Compliance em SST: Como Integrar NR-1, eSocial, LGPD e Medicina do Trabalho

Introdução

A gestão de Saúde e Segurança do Trabalho não pode mais ser tratada como um conjunto de obrigações isoladas, distribuídas entre o setor de Recursos Humanos, o SESMT, a clínica ocupacional, o departamento jurídico e a contabilidade.

Na prática, todas essas áreas lidam com informações interdependentes.

O inventário de riscos elaborado no âmbito do Programa de Gerenciamento de Riscos influencia o planejamento do Programa de Controle Médico de Saúde Ocupacional. Os exames realizados pela medicina do trabalho alimentam eventos do eSocial. Os documentos produzidos contêm dados pessoais e informações de saúde protegidas pela Lei Geral de Proteção de Dados. As evidências de treinamentos, inspeções e medidas preventivas podem ser exigidas em fiscalizações, auditorias, processos trabalhistas e ações indenizatórias.

Quando esses processos não estão integrados, surgem inconsistências, atrasos e riscos jurídicos.

Por isso, o verdadeiro compliance em SST exige uma visão sistêmica, capaz de conectar:

• NR-1 e Gerenciamento de Riscos Ocupacionais;
• Programa de Gerenciamento de Riscos;
• eSocial;
• Programa de Controle Médico de Saúde Ocupacional;
• exames e atestados ocupacionais;
• gestão de acidentes e afastamentos;
• proteção de dados pessoais;
• auditorias e evidências documentais;
• governança e tecnologia.

Mais do que cumprir formalidades, integrar essas dimensões significa demonstrar que a empresa conhece os riscos existentes, adota medidas preventivas, acompanha a saúde dos trabalhadores e mantém evidências confiáveis de suas ações.

O que significa compliance em Saúde e Segurança do Trabalho?

Compliance em SST é o conjunto de políticas, controles, responsabilidades e evidências adotados pela organização para assegurar o cumprimento das normas de segurança e saúde ocupacional.

Entretanto, estar em compliance não significa apenas possuir documentos.

Uma empresa pode manter PGR, PCMSO, laudos, certificados e registros e, ainda assim, apresentar graves falhas de conformidade.

Isso ocorre quando:

• os documentos estão desatualizados;
• os riscos registrados não correspondem à realidade;
• o PCMSO não está alinhado ao PGR;
• exames ocupacionais são realizados fora dos prazos;
• eventos são enviados incorretamente ao eSocial;
• treinamentos não possuem comprovação suficiente;
• planos de ação não são executados;
• documentos contêm informações contraditórias;
• dados de saúde são acessados por pessoas sem autorização;
• não existe rastreabilidade das alterações.

O compliance verdadeiro exige coerência entre documentos, processos e realidade operacional.

Em outras palavras, não basta declarar que a empresa controla determinado risco. É necessário demonstrar:

• que o risco foi identificado;
• que sua gravidade foi avaliada;
• que medidas de prevenção foram definidas;
• que essas medidas foram implementadas;
• que sua eficácia foi acompanhada;
• que todo o processo está documentado.

A NR-1 como base do sistema de conformidade em SST

A Norma Regulamentadora nº 1 estabelece disposições gerais e os requisitos relacionados ao Gerenciamento de Riscos Ocupacionais.

A redação atualizada da NR-1, vigente desde 26 de maio de 2026, reforça que a organização deve estruturar um processo contínuo de identificação de perigos, avaliação de riscos, adoção de medidas preventivas e acompanhamento de resultados.

Nesse contexto, dois conceitos são fundamentais:

Gerenciamento de Riscos Ocupacionais — GRO

O GRO corresponde ao processo amplo e permanente de gestão dos riscos ocupacionais.

Ele envolve:

• identificação de perigos;
• avaliação e classificação dos riscos;
• definição das medidas de prevenção;
• implementação dos controles;
• acompanhamento da eficácia;
• revisão das avaliações;
• participação dos trabalhadores;
• documentação das decisões adotadas.

Programa de Gerenciamento de Riscos — PGR

O PGR é a materialização documental do GRO.

Em linhas gerais, é composto por:

• inventário de riscos ocupacionais;
• plano de ação.

O inventário deve representar adequadamente os ambientes, processos, atividades, funções, perigos, grupos expostos e medidas de prevenção existentes.

O plano de ação deve indicar:

• providências necessárias;
• prioridades;
• responsáveis;
• prazos;
• acompanhamento;
• situação de cada medida.

Portanto, o PGR não pode ser apenas um arquivo elaborado por uma consultoria e armazenado em uma pasta.

Ele precisa funcionar como um instrumento vivo de gestão.

A integração entre PGR e PCMSO

A NR-7 estabelece diretrizes e requisitos para o desenvolvimento do Programa de Controle Médico de Saúde Ocupacional — PCMSO. O programa deve proteger e preservar a saúde dos trabalhadores em relação aos riscos ocupacionais identificados pela organização.

Isso significa que o PCMSO não deve ser elaborado de forma desconectada do PGR.

A lógica correta é:

O PGR identifica e avalia os riscos; o PCMSO define o acompanhamento médico adequado às exposições identificadas.

Se o inventário registra exposição a ruído, agentes químicos, riscos ergonômicos ou fatores psicossociais, o planejamento médico deve considerar tais informações.

Algumas inconsistências comuns são:

• risco existente no PGR, mas ignorado no PCMSO;
• exame complementar previsto sem relação com os riscos documentados;
• mudança de função sem atualização da avaliação de riscos;
• trabalhadores expostos sem monitoramento adequado;
• riscos registrados no eSocial que não aparecem no PGR;
• exames ocupacionais sem correspondência com a atividade real.

Essas divergências fragilizam a defesa da empresa e podem indicar que seus documentos foram produzidos apenas para atendimento formal.

Medicina do Trabalho e obrigações ocupacionais

A medicina ocupacional integra o sistema preventivo da organização.

Entre suas principais atividades estão:

• planejamento do PCMSO;
• realização dos exames ocupacionais;
• emissão do Atestado de Saúde Ocupacional;
• acompanhamento clínico e epidemiológico;
• identificação de alterações relacionadas ao trabalho;
• orientação sobre aptidão;
• análise de afastamentos;
• emissão de relatórios;
• apoio à prevenção de doenças ocupacionais.

Os exames ocupacionais normalmente abrangem:

• exame admissional;
• exame periódico;
• exame de retorno ao trabalho;
• exame de mudança de riscos ocupacionais;
• exame demissional.

A gestão desses exames deve observar os critérios definidos na NR-7 e no PCMSO da organização.

Um erro frequente é tratar o exame ocupacional como simples etapa administrativa de admissão ou desligamento.

Na verdade, ele integra uma cadeia de prevenção.

O médico responsável precisa receber informações confiáveis sobre:

• função do trabalhador;
• ambiente;
• atividades executadas;
• perigos identificados;
• intensidade ou concentração dos agentes;
• medidas de controle;
• histórico de exposição.

Sem essa integração, a medicina do trabalho passa a atuar com informações incompletas.

O papel do eSocial na conformidade em SST

O eSocial centraliza informações trabalhistas, previdenciárias e de Saúde e Segurança do Trabalho encaminhadas pelos empregadores ao Governo Federal.

Entre os principais eventos de SST estão:

Esses eventos aparecem nos módulos oficiais de SST do eSocial e devem ser coerentes com os registros mantidos pela organização.

S-2210 — Comunicação de Acidente de Trabalho

O evento S-2210 é utilizado para comunicar acidente do trabalho, ainda que não haja afastamento.

Seu preenchimento deve estar alinhado com:

• registro interno da ocorrência;
• investigação do acidente;
• documentos médicos;
• informações sobre local, horário e circunstâncias;
• medidas corretivas adotadas;
• emissão da CAT.

S-2220 — Monitoramento da Saúde do Trabalhador

O evento S-2220 registra informações relativas ao acompanhamento da saúde ocupacional.

Ele está relacionado, entre outros aspectos, aos exames previstos no PCMSO e ao respectivo Atestado de Saúde Ocupacional.

Deve haver consistência entre:

• tipo de exame;
• data;
• médico responsável;
• informações clínicas exigidas pelo leiaute;
• função e vínculo do trabalhador;
• registros mantidos pela clínica ocupacional.

S-2240 — Condições Ambientais do Trabalho

O evento S-2240 informa as condições ambientais e a exposição do trabalhador a agentes nocivos.

Ele precisa estar alinhado com:

• inventário de riscos;
• laudos técnicos;
• LTCAT, quando aplicável;
• função exercida;
• ambiente de trabalho;
• agentes identificados;
• medidas de proteção;
• informações utilizadas para fins previdenciários.

A documentação técnica do eSocial é atualizada periodicamente. Por isso, empresas e fornecedores de software devem acompanhar os leiautes, notas técnicas, esquemas e manuais publicados no portal oficial.

O eSocial não substitui a gestão de SST

Um equívoco comum é imaginar que o envio dos eventos ao eSocial substitui as demais obrigações.

Isso não ocorre.

O eSocial funciona como um meio de transmissão das informações. Ele não substitui:

• GRO;
• PGR;
• PCMSO;
• LTCAT;
• laudos;
• Atestados de Saúde Ocupacional;
• treinamentos;
• inspeções;
• análise ergonômica;
• investigação de acidentes;
• implementação de medidas preventivas;
• gestão documental.

A empresa pode enviar um evento corretamente e, ainda assim, estar em desconformidade se não houver suporte técnico e documental para a informação transmitida.

Por outro lado, pode possuir documentos formalmente adequados e enfrentar problemas caso os eventos não sejam enviados, sejam transmitidos fora do prazo ou contenham divergências.

O compliance exige consistência entre o que acontece, o que está documentado e o que é informado ao governo.

A LGPD aplicada à Saúde e Segurança do Trabalho

A gestão de SST envolve grande volume de dados pessoais.

Entre eles:

• nome;
• CPF;
• matrícula;
• cargo;
• função;
• lotação;
• histórico profissional;
• treinamentos;
• acidentes;
• afastamentos;
• atestados;
• exames;
• diagnósticos;
• restrições funcionais;
• informações biométricas;
• dados de saúde mental;
• respostas a questionários psicossociais.

A LGPD classifica informações relacionadas à saúde como dados pessoais sensíveis. Por essa razão, seu tratamento exige proteção reforçada.

Isso não significa que a empresa esteja impedida de tratar dados de saúde ocupacional.

A LGPD não proíbe esse tratamento, mas exige:

• fundamento jurídico adequado;
• finalidade legítima;
• necessidade;
• transparência;
• controle de acesso;
• segurança;
• prevenção;
• responsabilização;
• prestação de contas.

Consentimento nem sempre é a base adequada

Nas relações de trabalho, o consentimento pode ser problemático, porque nem sempre existe plena liberdade de escolha do empregado diante do poder diretivo do empregador.

Em muitas situações de SST, o tratamento poderá decorrer de:

• obrigação legal ou regulatória;
• exercício regular de direitos;
• proteção da vida ou da integridade física;
• tutela da saúde, observados os requisitos legais;
• cumprimento de obrigações trabalhistas e previdenciárias.

A base legal precisa ser analisada conforme cada operação de tratamento.

Princípio da necessidade

A empresa deve tratar apenas os dados necessários para determinada finalidade.

Por exemplo, o gestor operacional pode precisar saber que um trabalhador está:

• apto;
• inapto;
• apto com restrições;
• temporariamente impedido de executar determinada tarefa.

Entretanto, normalmente não precisa conhecer o diagnóstico clínico detalhado.

Essa distinção é essencial.

A informação médica deve permanecer sob acesso restrito aos profissionais e setores autorizados.

Separação entre dados médicos e informações administrativas

Uma boa prática de compliance é separar:

Informações administrativas

• realização do exame;
• data;
• tipo de exame;
• validade;
• condição de aptidão;
• restrição funcional necessária à gestão.

Informações clínicas

• diagnóstico;
• resultados detalhados;
• histórico médico;
• exames laboratoriais;
• informações sobre saúde mental;
• prontuário.

O acesso deve respeitar o princípio do menor privilégio: cada usuário visualiza apenas o que necessita para exercer sua função.

Gestão documental em SST

A gestão documental é um dos pilares do compliance.

Ela precisa assegurar:

• autenticidade;
• integridade;
• disponibilidade;
• confidencialidade;
• rastreabilidade;
• controle de versões;
• cumprimento dos prazos de guarda;
• recuperação rápida.

Entre os documentos que podem fazer parte do sistema estão:

• PGR;
• inventário de riscos;
• plano de ação;
• PCMSO;
• LTCAT;
• AET;
• laudos de insalubridade e periculosidade;
• ASOs;
• exames complementares;
• certificados de treinamentos;
• fichas de EPI;
• ordens de serviço;
• permissões de trabalho;
• relatórios de inspeção;
• registros de quase acidentes;
• investigações de acidentes;
• atas da CIPA;
• evidências de manutenção;
• documentos enviados ao eSocial;
• recibos de transmissão;
• planos de emergência.

Controle de versões

Sempre que um documento for alterado, a organização deve conseguir responder:

• Quem realizou a alteração?
• Quando a alteração ocorreu?
• Qual era a versão anterior?
• O que mudou?
• Quem aprovou?
• Por que a mudança foi realizada?
• Quais trabalhadores, setores ou processos foram afetados?

Sem controle de versões, a empresa pode apresentar documentos conflitantes durante uma fiscalização ou processo judicial.

Prazos de guarda

Os documentos de SST possuem prazos de retenção distintos, definidos por normas trabalhistas, previdenciárias, médicas e de proteção de dados.

A política documental deve considerar:

• tipo de documento;
• fundamento legal;
• prazo mínimo de guarda;
• possibilidade de litígios futuros;
• necessidade previdenciária;
• sigilo médico;
• descarte seguro;
• bloqueio de eliminação em caso de processo ou fiscalização.

Na LGPD, o término do tratamento não significa necessariamente eliminação imediata, pois a conservação pode ser necessária para cumprimento de obrigação legal ou exercício regular de direitos.

Auditorias e produção de evidências

Em uma auditoria, não basta afirmar que determinado controle existe.

É preciso comprová-lo.

Se a empresa declara que todos os trabalhadores receberam treinamento, deverá apresentar evidências como:

• conteúdo programático;
• lista de participantes;
• datas;
• carga horária;
• identificação do instrutor;
• avaliação, quando aplicável;
• certificados;
• registros de participação;
• versão do material utilizado.

Se declara que um risco foi controlado, poderá precisar demonstrar:

• avaliação inicial;
• medida adotada;
• responsável;
• data de implantação;
• evidências fotográficas ou técnicas;
• nova avaliação;
• resultado obtido;
• acompanhamento posterior.

A qualidade da evidência é tão importante quanto a existência do procedimento.

Trilha de auditoria

Uma plataforma de conformidade deve manter uma trilha de auditoria contendo:

• usuário responsável;
• data e hora;
• registro criado;
• informação modificada;
• valor anterior;
• valor atual;
• documento anexado;
• aprovação realizada;
• envio ao eSocial;
• retorno ou recibo recebido.

Isso aumenta a confiabilidade dos dados e facilita auditorias internas e externas.

Tipos de auditoria em SST

Auditoria interna

Realizada pela própria organização para avaliar:

• aderência aos procedimentos;
• atualização documental;
• cumprimento dos planos de ação;
• qualidade dos registros;
• riscos emergentes;
• integração entre setores.

Auditoria de fornecedores

Avalia clínicas, consultorias, laboratórios, empresas terceirizadas e prestadores de serviços.

Pontos relevantes incluem:

• qualificação técnica;
• segurança da informação;
• confidencialidade;
• cumprimento da LGPD;
• qualidade dos dados;
• prazos de atendimento;
• responsabilidades contratuais.

Auditoria de conformidade legal

Verifica a aderência às Normas Regulamentadoras, legislação trabalhista, previdenciária e demais exigências aplicáveis.

Auditoria de proteção de dados

Examina:

• bases legais;
• controles de acesso;
• compartilhamentos;
• contratos;
• políticas;
• medidas de segurança;
• retenção;
• descarte;
• tratamento de incidentes.

Matriz integrada de obrigações

Uma boa prática é criar uma matriz que relacione cada obrigação com seus responsáveis e evidências.

Essa matriz reduz zonas de indefinição e ajuda a evitar tarefas sem responsável.

Tecnologia como ferramenta de conformidade

A integração entre NR-1, eSocial, LGPD e medicina ocupacional é difícil de sustentar apenas com planilhas, e-mails e arquivos dispersos.

A tecnologia permite centralizar informações e automatizar controles.

Uma plataforma moderna pode oferecer:

• cadastro integrado de empresas, estabelecimentos e setores;
• mapeamento de cargos, funções e ambientes;
• gestão do inventário de riscos;
• acompanhamento de planos de ação;
• controle do PCMSO;
• gestão de exames e ASOs;
• integração com clínicas ocupacionais;
• geração e transmissão de eventos ao eSocial;
• armazenamento de recibos;
• controle de treinamentos;
• notificações de vencimentos;
• gestão de acidentes e quase acidentes;
• monitoramento de riscos psicossociais;
• controle de acesso por perfil;
• criptografia;
• logs;
• trilhas de auditoria;
• dashboards executivos;
• relatórios de conformidade.

Validações automáticas

Sistemas inteligentes podem identificar inconsistências antes que elas gerem passivos.

Exemplos:

• trabalhador sem exame admissional;
• exame periódico vencido;
• ASO incompatível com a função;
• agente informado no eSocial ausente no inventário;
• risco registrado sem plano de ação;
• mudança de função sem análise correspondente;
• evento rejeitado;
• treinamento obrigatório vencido;
• documento sem assinatura;
• clínica sem contrato atualizado;
• acesso indevido a dado sensível;
• plano de ação atrasado.

Essas validações transformam a conformidade em processo preventivo.

Dashboards de compliance

Os dashboards permitem que gestores acompanhem a situação em tempo real.

Alguns indicadores relevantes são:

Inteligência Artificial aplicada ao compliance em SST

A Inteligência Artificial pode ampliar a capacidade de análise da organização.

Entre suas aplicações estão:

• leitura e classificação de documentos;
• identificação de campos ausentes;
• comparação entre PGR, PCMSO e eSocial;
• detecção de inconsistências;
• priorização de riscos;
• análise de tendências;
• geração de alertas;
• apoio à auditoria;
• criação de relatórios;
• resposta a consultas internas;
• previsão de vencimentos e falhas;
• análise de acidentes recorrentes.

A IA não substitui a validação técnica dos profissionais responsáveis.

Ela funciona como um instrumento de apoio, aumentando produtividade e capacidade de detecção.

Responsabilidade humana e governança algorítmica

Decisões que afetem saúde, aptidão, emprego ou direitos dos trabalhadores não devem ser tomadas exclusivamente por algoritmos sem supervisão adequada.

A empresa deve assegurar:

• validação humana;
• transparência;
• critérios documentados;
• qualidade dos dados;
• possibilidade de revisão;
• prevenção de discriminação;
• segurança;
• responsabilização.

Um sistema pode sugerir que determinado setor apresenta risco elevado, mas a conclusão técnica deve ser analisada pelos profissionais competentes.

Como implantar um programa integrado de compliance em SST

1. Mapear as obrigações aplicáveis

Identificar:

• Normas Regulamentadoras;
• obrigações do eSocial;
• exigências previdenciárias;
• requisitos de medicina ocupacional;
• regras da LGPD;
• normas específicas do setor.

2. Mapear processos e responsáveis

Definir quem executa, revisa, aprova e monitora cada atividade.

3. Revisar a documentação

Avaliar atualização, consistência e aderência à realidade.

4. Integrar PGR, PCMSO e eSocial

Criar uma fonte confiável de dados para evitar divergências.

5. Implantar governança de dados

Definir bases legais, perfis de acesso, retenção, segurança e compartilhamentos.

6. Digitalizar os controles

Centralizar documentos, tarefas, prazos, evidências e indicadores.

7. Realizar auditorias periódicas

Testar processos e identificar falhas antes de fiscalizações ou acidentes.

8. Capacitar líderes e trabalhadores

Compliance depende de comportamento, e não apenas de tecnologia.

9. Monitorar indicadores

Acompanhar riscos, pendências, prazos e efetividade das medidas.

10. Melhorar continuamente

Revisar o sistema sempre que houver mudanças operacionais, acidentes, novas tecnologias ou alterações normativas.

Benefícios da integração

A Razumi como plataforma integrada de conformidade

A Razumi pode funcionar como uma plataforma central de gestão de SST, pessoas, riscos ocupacionais e conformidade.

Em um único ambiente, a organização pode integrar:

• GRO;
• PGR;
• riscos psicossociais;
• planos de ação;
• medicina ocupacional;
• treinamentos;
• documentos;
• indicadores;
• auditorias;
• privacidade;
• inteligência artificial;
• governança.

Essa integração reduz retrabalho, melhora a confiabilidade das informações e proporciona uma visão completa sobre a situação de cada empresa, estabelecimento, setor, função e trabalhador.

Conclusão

Integrar NR-1, eSocial, LGPD e medicina do trabalho deixou de ser uma opção de modernização. Tornou-se uma necessidade para empresas que desejam reduzir acidentes, proteger pessoas, evitar passivos e demonstrar conformidade.

A NR-1 exige um processo efetivo de gerenciamento de riscos. A NR-7 conecta esses riscos ao acompanhamento da saúde ocupacional. O eSocial transmite informações ao ambiente governamental. A LGPD estabelece limites e responsabilidades para o tratamento de dados pessoais e sensíveis.

Esses elementos formam um único ecossistema.

Quando são administrados de maneira fragmentada, aumentam as chances de divergências, atrasos, vazamentos, autuações e dificuldades de defesa.

Quando são integrados, transformam-se em instrumentos de governança, prevenção e eficiência.

A tecnologia desempenha papel decisivo nessa transformação. Plataformas inteligentes permitem centralizar dados, automatizar controles, gerar evidências, acompanhar obrigações e apoiar decisões.

No entanto, o sucesso depende da combinação de três elementos:

processos bem definidos, profissionais capacitados e tecnologia confiável.

O objetivo final do compliance em SST não é apenas demonstrar que a empresa possui documentos.

É comprovar, de forma contínua e auditável, que ela identifica riscos, protege seus trabalhadores, respeita a privacidade e toma decisões responsáveis.

Continue acompanhando nossos conteúdos

Quer saber mais sobre NR-1, GRO, PGR, riscos psicossociais, eSocial, LGPD, medicina ocupacional e transformação digital em SST?

Acesse a Razumi e confira outros artigos e conteúdos especializados:

Ver mais artigos e conteúdos na Razumi