¿Qué es la gobernanza de datos en la banca?

La gobernanza de datos puede considerarse una subdisciplina de la práctica más amplia de la gestión de datos. Mientras que la gestión de datos cubre el trabajo operativo diario de adquirir, almacenar, proteger y procesar datos, la gobernanza de datos se centra específicamente en la calidad, seguridad y disponibilidad de esos datos. La gobernanza de datos establece las reglas e iniciativas específicas que guían las prácticas de gestión, a menudo estableciendo métricas para el éxito.

A finales de 2020, los entes reguladores estadounidenses multaron a Citigroup con 400 millones de dólares. Sin embargo, la sanción no tuvo nada que ver con un comerciante deshonesto o una inversión fallida. Más bien derivó, al menos en parte, de deficiencias en la forma en que el banco manejaba sus propios datos.

La Office of the Comptroller of the Currency (OCC) citó problemas relacionados con la gestión de riesgos, los controles internos y la gobernanza de datos. Entre las infracciones: Citibank no pudo agregar de forma confiable sus propios datos de riesgo, ni pudo demostrar a los stakeholders que tenía el problema bajo control.¹ Pocos meses antes de la censura de 2020, Citibank transfirió erróneamente 900 millones de dólares (a los acreedores de un préstamo de Revlon), una falla que atribuyó a un error humano.² La OCC, por su parte, exigió a Citibank un “rediseño exhaustivo” de su arquitectura de datos y modernización de su infraestructura de TI.

El caso de Citi fue inusual en escala, pero no en especie. Una búsqueda en una base de datos de la OCC muestra que entre 2023 y principios de 2026, llevó docenas de acciones contra bancos por temas relacionados con la gobernanza de datos, incluida la gestión de riesgos de cumplimiento, registros inexactos y problemas de TI.

Las multas regulatorias pueden ser considerables. En el sector de los servicios financieros en 2024, estas multas alcanzaron la cifra récord de 19.300 millones de dólares a nivel mundial.³ En última instancia, el costo del incumplimiento a menudo se extiende más allá de los daños financieros a los daños a la reputación y la pérdida de confianza del consumidor.

Los bancos a menudo comienzan con una infraestructura de gobernanza de datos, que establece varias cosas: propiedad clara de los datos (quién es responsable de cada conjunto de datos bancarios), políticas de gobernanza de datos, salvaguardas en torno a la calidad de los datos y procedimientos sobre qué hacer cuando algo sale mal.

Debido a que los datos bancarios se asignan a operaciones bancarias reales (con el bienestar financiero de las personas en riesgo), lo que está en juego es mayor que en muchas industrias. Por lo tanto, los marcos de gobernanza de datos son cruciales para los miembros de la industria bancaria.

El linaje de datos se refiere a la ruta que toman los datos: dónde comienzan, cómo se mueven y dónde terminan. Esta información es importante para los informes regulatorios. 

La clasificación de datos se refiere a la práctica de etiquetar datos por sensibilidad por lo que se aplican los controles adecuados. Por ejemplo, un número de seguro social se maneja con mucha más cautela que los datos sobre el número total de visitantes mensuales de una sucursal. 

La gestión de metadatos —que consiste básicamente en mantener información sobre los datos (como cuándo se subieron y cómo están definidos)— ayuda a los bancos a mantener sus datos organizados.

Los metadatos, a menudo organizados en un catálogo de datos similar a un diccionario, pueden ayudar a desambiguar qué se entiende exactamente por un campo etiquetado como “cliente” y si ese campo puede referirse a personas, empresas o ambos.

El concepto relacionado, pero más general de calidad de datos ayuda a definir (y medir) si las bases de datos son precisas y completas y lo suficientemente oportunas como para ser confiables.

El sistema financiero mundial es una red internacional extensa e interconectada. Como tal, muchos bancos operan bajo requisitos regulatorios internacionales superpuestos.

El Comité de Supervisión Bancaria de Basilea (BCBS) se describe como el principal organismo mundial de normas para la regulación bancaria prudencial. Se encuentra en la institución bancaria internacional más antigua del mundo (el Banco de Pagos Internacionales, fundado en 1930). Sus 45 miembros incluyen a los principales organismos reguladores financieros del mundo, como la Reserva Federal de Estados Unidos, el Banco Central Europeo y el Banco de Japón. 

Pocos años después de la crisis financiera de 2008, el BCBS emitió su número estándar 239 (BCBS 239)⁴, que aborda directamente la gobernanza de datos. El estándar tenía como objetivo fortalecer la gestión de riesgos de los bancos mediante mejores evaluaciones de riesgos, calidad medible de los datos y agregación de datos de riesgo. Originalmente dirigido a “bancos globales de importancia sistémica” (G-SIB), luego “bancos nacionales de importancia sistémica” (D-SIB), las expectativas de la norma se han adoptado en todo el sector bancario. Un informe de McKinsey de 2024 sobre BCBS citó un “enfoque renovado” en el estándar y “la creciente presión sobre los bancos para que cumplan con las expectativas de los organismos reguladores locales”, de los cuales la multa de Citibank de la OCC es solo un ejemplo.⁵

Además de estas regulaciones bancarias internacionales, hay una combinación de regulaciones generales y locales de privacidad de datos y seguridad de datos (algunas centradas en la banca, otras independientes de la industria). Por ejemplo, el amplio Reglamento General de Protección de Datos (RGPD) de la UE exige que los bancos (o cualquier empresa) sepan qué datos personales poseen, por qué los tienen, cuán precisos son y cómo los protegen.

En Estados Unidos, algunos estados tienen una legislación específica relacionada con los bancos y los datos. En el estado de Nueva York, la regulación de ciberseguridad (23 NYCRR Parte 500)⁶ exige que los bancos y las compañías de seguros que operan en Nueva York implementen estrictas medidas de seguridad y evaluaciones de riesgos. La ley también requiere controles de acceso, inventarios de activos con propiedad y clasificación de datos, políticas de retención y planificación de respuesta a incidentes. 

A veces, la legislación regional y específica del sector se cruza de manera compleja. Por ejemplo, la Ley de Privacidad del Consumidor de California (CCPA, por sus siglas en inglés) afecta de manera general la forma en que las empresas que operan en el estado manejan los datos personales, incluso de maneras que pueden afectar a algunos bancos. Al mismo tiempo, su aplicación es limitada. Por ejemplo, el estatuto exime cierta información personal ya regulada por la Ley federal Gramm-Leach-Bliley de 1999 (GLBA).

En resumen, la gobernanza de datos conforme a las normas en la banca está sujeta a una compleja red de regulaciones que se aplican a diversas jurisdicciones (internacionales, locales) y tipos de datos (datos generales de clientes, datos financieros).

A pesar de más de una década de legislación al respecto, los organismos reguladores han informado de un cumplimiento lento y desafíos persistentes de gobernanza de datos. Cada vez más, los organismos reguladores publican orientaciones largas y detalladas sobre cómo los bancos deben priorizar y estructurar sus reformas.

En 2024, por ejemplo, el Banco Central Europeo (BCE) dio a conocer una “Guía sobre agregación efectiva de datos de riesgo y presentación de informes de riesgos” de 20 páginas.⁷ Estas y otras guías van más allá de los principios abstractos y se extienden a una orientación concreta.

El BCE recomienda comenzar con un ejercicio de priorización. Una estrategia eficaz de gobernanza de datos se centra primero en los datos más importantes: informes de riesgo, divulgaciones de datos financieros y presentaciones de supervisión. Un marco sólido de gobernanza de datos tendrá como objetivo garantizar que los elementos de datos críticos tengan propietarios de datos definidos, estándares de calidad y controles.

Tanto el BCBS como el ECB subrayan la importancia de concretar la propiedad de los datos, mapeando específicamente quién es responsable de un conjunto de datos determinado. Estas funciones suelen estar integradas en las distintas áreas de negocio y de TI. Muchas empresas formalizan este acuerdo a través de administradores de datos, personas en unidades de negocio responsables de la custodia y gestión de la calidad de los datos (en sí mismo un concepto amplio que comprende la precisión e integridad de los datos). En última instancia, el objetivo es que las empresas tengan datos de alta calidad para respaldar decisiones informadas y una mejor toma de decisiones.

Un boletín de 2026 del BCBS señala el linaje de datos, que define como “la trazabilidad de los datos desde su origen hasta su uso final”, como un persistente “componente desafiante” para los bancos. El BCBS señala que “los sistemas heredados, los patrimonios de datos distribuidos” —piense en los silos de datos— “y la naturaleza dinámica del linaje de datos complican los esfuerzos de los bancos para confirmar la trazabilidad de extremo a extremo”. Pero insiste en su importancia y señala que el linaje de datos tiene beneficios inherentes para el negocio, incluida la reducción de costos y la mejora de la eficiencia.⁸

Los controles unen todo. Las reglas de validación pueden detectar errores antes de que se propaguen, mientras que los controles de acceso pueden limitar el acceso a los datos a los usuarios autorizados, evitando el acceso no autorizado. La clasificación de datos puede garantizar que la información confidencial se trate de esa manera, mientras que las políticas de retención y gestión del ciclo de vida pueden regular cuánto tiempo se conservan los datos y cuándo se eliminan de forma segura. Por último, para los flujos de trabajo manuales que persisten en los bancos, la gobernanza puede establecer procesos de revisión y rastros de auditoría alrededor de ellos hasta que la automatización los sustituya, ayudando a agilizar las operaciones a lo largo del tiempo.

Dos fuerzas están determinando la dirección futura de la gobernanza de datos en la banca.

La primera es la IA y el ecosistema que la rodea. La IA y el machine learning se utilizan cada vez más en todas las operaciones bancarias en todo, desde la detección de fraudes hasta la puntuación de las experiencias de los clientes. En este entorno, muchas fallas de gobernanza probablemente no se presentan como filtraciones de datos o daños a la privacidad, sino como decisiones automatizadas que afectan a los clientes. No es de extrañar que la Ley de IA de la UE superponga nuevos requisitos además de las obligaciones existentes de gobernanza de datos para casos de uso que involucran “IA de alto riesgo”.

La segunda fuerza es el cambio hacia los datos en tiempo real en la banca digital. Los datos ahora se mueven más rápido que nunca. A medida que los bancos avanzan hacia pagos más rápidos, informes instantáneos y monitoreo de riesgos en vivo, el modelo tradicional de procesamiento por lotes periódico y comprobaciones de calidad a posteriori ya no es suficiente para muchas empresas competitivas. Por lo tanto, una estrategia de datos con visión de futuro podría incluir una gobernanza que valide los datos a medida que se mueven, no solo después de que aparecen, manteniendo tanto el cumplimiento de normas como la eficiencia operativa.

Podría darse el caso de que los bancos que tratan la gobernanza como un ejercicio de cumplimiento reactivo gasten continuamente en corrección. Alternativamente, los bancos que invierten en ella como infraestructura operativa podrían acabar gastando menos, avanzar más rápido y tener más facilidad para adaptarse a lo que venga después.