Cos'è la governance dei dati nel settore bancario?

La governance dei dati può essere considerata una sottodisciplina della più ampia pratica della gestione dei dati. Mentre la gestione dei dati si occupa del lavoro operativo quotidiano di acquisizione, archiviazione, protezione e elaborazione dei dati, la governance dei dati si concentra specificamente sulla qualità, sicurezza e disponibilità di tali dati. La governance dei dati stabilisce le regole e le iniziative specifiche che guidano le pratiche di gestione, spesso definendo metriche di successo.

Alla fine del 2020, le autorità di regolamentazione statunitensi hanno multato Citigroup per 400 milioni di dollari. Tuttavia, la sanzione non aveva nulla a che vedere con un trader disonesto o un investimento fallimentare. La causa risiedeva, almeno in parte, nelle carenze nella gestione dei dati da parte della banca.

L'Office of the Comptroller of the Currency (OCC) ha citato problemi relativi alla gestione del rischio, ai controlli interni e alla governance dei dati. Tra le infrazioni: Citibank non poteva aggregare in modo affidabile i propri dati sul rischio, né dimostrare agli stakeholder di avere il problema sotto controllo.¹ Pochi mesi prima della censura del 2020, Citibank aveva trasferito erroneamente 900 milioni di dollari (ai creditori di un prestito Revlon), un errore che attribuiva a un errore umano.² L'OCC, da parte sua, ha chiesto a Citibank una "riprogettazione approfondita" della propria architettura dati e la modernizzazione della sua infrastruttura IT.

Il caso di Citi era insolito per la sua portata, ma non per la sua natura. Una ricerca in un database OCC mostra che tra il 2023 e l'inizio del 2026 sono state avviate decine di azioni contro le banche per questioni legate alla governance dei dati, tra cui la gestione del rischio di conformità, registri imprecisi e problemi IT.

Le sanzioni imposte dagli enti regolatori possono essere ingenti. Nel 2024, nel settore dei servizi finanziari, queste multe hanno raggiunto un record di 19,3 miliardi di dollari a livello globale.³ In definitiva, il costo della non conformità spesso va oltre i danni finanziari, includendo danni alla reputazione e perdita di fiducia da parte dei consumatori.

Le banche spesso iniziano con un framework di governance dei dati, che stabilisce diverse cose: chiara proprietà dei dati (chi è responsabile di ogni dataset bancario), politiche di governance dei dati, tutele sulla qualità dei dati e procedure su cosa fare quando qualcosa va storto.

Poiché i dati bancari corrispondono a operazioni bancarie reali (con il benessere finanziario delle persone a rischio), la posta in gioco è più alta che in molti altri settori. I framework di governance dei dati sono pertanto cruciali per gli operatori del settore bancario.

La data lineage si riferisce al percorso che i dati compiono: da dove provengono, come si spostano e dove arrivano. Queste informazioni sono importanti per la rendicontazione regolatoria. 

La classificazione dei dati si riferisce alla pratica di etichettare i dati in base alla sensibilità in modo che si applichino i controlli giusti. Un numero di previdenza sociale, ad esempio, viene trattato con molta più cautela rispetto ai dati sul numero totale di visitatori mensili di una filiale. 

La gestione dei metadati, ovvero la gestione delle informazioni sui dati (ad esempio quando sono stati caricati e come sono definiti), aiuta le banche a mantenere i propri dati organizzati.

I metadati, spesso organizzati in un catalogo di dati simile a un dizionario, possono aiutare a chiarire cosa si intende esattamente per un campo denominato "cliente" e se quel campo può riferirsi a individui, aziende o entrambi.

Il concetto correlato ma più generale di qualità dei dati aiuta a definire (e misurare) se i database sono accurati, completi e sufficientemente tempestivi per essere affidabili.

Il sistema finanziario mondiale è una vasta e interconnessa rete internazionale. Di conseguenza, molte banche operano sotto requisiti normativi internazionali sovrapposti.

Il Comitato di Basilea per la vigilanza bancaria (BCBS) si definisce il principale organismo mondiale di definizione degli standard in materia di regolamentazione prudenziale bancaria. Ha sede presso il più antico istituto bancario internazionale del mondo (la Bank for International Settlements, fondata nel 1930). I suoi 45 membri includono i principali regolatori finanziari del mondo, come la Federal Reserve degli Stati Uniti, la Banca Centrale Europea e la Bank of Japan. 

Alcuni anni dopo la crisi finanziaria del 2008, il BCBS ha emesso il suo standard numero 239 (BCBS 239)⁴, che riguarda esplicitamente la governance dei dati. Lo standard mirava a rafforzare la gestione del rischio delle banche attraverso valutazioni del rischio migliorate, qualità dei dati e aggregazione di dati. Originariamente rivolto alle "banche di importanza sistemica globale" (G-SIB), poi alle "banche di importanza sistemica domestica" (D-SIB), le aspettative dello standard sono state adottate in tutto il settore bancario. Un rapporto McKinsey del 2024 su BCBS ha citato un "rinnovato interesse" per lo standard e una "crescente pressione sulle banche affinché soddisfino le aspettative delle autorità di regolamentazione locali", di cui la multa inflitta dall'OCC a Citibank è solo un esempio.⁵

A queste normative bancarie internazionali si aggiunge un insieme di regolamenti generali e locali privacy dei dati e sicurezza dei dati (alcuni specifici per il settore bancario, altri trasversali a tutti i settori). Ad esempio, l'ampio Regolamento generale sulla protezione dei dati (GDPR) dell'UE richiede alle banche (o a qualsiasi azienda) di sapere quali dati personali possiedono, perché li possiedono, quanto sono accurati e come li proteggono.

Negli Stati Uniti, alcuni stati hanno leggi specifiche riguardanti banche e dati. Nello Stato di New York, la regolamentazione sulla cybersecurity (23 NYCRR Part 500)⁶ impone che banche e compagnie assicurative operanti a New York adottino rigorose misure di sicurezza e valutazioni dei rischi. La legge richiede inoltre controlli di accesso, inventari degli asset con proprietà e classificazione dei dati, politiche di conservazione e pianificazione della risposta agli incidenti. 

A volte la legislazione regionale e settoriale si intreccia in modi complessi. Ad esempio, il Consumer Privacy Act (CCPA) della California influisce ampiamente su come le aziende che operano nello stato gestiscono i dati personali, anche in modi che possono influenzare alcune banche. Allo stesso tempo, la sua applicazione è limitata. Ad esempio, la legge esenta alcune informazioni personali già regolamentate dal Gramm-Leach-Bliley Act (GLBA) federale del 1999.

In sintesi, la governance dei dati conforme nel settore bancario è soggetta a un complesso reticolo di normative che si applicano a varie giurisdizioni (internazionali, locali) e tipi di dati (dati generali dei clienti, dati finanziari).

Nonostante oltre un decennio di legislazione in materia, gli organismi di regolamentazione hanno segnalato una conformità lenta e problemi ricorrenti di governance dei dati. Sempre più spesso, gli organi di regolamentazione pubblicano linee guida lunghe e dettagliate su come le banche dovrebbero dare priorità e strutturare le proprie riforme.

Nel 2024, ad esempio, la Banca Centrale Europea (BCE) ha pubblicato una "Guida sull'aggregazione di dati e la rendicontazione del rischio".⁷ Queste e altre guide vanno oltre i principi astratti, fornendo indicazioni concrete.

La BCE raccomanda di iniziare con un'attività di definizione delle priorità. Una strategia efficace di governance dei dati si concentra innanzitutto sui dati più importanti: rapporti sui rischi, informazioni finanziarie e documenti da presentare alle autorità di vigilanza. Un solido framework di governance dei dati avrà lo scopo di garantire che gli elementi critici dei dati dispongano di responsabili, standard di qualità e controlli ben definiti.

Sia il BCBS che l'ECB sottolineano l'importanza di concretizzare la proprietà dei dati, mappando specificamente chi è responsabile di un set di dati. Tali ruoli sono spesso integrati nelle funzioni aziendali e informatiche. Molte aziende formalizzano questo accordo tramite i data steward, persone nelle unità di business responsabili della custodia e della gestione della qualità dei dati (un concetto ampio che comprende accuratezza, completezza e integrità dei dati). In definitiva, l'obiettivo è che le aziende dispongano di dati di alta qualità per supportare decisioni informate e un migliore processo decisionale.

Una newsletter del 2026 del BCBS mette in evidenza il data lineage, definito come "la tracciabilità dei dati dalla loro origine al loro utilizzo finale", come una componente sempre "difficile da gestire" per le banche. Il BCBS osserva che "i sistemi legacy, gli archivi di dati distribuiti", basta pensare ai silos, "e la natura dinamica del data lineage complicano gli sforzi delle banche per garantire la tracciabilità end-to-end." Ma insiste sulla sua importanza e osserva che il data lineage ha benefici per il business, tra cui la riduzione dei costi e il miglioramento dell'efficienza.⁸

I controlli sono il filo conduttore di tutto. Le regole di validazione possono rilevare gli errori prima che si propaghino, mentre i controlli di accesso possono limitare l'accesso ai dati agli utenti autorizzati, prevenendo accessi non autorizzati. La classificazione dei dati può garantire che le informazioni sensibili vengano trattate in questo modo, mentre le politiche di conservazione e gestione del ciclo di vita possono determinare quanto tempo i dati vengono conservati e quando vengono eliminati in modo sicuro. Infine, per i workflow manuali che persistono nelle banche, la governance può introdurre processi di revisione e tracce di controllo pertinenti finché l'automazione non li sostituisce, aiutando a snellire le operazioni nel tempo.

Due forze stanno plasmando la direzione futura della governance dei dati per il settore bancario.

La prima è l'AI e l'ecosistema che la circonda. L'AI e il machine learning sono sempre più utilizzati nelle operazioni bancarie, dal rilevamento delle frodi alla valutazione delle esperienze dei clienti. In questo contesto, molte fallimenti di governance probabilmente emergeranno non come violazioni dei dati o danni alla privacy, ma come decisioni automatizzate che riguardano i clienti. Non sorprende che la Legge sull'IA dell'UE aggiunga nuovi requisiti agli obblighi esistenti di governance dei dati per i casi d'uso che coinvolgono "IA ad alto rischio".

La seconda forza è il passaggio ai dati in tempo reale nel digital banking. I dati ora si muovono più velocemente che mai. Man mano che le banche passano a pagamenti più rapidi, reporting istantaneo e monitoraggio del rischio in tempo reale, il modello tradizionale di elaborazione periodica in batch e controlli di qualità a posteriori non è più adeguato per molte aziende competitive. Pertanto, una strategia orientata al futuro in materia di dati potrebbe prevedere un sistema di governance che ne verifichi la validità man mano che i dati circolano, e non solo una volta che sono stati archiviati, garantendo così sia la conformità normativa che l'efficienza operativa.

È possibile che le banche che trattano la governance come un esercizio di conformità reattiva spendano continuamente per la correzione. In alternativa, le banche che investono in questa infrastruttura operativa potrebbero, alla fine, spendere meno, agire più rapidamente e adattarsi più facilmente alle novità future.