O Departamento Pessoal como Radar de Risco: Entrevista Exclusiva com Bruno Galvão Ferola

A falha não é apenas operacional, mas de governança, de desenho de controles internos e de integração de processos. O problema persiste porque muitas organizações ainda estruturam suas atividades por departamentos, e não a partir de uma visão integrada de riscos. A folha de pagamento, por exemplo, não se limita a uma rotina do Departamento Pessoal: ela envolve obrigações legais e regulatórias, impactos financeiros, reflexos contábeis, fluxo de caixa, aspectos tributários e evidências essenciais para a prestação de contas e a governança corporativa. Sob a perspectiva de compliance, sua gestão exige controles integrados, definição clara de responsabilidades e compartilhamento tempestivo de informações entre as áreas. Assim, a integração deixa de ser uma questão operacional e passa a constituir um elemento estratégico do sistema de governança, da gestão de riscos e da efetividade dos controles internos.

Costumo dizer que, quando um processo depende de esforço excessivo para funcionar, há um forte indicativo de fragilidade em seu desenho ou em seus controles internos. Os primeiros sinais costumam aparecer na forma de retrabalho recorrente, intervenções manuais frequentes, divergências entre ponto, folha de pagamento, contabilidade e eSocial, concentração atípica de horas extras, alterações salariais sem justificativa formal, pagamentos fora do padrão e reclamações recorrentes. Isoladamente, esses eventos podem parecer apenas ocorrências operacionais. Entretanto, sob a perspectiva da gestão de riscos e do compliance, seu conjunto constitui importantes indicadores de alerta (red flags), evidenciando deficiências de controle, fragilidades na governança do processo e aumento da exposição a riscos operacionais, trabalhistas, financeiros e reputacionais.

Um erro no controle de jornada pode desencadear uma cadeia de impactos que vai muito além da folha de pagamento: diferenças salariais, recolhimentos incorretos de encargos, multas administrativas, passivos trabalhistas, provisões contábeis inadequadas, distorções no fluxo de caixa e até riscos reputacionais. Por essa razão, o Conselho de Administração, a alta administração e o CFO devem acompanhar o Departamento Pessoal não apenas por indicadores de produtividade, mas, principalmente, por indicadores de risco, conformidade, efetividade dos controles internos e impacto financeiro. Mais do que receber relatórios sobre problemas, o conselho deve fomentar um ambiente de discussão de soluções, questionando as causas estruturais, avaliando oportunidades de melhoria e incentivando a adoção de tecnologias que fortaleçam a governança. Nesse contexto, a Inteligência Artificial surge como uma importante aliada, permitindo a análise contínua de dados, a identificação de padrões e anomalias, a automação de controles, a geração de alertas preventivos e o apoio à tomada de decisão baseada em evidências. A governança agrega valor quando transforma informações em decisões e riscos em oportunidades de aprimoramento.

A efetividade dos controles internos depende de uma arquitetura de governança bem estruturada, que contemple a definição clara de responsabilidades, a integração entre sistemas e processos, a adequada segregação de funções, a manutenção de trilhas de auditoria confiáveis e o monitoramento contínuo por meio de indicadores de risco e desempenho. Nesse contexto, o Departamento Pessoal exerce papel fundamental como gestor dos controles operacionais (primeira linha), sendo responsável pela execução dos processos e pela gestão dos riscos inerentes às suas atividades. A função de Compliance atua na segunda linha, apoiando a definição de diretrizes, assessorando na gestão dos riscos e monitorando a aderência às normas internas e externas, enquanto a Auditoria Interna, como terceira linha, fornece avaliação independente sobre a efetividade da governança, da gestão de riscos e dos controles internos, promovendo maior confiança para a alta administração e para o Conselho.

A experiência em investigações mostra que praticamente nenhuma fraude relevante acontece de forma totalmente aleatória. Ela deixa rastros nos dados. O desafio é que esses sinais costumam estar dispersos entre sistemas de folha, ponto, RH, ERP, benefícios e financeiro. Quando analisados isoladamente, passam despercebidos; quando conectados, revelam padrões de risco.

É justamente nesse ponto que Data Analytics e Inteligência Artificial mudam a lógica de atuação. Em vez de esperar uma denúncia ou uma auditoria externa, a organização passa a monitorar continuamente seus processos, identificando anomalias e gerando alertas preventivos.

Na folha de pagamento, por exemplo, é possível detectar pagamentos fora do padrão, alterações salariais sem o fluxo adequado de aprovação, contas bancárias compartilhadas entre colaboradores, empregados sem registro de jornada, benefícios incompatíveis com o cargo, concentração de horas extras em determinados gestores, admissões ou desligamentos atípicos, além de acessos e alterações realizadas fora dos perfis autorizados. Individualmente, esses eventos nem sempre representam fraude, mas constituem importantes red flags que merecem análise.

O grande ganho é que a tecnologia não substitui o julgamento humano; ela amplia a capacidade de prevenção. Enquanto uma auditoria tradicional trabalha por amostragem e em momentos específicos, a análise contínua de dados permite monitorar 100% das transações, em tempo quase real, direcionando os esforços da gestão para aquilo que efetivamente representa maior risco.

Por isso, costumo dizer que o futuro da conformidade é menos baseado em inspeção e mais em inteligência. O Departamento Pessoal deixa de ser apenas um executor de rotinas e passa a atuar como uma área estratégica, utilizando dados para fortalecer controles internos, prevenir fraudes, apoiar decisões e gerar confiança para a administração e para o Conselho. Afinal, o melhor caso de fraude é aquele que nunca chega a acontecer porque os controles foram capazes de identificá-lo antes. Compliance não é esperar a auditoria encontrar o problema; é utilizar inteligência para impedir que ele aconteça.

Eu diria que o verdadeiro "dono" é a governança. Esse é justamente o erro que muitas organizações cometem: imaginar que a integração dos dados é um problema do RH, do Compliance ou da TI. Na realidade, trata-se de uma responsabilidade da alta administração, que deve assegurar que as informações circulem de forma confiável entre as áreas para apoiar a tomada de decisão.

Cada área possui um papel específico. O Departamento Pessoal é responsável pela qualidade e tempestividade dos dados que produz. O RH contribui com a gestão de pessoas e dos processos. A TI garante a integração tecnológica e a segurança da informação. O Compliance estabelece diretrizes, monitora riscos e questiona inconsistências. O CFO transforma esses dados em informações para a gestão financeira e para o planejamento da organização. Já a Auditoria Interna avalia, de forma independente, se esse modelo está funcionando adequadamente.

Mas alguém precisa exercer o papel de patrocinador dessa integração. Na minha visão, esse papel deve ser assumido pela alta administração, com forte liderança do CFO, especialmente porque muitos dos riscos decorrentes de falhas na folha de pagamento acabam se materializando em impactos financeiros, contábeis, tributários e de caixa. Quando a liderança demonstra que os dados são um ativo estratégico, a integração deixa de ser um projeto de tecnologia e passa a fazer parte da cultura de governança da organização.

Além disso, a Inteligência Artificial pode atuar como um importante elemento integrador. Em vez de cada área analisar seus dados de forma isolada, soluções de IA conseguem cruzar informações provenientes do RH, da folha, do financeiro, da contabilidade, do ERP, do eSocial e de outros sistemas, identificando inconsistências, padrões de risco e oportunidades de melhoria que dificilmente seriam percebidos em análises fragmentadas. A tecnologia, porém, é um meio. O fator decisivo continua sendo a governança, que define responsabilidades, promove a colaboração entre as áreas e garante que os dados sejam utilizados para gerar decisões melhores.

O problema não é quem é dono do dado. O problema é quando ninguém se sente responsável pelo risco que esse dado representa.

Sem dúvida, ela já pode atuar como uma auditoria contínua. A diferença é que a auditoria tradicional analisa fatos passados, geralmente por amostragem. A Inteligência Artificial monitora 100% das transações, em tempo real, identificando exceções, padrões de risco e falhas de controle antes que se transformem em prejuízos.

No compliance trabalhista, isso significa detectar automaticamente alterações salariais sem aprovação, jornadas incompatíveis, pagamentos atípicos, inconsistências entre folha, eSocial e contabilidade, além de violações à segregação de funções e aos fluxos de aprovação.

Mas é importante destacar: a IA não substitui a auditoria nem o julgamento humano. Ela amplia a capacidade de monitoramento, gera alertas e apoia decisões baseadas em evidências. A responsabilidade continua sendo da gestão.

Acredito que o futuro não está em auditar mais, mas em monitorar continuamente. A IA transforma o compliance de uma função reativa em uma função preventiva, fortalecendo a governança e os controles internos. A Inteligência Artificial não substitui a governança; ela torna a governança mais inteligente.

Hoje, investidores, clientes e parceiros não avaliam apenas os resultados financeiros de uma organização; eles avaliam como esses resultados são alcançados. O Departamento Pessoal é uma das principais evidências da dimensão social da governança. Quando a empresa convive com jornadas excessivas, passivos trabalhistas recorrentes, falhas no recolhimento de encargos ou descumprimento da legislação, o problema deixa de ser apenas operacional. Ele passa a representar um risco cultural, reputacional, regulatório e de negócios.

Cada vez mais, esses aspectos influenciam processos de due diligence, decisões de investimento, acesso a crédito e até a contratação por grandes empresas, que exigem padrões mínimos de integridade e responsabilidade social em toda a cadeia de valor. No fim, o DP não administra apenas pessoas. Ele administra confiança. E confiança é um dos ativos mais valiosos de qualquer organização. A forma como uma empresa trata seus colaboradores é uma das evidências mais concretas da sua cultura de integridade.

Vejo uma evolução importante, mas a maturidade ainda é bastante desigual. Grandes organizações já compreenderam que compliance trabalhista não se resume a cumprir a legislação; trata-se de gerir riscos, proteger pessoas e fortalecer a governança. Por outro lado, muitas empresas ainda atuam de forma reativa, investindo em controles apenas depois de uma fiscalização, uma ação trabalhista ou uma crise. O que mais me anima é perceber uma mudança de mentalidade. Cada vez mais, conselhos de administração, diretores e gestores entendem que a prevenção gera mais valor do que a correção. Isso significa investir em educação, fortalecer a cultura ética, utilizar dados e Inteligência Artificial para monitorar riscos e incorporar o compliance às decisões do dia a dia, e não apenas aos momentos de crise.

Na academia, nas entidades de classe e na prática profissional, tenho defendido que o futuro do compliance não será medido pela quantidade de normas ou políticas, mas pela capacidade de influenciar comportamentos e criar organizações mais íntegras, éticas, resilientes e sustentáveis. Afinal, cultura não é aquilo que está escrito no Código de Ética; é aquilo que as pessoas fazem quando ninguém está olhando. O maior indicador de maturidade em compliance não é a ausência de problemas. É a capacidade da organização de preveni-los, identificá-los rapidamente e aprender com eles.

A primeira atitude é resistir à tentação de procurar um culpado antes de compreender a causa. Em investigações corporativas, é comum que um erro individual revele, na verdade, uma falha sistêmica de processos, controles ou governança. A liderança deve agir em três frentes, simultaneamente: conter o risco, investigar os fatos com independência e transparência e corrigir a causa raiz do problema para que a situação não ocorra novamente. Paralelamente, é fundamental comunicar com clareza o que aconteceu, quais medidas estão sendo adotadas e como os colaboradores eventualmente afetados serão tratados.

Quando a organização reage apenas punindo pessoas, ela gera medo. Quando reage fortalecendo controles, corrigindo processos e aprendendo com o ocorrido, ela fortalece a confiança e a cultura de integridade. Uma crise bem gerida pode, inclusive, fortalecer a organização, porque demonstra compromisso com a ética, a transparência e a melhoria contínua. Em compliance, o maior erro não é descobrir uma falha. É desperdiçar a oportunidade de aprender com ela e fortalecer a governança.

Eu gosto de pensar que compliance é, antes de tudo, sobre pessoas. Por trás de uma investigação, de uma folha de pagamento ou de um processo disciplinar existem famílias, histórias e sonhos. Nunca podemos perder essa perspectiva. Ser pai mudou profundamente a minha forma de exercer a profissão, inclusive com a perda de uma gestação da nossa primeira filha que me fez olhar para dentro e encarar aquela dor de forma profunda. Quando chego em casa e vejo meus filhos, lembro que cada decisão que tomo pode impactar a vida de alguém que também é filho, pai, mãe ou responsável pelo sustento de uma família. Isso não significa ser conivente com irregularidades, mas significa conduzir cada investigação da melhor forma possível com respeito, imparcialidade, dignidade e senso de justiça.

Integridade não é apenas aplicar regras; é ter coragem para fazer o que é certo da forma certa. É proteger a organização sem esquecer das pessoas que fazem parte dela. No fim do dia, acredito que o nosso maior legado não são as investigações que conduzimos nem os pareceres que assinamos. É a confiança que conseguimos construir. Porque empresas são feitas de processos, mas organizações verdadeiramente íntegras são feitas de pessoas. Toda decisão de compliance alcança uma família. Por isso, técnica e humanidade precisam caminhar juntas.

Meu conselho seria simples: pare de olhar apenas para processos e comece a olhar para riscos. Pergunte quais são os cinco maiores riscos da folha de pagamento, quais controles existem para mitigá-los e quais evidências demonstram que esses controles realmente funcionam. Se essas respostas não estiverem claras, esse já é o primeiro sinal de alerta.

Em seguida, reúna RH - Departamento Pessoal, Contabilidade, Fiscal, Financeiro, Compliance e TI. Os maiores riscos surgem justamente nas interfaces entre as áreas, e não dentro delas.

Por fim, use a tecnologia a seu favor e peça ajuda a especialistas. Data Analytics e Inteligência Artificial permitem monitorar riscos de forma contínua, identificar exceções e transformar dados em decisões. A governança começa quando deixamos de administrar tarefas e passamos a administrar riscos. Esse é o passo que ilumina qualquer operação.

O futuro das organizações não será definido pela quantidade de controles que possuem, mas pela inteligência com que utilizam seus dados, pela integridade de sua cultura e pela coragem de prevenir riscos antes que eles se tornem crises. Quem enxerga apenas processos administra o presente. Quem enxerga riscos constrói o futuro de maneira sustentável e alinhado aos objetivos da instituição.