A governança de dados é (ou deveria ser) um componente fundamental de qualquer instituição financeira moderna, em especial por causa do aumento da digitalização e o advento de tecnologias como Big Data e Inteligência Artificial, que fizeram com que a importância e necessidade da governança de dados ficasse cada vez mais evidente.
Antes de entrarmos em alguns detalhes abaixo, tente responder as perguntas abaixo:
- Você ou sua empresa classificam os dados e sabem qual o nível de sensibilidade deles?
- Você sabe quem pode acessar os dados da sua empresa?
- Você sabe se o dado está correto? Se não, como fazer para corrigir?
- Você sabe quem é responsável pelos dados da sua empresa?
- Você sabe quem pode atualizar os dados?
- Você sabe com qual frequência os dados devem ser atualizados?
- Você sabe a origem dos dados da sua empresa?
- Você sabe o que um dado em específico significa?
Se você não conseguiu responder algumas destas questões, então é importante pensar num modelo de Governança de Dados.
Um destes modelos propõe avaliar os dados sobre dois eixos:
1) Valor Estratégico dos Dados:
Os dados podem ser extremamente valiosos para uma organização, dependendo de como podem ser utilizados para impulsionar a estratégia de negócios. Os dados que têm alto valor estratégico podem incluir aqueles que informam as decisões de alto nível, suportam a inovação ou fornecem insights competitivos.
Por exemplo, os dados de vendas podem informar as decisões sobre marketing e desenvolvimento de produtos. Por outro lado, os dados de apontamento de horas de um funcionário podem ter um valor estratégico mais limitado, pois são menos prováveis de direcionar a estratégia geral da empresa.
O valor estratégico dos dados pode determinar a rigidez dos controles de qualidade e governança de dados aplicados. Os dados de alto valor estratégico podem justificar investimentos significativos em tecnologia e pessoal para garantir sua qualidade e segurança.
2) Nível de Sensibilidade dos Dados:
A sensibilidade dos dados se refere ao grau em que os dados devem ser protegidos devido aos riscos associados à sua perda, roubo ou vazamento. Dados sensíveis podem incluir informações pessoais identificáveis (como nomes e endereços), dados financeiros ou outros tipos de informações que, se expostas, poderiam prejudicar a empresa ou indivíduos.
A sensibilidade dos dados também é um fator crucial na conformidade com as leis de proteção de dados, como a LGPD. Por exemplo, a LGPD classifica certos tipos de dados como "categorias especiais de dados", que só podem ser processados com o consentimento explícito do titular dos dados.
Assim, o nível de sensibilidade dos dados pode determinar o grau de controles de segurança necessários e a necessidade de obter consentimento para o processamento de dados.
Em suma, a avaliação do valor estratégico e da sensibilidade dos dados pode informar as decisões sobre a governança de dados, ajudando as organizações a alocar seus recursos de maneira eficiente e eficaz para a gestão de dados.
As instituições financeiras, em particular, geram e manipulam volumes enormes de dados sensíveis, tornando o manejo adequado desses dados essencial para a segurança, eficiência e conformidade regulatória.
Embora a maturidade da governança de dados possa variar de uma instituição para outra, muitas instituições financeiras já estabeleceram políticas robustas de governança de dados. Essas políticas, muitas vezes, incluem protocolos rigorosos para a coleta, armazenamento, processamento e distribuição de dados.
Detalhando um pouco mais, as políticas de governança de dados são um conjunto de regras e procedimentos estabelecidos por uma organização para garantir que os dados sejam gerenciados de maneira eficaz, segura e em conformidade com todas as leis e regulamentos aplicáveis.
Tais políticas devem abranger vários aspectos como:
1) Coleta de Dados:
As políticas de governança de dados devem especificar quais tipos de dados podem ser coletados, de quem e em quais circunstâncias. Isso pode incluir detalhes sobre a obtenção de consentimento e sobre as políticas de coleta de dados de terceiros.
2) Armazenamento de Dados:
As políticas devem incluir detalhes sobre onde e como os dados devem ser armazenados. Isso pode envolver questões de segurança, como o uso de criptografia, bem como questões de conformidade, como a localização geográfica do armazenamento dos dados.
3) Acesso aos Dados:
As políticas de governança de dados devem definir quem tem permissão para acessar quais dados e sob quais condições. Isso pode envolver o uso de controles de acesso baseados em funções e pode variar dependendo do tipo de dados e do propósito do acesso.
4) Uso de Dados:
As políticas devem especificar quais usos dos dados são permitidos. Isso pode incluir restrições sobre o uso de dados para marketing, restrições sobre a combinação de diferentes conjuntos de dados e restrições sobre a venda de dados a terceiros.
5) Qualidade dos Dados:
As políticas de governança de dados devem também estabelecer padrões para a qualidade dos dados. Isso pode incluir requisitos para a precisão dos dados, bem como procedimentos para a verificação e correção dos dados.
6) Retenção de Dados:
As políticas devem especificar quanto tempo os dados devem ser mantidos. Isso pode ser ditado por leis e regulamentos, bem como por considerações práticas, como o custo do armazenamento de dados.
7) Descarte de Dados:
As políticas devem também definir procedimentos seguros para a eliminação de dados. Isso é particularmente importante para dados sensíveis, que devem ser descartados de maneira a evitar qualquer possibilidade de recuperação.
8) Conformidade Regulatória:
As políticas de governança de dados devem garantir que a organização esteja em conformidade com todas as leis e regulamentos de proteção de dados aplicáveis. Isso pode incluir detalhes sobre o cumprimento da GDPR, LGPD ou outras leis de proteção de dados.
9) Segurança dos Dados:
As políticas devem incluir detalhes sobre como os dados serão protegidos, incluindo medidas físicas (como a segurança do local de armazenamento dos dados) e medidas digitais (como o uso de firewalls e software antivírus).
10) Auditoria e Monitoramento:
As políticas devem estabelecer procedimentos para a auditoria e o monitoramento regular do uso de dados, a fim de identificar e corrigir quaisquer violações das políticas.
Todas essas políticas devem ser revisadas e atualizadas regularmente para garantir que continuem a ser eficazes.
Adicionalmente, muitas dessas instituições têm equipes dedicadas a garantir a conformidade com as regulamentações de proteção de dados, como a GDPR na Europa e a LGPD no Brasil.
A Lei Geral de Proteção de Dados (LGPD), que entrou em vigor no Brasil em setembro de 2020, tem um papel fundamental na governança de dados. Ela regula como as organizações podem coletar, armazenar, tratar e compartilhar dados pessoais, exigindo que elas cumpram uma série de requisitos para proteger os direitos e a privacidade dos titulares de dados.
A LGPD e a governança de dados estão profundamente interligadas. As políticas e procedimentos de governança de dados de uma organização devem ser projetados para garantir a conformidade com a LGPD. Isso inclui garantir que os dados pessoais sejam coletados apenas com o consentimento do titular (exceto em algumas circunstâncias específicas), que os dados sejam mantidos seguros e que os titulares de dados tenham acesso a seus dados e possam corrigi-los ou excluí-los conforme necessário.
Veja algumas formas práticas de como a LGPD afeta a governança de dados:
1) Consentimento:
A LGPD exige que as organizações obtenham consentimento explícito dos titulares dos dados antes de coletar ou processar seus dados pessoais. As políticas de governança de dados devem incluir procedimentos para obter e documentar esse consentimento.
2) Transparência:
A LGPD exige que as organizações sejam transparentes sobre como e por que estão coletando e usando dados pessoais. As políticas de governança de dados devem garantir essa transparência, por exemplo, através de políticas de privacidade claras e acessíveis.
3) Segurança de Dados:
A LGPD exige que as organizações tomem medidas adequadas para proteger os dados pessoais que estão processando. As políticas de governança de dados devem incluir medidas de segurança robustas, como a criptografia e o controle de acesso, para proteger os dados contra acessos não autorizados, perdas ou danos.
4) Direitos do Titular de Dados:
A LGPD concede aos titulares de dados uma série de direitos, incluindo o direito de acessar seus dados, corrigir quaisquer erros nos seus dados, e em alguns casos, apagar seus dados. As políticas de governança de dados devem incluir procedimentos para atender a essas solicitações dos titulares de dados.
5) Relatórios de Violação de Dados:
Se ocorrer uma violação de dados que possa resultar em um risco para os direitos e liberdades dos titulares de dados, a LGPD exige que as organizações notifiquem a Autoridade Nacional de Proteção de Dados (ANPD) e, em alguns casos, os titulares de dados. As políticas de governança de dados devem incluir procedimentos para identificar, responder e relatar violações de dados.
Portanto, a LGPD fornece um quadro legal para a governança de dados, garantindo que as organizações tratem os dados pessoais de maneira responsável e respeitem os direitos dos titulares de dados.
Apesar do progresso considerável na governança de dados, as instituições financeiras enfrentam diversos outros desafios. Um dos mais significativos é a constante evolução das regulamentações de proteção de dados, que podem variar entre jurisdições e exigem atualizações frequentes das políticas de governança de dados. Além disso, a crescente sofisticação das ameaças à segurança de dados exige uma vigilância constante e investimentos significativos em tecnologia e pessoal.
Outro desafio importante é a qualidade dos dados. Dados imprecisos ou incompletos podem levar a decisões financeiras equivocadas, perdas significativas e danos à reputação da instituição. Por isso, é crucial garantir a precisão e a integralidade dos dados em todos os momentos.
Um erro comum na governança de dados é a falta de uma estratégia clara e abrangente. Muitas instituições se concentram em aspectos individuais da governança de dados, como segurança ou conformidade, mas negligenciam outros aspectos importantes, como a qualidade dos dados ou a gestão de metadados.
Outro erro comum é a falta de envolvimento da alta administração na governança de dados. A governança de dados é uma responsabilidade organizacional e requer o envolvimento de todos os níveis da instituição, incluindo a alta administração.
A implementação da governança de dados envolve várias etapas:
1) Desenvolvimento de uma estratégia de governança de dados:
Uma boa estratégia de governança de dados deve começar com uma avaliação das necessidades e dos riscos atuais da instituição.
Por exemplo, uma instituição que lida com grandes volumes de dados de clientes pode precisar se concentrar principalmente na segurança e na privacidade dos dados.
Por outro lado, uma instituição que depende fortemente de análises de dados para tomada de decisões pode precisar se concentrar mais na qualidade e na precisão dos dados.
Uma estratégia bem-sucedida deve ser personalizada para as necessidades e riscos específicos da instituição.
2) Estabelecimento de uma estrutura organizacional para a governança de dados:
A estrutura organizacional deve incluir papéis claros e responsabilidades para a governança de dados.
Por exemplo, um Diretor de Dados (CDO - Chief Data Officer) pode ser responsável pela supervisão geral da governança de dados, enquanto um Administrador de Dados pode ser responsável pela implementação prática de políticas e procedimentos.
Esta estrutura também deve incluir um comitê de governança de dados, que possa tomar decisões importantes e garantir a conformidade em toda a organização.
3) Criação de políticas e procedimentos de governança de dados:
As políticas de governança de dados podem incluir regras para a coleta de dados (por exemplo, que tipos de dados podem ser coletados e como devem ser coletados), normas para o armazenamento de dados (por exemplo, onde os dados podem ser armazenados e por quanto tempo), e diretrizes para o uso de dados (por exemplo, quem pode acessar os dados e para quais propósitos).
Por exemplo, uma política de governança de dados pode especificar que os dados dos clientes devem ser anonimizados antes de serem usados para fins de análise.
4) Implementação de tecnologias de governança de dados:
Existem várias tecnologias disponíveis que podem ajudar a apoiar a governança de dados.
Por exemplo, ferramentas de gerenciamento de metadados podem ajudar a rastrear onde os dados estão sendo armazenados e como estão sendo usados, enquanto as ferramentas de qualidade de dados podem ajudar a identificar e corrigir erros nos dados.
Além disso, as ferramentas de segurança de dados, como a criptografia e o controle de acesso baseado em funções, podem ajudar a proteger os dados contra acessos não autorizados.
5) Monitoramento e melhoria contínua da governança de dados:
A governança de dados não é uma atividade única, mas um processo contínuo.
Por exemplo, as políticas e procedimentos de governança de dados devem ser revisados regularmente para garantir que continuem a ser eficazes e relevantes.
Além disso, a instituição deve monitorar regularmente o uso dos dados para identificar quaisquer problemas potenciais ou áreas de melhoria.
Por exemplo, se uma análise revelar que os dados estão sendo frequentemente utilizados de forma inadequada, a instituição pode precisar reforçar suas políticas de uso de dados ou fornecer treinamento adicional para os funcionários.
Embora a governança de dados nas instituições financeiras tenha alcançado um nível considerável de maturidade, ainda existem desafios significativos a serem superados. No entanto, com uma estratégia clara, um compromisso organizacional e a adoção de tecnologias apropriadas, essas instituições podem assegurar uma governança de dados eficaz e resiliente.
