博客 @HBR
董事会应增设
数据完整性委员会
布拉德·基韦尔 (Brad Keywell) | 文
刘隽 | 编辑
有时好事需要坏事来激发。沉痛教训——丑闻、违约、产品故障——可以让我们正视问题并自问如何加以解决。很多时候，我们知道问题摆在那里，但却没有采取行动。比如：1938年，美国证券交易委员会(SEC)发现McKesson & Robbins制药公司编造了存货清单和应收款项，其价值相当于2020年的3亿美元。虽然这是那个年代最无耻的骗局之一，但是McKesson & Robbins的传奇故事只是步了大萧条期间众多会计欺诈阴谋的后尘。作为回应，国会通过了《1940年投资公司法案》(Investment Company Act of 1940)，建议企业在其董事会中成立审计委员会，以监督财务报告与信息披露——这一保障措施后来成为了一项要求。指令很明确：公司董事会必须监督会计职能部门，确保财务报告可靠，从而保护自由市场，让公司提防内部的不良行为者和盲点。
此刻，数据完整性就是我们知道自己需要的好东西——现在采取行动好不算太晚。《投资公司法》构想的审计委员会监督的是人员和流程，而不是技术和数据（现代计算机直到1955年才被用于企业的会计职能部门）。今天，数据完整性是先进制造、网络安全和灵活运营的基础。就像20世纪30年代的财务报告一样，数据是盈利能力的核心基础，但缺乏一个诚实的经纪人。结果如何？对信息的不对称控制扭曲了企业内及企业外的竞争决策。希望保持领先地位的公司可以——并且应该——主动成立一个数据完整性委员会。
改革往往在灾难来袭之后才会发生。不过，我们可以说已经看到了应该会刺激企业扩大管理职责的那种丑闻。从艾奎法克斯(Equifax)到索尼再到塔吉特(Target)，企业的首席执行官(CEO)和董事长们都因IT漏洞泄露了客户和员工数据而丢掉了工作。根据波耐蒙研究所(Ponemon Institute)和IBM的《2020年数据泄露报告的代价》(Cost of a Data Breach Report 2020)，平均每起数据安全漏洞事件给美国企业造成的损失约为864万美元。2/3的领导者在毕马威会计师事务所(KPMG)最近的一项调查报告中说，他们对自己企业使用数据的方式缺乏高度信任，而在科克大学商学院(Cork University Business School)的一项研究中，只有3%的企业达到了基本的数据质量标准，阻碍了他们产生有价值的数据见解的能力。
很少有企业对数据完整性的普遍风险和回报作出反应。在多数的最高管理层中，数据完整性在公司的管理结构中尚无特定的主管人；审计委员会视其为他们财务报告职责的边缘。工业巨头们一直在费力地利用数据或将数据货币化，这削弱了他们的竞争优势，并使自己面临着来自优步(Uber)、爱彼迎(Airbnb)和亚马逊等数据优先的科技公司的干扰。根据《数据泄露报告》，投资成立数据完整性团队的企业在每次泄密事件中可以少损失200万美元，然而，极少有企业拥有这样的团队。
在数据安全、数据优化以及潜在数据完整性方面拥有可靠实力是上市公司股东的合理期望。然而，历史表明，企业扩大的管理范围通常来自于监管，而非创新。在这种情况下，我认为依赖监管部门不是解决问题的方法；数据的复杂性最好由从业者来把握和解决。解决之道是在公司董事会中成立一个数据完整性委员会，以确保运营数据——公司最被低估、最具风险的资产，也是受审查最少的资产——准确、完整和安全。该委员会将保护敏感信息免受内部滥用、不遭到黑客及外国国家行为者的攻击。它会让领导者负责做出数据驱动的决策，鼓励高管利用现有的企业数据库，并在数据中建立可防御的护城河。
你可能会问自己：“我如何入手？”以下是围绕人员、业务和战略目标的三条指导原则。
数据完整性需要一个
跨职能团队
数据完整性监督团队需要包括来自整个公司的专家——IT领导、产生最大数据量和最有价值数据活动的经理、主题专家、部门业务经理、监管专家和法律总顾问。该团队的目标是识别要收集的数据，确立确保数据准确性的最佳方法，制定如何评价、保护和使用数据的指导方针，以便同时为利益相关者和公司提供服务。日常决策不应该发生在董事委员会级别，而是应该由数据完整性委员会进行监督，而这个跨职能的数据完整性团队隶属于数据完整性委员会。
以一家全球铁路服务公司为例，该公司通过火车上的传感器收集数据，并希望确立各种类型数据的价值。IT部门对地理空间数据有网络安全方面的顾虑，可靠性领导可能需要这些地理空间数据来引导火车驶往最近的修理厂，而法律总顾问可能必须向监管委员会和铁路部门报告两类数据的合规性。关于如何组织数据用于简报和商业用途的决策涉及利益相关方，他们的职责各不相同，需要在公司最高层加以解决。
组建数据完整性团队不必在没有参考的情况下进行。最佳实践模型，比如数据管理协会(Data Management Association)的《数据管理知识体系指南》(Guide to the Data Management Body of Knowledge)，可以作为构筑数据完整性委员会人员及政策的模板。
数据处理工作需要在
全公司开展
在缺乏明确的全公司政策的情况下，公司各部门可能根据自身利益行事，制定独特、相异的数据管理做法。其结果往往是一种令人不解、封闭孤立的做法，或者将数据完整性的知识局限于一个不熟悉更广泛业务的程序和风险的人身上。
该委员会应该出台涉及内部数据使用及最佳做法的政策，包括员工培训、与第三方数据处理商合作的标准、事件复议程序、超常风险准备。如果必要，甚至还包括修订委员会范围的程序。
由该委员会制定的数据完整性管理解决方案应该是持续不断、因行业而异的。理想情况下，它会包括企业内专家的意见，以维持各独立流程的协调。制定培训和继续教育计划——包括通用的和针对具体部门的——使数据完整性成为企业的优先事项。
委员会的职责应强化战略目标
数据完整性基准属于衡量企业健康及其根基的会计指标和运营关键绩效指标(KPI)。在利用数据完整性来支持数据的战略使用时，这种自上而下的委员会视角是无价之宝。委员会应该确认是否符合有关数据的监管要求，是否维护行业特定的数据质量标准，以及是否勤勉地缓解网络安全风险。它还应该监控用于运营决策的数据质量、确认努力开展了挖掘数据的活动，以产生影响深远的见解，确定公司数据投资的价值，并了解为从数据中获得收益而做出的商业决策。它必须将这种全面的数据观点引入高层的决策。
···
数据完整性与数据保护及利用，是未来卓越成就的基础。我们的数据和我们客户的数据是否安全？哪些以数据为核心的可能性尚不可见？更理想的是，必须出现哪些数据导向的机会来鼓励活动？为实现这一新现实，企业董事会必须带头解决这些问题。在创建和发展全球企业30年之后，我对董事委员会在其职权范围内加快活动的能力有了精辟的认识。数据完整性委员会在数据完整性面临威胁时会强制做好底线准备，并确保最大限度地利用数据投资。
布拉德·基韦尔是Uptake公司的创始人及CEO。