Compliance empresarial: a obrigação encolheu em Goiás, o risco não

Artigo · Compliance e Integridade

Uma empresa que fornecia ao Estado de Goiás um contrato de R$ 2 milhões era obrigada, até maio de 2026, a implantar programa de integridade. Hoje não é mais. O patamar legal subiu de R$ 650 mil para R$ 50 milhões, e a maior parte das empresas que estavam dentro da regra saiu dela.

Seria um erro ler isso como alívio. A obrigação encolheu; o risco, não. E, enquanto Goiás afrouxava a exigência formal, a União apertava o que importa — deixou de aceitar declaração e passou a exigir prova de funcionamento.

Este texto explica as duas mudanças e o que elas significam, na prática, para quem contrata com o poder público ou simplesmente opera em mercado regulado.

O que mudou em Goiás em 18 de maio de 2026

A Lei estadual nº 23.863, de 19 de novembro de 2025, revogou a Lei nº 20.489/2019 e entrou em vigor após 180 dias de vacância, em 18 de maio de 2026.

A lei anterior alcançava contratos acima de R$ 1,5 milhão em obras e serviços de engenharia e acima de R$ 650 mil em compras e serviços. A nova alcança apenas contratos e ajustes cujo valor anual supere R$ 50 milhões e cujo prazo seja igual ou superior a 180 dias. Os dois requisitos são cumulativos.

Mas a lei não só restringiu. Em outra direção, ela ampliou o rol de quem pode ser alcançado: além das sociedades empresárias e simples, agora menciona expressamente fundações, associações, organizações da sociedade civil, organizações sociais, OSCIPs, consórcios públicos e demais entidades sem fins lucrativos. Termos de colaboração, termos de fomento, contratos de gestão, termos de parceria e acordos de cooperação passaram a constar do texto ao lado dos contratos tradicionais.

Dois pontos de transição merecem leitura atenta:

• A exigência não se aplica a contratos e ajustes celebrados e já vigentes antes de 18 de maio de 2026.
• Mas aplica-se aos termos aditivos de prorrogação firmados depois dessa data. E o art. 3º é explícito: a prorrogação fica condicionada à anuência expressa da contratada quanto à inclusão da obrigação, sem qualquer compensação ou ressarcimento financeiro pelo Estado. O custo é integralmente da empresa.

Quem tem contrato longo com o Estado e prorrogação à vista precisa, portanto, precificar a implantação antes de assinar o aditivo — e não depois.

As sanções continuam severas

O regime sancionatório foi preservado quase intacto. O descumprimento gera multa de 0,1% por dia sobre o valor atualizado do contrato, limitada a 10% do total. A multa é inscrita em dívida ativa, constitui justa causa para rescisão com cláusula penal cumulativa e acarreta impedimento de contratar com qualquer Poder do Estado por dois anos — ou até a comprovação efetiva de implantação.

A responsabilidade acompanha a empresa em transformação, incorporação, fusão ou cisão: a sucessora responde, inclusive pelas sanções já aplicadas. Em operações societárias, a due diligence precisa olhar para isso.

Um requisito incomum que passa despercebido

Entre os doze requisitos mínimos do art. 7º da lei goiana há um que raramente aparece em normas equivalentes: o inciso IV exige a criação de página na internet com informações detalhadas da participação da organização em processos licitatórios do Estado e da execução dos contratos decorrentes.

Não é exigência de transparência genérica. É publicação ativa, pela própria empresa, de dados sobre a sua relação com a administração estadual. Programas desenhados a partir de modelos federais costumam não contemplar isso.

O prazo de implantação é de seis meses contados da celebração do contrato ou ajuste, e a sistemática de avaliação cabe a ato conjunto da Controladoria-Geral do Estado, da Procuradoria-Geral do Estado e da Secretaria de Estado da Administração.

No plano federal, o movimento foi inverso

Enquanto Goiás elevava o patamar, a União reduzia o espaço para o programa apenas documental.

A Lei nº 14.133/2021 trata do tema em três momentos: obriga o programa de integridade nas contratações de grande vulto, com implantação em até seis meses da assinatura (art. 25, § 4º); adota o programa como critério de desempate (art. 60, IV); e o considera na reabilitação de licitante ou contratado sancionado (art. 163, parágrafo único). O limite de grande vulto é o de R$ 200 milhões fixado no art. 6º, XXII, corrigido anualmente.

O Decreto nº 12.304/2024, em vigor desde fevereiro de 2025, regulamentou esses três dispositivos. E a Portaria Normativa SE/CGU nº 226, de 9 de setembro de 2025, estabeleceu a metodologia de avaliação: padronizou documentos, fases de análise e relatório, e fixou parâmetros de maturidade — governança, gestão de riscos, diligência sobre terceiros, canais de denúncia, investigação e remediação, treinamento, monitoramento e indicadores.

A mudança de eixo é essa: de declaração para evidência verificável. Para fins de desempate, a declaração do licitante no momento da proposta abre a porta, mas a comprovação exigida depois é de funcionamento — por autoavaliação no Pacto Brasil pela Integridade Empresarial, reconhecimento no Programa Empresa Pró-Ética ou avaliação formal por órgão público com metodologia compatível.

Um programa que existe no papel e não produz registro de treinamento, trilha de denúncia, relatório de risco e medida disciplinar efetivamente aplicada não sobrevive a essa análise.

O que nunca dependeu de limite de valor

Há uma camada que independe de qualquer patamar contratual, e é a mais relevante para a maioria das empresas: a Lei nº 12.846/2013.

A responsabilidade da pessoa jurídica por atos lesivos à administração pública é objetiva — não se discute dolo nem culpa da empresa, apenas a ocorrência do ato e o benefício ou interesse. A multa administrativa vai de 0,1% a 20% do faturamento bruto do exercício anterior. A responsabilidade subsiste em alteração contratual, transformação, incorporação, fusão e cisão.

Nesse regime, o programa de integridade é parâmetro expresso de dosimetria (art. 7º, VIII). O Decreto nº 11.129/2022, que substituiu o Decreto nº 8.420/2015, permite redução de até 5% da multa pela existência e aplicação do programa, e eliminou os percentuais mínimos antes previstos. Ou seja: a existência do programa não impede a sanção, mas é um dos poucos fatores que a empresa controla antes de o problema aparecer.

Vale registrar o que a própria lei goiana revogada já dizia e que a prática administrativa manteve: programa meramente formal, incapaz de mitigar risco real, não é considerado programa.

Para além do poder público

Duas frentes privadas tornam a discussão incontornável mesmo para quem nunca licita.

A primeira é a cadeia de fornecimento. Empresas sujeitas à Lei 14.133 ou à Lei nº 13.303/2016 transferem exigências de integridade aos seus fornecedores por cláusula contratual. Quem fornece a quem contrata com o Estado herda a obrigação pela via privada.

A segunda é a proteção de dados. O art. 50 da Lei nº 13.709/2018 trata de regras de boas práticas e governança, e a existência de programa estruturado é considerada pela autoridade na aplicação de sanções. Na prática, governança de dados e programa de integridade são o mesmo sistema olhado de ângulos diferentes.

Como ler isso se sua empresa está em Goiás

Quatro perguntas organizam a decisão:

1. Existe contrato ou ajuste com o Estado acima de R$ 50 milhões anuais e com prazo igual ou superior a 180 dias? Se sim, a obrigação é legal e o prazo é de seis meses da celebração.
2. Há prorrogação à vista de contrato que atinja esses parâmetros? Se sim, a obrigação entra pelo aditivo, com custo integralmente seu, e a anuência é condição da prorrogação.
3. A entidade é do terceiro setor e recebe recursos estaduais por termo de colaboração, fomento ou contrato de gestão? O novo texto a alcança expressamente — ponto que muitas organizações ainda não leram.
4. A empresa disputa licitações federais ou fornece a quem disputa? Então o critério relevante não é o patamar de Goiás, e sim a evidência de maturidade exigida pela Portaria CGU nº 226/2025.

O ponto final é simples de enunciar e difícil de internalizar. O limite de R$ 50 milhões definiu quando o Estado de Goiás exige o programa. Ele não definiu quando o programa protege — e essas duas coisas nunca coincidiram.