Bueno, parece que esto de aquí se está convirtiendo en una columna exclusivamente mía. Solo esta semana hablamos sobre cómo estamos preparando nuestros datos para la inteligencia artificial y cómo empezaremos a usarla en los próximos meses, dentro de nuestra estrategia de computación cognitiva. Hablamos también sobre cómo garantizamos la protección de los datos de las personas de aquí de Casa Hacker, de nuestros miembros y de nuestra comunidad, desde un punto de vista un poco más técnico, sobre cómo cuidamos la seguridad de esa información. Y hablamos aún sobre cómo estamos avanzando en accesibilidad a partir de las plataformas que desarrollamos, comentando también algunas iniciativas que tenemos en marcha.
Este año, participamos en una iniciativa de capacitación de Neoenergia enfocada en la integridad y las políticas de compliance en organizaciones del tercer sector. Como organización de nuestro sector, decidimos participar. Curiosamente, ya hace más o menos año y medio que empezamos aquí un trabajo para garantizar conformidad e integridad, e implementamos una serie de iniciativas que se discutieron justamente en ese encuentro, lo que hace tan importante estar junto a otras organizaciones en espacios que abordan este tema. Es el momento en que aportamos aprendizajes y evaluamos qué tanto estamos dentro de lo que nuestro sector espera.
Mirando hacia eso, hoy decidí compartir un poco de cómo hemos avanzado en este año y medio: las políticas que creamos, las capacitaciones, el canal de denuncias, la orientación del día a día y la identificación de incidentes.
Qué es un programa de integridad, sin jerga jurídica
Un programa de integridad es el conjunto de reglas, controles, capacitaciones y canales que ayuda a la organización a prevenir lo que puede salir mal, detectar rápido lo que se escapa y corregir lo que sucedió.
Dicho así parece abstracto. En la práctica, responde a preguntas muy concretas del día a día:
- Cuando se realiza un pago, ¿existe un documento, la aprobación de quien podía aprobarlo y el registro de quién decidió?
- Cuando contratamos a un proveedor, ¿alguien verificó en qué listas aparece su nombre y cuándo se hizo esa verificación?
- Cuando una persona quiere reportar algo grave, ¿existe un camino seguro que no dependa de la buena voluntad de la persona denunciada?
Existe una razón legal para ocuparse de esto: la Ley Anticorrupción (Ley nº 12.846/2013) alcanza a asociaciones y fundaciones, y la existencia de un programa de integridad cuenta como atenuante si algo sale mal. Pero no es por eso que lo hacemos. Es porque una organización como la nuestra existe gracias a la confianza. Las donaciones, los patrocinios, los convenios, el voluntariado y la reputación tardan años en construirse y segundos en perderse. La integridad es lo que protege la misión, no un costo que entorpece la operación.
Y nuestro programa se apoya en tres decisiones que repetimos internamente hasta que se convierten en hábito:
Proporcional a nuestro tamaño. No copiamos el compliance de una multinacional. Construimos lo que cabe aquí y lo que podemos mantener.
El control vive en el proceso. Ninguna regla importante depende de que alguien se acuerde de ella en el momento. Está en el procedimiento estándar: si falta la verificación del proveedor, la compra simplemente no avanza de etapa.
Todo deja rastro. Cada decisión relevante tiene un autor, fecha, justificación y documento. Eso es lo que transforma “lo hacemos de la manera correcta” en algo que podemos mostrar a un donante, un financiador o un órgano de control.
Quién lidera este trabajo
Hoy, quien lidera el programa es Everton Justo, Analista de Compliance de Casa Hacker. Everton es graduado en Administración por la Faculdade Mário Schenberg, con un posgrado en Gestión Financiera y Controlaría, y está con nosotros desde septiembre de 2025. Su origen en controlaría ayuda muchísimo. En el día a día, se encarga del mantenimiento de las políticas, de las iniciativas del programa, imparte capacitaciones, revisa las normativas, atiende las denuncias que llegan a través del canal, acompaña las capacitaciones obligatorias y trabaja con la asesoría jurídica de Casa Hacker para responder a las dudas de las áreas. Tiene un rol propio —Analista de Compliance—, con permisos específicos y pista de auditoría. Tener a una persona designada es el primer paso de cualquier programa de integridad, y aplica incluso en organizaciones pequeñas: la función puede ser acumulada, pero no puede quedarse sin nombre. La integridad que es “responsabilidad de todos” suele convertirse en responsabilidad de nadie.
Lo que asumen la Dirección y el Consejo
El liderazgo marca el tono de la casa. Sin el apoyo real de quien toma las decisiones, un programa de integridad se convierte en papel en un cajón. Por eso, nuestro compromiso está escrito en el lugar más concreto posible: quién se hace cargo de qué.
La Dirección recibe y responde por las denuncias y averiguaciones de las áreas bajo su dirección —Proyectos y Administración—, aprueba las políticas y recibe el informe periódico del canal de denuncias.
El Consejo de Administración recibe las denuncias en las que la propia Dirección está involucrada.
Esta segunda línea es la que le da credibilidad a la primera. Un canal en el que todos los casos terminan en la Dirección funciona bien para la mayoría de los reportes y falla exactamente en los más graves: cuando la persona denunciada es quien dirige. La ruta alternativa debe existir antes de que sea necesaria; después, es demasiado tarde.
El compromiso también aparece donde incomoda. La Dirección es obligatoria en la aprobación de compras que cumplen determinados criterios. No existen atajos por cargo.
Y está la parte menos glamurosa de la gobernanza, que hemos aprendido a tratar como control y no como burocracia: el mandato, el acta de elección y el acta de toma de posesión de cada órgano se registran y actualizan (Consejo de Administración, Dirección y Consejo Fiscal).
Las políticas, públicas en su totalidad
Hoy tenemos 23 políticas vigentes, todas de lectura obligatoria, publicadas en nuestro sistema con control de versión, fecha de vigencia y registro individual de quién las leyó. Cubren integridad (Código de Conducta Ética, Manual Anticorrupción, Canal de Denuncias, Protección de la Infancia y la Adolescencia), temas legales y de datos, compras, pagos y viajes, y el ámbito institucional.
En vez de listarlo todo aquí, lo mejor es ir directo a la fuente: todas nuestras políticas están publicadas íntegramente en casahacker.org/movimento, junto con los registros societarios, las certificaciones y los informes anuales. No es un resumen ni una versión para difusión: es el texto completo, tal como vale internamente. La gobernanza completa también se encuentra en docs.casahacker.org.
Lo que importa más que la cantidad es esto: cada política tiene un proceso correspondiente. La política de compras se convirtió en una regla de etapas con jerarquía de aprobación. La de protección de datos se convirtió en un registro de operaciones de tratamiento y un catálogo de datos. La del canal de denuncias se convirtió en un formulario público, un protocolo y una pista que no se puede modificar. Una política sin control es una intención; un control sin política es improvisación.
Lo que está en marcha
Mantenimiento anual de las políticas
Las políticas vigentes llevan años existiendo, pero fueron editadas en junio de 2026 y se somenten a mantenimiento anual: revisión de contenido, actualización de los cambios operativos y una nueva ronda de lectura registrada. Toda política nueva entra por la misma puerta: borrador, aprobación, publicación versionada.
Canal de denuncias
Nuestro canal se llama Abre o Jogo y funciona en cockpit.casahacker.org/denuncias, abierto a cualquier persona, de dentro o fuera de Casa Hacker, sin registro y sin iniciar sesión.
Tres cosas en él no son negociables:
Anonimato real. Quien elige el anonimato no proporciona nombre ni datos de contacto, y el sistema no registra la dirección de internet de quien accede. La contrapartida es honesta y está escrita en la propia pantalla: al enviar el reporte, la persona recibe un número de protocolo, y con él —y solo con él— regresa para dar seguimiento al caso, responder y adjuntar documentos. No hay contraseña que recuperar. El anonimato real significa que ni nosotros podemos reidentificar a quien habló.
Pista inalterable. Cada paso de la investigación se graba en una secuencia encadenada que no admite alteraciones posteriores. Cuando vence el plazo de conservación, el contenido sensible se borra mediante una acción humana, preservando únicamente los datos agregados: categoría, fechas, desenlace. Y el borrado en sí mismo queda registrado en la pista.
No represalias. Tomar represalias contra quien denuncia de buena fe es, según nuestra política, una violación grave por sí misma, investigada como tal.
Los registros se conservan durante un mínimo de cinco años, y el Analista de Compliance presenta a la Dirección un informe con el número de denuncias, su naturaleza, el plazo medio de tratamiento y las medidas adoptadas.
Capacitaciones
Tenemos ocho rutas publicadas, que suman 162 capítulos y 171 preguntas de evaluación. Las dos centrales para el programa son el Código de Conducta Ética (17 capítulos, 45 preguntas, con un compromiso firmado al final) y Protección de Datos y Seguridad de la Información (49 capítulos, 50 preguntas), publicada a finales de agosto con 23 personas convocadas y una validez de 12 meses. Las otras rutas sostienen la misma cultura por otro camino: seguridad psicológica, comunicación asertiva y cultura de retroalimentación, media training, gestión del tiempo, gestión de proyectos e introducción a los asistentes de IA.
Dos decisiones metodológicas aquí. La primera: la capacitación produce evidencia —inscripción, capítulos concluidos, examen corregido, compromiso firmado y fecha de vencimiento. Sin esto, “todo el mundo fue capacitado” es una frase sin fundamento. La segunda: no existe un ranking individual. El seguimiento se hace por área y por porcentaje, porque el objetivo es el aprendizaje.
Orientación y soporte interno
Un programa que solo aparece para castigar no lo usa nadie. El nuestro funciona también como un servicio: el área responde dudas del día a día. ¿Se puede aceptar ese regalo? ¿Necesito declarar este parentesco? ¿Este reembolso tiene suficiente documentación? ¿Cómo actuar ante una solicitud de una autoridad pública? Ya son 45 consultas registradas en nuestro módulo de consultoría interna, además del canal de dudas dentro de las rutas y del Centro de Ayuda. La regla informal es conocida: siempre es más barato preguntar antes.
Identificación de incidentes y riesgos
Aquí intentamos mantener un mapa vivo, no una foto anual —en el tratamiento de datos y en la ejecución de los proyectos, por ejemplo:
- 29 operaciones de tratamiento de datos personales registradas, con catálogo de datos, base legal y operadores identificados
- 10 riesgos de privacidad evaluados y 2 informes de impacto elaborados para las operaciones más sensibles
- 291 documentos de gobernanza archivados y obligaciones institucionales monitoreadas por fecha de vencimiento
- Verificación diaria de los proyectos: 17 reglas de conformidad se ejecutan todos los días sobre la ejecución de nuestros programas —actividad sin responsable, entregas sin fecha, informes atrasados, documentación incompleta—, complementadas por un análisis asistido por IA que sugiere mejoras en la planificación. Un hallazgo solo puede ser descartado por la Dirección, con registro. El analista no borra pendientes.
Relación con personas políticamente expuestas
La relación con una persona políticamente expuesta no está prohibida. Es declarada, documentada y monitoreada, y esta distinción es importante, porque tratar el tema como un tabú solo empuja la información debajo de la alfombra.
En el cuestionario que responde todo proveedor, hay un bloque entero sobre esto: si algún socio, consejero, director o representante califica como persona expuesta políticamente en los términos de la regla del COAF; si tiene familiares hasta el tercer grado que hayan formado parte de un ente gubernamental en los últimos cinco años; si existe parentesco con alguien que trabaje, dirija o asesore a Casa Hacker; si hay acciones judiciales en nuestra contra; si existe un potencial conflicto de intereses. Un segundo bloque cubre la relación política: candidaturas, nombramientos, cargos en partidos.
Cada “sí” exige detallar quién es la persona, su cargo y la institución. Y, en paralelo a la declaración, el sistema verifica la información en la base oficial de personas políticamente expuestas. Una declaración sin verificación es solo un formulario; una verificación sin declaración pierde contexto. Necesitamos ambas.
Cumplimiento de proveedores: cómo funciona de verdad
Esta es la parte más madura del programa y vale la pena contarla en detalle, porque es donde la tecnología que desarrollamos marca la mayor diferencia.
Toda persona jurídica que suministra bienes y servicios a Casa Hacker pasa por dos verificaciones diferentes y complementarias.
La primera es la diligencia. Se ejecuta en nuestro sistema y consulta, de una sola vez:
- la Receita Federal, para conocer la situación catastral del CNPJ y la estructura de socios y administradores; de ahí provienen los nombres que alimentan el resto de la búsqueda;
- nueve fuentes nacionales, mediante el CNPJ exacto: CEIS (empresas inhabilitadas y suspendidas), CNEP (sancionadas por la Ley Anticorrupción), CEPIM (entidades sin fines de lucro impedidas), acuerdos de indulgencia, el registro de empleadores que sometieron a trabajadores a condiciones análogas a la esclavitud —la “lista sucia”—, inhabilitados del TCU, sancionados del TCE-SP, COBES-SP y la base de personas políticamente expuestas;
- seis fuentes internacionales, por nombre: OFAC SDN y OFAC Consolidated, del Tesoro de Estados Unidos; la lista consolidada del Consejo de Seguridad de la ONU; la lista de sanciones financieras de la Unión Europea; la UK Sanctions List, del Reino Unido; y la lista de sancionados del BID.
Las listas internacionales están indexadas en nuestra propia base de datos: son más de 103 mil registros, actualizados por última vez el 24 de agosto. Y la búsqueda alcanza a socios y administradores, no solo a la razón social, porque el riesgo rara vez está en el CNPJ, sino en quién está detrás de él.
The resultado es un veredicto con validez de 30 días, registrado con fecha, autor de la consulta, respuesta en bruto de cada fuente y verificación de integridad:
- sin hallazgos — libera la siguiente etapa;
- alerta — bloquea la contratación y exige análisis humano;
- pendiente — alguna fuente no respondió, y el caso no avanza por omisión, sino por decisión.
Hasta ahora se han completado 427 verificaciones: 389 sin hallazgos, 33 con alerta y 5 pendientes. Esas 33 son la prueba de que el control no es decorativo.
La segunda verificación es el KYS — Know Your Supplier, “conoce a tu proveedor”. Es un cuestionario de integridad que la empresa firma: 17 preguntas en cinco bloques, que cubren personas políticamente expuestas y conflictos de interés; relación política; historial de corrupción, lavado de dinero e improbidad; derechos humanos (trabajo esclavo y trata de personas, injuria racial, delitos de género, explotación laboral infantil); e historial de sanciones, contractual y regularidad fiscal y previsional.
El proveedor responde a través de un enlace propio, sin necesidad de crear una cuenta en nuestro sistema, y firma electrónicamente con validez jurídica. Al mismo tiempo, autoriza la consulta periódica de las bases utilizadas en la diligencia. Para las organizaciones de la sociedad civil y las personas físicas que reciben nuestras inversiones, el instrumento equivalente es el KYG — Know Your Grantee (“conoce a tu beneficiario”).
¿Y dónde duele esto? Una solicitud de compra atraviesa diez etapas en Casa Hacker, y la etapa 4 es la puerta de entrada: sin un proveedor activo, sin una diligencia con “sin hallazgos” y sin un KYS o KYG vigente para montos superiores a R$ 2.000, la compra no pasa. No es un aviso en pantalla: es un bloqueo. Y como los controles rígidos sin salida de emergencia enseñan a la gente a burlarlos, existe una excepción autorizable: un gestor con un permiso específico, que no puede ser el solicitante, libera la etapa registrando la justificación en la pista de la compra. Es algo raro, nominal y queda grabado.
Nuestros próximos pasos
El siguiente paso tiene nombre: Computación Cognitiva, nuestra estrategia para llevar toda la operación administrativa al interior del sistema propio que desarrollamos aquí, con la nube, la automatización y la inteligencia artificial actuando desde el inicio de cada proceso, y no como un informe al final.
En el frente de integridad, lo que se incorpora con esto es:
Auditoría continua de proveedores con APIs globales. Hoy la verificación se activa por eventos: una nueva contratación, el vencimiento de los 30 días. La meta es el monitoreo periódico automático de toda la base activa, con alertas cuando un proveedor ya contratado aparece en alguna lista.
OCR y lectura automática de documentos. Las facturas, contratos, comprobantes y certificados pasan a ser leídos por la máquina, con el texto indexado y contrastado con lo declarado. La verificación documental deja de ser una tarea visual línea por línea realizada por humanos y pasa a ser una excepción señalada.
IA en el análisis, con decisión humana. Captura asistida de datos de presupuestos y propuestas, preanálisis de riesgos en la presentación de compras, borradores de contratos y sugerencias de mejora en la planificación de proyectos. La IA sugiere; la persona confirma. Esa frontera no se mueve.
Mismo estándar en todas las áreas: operación administrativa, compras, finanzas, contratos, protección de datos, PMO, voluntariado, contabilidad, inventario, donaciones y servicios internos.
Vale la pena registrar de dónde viene esto. El Cockpit es tecnología propia de Casa Hacker, creada por nosotros para la gestión y la integridad, y ya conté aquí lo que fue necesario hacer antes de pedirle la primera respuesta a la IA.
Nuestros aprendizajes hasta aquí
Fue en el taller de Neoenergia —realizado en junio, en colaboración con el Instituto Neoenergia, el Instituto Pro Bono Brasil y el bufete Machado Meyer, con nueve organizaciones del tercer sector— donde tuvimos la confirmación de que nuestras políticas cubren los siete pilares presentados como referencia: compromiso del liderazgo, código de conducta, mapeo de riesgos, políticas y controles, capacitación y comunicación, canal de denuncias y monitoreo con mejora continua.
Confirmar la alineación es bueno. Más útil es registrar lo que aprendimos construyéndola:
- Designar a una persona vale más que crear un comité. Puede acumular funciones, pero debe tener nombre, permisos y agenda.
- Una política sin control en el proceso es solo papel. La pregunta correcta no es “¿tenemos una política de compras?”, sino “¿qué pasa cuando alguien intenta comprar sin cotización?”.
- El liderazgo participa. Hay rangos de montos en los que la aprobación de la Dirección es obligatoria.
- El anonimato real tiene consecuencias prácticas, y eso debe estar escrito en la pantalla. Si no registramos IP ni contacto, no hay forma de recuperar un seguimiento perdido. Prometer ambas cosas a la vez es engañar a quien denuncia.
- El caso más grave es precisamente el que el flujo normal no resuelve. Las denuncias que involucran a la Dirección necesitan una ruta alternativa diseñada de antemano.
- Verificar vale más que declarar, y ambas juntas valen todavía más. El proveedor declara; el sistema verifica. Una cosa no reemplaza a la otra.
- Todo veredicto necesita una fecha de caducidad. Una “diligencia realizada” sin fecha es una diligencia vencida a la espera de ser descubierta.
- El riesgo rara vez está en el CNPJ. Está en quién está detrás de él. Una verificación que no alcanza a los socios y administradores deja pasar lo que realmente importa.
- La excepción debe existir, ser nominal y quedar registrada. Un control sin salida de emergencia enseña a hacer trampas. Con una excepción rastreable, la desviación se convierte en información de gestión.
- La capacitación es evidencia, no un evento. Compromiso firmado, validez con fecha de vencimiento.
- No todo al mismo tiempo. Priorizar por impacto y probabilidad. Un programa proporcional que funciona vale más que un programa completo que nadie mantiene.
- Registrar la falla es parte del control. Los incidentes, las dudas recurrentes y las no conformidades alimentan la siguiente revisión de la política. Un programa sin historial de errores es un programa que no está mirando.
Por qué esto tiene todo que ver con nuestra misión
Un año y medio después, lo que le diría a quien está empezando es que la integridad no es un departamento: es la forma en que ocurre el trabajo. Está en la compra que espera a que llegue la verificación, en la capacitación que termina con un examen, en el canal que garantiza el anonimato real, en los datos de los niños y niñas que guardamos con un cuidado redoblado.
En nuestro manifiesto asumimos el compromiso de tratar la tecnología como un derecho y como un lenguaje de poder, y no como un privilegio de pocos. Hacer las cosas de la manera correcta, siempre, es la versión de este compromiso aplicada a nuestra propia casa: quien confía recursos en las periferias merece saber exactamente a dónde fueron, quién decidió y en base a qué. Cuando nace Casa Hacker, nace junto con la certeza de que las periferias no son un lugar de espera, sino un lugar de comienzo. Y un lugar de comienzo debe ser un lugar confiable.
¿Necesitas reportar algo? El canal Abre o Jogo está en cockpit.casahacker.org/denuncias, abierto a cualquier persona, con anonimato garantizado para quien lo desee.