido exigem agora aos fornecedores que comprovem formação antifraude, mecanismos de denúncia, direitos de auditoria e cláusulas de rescisão. Os fornecedores mais pequenos ficam vinculados na prática, não pela lei.
A expansão de um negócio não deve aumentar a sua responsabilidade. O crescimento adiciona funcionários, parceiros, sistemas e camadas de decisão, e o compliance informal que funcionava com 20 pessoas deixa de funcionar com 200: as políticas ficam em PDFs, ninguém consegue provar quem leu o quê, e a evidência que um regulador ou seguradora pede simplesmente não existe. As empresas que escalam em segurança gerem o compliance como um sistema: políticas distribuídas, formação acompanhada e diligência devida documentada.
Na gestão da cadeia de abastecimento, a proporcionalidade significa focar a diligência devida nos fornecedores maiores e mais estratégicos, mas não deve significar ignorar os mais pequenos. Os pequenos fornecedores acarretam riscos ocultos de conformidade, continuidade e reputação, trazendo também flexibilidade, especialização e inovação. Uma estratégia equilibrada analisa cada fornecedor a um nível de base e escala o escrutínio de acordo com o risco, e não com a dimensão da empresa.
A ética na cadeia de abastecimento passa agora a estar sujeita a requisitos legais. A Diretiva relativa ao Dever de Diligência das Empresas em matéria de Sustentabilidade, aprovada pelo Parlamento Europeu a 24 de abril de 2024, responsabiliza as grandes empresas pela identificação, prevenção e reparação de danos aos direitos humanos e ao ambiente em toda a sua cadeia de valor, obrigação essa que se estende aos seus fornecedores através de contratos e questionários. As empresas que mapeiam a sua cadeia e documentam as verificações aos fornecedores cumprem esta exigência e ganham uma vantagem comercial.
Na Trusty AG, a nossa sede está situada em Zug, na Suíça: uma pitoresca cidade à beira do lago rodeada de montanhas. Os turistas acorrem
Procura software de conformidade EUDR? Conheça o EUDR Passport, a plataforma de conformidade EUDR da Trusty. A conformidade com o EUDR torna-se obrigatória para empresas
A formação em conformidade dos colaboradores funciona quando cada política se torna um módulo curto e personalizado que as pessoas frequentam em qualquer dispositivo no seu próprio idioma, com perguntas e explicações para testar a compreensão e um registo de quem passou e quando. A Trusty Compliance App faz isto com IA: carregue a política, obtenha o módulo, acompanhe a conclusão e a certificação em tempo real e mantenha a evidência que os auditores e clientes solicitam.
O rastreio de PEP e sanções permite avaliar terceiros antes da assinatura do contrato e continuar a avaliá-los depois: rastreie fornecedores, prestadores de serviços e parceiros face a listas de sanções e PEP e a cobertura mediática adversa, documente o resultado e volte a verificar à medida que as listas mudam. O Trusty QuickScreen360 realiza essas verificações com monitorização contínua, controlos personalizáveis e menos falsos positivos, para que a decisão sobre o risco assente em evidências atuais.
Gerir proativamente o risco de fornecedores significa agir antes de um incidente, não depois: mapear fornecedores por categoria e criticidade para que o esforço de monitorização corresponda ao risco, avaliar cada fornecedor antes, durante e após a relação, rastrear sanções, propriedade e questões reputacionais, e manter um registo documentado. O risco de fornecedores não pode ser eliminado, mas um processo estruturado e repetível mantém-no visível e gerível.
Um processo de diligência devida de fornecedores protege a cadeia de abastecimento ao avaliar fornecedores por muito mais do que preço e prazos de entrega: defina critérios claros alinhados com as suas prioridades de ESG e conformidade, realize uma avaliação estruturada com questionários, verificação de documentos e screening, e mantenha a análise atualizada à medida que os fornecedores e as listas mudam. Prevenção é proteção: um processo documentado é exatamente o que reguladores, clientes e auditores querem ver.
Os casos da Apple e da John Deere mostram que o compliance na cadeia de abastecimento não termina na empresa-mãe. Ambas tiveram de prestar contas publicamente por minerais provenientes de zonas de conflito como a República Democrática do Congo. A lição vale para qualquer empresa: conhecer a origem dos materiais, avaliar e monitorizar os fornecedores em cada elo da cadeia e documentar, porque o dano reputacional recai sobre a marca.
O risco da cadeia de abastecimento não se fica pelos fornecedores estratégicos. Monitorizar apenas os maiores parceiros deixa pontos cegos entre as centenas de fornecedores mais pequenos, subcontratantes e fornecedores pontuais onde a exposição a sanções, fraude, problemas laborais e ambientais tendem a esconder-se. Gerir o risco em toda a cadeia significa uma verificação de base a todos os fornecedores, uma análise mais aprofundada onde o perfil de risco o justifique, e uma monitorização contínua em vez de uma única revisão no momento da integração.
O software de due diligence na cadeia de abastecimento deve cumprir nove funções: automatizar a recolha de dados dos fornecedores, realizar avaliações de risco adaptadas ao seu setor e à regulamentação aplicável, armazenar provas com rastreabilidade total, monitorizar continuamente e emitir alertas, integrar-se com os sistemas que já utiliza, escalar à medida que a base de fornecedores cresce, gerar relatórios em tempo real através de painéis de controlo, incluir suporte e atualizações contínuas, e funcionar em vários idiomas e regimes regulamentares. Nada menos do que isso volta a ser trabalho manual.
A Lei sobre as Obrigações de Due Diligence Corporativa nas Cadeias de Abastecimento (LkSG), a lei alemã sobre as obrigações de due diligence corporativa, promulgada em julho de 2021, abrange os fornecedores diretos através do artigo 6.º, n.º 4: as empresas devem selecionar os fornecedores com base em critérios de direitos humanos e ambientais, e não apenas no preço, garantir compromissos contratuais que se estendam ao longo da cadeia, formar os fornecedores e verificar a conformidade através de controlos baseados no risco. A dificuldade prática reside em monitorizar centenas de fornecedores de forma contínua, e é aqui que entram a triagem estruturada e a documentação.
As cadeias de abastecimento tornaram-se um componente fundamental para o sucesso de qualquer negócio. No entanto, a sua complexidade também traz riscos significativos que podem
O Regime Geral de Prevenção da Corrupção (RGPC), Decreto-Lei n.º 109-E/2021, aplica-se a entidades públicas e a entidades privadas com 50 ou mais trabalhadores, incluindo sucursais locais de empresas estrangeiras. Exige um plano de prevenção de riscos de corrupção, um código de conduta, um canal de denúncia confidencial em conformidade com a Lei n.º 93/2021 e formação obrigatória para dirigentes e colaboradores, com sanções em caso de incumprimento fiscalizadas pelo MENAC.
A Compliance 2.0 começa com terceiros porque é aí que o risco está agora: 62% das violações de dados ocorrem através de fornecedores externos, mais de 80% das empresas partilham dados sensíveis com eles e 98% estão ligadas a pelo menos um fornecedor que sofreu uma violação nos últimos dois anos, de acordo com o Data Breach Investigations Report da Verizon. Alargar os controlos de compliance e de segurança a fornecedores, parceiros e prestadores é o núcleo desta abordagem.
A Diretiva relativa ao dever de diligência das empresas em matéria de sustentabilidade (Diretiva (UE) 2024/1760, CSDDD) exige que as empresas abrangidas operem um canal de informação através do qual funcionários, fornecedores e outras partes interessadas possam comunicar riscos de direitos humanos e ambientais, bem como incumprimentos. O canal deve ser acessível a todos os intervenientes, confidencial, protegido contra retaliações e acompanhado, o que torna um canal de denúncias já existente o local natural para o implementar.
O Programa de Orientação Geral de Conformidade de 2023 do OIG dá às PME de cuidados de saúde dos EUA um roteiro: compreender o que a orientação espera de um programa eficaz, adaptá-lo à dimensão e ao risco da organização, avaliar e monitorizar o risco continuamente, aplicar normas de forma consistente, responder rapidamente a problemas e construir uma cultura em que a conformidade é responsabilidade de todos. As políticas escritas, a formação e um canal de comunicação são o núcleo prático destes seis passos.