Desde 26 de maio de 2026, um programa de gerenciamento de riscos sem canal de denúncias anônimo deixou de ser falha de compliance e virou motivo de autuação. Foi nessa data que a Portaria MTE nº 765/2025 encerrou o período orientativo da fiscalização da NR-1. Na prática, isso significa que um Auditor-Fiscal do Trabalho pode multar em até R$ 6.708,08 por infração a empresa que ainda resolve denúncia de assédio com e-mail institucional ou caixa de sugestões. Este artigo separa o que a norma realmente exige do que já não sustenta mais uma fiscalização, e mostra como montar um canal que alimenta o PGR com dado de verdade.
O que é a NR-1?
A NR-1 é a Norma Regulamentadora nº 1 do Ministério do Trabalho e Emprego, e funciona como a base de todas as demais NRs. É ela que define os termos, os campos de aplicação e a estrutura comum de segurança e saúde no trabalho no Brasil. Na prática, ela obriga as empresas a manter um Gerenciamento de Riscos Ocupacionais (GRO) e um Programa de Gerenciamento de Riscos (PGR) como um processo contínuo de identificar perigos, avaliar riscos e implementar medidas de prevenção.
É importante destacar que a NR-1 não trata de assédio ou canal de denúncia por si só. Esse elo vem de uma atualização recente, que conectou a norma a um problema que antes ficava fora do radar da segurança do trabalho, os riscos psicossociais.
O que diz a NR-1 e quando ela entrou em vigor?
A obrigação de incluir riscos psicossociais no PGR veio com a Portaria MTE nº 1.419/2024, que atualizou o texto da NR-1. Antes dessa mudança, o PGR olhava quase só para riscos físicos, químicos, biológicos e ergonômicos. Depois dela, passou a exigir também a avaliação de fatores ligados à organização do trabalho, ao clima organizacional e à integridade psíquica dos colaboradores.
O ponto que muda o jogo para 2026 é outro: a Portaria MTE nº 765/2025 fixou 26 de maio de 2026 como o fim do período estritamente orientativo da fiscalização. Até essa data, um auditor-fiscal que encontrasse uma empresa fora de conformidade notificava e orientava. A partir dela, a autuação é direta. Um PGR sem canal de denúncias anônimo e funcional alimentando o inventário de riscos psicossociais passa a ser tratado pela fiscalização como um documento vazio e formalmente inválido.
Vale separar isso de outra data que já passou: o prazo para adequação à Lei nº 14.457/2022 (o Programa Emprega + Mulheres, que trouxe a obrigatoriedade do canal de denúncias em si) venceu em 22 de março de 2023. Ou seja, a obrigação legal do canal já existe há mais de três anos, o que muda agora é o rigor da fiscalização sobre ela.
O que são considerados riscos psicossociais para a NR-1?
Riscos psicossociais são fatores ligados à forma como o trabalho é organizado e vivido, não ao ambiente físico. O PGR precisa mapear, no mínimo, cinco categorias: assédio moral, assédio sexual, discriminação, sobrecarga de trabalho e violência organizacional.
Diferente de um risco ergonômico, que dá para medir com trena e cronômetro, um risco psicossocial só aparece de forma consistente através de relatos. Isso torna o canal de denúncias, na prática, a principal fonte de dado primário para esse inventário. Sem relatos estruturados chegando de forma contínua, a empresa está tentando preencher uma matriz de risco com um campo em branco.
Como implantar a NR-1 na minha empresa?
A implantação segue cinco etapas que dependem umas das outras. Pular uma enfraquece as seguintes.
Primeiro, atualize o código de conduta interno, com definições claras do que configura assédio moral, assédio sexual, discriminação e intimidação, ilustradas com exemplos da rotina de trabalho e as sanções aplicáveis. Segundo, escolha uma arquitetura tecnológica independente do RH e da diretoria: o canal precisa garantir anonimato absoluto e estar disponível por múltiplos pontos de contato, em conformidade com a LGPD. Terceiro, estruture um protocolo de apuração, com um comitê multidisciplinar (Compliance, Jurídico, RH) responsável pela triagem, investigação e encerramento de cada caso, com prazos definidos e direito ao contraditório para os investigados.
Quarto, o ponto que a maioria das empresas erra: integre os dados agregados e anonimizados do canal à CIPAA e ao PGR, transformando o volume de relatos em indicador objetivo de risco psicossocial, não em um arquivo isolado que ninguém cruza com o resto da gestão de segurança. Quinto, mantenha a capacitação contínua: a Lei nº 14.457/2022 exige, no mínimo a cada 12 meses, treinamentos sobre assédio, diversidade e funcionamento do canal, com a participação obrigatória de gestores e executivos.
Na prática, essa segunda etapa, a arquitetura tecnológica, costuma ser onde os projetos travam, porque poucas equipes internas têm capacidade de garantir anonimato técnico de verdade. É aí que entra um canal como o do Acelerato, pensado especificamente para separar quem denuncia de qualquer rastro de identidade.
Por que o canal precisa ser anônimo?
Porque sem anonimato técnico, ninguém denuncia. E sem denúncia, o PGR fica sem dado. Um colaborador que presencia ou sofre assédio teme a retaliação: demissão disfarçada, isolamento da equipe, corte de acesso a promoções, etc. Uma caixa de sugestões física ou um e-mail institucional gerido pelo próprio RH não resolve esse medo, porque a rastreabilidade, ainda que informal, permanece possível.
O canal de denúncia do Acelerato, por exemplo, foi desenhado para eliminar essa rastreabilidade na origem. A denúncia não exige login nem identificação, o sistema não coleta IP nem qualquer dado que aponte para quem enviou o relato, e todo tópico criado pelo canal aparece internamente sob um usuário sistêmico genérico, não sob o nome de ninguém. O denunciante recebe um token de seis caracteres gerado no momento do envio, e é esse token, sozinho, que dá acesso ao acompanhamento do caso depois. Se ele se perder, a denúncia não pode ser recuperada, porque não existe outro vínculo com a identidade da pessoa para recuperar. Cinco tentativas erradas de token bloqueiam o IP por 15 minutos, o que impede tentativas de força bruta para descobrir denúncias de terceiros.
Do lado interno, o controle de acesso funciona na direção oposta do que a maioria espera. O Account Owner da conta, geralmente quem está mais perto da liderança, não enxerga as denúncias por padrão. Só quem é adicionado explicitamente como Participante do fórum de Compliance consegue abrir os tópicos, o que impede que a denúncia vaze justamente para quem ela pode estar denunciando.
Quais os benefícios da NR-1 para as empresas?
O primeiro benefício é evitar a multa. As autuações dos Auditores-Fiscais do Trabalho podem chegar a R$ 6.708,08 por infração individualizada, e esse valor se multiplica pelo número de trabalhadores afetados ou por reincidência. Some a isso o risco de Ações Civis Públicas movidas pelo Ministério Público do Trabalho, reclamações trabalhistas por rescisão indireta (Artigo 483 da CLT) e indenizações por dano moral coletivo, que em casos mais graves comprometem a estabilidade financeira da empresa.
Fora da esfera jurídica, a falta de conformidade custa contrato: perda de certidões negativas, bloqueio para participar de licitações públicas e ruptura de acordos comerciais com grandes corporações que exigem padrões ESG dos fornecedores. Um canal de denúncia funcional, por outro lado, vira ativo de reputação em negociações com parceiros que fazem due diligence de compliance antes de fechar contrato.
Quais os benefícios da NR-1 para os colaboradores?
Para quem trabalha na empresa, o ganho é mais direto: segurança psicológica real, não discurso institucional. Um canal que garante anonimato técnico muda o comportamento das pessoas: práticas abusivas deixam de ser toleradas em silêncio porque existe um caminho seguro para reportar. Isso se traduz em números concretos de saúde ocupacional: menos afastamentos por burnout, ansiedade e depressão, e um clima organizacional onde a rotatividade cai porque as pessoas não precisam escolher entre denunciar um problema e proteger o próprio emprego por medo de demissão.
Quem pode implementar a NR-1?
Tecnicamente, qualquer empresa pode e deveria ter um canal de denúncias, independentemente do porte. Mas a obrigatoriedade legal está atrelada à constituição da CIPAA (Comissão Interna de Prevenção de Acidentes e de Assédio), conforme a NR-5. O critério cruza o Grau de Risco da CNAE da empresa com o número de empregados por estabelecimento. Na maioria dos setores comerciais e de serviços, a comissão paritária completa passa a ser obrigatória a partir de 20 empregados. Entenda melhor na tabela abaixo:
| Grau de Risco (NR-4) | Nível de risco | CIPAA obrigatória a partir de | Exemplos de atividade |
|---|---|---|---|
| 1 | Baixo | 81 empregados por estabelecimento | Serviços administrativos, escritórios, tecnologia |
| 2 | Moderado | 51 empregados por estabelecimento | Comércio varejista de alimentos, incluindo supermercados (CNAE 4711-3/02) |
| 3 | Alto | 20 empregados por estabelecimento | Construção leve, indústria de transformação |
| 4 | Muito alto | 20 empregados por estabelecimento | Atividades industriais de maior periculosidade |
Empresas menores, que não atingem esse patamar, ainda precisam nomear um “Designado de CIPA”: um único funcionário responsável por cumprir os objetivos da norma. Mas atenção: o texto da Lei nº 14.457/2022 e as diretrizes do MTE tornam o canal de denúncias obrigatório para toda organização que tenha CIPAA constituída, o que na prática cobre a maior parte das empresas de médio e grande porte.
Um formulário interno administrado pelo RH ou pela diretoria não atende à exigência de anonimato absoluto, porque mantém algum grau de rastreabilidade de IP, de login ou de quem tem acesso ao servidor. A recomendação técnica é uma plataforma independente, acessível sem autenticação, com criptografia e conformidade com a LGPD.
No modelo usado pelo Acelerato, o token não pode ser recuperado, porque o sistema não armazena nenhuma identidade vinculada a ele. Recuperar o código exigiria guardar exatamente o dado que a anonimização é feita para eliminar.
Depois que o moderador encerra o tópico, os dados são retidos por 5 anos, prazo legal padrão, com acesso restrito a leitura durante esse período.
Não por padrão. Apenas usuários adicionados explicitamente como Participantes do fórum de Compliance visualizam os tópicos. O Account Owner precisa ser incluído manualmente nessa lista, assim como qualquer outro investigador interno.
A partir de 26 de maio de 2026, conforme a Portaria MTE nº 765/2025. Até essa data, o caráter da fiscalização era pedagógico.
