数据合“规”要安全，数据“治”理需先行

编者按
大数据时代带来的数据膨胀挑战着企业的数据管理能力，当前企业数据基础薄弱、数据价值评估难以及数据管理浮于表面等一系列问题严重影响数据价值的发挥，造成数据量积压，企业发展受阻。
为提升企业数据合规与治理能力，本文将对数据治理意义，数据治理体系下“规”与“治”内涵，数据治理功能等内容进行深度分析，并以此为基础对数据合规与治理融合提出实践性思考与建议，以助力企业长远发展。
Part.1 数据治理意义
（一）数字化转型，数据治理先行
1、数据是数字化实践新引擎
数据是企业开展数字化创新和构建企业数字化基因的核心要素。通过对于服务对象、行为以及相关经营数据的分析，能够帮助企业搭建全方位业务发展视角，提升决策质量与业绩表现。当前企业也逐步意识到数据的重要性，但在实际应用中仍面临诸多挑战。
2、数据治理成最大瓶颈
经过调查发现，数据治理能力不足导致的问题成为受访企业面临的最主要问题。其中“数据质量与完整度不足”与“数据标准和口径不一致”问题占比最高。
3、提升方向：“以用带治，以治促用”，建立企业数据治理的“道、法、术、器”
道，即数据战略。
企业需首先开展数据战略规划，明确数据治理整体策略及方向，确保数据战略目标的可执行性与可落地性。
法，即数据治理框架。
包含数据管理组织架构、数据制度政策，以及数据管理流程。企业需落实数据管理职责，明确各部门职责分工和协调机制，完善数据制度体系，有效覆盖数据需求管理、标准管理、质量管理等多方面，并开展数据全生命周期管理。
术，即数据资产。
从企业现有业务系统和数据出发，盘点数据资产，明确“要什么”、“有什么”和“在哪里”，并形成企业数据资产矿机和数据资产目录，建立全面覆盖的企业级数据资产地图。
器，
即数据管理工具和平台。
目前大多数企业的系统建设以“烟囱式”为主，未能形成统一的数据汇总与整合平台，导致各个系统间数据壁垒严重，数据无法释放价值，因此企业在引入数据治理工具的同时，也应考虑优化数据架构，如通过数据中台打破数据壁垒，实现数据互通与共享。
（二）数据治理定位：数字化转型与数据要素利用的基础工程
随着大数据在各行业的广泛应用和数据中心平台的建设，数据资产的价值越来越被重视，成为各企业数字化转型的重要因素。而数据基础不牢，制约数据价值实现，急需数据治理。企业在推进数字化转型和大数据中心平台建设，释放数据资产价值的工作中，需首先关注数据治理。
1、国家层面数据治理需求迫切
首先，数据成为企业核心生产要素，全面掌握资源全貌及动态，提供高质量数据支撑业务高效发展，是数据治理工作面临的新局面。
其次，提升数据管控能力，以支撑企业数字化转型，进一步提升企业竞争优势，对IT及现DT团队提出更高的专业要求。
最后，在数据应用和共享流通的同时，对数据安全的管控需求日益凸显。确保精准管控，实现最大化释放数据价值的同时保障安全是数据治理面临的极大挑战。
2、金融行业数据治理要求逐渐提升
金融行业是国内最先开启数据治理的行业，基于国家整体金融体系融入世界金融体系的需要，金融行业对于数据质量都提出极高要求。
银监会于2011年发布《银行监管统计数据质量管理良好标准（试行）》。在全面总结银行监管统计数据质量管理先进经验的基础上，提出一套既符合实际，又具备一定前瞻性的良好标准。2021年9月，中国银保监会印发《商业银行监管评级办法》，将“数据治理”这一全新要素纳入评估体系并占评级要素5%的权重，此后2022年1月发布的《中国银保监会银行业金融机构监管数据标准化规范（2021版）》（即EAST5.0），根据新规要求，银保监会再次升级商业银行标准化数据报送采集范围、报送要求以及数据质量要求，进一步完善数据采集与报送的完备性和规范性。
（三）数据治理内涵不断演变：数据资源化、资产化、要素化
数据资产管理伴随着数据理念与技术的演变而不断发展，从信息化时代到数据要素化时代，数据资产管理的重要性日益凸显，数据资产管理理论框架逐步成熟，行业间、企业间呈现差异化分布。
当前，数据作为资产已成为共识，与此同时，数据资产管理理论框架逐步成熟，国际与国内数据管理与治理理论发展趋于稳定：
1、国际：DAMA数据管理知识体系
数据管理知识体系指南（DMBOK）：
数据管理（DM）是规划、控制和提供数据和信息资产的业务职能，包括：开发、执行和监督有关数据的计划、政策、方案、项目、流程、方法和程序，从而控制、保护、交付和提高数据和信息资产的价值。
数据治理（DG）是对数据资产的管理行使权力和控制的活动集合（规划、监控和执行）。数据治理职能指导其他数据管理职能的执行。
2、国标DCMM：数据管理能力成熟度评价模型
《GB/T36073-2018数据管理能力成熟度评估模型》由中国国家标准化管理委员会发布实施。数据管理能力成熟度评估模型（Data Management Capability Maturity Model ，简称DCMM）是一项有关数据管理能力成熟度评估的国家标准。包括数据战略、数据治理等八大领域；在成熟度模型上定义了初始级、受管理级、稳健级、量化管理级以及优化级五个级别。
（四）御数坊主张：打造以数据资产为中心，数据权责为基础，数据质量与数据安全并重，数据生产与应用协同的长效工作机制与技术体系
数据治理是一套以数据资产为中心，以“提升数据可用性、质量及安全水平，进而实现数据资产价值最大化”为目标，多方协同的常态工作机制；
数据资产旨在理清企业数据家底、分布与流转关系，明确数据治理对象；
数据权责旨在健全和完善企业数字化建设与数据治理工作中各类角色的定位和职责，保障有效协同多方合作；
数据质量目的为提升数据标准化程度，保障数据准确性、一致性、规范性；
数据安全意在开展数据分类分级，面向应用场景实施数据安全审计与保护；
数据生产与数据应用目的在于实现数据底座构建、数据加工处理、数据分析与挖掘等数据生产和应用过程，释放数据价值。
Part.2 数据治理体系下的“规”与“治”解读
数据治理常见建设路径可以总结为：盘，规，治，用。
（一）盘--理清现状
数据治理能力评估：识别现状及不足，为数据治理能力提升明确方向。
结合企业战略方向、业务及技术环境评估数据环境现状；根据数据管理成熟度评估数据管理能力；从行业发展宏观背景和先进对标出发开展外部对标。
元数据管理：纳管全部数据资源，明确数据治理对象。
其中业务元数据面向业务人员，用业务语言从业务术语、规则等多方面描述数据；技术元数据面向技术人员，用技术语言从数据库、字段等方面描述数据；管理元数据面向数据管理人员，从数据管理的视角进行描述。
数据资产管理：数据资产的盘点、注册、发布，构建数据资产目录。
数据资产目录管理要达到数据资产目录完整性、数据资产目录规范性、一处生成、处处使用的效果。完整性是指对数据的属性、存储位置、获取和使用信息、管理关键属性等内容进行描述和展示；规范性是指能够准确、真实反映数据资产信息并且安全合规；一处生成、处处使用是指数据按照要求更新和同步，无需重复建设。
（二）规--标准规范
1、管理规范层面
首先，数据治理组织架构的搭建需建立横向到边、纵向到底的数据治理组织。其中决策层以数据治理委员会为典型，是数据治理的最高决策者；管理层是数据治理推进组，是数据治理体系的建设者、监督考核者以及数据文化宣传者；执行层则包括业务部门和技术部门。
其次，数据权责管理方面要求确保各方责任清晰、高效协作，确保数据可管。
最后，构建数据治理制度体系要求开展规范有序、覆盖各项能力的数据工作。
2、规格层面
数据架构管理要求规范数据模型、数据分布与流转关系。
企业数据架构通常包括企业数据模型、信息价值链分析、相关数据交付架构三套主要设计组件。
数据标准管理主张统一数据语言，建立业务与技术规范。
而数据质量管理则要求建立数据质量规则和常态监控，提升数据质量。
数据质量需求通常隐含在业务政策之中，描述数据是否符合“适用性”（Fitness for Purpose）需求。
其中数据质量管控的途径包括：整体数据现状收集，以快速了解当前数据质量情况；数据质量分析，对某张表和关联表进行详细的实时分析；定期质量报告，可根据模板定制报告内容，定期产出并导出邮件通知；数据质量改进，质量问题分派至相关方，分析问题原因、制定解决方案、衡量改进效果。
（三）治--优化升级
数据安全分类分级：高效实现5000万级敏感数据发现和分类分级。数据安全的基础是数据等级的划分，需按照该标准定义数据等级，当前主流方式为基于自然语言处理和机器学习、深度学习的方式来用大数据技术自动识别数据的安全等级，以减少人工参与。
数据生命周期：从时间与空间视角实现端到端数据治理。（1）强调数据的全生命周期管理；（2）创建和使用是数据生命周期关键环节；（3）必须于整个数据生命周期内管理元数据质量；（4）必须在整个数据生命周期内管理数据安全；（5）数据管理工作应该集中在最关键的数据上。
数据治理与数据生产协同：数据治理与数据中台运营融合。要求明确数据、技术和业务等人员分工及协同工作机制；优化数据中台/中心运营流程，满足数据治理要求。
（四）用--价值创造
数据价值：充分利用已有资源与能力，开创数据增值服务体系。良治，生产好数据；善用，收获好效益。
数据治理技术平台：支撑数据相关方协作运营。以御数坊出品的“DGOffice数据治理办公室”为例，良好运作的数据治理技术平台能够帮助企业有效构建管理机制、管理组织，搭建实际数据治理办公室技术平台，确保为企业提供工具及流程，保障其数据治理工作顺利开展。
Part.3 数据治理功能

（一）数据安全合规保障数字经济发展
随着数据要素与数字经济的发展，数据安全相关法律规范也陆续出台和完善。伴随着法律法规的完善过程，同步体现了当前数字化转型和技术变革过程中，数据本身及技术环境本身特点的变化，进而提出更为强烈的数据安全保护需求。
（二）数字化转型和技术变革带来数据安全管理新挑战
随着数字化转型，应用越来越多，数据越来越庞大，数据的交互越来越复杂，数据安全面临着监管要求、流动过程风险、业务过程风险三方面挑战。需通过体系化的数据安全建设方案来应对数据安全挑战。
（三）数据安全合规首先应明确数据相关方
随着数字化转型，应用越来越多，数据越来越庞大，数据的交互越来越复杂，数据安全面临着监管要求、流动过程风险、业务过程风险三方面挑战。需通过体系化的数据安全建设方案来应对数据安全挑战。
（四）进一步明确数据相关方在数据活动中的“权”与“责”
权——权利，权益，权限。
是指基于保密及获益双视角，对于在业务活动及相关数据活动中，数据相关方拥有的权利进行定义；
责——职责，责任。
是指在业务活动及相关数据活动（数据处理、管理、服 务、使用）中，数据相关方应承担的职责与责任。
（五）数据安全合规，数据治理先行
数据治理工作中众多技术类基础工作，实质为达成数据合规的重要前提。通过数据资产识别、数据认责、数据分类分级等环节，以达成理解数据、明晰权责、提升能力、全域合规的最终效果。
Part.4 数据合规与治理融合实践的思考与建议

（一）创新理论方法，构建融合知识体系指引实践
从合规与治理双重视角，明确数据合规范围、预期目的与目标，融合合规与治理两个领域既有优秀实践经验，构建体系化、可落地的理论和方法论体系，指导行业实践。
（二）构建技术平台，沉淀最佳实践赋能长效运行
基于数据治理技术能力，延伸至数据安全与数据合规管理能力，沉淀合规与治理工作方法、规则、经验，实现流程驱动、算法赋能的数据合规与治理技术平台，提高数据合规与治理权威性和工作效率。
（三）建立合作生态，融汇各方优势繁荣促进行业发展
聚集多方专家资源经验，融合法律、业务、数据、安全多方能力与行业主管机构、数据拥有方和数据服务方各方优势，建立行业生态合作组织机制，促进数据合规与治理持续健康发展。