Exigir que exista certificação de terceiro sobre a efetividade de um programa de integridade para aplicação das atenuantes da Lei 12.846/13 é inadequado. Isso criaria uma "indústria" da certificação, que muito provavelmente não asseguraria a ausência de corrupção. Não há necessidade de lei para esse aspecto. A CGU já definiu de forma bastante clara os critérios para um programa efetivo. E comprovar que foram seguidos deveria ser suficiente.
A certificação é o caminho mais inteligente, mas precisa ser por meio de um órgão independente e credenciado, além de deve haver uma norma de referência para instruir o auditor, sobre o significado de um Mecanismo de Integridade efetivo.
Autodeclaração não funciona, a menos que haja um sistema de punição severo para quem "atestar algo inverídico". Além disso, a certificação deveria ser pré-requisito para a empresa pedir atenuação das penalidades previstas na 12.846/13. Aí sim, a CGU deveria entrar em cena para: a) verificar se a certificação já existia no momento do ilícito; b) se ela é fiel às práticas da empresa; c) se, nesse momento, o certificado mantém-se válido. Somente com "sim" nos 3 itens, a atenuação pode ser calculada
Incentiva a instalação de um sistema de compliance nas empresas, mas será que seria, de fato, efetivo?  Não seria justo uma empresa  que tenha realmente um sistema de integridade ter o mesmo atenuante de uma empresa que finge ter.   
O certificado tem que ser emitido por organizações independentes, que sejam especialistas na área e qualificadas para tal. Não dá para deixar tamanha responsabilidade na mão do gestor de integridade. Ademais, o projeto de lei não deixa claro se esse gestor de sistema de integridade seria um agente interno ou externo a organização. 
O PL é importante para enfrentar a questão da eficácia dos programas de integridade, merecendo, contudo, maior debate junto a sociedade e ao meio acadêmico, como estudamos no CPJM da UERJ.