3. 治理与基础设施
BCBS 239 的整改从来不是“数据部门自己的项目”。它首先是一场治理工程：董事会要承担最终责任，高管层要把风险数据聚合能力纳入经营管理，业务、风险、财务、IT 与合规要在同一套组织架构和政策流程下协同。若治理缺位，再先进的数据平台也只能产出“不可信的数据”。本节聚焦三个支点：董事会与高管层职责、数据治理组织架构、政策与流程要求。
一、核心原理：治理是风险数据聚合的“控制面”
BCBS 239 的 14 项原则中，治理类原则（原则 1—3）位于最前端，原因在于：风险数据聚合（RDARR）本质上是跨部门、跨系统、跨流程的能力，只有治理机制才能提供权威性、资源与问责。可以把它理解为“控制面”与“数据面”的关系：数据面负责采集、加工、报送；控制面负责定标准、分责任、配资源、做监督。控制面失效，数据面必然失控。
二、董事会与高管层职责：从“听取汇报”到“主动问责”
监管检查中最常见的治理缺陷，是董事会只在年度报告里“知悉”RDARR 事项，高管层把整改完全授权给项目组。BCBS 239 要求的是实质性监督。董事会应批准风险数据聚合的战略与风险偏好，明确可接受的数据质量容忍度，并定期审议整改进度、重大例外和内审结论。高管层则要把 RDARR 目标分解为可考核的经营指标，配置预算与人力，并对跨部门争议做最终裁决。
- 董事会层面：批准战略与风险偏好；审议季度整改报告；对重大数据事件问责；确保内审独立评估。
- 高管层层面：任命数据负责人（Data Owner）与数据管家（Data Steward）；批准政策与标准；审议 KPI/KRI；协调业务与 IT 资源。
- 问责机制：将数据质量指标纳入高管与部门绩效考核，形成“谁产生数据、谁负责质量”的约束。
三、数据治理组织架构：三层架构与职责边界
有效的数据治理组织通常采用“决策层—管理层—执行层”三层架构。决策层是数据治理委员会，由 CRO 或 CDO 主持，成员覆盖风险、财务、业务、IT、合规；管理层是数据治理办公室（DGO），负责标准制定、元数据管理、数据质量监控与整改跟踪；执行层是各业务条线的数据所有者与数据管家，负责本领域数据的定义、采集、校验与问题修复。
| 层级 | 典型角色 | 核心职责 | 关键产出 |
|---|---|---|---|
| 决策层 | 数据治理委员会 | 批准政策、标准与优先级，裁决跨部门争议 | 政策决议、优先级清单 |
| 管理层 | DGO / CDO 办公室 | 制定标准、管理元数据、监控数据质量、跟踪整改 | 数据标准、质量报告、整改台账 |
| 执行层 | 数据所有者 / 数据管家 | 定义数据、执行校验、修复问题、上报例外 | 数据字典、校验规则、问题工单 |
| 监督层 | 内审 / 合规 | 独立评估治理有效性，验证整改闭环 | 内审报告、整改验证结论 |
组织架构设计的关键不是“设了多少委员会”，而是职责边界是否清晰、接口是否顺畅。常见做法是用 RACI 矩阵明确每类数据活动的负责、批准、咨询与知会角色，避免“人人有责等于无人负责”。
四、政策与流程要求：让治理可执行、可审计
政策与流程是治理落地的载体。BCBS 239 要求银行建立覆盖数据全生命周期的政策体系，包括数据治理政策、数据标准管理办法、数据质量管理规程、元数据管理规程、数据安全与权限管理办法等。流程层面，至少要打通“数据定义—采集—加工—报送—监控—问题修复—例外上报”的闭环。
- 数据定义与标准：统一风险数据项的业务定义、计算口径与归属系统，形成数据字典。
- 数据质量监控：设定完整性、准确性、及时性、一致性指标，配置阈值与告警。
- 问题管理与整改：建立工单机制，明确责任人、时限与升级路径。
- 例外与豁免：对无法立即整改的事项，走正式审批并设定补偿控制与到期日。
- 变更管理：系统、模型、报表变更前评估对风险数据聚合的影响。
数据质量监控规则示例（伪配置）：
rule_id: DQ-RISK-001
data_item: 交易对手违约暴露
dimension: 完整性
check: 非空率 >= 99.5%
owner: 信用风险数据管家
frequency: 每日
threshold_warn: 99.0%
threshold_breach: 98.0%
escalation: DGO -> 数据治理委员会
五、案例与复盘：一次监管检查暴露的治理断点
某银行在监管检查中被指出：风险报告中的部分暴露数据与总账不一致，且差异原因无法追溯。复盘发现，问题不在技术，而在治理：数据所有者未明确，数据标准由 IT 单方面定义，业务部门不认可；数据质量问题以邮件流转，无工单、无时限；数据治理委员会半年未开会，例外事项积压。整改措施包括：重新任命数据所有者与数据管家，发布数据标准管理办法，上线数据质量工单系统，并将 RDARR 整改纳入高管绩效考核。六个月后，数据一致性显著提升，监管复查通过。
这个案例说明：治理与基础设施不是“软性要求”，而是决定整改成败的硬约束。董事会与高管层的实质参与、清晰的组织架构、可执行的政策流程，三者缺一不可。只有把治理闭环真正转起来，BCBS 239 的整改才能从“项目交付”走向“常态运营”。