数据资产合规是什么？如何确保企业不踩数据合规的坑？

做数据治理这行十多年，我被问得最多的一句话就是”这套东西到底合不合规”。问这话的人，多半是法务，或者刚被审计点名的 IT 负责人。我的回答通常不太好听：合规不是一个能一次性回答的是非题，而是一条必须落到字段级的证据链。同样一份客户名单，放在营销系统里自己打电话，和打包给合作方做联合建模，是两种完全不同的合规状态；同样一列身份证号，脱敏后给分析师做人群分层，和原样导给外包客服团队，风险等级差着好几个量级。

企业真正卡住的地方，往往不是不懂法条，而是制度和系统之间断了一层。法务写了一份《数据分类分级管理办法》，厚厚一叠，措辞严谨，锁在 OA 里没人翻；IT 那边该建表建表，该同步同步，字段注释还写着”备注2″。等到业务要拿数据去做联合建模、要入表、要上 AI 问数，才发现没人说得清这批数据最初从哪来、采集时的授权范围是什么、中间经过谁的手改过。这种事我踩过坑，也帮客户收拾过残局。

我习惯把这件事拆成四层来看：来源、权属、使用、流转。四层各有各的证据要求，缺一层，整条链就立不住。下面这张表是我在项目启动会上必画的一页，先让业务、法务、IT 三方对齐”我们此刻在谈哪一层”，别鸡同鸭讲。

我的建议很直接：别指望靠一份文档解决合规问题，要把规则嵌进平台。分类分级嵌进元数据，授权范围嵌进字段权限，对外提供嵌进审批和脱敏策略，追溯靠血缘。规则一旦变成系统里天天跑的东西，才有人天天碰它，也才经得起审计翻旧账。说白了，合规的载体应该是数据资产平台，而不是一叠 PDF。

这两年最明显的变化，是数据开始往财务报表里走。财政部那份《企业数据资源相关会计处理暂行规定》2024 年 1 月 1 日起施行，不少集团开始试着把合规的数据资源确认为无形资产或存货。一旦要入账，审计师问的就不再是”你有没有数据”，而是”这批数据你凭什么证明是你的、怎么计量、未来怎么持续带来收益”。问题的性质完全变了。

我参与过一家城商行的数据资产盘点。业务部门一口气列了 137 个”可入表”的数据产品，听着挺热闹。真往下查来源凭证，能拿出完整授权链的不到三成：有的是三方采购但合同里只写了”数据服务”，没写使用边界；有的是 App 埋点采的，可隐私政策里压根没提这项用途；还有的是几年前从合作方那边顺手同步过来的，经办人早离职了。这事我印象极深——数据资产化的第一步不是估值，是举证。

所以视角必须换一换。传统数据管理关心”有没有、准不准、快不快”；数据资产合规关心”能不能证明、能不能限定、能不能撤回”。两者内核不冲突，落到工作项上却差得很远。我带团队做项目时，会要求项目章程里同时写清这两套目标，否则做到一半就会被审计打断。

把合规视角前置到采集环节，成本最低；等到数据已经散落在十几个系统里再回头补证据，代价往往是原来的十倍。这句话我跟很多客户讲过，听进去的少，吃过亏之后再想起来的多。所以我现在做规划，宁愿在元数据和权限上多花两周，也不愿意事后做”数据考古”。

授权链断在”当初没人管”的地方

最常见的一类。数据是爬来的、三方买的、员工从上一家公司带进来的、并购时整库继承过来的。单看数据本身没毛病，干净、规整、字段齐全，可一旦要对外提供或者入表，就找不到那条”同意”的线。授权链这东西，断了就是断了，补不出来。我通常会要求客户先把所有数据源按”可举证 / 存疑 / 不可举证”打上三色标签，存疑的先冻结对外使用，再谈别的。

一次采集，到处复用

办会员卡时告知的是”用于会员权益通知”，结果数据被拿去做了风控评分、被拿去做了广告投放、被拿去训练模型。用途限定这条线，很多企业是在系统层面完全失守的——数据落进数仓之后，谁都能 select，没人知道这次查询对应哪条授权。我在项目里会要求把用途标签挂在数据资产目录上，同时把使用场景和字段权限绑定。听着麻烦，实际跑下来，反而让分析师少做了一堆无用取数。

共享出去就失控了

对外提供数据这一环，出事概率最高。没有审批、没有脱敏、没有接收方承诺、没有后续追踪，邮件附件一发，后面就全凭对方自觉。等到发现数据在外部流转，连是哪一批、哪一天、谁批的都对不上。对外提供必须是一条有起点、有审批、有留痕、可回收的通道，而不是一个”导出”按钮。

该删的没删，该留的没留

留存期限这件事，两头都容易出问题。一头是营销线索、面试简历、临时采集的人脸照片，过了期限还躺在库里；另一头是关键操作日志、授权变更记录，本该留三年，结果半年就被清理策略扫走了。我一般建议把”删除”和”留存”当成两个独立的技术能力来做，写进数据开发平台的作业规范里，而不是靠某个人的记性。

“脱敏了就没事了”——这句我听得最多，也最不靠谱。脱敏不等于不可识别。姓名去掉、手机号打码，但地域、年龄段、消费金额、就诊科室这几列一组合，几十万条数据里照样能锁定到具体的人。我见过一家做零售分析的公司，就是靠四五个”不敏感”字段的交叉把会员重新识别出来的。所以脱敏方案必须做组合维度的可识别性评估，不能只盯着单列。

“内部数据不算个人信息”——员工通讯录、考勤记录、绩效评分、供应商联系人，全是个人信息，而且往往是最容易被忽视的一批。我在做资产盘点时，会把 HR 系统和 OA 系统单独拉出来做一轮，别让它们藏在”内部管理数据”这个模糊标签下面。

“去掉了姓名就是匿名化”——去名字那是假名化，不是匿名化。真正的匿名化要求无法通过任何合理手段复原，实践中很难做到彻底，所以更现实的做法是按场景定义”足够低的再识别风险”，并把它写进对外提供的数据集说明里。

“买来的数据就是干净的”——授权不会随数据转移而自动扩张。合同里没写”可二次分发”，你就不能分发；没写”可用于模型训练”，你就不能拿去训练。我审过的一份采购合同，通篇只有一个”数据服务”四个字，这种合同在审计面前基本等于没有。采购环节的法务审核，比事后任何补救都便宜。

判断逻辑其实不复杂，我通常让团队按三个维度给每份数据打坐标：来源（自有采集、三方采购、公开收集、合作共享）、敏感度（一般数据、重要数据、核心数据，是否含个人信息）、输出去向（内部自用、集团内共享、对外提供、跨境）。三个维度交叉出来的格子，就是风险等级和管理动作。

这个方法的妙处在于它不需要一上来就做全量分类分级。先用三个维度把最危险的格子圈出来——比如”三方采购 + 含个人信息 + 对外提供”，这种组合先停掉，先把授权链补齐，剩下的慢慢来。企业最容易犯的错是想一次性做完全部，结果做了半年还在做方案。

不同规模的企业，取舍完全不一样。中小企业我建议就抓三件事：字段级分类分级、授权台账、对外提供的审批通道，别去追大而全的体系。集团型企业则必须解决统一目录和血缘，否则各子公司各说各话，总部连家底都摸不清。行业上也有差别——金融机构重点在用途限定和留痕，制造业重点在主数据和供应商/客户信息的跨系统一致性，医疗健康行业重点在最小必要和去标识化。

合规能力最终要落到具体的产品动作上，而不是停在流程图里。这也是我在选型时最看重的一点：能不能把分类分级、血缘、权限、脱敏这几件事串成一条线，而不是六个互不相通的工具。普元这套体系的好处正在这儿——数据资产平台管”看得清”，主数据管理管”对得上”，数据开发平台管”改得可控”，问数和数据集平台管”用得出去但出不了圈”。

去年我跟过一家大型装备制造集团的项目。他们的麻烦很典型：客户和供应商信息在 ERP、CRM、SRM、售后系统里各有一份，字段长度不同、编码规则不同，同一个供应商在系统里有七个名字。平时不影响业务，直到要做供应链金融，需要把供应商数据对外提供给合作银行，问题全爆出来了——谁也没法证明这批数据是自己合法采集的，也没法说明对外提供的字段范围是否超出授权。

我们的做法是先立主数据的唯一源头，用 Primeton MDM 把供应商和客户的黄金记录管起来，谁新增、谁修改、改了什么，全部留痕；再用普元数据资产平台把这几套系统的数据目录拉通，做血缘分析和分类分级，把”含联系人手机号”这类字段单独打标；对外提供走的是一条审批加脱敏的通道，输出到高质量数据集平台做样本审核之后再交付。整个过程大概五个月。最有价值的不是技术本身，是让业务第一次看清了自己的数据是怎么流的。

项目上线后，我问过他们的数据负责人一句感受。他的反馈我记到现在：”以前审计来问，我得让人翻三天邮件；现在打开血缘图，从字段一路点回上游系统，十分钟讲完。”这话比任何验收报告都实在。合规做对了的标志，是它能被业务用起来，而不是被供起来。

顺着这个案例，我把常提醒客户避的坑列一下：

1）别在没打标之前就开放取数权限，先分级再授权，顺序反了就得返工；
2）别把”数据出境”当成一个单独的审批动作，它其实是数据流向的一部分，血缘里没体现，迟早漏；
3）别让法务在项目末尾才介入，我习惯让法务在需求评审阶段就坐进来；
4）删不掉的数据等于永久风险，删除机制要和采集机制一起设计；
5）别只治理生产库，测试环境里那批脱敏不彻底的样本数据，事故率一点不低。

不是一回事，但高度重叠。个人信息保护管的是”人”，着眼点是自然人权益；数据资产合规章的是”资产”，着眼点是权属、价值与流转的合法性。一家企业可以没有任何个人信息，但它从合作方拿到的经营数据、设备数据、交易数据，照样存在权属不清、授权不足的问题。反过来，个人信息往往是最容易触发合规风险的那一类资产，所以两者在实际工作里经常是一起做的。

中小企业我会建议就抓四件事，别的先放一放。第一件是把数据分类分级做到字段级，不用做得多精细，能区分”敏感/一般”就够用，落到元数据里。第二件是建一张授权台账，把每份数据的来源、采集方式、授权范围、有效期记下来，用 Excel 起步都可以，但必须有人更新。第三件是给对外提供单独开一条审批通道，哪怕只有两个人审批，也必须有留痕。第四件是把删除机制做出来，不管技术手段是定时任务还是人工清单，得能证明”到期就删了”。

为什么只强调这四件？因为我见过太多中小企业一上来就想买一套大平台、写一套完整制度，结果钱花了、文档写完了，实际取数还是靠微信发 Excel。规模小的时候，合规的关键不是体系的完备度，而是关键动作有没有被固化下来。等业务量上来了，再把这些动作迁到普元数据资产平台这类系统上，成本会低很多，因为规则原本就是清楚的。

入表这件事，审计师要看的核心就一句话：这批数据资源是不是企业合法拥有或控制的、成本能不能可靠计量、未来能不能带来经济利益。听上去是会计问题，实际上九成的工夫花在举证上。我会建议企业至少准备五类材料，缺哪类都会在审计现场被追问。

一是来源合法性材料：自有采集的要有告知同意记录和隐私政策版本，三方采购的要有合同里的授权条款，公开渠道获取的要能说明获取方式合规。二是权属与控制材料：谁是这个数据集的 owner、内部有没有授权决议、有没有和合作方签的共享或委托处理协议。三是成本归集材料：采集、清洗、标注、脱敏、平台建设这些投入怎么分摊到这个数据集上，得有可追溯的工时和费用记录。四是使用与收益材料：这份数据现在被哪些业务在用、产生了什么收益，哪怕是内部调用也算。五是管理过程材料：分类分级记录、权限配置、变更日志、血缘图谱。

最容易翻车的是第三类和第五类。很多企业数据做得好，但成本从来没单独归集过，全混在 IT 预算里；管理过程也没留痕，因为以前没这个意识。这两块我一般会建议借助平台能力自动沉淀——比如普元数据资产平台里的血缘和变更记录，本身就是现成的过程证据；Primeton Data Workshop 的作业日志也能支撑成本归集的合理性。提前半年准备，比临近审计再补要轻松得多。

这个问题最近问的人特别多。我的看法是：AI 问数的风险不在于模型聪明，而在于它把”能不能查”和”能不能看”这两件事搅在了一起。传统 BI 是预先定义好的报表，权限相对好控；自然语言问数是动态生成查询，用户问一句”上个月华东区哪些客户回款异常”，系统就得现算，如果权限没做继承，它很可能把不该给的明细带出来。

我通常会在上这类系统前做三件事。一是把权限下沉到字段级和行级，问数引擎必须继承数据底座的权限模型，而不是自己维护一套。普元 AI 问数在这一点上做得比较扎实，权限跟着数据资产走，不会出现”报表里有权限、问数里没权限”的裂缝。二是给问数划范围，不是所有数据集都开放给自然语言查询，涉及个人信息的、涉及薪酬的、涉及未公开经营数据的，先排除在外。三是留问答日志，谁在什么时候问了什么、返回了多少行，得有记录，这既是安全手段也是优化依据。

另外提醒一句，自助 BI 的隐性风险是”导出”。很多人权限控制做得不错，结果一个导出 Excel 的功能把前面全废了。我会要求导出行为单独审批，并且限制单次导出条数。这类细节往往决定成败——合规体系的强度，取决于最薄的那一环。上这些工具之前先把底层的数据资产目录和权限体系理顺，后面的路会顺得多。

数据资产合规这件事，最怕两种极端。一种是把它当纯法务问题，制度写得漂漂亮亮，系统里一条规则都没落；另一种是把它当纯技术问题，买了一堆工具，权限、脱敏、审计全都有，但没人说得清这些配置对应哪条业务授权。我干了这么多年，见过的成功案例基本都走中间那条路：业务说清数据怎么用，法务划出边界，IT 把边界变成可执行的规则。三方谁缺席都不行。

它的价值也不该被理解成”避免罚款”。真做进去之后你会发现，最大的回报是数据变得可用了。以前不敢共享的数据，现在能拿出去做联合建模；以前不敢开放的明细，现在能放心给分析师；以前入表时说不清的价值，现在能拿出完整证据链。合规不是给数据加锁，是给数据发通行证。这个认知转过来了，后面的技术选型和流程设计都会顺。

如果你正准备动手，我的建议是先别急着立项买平台，花两周时间做一件事：把所有数据源列出来，按”来源是否可举证”打个三色标签，再把最危险的那几个格子圈出来。你会发现真正的窟窿往往只有那么几个，解决掉它们，风险敞口立刻降一大截。等这一步走完，再考虑用什么平台承载——那时候你提需求会清楚得多，也不会被供应商牵着走。普元这类有完整数据治理产品线的厂商，在这种明确需求下配合起来效率最高，因为你要什么、它给什么，中间没有太多模糊地带。

还有一句：合规是有时效的。政策会变，业务会变，数据本身也在天天变。把它当成一个持续运行的能力，而不是一次性的项目，才不会被下一轮审计打个措手不及。

陈立群：我们去年做入表试点，卡的就是成本归集这一块。财务说数据投入都在 IT 预算里，拆不出来。看完这篇有点后悔没提前一年动手，现在只能边补台账边上审计。

周敏：关于脱敏的那段说到点子上了。我们之前做过一次外部安全评估，专家就是拿四个”看起来不敏感”的字段把我们会员重新识别出来的，当时全组都愣住了。后来重做了组合维度的评估才过。

徐怀安：想问一下，像我们这种只有两百来人的公司，数据资产平台是不是太重了？现在是靠 Excel 加权限表在管，勉强能跑，就是每次有人离职就得手动改一遍，特别累。

林晓芸：AI 问数那块提醒得很及时。我们上个月刚给业务开放自然语言查询，确实没想过权限继承的问题，技术说引擎自带一套权限，跟底层不是一套。今天下午就去核一下。

韩志远：做了八年数据治理，最认同”先打标再授权”这句。我们第一次做的时候顺序搞反了，权限先开了一年，分级做完发现四百多个字段要收权，业务那边炸锅，光沟通就花了一个季度。