Bom, parece que isso aqui está virando uma coluna só minha. Só nesta semana falamos sobre como estamos preparando nossos dados para a inteligência artificial e como vamos começar a usá-la nos próximos meses, dentro da nossa estratégia de computação cognitiva. Falamos também sobre como garantimos a proteção dos dados das pessoas daqui da Casa Hacker, dos nossos membros e da nossa comunidade — de um ponto de vista um pouco mais técnico, sobre como cuidamos da segurança dessas informações. E falamos ainda sobre como estamos avançando em acessibilidade a partir das plataformas que desenvolvemos, comentando também algumas iniciativas que temos em campo.
Neste ano, participamos de uma iniciativa de capacitação da Neoenergia voltada à integridade e às políticas de compliance em organizações do terceiro setor. Como organização do nosso setor, resolvemos participar. Curiosamente, já faz mais ou menos um ano e meio que começamos aqui um trabalho para garantir conformidade e integridade, e implementamos uma série de iniciativas que foram discutidas justamente nesse encontro — o que torna tão importante estar junto de outras organizações em espaços que pautam esse assunto. É o momento em que trazemos aprendizados e avaliamos o quanto estamos dentro do que o nosso setor espera.
Olhando para isso, hoje resolvi compartilhar um pouco de como avançamos nesse um ano e meio: as políticas que criamos, os treinamentos, o canal de denúncias, a orientação do dia a dia e a identificação de incidentes.
O que é um programa de integridade, sem juridiquês
Programa de integridade é o conjunto de regras, controles, capacitações e canais que ajuda a organização a prevenir o que pode dar errado, detectar rápido o que escapa e corrigir o que aconteceu.
Dito assim parece abstrato. Na prática, ele responde a perguntas bem concretas do dia a dia:
- Quando um pagamento sai, existe documento, aprovação de quem podia aprovar e registro de quem decidiu?
- Quando contratamos um fornecedor, alguém verificou onde o nome dele aparece — e quando essa verificação foi feita?
- Quando uma pessoa quer relatar algo grave, existe um caminho seguro que não dependa da boa vontade de quem está sendo relatado?
Existe uma razão legal para se ocupar disso: a Lei Anticorrupção (Lei nº 12.846/2013) alcança associações e fundações, e a existência de um programa de integridade conta como atenuante se algo der errado. Mas não é por isso que fazemos. É porque uma organização como a nossa existe por confiança. Doação, patrocínio, convênio, voluntariado e reputação levam anos para construir e segundos para perder. Integridade é o que protege a missão — não um custo que atrapalha a operação.
E o nosso programa se apoia em três decisões que a gente repete internamente até virar hábito:
Proporcional ao nosso tamanho. Não copiamos o compliance de uma multinacional. Construímos o que cabe aqui e o que conseguimos manter.
O controle mora no processo. Nenhuma regra importante depende de alguém lembrar dela na hora. Ela está no procedimento padrão: se falta a verificação do fornecedor, a compra simplesmente não avança de etapa.
Tudo deixa rastro. Cada decisão relevante tem autor, data, justificativa e documento. É isso que transforma “fazemos do jeito certo” em algo que a gente consegue mostrar para um doador, um financiador ou um órgão de controle.
Quem conduz esse trabalho
Hoje, quem lidera o programa é o Everton Justo, Analista de Compliance da Casa Hacker. O Everton é formado em Administração pela Faculdade Mário Schenberg, com pós-graduação em Gestão Financeira e Controladoria, e está com a gente desde setembro de 2025. A origem dele em controladoria ajuda muito. No dia a dia, ele cuida da manutenção das políticas, das iniciativas do programa, conduz treinamentos, revisa as políticas, trata as denúncias que chegam pelo canal, acompanha os treinamentos obrigatórios, e trabalha com a assessoria jurídica da Casa Hacker para responder às dúvidas das áreas. Ele tem um papel próprio — Analista de Compliance —, com permissões específicas e trilha de auditoria. Ter uma pessoa designada é o primeiro passo de qualquer programa de integridade, e vale mesmo em organização pequena: a função pode ser acumulada, mas não pode ficar sem nome. Integridade que é “responsabilidade de todos” costuma virar responsabilidade de ninguém.
O que a Diretoria e o Conselho assumem
Liderança define o tom da casa. Sem apoio real de quem decide, programa de integridade vira papel na gaveta. Por isso o nosso compromisso está escrito no lugar mais concreto possível: quem acolhe o quê.
A Diretoria acolhe e responde pelas denúncias e apurações das áreas que estão sob a sua direção — Projetos e Administração —, aprova as políticas e recebe o relatório periódico do canal de denúncias.
O Conselho de Administração acolhe as denúncias em que a própria Diretoria está envolvida.
Essa segunda linha é a que dá credibilidade à primeira. Um canal em que todo caso desemboca na Diretoria funciona bem para a maioria dos relatos e falha exatamente nos mais graves — quando quem é relatado é quem dirige. A rota alternativa precisa existir antes de ser necessária; depois, é tarde.
O compromisso também aparece onde incomoda. A Diretoria é obrigatória na aprovação de compras que atendem determinados critérios. Não existe atalho por cargo.
E há a parte menos glamourosa da governança, que a gente aprendeu a tratar como controle e não como burocracia: mandato, ata de eleição e termo de posse de cada órgão ficam registrados e atualizados — Conselho de Administração, Diretoria e Conselho Fiscal.
As políticas, públicas na íntegra
Hoje temos 23 políticas vigentes, todas de leitura obrigatória, publicadas no nosso sistema com controle de versão, data de vigência e registro individual de quem leu. Elas cobrem integridade (Código de Conduta Ética, Manual Anticorrupção, Canal de Denúncias, Proteção à Criança e ao Adolescente), temas legais e de dados, compras, pagamentos e viagens, e o campo institucional.
Em vez de listar tudo aqui, o melhor é ir direto na fonte: todas as nossas políticas estão publicadas na íntegra em casahacker.org/movimento, junto dos registros societários, das certificações e dos relatórios anuais. Não é resumo nem versão para divulgação — é o texto integral, do jeito que vale internamente. A governança completa também fica em docs.casahacker.org.
O que importa mais do que a quantidade é isto: cada política tem um processo correspondente. A política de compras virou uma régua de etapas com alçada. A de proteção de dados virou registro de operações de tratamento e catálogo de dados. A do canal de denúncias virou formulário público, protocolo e trilha que não pode ser alterada. Política sem controle é intenção; controle sem política é improviso.
O que está em andamento
Manutenção anual das políticas
As políticas vigentes existem há anos, mas foram editadas em junho de 2026 e passam por manutenção anual: revisão de conteúdo, atualização do que mudou na operação e nova rodada de leitura registrada. Política nova entra pela mesma porta — rascunho, aprovação, publicação versionada.
Canal de denúncias
Nosso canal se chama Abre o Jogo e funciona em cockpit.casahacker.org/denuncias, aberto a qualquer pessoa, de dentro ou de fora da Casa Hacker, sem cadastro e sem login.
Três coisas nele são não negociáveis:
Anonimato de verdade. Quem escolhe o anonimato não informa nome nem contato, e o sistema não registra o endereço de internet de quem acessa. A contrapartida é honesta e está escrita na própria tela: no envio, a pessoa recebe um número de protocolo, e é com ele — e só com ele — que volta para acompanhar o caso, responder e anexar documento. Não existe senha para recuperar. Anonimato real significa que nem nós conseguimos reidentificar quem falou.
Trilha que não muda. Cada passo da apuração é gravado numa sequência encadeada que não aceita alteração posterior. Quando o prazo de guarda vence, o conteúdo sensível é apagado por ação humana, preservando apenas o agregado — categoria, datas, desfecho. E o próprio apagamento entra na trilha.
Não retaliação. Retaliar quem denuncia de boa-fé é, pela nossa política, uma violação grave por si só, apurada como tal.
Os registros são mantidos por, no mínimo, cinco anos, e o Analista de Compliance apresenta à Diretoria um relatório com número de denúncias, natureza, prazo médio de tratamento e medidas adotadas.
Treinamentos
Temos oito trilhas publicadas, somando 162 capítulos e 171 questões de avaliação. As duas centrais para o programa são o Código de Conduta Ética (17 capítulos, 45 questões, com termo de compromisso assinado no fim) e Proteção de Dados e Segurança da Informação (49 capítulos, 50 questões), publicada no fim de agosto com 23 pessoas convocadas e validade de 12 meses. As outras trilhas sustentam a mesma cultura por outro caminho: segurança psicológica, comunicação assertiva e cultura de feedback, media training, gestão do tempo, gerenciamento de projetos e introdução aos assistentes de IA.
Duas decisões de método aqui. A primeira: treinamento produz evidência — matrícula, capítulos concluídos, prova corrigida, termo assinado e data de vencimento. Sem isso, “todo mundo foi treinado” é uma frase sem lastro. A segunda: não existe ranking individual. O acompanhamento é por área e por percentual, porque a finalidade é aprendizado.
Orientação e suporte interno
Programa que só aparece para punir ninguém usa. O nosso funciona também como serviço: a área responde dúvida do dia a dia. Pode aceitar aquele presente? Preciso declarar esse parentesco? Esse reembolso tem documento suficiente? Como agir diante de um pedido de autoridade pública? Já são 45 consultas registradas no nosso módulo de consultoria interna, além do canal de dúvidas dentro das trilhas e da Central de Ajuda. A regra informal é conhecida: é sempre mais barato perguntar antes.
Identificação de incidentes e riscos
Aqui a gente tenta manter mapa vivo, não foto anual — em tratamento de dados e na execução dos projetos, por exemplo:
- 29 operações de tratamento de dados pessoais registradas, com catálogo de dados, base legal e operadores identificados
- 10 riscos de privacidade avaliados e 2 relatórios de impacto elaborados para as operações mais sensíveis
- 291 documentos de governança arquivados e obrigações institucionais monitoradas por vencimento
- Verificação diária dos projetos: 17 regras de conformidade rodam todos os dias sobre a execução dos nossos programas — atividade sem responsável, entrega sem data, relatório atrasado, documentação incompleta —, complementadas por uma análise assistida por IA que sugere melhorias no planejamento. Um achado só pode ser descartado pela Diretoria, com registro. O analista não apaga pendência.
Relacionamento com pessoas politicamente expostas
Relacionamento com pessoa politicamente exposta não é proibido. Ele é declarado, documentado e monitorado — e essa distinção é importante, porque tratar o tema como tabu só empurra a informação para debaixo do tapete.
No questionário que todo fornecedor responde, há um bloco inteiro sobre isso: se algum sócio, conselheiro, diretor ou representante se enquadra como pessoa exposta politicamente nos termos da regra do COAF; se há familiar até o terceiro grau que integrou ente de governo nos últimos cinco anos; se há parentesco com alguém que trabalha, dirige ou aconselha a Casa Hacker; se existe ação judicial contra nós; se há conflito de interesses potencial. Um segundo bloco cobre relacionamento político — candidatura, nomeação, cargo em partido.
Cada “sim” exige dizer quem é a pessoa, o cargo e o órgão. E, em paralelo à declaração, o sistema confere a informação na base oficial de pessoas expostas politicamente. Declaração sem verificação é formulário; verificação sem declaração perde o contexto. Precisamos das duas.
Conformidade de fornecedores: como funciona de verdade
Esta é a parte mais madura do programa, e vale contar em detalhe, porque é onde a tecnologia que desenvolvemos faz mais diferença.
Toda pessoa jurídica que fornece bens e serviços para a Casa Hacker passa por duas verificações diferentes e complementares.
A primeira é a diligência. Ela roda no nosso sistema e consulta, de uma vez:
- a Receita Federal, para situação cadastral do CNPJ e quadro de sócios e administradores — é de lá que saem os nomes que alimentam o resto da busca;
- nove fontes nacionais, pelo CNPJ exato: CEIS (empresas inidôneas e suspensas), CNEP (punidas pela Lei Anticorrupção), CEPIM (entidades sem fins lucrativos impedidas), acordos de leniência, o cadastro de empregadores que submeteram trabalhadores a condição análoga à de escravo — a “lista suja” —, inidôneos do TCU, apenados do TCE-SP, COBES-SP e a base de pessoas expostas politicamente;
- seis fontes internacionais, por nome: OFAC SDN e OFAC Consolidated, do Tesouro dos Estados Unidos; a lista consolidada do Conselho de Segurança da ONU; a lista de sanções financeiras da União Europeia; a UK Sanctions List, do Reino Unido; e a lista de sancionados do BID.
As listas internacionais ficam indexadas no nosso próprio banco: são mais de 103 mil registros, atualizados pela última vez em 24 de agosto. E a busca alcança sócios e administradores, não só a razão social — porque o risco raramente está no CNPJ, está em quem está atrás dele.
O resultado é um veredito com validade de 30 dias, gravado com data, autor da consulta, resposta bruta de cada fonte e verificação de integridade:
- nada consta — libera a etapa seguinte;
- alerta — bloqueia a contratação e exige análise humana;
- pendente — alguma fonte não respondeu, e o caso não avança por omissão, mas por decisão.
Até agora foram 427 verificações concluídas: 389 sem nada consta, 33 com alerta e 5 pendentes. As 33 são a prova de que o controle não é decorativo.
A segunda verificação é o KYS — Know Your Supplier, “conheça seu fornecedor”. É um questionário de integridade que a empresa assina: 17 perguntas em cinco blocos, cobrindo pessoas politicamente expostas e conflito de interesses; relacionamento político; histórico de corrupção, lavagem de dinheiro e improbidade; direitos humanos (trabalho escravo e tráfico de pessoas, injúria racial, crimes de gênero, exploração do trabalho infantil); e sanções, histórico contratual e regularidade fiscal e previdenciária.
O fornecedor responde por um link próprio, sem precisar criar conta no nosso sistema, e assina eletronicamente com validade jurídica. No mesmo ato, autoriza a consulta periódica às bases usadas na diligência. Para organizações da sociedade civil e pessoas físicas que recebem nossos investimentos, o instrumento equivalente é o KYG — Know Your Grantee.
E onde isso morde? Uma solicitação de compra atravessa dez etapas na Casa Hacker, e a etapa 4 é o portão: sem fornecedor ativo, sem diligência com “nada consta” e sem KYS ou KYG vigente para valores acima de R$ 2.000, a compra não passa. Não é aviso na tela — é bloqueio. E, como controle rígido sem saída de emergência ensina as pessoas a burlar, existe uma exceção autorizável: um gestor com permissão específica, que não pode ser o solicitante, libera a etapa registrando a justificativa na trilha da compra. Ela é rara, é nominal e fica gravada.
Nossos próximos passos
O próximo passo tem nome: Computação Cognitiva, nossa estratégia de levar toda a operação administrativa para dentro do sistema próprio que desenvolvemos aqui — com nuvem, automação e inteligência artificial atuando desde o começo de cada processo, e não como relatório no fim.
Na frente de integridade, o que entra com isso:
Auditoria contínua de fornecedores com APIs globais. Hoje a verificação é acionada por evento — nova contratação, vencimento dos 30 dias. A meta é o monitoramento periódico automático de toda a base ativa, com alerta quando um fornecedor já contratado aparece em alguma lista.
OCR e leitura automática de documentos. Nota fiscal, contrato, comprovante e certidão passam a ser lidos pela máquina, com o texto indexado e conferido contra o que foi declarado. Conferência documental deixa de ser trabalho de olho humano linha a linha e passa a ser exceção sinalizada.
IA na análise, com decisão humana. Captura assistida de dados de orçamentos e propostas, pré-análise de risco na submissão da compra, minuta de contrato e sugestão de melhoria no planejamento dos projetos. A IA sugere; a pessoa confirma. Essa fronteira não se move.
Mesmo padrão em todas as áreas: operação administrativa, compras, finanças, contratos, proteção de dados, PMO, voluntariado, contabilidade, inventário, doações e serviços internos.
Vale registrar de onde isso vem. O Cockpit é tecnologia própria da Casa Hacker, feita por nós para gestão e integridade, e já contei aqui o que precisou ser feito antes de pedir a primeira resposta à IA.
Nossos aprendizados até aqui
Foi na oficina da Neoenergia — realizada em junho, em parceria com o Instituto Neoenergia, o Instituto Pro Bono Brasil e o escritório Machado Meyer, com nove organizações do terceiro setor — que tivemos a confirmação de que as nossas políticas cobrem os sete pilares apresentados como referência: comprometimento da liderança, código de conduta, mapeamento de riscos, políticas e controles, treinamento e comunicação, canal de denúncias e monitoramento com melhoria contínua.
Confirmar alinhamento é bom. Mais útil é registrar o que aprendemos construindo:
- Designar uma pessoa vale mais do que criar um comitê. Pode acumular função, mas precisa ter nome, permissão e agenda.
- Política sem controle no processo é papel. A pergunta certa não é “temos política de compras?”, e sim “o que acontece quando alguém tenta comprar sem cotação?”.
- Liderança participa. Há faixas de valor em que a aprovação da Diretoria é obrigatória.
- Anonimato real tem consequência prática — e isso precisa estar escrito na tela. Se não registramos IP nem contato, não há como recuperar acompanhamento perdido. Prometer as duas coisas ao mesmo tempo é enganar quem denuncia.
- O caso mais grave é justamente o que o fluxo normal não resolve. Denúncia que envolve a Diretoria precisa de rota alternativa desenhada antes.
- Verificar vale mais que declarar, e as duas juntas valem mais ainda. O fornecedor declara; o sistema confere. Uma coisa não substitui a outra.
- Todo veredito precisa de prazo de validade. “Diligência feita” sem data é diligência vencida esperando para ser descoberta.
- O risco raramente está no CNPJ. Está em quem está atrás dele. Verificação que não alcança sócios e administradores passa limpo pelo que importa.
- Exceção precisa existir, ser nominal e ficar registrada. Controle sem saída de emergência ensina a burlar. Com exceção rastreável, o desvio vira informação de gestão.
- Treinamento é evidência, não evento. Termo de compromisso assinado, validade com vencimento.
- Nem tudo ao mesmo tempo. Priorizar por impacto e probabilidade. Programa proporcional que funciona vale mais que programa completo que ninguém mantém.
- Registrar a falha é parte do controle. Incidente, dúvida recorrente e não conformidade alimentam a próxima revisão da política. Programa sem histórico de erro é programa que não está olhando.
Por que isso tem tudo a ver com a nossa missão
Um ano e meio depois, o que eu diria para quem está começando é que integridade não é um departamento — é o jeito como o trabalho acontece. Está na compra que espera a verificação chegar, no treinamento que termina com prova, no canal que garante anonimato de verdade, no dado de criança que a gente guarda com cuidado redobrado.
No nosso manifesto assumimos o compromisso de tratar tecnologia como direito e como linguagem de poder, e não como privilégio de poucos. Fazer do jeito certo, sempre, é a versão desse compromisso aplicada à nossa própria casa: quem confia recurso na periferia merece saber exatamente para onde ele foi, quem decidiu e com base em quê. Quando a Casa Hacker nasce, nasce junto a certeza de que as periferias não são um lugar de espera — são um lugar de começo. E lugar de começo precisa ser lugar confiável.
Precisa relatar alguma coisa? O canal Abre o Jogo está em cockpit.casahacker.org/denuncias, aberto a qualquer pessoa, com anonimato garantido para quem quiser.