Todo conselho de administração já ouviu, em algum momento, a mesma frase incômoda: "os números estão bons, mas alguma coisa não fecha". É o sintoma clássico de uma governança que mede muito e enxerga pouco. Relatórios cheios de indicadores, dashboards coloridos, KPIs em cascata, e ainda assim decisões tomadas no escuro, sem uma real compreensão de causa e efeito entre o que a organização faz e o que ela realmente entrega às partes interessadas.
A publicação da Associação Brasileira de Normas Técnicas ABNT NBR ISO 37005:2026, chega exatamente para endereçar um ponto cego. Não se trata de mais um conjunto de métricas para inflar relatórios de sustentabilidade. Trata-se de um método para que o órgão de governança escolha, entre as opções disponíveis, aquela que de fato contribui para o propósito organizacional, com o nível de certeza necessário para uma decisão responsável.
Para quem atua em ESG, SGI, QSMS, GRC e compliance, este é o momento de sair da posição de quem "produz relatório" para a posição de quem estrutura a informação que o conselho usa para decidir. Este artigo explica o que a norma estabelece, o que ela exige na prática e por que esse é um dos temas mais estratégicos que um board pode discutir em 2026.
A ABNT NBR ISO 37005:2026, primeira edição, foi publicada em 16 de junho de 2026, com projeto submetido à Consulta Nacional entre 29 de abril e 28 de maio de 2026. Ela é uma adoção idêntica, em conteúdo técnico, estrutura e redação, da ISO 37005:2024, elaborada pelo comitê técnico ISO/TC 309, o mesmo responsável pela ISO 37000, a norma internacional de referência sobre governança de organizações.
O escopo oficial, conforme o texto da própria norma, é fornecer orientação aos órgãos de governança sobre como abordar o desenvolvimento e o uso de indicadores em suas atividades de governança. O documento não é dirigido apenas a especialistas técnicos: ele é elaborado para ser relevante a uma gama de outras partes interessadas internas e externas à organização, ajudando a melhorar a qualidade das informações sobre as quais avaliam e tomam decisões relativas à governança da organização.
Um ponto importante, muitas vezes mal compreendido quando a norma é comentada de forma superficial: a ISO 37005 não define indicadores de governança eficaz. Ela define como desenvolver e usar indicadores, qualquer que seja o tema de governança em análise. É uma norma de método, não de conteúdo pronto. Isso significa que ela não entrega uma lista de KPIs para copiar e colar, e sim uma estrutura de raciocínio para que cada organização construa os indicadores que fazem sentido para o seu propósito, seu contexto e seu apetite a risco.
A norma se aplica a todas as organizações, independentemente de tipo, porte, localização, estrutura ou propósito, e tem como pré-requisito a ABNT NBR ISO 37000:2022, que estabelece os onze princípios de governança organizacional aos quais a ISO 37005 se conecta diretamente.
Existe uma tendência clara: conselhos brasileiros estão relatando menos confiança na qualidade da informação que embasa suas decisões, especialmente em temas de risco ambiental e tecnologia. A segunda edição da pesquisa Perspectiva dos Conselheiros e Executivos, do Instituto Brasileiro de Governança Corporativa (IBGC), lançada em fevereiro de 2026 com 349 respostas de conselheiros, consultivos e membros de diretoria, mostrou que os próprios respondentes se consideram menos preparados para discutir desastres ambientais, mudanças climáticas e o avanço da inteligência artificial, mesmo com a perspectiva geral de ambiente de negócios sendo majoritariamente neutra a boa. Entre as prioridades de investimento para os próximos 12 a 18 meses apontadas pelos administradores estão expansão de mercado, capital humano e inteligência artificial.
Esse dado é revelador. Ele mostra que o problema não é falta de dado, é falta de indicador adequado para os temas que mais geram incerteza no board. E incerteza, segundo a própria estrutura conceitual usada pela ISO 37005, é a fonte-raiz do risco: qualquer tipo de deficiência de informação que seja importante em relação aos objetivos organizacionais.
Há também um componente de custo evitável. Dados da Controladoria-Geral da União (CGU) indicam que empresas com programas de integridade efetivamente estruturados e monitorados conseguem, em média, uma redução de aproximadamente 39% no valor de multas aplicadas em processos de responsabilização administrativa. Essa redução não vem de sorte: vem da capacidade de a organização demonstrar, com indicadores adequados, que sua estrutura de governança funcionou, mesmo diante de uma falha pontual. É exatamente o tipo de "asseguração" que a ISO 37005 trata na seção sobre características de um indicador.
Some-se a isso o Código Brasileiro de Governança Corporativa - Companhias Abertas, elaborado pelo GT Interagentes sob coordenação do IBGC com a participação de entidades como B3, CVM, ABRASCA e IBRI, que já orienta avaliação periódica do conselho e de seus conselheiros, com base no princípio de que a governança deve ser mensurável, auditável e comparável ao longo do tempo. A ISO 37005 fornece justamente a metodologia que faltava para operacionalizar essa exigência com rigor técnico.
Para o profissional de ESG, SGI, QSMS e compliance, a leitura estratégica é direta: o conselho está sob pressão para tomar decisões mais bem informadas em temas exatamente do domínio desses profissionais (risco ambiental, integridade, dados, tecnologia), mas sem uma metodologia clara de indicadores. Quem levar essa metodologia para dentro da organização primeiro se torna, na prática, o intérprete de confiança do board.
A ISO 37005 organiza toda a discussão de indicadores em torno de uma cadeia de causalidade que a norma chama de teoria da mudança. Ela é simples de entender, mas poderosa quando aplicada com disciplina.
A lógica segue esta sequência: entradas (os recursos que a organização compromete, incluindo capital natural, social, humano e financeiro) alimentam atividades; atividades geram saídas, que são a medida direta do que foi produzido; saídas provocam mudanças nos resultados organizacionais, que são os aspectos que efetivamente têm potencial de mudar em função de uma decisão do órgão de governança; e a mudança nesses resultados é o que a norma define tecnicamente como impacto.
A norma é explícita ao afirmar que uma atividade pode levar a múltiplos resultados organizacionais, que não há lista definitiva de resultados possíveis e que mudanças em um resultado organizacional frequentemente provocam mudanças em outros, formando uma cadeia não linear, com efeitos de retroalimentação. Por isso a ISO 37005 recomenda que a organização trabalhe com duas perspectivas simultâneas: partindo do propósito organizacional em direção aos impactos esperados (de trás para frente), e partindo das entradas e dependências em direção às atividades (de frente para trás), buscando coerência entre as duas leituras.
Essa distinção resolve um erro extremamente comum, e caro, em relatórios de ESG e compliance: usar indicador de saída (quanto foi feito) quando a decisão exige indicador de impacto (quanto efetivamente mudou). A norma traz um exemplo direto, adaptado aqui para o contexto de gestão de fornecedores e capacitação: um programa de treinamento pode capacitar 20 pessoas em uma opção e 15 em outra; se apenas 10 da primeira turma realmente adquirem a competência, contra 15 da segunda, a opção 2 é objetivamente superior, mas uma decisão baseada apenas no número de treinados (saída) escolheria, de forma equivocada, a opção 1. Esse é exatamente o tipo de armadilha que áreas de SGI e gestão de fornecedores enfrentam ao medir eficácia de capacitação, auditoria ou plano de ação.
A ISO 37005 propõe uma estrutura mínima e replicável para qualquer indicador: uma quantidade DE uma qualidade ou atributo, seguida de POR ou POR MEIO DE um contexto (social, ambiental ou econômico) e/ou de uma dimensão de responsabilização (decisão do órgão de governança, ação organizacional, expectativa das partes interessadas). O exemplo dado pela própria norma é elucidativo: custo de aquisição de clientes por segmento de mercado por canal de cliente. A lógica é idêntica para qualquer indicador de compliance, SGI ou ESG: por exemplo, número de não conformidades críticas por unidade operacional por trimestre, ou percentual de fornecedores críticos reavaliados por categoria de risco por ciclo de auditoria.
O ponto central é que todo indicador carrega, embutido, algum grau de incerteza, e essa incerteza é, ela própria, um risco a ser gerenciado. A norma reforça que essa incerteza muda à medida que novos dados se tornam disponíveis, o que justifica revisão periódica dos indicadores, não apenas dos resultados que eles medem.
A norma classifica indicadores em duas grandes famílias, com implicações práticas diretas para quem estrutura sistemas de gestão.
Indicadores de entrada e de meios medem os recursos dos quais a organização depende, independentemente de como foram obtidos, incluindo recursos tradicionalmente invisíveis em relatórios financeiros, como biodiversidade e trabalho não remunerado ao longo da cadeia de suprimentos. Na prática de SGI, isso equivale a indicadores de recursos alocados a aspectos ambientais, horas de capacitação disponibilizadas, ou orçamento de compliance por área de risco.
Indicadores de atividade e de saída medem o que foi efetivamente feito, de forma qualitativa ou quantitativa. Correspondem, por exemplo, a número de auditorias realizadas, políticas publicadas, treinamentos concluídos, ou não conformidades registradas em um período.
Indicadores de impacto e finais medem resultados organizacionais, incluindo resultados de bem-estar, e a avaliação de impacto propriamente dita, ou seja, a medição da importância relativa desses impactos. Aqui entram, por exemplo, a redução real de acidentes de trabalho atribuível a uma mudança de processo, ou a queda mensurável no tempo de resposta a incidentes de segurança da informação após uma reestruturação de governança de dados.
A norma detalha ainda, na Tabela 1 do documento, sete tipos de informação necessários quando o objetivo é efetivamente medir impacto: partes interessadas e suas características; linha de base, limite de resultado organizacional, mudança e duração; limiares e alocações; causalidade e atribuição; avaliação da importância relativa; e apetite e tolerância ao risco. Ignorar qualquer uma dessas dimensões, alerta a norma, aumenta a chance de uma decisão aquém do ideal ser tomada, mesmo quando os dados coletados estão tecnicamente corretos.
Há também a distinção entre indicadores objetivos, confirmáveis por referência a uma fonte independente (dados ambientais e econômicos, por exemplo), e indicadores subjetivos, voltados à medição de percepções, como confiança ou satisfação relatada por uma parte interessada. A norma recomenda combinar os dois tipos para reduzir incerteza e aumentar a confiança de que a mudança medida é real.
Um dos trechos mais úteis da ISO 37005 para quem trabalha na linha de frente de ESG, SGI e compliance é a lista de consequências não intencionais decorrentes da má seleção e uso de indicadores. A norma cita explicitamente a Lei de Goodhart: quando uma medida se torna uma meta, ela deixa de ser uma boa medida, porque o desempenho passa a ser perseguido independentemente das consequências reais. Isso explica fenômenos que profissionais de compliance reconhecem imediatamente: colaboradores que "fecham" checklists de auditoria sem de fato mitigar o risco subjacente, ou metas de treinamento cumpridas com presença registrada, mas sem retenção real de conteúdo.
A norma também alerta para o foco excessivo em indicadores já existentes, sem abertura para mudança quando necessário; a medição de algo que pode ser medido no lugar do que precisa ser medido; a chamada "medição de jogos" (gaming), em que o indicador é manipulado para parecer favorável; e a falta de consideração de informação contextual junto à medição. Por fim, e este é um lembrete valioso para qualquer relatório de sustentabilidade ou dashboard de compliance: um indicador é apenas um indicador, e precisa ser interpretado, nunca lido de forma isolada e literal.
Outro risco estrutural apontado pela norma é a falta de responsabilização: quando quem sofre as consequências de uma decisão não consegue responsabilizar a organização, ou só consegue com muita dificuldade, cresce a chance de que a organização simplesmente não meça essas consequências. Isso tem implicação direta para áreas de ESG que lidam com impactos em comunidades vulneráveis, cadeias de fornecedores em geografias de menor governança, ou públicos com pouco poder de barganha frente à empresa.
Há ainda o risco de não alinhamento entre propósito e sustentabilidade, quando os impactos decorrentes de como a organização opera (os meios) destoam dos impactos decorrentes do propósito que ela busca (os fins). A norma reconhece que a busca por um propósito com consequências que prejudiquem os princípios da ISO 37000 não seria responsável nem viável, uma frase que resume bem por que ESG deixou de ser apenas discurso institucional para se tornar critério de governança de risco.
A contribuição mais estratégica da ISO 37005 talvez seja a Tabela 2 do documento, que conecta cada um dos onze princípios da ABNT NBR ISO 37000:2022 a um conjunto específico de decisões e ao tipo de indicador recomendado. A norma agrupa os onze princípios em três blocos de raciocínio, muito úteis para organizar a pauta de um comitê de auditoria ou de um comitê de riscos:
Essa tabela funciona, na prática, como uma matriz de priorização para qualquer área de GRC que precise decidir onde investir esforço de mensuração primeiro: ela mostra exatamente qual tipo de indicador o board precisa para cada decisão de governança, evitando o esforço disperso de medir tudo um pouco e não sustentar nenhuma decisão de fato.
A leitura da norma é clara, mas a aplicação prática exige disciplina. Aqui está um roteiro direto para quem lidera ou apoia a estrutura de indicadores dentro da organização.
1. Faça a avaliação de materialidade antes de escolher qualquer indicador. A norma é explícita: a avaliação da materialidade é uma etapa crítica que precede a seleção de indicadores, e a informação que é material depende do propósito organizacional e é, em última instância, um julgamento que pode mudar ao longo do tempo. Sem esse passo, qualquer indicador escolhido corre o risco de medir o irrelevante com muita precisão.
2. Audite seus indicadores atuais pela pergunta certa: eles medem saída ou impacto? Revise seus relatórios de SGI, ESG e compliance e classifique cada indicador como entrada, saída ou impacto. Se a maior parte dos indicadores usados para decisões estratégicas forem indicadores de saída, há um risco real de decisão aquém do ideal, especialmente em temas onde diferentes opções produzem resultados organizacionais distintos.
3. Adote a estrutura "quantidade DE qualidade POR contexto/responsabilização" para redesenhar seus KPIs.Em vez de indicadores genéricos como "número de treinamentos realizados", use a estrutura da norma para chegar a algo acionável, como "percentual de colaboradores de áreas de alto risco que atingiram nota mínima de proficiência em compliance por unidade de negócio por semestre".
4. Monte, mesmo que de forma simplificada, sua cadeia de valor (Figura 2 e Figura 4 da norma). Desenhe, para cada objetivo estratégico de ESG, SGI ou compliance, o caminho de entradas até impacto, identificando onde estão os pontos de retroalimentação e onde a organização está medindo apenas o meio do caminho.
5. Combine indicadores objetivos e subjetivos deliberadamente. Em temas como cultura de integridade, clima de segurança psicológica ou percepção de justiça em processos de compliance, um indicador puramente objetivo (número de denúncias recebidas, por exemplo) pode mascarar um problema real de subnotificação. Complementar com indicadores subjetivos, como pesquisas de percepção, reduz esse ponto cego, conforme recomenda a norma.
6. Estabeleça, junto ao órgão de governança, o nível de asseguração exigido para cada indicador. A norma recomenda que, acima de um determinado nível de relevância definido pelo conselho, seja exigida avaliação independente e imparcial dos indicadores. Isso é especialmente relevante para dados usados em relatórios públicos de ESG e para indicadores que sustentam decisões de risco material.
7. Blinde-se contra a Lei de Goodhart institucionalizando revisão crítica periódica. Nunca transforme um indicador em meta permanente sem revisão. Estabeleça ciclos formais (trimestrais ou semestrais) para perguntar: este indicador ainda mede o que precisamos medir, ou já virou apenas um número a ser perseguido?
8. Reduza o volume de indicadores no board, sem perder profundidade operacional. A norma recomenda desenvolver um processo de agregação que mantenha o detalhe subjacente disponível quando necessário, mas que leve ao conselho apenas o que é material para decisões de propósito, estratégia e geração de valor. Excesso de indicadores no relatório do board não é rigor, é ruído.
9. Trate a incerteza como um dado a ser comunicado, não escondido. Sempre que um indicador for apresentado ao conselho, comunique também o grau de confiança da medição e as limitações metodológicas. Isso é parte da responsabilização, e é o que diferencia um relatório de compliance maduro de um relatório meramente decorativo.
10. Prepare-se para o próximo ciclo de conselhos mais exigentes. A pesquisa do IBGC mostrou conselheiros menos confortáveis com risco ambiental e tecnológico. Isso é uma oportunidade concreta: o profissional de ESG, SGI e compliance que chegar ao board com indicadores estruturados segundo a lógica da ISO 37005, e não apenas com dashboards genéricos, se posiciona como a referência técnica que falta na sala.
É tentador tratar indicadores como assunto de bastidor, um detalhe técnico de relatório. A ISO 37005 desmonta essa visão ao afirmar, já na sua introdução, que os resultados organizacionais da governança dependem das decisões tomadas pelos órgãos de governança, das informações usadas para apoiar essas decisões e da execução dessas decisões. Em outras palavras: a qualidade da decisão do conselho é, no limite, refém da qualidade do indicador que chega até ele.
Isso reposiciona completamente o papel do profissional de ESG, SGI, QSMS e compliance dentro da organização. Ele deixa de ser o responsável por "cumprir a norma" e passa a ser o arquiteto da informação que sustenta a estratégia. Quando uma área de compliance apresenta ao conselho não apenas o número de não conformidades, mas uma avaliação de impacto que mostra como a mudança em um processo de gestão de fornecedores reduziu risco de multa, aumentou retenção de contratos críticos e melhorou o tempo de resposta a incidentes, ela deixa de ser vista como centro de custo e passa a ser vista como geradora de vantagem competitiva.
O mesmo vale para ESG: relatórios de sustentabilidade que apresentam apenas indicadores de saída (quantidade de iniciativas realizadas) competem por atenção com dezenas de outros relatórios semelhantes no mercado. Relatórios que apresentam avaliação de impacto, com linha de base, limiar e evidência de causalidade, na estrutura recomendada pela ISO 37005, se diferenciam e sustentam decisões de investidores, financiadores e parceiros comerciais que hoje exigem rigor equivalente ao de uma demonstração financeira.
Essa é, no fundo, a virada de protagonismo que este momento regulatório oferece. O profissional de QSMS, SGI, ESG e compliance que domina a lógica de indicadores da ISO 37005 não está apenas evitando multa ou apagando incêndio: está gerando a informação que orienta escolha estratégica, reduz risco de decisão aquém do ideal e cria valor competitivo mensurável para a organização. Esse é o papel de protagonista que a alta administração espera, e que poucas áreas de compliance ainda entregam de fato.
Estruturar indicadores segundo a lógica de entrada, atividade, saída e impacto, com materialidade, asseguração e conexão direta aos onze princípios da ISO 37000, não é um exercício pontual de planilha. É um processo contínuo de governança de dados, que exige rastreabilidade, atualização constante frente a mudanças regulatórias e conexão entre módulos que, na maioria das empresas, ainda vivem isolados em áreas diferentes.
É exatamente esse o papel da plataforma Greenlegis. Os sistemas de Requisitos Legais (Conformidade Legal), Gestão de Riscos e Oportunidades, Metas ESG, Compromissos Corporativos, Desvios e Ocorrências e Planos de Ação foram desenhados para que cada evidência de compliance, cada não conformidade e cada meta ambiental, social e de governança gere, automaticamente, o rastro de dado necessário para compor indicadores de entrada, saída e impacto, sem depender de coleta manual dispersa em e-mails e planilhas.
O sistema de Gestão de Mudanças, por exemplo, permite associar cada alteração normativa ou operacional a um conjunto de indicadores de acompanhamento, exatamente na lógica de cadeia de valor descrita pela ISO 37005: uma mudança de processo (atividade) gera uma saída mensurável, que por sua vez é acompanhada até o resultado organizacional esperado. A plataforma de Gestão de Fornecedores permite medir não apenas quantos fornecedores foram avaliados (saída), mas a evolução real do risco na cadeia de suprimentos ao longo do tempo (impacto), com histórico auditável para fins de asseguração.
Para o conselho, isso significa relatórios de compliance, SGI e ESG que já nascem estruturados na lógica que a própria norma recomenda, prontos para sustentar decisões de propósito, estratégia e geração de valor, com o nível de rastreabilidade que investidores, reguladores e auditorias independentes hoje exigem. Para o profissional de ESG, SGI, QSMS e compliance, isso significa menos tempo compilando planilhas e mais tempo interpretando dado, exercendo justamente o papel estratégico que a ISO 37005 e o próprio conselho estão pedindo.
Se sua organização está revisando sua estrutura de indicadores de governança, avaliando aderência à ABNT NBR ISO 37005:2026 ou simplesmente buscando transformar compliance, SGI e ESG em vantagem competitiva mensurável perante o board, a Greenlegis é a parceira que reúne, em uma única plataforma, a tecnologia e o conhecimento regulatório necessários para essa transição. Agende uma demonstração e veja como transformar dado disperso em indicador de decisão.
O que é a ABNT NBR ISO 37005:2026? É a norma brasileira, adoção idêntica da ISO 37005:2024, que orienta órgãos de governança sobre como desenvolver e usar indicadores em suas atividades de governança. Foi publicada em 16 de junho de 2026 pela ABNT, com base no trabalho do comitê técnico ISO/TC 309, o mesmo responsável pela ISO 37000.
A ISO 37005 substitui a ISO 37000? Não. A ISO 37005 depende da ABNT NBR ISO 37000:2022 como referência normativa e se conecta diretamente aos onze princípios de governança nela definidos. A ISO 37000 estabelece os princípios de governança; a ISO 37005 orienta como medir se e como esses princípios estão sendo colocados em prática, por meio de indicadores.
Qual a diferença entre indicador de saída e indicador de impacto? Indicador de saída mede o que foi feito, como número de treinamentos realizados ou auditorias concluídas. Indicador de impacto mede a mudança real em um resultado organizacional decorrente dessas atividades, como a redução comprovada de não conformidades atribuível a uma mudança de processo. A norma alerta que usar apenas indicadores de saída para decisões que exigem informação de impacto aumenta o risco de escolhas aquém do ideal.
A ISO 37005 é obrigatória? Não. Como a maioria dos documentos técnicos da ABNT e das normas ISO, a ISO 37005 é voluntária e não substitui leis, decretos ou regulamentos, que têm precedência sobre qualquer documento técnico ABNT. Ainda assim, ela pode ser referenciada em regulamentos técnicos e é cada vez mais usada como referência de mercado por investidores, auditores e conselhos.
Por que o conselho deveria se importar com isso, e não só a área de compliance? Porque a qualidade da decisão do órgão de governança depende diretamente da qualidade da informação usada para decidir. A pesquisa do IBGC de 2025 mostrou que conselheiros brasileiros se sentem menos preparados para temas como risco ambiental e tecnológico, exatamente onde indicadores mal estruturados mais prejudicam a tomada de decisão.
Como a Greenlegis ajuda a aplicar a ISO 37005 na prática? A plataforma Greenlegis estrutura, em módulos integrados de Requisitos Legais, Gestão de Riscos e Oportunidades, Metas ESG, Gestão de Fornecedores e Gestão de Mudanças, o rastro de dados necessário para compor indicadores de entrada, saída e impacto com rastreabilidade e nível de asseguração adequado para apresentação ao conselho.
Helane Rezende - OAB: 205.951(Consultora Jurídica – GreenLegis Sustentabilidade)