Canal de denúncias é obrigatório? O que diz a Lei 14.457

O que o art. 23 diz

Para empresas que têm CIPA, o art. 23 manda fixar procedimentos de recebimento e acompanhamento de denúncias de assédio sexual e de violência, com anonimato garantido a quem denuncia.

Vale ler essa frase devagar, porque ela carrega três exigências separadas e é comum tratar as três como uma só.

A primeira é que os procedimentos sejam fixados. Não é uma declaração de boa vontade: existe um procedimento, e ele está escrito em algum lugar onde as pessoas possam conferir.

A segunda é que os procedimentos cubram recebimento e acompanhamento. São dois verbos, e o segundo é o que costuma faltar.

A terceira é o anonimato garantido a quem denuncia.

O procedimento de denúncia é uma das medidas do artigo, não a única. As quatro estão na seção seguinte, e um canal contratado sem política escrita e sem treinamento atende a um item de uma lista de quatro.

O que o texto não faz é escolher uma ferramenta. Ele não nomeia tecnologia, formato de tela, fornecedor nem sistema. A obrigação é de procedimento, não de compra. Qualquer afirmação nesse sentido é interpretação de alguém, e este post não vai oferecer nenhuma.

Os quatro deveres do art. 23, e os dois parágrafos

O caput do art. 23 diz que as empresas com CIPA deverão adotar as medidas abaixo, além de outras que entenderem necessárias, para prevenir e combater o assédio sexual e as demais formas de violência no trabalho. Os quatro incisos, em linguagem direta:

1. Regras de conduta (inciso I). Incluir nas normas internas da empresa regras de conduta sobre assédio sexual e outras formas de violência, com ampla divulgação do conteúdo a empregados e empregadas. O que essa norma interna precisa ter está em política de prevenção ao assédio.
2. Procedimentos de denúncia (inciso II). Fixar procedimentos para recebimento e acompanhamento de denúncias, para apuração dos fatos e, quando for o caso, para aplicação de sanções administrativas aos responsáveis diretos e indiretos, garantido o anonimato da pessoa denunciante, sem prejuízo dos procedimentos jurídicos cabíveis. Como conduzir a apuração está em como apurar uma denúncia de assédio.
3. O tema dentro da CIPA (inciso III). Incluir a prevenção e o combate ao assédio sexual e a outras formas de violência nas atividades e nas práticas da CIPA.
4. Capacitação anual (inciso IV). Realizar, no mínimo a cada 12 meses, ações de capacitação, orientação e sensibilização de empregados e empregadas de todos os níveis hierárquicos sobre violência, assédio, igualdade e diversidade no trabalho, em formatos acessíveis e efetivos. Como planejar e registrar isso está em capacitação anual sobre assédio.

Dois parágrafos completam o artigo. O § 1º diz que o recebimento de denúncias do inciso II não substitui o procedimento penal quando a conduta se encaixa no crime de assédio sexual do art. 216-A do Código Penal ou em outros crimes de violência. O canal interno corre ao lado da via penal, não no lugar dela. O § 2º deu 180 dias, contados da entrada em vigor da lei, para adotar as quatro medidas. Como a lei entrou em vigor na publicação, em 22 de setembro de 2022 (art. 35), esse prazo terminou em março de 2023: não há período de adaptação em curso.

Quem é alcançado, e por que 20 não é a regra

Circula muito a frase de que toda empresa com 20 funcionários é obrigada a ter canal de denúncias. Ela erra em duas etapas, e vale desmontar as duas, porque quem se enquadra costuma achar que não se enquadra, e quem não se enquadra às vezes compra por susto.

A primeira etapa é que a Lei 14.457/2022 não fala em número de empregados. Ela endereça as medidas às empresas que têm CIPA, que a lei passou a chamar de Comissão Interna de Prevenção de Acidentes e de Assédio. Quem precisa constituir CIPA não é a lei que diz: é a NR-5.

A segunda etapa é que a NR-5 não usa um número só. O dimensionamento sai do cruzamento, no Quadro I da norma, entre o número de empregados no estabelecimento e o grau de risco da atividade, que vem do CNAE. Vinte empregados é o piso nas atividades de grau de risco mais alto; nos graus mais baixos a obrigação só começa em faixas de pessoal bem maiores. Duas empresas com o mesmo número de empregados e CNAEs diferentes podem ter respostas diferentes, e a única forma de saber a sua é olhar o Quadro I com o seu CNAE na mão.

Abaixo do piso, a norma não deixa o assunto sem dono: o estabelecimento designa um responsável para cumprir os objetivos da CIPA, com treinamento. Se o art. 23, escrito para empresas com CIPA, alcança também esse arranjo é uma questão de interpretação em aberto, e é exatamente o tipo de pergunta que se leva ao jurídico antes de decidir, em vez de resolver com uma frase de blog.

Vale um lembrete que independe de tabela: nenhuma empresa está dispensada do dever geral de prevenir assédio e de agir quando toma conhecimento de um caso. O que a faixa de enquadramento define é a exigência formal, não o risco.

As outras normas que pedem um canal

A Lei 14.457/2022 é a norma que alcança mais empresas comuns, mas não é a única fonte de exigência. Duas outras aparecem com frequência, e valem por recortes bem definidos de empresa.

Empresas que contratam com o poder público

A Lei 12.846/2013, a Lei Anticorrupção, manda considerar, na aplicação das sanções, a existência de mecanismos internos de integridade. Não é uma obrigação de ter canal: é uma regra de dosimetria, e o efeito prático aparece quando algo já deu errado. O Decreto 11.129/2022, que a regulamenta, lista entre os parâmetros de avaliação de um programa de integridade os canais de denúncia de irregularidades, abertos e amplamente divulgados a funcionários e a terceiros, com mecanismos de tratamento das denúncias e de proteção ao denunciante de boa-fé.

Duas palavras dessa lista fazem o trabalho pesado: amplamente divulgados e tratamento. Um canal que existe no papel, que ninguém conhece e onde nada é tratado não vira atenuação de penalidade nenhuma, porque o que se avalia é a efetividade do programa, não a sua existência formal. O decreto também manda considerar o porte e as especificidades da empresa, o que significa que não se espera de uma empresa de trinta pessoas a estrutura de uma de três mil.

Instituições do sistema financeiro

Para as instituições autorizadas a funcionar pelo Banco Central, a Resolução CMN 4.859/2020 exige a disponibilização de canal pelo qual funcionários, colaboradores, clientes, usuários, parceiros e fornecedores possam comunicar, sem se identificar, situações com indícios de ilicitude de qualquer natureza relacionadas às atividades da instituição. Aqui a exigência é direta, e o anonimato está no texto da norma.

No âmbito da CVM, as entidades reguladas estão sujeitas a regras de controles internos e de conformidade, e canais de reporte aparecem como prática esperada nesse desenho. Não vamos afirmar aqui qual dispositivo obriga cada categoria: se a sua empresa é regulada, essa é uma pergunta para o seu compliance, com a norma da sua atividade aberta.

A LGPD não cria o canal, mas governa como ele opera

A LGPD não obriga ninguém a criar um canal. Ela governa o canal que existe, e é a norma mais fácil de descumprir sem perceber, porque o descumprimento não aparece em auditoria nenhuma até o dia em que aparece.

Um relato de assédio quase sempre carrega dado pessoal sensível: saúde, vida sexual, convicção religiosa, filiação sindical, origem racial. E carrega dados de mais de uma pessoa, porque a denúncia fala de quem denuncia, de quem é denunciado e de quem testemunhou — e essas duas últimas não escolheram estar ali.

Sobre base legal, vale ser direto: consentimento é a escolha errada para um canal de denúncias. Consentimento precisa ser livre, e não é livre dentro de uma relação de emprego; além disso, ele não explicaria o tratamento dos dados de quem foi denunciado, que evidentemente não consentiu. A tela de privacidade do nosso canal público declara as bases que fazem sentido para esse tratamento: cumprimento de obrigação regulatória e exercício regular de direitos. A base tem que ser escolhida e escrita antes, não justificada depois.

Do resto da LGPD, quatro pontos são os que mais aparecem em um canal:

• Minimização: não peça o que não vai usar. Um formulário que pede matrícula, setor, cargo e telefone para uma denúncia anônima está coletando as pistas que depois vão identificar quem escreveu.
• Retenção: um prazo definido, escrito na política e efetivamente executado. Guardar denúncia para sempre é uma decisão, e é uma decisão ruim.
• Segurança e acesso: quem lê a denúncia é um conjunto pequeno e nomeado de pessoas, e o sistema recusa o resto. Uma planilha compartilhada não atende a isso, por mais bem-intencionada que seja a equipe.
• Transparência: quem vai escrever precisa saber, antes de escrever, o que é coletado, quem lê e por quanto tempo fica.

Há ainda o relatório de impacto à proteção de dados. A LGPD permite que a autoridade nacional o requisite ao controlador, e um canal de denúncias é justamente o tipo de tratamento — dado sensível, titulares vulneráveis, risco de retaliação — para o qual ter esse documento pronto é mais barato do que produzi-lo sob prazo. Quem decide se ele é necessário no seu caso é o seu encarregado, não um fornecedor. Anonimato, base legal e retenção, com mais detalhe, estão em canal de denúncias e LGPD.

Anonimato garantido é uma questão de mecanismo

Das três exigências do art. 23, a do anonimato é a que menos se resolve com redação. Uma política pode dizer que a identidade de quem denuncia será preservada e ainda assim depender de que ninguém com acesso ao banco de dados vá olhar. Enquanto essa dependência existir, o anonimato é uma promessa, e quem pensa em denunciar sabe disso.

O que muda a situação é o canal não ter a informação. Um canal que não pede login, não cria sessão, não registra endereço de IP e não guarda navegador ou dispositivo não precisa prometer que não vai contar quem escreveu: ele não sabe. Um dado que nunca foi coletado não pode ser entregue depois, nem por descuido, nem sob pressão interna, nem numa exportação.

Isso tem um custo que vale dizer em voz alta. Se nada liga o relato a uma pessoa, também não existe recuperação de acesso: não há e-mail para onde mandar um link nem nome para confirmar. Quem perde a credencial de acompanhamento perde o caso e precisa abrir outro. Esse é o preço do mecanismo, e é o tipo de coisa que precisa estar na tela antes de a pessoa começar a digitar.

Receber é fácil, acompanhar é o problema

Recebimento, sozinho, se resolve com um endereço de e-mail ou um formulário. Acompanhamento é a parte que quebra, e quebra justamente por causa do anonimato: se a empresa não sabe quem denunciou, não tem para quem responder.

A saída é o caso ter um identificador que não seja uma pessoa. Um protocolo, entregue a quem denunciou, funciona como a chave do caso: com ele, a pessoa volta, vê em que estado o caso está e conversa com o comitê sem se expor. A conversa precisa correr nos dois sentidos, porque investigação real gera perguntas, e quem denunciou precisa poder responder ou recusar sem que a recusa encerre o caso.

Além da conversa, o acompanhamento pede estado. Um caso que só existe como uma mensagem lida não tem andamento: precisa ter situação, e a mudança de situação precisa ser visível para quem denunciou. Uma empresa pode estar tratando o assunto com seriedade internamente e ainda assim não ter acompanhamento nenhum, porque nada disso chega a quem abriu o caso.

O registro é o que faz o procedimento existir

Procedimento fixado e registro são a mesma discussão vista de dois lados. Um procedimento que não deixa rastro não pode ser acompanhado, nem por quem denunciou, nem pelo comitê que assume o caso seis meses depois, nem por quem for revisar como a empresa tratou aquele assunto.

Registro aqui é modesto e concreto: o que entrou, quando entrou, em que categoria, o que foi decidido e o que foi dito de lado a lado. Nada disso exige saber quem escreveu, e é por isso que registro e anonimato não estão em conflito. O caso é rastreável; a pessoa não.

É também o registro que sustenta a única resposta possível quando alguém pergunta, depois, o que a empresa fez a respeito. Diligência que não deixou rastro é indistinguível de omissão.

Retaliação, e o outro lado

Um canal só recebe algo se a pessoa acreditar que usá-lo não vai custar o emprego. Vale a precisão: a Lei 14.457/2022 garante o anonimato de quem denuncia, mas não usa a palavra retaliação. A proteção ao denunciante de boa-fé aparece no Decreto 11.129/2022, como critério de avaliação de programa de integridade. Por isso a tela de privacidade do nosso canal público apresenta a regra a quem vai escrever como regra da política da empresa, sem atribuí-la a uma lei: ninguém pode ser punido, demitido ou constrangido por usar o canal de boa-fé.

Na prática, isso significa que a retaliação também é assunto do canal: precisa ser possível registrar retaliação como um caso novo e tratá-la com prioridade, porque ela normalmente acontece depois do relato original, quando o caso já está aberto e alguém dentro da empresa já sabe que existe. A metade mecânica dessa questão, o que o canal simplesmente não coleta, está em proteção contra retaliação.

Há um limite do outro lado, e ele é igualmente parte do que se conta a quem denuncia. Uma denúncia deliberadamente falsa, motivada por retaliação pessoal ou difamação, pode configurar calúnia, difamação ou injúria (Código Penal, arts. 138 a 140). Isso não é um aviso para intimidar quem tem algo verdadeiro a relatar: é o contrário. Quem relata o que acredita ser verdadeiro não precisa exagerar nem inventar detalhe para ser levado a sério.

O mecanismo por trás desses pontos, o que o sistema vê e o que ele simplesmente não coleta, e o caminho de quem denuncia estão na página do canal de denúncias.

O que está em jogo quando o canal não existe

Sobre consequências, é fácil encontrar texto assustando com números. Não vamos fazer isso: valor de multa e prazo de fiscalização mudam, e um número errado num post é pior do que nenhum. O que dá para dizer com segurança é o formato do risco.

Frente à fiscalização do trabalho. Quem está obrigado a fixar os procedimentos e não fixou está descumprindo uma obrigação, e o descumprimento é passível de autuação como qualquer outro. A pergunta que o auditor faz não é se existe um contrato com um fornecedor: é qual é o procedimento, onde ele está escrito e como se demonstra que ele funciona.

Numa reclamação trabalhista. Quando um caso de assédio vira processo, a empresa precisa mostrar o que sabia, quando soube e o que fez. Uma trilha de recebimento, apuração e desfecho é prova de diligência. A ausência dela não prova omissão por si só, mas deixa a defesa sem nada concreto para apresentar, e é aí que o passivo cresce.

Nos regimes especiais. Para quem contrata com o poder público, a inexistência de canal enfraquece a avaliação do programa de integridade, que é justamente o que se pesa na dosimetria da sanção. Para instituição autorizada pelo Banco Central, não dispor do canal exigido é descumprimento de norma regulatória, sujeito ao processo sancionador do regulador.

Reputação e tempo. O padrão que se repete é conhecido: o caso que vira crise pública quase sempre passou antes por dentro da empresa, sem lugar para chegar. Um canal não impede o fato; ele encurta a distância entre o fato e a primeira pessoa capaz de agir. E há o custo silencioso do arranjo improvisado — denúncia por e-mail, planilha paralela, conversa de corredor —, que consome a equipe de RH sem produzir nem sigilo nem rastreabilidade.

Quanto custa, e do que o preço depende

Custo de canal de denúncias varia muito, e boa parte da variação é de escopo, não de qualidade. Não vamos publicar uma faixa de mercado: não conhecemos levantamento público e datado que a sustente, e um número sem fonte acaba citado em orçamento como se tivesse uma. O que dá para dizer é do que o preço costuma depender: número de empregados cobertos, quantas formas de entrada o canal oferece, se inclui triagem ou apoio à apuração feitos por terceiros, quantas empresas ou unidades são atendidas e o que vem junto na mesma assinatura. Compare propostas pelo escopo, item por item. O nosso preço está em preços, e é o único número pelo qual respondemos.

A escolha anterior ao preço é entre canal interno e canal de terceiro. O canal interno tem custo direto menor e um problema difícil de contornar: quem opera o canal trabalha na empresa, e a percepção de parcialidade basta para esvaziá-lo. Um canal externo compra imparcialidade percebida e uma separação real entre quem recebe e quem é objeto do relato. Não compra a apuração: essa continua sendo do comitê de ética ou da CIPA da empresa, e nenhum fornecedor sério assume isso no seu lugar.

A conta de retorno, quando é honesta, não promete economia: ela compara o custo anual do canal com o custo de um único caso que escala. Se a resposta for confortável, o canal se paga; se não for, o número não estava sendo comparado com nada.

Cinco passos para implantar

O caminho abaixo é o que costuma funcionar, na ordem em que costuma funcionar. Nenhum dos passos exige especialista em compliance na equipe; todos exigem alguém com nome e responsabilidade.

1. Escreva a política antes de contratar a ferramenta

Revise ou crie o código de conduta e uma política de canal de denúncias que diga: quais condutas são inaceitáveis, que denúncia de boa-fé não gera retaliação, que tipos de relato o canal recebe, quais são os prazos internos de apuração e quais são as garantias de sigilo. A ferramenta entra depois, como o canal oficial previsto na política. Uma estrutura sugerida para esse documento está em política de prevenção ao assédio.

2. Configure o canal e nomeie quem responde por ele

Defina as formas de acesso e divulgue cada uma, ajuste as opções de anonimato, sigilo e retenção conforme a política, e cadastre as pessoas responsáveis pela triagem e pela apuração. Comitê sem nomes é comitê que não existe.

3. Desenhe o fluxo de apuração

Estabeleça um fluxo simples e escrito: recebimento, triagem inicial, investigação, decisão e medidas corretivas, encerramento com retorno a quem denunciou sempre que possível. Defina quem decide em cada etapa e o que acontece quando a denúncia envolve quem decidiria. O registro do fluxo é o que se apresenta depois como prova de diligência. O fluxo em detalhe está em como apurar uma denúncia de assédio.

4. Comunique e treine

Um canal que ninguém conhece não protege ninguém. Divulgue por vários caminhos — e-mail, mural, contracheque, integração de novos colaboradores, reunião de equipe, DDS — e explique sempre as mesmas quatro coisas: o que é o canal, para que serve, como se acessa e quais são as garantias de anonimato. Treine lideranças, gestores e membros da CIPA para encaminhar corretamente, para não retaliar e para entender o fluxo e os prazos de apuração. A capacitação a cada 12 meses é, ela mesma, um dos deveres do art. 23; como registrá-la está em capacitação anual sobre assédio.

5. Monitore, audite e ajuste

Acompanhe poucos indicadores, com regularidade:

• número de denúncias recebidas, por categoria;
• tempo médio de apuração;
• percentual de casos concluídos dentro do prazo interno;
• casos de retaliação registrados depois de um relato.

Volume baixo não é boa notícia por si só: pode significar ausência de problema, e pode significar que ninguém confia no canal. É a leitura desses números ao longo do tempo que transforma o canal de obrigação em instrumento de gestão, e é ela que conversa com a leitura de risco psicossocial da NR-1.

Os erros que esvaziam um canal

Canal implantado e canal eficaz são coisas diferentes, e a distância entre as duas é feita quase sempre dos mesmos cinco erros:

• Divulgação fraca. O canal existe, consta da política e ninguém sabe o endereço. Divulgação é rotina, não evento de lançamento.
• Anonimato de fachada. O formulário promete anonimato e pede matrícula, setor e cargo. Basta uma pessoa ser identificada uma vez para o canal morrer.
• Ausência de retorno. A pessoa denuncia e nunca fica sabendo se algo aconteceu. Sem retorno, o canal só recebe uma denúncia por pessoa.
• Retaliação não tratada. Velada ou explícita, ela é o sinal mais caro que uma empresa pode emitir, e ele circula sem precisar de comunicado.
• Liderança ausente. Se a direção não usa, não cobra e não protege quem denuncia, o canal vira mais uma burocracia — e um comitê sem apoio não sustenta uma apuração difícil.

A parte técnica e operacional é a que um fornecedor resolve. Confiança, divulgação e consequência são da liderança, do RH e do SST, e nenhuma plataforma entrega isso no lugar deles.

Se quiser ver o mecanismo antes de decidir, a página do canal de denúncias mostra o que o sistema registra e o que ele simplesmente não coleta; como montar quem recebe está em como estruturar o comitê. Para uma dúvida específica sobre o seu enquadramento, fale com a gente pelo contato — e leve a resposta ao seu jurídico antes de tratá-la como decisão.

Fontes

• Lei nº 14.457, de 21 de setembro de 2022 (art. 23 e art. 35)
• NR-5 — Comissão Interna de Prevenção de Acidentes e de Assédio (MTE)
• Lei nº 12.846, de 1º de agosto de 2013 (Lei Anticorrupção)
• Decreto nº 11.129, de 11 de julho de 2022 (art. 57)
• Resolução CMN nº 4.859/2020 (Banco Central do Brasil)
• Lei nº 13.709, de 14 de agosto de 2018 (LGPD)
• Código Penal (Decreto-Lei nº 2.848/1940), arts. 138 a 140 e 216-A