Desde 2018 Carlos Garmendia Sanz lleva el timón del rebautizado CVS Consulting, una consulta especializada en compliance software, gestión del riesgo contractual y gobernanza de proveedores tecnológicos, que desde el pasado mes de abril pasó a llamarse Nexure Advisory.
Este cambio, tal y como explica en esta entrevista el socio director, es una adaptación a los nuevos riesgos que contraen las firmas por escrito y posteriormente descubren por sorpresa: el licenciamiento de software.
Su tesis es que la licencia ha dejado de ser un asunto técnico para convertirse en una materia crítica de gobierno corporativo, empujada por DORA, el Reglamento de IA y la propia Comisión Europea.
El socio director de Nexure Advisory abre las puertas a Confilegal para explicar su nueva apuesta: «Nuestra convicción es que la categoría emergente no es «un despacho con perfiles técnicos»» ni «una consultora con abogados», sino una práctica de riesgo con método propio y medición cuantificable», señala en esta charla.
¿Qué hay detrás del cambio de nombre a Nexure Advisory?
Para nosotros no es una operación de imagen, es una toma de posición.
El riesgo del licenciamiento se ha tratado siempre como un asunto técnico o de compras. Nosotros sostenemos que es un problema de gobierno corporativo y que se juega en dos planos que casi nunca se leen juntos: las normas privadas, es decir las cláusulas que el fabricante redacta y modifica por web, y las públicas que hoy disciplinan ese uso, en particular la nueva normativa europea.
Queremos ser el nexo entre las distintas áreas de control de la organización: facilitar la comunicación y eliminar los puntos ciegos. Para ello nos apoyamos en tres cosas: independencia, rigor metodológico y una lectura jurídica del riesgo tecnológico.
La ambición es que el consejo pueda leer su exposición contractual en software con la misma naturalidad con la que lee cualquier otro indicador de riesgo.
¿Por qué es hoy un riesgo jurídico de primer orden el riesgo de licenciamiento y, sin embargo, tan poco visible?
Porque el contrato de licencia se considera de adhesión, y ese planteamiento genera tres asimetrías: la métrica se define por remisión a un documento web que el fabricante modifica unilateralmente; la cláusula de auditoría rara vez se apoya en procesos objetivos e independientes y la ventana retroactiva de regularización exigible va de 12 a 36 meses.
Con ello, una desviación menor sostenida en el tiempo se convierte, en tres años, en una contingencia de varios millones que nadie había provisionado.
La invisibilidad tiene además una causa orgánica. Se negocia en Compras, se implanta en Sistemas y se factura en Finanzas; Legal firma el contrato marco, pero no está en las renovaciones, que es justo donde el cliente pierde posición. Nadie es propietario del riesgo y, por tanto, nadie lo mide.
Y hay un cambio decisivo: el plano público ha dejado de ser indiferente al contenido del contrato privado. DORA (arts. 28 y 30) y las Directrices de la EBA exigen hoy derechos de auditoría efectivos y planes de salida documentados y probados para las funciones esenciales. Lo que ayer era una mala práctica comercial es hoy un incumplimiento regulatorio que pesa sobre el órgano de administración.
¿Están las empresas viviendo una oleada de auditorías?
Sí, y no por casualidad. El software actual tiene ya más funcionalidades de las que cualquier organización necesita; sin embargo, los fabricantes necesitan que se siga migrando a versiones aún más potentes para sostener sus cifras de negocio: vender software es su razón de ser.
En ese escenario, la auditoría y, por tanto sus conclusiones, se ha convertido en la primera palanca de venta de un software que ya no hace falta.
El mercado está lleno de despachos con perfiles técnicos y de consultoras con abogados. ¿Qué es exactamente Nexure Advisory y qué se niegan a hacer que otros aceptan?
El licenciamiento no se resuelve desde una sola disciplina. El despacho lee bien la cláusula, pero no sabe qué es una métrica FUE ni cómo se comporta el script —pequeño programa o conjunto de instrucciones escritas en un lenguaje de programación— de inventario del fabricante. La consultora conoce el consumo real, pero no valora las consecuencias jurídicas de un «uso no autorizado» sin definir.
El resultado habitual es una organización que llega a la auditoría con dos informes que no se hablan entre sí.
Falta, además, una pieza que casi siempre se olvida: la gobernanza. Este riesgo solo se gestiona bien con el modelo de tres líneas de defensa que se basa en que el departamento de Sistemas ejecuta, Compliance y Legal controlan y Auditoría Interna verifica. Con reporting periódico al comité de riesgos.
Nuestra convicción es que la categoría emergente no es «un despacho con perfiles técnicos»» ni «una consultora con abogados», sino una práctica de riesgo con método propio y medición cuantificable.
¿Qué no hacemos? Vender licencias, intermediar con fabricantes ni aceptar ningún ingreso que dependa de ellos. La independencia no es un argumento comercial: es la condición que sostiene el informe.
¿Está la IA creando riesgos contractuales que las empresas aún no ven?
Sí, y aparecen más rápido de lo que las organizaciones adaptan sus procesos. Hay cuatro focos. El primero sería la mutación de la métrica. Del usuario y el procesador —unidades estables— hemos pasado al token, la llamada o el agente activo.
El siguiente es el licenciamiento agéntico. Cuando un agente de IA opera dentro de un ERP o un CRM, la pregunta elemental de ¿quién es el usuario a efectos de licencia no tiene todavía respuesta pacífica. Es una contingencia latente que se materializará en las auditorías de los próximos tres años.
El tercero sería el desplazamiento del contenido contractual a la web. En nube y en IA, lo esencial en términos de uso, tratamiento de datos, propiedad de los resultados, vive en documentos en línea que el proveedor actualiza sin aceptación expresa.
Y el último sería la asignación de roles regulatorios. El Reglamento (UE) 2024/1689 de IA y la Directiva (UE) 2024/2853 sobre responsabilidad por productos defectuosos —que ya incluye el software— reparten obligaciones distintas entre proveedor y responsable del despliegue, y ese reparto se juega en el contrato. Migrar a nube o incorporar IA sin trabajar la cláusula equivale a asumir por defecto responsabilidad regulatoria ajena.
La regulación europea y la IA convierten el licenciamiento de software en un nuevo riesgo jurídico y empresarial, según el socio director de Nexure Advisory.
¿Vamos hacia un compliance más tecnológico?
Sí, pero conviene precisar: la automatización resuelve un problema de escala, no de criterio. Una organización mediana con 20 o 30 contratos marco no puede releer su portfolio cada trimestre a mano. En nuestro modelo, la lectura inicial la hace un motor de IA entrenado sobre nuestras propias matrices de riesgo, y los hallazgos relevantes pasan siempre por el criterio de un consultor. Ese orden no es negociable.
Donde más aporta la tecnología es en el control continuo: vigilar los términos que el fabricante modifica por web, archivar cada versión, reconciliar uso real y derechos adquiridos, y alimentar el reporting trimestral al comité de riesgos.
Mirando a 2030, ¿referencia en España o modelo internacional?
Las dos cosas, y en ese orden. España es el mercado de consolidación: aquí queremos ser la referencia en gestión del riesgo contractual del software. Pero el marco normativo —DORA, EBA, Reglamento de IA, NIS2— es europeo, y los contratos que analizamos son los mismos en cualquier parte del mundo, porque los redacta el mismo fabricante. Un método construido sobre normativa comunitaria y clausulado global nace, por construcción, exportable.
Hasta 2030 lo van a expandir tres vectores, todos normativos: la maduración supervisora de DORA, la aplicación escalonada del Reglamento de IA y la extensión del perímetro por NIS2 y el Esquema Nacional de Seguridad.
Si tuviera que dejar una sola idea al consejero o directivo que lea esta entrevista, ¿cuál sería?
El riesgo contractual del software se parece a la rana en la olla: no hay un momento en que el agua hierva de golpe. Y ese es exactamente el problema, que nunca lo hay. La pregunta que toda dirección debería hacerse no es si su exposición ha crecido, sino cuándo fue la última vez que la midió.
