金融数据分类分级征求意见：统一口径补齐治理短板

中经记者 郝亚娟 夏欣 上海 北京报道

近日，国家互联网信息办公室会同有关部门组织起草了《金融信息服务数据分类分级指南（征求意见稿）》（以下简称《指南》）。

《指南》规定了金融信息服务数据分类分级规则，适用于在中华人民共和国境内从事金融信息服务的金融信息服务提供者开展数据分类分级和重要数据识别工作。

IDC金融行业研究经理思二勋在接受《中国经营报》记者采访时表示，《指南》首次在金融信息服务领域建立了一个“可被监管采信、可被机构执行、可与国家数据安全体系直接对齐”的“数据治理锚点”，推动相关要求从“原则性”走向“可执行规则”。在国家层面，《指南》是《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等在金融信息服务场景中的具体化与操作化；在行业层面，则为金融信息服务提供者提供统一的分类分级方法论，并在明确影响对象与影响程度的基础上，促进数据在合规前提下的合理利用与安全流通。

促进数据要素安全流通

在行业层面，中国（上海）自贸区研究院金融研究室主任刘斌指出，《指南》通过统一分类方法与分级逻辑，为金融机构及金融信息服务商提供了全国层面的统一方法论基础，有助于在合规前提下促进数据要素安全流通与价值释放。

德勤中国金融服务业战略、交易及企业风险咨询合伙人蔡帼娅表示，《指南》为金融信息服务提供者提供了一套具体、可执行的数据分类分级操作框架，明确了分类规则、分级规则和操作流程，并通过“3个一级类、9个二级类、66个三级类”的分层目录及“参考最低级别”标识，建立起层次清晰、逻辑严密的分级体系。这一体系有助于减少机构之间对数据级别判定标准的理解差异，降低因标准模糊带来的执行成本，并为差异化安全保护措施落地提供基础，体现出金融数据治理由原则性规定向精细化管理的跃升。

针对行业痛点，刘斌归纳为四个方面：一是标准碎片化问题突出，此前不同机构、不同监管口径下数据定义与分级标准不一，导致跨机构协同和监管检查成本高、效率低；二是重要数据识别难，缺乏清晰判定维度，机构对重要数据边界把握不清，易出现漏报、错报并带来合规风险；三是全链条责任不清，数据安全责任未嵌入业务全流程，存在“重技术、轻管理，重前端、轻后段”现象；四是动态适配不足，面对AI应用、跨境服务等创新业务，数据属性和风险等级变化快，原有静态分级体系难以及时响应。

思二勋也提到，此前金融机构的数据治理长期存在数据分类混乱、分级模糊、动态管理缺失，以及重要数据识别困难等问题。《指南》通过“标准化的分类体系”摸清数据底数，通过 “清晰的分级规则”识别核心风险，通过 “动态的更新机制”适应复杂变化，通过 “规范的报送要求”打通监管闭环，最终系统性地破解了金融数据治理中“看不清、管不住、报不准、跟不上”的深层困境，为筑牢金融数据安全屏障、释放数据要素价值奠定了坚实的治理基础。

把数据分级定级流程嵌入业务

《指南》要求数据分级应定期复核、动态更新，机构应建立怎样的落实机制？

刘斌认为，金融机构落实数据分级定期复核与动态更新，应从制度组织、技术流程与执行考核三方面搭建机制：一是建立“定期+触发式”双轨更新制度，由合规牵头设立跨部门工作组，明确复核频次与更新触发条件；二是搭建数据分级管理平台，对数据全生命周期实施标签化管理，并与风控系统打通，形成风险联动的分级重评闭环；三是建立分级变更审批流程，将更新工作纳入部门KPI，并通过内外部审计强化执行约束。

刘斌同时表示，动态更新机制不能只停留在周期复查层面，还需嵌入业务创新流程，形成“业务创新—数据分级联动”机制，例如将数据分级评估作为新产品、新模型、新合作上线前的必要环节；通过元数据管理与数据血缘分析工具构建数据资产地图，实现分级标签自动传递，并通过访问行为、跨境流动、使用场景变化等监测手段触发分级重估与保护策略调整。

蔡帼娅分析，参考《指南》，一方面，机构可以考虑建立数据分级定期更新机制，结合触发调整机制，在数据的业务属性、重要程度和可能造成的危害程度等发生变化，导致原数据安全级别不再适用时，及时进行动态调整。这需要机构建立定期的（如每年一次）数据分级审核流程，对已定级的数据进行定期评估和回顾；同时，为更好地应对快速创新变化的金融业务，机构可建立触发调整机制，当发生业务调整、监管标准更新、数据源变化等情景时，及时对数据级别进行更新调整。另一方面，机构可以考虑从数据产生或变化的源头切入，即新产品新业务管理流程、信息系统新建或信息系统变更管理流程中，嵌入数据分级定级流程，通过嵌入管理流程的方式，增强数据分级的可落地性。

（编辑：张漫游 审核：何莎莎 校对：燕郁霞）