Compliance na contratação de segurança privada armada: controles, evidências e deveres do tomador

Segurança armada exige governança de terceiro crítico

A contratação de segurança privada armada é uma decisão de risco elevado. Ela envolve profissionais que atuam em postos sensíveis, armas de fogo sob responsabilidade do prestador, proteção de pessoas e ativos, interação com situações potencialmente violentas e eventual contato com autoridades fiscalizadoras. Por essa razão, a escolha do fornecedor não deve ser tratada apenas como aquisição de serviços operacionais ou de facilities. Trata-se da gestão de um terceiro crítico, com implicações jurídicas, regulatórias, trabalhistas, operacionais e reputacionais.

Para a empresa tomadora, o risco não se encerra quando o fornecedor apresenta documentos ou declara estar regular. A diligência precisa verificar se a autorização do prestador é compatível com o escopo efetivamente contratado, se a documentação permanece vigente, se os profissionais destinados aos postos atendem aos requisitos aplicáveis e se a operação possui controles verificáveis sobre escalas, treinamentos, ocorrências, armas e munições.

No Brasil, a Polícia Federal exerce papel central no controle administrativo e na fiscalização das atividades de segurança privada. Assim, uma contratação responsável deve converter exigências legais e operacionais em um sistema de evidências: documentos identificáveis e versionados, validações formais, responsáveis definidos, registros de auditoria, tratamento de desvios e mecanismos de resposta a incidentes.

O propósito não é transferir ao contratante as obrigações legais próprias da empresa de segurança. É demonstrar, entretanto, que o tomador adotou diligência compatível com a criticidade do serviço e agiu adequadamente diante de riscos conhecidos ou previsíveis.

Marco normativo: atenção à transição regulatória

A Lei nº 14.967/2024, que instituiu o Estatuto da Segurança Privada e da Segurança das Instituições Financeiras, atualizou a disciplina legal do setor. A Lei nº 7.102/1983, historicamente central para essa atividade, deve ser analisada em conjunto com as revogações, alterações e regras de transição introduzidas pelo novo Estatuto.

No plano infralegal, a Portaria DG/PF nº 18.045/2023 consolidou procedimentos administrativos sob a disciplina então vigente. Sua aplicabilidade prática, contudo, precisa ser confirmada à luz da Lei nº 14.967/2024 e de eventuais atos posteriores expedidos pela Polícia Federal. Em uma área sujeita a atualização normativa, cópias antigas de portarias, materiais comerciais, pareceres não oficiais ou interpretações associativas não devem ser usados isoladamente como fonte de validação.

Antes de mobilizar ou renovar um contrato, a empresa deve consultar as publicações oficiais da Polícia Federal e a legislação disponível no portal do Planalto, além de submeter questões específicas à análise jurídica especializada. Essa cautela é especialmente importante quando houver serviço armado, ampliação de escopo, abertura de novas unidades, substituição de fornecedor ou ocorrência relevante.

Um mapa de compliance pode ser organizado em cinco frentes:

1. Autorização e regularidade do prestador: situação da empresa, estabelecimentos envolvidos, escopo autorizado e compatibilidade com a atividade contratada.
2. Armas e munições: controles de custódia, armazenamento, inventário, movimentação, manutenção e registro de anomalias.
3. Profissionais alocados: formação, reciclagem, aptidão, identificação, substituições e documentação aplicável.
4. Operação e supervisão: escalas, cobertura de postos, procedimentos, relatórios, auditorias e resposta a incidentes.
5. Evidências e consequências contratuais: validade documental, preservação de registros, não conformidades, planos de ação e medidas de intervenção.

Referências de associações setoriais e entidades internacionais, como a ASIS International, podem apoiar boas práticas de governança. Elas não substituem, porém, a legislação brasileira, os atos oficiais da Polícia Federal ou a orientação jurídica aplicável ao caso concreto.

Due diligence não é uma etapa única

A qualificação pré-contratual deve confirmar se o fornecedor possui capacidade jurídica e operacional para executar o serviço pretendido. Isso inclui avaliar a pessoa jurídica, as unidades que participarão da operação, a estrutura de supervisão, a capacidade de cobertura de escalas, os contingenciamentos previstos e a utilização ou não de subcontratados.

O ponto decisivo é a correspondência entre o documento apresentado e a operação real. Um fornecedor pode existir formalmente e, ainda assim, não demonstrar aderência suficiente ao serviço, à localidade, à unidade executora, ao modelo operacional ou ao escopo armado pretendido. A análise deve refletir o contrato concreto: postos, turnos, riscos do local, rotinas de acesso, áreas críticas, supervisão e forma de gestão dos armamentos.

A regularidade também não é um evento estático. Documentos vencem, profissionais são substituídos, contratos sofrem aditivos, unidades mudam e fornecedores podem enfrentar restrições administrativas ou operacionais. Por isso, a revalidação periódica deve ser definida pela matriz de risco — por exemplo, trimestral ou semestral — e antecipada sempre que houver mudança relevante.

Situação identificada	Exposição predominante	Resposta de controle
Documento essencial do prestador vencido, suspenso ou incompatível	Interrupção da operação, risco regulatório e reputacional	Suspender a mobilização ou o posto afetado; exigir esclarecimento formal e deliberação de Jurídico e Compliance
Profissional sem validação documental requerida para o posto	Risco operacional, regulatório e trabalhista	Impedir o acesso ao posto até a substituição ou regularização comprovada
Divergência entre escala, posto e contrato	Cobertura inadequada e deficiência de supervisão	Corrigir o desvio, registrar a aprovação e investigar a causa raiz
Falha documental sem impacto operacional aparente	Dificuldade de auditoria e defesa	Abrir não conformidade, definir prazo e verificar o encerramento por evidência
Divergência em inventário ou registro de armas e munições	Risco crítico de segurança, integridade e conformidade	Preservar registros, acionar a governança e seguir o protocolo jurídico-operacional aplicável

A classificação de risco precisa considerar a norma vigente, as cláusulas contratuais e o aconselhamento jurídico. Não se deve presumir que a responsabilidade formal do prestador elimina a exposição do tomador. Falhas na seleção, na supervisão, na prevenção ou na resposta a um fato conhecido podem ampliar consequências para a organização contratante.

Governança interna e trilha de auditoria

A contratação armada não deve depender de uma única área. A divisão de responsabilidades precisa ser formalizada antes da assinatura e acompanhada durante toda a vigência contratual.

Em um modelo de referência, Segurança Corporativa define os riscos dos locais e os requisitos operacionais; Compliance e Jurídico analisam requisitos normativos, integridade, exceções e medidas de resposta; Compras e Contratos conduzem a contratação, mantêm as cláusulas e acompanham obrigações documentais; Operações valida a execução cotidiana; e RH e Jurídico Trabalhista contribuem para a avaliação de jornada, substituições, terceirização e riscos de subordinação direta.

Uma matriz RACI é particularmente útil para estabelecer quem solicita a substituição de um vigilante, quem confere a evidência necessária, quem autoriza mudanças de posto, quem comunica incidentes e quem aprova o encerramento de uma não conformidade. Sem esse desenho, é comum que falhas sejam percebidas por várias pessoas, mas não sejam efetivamente resolvidas por ninguém.

A governança deve produzir evidências confiáveis. E-mails dispersos, planilhas sem controle de versão e capturas de tela sem data, URL ou responsável pela consulta têm valor limitado em uma auditoria ou investigação. O ideal é manter um repositório corporativo com controle de acesso, histórico de alterações, alertas de vencimento, responsáveis nomeados e registros de aprovação.

Dados pessoais dos vigilantes exigem cuidado adicional. Informações sobre saúde, aptidão ou documentos individuais devem ser acessadas apenas por pessoas autorizadas, para finalidades legítimas e com retenção proporcional, em observância à Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018). Em muitos casos, o tomador não precisa receber o documento integral: uma declaração verificável do prestador, acompanhada de mecanismo de auditoria, pode ser mais adequada do que a circulação ampla de dados sensíveis.

Dossiê do fornecedor e controles contratuais

O dossiê de contratação deve reunir, conforme a aplicabilidade do serviço e as exigências vigentes, elementos que permitam avaliar o fornecedor antes da mobilização e durante o contrato. Entre eles estão:

• atos constitutivos, identificação da empresa e poderes de representação;
• comprovação de autorização e regularidade perante a Polícia Federal;
• documentos da unidade ou estrutura responsável pela execução;
• certidões, declarações e verificações de integridade previstas na política de terceiros;
• identificação de responsáveis, supervisores e canais de escalonamento;
• evidências de capacidade operacional, cobertura de escalas e contingência;
• políticas ou procedimentos de treinamento, reciclagem e substituição;
• procedimentos de controle de armas, munições, armazenamento e ocorrências;
• histórico relevante de sanções, incidentes materiais e planos de ação pendentes;
• declaração sobre subcontratação e identificação de terceiros críticos.

Cada evidência deve trazer data de emissão ou consulta, fonte, prazo de validade, responsável pela análise e conclusão registrada. O checklist deve distinguir documentos de validade fixa, documentos sujeitos a atualização periódica e evidências que surgem ao longo da execução, como escalas, relatórios de supervisão, registros de treinamento e planos corretivos.

O contrato deve transformar esses controles em obrigações executáveis. Cláusulas relevantes incluem manutenção de autorizações e qualificações; comunicação de mudanças, fiscalizações e restrições; regras para subcontratação; direito de auditoria; critérios de aceitação de substitutos; preservação de registros; proteção de dados; notificação de incidentes; prazos de correção; e hipóteses de suspensão ou rescisão diante de risco grave, fraude documental ou perda de condição essencial.

Cláusulas indenizatórias têm utilidade, mas não substituem prevenção. Elas dificilmente recompõem danos reputacionais, interrupções operacionais ou impactos humanos associados a um incidente grave. O contrato precisa refletir controles que o tomador e o prestador realmente tenham capacidade de executar.

Acompanhar a operação, não apenas a nota fiscal

O gestor do contrato deve observar se o serviço real corresponde ao serviço contratado. Indicadores úteis incluem cobertura de postos, substituições emergenciais, conformidade documental da equipe, treinamentos próximos do vencimento, horas de supervisão, desvios de escala, ocorrências registradas, auditorias concluídas e tempo de encerramento de ações corretivas.

As escalas devem ser monitoradas em relação ao contrato, à legislação trabalhista aplicável e à capacidade operacional do prestador. Ao mesmo tempo, o tomador deve evitar comandar a rotina individual dos vigilantes como se fossem seus empregados. Orientações de segurança do site podem e devem existir, mas preferencialmente devem ser formalizadas por meio dos responsáveis do fornecedor, preservando a autonomia de gestão da contratada e reduzindo riscos relacionados à subordinação direta.

Os procedimentos de posto devem definir limites de atuação, acessos, rondas, comunicação, escalonamento, áreas restritas, chaves, emergências e interface com o cliente. Treinamentos internos do tomador podem complementar o conhecimento do local, mas não substituem a formação regulatória ou as obrigações do prestador.

Substituições emergenciais merecem atenção específica. A pressão por cobertura não deve autorizar o ingresso de profissional sem evidência mínima previamente definida. Uma prática consistente é manter uma lista atualizada de profissionais pré-validados e criar bloqueios de acesso para pessoas que não tenham passado pela checagem requerida.

Armas, munições e resposta a eventos críticos

O componente armado exige rastreabilidade reforçada. A empresa tomadora não deve criar uma gestão paralela que assuma atribuições legalmente próprias do prestador, mas deve verificar se os procedimentos declarados e autorizados estão funcionando de modo consistente.

A verificação pode abranger evidências de inventário periódico, reconciliação entre registros e ativos, identificação dos responsáveis, controles de acesso, tratamento de anomalias e acompanhamento de medidas corretivas. Auditorias precisam ser planejadas com critérios de segurança e sigilo, evitando exposição desnecessária de armas, rotinas de proteção ou informações sensíveis.

Arma ausente, munição sem registro, movimentação sem explicação, armazenamento inadequado, disparo, ameaça, lesão ou suspeita de adulteração são eventos que demandam resposta imediata e coordenada. A prioridade é proteger vidas, acionar os protocolos de emergência, preservar a cena quando aplicável e manter registros íntegros. O tomador não deve orientar versões, alterar documentos ou conduzir investigação técnica fora de sua competência.

O plano de resposta deve definir canais de acionamento, responsáveis, preservação de imagens, logs, controles de acesso, escalas e comunicações. Jurídico, Compliance, Segurança Corporativa e o prestador precisam saber quando e como atuar. A necessidade de comunicação às autoridades dependerá da natureza do fato e da legislação aplicável, devendo ser avaliada pelos responsáveis competentes.

Auditoria, CAPA e intervenção

Um programa maduro combina auditoria documental, observação operacional e análise de indicadores. A amostragem deve contemplar autorizações, escalas, substituições, treinamentos, relatórios de supervisão, ocorrências e registros de controle pertinentes. Postos mais críticos, operações armadas e fornecedores com histórico de desvios justificam frequência maior.

Toda não conformidade deve registrar fato, evidência, impacto, responsável, prazo, decisão e critério de encerramento. O modelo de ações corretivas e preventivas — CAPA — ajuda a separar a contenção imediata da prevenção de recorrência. Se um profissional foi alocado sem validação, a correção é removê-lo ou regularizar sua situação conforme o protocolo; a prevenção pode envolver bloqueio sistêmico, lista pré-aprovada e fluxo de aprovação disponível 24 horas.

Entre os gatilhos de intervenção estão a perda ou incompatibilidade de autorização, a presença de profissional sem validação exigida, divergências relevantes de registros, subcontratação não aprovada, ocultação de incidente, recusa de auditoria e reincidência de falhas sem correção eficaz.

A contratação de segurança privada armada é mais segura quando norma, contrato e operação estão conectados por evidências. Nenhuma autorização deve ser presumida, nenhuma substituição deve ocorrer sem controle e nenhuma mudança operacional relevante deve ficar sem registro. A rastreabilidade não é burocracia acessória: em um serviço de alto impacto, ela é parte essencial da proteção de pessoas, ativos e da própria capacidade de defesa da organização.