Maurice Müller
Senior Content Manager
Maurice Müller es periodista y estratega de contenidos, con experiencia tanto en medios impresos como digitales. En Formalize, convierte temas complejos de cumplimiento y regulación en contenido claro y práctico para profesionales de cumplimiento, riesgo y seguridad de toda Europa.
Conclusiones clave:
Gobernanza y gestión son dos trabajos distintos: la gobernanza establece las reglas y las responsabilidades, y la gestión de datos realiza el trabajo diario de recopilar, almacenar y mantener los datos dentro de esas reglas.
Es un modelo operativo, no un proyecto de TI ni un producto de software: responsables repartidos por toda la empresa, políticas claras y procesos que hacen que esas políticas se cumplan.
La mayoría de los programas se apoyan en cuatro pilares: personas y responsabilidad, políticas y estándares, procesos y controles, y tecnología y supervisión.
Marcos como DAMA-DMBOK, el DGI Framework, DCAM y COBIT ofrecen estructuras ya probadas, pero la mayoría de las organizaciones los adaptan en lugar de adoptarlos tal cual.
La gobernanza es lo que hace que el cumplimiento sea demostrable, desde la responsabilidad proactiva del RGPD hasta los requisitos de datos para los sistemas de IA de alto riesgo bajo el Reglamento de IA de la UE.
Un cliente envía un correo a tu equipo de soporte y pregunta qué datos personales tenéis sobre él. Según el Reglamento General de Protección de Datos (RGPD), por lo general tenéis un mes para responder. La solicitud llega a una bandeja compartida, se reenvía a TI, luego a marketing, y después a un responsable de ventas que todavía lleva una hoja de cálculo con los contactos de las ferias. Tres semanas más tarde, alguien pregunta quién es el responsable de reunir la respuesta, y nadie lo tiene del todo claro.
Nada de esa historia es un problema tecnológico. Los datos existen, y los sistemas funcionan. Lo que falta es un acuerdo sobre quién es el propietario de cada dato, qué reglas se le aplican y quién decide cuando algo no está claro. Ese acuerdo es lo que aporta la gobernanza de datos.
¿Qué es la gobernanza de datos?
En la práctica, la gobernanza de datos es un conjunto de decisiones permanentes. ¿Quién puede aprobar el acceso a los datos de clientes? ¿Qué sistema contiene la versión oficial del registro de un cliente? ¿Cuánto tiempo se conservan los contratos, y quién da el visto bueno antes de eliminarlos? ¿Qué ocurre cuando alguien encuentra un error en un informe en el que se apoya el consejo? Un programa de gobernanza se asegura de que cada una de estas preguntas tenga una respuesta acordada, un responsable y un lugar donde esa respuesta quede por escrito.
El objetivo son datos en los que se pueda confiar: lo bastante precisos como para apoyarse en ellos, seguros, accesibles para las personas adecuadas y tratados conforme a las obligaciones legales y contractuales.
Un ejemplo práctico: un minorista decide que las direcciones de correo electrónico de los clientes son propiedad del equipo de marketing, que solo pueden usarse para los fines para los que se recopilaron, que se eliminan tras un periodo determinado de inactividad, y que el personal de soporte solo puede acceder a ellas a través del sistema de gestión de relaciones con clientes (CRM). Cada una de esas decisiones es una decisión de gobernanza, y esa capa es sobre la que se construyen las funciones de gobernanza de Fornalize. Almacenar y sincronizar las direcciones entre sistemas, en cambio, es gestión de datos.
Gobernanza de datos frente a gestión de datos: ¿cuál es la diferencia?
Los dos términos se usan a menudo indistintamente, pero cumplen funciones distintas. Si la gobernanza es el código de circulación, la gestión de datos es la conducción.
Gobernanza de datos | Gestión de datos | |
|---|---|---|
Pregunta que responde | ¿Quién decide, y bajo qué reglas? | ¿Cómo se gestionan los datos en el día a día? |
Participantes habituales | Directivos, propietarios de datos, data stewards, legal y cumplimiento, trabajando de forma transversal | Equipos de TI y de datos, propietarios de sistemas, y los equipos de negocio que crean y usan los datos |
Ejemplos | Políticas de acceso, reglas de retención, estándares de clasificación, propiedad de los datos | Almacenamiento, integración, copias de seguridad, ejecución de controles de calidad de datos |
Las fronteras no son rígidas. Los data stewards y los propietarios de sistemas suelen trabajar en ambos lados: ayudan a definir las reglas y las aplican en el trabajo diario.
¿Por qué es importante la gobernanza de datos?
La mayoría de las organizaciones llegan a la gobernanza de datos a través de un síntoma: dos informes que no coinciden, una solicitud de auditoría que se alarga semanas, o un regulador que pide evidencias. La gobernanza aborda las causas que hay detrás de esos síntomas:
Confianza en los datos: cuando las definiciones y la propiedad están acordadas, los informes de distintos equipos son más fáciles de conciliar.
Responsabilidad clara: cada conjunto de datos importante tiene a alguien responsable, y todo el mundo sabe quién es.
Privacidad, seguridad y cumplimiento: normativas como el GDPR y estándares como ISO 27001 expect organizations to know what data they hold, who can access it, and why.
Menos duplicación: unas reglas consistentes reducen las copias paralelas, las hojas de cálculo contradictorias y las soluciones improvisadas.
Auditabilidad y gestión de riesgos: las decisiones de gobernanza documentadas dejan un rastro, lo que permite demostrar cómo se identifican y gestionan los riesgos de datos.
Una base para la analítica y la IA: los paneles y los modelos son tan fiables como los datos en los que se apoyan.
¿Cuáles son los componentes básicos de la gobernanza de datos?
No existe un único modelo oficial, pero la mayoría de los programas se apoyan en cuatro pilares. Cuando se habla de los "cuatro pilares de la gobernanza de datos", normalmente es a esto a lo que se refieren.
Personas y responsabilidad: propietarios de datos, data stewards y las personas con capacidad de decisión, desde un consejo de gobernanza hasta los equipos que gestionan los datos a diario.
Políticas y estándares: las reglas de calidad, acceso, clasificación, retención y uso de los datos.
Procesos y controles: cómo se aplican esas reglas en la práctica, y cómo comprueba la organización que se cumplen.
Tecnología y supervisión: los sistemas que respaldan la gobernanza con supervisión, evidencias e informes.
Ninguno de los cuatro funciona por sí solo. Las políticas sin responsables quedan obsoletas, y los responsables sin procesos acaban improvisando.
¿Qué es un marco de gobernanza de datos?
Un marco de gobernanza de datos es el modelo estructurado que usa una organización para establecer roles, políticas, procesos, controles y responsabilidades de gobernanza, y para conectarlos entre sí. Esa conexión es lo que diferencia a un marco de una simple colección de políticas de datos individuales. Una política de retención, una política de acceso y un esquema de clasificación son útiles cada uno por separado, pero un marco define cómo se relacionan, quién decide cuando entran en conflicto, y cómo se mide el cumplimiento de cada una.
Un marco típico cubre la propiedad y la capacidad de decisión, los estándares y las políticas, los procesos y controles, las vías de escalado, y las métricas usadas para hacer seguimiento de si la gobernanza está funcionando.
Marcos de gobernanza de datos habituales
Varios marcos reconocidos ofrecen a las organizaciones un punto de partida. Ninguno es el mejor de forma universal, y cada uno encaja con un tipo de reto distinto:
Marco | Enfoque principal | Más adecuado para |
|---|---|---|
DAMA-DMBOK (DAMA International) | Un cuerpo de conocimiento exhaustivo sobre las disciplinas de gestión de datos, con la gobernanza en el centro | Organizaciones que están construyendo una capacidad amplia de gestión de datos y un vocabulario compartido |
DGI Data Governance Framework (Data Governance Institute) | Un modelo práctico de los componentes de la gobernanza, como la capacidad de decisión, las responsabilidades y los controles | Equipos que ponen en marcha un programa de gobernanza por primera vez |
DCAM (EDM Association, formerly the EDM Council) | Evaluar y mejorar las capacidades de gestión de datos, incluyendo ahora gobernanza, privacidad, seguridad, nube e IA | Organizaciones que quieren comparar la madurez de su gestión de datos; el marco está disponible para los miembros de EDM Association |
COBIT (ISACA) | Gobernanza empresarial de la información y la tecnología, estructurada en torno a objetivos de gobernanza y de gestión | Organizaciones que alinean la gobernanza de datos con la gobernanza de TI y la auditoría |
Estos marcos no son excluyentes entre sí. Muchas organizaciones toman su vocabulario de DAMA-DMBOK, adoptan roles del modelo DGI y alinean sus controles con COBIT o ISO 27001, según lo que esperen sus auditores y reguladores. La elección del marco importa menos que si sus responsabilidades y controles se aplican de forma consistente. Si tu programa de gobernanza de datos también necesita conectarse con marcos regulatorios y de cumplimiento como ISO 27001, NIS2 o DORA, explora los blueprints de cumplimiento de Formalize.
Cómo implementar la gobernanza de datos
Una forma práctica de poner en marcha los cuatro componentes es seguir seis pasos, empezando con un alcance reducido y ampliándolo con el tiempo:
1. Define los objetivos y el alcance de la gobernanza
Empieza por los datos que más importan: los vinculados a obligaciones regulatorias, a la confianza de los clientes o a decisiones de negocio críticas. Un alcance acotado, como los datos personales de clientes o los datos de información financiera, llega más lejos que intentar gobernarlo todo a la vez.
2. Establece la propiedad y las responsabilidades
Nombra a los propietarios de datos, responsables de un conjunto de datos y de decidir cómo puede usarse, y a los data stewards, encargados de su calidad y de su gestión diaria. La propiedad corresponde al negocio, no a TI por defecto.
3. Mapea los datos y requisitos críticos
Documenta qué datos existen, dónde residen, quién los usa, y qué políticas, riesgos y normativas se les aplican. En el caso de los datos personales, gran parte de esto coincide con el registro de actividades de tratamiento del RGPD.
4. Define políticas, estándares y controles
Establece reglas para el acceso, la calidad, la clasificación, la retención y el uso aceptable, y decide cómo vas a comprobar que se cumplen. Una política sin un control es una declaración de intenciones.
5. Integra la gobernanza en los flujos de trabajo operativos
Traduce las reglas en tareas, aprobaciones, revisiones y vías de escalado que la gente encuentre en su trabajo habitual. Si un sistema nuevo puede entrar en funcionamiento sin que nadie revise los datos que gestiona, la gobernanza solo existe sobre el papel.
6. Supervisa y mejora de forma continua
Haz seguimiento de las excepciones, los riesgos abiertos y las evidencias a lo largo del tiempo, para que los problemas salgan a la luz pronto y no durante una auditoría.
Un conjunto de datos, seis pasos. Así se desarrolla la secuencia para los datos de clientes del minorista del ejemplo anterior:
Paso | En la práctica |
|---|---|
Objectivos y alcance | Los datos de clientes son los primeros, porque están sujetos al RGPD y se usan en ventas, marketing y soporte. |
Propiedad | El responsable de marketing se convierte en el propietario de los datos, y un especialista en CRM actúa como data steward. |
Mapeo | El equipo registra qué sistemas contienen datos de clientes, como el CRM, la tienda online, la herramienta de email y el servicio de soporte, y qué requisitos se aplican a cada uno. |
Políticas y controles | El propietario aprueba las reglas de acceso: el personal de soporte puede ver los datos de contacto en el CRM pero no puede exportarlos, y el acceso se revisa cada trimestre. |
Flujos de trabajo | El equipo de analítica pide usar el historial de compras para un nuevo modelo de recomendaciones. La solicitud pasa por el propietario, que la comprueba frente a los fines para los que se recopilaron los datos, e involucra al equipo de protección de datos para evaluar si es necesaria una evaluación de impacto relativa a la protección de datos (EIPD). |
Supervisión | La decisión, el razonamiento detrás de ella y las evidencias, desde la aprobación hasta el registro de actividades de tratamiento actualizado, se conservan juntos. |
Ese registro es lo que necesitarás la próxima vez que alguien pregunte por qué se permitió que el modelo usara esos datos.
Recorre los seis pasos con tus propios datos
Elige un conjunto de datos, como los datos de clientes, y descubre cómo los propietarios, las reglas, las aprobaciones y las evidencias encajan en un mismo lugar. Reserva una demo guiada con nosotros, o empieza una prueba gratuita y configúralo tú mismo.
Buenas prácticas de gobernanza de datos
Una vez que lo básico está en marcha, unos cuantos hábitos deciden si un programa dura más allá del primer impulso:
Mide lo que cambia la gobernanza: haz seguimiento de unos pocos indicadores concretos, como el porcentaje de datos críticos con un propietario asignado, las revisiones atrasadas o las excepciones abiertas.
Pon las reglas donde se toman las decisiones: es mucho más probable que se siga una política cuando aparece en el flujo de trabajo donde se toma la decisión.
Escribe políticas que la gente pueda seguir: las reglas breves, concretas y en lenguaje claro se aplican. Los documentos de cincuenta páginas acaban archivados.
Mantén las decisiones trazables: vincula cada decisión con la acción tomada y la evidencia que la respalda, para poder demostrar por qué se hizo algo.
Programa revisiones en torno al cambio: las nuevas normativas, los nuevos sistemas y los nuevos usos de los datos, como la IA, son los momentos en los que la gobernanza necesita una segunda mirada.
Gobernanza de datos, cumplimiento e IA
La regulación es uno de los principales impulsores de la gobernanza de datos, porque la mayoría de las normas sobre datos esperan que las organizaciones demuestren cómo las cumplen. Esa demostración depende de la gobernanza.
El principio de responsabilidad proactiva del RGPD hace que los responsables del tratamiento sean responsables de cumplir sus principios, y exige que puedan demostrarlo. Los registros de actividades de tratamiento, las reglas de retención, los controles de acceso y las EIPD son todos trabajo de gobernanza. Los estándares de seguridad de la información como ISO 27001 añaden exigencias en torno a los inventarios de activos, la clasificación de la información y el control de acceso.
La IA añade otra capa. Según el Reglamento de IA de la UE, los proveedores de sistemas de IA de alto riesgo deben aplicar prácticas de gobernanza y gestión de datos a los datos usados para entrenar, validar y probar esos sistemas, incluyendo comprobaciones de calidad, relevancia y posibles sesgos. Tras el Digital Omnibus sobre IA, estas obligaciones para sistemas de alto riesgo se aplican desde el 2 de diciembre de 2027 para los sistemas independientes, y desde el 2 de agosto de 2028 para la IA integrada en productos regulados, según la Comisión Europea.
Incluso fuera de la categoría de alto riesgo, cualquier herramienta de IA que use datos personales hace entrar en juego al RGPD. Las organizaciones que ya saben qué datos tienen, y bajo qué reglas, están en una posición mucho mejor para usar la IA de forma responsable. Nuestra página sobre el Reglamento de IA trata esto con más detalle.
¿Qué son las herramientas de gobernanza de datos?
Ninguna herramienta por sí sola cubre toda la gobernanza de datos. La mayoría de los programas combinan varias categorías:
Catalogación de datos y gestión de metadatos, para saber qué datos existen y qué significan.
Linaje de datos y herramientas de calidad, para rastrear de dónde proceden los datos y si son aptos para su uso.
Gobernanza de acceso y seguridad, para controlar quién puede ver y modificar qué.
Gestión de políticas, riesgos y cumplimiento, para definir reglas, evaluar riesgos y demostrar el cumplimiento.
Formalize se sitúa en las dos últimas categorías. No sustituye a un catálogo de datos ni a una herramienta de linaje; aporta la capa de gestión de riesgos y cumplimiento que las rodea. Para profundizar en esa categoría, consulta nuestra guía sobre software de gestión del cumplimiento.
Cómo apoya Formalize la gobernanza de datos
Formalize se centra en la capa de gobernanza: los propietarios, las políticas, los riesgos y las evidencias que se sitúan por encima de los propios datos.
Actividades de tratamiento en contexto: registros de tratamiento vinculados a los sistemas, proveedores y riesgos que implican, junto con flujos de trabajo de EIPD y de evaluación de impacto de transferencias (TIA).
Políticas con ciclo de vida: redactadas, aprobadas, publicadas y con seguimiento de su confirmación de lectura, con historial de versiones.
Propietarios, aprobaciones e historial de actividad completo: cada política, control y tarea tiene un propietario asignado, con permisos basados en roles, y cada decisión queda registrada junto con su evidencia.
Gobernanza de datos junto con el RGPD, ISO 27001, NIS2 y el Reglamento de IA, en un mismo sistema en lugar de en herramientas separadas.