6.3　制度规范

为了保障组织架构的正常运转和数据治理各项工作的有序实施，需要建立一套涵盖不同管理颗粒度、不同适用对象，覆盖数据治理过程的管理制度体系，从“法理”层面保障数据治理工作有据、可行、可控。

6.3.1　数据治理制度框架

根据数据治理组织架构的层次和授权决策次序，数据治理制度框架分为政策、制度、细则、手册4个梯次。该框架标准化地规定了数据治理的各职能域内的目标、遵循的行动原则、完成的明确任务、实行的工作方式、采取的一般步骤和具体措施，如图6-3-1所示。

1. 数据政策

数据政策是企业数据治理的纲领性文件，是最高层次的数据管理制度决策，是落实数据资产管理各项活动必须遵循的最根本原则，描绘了企业实施数据战略的未来蓝图。

数据政策既贯穿了整个企业的组织和业务结构，也贯穿了企业数据创造、获取、整合、安全、质量和使用的全过程，其内容包括数据资产管理及相关职能的意义、目标、原则、组织、管理范围等，从最根本、最基础的角度规定了企业在数据方面的规范和要求。

数据政策应当符合企业的数据战略目标，数量不宜太多，内容描述应当言简意赅、直击要点。

数据政策一般由企业决策层的数据治理委员会/领导小组发起，组织相关专业人员起草，并在整个企业范围内进行广泛讨论、评审、完善。数据治理委员会/领导小组负责进行终审，并正式发布执行。数据治理委员会/领导小组也可以授权委托数据治理归口管理部门组织执行以上工作。

2. 管理制度

数据治理管理制度是基于数据政策的原则性要求，是结合各企业组织和业务特点制定的数据治理职能范围内的总体性管理制度。它的目的是确保数据治理的管理层对准备开展或正在开展的数据治理各职能活动进行有效控制，并作为行为的基本准则为后续各角色的职责问责建立依据。

数据治理管理制度清晰地描述了数据资产管理各项活动中所遵循的原则、要求和规范，各级单位和机构在数据治理工作中必须予以遵守。数据治理管理制度从形式上包含章程、规则、管理办法等。

数据治理管理制度一般根据职能域进行划分，与企业准备开展的数据治理实际工作相关。例如“数据标准管理办法”“数据质量管理办法”“元数据管理办法”“主数据管理办法”“数据安全管理办法”等。这些文件为数据治理不同职能域建立了规范性要求，内容一般包括目标、意义、组织职责界面、主要管理要求、监督检查机制等。

数据治理管理制度中的所有规定和要求都必须符合数据政策规定，不应与数据政策所确立的基本原则相违背。

一般情况下，企业数据治理的相关活动会早于数据治理管理制度的制定。因此，数据治理管理制度更多地需要对已开展的数据治理活动从纷乱无章向统一有序引导。数据治理管理制度的建立并不是推翻现有的工作机制，而是在标准化要求下对当前各项数据治理活动的规范化构建和重组。

数据治理管理制度由数据治理归口管理部门负责组织编写。考虑到数据治理职能活动的差异，应当成立一个专门的制度编制小组承担具体的编制工作。由于数据治理活动通常早于管理制度的制定，不少的业务部门或分支机构的人员也广泛参与其中，所以制度编制小组的成员不应该仅仅来源于归口管理部门或技术部门，企业应该更多地吸纳其他业务部门和分支机构人员，允许其代表本机构、本专业的利益对数据治理的管理制度提出相应的要求。但最终，数据治理管理制度必须以整个企业的高度和角度来评判和衡量管理措施的有效性，目的是保证企业数据质量符合数据需求方的使用要求。

3. 数据治理实施细则

数据治理实施细则是已有的企业级数据治理管理制度的从属性文件，用于补充解释特定活动或任务中描述的具体内容，进一步确定后续步骤里的具体方法或技术，或管理制度相关要求与不同业务部门、分支机构实际情况的结合和细化，以便促进特定领域或范围内具体工作的可操作化。

数据治理实施细则一般是本地化的。但这并不意味着，对于组织结构比较简单、不存在分支结构的企业来说，实施细则是不必要的。

数据治理实施细则可以分成两类。一类是针对企业级数据治理管理制度在各业务领域落地的细化要求，需要结合各业务领域的数据现状、组织架构、工作方式等，不同业务领域存在一定的差异。这些细则是在企业统一要求的基础上由业务部门本地化定制的，是所有企业都应当制定的。另一类是企业级数据治理管理制度在各分支机构的细化要求，同样是企业统一的管理要求与各分支机构的实际情况结合后指导具体落地工作的文件。这些对于不存在分支机构的企业来说是不需要考虑的。

从另外一个角度看，实施细则是管理制度的进一步细化，可依据实际情况而建立，不是所有的制度都必须制定单独的细则。而且如果一个企业制定的管理制度足够详细，足以指导整个企业具体的数据治理执行工作，那么实施细则并不是一定需要的。其衡量的标准还是现有的规范性文件能否约束和指导实际的执行工作，是否需要通过实施细则来进一步补充细节。

数据治理实施细则一般由业务部门或分支机构的数据治理负责人组织编制，参与人为本单位与数据治理相关的专业人员。数据治理实施细则的编制必须符合该领域管理制度的规定，各种细化的、本地化的执行要求不应与管理制度确立的企业级要求相违背。

4. 数据治理操作手册

操作手册是针对数据治理执行活动中的某个具体工作事项制定的，用于指导具体操作的文件，是特定活动的执行中需要遵守的操作技术规范。

操作手册的内容和形式均不固定，一般包括需要不同角色遵循同样的标准化要求的场景，或多个制度执行活动中共同调用的相关标准。

操作手册的内容应当符合管理制度和实施细则的管理要求，可根据数据治理实际执行过程中的标准化需求而不断新增、删减及持续优化完善。

6.3.2　数据治理制度修订

数据治理制度的制定并不是终点，只是对企业开展数据治理工作进行约束和管控的开始。从这个意义上看，数据治理制度需要根据企业自身及数据治理工作的需求变化而变化，这就要求企业对数据治理制度进行适时的修订，以符合实际工作的发展需要。所以，数据治理制度与数据治理实施总是处在不断的匹配过程中，而且数据治理制度往往是滞后的一方。

1. 修订的时机

数据治理制度的修订需要适当的时机，过于频繁的修订会对日常工作造成不良影响，而过于滞后的修订会造成实际工作与制度不匹配，无法实现有效的约束。

通常比较合理的修订时机如下：

（1）当国家与数据管理相关的法律、规程废止、修订或新颁布，对企业数据治理工作产生较大影响时。

（2）当企业组织结构和运营体制发生重大变化时。

（3）当内外部监督或审计单位提出相关整改意见时。

（4）当在安全检查、风险评价过程中发现涉及规章制度层面的问题时。

（5）当分析重大事故和重复事故原因，发现制度性因素时。

（6）其他相关时机。

2. 修订的原则

企业在修订数据治理制度时，应遵循以下3个原则：

（1）辩证统一原则。坚持“稳”与“变”的辩证统一。企业数据治理制度在修订过程中既要有针对新需求的内容新增，也要保持较强的一致性和稳定性。一方面，企业要不断适时地用最新、最适用的制度代替已不适应现状的制度；另一方面，数据治理制度的变化应当循序渐进，尤其是层级越高的制度修改应当越谨慎，稳定性应当越强。

（2）先立后破原则。对企业数据治理制度的修订要采取“先立新，再破旧”的程序。在条件尚不成熟，新制度尚未出台之前，应继续按原有制度执行，待新制度正式建立以后再废除旧制度，以保持制度的连贯性、稳定性，保证企业数据治理活动的正常开展。

（3）消除例外原则。企业数据治理制度的修订要能准确识别“例外”和“偶然”事件。因此，在出现“例外”和“偶然”事件的情况下，管理者要善于运用标准化原理，用管理制度来指导对“例外”与“偶然”事件的处理，并适时将“例外”和“偶然”事件纳入管理制度，使其成为常规管理的一部分。

3. 修订的过程

在实际工作中，在制度内容修订比例不大的情况下，数据治理制度的修订过程主要有以下5步：

（1）明确修订目标，即明确本次修订需要适应或解决当前制度存在的什么问题，通过修订达到什么效果。

（2）补充必要数据及信息，针对本次修订的内容补充日常工作中积累的相关数据、材料或信息，为修订提供基础。

（3）起草修订稿，并对制度修订前后的效果进行对比分析。

（4）征求意见，即在合理的范围内对修订的内容进行意见征集，采纳合理意见并进一步完善修订稿。

（5）签审发布。

在起草修订稿时，需要特别慎重，充分考量修改部分的内容怎样才能与企业各方面的制度保持协调，怎样避免出现顾此失彼的情况。如果一个制度的修订造成了同其他管理制度的矛盾，则势必给企业数据治理工作带来混乱。

在特殊情况下，企业可随时对制度进行修订，但一般不宜过于频繁。如果无特殊情况，则企业可在每年年末对现有制度进行年审，并根据年审结果考虑是否需要进行修订。 rQjui1wCGSiIdgGvkziwHjzIsV1O44kU6TDJ8k9nNaglnGKiti9sgwiup6smcCJX