Socio director de Puyol Abogados & Partners, presenta dos obras que resumen casi dos décadas de trabajo doctrinal: «El Compliance, la gestión de crisis y la resiliencia corporativa» y el tercer volumen de «Estudios de Derecho de Compliance«, publicados por Tirant lo Blanch.
En ambas, Javier Puyol Montero, abogado, magistrado en excedencia y exletrado del Tribunal Constitucional, defiende un giro que él mismo impulsa desde 2020: sacar la norma del centro del Compliance y poner en su lugar a la persona.
En esta entrevista repasa la evolución normativa desde 2010 y cuestiona si administraciones, empresas y partidos han hecho algo más que cumplir el expediente.
Sus columnas en Confilegal, que ahora recopila en el tercer volumen de «Estudios de Derecho de Compliance», tocan aspectos que no se están publicando en España. ¿Cómo ha evolucionado el compliance desde 2010 hasta hoy?
En 2010, con la reforma de la Ley Orgánica del Código Penal, nace un modelo de Compliance que hasta entonces no existía.
Fundamentalmente, las personas jurídicas eran irresponsables penalmente y, a partir de ese momento, dejan de serlo. En 2015, la segunda reforma básica del Compliance genera una nueva visión del cumplimiento normativo.
Se pueden ir marcando hitos –2010, 2015, 2022— y observar cómo evoluciona no solo el Compliance, sino la mentalidad de las empresas y las personas jurídicas respecto a él.
Nuestra realidad inicial era puramente normativa. Cuando hablamos del canal de denuncias estamos hablando de normatividad; cuando hablamos del código de conducta hablamos de valores, pero el resto de políticas, protocolos y procedimientos siguen siendo normatividad pura y dura.
A partir de 2020-2021 comencé a trabajar con un enfoque diferente: situar en el centro del Compliance no la norma, sino a la persona que debe cumplirla. Este cambio supone una transformación sustancial respecto al modelo anterior. Hasta entonces, muchos de los estudios realizados se limitaban a analizar el artículo 31 bis del Código Penal y su impacto. Pero ese enfoque se queda corto: la legislación siempre va por detrás de la realidad social.
Me hizo reflexionar mucho la Ley Orgánica 10/2022 de 6 de septiembre sobre libertad sexual, donde la violencia en este ámbito juega un papel primordial, porque pone a la mujer en el centro del Compliance: ya no hablamos solo de normativa, sino de personas que deben ser tratadas con una sensibilidad especial y específica para dar una respuesta efectiva.
Por ejemplo, los plazos de la ley empiezan a perder sentido: no se puede tener seis meses abierto un procedimiento por acoso sexual o laboral, porque cuando termina ese plazo la víctima suele estar ya completamente neutralizada.
«Las organizaciones no fracasan porque les falten documentos; fracasan porque quienes tienen que aplicarlos actúan bajo la influencia del miedo, de la presión jerárquica, de los incentivos económicos, del deseo de pertenecer al grupo, de la fatiga, del estrés, de la ambición o, simplemente, de la indiferencia».
Uno de los ejes de su obra es la inteligencia emocional aplicada al Compliance. ¿Por qué es tan relevante?
Porque, en realidad, el Compliance siempre ha sido una disciplina profundamente humana, aunque durante muchos años hayamos intentado construirla exclusivamente desde el Derecho.
Todos los modelos de cumplimiento normativo parten de una premisa aparentemente sencilla: evitar que las personas adopten decisiones contrarias a la legalidad o a los valores de la organización. Sin embargo, pocas veces nos hemos detenido a analizar por qué personas perfectamente formadas, que conocen las normas y comprenden sus obligaciones, terminan incumpliéndolas.
La respuesta rara vez se encuentra en la falta de regulación; normalmente está en el comportamiento humano.
Durante mucho tiempo hemos creído que el riesgo de Compliance podía controlarse redactando más políticas, aprobando nuevos protocolos o aumentando los procedimientos de supervisión.
Todo eso es necesario, pero no es suficiente. Las organizaciones no fracasan porque les falten documentos; fracasan porque quienes tienen que aplicarlos actúan bajo la influencia del miedo, de la presión jerárquica, de los incentivos económicos, del deseo de pertenecer al grupo, de la fatiga, del estrés, de la ambición o, simplemente, de la indiferencia.
Es decir, fracasan por razones profundamente humanas.
Por eso sostengo que la inteligencia emocional debe convertirse en una competencia esencial dentro del Compliance moderno.
También incorpora la neurociencia, un terreno inexplorado en el Compliance español. ¿Qué aporta?
Creo que la neurociencia representa uno de los mayores desafíos intelectuales a los que se enfrenta el Compliance en este momento. Durante décadas hemos construido modelos preventivos sobre una premisa implícita: que las personas toman decisiones racionales.
Es decir, hemos diseñado procedimientos suponiendo que, si un empleado conoce una norma, comprende sus obligaciones y sabe cuáles pueden ser las consecuencias de incumplirla, actuará correctamente.
Sin embargo, la investigación desarrollada durante los últimos treinta años en neurociencia, psicología cognitiva y economía conductual demuestra que esa premisa es solo parcialmente cierta.
El ser humano no decide exclusivamente mediante procesos racionales. Decide también bajo la influencia de sesgos cognitivos, emociones, automatismos, presiones sociales, incentivos, fatiga, estrés y múltiples factores inconscientes que condicionan profundamente su conducta.
Eso cambia completamente la forma de entender el Compliance. Si queremos prevenir conductas irregulares, ya no basta con preguntarnos qué norma ha sido vulnerada.
Debemos preguntarnos por qué una persona que conocía perfectamente esa norma terminó incumpliéndola. Esa pregunta, que parece sencilla, desplaza el centro del análisis desde el Derecho hacia el comportamiento humano.
«Existe una diferencia muy importante entre tener un programa de Compliance y vivir en una cultura de Compliance. Mi impresión es que, en demasiadas ocasiones, los partidos han desarrollado lo primero, pero todavía no han conseguido construir lo segundo».
Estos dos últimos libros sobre Compliance no abordan un asunto de plena actualidad en España: el cumplimiento normativo de los partidos políticos, sujetos obligados desde la reforma de 2015. Pero no puedo resistirme a preguntarle: ¿Cumplen los partidos políticos esa obligación o es papel mojado?
Creo que sería injusto afirmar que no existe ningún esfuerzo por implantar modelos de Compliance en los partidos políticos. Lo que sí considero es que, once años después de que la reforma penal de 2015 incorporara plenamente a los partidos políticos al régimen de responsabilidad de las personas jurídicas, seguimos muy lejos de disponer de verdaderos sistemas de cumplimiento preventivo comparables a los que encontramos en muchas grandes empresas.
Existe una diferencia muy importante entre tener un programa de Compliance y vivir en una cultura de Compliance. Mi impresión es que, en demasiadas ocasiones, los partidos han desarrollado lo primero, pero todavía no han conseguido construir lo segundo.
El problema no es únicamente jurídico; es, sobre todo, cultural y organizativo. Los partidos políticos presentan unas características que los convierten en organizaciones extraordinariamente complejas desde el punto de vista del cumplimiento normativo.
Conviven en ellos estructuras territoriales muy descentralizadas, órganos colegiados, cargos electos, personal laboral, asesores, militantes, voluntarios, fundaciones vinculadas y una intensa exposición pública.
Todo ello genera un ecosistema de riesgos mucho más amplio que el existente en la mayoría de las empresas privadas. Sin embargo, esa complejidad no siempre ha ido acompañada de un desarrollo equivalente de los mecanismos preventivos.
¿Por qué considera que los partidos políticos necesitan un modelo de Compliance propio y diferenciado del que se aplica en el sector privado?
Porque hay una circunstancia que diferencia claramente a los partidos políticos de cualquier otra organización. Una empresa responde principalmente ante sus accionistas, sus clientes y los mercados.
Un partido político responde, además, ante la ciudadanía en su conjunto porque desempeña una función constitucional de extraordinaria relevancia.
Por eso creo que el Compliance de los partidos no puede limitarse a reproducir mecánicamente modelos diseñados para el sector privado.
Necesitan un modelo propio que incorpore riesgos específicos como la financiación, los procesos internos de selección de candidatos, la contratación pública, las relaciones con grupos de interés, la gestión de conflictos de interés, la protección de denunciantes, la prevención del acoso, la utilización de datos personales, la comunicación institucional o la toma de decisiones en órganos colegiados. Son riesgos distintos que exigen respuestas distintas.
¿De qué manera los ciclos electorales presionan a los partidos políticos para relegar el cumplimiento normativo, y qué papel debe jugar el Compliance para evitarlo?
La presión derivada de los ciclos electorales es un riesgo especialmente delicado para los partidos políticos.
La proximidad de unas elecciones, la necesidad de obtener financiación, la urgencia por adoptar determinadas decisiones o la intensidad de la confrontación política pueden favorecer entornos en los que el cumplimiento normativo pase a un segundo plano frente a los objetivos estratégicos inmediatos.
Precisamente por eso el Compliance debe actuar como un elemento de equilibrio institucional. Su función consiste en recordar que ninguna finalidad política, por legítima que sea, puede justificar el debilitamiento de los controles de legalidad o de integridad.
¿Y las instituciones públicas? Los ministerios no están obligados por el Compliance.
Creo que éste es uno de los grandes debates pendientes en nuestro país y, probablemente, uno de los ámbitos donde el Derecho público tendrá que evolucionar con mayor intensidad durante los próximos años.
Tradicionalmente hemos identificado el Compliance con el sector privado porque fue allí donde nació como consecuencia de la responsabilidad penal de las personas jurídicas y de la necesidad de establecer mecanismos eficaces de prevención de riesgos.
Sin embargo, esa visión resulta hoy claramente insuficiente. La cuestión ya no es si la Administración Pública está formalmente obligada a implantar sistemas de Compliance.
La verdadera pregunta es otra: ¿puede una organización que gestiona recursos públicos, ejerce potestades administrativas y toma decisiones que afectan directamente a los derechos de los ciudadanos prescindir de sistemas eficaces para prevenir irregularidades y garantizar la integridad?
«La inteligencia artificial es una herramienta extraordinariamente poderosa, pero seguirá dependiendo de las personas que la diseñen, la entrenen, la supervisen y, sobre todo, de los valores con los que la organización decida utilizarla».
Una de sus columnas, contenida en «Estudios de Derecho de Compliance 3» señala el conflicto entre el cumplimiento normativo y el negocio: la dirección necesita captar clientes y el Compliance puede limitar esa capacidad. ¿Son conceptos opuestos?
Ésa es, probablemente, una de las preguntas más importantes que hoy puede hacerse sobre el Compliance y, al mismo tiempo, uno de los mayores malentendidos que siguen existiendo en muchas organizaciones.
Durante años se ha instalado la idea de que el Compliance y el negocio representan intereses contrapuestos: mientras las áreas comerciales intentan crecer, captar clientes, aumentar ingresos y ganar cuota de mercado, el Compliance aparece como una función cuya misión consiste en poner límites, imponer controles y, en ocasiones, ralentizar determinadas operaciones. Esa percepción existe y sería ingenuo negarla. Sin embargo, creo que parte de un planteamiento equivocado.
El verdadero conflicto no existe entre el negocio y el Compliance. El verdadero conflicto se produce entre el beneficio inmediato y la sostenibilidad del negocio a largo plazo. Son dos cosas completamente distintas.
Una organización puede incrementar su facturación durante un tiempo relajando los controles, aceptando clientes cuya integridad no ha sido suficientemente analizada, asumiendo riesgos regulatorios excesivos o desarrollando prácticas comerciales agresivas.
A corto plazo puede incluso obtener excelentes resultados económicos. Pero la experiencia demuestra que esos beneficios suelen ser extraordinariamente frágiles. Basta una investigación administrativa, una sanción, un procedimiento penal, un escándalo reputacional o una pérdida de confianza del mercado para destruir en pocos meses el valor que la organización había tardado años en construir.
¿Por qué cree que el Compliance suele percibirse como un obstáculo para el negocio, y en qué se basa para sostener que en realidad cumple una función protectora?
Sostengo que el Compliance no limita el negocio; lo protege. Su función no consiste en impedir que la empresa crezca, sino en garantizar que ese crecimiento sea jurídicamente seguro, éticamente sostenible y compatible con la estrategia de largo plazo de la organización.
Cuando el Compliance funciona correctamente no actúa como un freno, sino como un sistema de navegación que ayuda a alcanzar los objetivos empresariales evitando aquellos riesgos que pueden comprometer la viabilidad futura del proyecto.
Creo que durante mucho tiempo el propio Compliance ha contribuido, involuntariamente, a consolidar esa percepción negativa. En ocasiones se ha comunicado como un departamento cuya principal función era prohibir determinadas actuaciones o exigir el cumplimiento de procedimientos cada vez más complejos.
Es comprensible que algunas áreas de negocio hayan terminado identificándolo con una burocracia añadida. Sin embargo, ése nunca ha sido el verdadero sentido del Compliance.
También ha escrito sobre la sutileza de las relaciones personales cuando alguien denuncia a través de un canal de denuncias y su entorno le hace el vacío. ¿Hasta qué punto son eficaces las reglas del juego frente a esa dinámica?
Aquí entran en juego muchos condicionantes. Por un lado, la tendencia general de la Unión Europea es rebajar el nivel de regulación para fomentar la autonomía de las empresas, lo que da un campo mayor de interacción entre la empresa y sus trabajadores en materia de Compliance.
Pero no vemos reflejado que esos factores humanos se incorporen a la manera de funcionar del ecosistema de la entidad. Es la propia cultura corporativa de la organización la que marca el antes y el después en estos temas, y eso depende de la empresa, de las circunstancias, de muchos factores que no siempre son fáciles de identificar.
A veces hay buena voluntad por parte de las empresas, pero mala ejecución de los programas de Compliance, porque no se sabe hasta dónde hay que llegar: se teme que una regulación excesiva perjudique al negocio, y luego la imagen que se transmite a empleados, clientes y stakeholders resulta insuficiente.
Estamos en una zona intermedia de evolución a la que queremos llegar, pero a la que no hemos llegado, y eso complica mucho la vida desde el punto de vista operativo.
«El Compliance no limita el negocio; lo protege. Su función no consiste en impedir que la empresa crezca, sino en garantizar que ese crecimiento sea jurídicamente seguro, éticamente sostenible y compatible con la estrategia de largo plazo de la organización».
La inteligencia artificial lleva dos años marcando la agenda. ¿Cómo beneficia al Compliance?
No tengo ninguna duda de que la inteligencia artificial va a transformar el Compliance de una forma mucho más profunda de lo que hoy imaginamos. De hecho, creo que estamos viviendo un momento histórico comparable al que supuso hace décadas la incorporación de Internet a las organizaciones.
En aquel momento muchas empresas entendieron la digitalización como una mejora tecnológica; con el paso del tiempo comprobamos que, en realidad, había modificado por completo la forma de trabajar, de relacionarse con los clientes, de tomar decisiones y de gestionar los riesgos. Con la inteligencia artificial va a ocurrir exactamente lo mismo, aunque con un impacto todavía mayor.
¿Cuáles son esos dos errores frente a la inteligencia artificial en el ámbito del Compliance, y por qué defiende que su eficacia dependerá, en última instancia, de las personas y los valores que la orienten?
Son dos errores igualmente peligrosos. El primero consiste en pensar que la inteligencia artificial resolverá automáticamente todos los problemas de Compliance.
El segundo, justo el contrario, es contemplarla exclusivamente como una fuente de nuevos riesgos. Ninguna de las dos posiciones resulta acertada.
La inteligencia artificial es una herramienta extraordinariamente poderosa, pero seguirá dependiendo de las personas que la diseñen, la entrenen, la supervisen y, sobre todo, de los valores con los que la organización decida utilizarla.
¿Cuántos libros de compliance ha escrito?
Creo que ya supero la veintena.
¿Y en materia jurídica, en total?
Sumando los más de veinte de compliance, 160. Mi primer libro fueron los apuntes que preparé para la Escuela Judicial, como consecuencia de la transformación de los juzgados de distrito en juzgados de instrucción y de primera instancia.
Después trabajé en temas de derecho procesal y también de derecho penal, con Carlos García Valdés, con Rocío Cantarero y con otros autores. Cuando dejé la carrera judicial empecé a trabajar en temas constitucionales.
Fue letrado del Tribunal Constitucional.
Así es. Allí empecé a publicar, sobre todo, para intentar acercar la doctrina constitucional al profesional y al ciudadano, sintetizando por materias los pronunciamientos del Tribunal Constitucional. Después publiqué en varias editoriales con mucho éxito.
Su proyección es internacional. ¿En qué países tiene particular incidencia?
En Argentina, Colombia y en México. También doy conferencias de un modo habitual en muchos países del entorno iberoamericano: Guatemala, Ecuador, y Honduras.
En Honduras, mi firma ha redactado los dos proyectos de ley de protección de datos. Lo que ocurre es que siempre estamos supeditados a los avatares políticos de cada Congreso: si el Congreso Nacional lo quiere sacar, lo sacará.
¿Qué le piden esos países que ustedes ya están haciendo en España?
Tengo anécdotas curiosas de profesores argentinos, chilenos y mexicanos enormemente interesados en lo que estamos haciendo, porque supone un complemento muy interesante respecto a sus planteamientos en materia de Compliance.
El hecho de incorporar a la persona como foco central del Compliance también es, para muchos países, un punto de avance: les da una visión distinta, mucho más amplia.
Tienen mucho más que regular, pero creo que hablamos de un compliance mucho más exitoso cuando no es la voluntad del jefe plasmada en unas normas, sino la voluntad general de una organización de plasmar una cultura respetuosa con los derechos humanos, con los derechos legalmente reconocidos, con la normativa interna y, sobre todo, con los valores expresados en los códigos éticos.
No es un discurso puramente legal, sino un discurso de lo legal y de lo humano, donde el factor de la persona trabajadora tiene que tener un peso muy importante en el funcionamiento del cumplimiento normativo.
«Una pregunta ha orientado buena parte de mi investigación: ¿por qué fracasa un sistema de Compliance cuando, aparentemente, cumple todos los requisitos legales?».
¿Podríamos decir que la eficacia final del Compliance es convertirse en una especie de temor de Dios?
A veces tengo la sensación de estar en un púlpito, con alzacuellos, cuando hablo de derechos humanos [se ríe].
Cuando hay que recordar a las empresas que existen derechos que hay que respetar -por ejemplo, que una denuncia no genera automáticamente una presunción de culpabilidad, sino que rige el derecho a la presunción de inocencia-.
Que alguien denuncie a otro dentro de una organización implica que el denunciado tiene derecho a estar asesorado por un abogado que le marque los pasos.
Cuando la resolución de un canal de denuncias perjudica la situación jurídica de una persona, existe la posibilidad de acudir a la jurisdicción para impugnarla. No pueden utilizarse, por ejemplo, pruebas ilícitamente obtenidas y deben respetarse los derechos de alegación.
Aplicar todas estas condiciones no siempre es sencillo, pero esa contradicción, al menos, debe ser suficiente para respetar ese tipo de valores.
¿Qué ha inspirado su producción sobre Compliance?
Si tuviera que identificar el verdadero origen de mi producción científica sobre Compliance, diría que ha sido la convicción de que el Derecho, por sí solo, no basta para explicar el funcionamiento de las organizaciones.
A lo largo de mi trayectoria profesional he tenido la oportunidad de intervenir en procedimientos judiciales, investigaciones internas, procesos de asesoramiento estratégico y proyectos de implantación de modelos de cumplimiento en organizaciones de muy distinta naturaleza.
Esa experiencia me ha permitido comprobar una realidad que, con el paso del tiempo, se ha convertido en el hilo conductor de todas mis publicaciones: los grandes problemas de Compliance rara vez nacen por desconocimiento de la ley; normalmente aparecen cuando fracasan la cultura organizativa, el liderazgo, la comunicación interna, o la gestión de las personas.
¿Cómo pasó de centrarse en el estudio normativo de la responsabilidad penal de las personas jurídicas a interesarse por las razones que explican el fracaso de sistemas de Compliance formalmente correctos?
En mis primeros trabajos me centré, como era lógico, en el estudio de la responsabilidad penal de las personas jurídicas, la construcción de modelos de prevención, el análisis del artículo 31 bis del Código Penal y la evolución de la jurisprudencia.
Era imprescindible ahondar en el hecho de consolidar doctrinalmente una disciplina que entonces apenas comenzaba a desarrollarse en España. Sin embargo, conforme avanzaba mi experiencia profesional fui comprendiendo que la realidad era mucho más compleja, que el marco estrictamente normativo.
Las organizaciones podían disponer de excelentes manuales, códigos éticos impecables, y sofisticados sistemas de control, y, pese a ello, seguir produciéndose conductas ilícitas o éticamente inaceptables.
Esa constatación me llevó a formular una pregunta que ha orientado buena parte de mi investigación: ¿por qué fracasa un sistema de Compliance cuando, aparentemente, cumple todos los requisitos legales?
