3. 监管要求与合规体系

金融数据治理不是“技术部门自选动作”，而是被外部监管强约束的合规工程。做端到端落地项目时，第一步不是买工具、建平台，而是把监管要求翻译成可执行的数据治理控制项。本节聚焦四类核心监管来源：巴塞尔协议、银保监会（现国家金融监督管理总局）数据治理指引、《个人信息保护法》和《数据安全法》，讲清它们在金融行业如何落到制度、流程、系统与审计证据上。

一、核心原理：四层监管要求如何叠加成一张合规网

四类要求并非平行独立，而是从“风险资本—治理能力—个人权益—国家安全”四个层面逐层收紧。巴塞尔协议关注银行风险计量与数据可信，强调数据必须能支撑资本充足率、风险加权资产等计算；银保监会数据治理指引把数据治理上升为董事会和高管层责任，要求建立组织架构、制度体系、质量控制和问责机制；《个人信息保护法》约束个人金融信息的收集、存储、使用、共享和跨境；《数据安全法》则从数据分类分级、重要数据保护、安全评估和应急处置角度提出底线要求。

落地时要把它们映射到同一套数据资产目录上：同一张客户表，既涉及巴塞尔协议下的风险暴露计量，也涉及个人信息保护法下的告知同意，还涉及数据安全法下的分类分级。治理动作必须一次设计、多规复用，否则会出现“合规孤岛”。

二、方法流程：把监管条文翻译成治理控制项

推荐采用“条文拆解—控制映射—责任分配—证据留存”四步法。第一步，由合规、数据治理、业务三方共同拆解监管条文，识别出强制性要求与推荐性要求；第二步，将每条要求映射到具体数据域、系统、流程和控制点，例如“个人金融信息跨境传输”映射到跨境数据清单、安全评估报告和合同条款；第三步，明确责任部门与执行角色，落到 RACI 矩阵；第四步，设计审计证据模板，确保每次治理动作可追溯、可举证。

控制项示例：客户个人金融信息跨境传输
监管来源：个人信息保护法第38条 + 数据安全法第36条
控制目标：跨境前完成安全评估、取得单独同意、签订标准合同
执行角色：数据治理岗（发起）、合规岗（审核）、安全岗（评估）
证据留存：评估报告、同意记录、合同文本、传输日志
检查频率：每季度一次，重大变更时即时触发

三、案例/场景：某城商行个人信贷数据治理整改

某城商行在监管检查中被指出：个人信贷数据在贷后催收环节被外包公司超范围使用，且未完成数据分类分级。整改时，项目组没有只改一份制度，而是做了三件事：第一，依据《个人信息保护法》重新梳理委托处理清单，把催收外包纳入受托方管理，补充单独同意和审计条款；第二，依据《数据安全法》对客户数据完成分类分级，将身份证号、联系方式、信贷记录标记为敏感数据，并配置脱敏和访问审批；第三，依据巴塞尔协议和银保监会指引，重建信贷数据质量规则，确保风险加权资产计算所依赖的字段完整、准确、可追溯。

整改后，该行把三类监管要求统一到一张数据控制矩阵中，检查时可直接导出证据包，整改周期从原来的三个月缩短到六周。这个案例说明：监管落地不是“多套文档”，而是“一套数据资产、多套合规视图”。

四、误区与复盘：常见踩坑与纠正方向

• 误区一：把合规当法务的事。法务懂条文，但不懂数据流；必须由数据治理团队把条文转成字段级控制。
• 误区二：只做分类分级，不做动态更新。数据分类分级不是一次性项目，新增系统、新增字段、新增合作方都要触发复评。
• 误区三：忽视巴塞尔协议的数据 lineage。风险计量结果无法解释来源时，监管会质疑数据可信度，资本计算也可能被调整。
• 误区四：同意记录与数据使用脱节。收集时拿了同意，使用时却未按同意范围控制，属于典型违规。

把四类监管要求落到同一套数据治理体系中，关键在于“统一资产目录、统一控制项、统一证据链”。只有这样，金融数据治理项目才能既满足监管检查，又真正提升数据可信度和业务价值。