Falhas de compliance legal podem gerar não conformidades em auditorias ISO 14001 e ISO 45001 quando revelam que a organização não identifica, aplica, avalia ou controla adequadamente suas obrigações. Isso não significa que um documento ausente provoque automaticamente a suspensão do certificado. O efeito depende do critério de auditoria, da extensão do problema, das evidências e das regras do organismo certificador.
Os cinco erros deste artigo são riscos recorrentes na gestão de requisitos legais. Eles não formam um ranking estatístico e podem ter gravidade diferente conforme atividade, unidade, obrigação e maturidade do sistema.
O que compliance legal significa nesse contexto
Compliance legal é a capacidade de identificar as obrigações aplicáveis, transformá-las em ações e controles, avaliar o atendimento e tratar desvios com evidências rastreáveis.
A terminologia das normas não é idêntica. A ISO 14001:2026 trabalha com obrigações de conformidade no sistema de gestão ambiental. A ISO 45001:2018, com a Emenda 1:2024, trata de requisitos legais e outros requisitos de saúde e segurança ocupacional. Nos dois casos, a organização precisa conhecer o que se aplica e avaliar o atendimento, mas deve usar a edição licenciada da norma e os critérios definidos para sua auditoria.
As normas ISO são, em regra, voluntárias. Já leis, decretos, regulamentos e atos obrigatórios têm natureza jurídica própria. Licenças, contratos, termos de ajustamento, políticas internas e normas técnicas podem integrar as obrigações de conformidade, conforme aplicável, sem se tornarem automaticamente requisitos legais.
Quais referências estão vigentes em 2026?
| Referência | Situação em julho de 2026 | Aplicação no artigo |
|---|---|---|
| ISO 14001:2026 | Edição internacional vigente desde abril de 2026 | Requisitos do sistema de gestão ambiental e transição da edição anterior |
| ISO 45001:2018 com Emenda 1:2024 | Edição vigente; uma revisão está em desenvolvimento | Sistema de gestão de saúde e segurança ocupacional |
| ISO/IEC 17021-1:2015 | Edição vigente | Requisitos para organismos que auditam e certificam sistemas de gestão |
| ISO 19011:2026 | Diretriz vigente | Programa e condução de auditorias; não estabelece sozinha regras de certificação |
No esquema acreditado pela Coordenação-Geral de Acreditação do Inmetro, a Cgcre, a transição da ISO 14001:2015 para a edição 2026 foi definida em três anos. Segundo o Ofício Circular nº 9/2026, certificados na edição 2015 perdem a validade em 15 de abril de 2029. A organização deve alinhar seu plano de transição com o organismo certificador, sem esperar o fim do prazo.
Como uma falha de compliance legal pode afetar a certificação
A ISO/IEC 17021-1 estabelece requisitos de competência, consistência e imparcialidade para organismos de certificação. Ela não cria uma regra simples segundo a qual determinado documento faltante sempre gera suspensão.
Em termos práticos, uma não conformidade maior está associada a uma falha que compromete a capacidade do sistema de alcançar os resultados pretendidos. Uma não conformidade menor não apresenta essa dimensão sistêmica. Aificação considera contexto, extensão, repetição, impacto e efetividade dos controles.
Uma infração legal e uma não conformidade de certificação também não são a mesma coisa. A autoridade competente apura a infração dentro do regime jurídico aplicável. O organismo certificador avalia o sistema em relação aos critérios da certificação. O mesmo fato pode produzir consequências nos dois campos, mas não existe equivalência automática.
Prazos para correção, análise de causa, aceitação do plano e verificação de eficácia dependem da etapa da certificação e dos procedimentos aplicáveis. Por isso, não é correto prometer que uma não conformidade menor terá sempre algumas semanas de prazo ou que uma maior suspenderá imediatamente o certificado.
Cinco erros de compliance legal que fragilizam o sistema
| Erro | Sinal observado na auditoria | Controle esperado |
|---|---|---|
| Responsabilidade concentrada | A área central conhece a obrigação, mas a operação não executa o controle | Responsável operacional, substituto, competência e escalonamento |
| Levantamento desatualizado | Mudanças legais ou operacionais não chegam à matriz | Monitoramento, avaliação de mudanças e controle de versão |
| Categorias misturadas | Lei, contrato e norma técnica aparecem como se tivessem a mesma natureza | Classificação da fonte e justificativa de aplicabilidade |
| Avaliação sem método | Status de atendimento sem data, critério, avaliador ou evidência | Processo periódico e registro dos resultados |
| Correção superficial | A tarefa é encerrada sem extensão, causa ou teste de eficácia | Tratamento completo da não conformidade |
Erro 1: concentrar o compliance legal no jurídico ou no QSMS
Uma área central pode interpretar fontes, manter a metodologia e apoiar decisões. Ela não substitui quem controla resíduos, equipamentos, treinamentos, exames, emissões ou licenças na operação.
O problema surge quando a matriz identifica a obrigação, mas não define quem executa o controle, quem substitui o responsável e quem recebe o alerta quando o prazo não é atendido. Na auditoria, a lacuna aparece ao comparar o procedimento com a prática ou ao entrevistar quem realiza a atividade.
Para corrigir:
- atribua cada obrigação a uma função operacional;
- defina responsável substituto e regra de escalonamento;
- treine as pessoas sobre a ação exigida, em vez de limitar o conteúdo ao nome da norma;
- teste se o controle continua funcionando durante férias, trocas de equipe e aumento de demanda.
Erro 2: manter o levantamento de requisitos desatualizado
O cadastro pode perder validade por duas vias: a fonte muda ou a operação muda. Uma nova unidade, equipamento, produto químico, atividade terceirizada ou licença pode alterar a aplicabilidade mesmo sem publicação de nova legislação.
Informar apenas a data da última atualização não demonstra que o processo funciona. A auditoria pode verificar quais fontes foram monitoradas, quais mudanças foram analisadas, quem aprovou a aplicabilidade e quando o novo controle entrou em operação.
Para corrigir:
- registre fonte oficial, versão, vigência e data de verificação;
- monitore mudanças legais e mudanças internas da operação;
- avalie o impacto antes de distribuir tarefas;
- preserve o histórico das decisões de aplicabilidade;
- revise amostras de requisitos críticos, mesmo quando não houver mudança publicada.
Erro 3: misturar requisito legal e compromisso voluntário
Uma norma técnica ABNT ou ISO não é automaticamente uma obrigação legal. Ela pode se tornar exigível quando incorporada por lei, regulamento, licença, contrato, edital ou decisão aplicável. Também pode ser adotada voluntariamente pela organização.
Misturar todas as fontes em uma única categoria prejudica a análise. A equipe perde a origem da obrigação e pode avaliar o documento técnico sem verificar o ato que determinou sua aplicação.
Uma estrutura mais segura separa:
| Categoria | Exemplos | Pergunta de controle |
|---|---|---|
| Requisito legal | Lei, decreto, regulamento e ato obrigatório | Qual autoridade e dispositivo tornam a ação exigível? |
| Ato individual | Licença, autorização, alvará e condicionante | Qual unidade, atividade, prazo e condição foram alcançados? |
| Compromisso contratual | Contrato, acordo coletivo e requisito de cliente | Qual cláusula, vigência e parte responsável? |
| Compromisso voluntário | Política, código ou norma adotada voluntariamente | Quem aprovou o compromisso e como ele será avaliado? |
Erro 4: declarar conformidade sem avaliação documentada
Ter um requisito na matriz não demonstra atendimento. Marcar “conforme” sem critério, amostra, evidência e responsável transforma a avaliação em uma opinião difícil de reproduzir.
A ausência de registro também não prova, sozinha, que houve infração legal. Ela pode, porém, revelar falha do sistema de gestão em avaliar e demonstrar seus resultados.
Cada avaliação precisa responder:
- qual obrigação e período foram avaliados;
- qual unidade, atividade ou situação foi abrangida;
- qual critério foi usado;
- quais evidências foram verificadas;
- quem realizou e aprovou a análise;
- qual foi a conclusão e quais pendências permaneceram.
A frequência não deve ser copiada de uma tabela genérica. Ela precisa considerar vencimentos, criticidade, mudanças, histórico de desvios e capacidade do controle de detectar falhas.
Erro 5: corrigir o caso sem tratar extensão, causa e eficácia
Substituir um documento vencido corrige o caso imediato, mas não explica por que o alerta falhou nem se outras unidades estão na mesma situação. A recorrência pode indicar um problema sistêmico, porém não transforma automaticamente uma não conformidade menor em maior.
O tratamento adequado inclui:
- conter o risco ou descumprimento em curso;
- corrigir o caso identificado;
- verificar outros locais, períodos e processos potencialmente afetados;
- investigar a causa sem encerrar a análise em “erro humano”;
- definir ação corretiva proporcional;
- verificar a eficácia com critério e evidência.
Exemplo operacional
Imagine que uma licença ambiental venceu em uma das unidades. Renovar a licença é a correção imediata, conforme as possibilidades admitidas pelo órgão competente. A análise precisa verificar se o alerta existia, quem o recebeu, por que não houve escalonamento e se outras licenças dependem da mesma rotina.
Se a empresa apenas anexar o novo documento, o sistema que permitiu o vencimento continua sem tratamento. É essa diferença entre correção e ação corretiva que a auditoria busca identificar.
Checklist de compliance legal antes da auditoria
Responsabilidade e aplicabilidade
- ☐ Cada obrigação possui responsável operacional, substituto e escalonamento?
- ☐ As decisões de aplicabilidade estão justificadas por unidade e atividade?
- ☐ Mudanças internas são comunicadas a quem mantém a matriz?
Atualização eificação
- ☐ As fontes oficiais, versões e vigências foram conferidas?
- ☐ Existe registro das mudanças analisadas e das ações resultantes?
- ☐ Requisitos legais, atos individuais, contratos e compromissos voluntários estão separados?
Avaliação e evidências
- ☐ Cada conclusão possui data, avaliador, critério e evidência?
- ☐ A evidência corresponde ao requisito, à unidade e ao período corretos?
- ☐ A frequência da avaliação considera risco, vencimento e histórico?
- ☐ Requisitos críticos foram testados na operação?
Não conformidades
- ☐ A extensão do problema foi verificada em outras unidades e períodos?
- ☐ A causa explica como o processo permitiu o desvio?
- ☐ A ação corretiva possui responsável, prazo e recursos?
- ☐ A eficácia foi verificada com evidência posterior à implementação?
Como a tecnologia e a inteligência artificial podem apoiar
Na gestão de compliance legal, uma plataforma pode relacionar fontes, obrigações, unidades, responsáveis, prazos, evidências, avaliações e planos de ação. Isso facilita o controle multiunidade e preserva o histórico necessário para uma auditoria.
A inteligência artificial pode apoiar comparação de versões eificação de documentos. Ela não deve declarar conformidade sozinha, inventar uma justificativa de aplicabilidade ou substituir a análise técnica e jurídica. A decisão precisa manter fonte verificável, revisão humana e registro de aprovação.
Perguntas frequentes
Toda infração legal gera não conformidade maior?
Não automaticamente. O auditor avalia o fato, sua extensão e o efeito sobre a capacidade do sistema de gestão. A infração também pode produzir consequências administrativas, civis ou penais conforme o regime aplicável, independentemente daificação na auditoria.
Uma não conformidade menor pode virar maior?
Não existe conversão automática. Falhas repetidas, não tratadas ou mais extensas do que a amostra inicial podem demonstrar um problema sistêmico e levar a outraificação, conforme os critérios do organismo certificador.
Quem decide sobre concessão, manutenção ou suspensão do certificado?
O organismo certificador toma a decisão conforme seus procedimentos e os requisitos aplicáveis. A decisão de certificação não deve ser confundida com a constatação registrada pela equipe auditora. Quando houver acreditação pela Cgcre, o organismo também está sujeito ao esquema e aos requisitos de acreditação correspondentes.
Qual é o prazo para tratar uma não conformidade?
O prazo depende da etapa do processo, daificação, do procedimento do organismo certificador e do risco envolvido. A organização deve consultar o relatório, o contrato e as regras aplicáveis, sem assumir um número universal de dias ou semanas.
Até quando vale um certificado ISO 14001:2015 no esquema da Cgcre?
O Ofício Circular nº 9/2026 da Cgcre estabelece que as certificações na versão 2015 perdem a validade em 15 de abril de 2029. A transição deve ser planejada com o organismo certificador antes dessa data.
Empresas pequenas também precisam estruturar o compliance legal?
Sim, de forma proporcional à operação. O porte pode influenciar a complexidade dos controles, mas a aplicabilidade das obrigações depende das atividades, instalações, pessoas, riscos e autoridades competentes.
Por onde começar
Escolha um requisito crítico e refaça o caminho completo: fonte vigente, aplicabilidade, responsável, controle, prazo, evidência, avaliação e tratamento. Se alguma etapa depender apenas da memória da equipe, existe uma fragilidade concreta no compliance legal.
Quer acompanhar requisitos, responsáveis, prazos, evidências e planos de ação em uma única plataforma? Agende uma demonstração do EASY.
Fontes oficiais consultadas
- ISO 14001:2026, Sistemas de gestão ambiental
- ISO 45001:2018, Sistemas de gestão de saúde e segurança ocupacional
- ISO 45001:2018/Amd 1:2024, Emenda sobre mudanças climáticas
- ISO/IEC 17021-1:2015, Requisitos para organismos de auditoria e certificação
- ISO 19011:2026, Diretrizes para auditoria de sistemas de gestão
- Inmetro: acreditação de organismos de avaliação da conformidade
- Cgcre: Ofício Circular nº 9/2026 sobre a transição para a ISO 14001:2026
- Inmetro: consulta de organismos acreditados
Este conteúdo tem caráter informativo e não substitui a análise técnica ou jurídica das obrigações aplicáveis a uma organização específica.
