在当今数字经济蓬勃发展的时代，数据已成为企业最宝贵的资产之一，其价值与日俱增。随着国家政策的推动和市场需求的不断增长，数据资产入表也已成为上市公司及众多企业关注的焦点。随着政策的不断明朗，多家公司已开始探索这一全新领域。2024年上半年，已有多家上市公司完成数据资产入表工作，各地纷纷建设数据资产交易所，国家发展和改革委员会管理的国家数据局也于2023年10月25日正式揭牌，统筹推进我国数字经济发展工作。
然而，数据资产在带来巨大价值的同时，也伴随着复杂的法律合规风险。《数据安全法》《个人信息保护法》等一系列法律法规为企业数据资产的管理与利用划定了明确的法律红线。在此背景下，数据资产内部合规治理显得尤为重要。
本文旨在探讨数据资产合规治理的必要性、现状、挑战及应对策略，分析当前数据资产内部治理中存在的弊端，并提出改进措施；同时，本文还阐述了数据全生命周期管理的必要性，以及各个环节中可能存在的法律风险点与应对方案，为企业提供了一套全面、系统的数据资产合规治理方案，以供企业和业界同行沟通讨论。
一、数据资产合规治理的必要性
在国家政策和市场探索的双重加持下，一时间，“数据资产入表”成为炙手可热的词汇，数据资产背后的合规治理也再一次成为“高频词条”。其实，数据资产合规治理并非新事物，而是被包含在数据合规的大概念中，无论数据资产是否入表，数据合规治理都有其必要性，只不过“数据资产入表”意味着数据将正式进入资本市场参与投融资交易，市场交易主体将对融资企业财务数据的真实性更加关注，也将对融资企业数据的确权和合规提出更高的要求。因此，企业数据资产合规治理将迈上一个新的台阶，成为数字经济时代各行各业关注的焦点之一。
但是，与公司一般内部治理不同，数据资产内部治理并没有像《公司法》一样的标准可直接套用，构建全流程的数据内部治理体系还需结合公司自身特点，衡量调整后架构与公司已有架构之间的整合成本，并非所有持有数据资源的公司都适合打破重组，构建全新的管理体系。正如本所律师在《拟入表数据资产的法律尽职调查要点》文章中提到的，并非全部数据都符合入表的标准，也并非所有的公司都适合将数据合规治理上升到发展战略层面。在2024年上半年完成数据资产入表的上市公司中，计算机行业占比最高，其次是通信行业。虽然整体样本量较少，但仍可以看出数据驱动型公司正走在发挥数据资产价值的前列。
基于此，笔者认为，新事物固然有探索的价值，但若盲目“跟风”，可能导致已有治理体系失衡，与公司发展战略不匹配，无法充分发挥数据的作用。进一步的，在判断公司是否适合为数据搭建专门的治理架构时，可以考虑主营业务对数据的依赖程度、数据的体量、数据在公司发展中的战略地位、公司已有治理架构向新治理架构转型的成本（如裁员、招聘专业人员、文化整合、系统整合等）等因素，综合判断现阶段是否是开展大规模数据资产治理结构改革的最优时机。基于此，本文下述内容均以公司适合进行数据合规治理改革为前提展开论述。
二、数据资产合规治理之内部管理架构
（一）已有管理架构的弊端
根据《公司法》和公司章程的规定，一般企业的管理机构包括股东会、董事会及专门委员会、监事会、总经理等，董事会成员一般对公司主营业务、财务、技术较为精通，鲜少为数据专家设置席位，导致顶部治理层、管理层难以针对数据采集、利用、经营发表专业意见、作出适当决策。同时，设置IT部门管理公司信息系统的习惯多年来一以贯之，而IT部门作为职能部门之一，与其他部门处于相同级别，难以调度、管理其他各部门对数据的采集、利用，很多情况下都处于被动地位。从严格意义上讲，IT部门管理的是信息系统，是数据的载体，与数据并不完全等同，在数据合规领域扩展的广度和专业程度也远远不够。另外，数据合规问题难以从问题来源被反馈到决策层，发现问题、反馈问题、解决问题的渠道没有被打通，进一步提高了合规问题堆积、集中爆发的风险。
而且，在实践中，即使部分公司为数据合规专员设置专门岗位，但该岗位可能直接由党委书记、董事长、法定代表人、总经理等人员兼任，或者在层级上与已有组织架构关系不明，导致在数据经营活动中可能产生利益冲突或职责矛盾的情况。
对于数据驱动型企业来说，以上问题都值得关注。若作为支撑的合规治理没有切实到位，数据发展战略也只是空中楼阁，难以真正实现长期、稳定发展。
（二）引入专业技术与管理人员
归根结底，公司内部治理需要人员来具体落实，通过宏微观管理打通内部合规治理路径，而数据资产合规管理则更加强调管理人员在数据合规方面的专业性，对岗位设置、人员选聘均提出特殊要求。此时，“首席数据官”这一岗位被推出，系列政策也相继出台。
首席数据官（Chief Data Officer，CDO）一职诞生于21世纪初的美国，最早就是在企业内部创设，其主要职责是根据企业的业务需求，通过数据挖掘、处理和分析，对企业未来的业务发展和运营提供战略性的建议和意见。后期被运用到政府管理中，扩大了统筹治理数据问题的范围。需要强调的是，首席数据官只是职位的名称，关键在于职位本身的职能。若公司内早已为数据合规设置专门岗位，则无需专门为此修改内部章程。
具体到我国数字经济发展，自2021年以来，包括北京、广东、江苏、山东、上海在内的省市陆续出台“首席数据官”制度，旨在统筹数据战略实施，推动数字经济发展。目前，各地开展首席数据官试点工作，广东是全国首个推行首席数据官制度的省份，其规定由各试点市、县（市、区）政府和试点部门分别设立本级政府首席数据官和本部门首席数据官，主要在政府内部进行数据建设；江苏省于2021年6月发布《江苏省企业首席数据官制度建设指南（试行）》，提出企业应依据自身特点和需要，将CDO制度的基本内容写入企业章程或列入企业管理制度，赋予CDO对企业重大事务的知情权、参与权和决策权，并为CDO履行职责提供组织机构、人员编制、资金保障等各种必要条件，江苏省该项制度为企业设置“首席数据官”提供了政策指引并启动试点工作；《北京市数字经济促进条例》也鼓励各单位设立首席数据官。
同时，为便于企业聘请合格的专业人员担任首席数据官，帮助企业认定聘用人员的能力，2023年10月31日，国家市场监督管理总局认证认可技术研究中心发布《市场监管总局认研中心关于发布人员能力验证计划（2.0版）的通知》，正式开展首席数据官能力验证工作，此举一定意义上可以推动数据基础设施建设，为数字经济前沿产业持续提供坚实的人才保障。
基于此，在当前的时代背景下，在企业内部设置专职数据管理人员，不仅是企业向数字化战略转型的需求，也有利于与政府设置的首席数据官进行充分、有效、专业的沟通。
（三）建立跨部门、跨层级管理机制
如前文所述，一般企业采用的由IT部门统一管理公司信息系统、数据安全的架构难以实现对公司整体数据采集、利用情况的统一管理，难以实现跨部门、跨层级管理，恰恰对于数据驱动型企业来说，数据合规内部跨部门、跨层级的治理结构将直接影响其数据发展战略真正落地。
经检索市场中数据驱动型企业内部治理典型案例，互联网“大厂”对数据合规治理的要求较高，相应的内部治理结构也相对成熟。如下图所示：
图 1 阿里数据治理组织架构图 2 华为数据治理组织架构
其中，华为采用集中化（全时投入）和虚拟化（部分投入）混合的组织模式。将具备专业技能的数字治理人员、熟悉业务和IT系统的已有人员结合起来，实现数据治理团队的快速构建和导入，整合业务、IT开发和数据团队并利用已有人员熟悉度快速切入重点工作。现阶段，与组建完全由数据治理专业人员组成的独立体系相比，这种混合式的架构更适合大多数公司，也更符合公司发展的实际情况，毕竟业务是公司发展的核心，数据只是发展业务的工具之一，不能本末倒置。
总体来看，阿里和华为均为数据合规治理专门设置了自上而下、多方面打通的治理结构，便于顶部管理层制定数据发展战略，将战略细化为具体执行内容，再由基层组织具体落实；发现问题时，基层组织将问题层层上报，由顶部管理层结合战略实施情况和专业能力作出决策。根据公司的复杂性，可设置不同数量的层级，一般来说至少分为三个层级（如阿里和华为），顶层的数据专业委员会、数据治理领导组一般隶属于董事会，这也要求公司要为数据管理专业人员设置董事会席位，以发表意见。
三、数据资产合规治理之全生命周期内控制度
（一）数据全生命周期管理之必要性
数据生命周期管理就是从数据创建、初始储存直到销毁整个流程，对数据流动进行管理。可见，全生命周期管理强调闭环管理，让数据“从生到死”皆在管控之下，甚至在数据被创建之前，就要做好数据采集规划、关注数据来源，保证在数据生成伊始就具有合法保障。2021年12月12日，国务院发布《“十四五”数字经济发展规划》，其中强调：“研究推进数据安全标准体系建设，规范数据采集、传输、存储、处理、共享、销毁全生命周期管理，推动数据使用者落实数据安全保护责任。”国家在将发展数字经济作为重要发展战略的同时，强调对数据的强监管、强保护，以提高数据质量，切实为数据发挥重大价值作支撑。除此之外，《数据安全法》第三条也规定：“本法所称数据，是指任何以电子或者其他方式对信息的记录。数据处理，包括数据的收集、存储、使用、加工、传输、提供、公开等。”具体用词有细微差别，但实际仍强调全生命周期管理。
因此，为响应国家号召、遵守数据合规相关法律的规定，企业在发展或拟发展数据资产时，要更加关注数据流动各环节可能发生的风险，并加以预防或应对。
（二）数据全生命周期法律风险点及应对
考虑到不同规范性文件具体用词的差异，笔者暂以《“十四五”数字经济发展规划》的规定为基准，梳理数据全生命周期各环节存在的主要风险点与应对方案，供读者参考：

关于数据全生命周期法律风险点的具体细节亦可见本所律师发布的《拟入表数据资产的法律尽职调查要点》一文。
从内控文件制备的角度，为在制度层面降低风险，公司应当形成具有统领地位的数据合规手册，包括公司数据全生命周期各环节的处理流程和原则，核心内容可通过制定具体制度展开，但不应违反数据合规手册的规定，以达到全公司统一化、规范化的目的，便于管理。
（三）已有数据资产如何纳入全生命周期管理
对于尚未实质开展数据采集、利用的企业来说，可直接参考目前已有数据安全管理标准进行管理；但实际上，企业很可能在还没有意识到存在“数据”这一形式资产时，就已经开始了简单的数据采集、处理的工作，如制作供应商、客户清单、合同台账等。因此，对于绝大多数企业来说，在重新建设内控制度时，一般已经存在经过采集、存储、处理等流程的数据，要将该等数据纳入数据全生命周期管理，就要先对该等数据进行梳理、整改，如排查已有数据可能存在的不合规事项，通过变更协议、签署补充协议、销毁不合规数据等方式整改，将整改后的数据正式纳入全生命周期相应流程的管理。
四、律师全流程法律服务
在数据资产内部合规治理的过程中，数据安全相关规定陆续出台，数据安全问题的多样化提高了合规建设的难度，也凸显了数据合规律师发挥的作用。例如，律师可以通过尽职调查方式对企业数据资产合规情况进行摸底排查，根据尽职调查发现的问题，参与内部管理架构的建设，包括设计架构、审查专业人员劳动合同、保密协议及资质证件；以及参与企业数据全生命周期管理，包括梳理公司内部数据流动情况、目前存在的问题及提出针对性整改意见、持续追踪整改情况、审查关键环节的交易文件、参与交易谈判以及就日常数据经营提供咨询服务等。
此外，对于已发生的纠纷和潜在纠纷，律师可从诉讼/仲裁的角度评估法律风险，指导公司提前梳理、准备、固定证据，为诉讼/仲裁做充分准备的同时，也有利于公司决策层就其勤勉尽责留存证据。
五、结语
综上所述，数据资产内部合规治理是企业在数字经济时代实现可持续发展的重要保障，更是保障企业长期、稳定、可持续发展的基石。通过优化内部管理架构、引入专业技术与管理人员、建立跨部门跨层级管理机制、加强数据全生命周期管理等措施，企业可以有效提升数据资产的管理水平，降低合规风险，充分释放数据资产的潜在价值。在此过程中可能存在的法律风险也需要提前评估并通过专业途径合法解决，避免在“解决”问题后仍留下隐患。
随着数据合规法律体系的不断完善和数字化技术的持续进步，企业数据资产内部合规治理将迈上一个新的台阶。笔者期待通过本文的探讨与分享，能够为企业界同仁提供有益的参考与借鉴，共同推动数据合规治理的规范化、专业化与高效化，为数字经济的繁荣发展贡献力量。
转载自北京金诚同达律师事务所 郑影,吴雨桐