数据化时代加强数字化治理，中证协拟出台风险数据治理新规

财联社5月29日讯（记者 林坚）证券业全面风险管理将正迎来底层数据的一次治理与规范。记者获悉，中证协最新发布《证券公司风险数据管理示范实践》，目前正向行业征求意见。

证券行业的集团化与国际化经营正在向纵深推进，与之伴随的是风险数据广度、深度与复杂度的剧烈上升。如何及时、准确地掌握全集团及子公司的风险敞口，成为摆在各家券商面前的共性难题。中证协在新规起草文件中指出，目前券商风险数据管理环节，源端系统分散割裂导致数据孤岛现象突出；集团内风险数据标准不统一、质量参差不齐；对子公司、跨境业务等风险数据穿透能力不足；风险数据管理机制不健全。

中证协称，此次推出新规旨在推动券商系统性提升风险数据管理能力，筑牢全面风险管理数据基础，以高质量数据驱动“穿透式+全景式”风险管控体系构建。随着该新规的逐步推行，证券行业风险管理“头痛医头、脚痛医脚”的碎片化时代，迈向全面、穿透的数字化治理新阶段。

记者梳理发现，新规有两条要求值得关注。一是券商APP开户信息未经授权不得超范围使用；二是香港子公司数据出入境实施分类管控。

一方面，新规要求，券商应当在数据收集方面确保合法合规。在收集证券公司及子公司含个人客户信息的风险数据前，先确认收集过程合法正当。不得窃取、超范围收集、未经合法授权收集或者以其他非法方式获取数据。

例如券商通过APP开户采集个人客户基本信息后，若需要将此信息用于证券交易以外的用途，应当通过隐私政策等方式向用户告知个人信息收集使用的目的、方式、范围，并征得用户同意，获得合法授权。

此外，新规要求，券商需先评估数据出入境的真实规模、类型、范围及传输方式，实施差异化管理策略。香港子公司数据入境需符合当地法规及大湾区个人信息跨境流动指引；向香港子公司传输数据，需按实际情况适用安全评估、标准合同备案、个人信息跨境处理安全认证等不同出境路径

六大核心建设领域

在起草原则上，《示范实践》明确了“一致性”与“灵活性”。一方面，其基本要求与《证券公司全面风险管理规范》《证券公司并表管理指引（试行）》等现行自律规则保持一致。另一方面，鉴于各券商业务体量及信息化水平存在差异，《示范实践》对各项管理要求做出了“应当实现”与“可以实现”的区分，建议券商从核心工作入手，逐步完善。

征求意见稿明确风险数据战略、治理、架构、标准、安全、质量管理六大核心建设领域，其中，在战略和治理层面，《示范实践》要求券商将风险数据战略作为公司整体数据战略的组成部分，并明确季度分解目标。

根据规划，券商需通过KPI或OKR对实施过程进行持续监控，从资金投入、差距分析、趋势分析、资源分析和战略机会点五个方面对项目优先级进行综合打分。在日常运营中，通过项目双周报、战略规划月报、年度总结汇报等形式进行跟进，由风险管理部门与数据管理部门负责人共同评价战略任务的进度和成效。

组织架构上，数据治理委员会作为最高决策层，下设公司数据治理工作组。执行层面则授权至跨部门协作小组，由数据管理部、风险管理部、财务管理部、合规管理部及主要业务单位（含子公司）组成。

各部门权责被清晰界定，数据管理部门负责在公司级架构下牵头推进；风险管理部门负责提出风控数据需求和质量要求；财务部门负责按标准提供财务相关数据；合规部门负责督导数据获得的合法合规性；业务单位及子公司负责具体落实。

制度建设方面，券商需构建以《数据治理管理办法》为顶层制度，配合《数据安全管理办法》《数据标准管理办法》《数据质量管理办法》及《数据应用管理办法》的制度体系。在此基础上，可细化出《风险数据标准管理手册》《风险数据质量考核实施细则》等次级制度。

值得注意的是，新业务评估制度中也将前置体现风险数据管理要求。在系统建设及数据产生阶段，数据管理部门将依托样例数据和数据结构，前置开展采集、转换和加工。原则上，在新业务开展前或开展后，相关数据必须及时进入风险数据集市，满足风控使用条件。

源端变更倒逼多角色协同联动

可以看到，数据的生命周期管理正在走向线上化与标准化。在模型管理上，《示范实践》坚持“应管尽管”原则，由技术人员承担建模角色，建立涵盖模型新增、变更、审批和发布的公司级统一流程。

一个标准的风险数据模型生命周期包含五个阶段：一是需求提出阶段，由风险管理部明确背景、类型、粒度、时效及场景；二是模型设计阶段，评估现有模型满足度，设计概念模型并转化为逻辑模型，组织技术与业务评审；三是开发及发布阶段，数据管理部负责代码交付及准确性、性能测试，业务部验证契合度；四是运营阶段，根据重大调整或数据源更新触发变更流程；五是退役阶段，对不再适用的模型制定退役计划并清理代码。

在数据集成与调度方面，券商数据管理部需建设统一的数据集成和调度执行平台。针对人工录入或手动调整的数据，建立统一的业务数据报送系统，支持自动解析入库、填报、存储和质量校验。调度支持定时触发以及基于源端就绪状态标志位的触发，并支持沪深交易日历、港股交易日历等自定义日历管理。

为防止因源端系统变动导致下游风控系统数据“断流”或报错，机制上重点明确了源端变更通知管理。变更范围涵盖全量场景，包括数据结构变更（表级、字段级）、数据内容变更（码值、格式、范围）、数据接口变更（数据库、文件格式、API参数）以及业务逻辑变更（时效、业务规则）。

该机制明确了五大核心角色的分工：数据产生方对接人为本单位数据专员，评估涉及系统的变更负责人；源端变更通知负责人填写明细表，执行业务变更通知；风险数据领域业务对接人分析变更对风控系统报表层的影响；风险数据域产品对接人分析对风险数据集市的影响并推动适配；风险数据域技术负责人执行具体的适配调整。