Ouvidoria interna: como implementar em 9 passos

Resumo: o que você precisa saber agora

O item 1.4.1.1 da NR-1 obriga toda empresa que constitui CIPA a fixar procedimento de recebimento, acompanhamento, apuração e sanção, com anonimato garantido. Ele não está entre os cinco itens suspensos pelo STF e é infração de gravidade 3 na NR-28. A implantação cabe em nove passos: cultura, objetivo, ferramenta, ouvidor, equipe, canais, procedimento, comunicação e indicadores. Um canal que recebe e não apura vira prova contra a empresa.

A ouvidoria que já existe na sua empresa, e ninguém chamou assim

O melhor canal de escuta que eu já encontrei foi a porta de um banheiro.

Numa indústria que eu atendia, eu tinha o hábito de entrar nos banheiros da produção, nunca nos do administrativo, e ler tudo o que estava escrito nas portas. Eu anotava. Depois perguntava quem era o nome mais xingado ali. Aquilo era uma ouvidoria: cada pessoa deixava na porta o que não conseguia dizer em lugar nenhum.

O que a gente fez foi simples. Limpamos, pintamos, penduramos um rolo grande de papel branco com canetões e escrevemos em cima: "Sessão desabafo". Deixa escrever. Lemos tudo, planilhamos e demos tratativa a cada reclamação. Da terceira semana em diante, pararam de pichar. Mais de dez anos depois, não voltaram.

Conto esse caso por dois motivos. O primeiro: canal informal existe em toda empresa, inclusive na que jura não ter problema nenhum. A pergunta nunca é se as pessoas falam, é onde elas falam. O segundo é contraintuitivo e desmonta o medo mais comum de quem vai abrir um canal, o de que vire terra de ninguém: quando a empresa escuta e devolve, o volume de reclamação cai. Ele sobe é quando ninguém responde.

O que a NR-1 e a Lei 14.457/2022 pedem é que você transforme isso em processo. E é aqui que mora o risco de fazer pela metade: um canal que recebe e não apura é pior do que não ter canal, porque documenta que a empresa soube e não fez nada. Não é teoria, e o custo disso apareceu numa condenação de agosto de 2026 que eu detalho no artigo sobre a multa da NR-1 e o que o STF suspendeu.

Se falta a base, comece pelo guia completo da NR-1 sobre gestão de riscos psicossociais.

O que a lei e a norma exigem, e de quem

As três medidas do item 1.4.1.1

O item veio da Portaria MTP nº 4.219/2022 e espelha o art. 23 da Lei 14.457/2022:

"As organizações obrigadas a constituir CIPA nos termos da NR-05 devem adotar as seguintes medidas, além de outras que entenderem necessárias, com vistas à prevenção e ao combate ao assédio sexual e às demais formas de violência no âmbito do trabalho"

As alíneas "a" e "c" pedem regras de conduta divulgadas e capacitação de todos os níveis a cada 12 meses. Entre elas, a que quase ninguém cumpre:

"b) fixação de procedimentos para recebimento e acompanhamento de denúncias, para apuração dos fatos e, quando for o caso, para aplicação de sanções administrativas aos responsáveis diretos e indiretos pelos atos de assédio sexual e de violência, garantido o anonimato da pessoa denunciante"

A palavra "ouvidoria" não aparece: a norma pede procedimento, e o nome é escolha minha. E é o "garantido o anonimato" do fim que reprova o "minha mesa está aberta" do dono.

E se a minha empresa não tem CIPA?

O Quadro I da NR-05 cruza o grau de risco da atividade, que vem do CNAE, com o número de empregados no estabelecimento. Abaixo de 20 empregados nenhum estabelecimento constitui CIPA; nos graus 3 e 4 a obrigação começa em 20; nos graus 1 e 2, mais acima. Abaixo do piso, designa-se um representante (item 5.4.13).

Então: se a sua empresa não constitui CIPA, a NR-1 não a obriga a ter o procedimento de denúncias. Ela pode implantar por iniciativa própria. Duas coisas continuam valendo: o PGR pede evidência de controle do risco psicossocial, que o canal produz; e a responsabilização judicial não depende de CIPA.

O item que o STF não suspendeu

Desde junho eu ouço em diretoria que "o STF suspendeu a NR-1, dá para segurar o projeto". A liminar na ADPF 1.316 alcançou cinco itens do capítulo 1.5, e só quanto a autuações e multas. O 1.4.1.1 não está nessa lista: não é do capítulo 1.5 nem vem da portaria impugnada.

E tem o dado que ninguém usa: no Anexo II da NR-28, descumprir o 1.4.1.1 é infração tipo 3, e falhar no inventário de riscos é tipo 2. Quem leu a liminar como sinal verde parou de olhar justamente o item mais grave.

Os 9 passos para implantar a ouvidoria interna

Ouvidoria não é SAC nem a portinha do RH onde se tira dúvida de vale-refeição: ela investiga causas de problemas complexos, e minha triagem é uma pergunta, você já tentou resolver pelas vias normais? A sequência abaixo é minha, não da norma.

Passo 1. Analisar a cultura antes de desenhar qualquer coisa

Antes da ferramenta, eu preciso saber o que aquela empresa pratica em relação a escutar, e não o que está na parede. Pergunto como funciona a pesquisa de clima e o que se faz depois dela: a devolutiva entrega a cultura inteira. Existe caixinha de sugestões cheia há quatro meses que ninguém abre? Já me disse o que eu precisava. E faço isso em silêncio, porque anunciar o diagnóstico muda as respostas.

Nota da autora: a porta do banheiro daquela indústria me ensinou a regra que eu uso até hoje. Antes de perguntar qual ferramenta a empresa quer, eu procuro onde as pessoas já estão falando. Sempre existe um lugar.

Erro comum: começar pela ferramenta.

Passo 2. Definir o objetivo com franqueza

Decida o que a sua empresa quer com isso agora. Pode ser não ser autuada, e se for verdade, escreva que é: objetivo maquiado cai em descrédito, porque as pessoas percebem quando não é de verdade. Em empresa pequena, ele pode ser só ter um procedimento de recebimento de reclamação. Ótimo, desde que claro: é a clareza que permite saber, no fim, se você conseguiu.

Erro comum: um objetivo para a apresentação, outro para a prática.

Passo 3. Escolher o modelo e a ferramenta de recebimento

Aqui se aplica o teste do anonimato. A caixinha não passa, por três motivos sem conserto: todo mundo vê você colocando o papel, a caligrafia entrega, e ela fica no refeitório. Eu tive um cliente que instalou uma câmera apontada para a caixinha, porque queria ver quem colocava.

O Google Forms também não passa: quem tem acesso de TI rastreia o formulário e identifica de onde veio a resposta. Em ferramenta gratuita, a moeda de troca é o dado; na paga, é resguardo de dado que você compra. Sem alternativa nenhuma, faça, mas saiba que não é seguro e não venda internamente como se fosse.

Erro comum: confundir "não pedimos o nome" com "garantimos o anonimato".

Passo 4. Escolher o ouvidor

A escolha da pessoa vale mais do que a da ferramenta: dependendo de quem for, ela cria mais problema do que resolve. O que eu procuro: credibilidade dentro e fora da empresa; modéstia, porque quem trata o cargo como troféu não recebe confidência; imparcialidade sem julgamento; disposição para levar assunto difícil a quem manda; e conhecimento dos procedimentos internos e da LGPD. Há um limiar aqui: ela precisa ser próxima o bastante para que queiram se abrir, e distante o bastante para sustentar uma suspensão.

Erro comum: escolher pelo cargo, ou por quem tem tempo livre.

Passo 5. Montar a equipe, a sala e a capacitação

Não pode haver um ouvidor só. O mínimo são dois. E se a denúncia for contra o ouvidor? Não dá para pedir que ele trate o próprio caso. Há mais duas razões: decisão em conjunto resiste melhor à pressão interna, e um relato pode acionar um gatilho em quem escuta, que precisa poder passar o caso adiante. O resto do time é caso a caso: jurídico, segurança e as lideranças envolvidas.

A infraestrutura é o item mais esquecido: não adianta mandar a pessoa conversar com o RH numa mesa no meio do salão, com todo mundo escutando. E capacitação, porque o RH resolve muita coisa por intuição, e o que chega por uma ouvidoria pode ser grave demais: eu já acompanhei um assalto com morte dentro de uma empresa, com denúncia na sequência.

Um ponto de desenho institucional, e ele é meu, não da norma: a ouvidoria não é subsistema de RH, é processo de governança, e reporta direto à direção. Se o reporte passa por quem pode ser objeto da denúncia, o canal nasce capturado.

Erro comum: deixar a apuração com uma pessoa só, sem instância acima dela.

Passo 6. Escolher os canais de atendimento

Toda escolha aqui é uma renúncia.

Telefone ou 0800 · Ganha: Acesso imediato, acolhimento humano, alcança quem não usa computador · Perde: Custo, escala mal no pico, exige gravar

E-mail criptografado · Ganha: Barato, qualquer hora, escala bem · Perde: Resposta lenta, exige aceitar endereço não identificado

Formulário em plataforma · Ganha: Organiza e dá protocolo · Perde: Chega inapurável se os campos não pedirem data, local e contexto

Chat na plataforma · Ganha: Rápido, documenta sozinho, no celular · Perde: Exige atendente, custa mais

Duas perguntas fecham a escolha: todo mundo consegue usar esse canal, e cada público sabe qual é o dele? Porque o cliente da ouvidoria é o trabalhador, não o colaborador: independente do regime de contratação, ela atende o terceirizado, o MEI e o PJ.

Erro comum: escolher o canal fácil para a empresa, não para quem fala.

Passo 7. Escrever o procedimento, com cinco fases

O procedimento existe para que toda denúncia receba a mesma tratativa, e responde a cinco perguntas: como recebe, analisa, trata, responde e acompanha. Quatro coisas não podem faltar:

1. Prazo por etapa, divulgado. Os números são escolha da empresa; ter prazo escrito é a regra.
2. Critério de priorização combinado antes. Assédio sexual passa na frente do moral; quem precisa de atendimento imediato passa na frente de tudo.
3. Modelos e documentos anexos, para ninguém inventar formulário no meio da crise.
4. Divulgação do critério, para quem não foi priorizado entender por quê.

O critério de criticidade pode sair da matriz de gravidade do diagnóstico psicossocial. A apuração começa pelo registro sem julgamento, o que eu chamo de CAT interna: data, hora, local, testemunhas e consequências, narrando só o que a pessoa relatou. Depois vêm entrevistas, análise documental e a pergunta que muda tudo, esse relato já estava no levantamento de risco ou é novo? Só então o relatório, que é diferente do relato: nele entram a análise e a opinião, e ele termina com medidas corretivas e preventivas, que viram evidência no PGR psicossocial.

Erro comum: ter procedimento de recebimento e nenhum de apuração. É a metade que faltava no caso do começo.

Passo 8. Comunicar, e guardar a prova de que comunicou

Nada disso existe se ninguém souber. O plano define objetivo, público (trabalhador, terceiro, fornecedor, cliente, cada um sabendo qual é o canal dele), mensagem e meios. E vem a pergunta que decide tudo: numa auditoria ou numa reclamatória, como você prova que comunicou? Documente a divulgação como se documenta treinamento.

Erro comum: comunicar uma vez, na implantação, e nunca mais.

Passo 9. Definir os indicadores

Quantas manifestações entraram, tempo de resposta, quantas foram solucionadas, satisfação de quem usou. Servem para melhorar o processo e para provar que ele existe: imagine o auditor perguntando quantos casos houve no ano, qual foi a tratativa e se é sempre no mesmo setor. E o relatório volta ao começo do ciclo, alimentando o diagnóstico seguinte.

Erro comum: medir volume e não desfecho.

Se a sua empresa não tem compliance nem jurídico e precisa desses nove passos montados, com formação de quem vai operar, é isso que eu organizei na página da ouvidoria para pequenas e médias empresas.

Os três modos de relatar

O anonimato é exigência da norma. Os três modos abaixo são organização minha, para não prometer o que a estrutura não sustenta.

Aberta · Quem sabe quem relatou: O ouvidor e quem apura · Serve para: Casos que exigem depoimento e confronto de versões

Confidencial · Quem sabe quem relatou: Só o ouvidor · Serve para: Quem quer ser ouvido e teme exposição interna

Anônima · Quem sabe quem relatou: Ninguém, nem o ouvidor · Serve para: Denúncia contra chefia, sócio ou o próprio ouvidor

Anônimo não é sem acompanhamento: com protocolo e senha, a pessoa volta, responde a pedidos de detalhe e acompanha o caso sem se identificar. E há um jeito silencioso de perder o anonimato depois de prometê-lo: se o formulário pede setor e gênero, e naquele setor há uma única mulher, o próprio formulário a identificou. Pergunte, campo a campo: essa resposta entrega a pessoa?

Como responder sem expor ninguém

Se eu não posso contar o que aconteceu, como demonstro que fiz alguma coisa? Separando conteúdo de andamento: não publico a resposta ao caso, publico em que etapa ele está. Uma lista de protocolos com o status de cada um resolve: as pessoas não veem o que é, mas veem que está andando.

O mesmo vale para a CIPA: levo os casos à reunião de forma agregada, sem nome, tantos relatos de tais tipos com tais tratativas. Quando a informação oficial não existe, a informal ocupa o lugar, e a rádio-peão conta a versão dela. E entra em ata: é assim que se prova, depois, que a empresa tratou.

Os erros que transformam o canal em prova contra a empresa

1. Receber e não apurar. Registro sem desfecho documenta que a empresa soube.
2. Denúncia repetida contra a mesma pessoa sem medida. Esse é o padrão que a fiscalização e a Justiça leem como omissão, e ele fica registrado no seu próprio sistema.
3. Prometer anonimato que a ferramenta não sustenta. Caixinha, formulário rastreável, campo demográfico que reidentifica.
4. Um ouvidor só, ou reporte ao RH quando o RH pode ser parte.
5. Não registrar a apuração. Sem relato, relatório e ata, o que existiu não existe.
6. Canal que ninguém conhece. Zero denúncia não é sinal de saúde.

Perguntas frequentes sobre ouvidoria interna e canal de denúncia

Canal de denúncia é obrigatório por lei?

Para empresas obrigadas a constituir CIPA nos termos da NR-05, sim: o art. 23 da Lei 14.457/2022 e o item 1.4.1.1 da NR-1 exigem procedimento de recebimento, apuração e sanção, com anonimato garantido. Empresa sem CIPA pode implantar por iniciativa própria.

O STF suspendeu essa obrigação?

Não. A liminar na ADPF 1.316 alcançou cinco itens do capítulo 1.5 da NR-1, e só quanto a autuações e multas. O item 1.4.1.1 segue exigível, como infração de gravidade 3 na NR-28.

A denúncia precisa ser anônima?

A norma exige que o anonimato seja garantido a quem quiser usá-lo, o que inclui impedir a identificação por cruzamento de dados como setor e gênero.

Posso usar Google Forms como canal de denúncia?

Não é recomendável: o formulário gratuito é rastreável por quem tem acesso técnico, o que quebra a garantia de anonimato. Sendo a única opção, use com a ressalva declarada.

Quem deve ser o ouvidor da empresa?

Alguém com credibilidade, discrição e capacidade de conversa difícil, que conheça os procedimentos internos e a LGPD. Não existe formação obrigatória, e não pode haver um só.

Empresa pequena precisa de ouvidoria?

Se constitui CIPA, precisa do procedimento do item 1.4.1.1. Se não constitui, não é obrigada, mas o canal é a forma mais barata de produzir evidência de controle do risco psicossocial.

E se a denúncia for contra o dono da empresa?

O procedimento precisa prever, antes do primeiro caso, uma via que não passe pela pessoa apontada: recebimento fora da estrutura interna, apuração externa e decisão colegiada.

Quanto tempo a empresa tem para responder uma denúncia?

Não existe prazo fixado na NR-1. Quem define os prazos por etapa é o procedimento interno, e eles precisam estar escritos, divulgados e ser cumpridos igualmente.

Próximos passos

Se a sua empresa já tem canal, faça três perguntas antes de comprar qualquer coisa: quantas manifestações entraram nos últimos 24 meses, quantas foram apuradas com registro, e quantas geraram medida. A distância entre o primeiro número e o terceiro é o tamanho do seu risco. Se ainda não tem, comece pelos passos 1 e 2. Se quiser conversar sobre a realidade da sua empresa, me chame por aqui.

Sobre a Autora

Vanessa Custódio é Doutora em Gestão Humana e Social pela Universidade Presbiteriana Mackenzie, com mais de 20 anos de RH e de implantação de sistemas de gestão. Mentora de RHs e profissionais de SST na implementação da NR-1, ajuda empresas a transformar a gestão de riscos psicossociais em método, com cuidado e caminho executável.