¿Qué es el gobierno de datos en la banca?

El gobierno de datos puede considerarse una subdisciplina de la práctica más amplia de la gestión de datos. Mientras que la gestión de datos abarca el trabajo operativo diario de adquirir, almacenar, proteger y procesar datos, el gobierno de datos se centra específicamente en la calidad, seguridad y disponibilidad de esos datos. El gobierno de datos establece las reglas e iniciativas específicas que guían las prácticas de gestión, a menudo estableciendo métricas para el éxito.

A finales de 2020, los reguladores estadounidenses multaron a Citigroup con 400 millones de dólares. Sin embargo, la sanción no tuvo nada que ver con un comerciante deshonesto o una inversión fallida. Más bien se derivó, al menos en parte, de deficiencias en la forma en que el banco gestionaba sus propios datos.

La Oficina del Contralor de la Moneda (OCC) citó problemas relacionados con la gestión de riesgos, los controles internos y el gobierno de datos. Entre las infracciones: Citibank no pudo agregar de forma fiable sus propios datos de riesgo, ni pudo demostrar a los stakeholders que tenía el problema bajo control. ¹ Pocos meses antes de la censura de 2020, Citibank había transferido erróneamente 900 millones de dólares (a los acreedores de un préstamo de Revlon), un error que atribuyó a un error humano. ² La OCC, por su parte, exigió a Citibank un "rediseño exhaustivo" de su arquitectura de datos y la modernización de su infraestructura de TI.

El caso de Citi fue inusual en escala, pero no en especie. Una búsqueda en una base de datos de la OCC muestra que, entre 2023 y principios de 2026, interpuso docenas de acciones contra los bancos por cuestiones relacionadas con el gobierno de datos, incluida la gestión de riesgos de cumplimiento, registros inexactos y problemas de TI.

Las multas reglamentarias pueden ser sustanciales. En el sector de los servicios financieros, en 2024 estas multas alcanzaron la cifra récord de 19.300 millones de dólares a nivel mundial.³ En última instancia, el coste del incumplimiento a menudo se extiende más allá de los daños financieros a los daños a la reputación y la pérdida de confianza de los consumidores.

Los bancos suelen empezar con un marco de gobierno de datos, que establece varias cosas: una propiedad clara de los datos (quién es el responsable de cada conjunto de datos bancarios), políticas de gobierno de los datos, salvaguardias en torno a la calidad de los datos y procedimientos sobre qué hacer cuando algo sale mal.

Dado que los datos bancarios corresponden a operaciones bancarias reales (con el bienestar financiero de las personas en riesgo), lo que está en juego es mayor que en muchos sectores. Por tanto, los marcos de gobierno de datos son cruciales para los miembros del sector bancario.

El linaje de datos se refiere a la ruta que toman los datos: dónde comienzan, cómo se mueven y dónde terminan. Esta información es importante para la elaboración de informes regulatorios. 

La clasificación de datos se refiere a la práctica de etiquetar los datos según su sensibilidad para que se apliquen los controles correctos. Por ejemplo, el número de la Seguridad Social se gestiona con mucho más cuidado que los datos del número total de visitas mensuales de una sucursal. 

La gestión de metadatos—que consiste básicamente en mantener información sobre los datos (como cuándo se subieron y cómo están definidos)— ayuda a los bancos a mantener sus datos organizados.

Los metadatos, que a menudo se organizan en un catálogo de datos tipo diccionario, pueden ayudar a eliminar la ambigüedad de qué se entiende exactamente con un campo denominado "cliente" y si ese campo puede hacer referencia a personas, empresas o a ambas.

El concepto relacionado, pero más general, de calidad de los datos ayuda a definir (y medir) si las bases de datos son lo suficientemente precisas, completas y oportunas como para confiar en ellas.

El sistema financiero mundial es una red internacional extensa e interconectada. Como tal, muchos bancos operan con requisitos reglamentarios internacionales superpuestos.

El Comité de Supervisión Bancaria(BCBS) de Basilea se describe a sí mismo como el principal organismo mundial que establece normas para la regulación bancaria prudencial. Se encuentra en la institución bancaria internacional más antigua del mundo (el Banco de Pagos Internacionales, fundado en 1930). Entre sus 45 miembros se encuentran los principales reguladores financieros del mundo, como la Reserva Federal de Estados Unidos, el Banco Central Europeo y el Banco de Japón. 

Unos años después de la crisis financiera de 2008, el BCBS emitió su estándar número 239 (BCBS 239)⁴, que aborda directamente el gobierno de datos. La norma tenía como objetivo reforzar la gestión de riesgos de los bancos mediante la mejora de evaluaciones de riesgos, calidad de los datos y agregación de dato. Originalmente dirigida a los "bancos de importancia sistémica mundial" (G-SIB), y luego a los "bancos de importancia sistémica nacional" (D-SIB), las expectativas de la norma se han adoptado en todo el sector bancario. Un informe de McKinsey de 2024 sobre el BCBS citó un “enfoque renovado” en el estándar y una “creciente presión sobre los bancos para que cumplan con las expectativas de los reguladores locales”, de lo cual la multa impuesta por la OCC a Citibank es solo un ejemplo.⁵

A estas normas bancarias internacionales se suma una combinación de normas generales y locales sobre protección de datos y seguridad de datos (algunas centradas en la banca, otras independientes del sector). Por ejemplo, el amplio Reglamento General de Protección de Datos (RGPD) de la UE exige que los bancos (o cualquier empresa) sepan qué datos personales tienen, por qué los tienen, cómo de precisos son y cómo los protegen.

En EE. UU., algunos estados tienen legislación específica relativa a los bancos y los datos. En el estado de Nueva York, la regulación de ciberseguridad (23 NYCRR Parte 500)⁶ exige que los bancos y compañías de seguros que operan en Nueva York implementen estrictas medidas de seguridad y evaluaciones de riesgos. La ley también exige controles de acceso, inventarios de activos con propiedad y clasificación de datos, políticas de retención y planificación de respuesta a incidentes . 

A veces, la legislación regional y sectorial se cruza de formas complejas. Por ejemplo, la Ley de Privacidad del Consumidor de California (CCPA, por sus siglas en inglés) afecta de manera general la forma en que las empresas que operan en el estado manejan los datos personales, incluso de maneras que pueden afectar a algunos bancos. Al mismo tiempo, su aplicación es limitada. Por ejemplo, la ley exime cierta información personal ya regulada por la Ley federal Gramm-Leach-Bliley (GLBA) de 1999.

En resumen, el gobierno de datos conforme en la banca está sujeto a una compleja red de regulaciones que se aplican a diversas jurisdicciones (internacionales, locales) y tipos de datos (datos generales de clientes, datos financieros).

A pesar de más de una década de legislación al respecto, los organismos reguladores han informado de un cumplimiento lento y de retos persistentes en el gobierno de datos. Cada vez más, los reguladores publican guías extensas y detalladas sobre cómo los bancos deberían priorizar y estructurar sus reformas.

En 2024, por ejemplo, el Banco Central Europeo (BCE) publicó una “Guía sobre la agregación de datos de riesgo y la presentación de informes de riesgo” de 20 páginas.⁷ Estas y otras guías van más allá de los principios abstractos y se extienden a una orientación concreta.

El BCE recomienda empezar con un ejercicio de priorización. Una estrategia eficaz de gobierno de datos se centra primero en los datos más importantes: informes de riesgos, divulgaciones de datos financieros y presentaciones de supervisión. Un marco sólido de gobierno de datos tendrá como objetivo garantizar que los elementos de datos críticos tengan propietarios de datos, estándares de calidad y controles definidos.

Tanto el BCBS como el BCE subrayan la importancia de concretar la propiedad de los datos, mapeando específicamente quién es responsable de un conjunto de datos determinado. Estas funciones suelen estar integradas en las funciones empresariales y de TI. Muchas empresas formalizan este acuerdo a través de administradores de datos, personas de las unidades de negocio responsables de la custodia y la gestión de la calidad de los datos (en sí mismo un concepto amplio que incluye la precisión, la integridad y la integridad de los datos). En última instancia, el objetivo es que las empresas dispongan de datos de alta calidad que respalden decisiones informadas y mejores tomas de decisiones.

Un boletín de 2026 del BCBS señala el linaje de datos, que define como "la trazabilidad de los datos desde su origen hasta su uso final", como un "componente desafiante" persistente para los bancos. BCBS señala que “los sistemas heredados, los ecosistemas de datos distribuidos” (es decir, los silos de datos)“ y la naturaleza dinámica del linaje de datos complican los esfuerzos de los bancos para confirmar la trazabilidad de extremo a extremo.” Pero insiste en su importancia y señala que el linaje de datos tiene beneficios empresariales inherentes, como la reducción de costes y la mejora de la eficiencia.⁸

Los controles unen todo. Las reglas de validación pueden detectar errores antes de que se propaguen, mientras que los controles de acceso pueden limitar el acceso a datos a los usuarios autorizados, evitando el acceso no autorizado. La clasificación de datos puede garantizar que la información confidencial se trate de esa manera, mientras que las políticas de retención y gestión del ciclo de vida pueden regular cuánto tiempo se conservan los datos y cuándo se eliminan de forma segura. Por último, en el caso de los flujos de trabajo manuales que persisten en los bancos, el gobierno puede centrarlos en los procesos de revisión y los registros de auditoría hasta que la automatización los sustituya, lo que ayuda a racionalizar las operaciones con el tiempo.

Dos fuerzas están moldeando la dirección futura del gobierno de datos en la banca.

La primera es la IA y el ecosistema que la rodea. La IA y el machine learning se utilizan cada vez más en operaciones bancarias, desde la detección del fraude hasta la evaluación de la experiencia del cliente. En este entorno, es probable que muchos fallos de gobierno salgan a la luz, no como vulneraciones de datos o daños a la privacidad, sino como decisiones automatizadas que afectan a los clientes. No sorprende que la Ley de IA de la UE imponga nuevas obligaciones de gobierno de datos sobre las existentes para los casos de uso que involucran la "IA de alto riesgo".

La segunda fuerza es el cambio hacia los datos en tiempo real en la banca digital. Los datos ahora se mueven más rápido que nunca. A medida que los bancos se mueven hacia pagos más rápidos, informes instantáneos y monitorización de riesgos en tiempo real, el modelo tradicional de procesamiento por lotes periódico y comprobaciones de calidad a posteriori ya no es suficiente para muchas empresas competitivas. Por lo tanto, una estrategia de datos con visión de futuro podría incluir un sistema de gobierno que valide los datos a medida que se transmiten, y no solo una vez que se almacenan, garantizando así tanto el cumplimiento normativo como la eficiencia operativa.

Podría darse el caso de que los bancos que tratan el gobierno como un ejercicio de cumplimiento reactivo gasten continuamente en corrección. Alternativamente, los bancos que invierten en ella como infraestructura operativa podrían acabar gastando menos, moverse más rápido y tener más facilidad para adaptarse a lo que venga después.