銀行におけるデータ・ガバナンスとは

データ・ガバナンスは、データ管理というより、より広範な実践の下位分野とみなすことができます。データ管理がデータの取得、保管、保護、処理といった日常の運用作業を網羅するのに対し、データ・ガバナンスは特にそのデータの品質、セキュリティー、可用性に焦点を当てています。データ・ガバナンスは、管理実践を導く具体的なルールと取り組みを定め、多くの場合、成功のためのメトリクスを示します。

2020年後半、米国の規制当局はCitigroupに4億米ドルの罰金を科しました。しかし、この罰金は不正なトレーダーや投資の失敗とは関係がありませんでした。そうではなく、少なくとも部分的には、同行が独自のデータを管理する方法の欠陥に起因していました。

通貨監督庁（OCC）は、リスク管理、内部統制、データ・ガバナンスに関する問題を指摘しました。指摘された問題には、シティバンクが自社のリスクデータを確実に集計できなかったことや、問題が管理下にあることを利害関係者に示せなかったことが含まれていました¹。また、2020年の行政処分のわずか数か月前には、シティバンクはレブロン向け融資の債権者に9億米ドルを誤って送金しており、その原因を人為的ミスであると説明しています²。さらにOCCは、シティバンクに対し、データ・アーキテクチャーの「徹底的な再設計」とITインフラストラクチャーのモダナイゼーションを求めました。

Citi社の事例は、規模こそ異例でしたが、種類としては異例ではありませんでした。OCCデータベースの検索によると、2023年から2026年初頭にかけて、コンプライアンス・リスク管理 、不正確な記録、ITの問題など、データ・ガバナンスに関連する問題で銀行に対して数十件の訴訟が起きていました。

規制上の罰金は高額になる可能性があります。2024年の金融サービス全体では、これらの罰金は世界で過去最高の193億米ドルに達しました³。最終的に、コンプライアンス違反のコストは、金銭的損害だけでなく、評判の低下や消費者の信頼喪失にまで及ぶことがよくあります。

銀行はデータ・ガバナンスのフレームワークから始めることがよくあります。これには、明確なデータ所有権（各銀行のデータ・セットの責任者は誰か）、データ・ガバナンスの方針、データ品質に関する保護策、問題が起きた際の対応手順など、いくつかの事項が定められています。

銀行データは実際の銀行オペレーションにマッピングされているため（人々の経済的健全性が危険にさらされている）、リスクは多くの業種よりも高くなります。したがって、データ・ガバナンス・フレームワークは、銀行業界の人々にとって非常に重要です。

データ・リネージュは、データがたどる経路、つまりデータがどこから始まり、どのように動き、どこにたどり着くかを指します。この情報は、規制報告の作成にとって重要です。

データ分類とは、適切な管理措置を適用できるよう、データの機密性に応じてラベル付けを行う手法を指します。例えば、社会保障番号は、支店の月間訪問者数のデータよりもはるかに慎重に扱われます。

メタデータ管理は基本的に、データに関するデータ（アップロード日時や定義方法など）を維持することで、銀行がデータの整理された状態を維持するのに役立ちます。

メタデータは通常、辞書のようなデータ・カタログに整理されているため、「顧客」というラベルの付いたフィールドが正確に何を意味するのか、またそのフィールドが個人、企業、またはその両方を指すのかが明確になります。

関連性はありますが、より一般的なデータ品質の概念は、データベースが正確で、完全で、信頼するのに十分なくらいタイムリーであるかどうかを定義（および測定）するのに役立ちます。

世界の金融システムは、広大で相互に接続された国際ネットワークです。そのため、多くの銀行は重複する国際的な規制要件の下で運営しています。

Basel Committee on Banking Supervision（BCBS）は、自らをプルーデンシャル銀行規制の主要なグローバル基準設定組織であると表現しています。これは、世界最古の国際銀行機関（国際決済銀行、1930年設立）にあります。45の加盟国には、米国連邦準備制度、欧州中央銀行、日本銀行などの世界の主要な金融規制当局が含まれています。

2008年の金融危機から数年後、BCBSはデータ・ガバナンスを真っ向から取り上げた標準番号239（BCBS 239）⁴を発行しました。この基準は、リスク評価の改善、測定可能なデータ品質、リスク・データの集約を通じて、銀行のリスク管理を強化することを目的としていました。この基準は、もともと「グローバルなシステム上重要な銀行」（G-SIB）を対象としており、その後「国内のシステム上重要な銀行」（D-SIB）も対象となり、この基準の期待は銀行セクター全体で採用されています。BCBSに関する2024年のマッキンゼーのレポートでは、基準に「再び焦点が当てられる」ことと、「現地の規制当局の期待に応えるよう銀行への圧力が高まっている」ことが挙げられています。OCCのCitibankへの罰金はその一例にすぎません。⁵

これらの国際銀行規制の上には、一般的およびローカルなデータ・プライバシーおよび データ・セキュリティーに関する規制(銀行特有のものもあれば業種に依存しないものもあります)が混在しています。例えば、EUの包括的な一般データ保護規則（GDPR）は、銀行（あるいはあらゆる企業）に、どのような個人データを保有しているのか、なぜ所有しているのか、それがどれほど正確で、どのように保護しているのかを知ることを求めています。

米国の一部の州では、銀行とデータに関する特定の法律が制定されています。ニューヨーク州では、サイバーセキュリティー規制（23 NYCRR Part 500）⁶により、ニューヨークで事業を展開する銀行や保険会社に対し、厳格なセキュリティ対策とリスク評価の実施が義務付けられています。この法律では、アクセス制御、データの所有権と分類を伴う資産インベントリー、保存ポリシー、インシデント対応計画も義務付けられています。

場合によっては、地域やセクター固有の法律が複雑に交差することもあります。例えば、 カリフォルニア州の消費者プライバシー法(CCPA)は 、州内で事業を行う企業が個人データをどのように扱うかに広く影響を与えており、その中には一部の銀行にも影響を及ぼす可能性があります。同時に、その適用範囲は限定されています。例えば、この法律では、1999年の連邦グラム・リーチ・ブライリー法（GLBA）によってすでに規制されている特定の個人情報は適用対象外とされています。

まとめると、銀行におけるコンプライアンスに準拠したデータ・ガバナンスは、さまざまな管轄権（国際的、地域的）およびデータ・タイプ（一般顧客データ、金融データ）に適用される複雑な規制の枠組みの対象となっています。

この問題に関して10年以上にわたって法律が制定されているにもかかわらず、規制当局はコンプライアンスの遅れや根強いデータ・ガバナンスの課題を報告しています。規制当局は、銀行がどのように改革を優先し、構成すべきかについて、長文かつ詳細なガイダンスを発表するケースが増えています。

たとえば、2024年に、欧州中央銀行（ECB）は20ページの「効果的なリスクデータの集計とリスク報告に関するガイド」を発表しました⁷。これらの指針やその他の指針は、抽象的な原則を超え、具体的な指針にまで及びます。

ECBは、優先順位付けの作業から始めることを推奨しています。効果的なデータ・ガバナンス戦略では、リスク・レポート、財務データの開示、監督当局への提出物など、最も重要なデータに最初に焦点を当てています。堅牢なデータ・ガバナンス・フレームワークは、クリティカルなデータ要素にデータの所有者、品質基準、管理が定義されていることを目標としています。

BCBSとECBはどちらも、データの所有権を明確にし、特定のデータ・セットの責任者を具体的にマッピングすることの重要性を強調しています。このような役割は、多くの場合、ビジネスおよびIT機能全体に組み込まれています。多くの企業は、この体制をデータ管理者を通じて正式に定めています。データ管理者とは、管理やデータ品質管理（データの正確性、完全性、 データの整合性を含む広範な概念）を担当する事業部門の人々です。最終的な目標は、企業が情報に基づいた意思決定とより優れた意思決定をサポートするために、高品質のデータを保有することです。

BCBSが2026年に発行したニュースレターでは、「データの発生源から最終的な使用に至るまでの追跡可能性」と定義されるデータ・リネージュが、銀行にとって常に「課題となるコンポーネント」であると指摘しています。BCBSは「レガシー・システム、分散したデータ資産」—これはいわゆるサイロを考えてください—「およびデータ・リネージュの動的な性質が、銀行のエンド・ツー・エンドのトレーサビリティ確認の取り組みを複雑にしています」と記録しています。一方で、その重要性を強調し、データ・リネージュにはコスト削減や効率向上など、本来的にビジネス上のメリットがあると主張しています。⁸

コントロールは、全体をつなぎます。検証ルールでエラーが広がる前に検出でき、アクセス制御でデータ・アクセスを許可されたユーザーだけに制限して、不正アクセスを防ぐことができます。データ分類により、機密情報がそのように扱われることが保証されます。一方、保持ポリシーとライフサイクル管理ポリシーにより、データの保管期間と安全な廃棄時期を管理できます。最後に、銀行に根強く存在する手動のワークフローについては、これが自動化に取って代わるまで、ガバナンスがレビュープロセスや監査証跡を設け、時間をかけて業務の効率化をサポートすることができします。

銀行のデータ・ガバナンスの将来の方向性を形作る要因は2つあります。

1つ目はAIとそれを取り巻くエコシステムです。AIや機械学習は、不正アクセス検知から顧客体験のスコアリングに至るまで、ますます銀行業務全体で活用されています。このような環境下では、多くのガバナンスの失敗が、データ侵害やプライバシーへの危害としてではなく、顧客に影響を与える自動化された意思決定として表れやすくなります。EUのAI法が「ハイリスクAI」を含むユースケースに関する既存のデータ・ガバナンス義務に新たな要件を重ねるのは驚くことではありません。

2つ目の力は、デジタル・バンキングにおけるリアルタイム・データへの移行です。データはこれまでにないほど速く移動します。銀行がより迅速な決済、即時報告、ライブ・リスク・モニタリングに動くなかで、定期的なバッチ処理と事後の品質チェックという従来のモデルは、多くの競合他社にとってもはや適切ではありません。したがって、将来を見据えたデータ・ストラテジーには、データが到達した後だけでなく、移動中にデータを検証し、コンプライアンスと運用効率の両方を維持するガバナンスが含まれる場合があります。

ガバナンスを受動的なコンプライアンスの取り組みとして扱う銀行は、修復の費用を継続的に支出することになるかもしれません。あるいは、運用インフラストラクチャーとして投資する銀行は、最終的には支出を削減し、より速く移行し、次に起こるものに適応しやすくするかもしれません。