O que é governança de dados no setor bancário?

A governança de dados pode ser considerada uma subdisciplina da prática mais ampla de gerenciamento de dados. Enquanto o gerenciamento de dados abrange o trabalho operacional do dia a dia de aquisição, armazenamento, proteção e processamento dos dados, a governança de dados se concentra especificamente na qualidade, na segurança e na disponibilidade desses dados. A governança de dados estabelece as regras e iniciativas específicas que orientam as práticas de gerenciamento, muitas vezes definindo métricas de sucesso.

No final de 2020, os órgãos reguladores dos EUA multaram o Citigroup em USD 400 milhões. No entanto, a penalidade não tinha nada a ver com um operador desonesto ou um investimento fracassado. Ela decorria, ao menos em parte, de deficiências na forma como o banco gerenciava os próprios dados.

O Escritório do Controlador da Moeda (OCC) citou problemas com gestão de riscos, controles internos e governança de dados. Entre as infrações: o Citibank não conseguia agregar de forma confiável os próprios dados de risco, nem demonstrar aos stakeholders que tinha o problema sob controle.¹ Poucos meses antes da censura de 2020, o Citibank havia transferido por engano USD 900 milhões (a credores de um empréstimo da Revlon), um erro que atribuiu a falha humana.² O OCC, por sua vez, exigiu do Citibank uma "reformulação completa" de sua arquitetura de dados e a modernização de sua infraestrutura de TI.

O caso do Citi foi incomum em escala, mas não em natureza. Uma consulta a um banco de dados do OCC mostra que, entre 2023 e o início de 2026, o órgão moveu dezenas de ações contra bancos por questões relacionadas à governança de dados, incluindo gerenciamento de riscos de conformidade, registros imprecisos e problemas de TI.

As multas regulatórias podem ser substanciais. Em todo o setor de serviços financeiros, essas multas atingiram, em 2024, um recorde global de USD 19,3 bilhões.³ Em última análise, o custo da não conformidade muitas vezes vai além dos danos financeiros e atinge danos à reputação e a perda da confiança do consumidor.

Os bancos costumam começar com um framework de governança de dados, que estabelece vários elementos: propriedade clara dos dados (quem é responsável por cada conjunto de dados bancários), políticas de governança de dados, proteções relacionadas à qualidade dos dados e procedimentos sobre o que fazer quando algo dá errado.

Como os dados bancários correspondem a operações bancárias reais (com o bem-estar financeiro das pessoas em jogo), os riscos são mais altos do que em muitos outros setores. Por isso, os frameworks de governança de dados são cruciais para os integrantes do setor bancário.

A linhagem de dados diz respeito ao trajeto que os dados percorrem: onde começam, como migram e onde terminam. Essa informação é importante para os relatórios regulatórios.

A classificação de dados diz respeito à prática de rotular os dados por nível de sensibilidade para que os controles adequados sejam aplicados. Por exemplo, um número de Seguro Social é tratado com muito mais cautela do que os dados sobre o número total de visitantes mensais de uma agência.

A gestão de metadados, basicamente manter dados sobre dados (como quando foram carregados e como são definidos), ajuda os bancos a manterem seus dados organizados.

Os metadados, muitas vezes organizados em um catálogo de dados semelhante a um dicionário, podem ajudar a esclarecer o que exatamente significa um campo rotulado como "cliente" e se esse campo pode se referir a pessoas físicas, empresas ou ambos.

O conceito relacionado, porém mais geral, de qualidade de dados ajuda a definir (e medir) se os bancos de dados são precisos, completos e atuais o suficiente para serem confiáveis.

O sistema financeiro mundial é uma rede internacional vasta e interconectada. Assim, muitos bancos operam sob requisitos regulatórios internacionais que se sobrepõem.

O Comitê de Supervisão Bancária de Basileia (BCBS) se descreve como o principal órgão normatizador global para a regulação prudencial bancária. Ele está sediado na mais antiga instituição bancária internacional do mundo (o Banco de Compensações Internacionais, fundado em 1930).Seus 45 membros incluem os principais órgãos reguladores financeiros do mundo, como o Federal Reserve dos EUA, o Banco Central Europeu e o Banco do Japão.

Alguns anos após a crise financeira de 2008, o BCBS publicou sua norma número 239 (BCBS 239)⁴, que trata diretamente da governança de dados. A norma visava reforçar o gerenciamento de riscos dos bancos por meio de melhores avaliações de risco, qualidade de dados mensurável e agregação de dados de risco. Originalmente voltada para os "bancos de importância sistêmica global" (G-SIBs) e, depois, para os "bancos de importância sistêmica doméstica" (D-SIBs), a norma teve suas expectativas adotadas em todo o setor bancário. Um relatório da McKinsey de 2024 sobre o BCBS citou um "foco renovado" na norma e uma "pressão crescente sobre os bancos para atender às expectativas dos órgãos reguladores locais", pressão da qual a multa do OCC ao Citibank é apenas um exemplo.⁵

A essas regulamentações bancárias internacionais soma-se um conjunto de regulamentações gerais e locais de privacidade e segurança de dados (algumas voltadas ao setor bancário, outras independentes de setor). Por exemplo, o abrangente Regulamento Geral de Proteção de Dados (RGPD) da UE exige que os bancos (ou, na verdade, qualquer empresa) saibam quais dados pessoais possuem, por que os têm, quão precisos são e como os protegem.

Nos EUA, alguns estados têm legislação específica sobre bancos e dados. No estado de Nova York, a regulamentação de cibersegurança (23 NYCRR Part 500)6 determina que os bancos e as seguradoras que operam em Nova York implementem medidas de segurança e avaliações de risco rigorosas. A lei também exige controles de acesso, inventários de ativos com propriedade e classificação de dados, políticas de retenção e planejamento de resposta a incidentes.

Às vezes, as legislações regionais e setoriais se cruzam de maneiras complexas. Por exemplo, a Lei de Privacidade do Consumidor da Califórnia (CCPA) afeta amplamente a forma como as empresas que atuam no estado tratam os dados pessoais, inclusive de maneiras que podem atingir alguns bancos. Ao mesmo tempo, sua aplicação é limitada. Por exemplo, a lei isenta certas informações pessoais já regulamentadas pela Lei Federal Gramm-Leach-Bliley (GLBA), de 1999.

Em suma, no setor bancário, uma governança de dados em conformidade com as normas está sujeita a um complexo emaranhado de regulamentações que se aplicam a diversas jurisdições (internacionais, locais) e tipos de dados (dados gerais de clientes, dados financeiros).

Apesar de mais de uma década de legislação sobre o assunto, os órgãos reguladores relataram uma conformidade lenta e desafios persistentes de governança de dados. Cada vez mais, os órgãos reguladores publicam orientações longas e detalhadas sobre como os bancos devem priorizar e estruturar suas reformas.

Em 2024, por exemplo, o Banco Central Europeu (ECB) publicou um guia de 20 páginas intitulado "Guide on effective risk data aggregation and risk reporting".⁷ Esses e outros guias vão além de princípios abstratos e chegam a orientações concretas.

O ECB recomenda começar por um exercício de priorização. Uma estratégia eficaz de governança de dados concentra-se primeiro nos dados mais importantes: relatórios de risco, divulgações de dados financeiros e envios às autoridades supervisoras. Um framework sólido de governança de dados busca garantir que os elementos de dados críticos tenham proprietários de dados definidos, padrões de qualidade e controles.

Tanto o BCBS quanto o ECB ressaltam a importância de concretizar a propriedade dos dados, mapeando especificamente quem responde por um determinado conjunto de dados. Essas funções costumam estar incorporadas nas áreas de negócios e de TI. Muitas empresas formalizam esse arranjo por meio de curadores de dados, pessoas nas unidades de negócios responsáveis pela custódia e pelo gerenciamento da qualidade dos dados (em si um conceito amplo que abrange precisão, completude e integridade dos dados). Em última análise, o objetivo é que as empresas tenham dados de alta qualidade para embasar decisões informadas e uma melhor tomada de decisão.

Um boletim informativo de 2026 do BCBS aponta a linhagem de dados, que define como "a rastreabilidade dos dados desde sua origem até seu uso final", como um "componente desafiador" persistente para os bancos. O BCBS observa que "sistemas legados, patrimônios de dados distribuídos" (pense em silos de dados) "e a natureza dinâmica da linhagem de dados dificultam os esforços dos bancos para confirmar a rastreabilidade de ponta a ponta". Mas ele insiste em sua importância e observa que a linhagem de dados traz benefícios inerentes aos negócios, incluindo redução de custos e maior eficiência.⁸

Os controles unem tudo. As regras de validação podem detectar erros antes que se propaguem, enquanto os controles de acesso podem restringir o acesso aos dados apenas a usuários autorizados, impedindo acessos não autorizados. A classificação de dados pode garantir que informações sensíveis sejam tratadas como tal, enquanto as políticas de retenção e de gerenciamento do ciclo de vida podem determinar por quanto tempo os dados são mantidos e quando são descartados com segurança. Por fim, para os fluxos de trabalho manuais que persistem nos bancos, a governança pode cercá-los de processos de revisão e trilhas de auditoria até que a automação os substitua, ajudando a agilizar as operações ao longo do tempo.

Duas forças estão moldando a direção futura da governança de dados para o setor bancário.

A primeira é a IA e o ecossistema em torno dela.A IA e o aprendizado de máquina são cada vez mais usados em todas as operações bancárias, da detecção de fraudes à pontuação das experiências dos clientes. Nesse ambiente, é provável que muitas falhas de governança se manifestem não como violações de dados ou danos à privacidade, mas como decisões automatizadas que afetam os clientes.Não é surpresa que a Lei de IA da UE acrescente novos requisitos às obrigações de governança de dados já existentes para casos de uso que envolvam "IA de alto risco".

A segunda força é a virada rumo aos dados em tempo real no setor bancário digital. Os dados agora circulam mais rápido do que nunca. À medida que os bancos avançam rumo a pagamentos mais rápidos, relatórios instantâneos e monitoramento de risco em tempo real, o modelo tradicional de processamento em lote periódico e de verificações de qualidade a posteriori já não é adequado para muitas empresas competitivas. Assim, uma estratégia de dados voltada para o futuro pode incluir uma governança que valida os dados enquanto circulam, e não apenas depois que chegam ao destino, mantendo tanto a conformidade quanto a eficiência operacional.

Pode ser que os bancos que tratam a governança como um exercício reativo de conformidade acabem gastando continuamente com remediação. Por outro lado, os bancos que investem nela como infraestrutura operacional podem, no fim, gastar menos, agir mais rápido e ter mais facilidade para se adaptar ao que vier a seguir.