Gerenciar requisitos legais dentro de um Sistema de Gestão Integrada significa descobrir quais obrigações realmente se aplicam à empresa, traduzi-las em controles e manter evidências de que estão sendo cumpridas.
Não é apenas acompanhar publicações no Diário Oficial.
Também não é juntar milhares de leis em uma planilha e marcar todas como “aplicáveis”.
Na Damatta, quando pergunto quais são os requisitos legais de uma operação, a resposta costuma começar pelas leis mais conhecidas. Depois aparecem a licença com uma condicionante específica, uma exigência de segurança do trabalho que ninguém associou ao processo e um contrato que tornou obrigatória uma norma técnica.
É nesse ponto que a gestão costuma se confundir.
Lei, contrato e compromisso voluntário não são a mesma coisa. Todos podem gerar obrigações para a empresa, mas precisam serificados corretamente.
Este artigo mostra como organizar requisitos legais no SGI sem depender da memória de uma pessoa ou criar uma matriz que ninguém consegue usar.
O que são requisitos legais
Requisitos legais são obrigações impostas por uma autoridade competente por meio de leis, decretos, regulamentos, portarias, resoluções, licenças, autorizações, decisões administrativas ou judiciais e outros atos juridicamente vinculantes.
Exemplos:
- uma condicionante de licença ambiental;
- uma obrigação prevista em Norma Regulamentadora;
- uma regra da legislação de proteção de dados;
- um limite estabelecido por órgão regulador;
- um prazo determinado em autorização ou outorga;
- uma decisão administrativa aplicável à operação.
O ponto central é a obrigatoriedade jurídica.
Contrato e norma técnica são requisitos legais?
Não automaticamente.
Um contrato cria uma obrigação contratual entre as partes.
Uma norma técnica pode ser voluntária em sua origem, mas se tornar obrigatória quando for incorporada por:
- lei ou regulamento;
- licença ou autorização;
- contrato;
- edital;
- decisão administrativa ou judicial.
Compromissos voluntários, políticas internas e padrões de clientes também podem ser vinculantes para a empresa, mas não devem serificados como leis apenas para caber na mesma planilha.
O termo mais amplo é obrigações de conformidade.
Requisitos legais e obrigações de conformidade
A gestão fica mais clara quando as obrigações são separadas por origem.
| Categoria | Exemplos | Natureza |
|---|---|---|
| Requisitos legais e regulatórios | Leis, decretos, NRs, regulamentos, resoluções e atos de autoridades | Obrigação jurídica |
| Licenças e atos individuais | Licenças, alvarás, outorgas, autorizações e condicionantes | Obrigação jurídica específica |
| Decisões e acordos com autoridades | Decisões administrativas, ordens judiciais e termos de ajustamento | Obrigação vinculante conforme o caso |
| Requisitos contratuais | Contratos, editais, financiamentos e padrões exigidos por clientes | Obrigação contratual |
| Normas técnicas | ABNT, ISO e padrões setoriais | Voluntárias, salvo incorporação obrigatória |
| Compromissos voluntários | Políticas, códigos, metas públicas e adesões setoriais | Obrigação assumida pela organização |
Essaificação evita dois erros:
- Chamar tudo de requisito legal.
- Ignorar uma obrigação importante porque ela não nasceu de uma lei.
O que é um SGI
Um Sistema de Gestão Integrada, ou SGI, reúne diferentes sistemas de gestão em uma estrutura coordenada.
Ele pode integrar, por exemplo:
- qualidade;
- meio ambiente;
- segurança e saúde no trabalho;
- segurança da informação;
- privacidade;
- compliance;
- continuidade de negócios.
Não existe uma única norma chamada “ISO do SGI”.
A integração é uma escolha de gestão. Ela aproveita elementos comuns entre diferentes normas, como contexto, riscos, responsabilidades, informação documentada, auditoria, análise crítica e melhoria.
As normas não tratam os requisitos legais de forma idêntica.
ISO 14001
A ISO 14001:2026 trabalha com obrigações de conformidade ambientais. A organização precisa determinar o que se aplica, considerar essas obrigações no sistema e avaliar periodicamente seu atendimento.
ISO 45001
A ISO 45001:2018 exige a identificação de requisitos legais e outros requisitos relacionados à segurança e saúde no trabalho, além da avaliação de conformidade.
ISO 9001
A ISO 9001 exige que a organização considere os requisitos estatutários e regulamentares aplicáveis aos produtos e serviços.
Isso não equivale, por si só, ao mesmo processo de avaliação de conformidade da ISO 14001 ou da ISO 45001.
ISO/IEC 27001
A ISO/IEC 27001:2022 trata de requisitos legais, estatutários, regulatórios e contratuais relevantes para a segurança da informação.
A LGPD, contratos de confidencialidade e regras setoriais podem entrar nesse universo, conforme o contexto.
A integração funciona porque os processos podem conversar. Não porque todas as normas exigem exatamente a mesma coisa.
Por que gerenciar requisitos legais no SGI
Quando cada área controla suas obrigações de forma isolada, alguns problemas aparecem rápido:
- duplicidade de registros;
- responsáveis diferentes para a mesma obrigação;
- prazos conflitantes;
- ausência de visão sobre impactos entre áreas;
- evidências espalhadas;
- dificuldade para acompanhar mudanças;
- relatórios diferentes para a liderança.
Um requisito pode atravessar vários sistemas.
Uma mudança em uma linha de produção pode afetar:
- especificação do produto;
- licença ambiental;
- exposição ocupacional;
- segurança de máquinas;
- proteção de dados do processo;
- contratos com clientes.
O SGI ajuda a enxergar essas conexões.
Mas isso não significa obrigar todas as áreas a trabalhar em uma única planilha gigantesca.
Registro único ou matrizes separadas de requisitos legais?
Depende da complexidade da organização.
Uma pequena empresa pode funcionar com uma matriz central.
Uma organização com várias unidades e temas regulatórios complexos pode precisar de:
- um cadastro mestre de obrigações;
- matrizes específicas por área;
- ligação entre cada matriz e o cadastro central;
- responsáveis de domínio;
- uma visão consolidada para a liderança.
O mais importante é evitar registros desconectados.
Uma boa arquitetura pode ter:
- Cadastro mestre: identifica a fonte, a área, a unidade e o responsável.
- Registro técnico da área: detalha aplicabilidade, controles e evidências.
- Painel gerencial: apresenta pendências, riscos, prazos e tendências.
Centralizar governança não exige centralizar todo o detalhe técnico na mesma tela.
Como gerenciar requisitos legais no SGI
1. Defina o escopo
Antes de pesquisar leis, mapeie a organização.
Considere:
- unidades;
- atividades;
- produtos e serviços;
- processos;
- equipamentos;
- trabalhadores;
- terceiros;
- dados tratados;
- licenças;
- mercados atendidos;
- contratos relevantes.
Sem esse contexto, a empresa coleta normas, mas não consegue avaliar aplicabilidade.
O escopo também deve definir quais sistemas fazem parte do SGI.
2. Identifique as fontes
As fontes podem incluir:
- portais legislativos;
- sites de órgãos reguladores;
- licenças e autorizações;
- normas de autoridades setoriais;
- contratos;
- editais;
- decisões administrativas e judiciais;
- normas técnicas incorporadas a obrigações;
- políticas e compromissos assumidos.
Para requisitos brasileiros, priorize fontes oficiais, como:
- Portal da Legislação;
- Diário Oficial da União;
- sites dos órgãos estaduais e municipais;
- Normas Regulamentadoras do Ministério do Trabalho e Emprego;
- Autoridade Nacional de Proteção de Dados.
A empresa pode usar serviços de monitoramento, mas precisa manter acesso às fontes que sustentam a análise.
3. Avalie a aplicabilidade
Encontrar uma norma não significa que ela se aplica.
Para cada item, registre:
- qual atividade é afetada;
- em qual unidade;
- por que se aplica;
- qual obrigação concreta foi identificada;
- quais exceções existem;
- quem realizou a análise;
- quando a conclusão deve ser revista.
Quando o item não for aplicável, registre a justificativa.
Isso evita que a mesma discussão recomece em toda auditoria.
Quando houver dúvida jurídica ou técnica relevante, a conclusão precisa ser validada por profissional competente.
4. Traduza o texto em controle
O texto legal precisa virar uma ação executável.
Exemplo:
Fonte
Uma licença exige a entrega periódica de um relatório de monitoramento.
Controle
- elaborar o relatório;
- validar os dados;
- obter assinatura do responsável;
- protocolar no órgão;
- guardar comprovante;
- tratar resultados fora do limite;
- revisar a obrigação quando a licença mudar.
A mesma lógica vale para outras áreas.
Uma obrigação da LGPD pode gerar controles sobre acesso, retenção, resposta a incidentes e atendimento aos titulares.
Uma exigência de SST pode gerar inspeção, treinamento, avaliação, manutenção ou registro.
5. Monitore mudanças e prazos
Existem dois monitoramentos diferentes.
Monitoramento regulatório
Identifica publicação, alteração, revogação ou nova interpretação relevante.
Monitoramento operacional
Acompanha vencimentos, entregas, medições, treinamentos, renovações e ações corretivas.
Uma alteração legal pode exigir:
- triagem;
- análise de aplicabilidade;
- avaliação do impacto;
- plano de adequação;
- atualização de documentos;
- comunicação;
- verificação da implementação.
O alerta de uma ferramenta não encerra esse processo.
6. Avalie a conformidade
A avaliação de conformidade verifica se a obrigação está sendo cumprida e se a evidência é suficiente.
Perguntas úteis:
- O requisito continua aplicável?
- O controle foi executado?
- A evidência cobre o período correto?
- O documento está válido?
- O prazo foi cumprido?
- O resultado atende ao limite?
- A ação corretiva foi concluída?
- Existe reincidência?
- A obrigação mudou desde a última avaliação?
O resultado pode serificado como:
- conforme;
- parcialmente conforme;
- não conforme;
- não aplicável;
- em análise.
Aificação precisa ter critérios claros.
Modelo de matriz de requisitos legais no SGI
| Campo | O que registrar |
|---|---|
| Identificação | Código interno |
| Categoria | Legal, regulatória, contratual ou voluntária |
| Fonte | Lei, licença, contrato, norma ou decisão |
| Obrigação | O que precisa ser feito |
| Aplicabilidade | Por que se aplica |
| Unidade ou processo | Onde produz efeito |
| Responsável | Quem executa e acompanha |
| Frequência | Contínua, mensal, anual ou por evento |
| Prazo | Data legal e prazo interno |
| Controle | Como a obrigação é atendida |
| Evidência | Documento, registro, protocolo ou medição |
| Situação | Conforme, parcial, não conforme ou em análise |
| Risco | Consequência do descumprimento |
| Ação | Correção, responsável e prazo |
| Revisão | Data da última análise |
O campo mais importante costuma ser “obrigação”.
Copiar o título da lei não informa o que a empresa precisa fazer.
Exemplo prático
Considere uma indústria com:
- licença ambiental;
- trabalhadores expostos a ruído;
- dados pessoais de clientes;
- contrato com uma multinacional;
- certificações ISO.
O cadastro pode conter:
| Origem | Obrigação | Área principal | Evidência |
|---|---|---|---|
| Licença ambiental | Entregar relatório de monitoramento | Meio ambiente | Relatório e protocolo |
| NR aplicável | Avaliar e controlar a exposição ocupacional | SST | Avaliação, inventário e plano |
| LGPD | Proteger dados e responder a incidentes | Privacidade e TI | Registros, controles e plano de resposta |
| Contrato | Manter certificação exigida pelo cliente | Comercial e SGI | Certificado válido |
| Política interna | Cumprir meta pública assumida | Sustentabilidade | Indicador e relatório |
A visão integrada mostra que uma obrigação pode ter uma área principal e várias áreas de apoio.
Quem deve ser responsável pelos requisitos legais no SGI
A área de compliance ou SGI pode coordenar o processo.
Ela não deve executar todas as obrigações.
Responsabilidades típicas:
- SGI ou compliance: método, cadastro, revisão e consolidação;
- jurídico: interpretação e validação jurídica;
- áreas técnicas: aplicabilidade e execução dos controles;
- gestores: recursos, prioridade e correção;
- auditoria interna: verificação independente;
- alta direção: análise de riscos e decisões.
Cada requisito precisa ter um responsável pelo atendimento e outro nível de supervisão quando o risco justificar.
Periodicidade da revisão dos requisitos legais
Não existe uma frequência única para todos os requisitos legais.
A revisão deve considerar:
- frequência das mudanças;
- risco do descumprimento;
- prazo das obrigações;
- complexidade do setor;
- alterações operacionais;
- incidentes;
- auditorias;
- mudanças contratuais.
Algumas obrigações exigem acompanhamento contínuo.
Outras podem ser avaliadas mensal, trimestral, semestral ou anualmente.
Além do calendário, crie gatilhos de revisão:
- nova unidade;
- novo produto;
- novo contrato;
- mudança de processo;
- nova licença;
- alteração de atividade;
- incidente;
- fiscalização;
- mudança legislativa.
Evidência de conformidade
Conformidade não se comprova com a existência de uma linha na matriz.
As evidências podem incluir:
- licenças válidas;
- protocolos;
- laudos;
- registros de inspeção;
- comprovantes de treinamento;
- medições;
- atas;
- contratos;
- relatórios;
- logs;
- registros de consentimento;
- planos de ação;
- certificados.
A evidência precisa ser:
- identificável;
- íntegra;
- acessível;
- relacionada à obrigação;
- válida para o período avaliado;
- protegida conforme sua sensibilidade.
Uma evidência pode comprovar parte da obrigação e deixar outra parte sem resposta.
Software ajuda, mas não decide
Ferramentas podem:
- monitorar mudanças;
- enviar alertas;
- organizar prazos;
- manter histórico;
- ligar requisitos a evidências;
- gerar painéis;
- controlar aprovações.
Elas não substituem:
- análise de aplicabilidade;
- interpretação;
- decisão técnica;
- execução do controle;
- avaliação da qualidade da evidência.
Um sistema automatizado pode avisar que uma lei mudou.
Ainda será necessário entender o que a mudança exige da operação.
Auditoria de requisitos legais no SGI
Auditar o SGI não significa verificar, linha por linha, todo o ordenamento jurídico.
A auditoria de sistema utiliza amostragem para avaliar se a organização possui processos capazes de identificar e tratar os requisitos aplicáveis.
Uma auditoria específica de conformidade pode aprofundar:
- obrigações críticas;
- licenças;
- temas com histórico de desvio;
- unidades de maior risco;
- mudanças recentes;
- evidências operacionais.
Os dois trabalhos são úteis, mas respondem a perguntas diferentes.
Certificação ISO também não representa uma declaração de que a organização cumpre toda a legislação aplicável em qualquer momento.
Indicadores úteis para requisitos legais
Alguns indicadores possíveis:
- percentual de requisitos avaliados;
- percentual de conformidade;
- requisitos em análise;
- não conformidades vencidas;
- tempo médio de regularização;
- mudanças pendentes de avaliação;
- licenças próximas do vencimento;
- reincidência;
- obrigações sem responsável;
- evidências vencidas ou ausentes.
Evite transformar a gestão em competição por número de requisitos cadastrados.
O indicador precisa mostrar risco e capacidade de resposta.
Erros mais comuns
Chamar tudo de requisito legal
Contrato e política interna podem gerar obrigação, mas não são leis.
Cadastrar a norma inteira
Uma fonte pode gerar várias obrigações com responsáveis e evidências diferentes.
Confundir publicação com aplicabilidade
O fato de uma norma existir não significa que afeta a operação.
Manter matrizes desconectadas
A integração desaparece quando as áreas não compartilham responsáveis, mudanças e riscos.
Centralizar toda a execução no jurídico
O jurídico interpreta. A operação executa muitos dos controles.
Confiar apenas no alerta do software
Alerta não comprova conformidade.
Avaliar apenas antes da auditoria
Mudanças e prazos acontecem durante o ano.
Marcar “conforme” sem verificar evidência
A situação registrada precisa ser sustentada por prova suficiente.
Checklist dos primeiros 30 dias
- ☐ Definir o escopo do SGI.
- ☐ Mapear unidades, processos e produtos.
- ☐ Identificar áreas reguladas.
- ☐ Reunir licenças, contratos e registros existentes.
- ☐ Separar requisitos legais de outras obrigações.
- ☐ Definir fontes oficiais.
- ☐ Avaliar aplicabilidade.
- ☐ Traduzir fontes em obrigações concretas.
- ☐ Definir responsáveis.
- ☐ Criar prazos internos.
- ☐ Vincular controles e evidências.
- ☐ Definir critérios de conformidade.
- ☐ Criar gatilhos de atualização.
- ☐ Organizar a governança entre áreas.
- ☐ Apresentar riscos críticos à liderança.
Perguntas frequentes sobre requisitos legais no SGI
Requisito legal é a mesma coisa que lei?
Não.
A lei é uma fonte. O requisito legal é a obrigação aplicável que decorre dela ou de outro ato juridicamente vinculante.
Contrato é requisito legal?
Contrato é uma obrigação contratual.
Ele pode ser gerenciado junto dos requisitos legais dentro das obrigações de conformidade, mas deve serificado corretamente.
Norma ISO é obrigatória?
Em regra, normas ISO são voluntárias.
Elas podem se tornar exigidas por contrato, edital, política interna ou outro instrumento aplicável.
Toda norma encontrada precisa entrar na matriz?
Não.
Ela deve passar por análise de aplicabilidade. Quando não se aplicar, a justificativa pode ser registrada.
É necessário possuir certificação para usar um SGI?
Não.
A empresa pode integrar seus processos de gestão sem buscar certificação.
Um único registro serve para todas as áreas?
Pode servir em operações simples.
Empresas complexas podem utilizar um cadastro mestre ligado a matrizes técnicas específicas.
Com que frequência os requisitos legais devem ser revisados?
A frequência depende do risco e da dinâmica regulatória.
A revisão também deve ocorrer quando houver mudanças legais, operacionais, contratuais ou organizacionais relevantes.
Software garante conformidade?
Não.
Ele organiza informações e alertas. A conformidade depende de análise, execução e evidência.
Por onde começar
Comece escolhendo uma unidade ou processo.
Reúna as licenças, normas, contratos e compromissos que afetam esse escopo.
Depois, tente responder quatro perguntas:
- O que precisamos fazer?
- Quem precisa fazer?
- Até quando?
- Como vamos provar?
Se a matriz atual não responde a essas perguntas sem abrir vários arquivos, ela ainda está organizada por fonte, não por obrigação.
Esse é o primeiro ajuste.
Como a Damatta pode apoiar
A Damatta apoia empresas na estruturação e na revisão da gestão de requisitos legais no SGI, incluindo:
- definição de escopo;
- levantamento de fontes;
- avaliação de aplicabilidade;
- classificação das obrigações;
- construção da matriz;
- definição de responsáveis e evidências;
- monitoramento de mudanças;
- avaliação de conformidade;
- auditorias internas;
- integração entre sistemas de gestão.
O trabalho parte da operação, porque é nela que a obrigação precisa ser cumprida e comprovada.
Converse com a equipe da Damatta
Fontes oficiais consultadas
- ISO 14001:2026
- ISO 45001:2018
- ISO 9001
- ISO/IEC 27001:2022
- Lei Geral de Proteção de Dados Pessoais
- Portal da Legislação
- Normas Regulamentadoras
- Autoridade Nacional de Proteção de Dados
Aviso editorial: este conteúdo tem caráter informativo e não substitui a análise técnica ou jurídica das obrigações aplicáveis a uma organização específica.
