Хто керує майстер-записом клієнта: Data Governance для Customer 36

Побудова цілісного уявлення про замовника, відомого як Customer 360, є фундаментальною задачею для enterprise-бізнесу, особливо в банківській та фінансовій галузі. Це не просто агрегація даних, а створення єдиного, достовірного й актуального майстер-запису, який слугуватиме джерелом істини для всіх систем і підрозділів. Однак на практиці реалізація цієї концепції стикається з організаційними та технічними ризиками, головний з яких — визначення, хто саме має право змінювати цей майстер-запис, особливо в умовах зростаючої ролі штучного інтелекту (AI) та посилення вимог до кібербезпеки.

Проблема розрізнених даних: ризики для Customer 360

Класична enterprise-проблема полягає в тому, що дані про одного й того ж замовника розкидані по десятках, а то й сотнях різних систем: CRM, ERP, системи лояльності, білінгові платформи, системи управління ризиками, контакт-центри, мобільні додатки. Кожна з цих систем може мати свій набір атрибутів, свої правила валідації та свій життєвий цикл даних. Це призводить до таких наслідків:

• Неузгодженість даних: різні системи містять суперечливу інформацію (наприклад, різні адреси, номери телефонів, статус).
• Низька якість даних: дублікати, неповні або застарілі записи ускладнюють аналітику та прийняття рішень.
• Операційна неефективність: співробітники витрачають час на пошук і верифікацію інформації, що знижує продуктивність.
• Погіршення клієнтського досвіду: замовники отримують нерелевантні пропозиції або стикаються з необхідністю повторно надавати свої дані.
• Регуляторні ризики: неможливість довести відповідність вимогам GDPR або інших нормативів щодо захисту персональних даних.

Без єдиного, достовірного майстер-запису концепція Customer 360 залишається лише ідеєю, а не реальним інструментом для бізнесу.

Хто володіє майстер-записом: визначення ролей та відповідальності

Визначення відповідальності за майстер-запис є основою ефективного Data Governance. Це не суто технічна задача, а організаційна, що вимагає чіткого розподілу ролей і процесів. На практиці це означає створення багаторівневої структури:

• Власник даних (Data Owner): Зазвичай це керівник бізнес-підрозділу, який є основним споживачем і джерелом даних (наприклад, директор з маркетингу, керівник відділу продажів). Власник даних несе відповідальність за якість, актуальність і відповідність даних бізнес-вимогам. Він затверджує політики управління даними та приймає рішення щодо конфліктів.
• Зберігач даних (Data Steward): Фахівці, які працюють безпосередньо з даними. Вони реалізують політики, встановлені власником, займаються очищенням, дедуплікацією, збагаченням даних та вирішенням повсякденних питань щодо їхньої якості.
• Архітектор даних (Data Architect): Відповідає за проєктування архітектури, включно з моделями даних, інтеграційними потоками та сховищами. Він забезпечує технічну реалізацію політик Data Governance.
• Команда кібербезпеки: Відповідає за захист майстер-запису від несанкціонованого доступу, зміни або витоку. Це включає впровадження механізмів контролю доступу, моніторингу та реагування на інциденти.
• Команда AI Governance: З поширенням AI з’являється потреба у визначенні ролей для управління AI-ризиками. Згідно з NIST AI RMF 1.0, це включає функції Govern, Map, Measure і Manage. Фахівці з AI Governance та Data Scientists, які розробляють моделі, що використовують дані замовника, також повинні мати чітко визначені права та обов’язки щодо доступу та модифікації цих даних.

Без такої ієрархії та розподілу відповідальності спроби побудувати Customer 360 приречені на невдачу.

AI та кібербезпека: нові виклики для управління даними

Поширення AI в бізнесі, як показує цьогорічний Work Trend Index Annual Report від Microsoft, де 49% розмов у Copilot підтримували когнітивну роботу, вимагає нових моделей управління. AI-моделі можуть не тільки споживати дані для аналізу та прогнозування, але й пропонувати зміни до них або навіть автоматично їх модифікувати. Це створює нові ризики:

• Автоматизована модифікація: Якщо AI-модель пропонує змінити адресу на основі аналізу зовнішніх джерел, хто несе відповідальність за достовірність цієї зміни? Який механізм її затвердження?
• Упередженість AI: Некоректно навчені AI-моделі можуть вносити упереджені або дискримінаційні зміни до даних, що має юридичні та репутаційні наслідки. Управління AI-ризиками, як підкреслює NIST AI RMF, виходить за межі точності моделей.
• Кібербезпека: AI може бути використаний як для посилення кіберзахисту, так і для нових типів атак. За даними ENISA Threat Landscape 2025, фішинг залишається провідним вектором початкового доступу. Gartner у своїх трендах на цей рік зазначає, що нормалізація використання AI в кіберзахисті йде поруч із новими AI-ризиками, які потребують комплексного управління.

Для мінімізації цих ризиків необхідно інтегрувати політики Data Governance з рамками управління AI-ризиками та стандартами кібербезпеки. Це означає впровадження механізмів аудиту всіх змін, внесених AI, а також посилення контролю доступу до даних, які використовуються для навчання моделей.

CISA Cross-Sector Cybersecurity Performance Goals (CPG) описують базові практики кібербезпеки для критичної інфраструктури, які є орієнтиром для захисту майстер-записів, забезпечуючи їхню цілісність та конфіденційність.

Типова помилка: сприйняття CRM як єдиного джерела істини

Часто організації припускаються помилки, вважаючи, що система CRM автоматично є єдиним джерелом істини для всіх даних про замовника. Хоча CRM є важливою для управління взаємодією, вона рідко містить повний набір майстер-даних. Наприклад, фінансові дані, історія платежів, юридичні аспекти можуть зберігатися в інших спеціалізованих системах. Якщо CRM намагається агрегувати всі ці дані без належного MDM-шару, це призводить до:

• Перевантаження CRM: Система стає надмірно складною, повільною та дорогою в підтримці.
• Дублювання логіки: Правила валідації та інтеграції даних дублюються в CRM та інших системах.
• Відсутність єдиної версії: Різні версії даних можуть існувати в CRM та інших системах, що створює плутанину.

Замість цього, необхідно впроваджувати спеціалізований шар управління майстер-даними (MDM), який буде агрегувати, очищати, дедуплікувати та збагачувати дані з усіх джерел, створюючи єдиний «золотий запис». CRM тоді стає споживачем цього запису, а не його єдиним власником.

Архітектурний підхід до управління майстер-даними

Для банківської галузі архітектурний підхід до управління майстер-даними виглядає так: різні системи (фронт-офіс, бек-офіс, системи кредитування, ризик-менеджменту) є джерелами та споживачами даних. Замість прямої інтеграції «кожен з кожним», що створює хаотичну мережу, впроваджується централізований MDM-хаб. Цей хаб відповідає за:

• Збір даних: Збір даних з усіх джерел через інтеграційні шини (наприклад, на базі Apache Kafka або ESB).
• Очищення та дедуплікація: Виявлення та усунення дублікатів, виправлення помилок, стандартизація форматів.
• Збагачення даних: Доповнення даних з внутрішніх (наприклад, історія транзакцій) та зовнішніх (наприклад, державні реєстри) джерел.
• Створення «золотого запису»: Формування єдиного, достовірного та актуального майстер-запису.
• Розповсюдження даних: Надання «золотого запису» всім споживачам через API або механізми публікації/підписки.

Такий підхід дозволяє кожній системі працювати з єдиною, достовірною версією даних, що підвищує їхню якість та узгодженість. Компанія Data Management IG, що входить до об’єднання Intecracy Group, має досвід у проєктуванні та впровадженні таких архітектурних рішень. Наприклад, UnityBase (open-source low-code платформа, розроблена InBase) може використовуватись для побудови централізованих систем управління даними.

Практичні кроки до побудови надійної системи управління даними

Побудова ефективної системи управління майстер-даними — це багатоетапний процес, що вимагає стратегічного підходу:

1. Оцінка поточного стану: Інвентаризація всіх джерел даних про замовника, аналіз їхньої якості та виявлення проблемних зон.
2. Розробка політики Data Governance: Чітке визначення ролей, відповідальності, правил доступу, модифікації та життєвого циклу даних. Це має включати аспекти AI Governance та кібербезпеки.
3. Вибір MDM-рішення: Вибір платформи або набору інструментів, які відповідають потребам організації. Це може бути як комерційне рішення, так і розробка на базі low-code платформ.
4. Поетапне впровадження: Починати з пілотних проєктів, поступово інтегруючи системи та розширюючи охоплення даних.
5. Інтеграція з системами кібербезпеки: Забезпечення відповідності стандартам (наприклад, CISA Cross-Sector CPG), впровадження SIEM-систем для моніторингу доступу та змін до майстер-запису.
6. Навчання персоналу: Проведення регулярних тренінгів для всіх співробітників, які працюють з даними, щодо політик Data Governance, AI-ризиків та вимог кібербезпеки.
7. Моніторинг та аудит: Постійний моніторинг якості даних, аудит змін та відповідності політикам. Для управління та версіонування документів, що регламентують ці процеси, може бути використана Scriptum (low-code BPM-платформа на UnityBase від InBase).

Ключові бізнес-результати від впровадження ефективного управління майстер-даними включають підвищення якості даних, покращення клієнтського досвіду, зниження операційних витрат, прискорення виведення нових продуктів на ринок (time-to-market) та зниження регуляторних і кібербезпекових ризиків. Компанія Softline, як частина альянсу, також має експертизу у впровадженні комплексних системних інтеграцій.

Чекліст готовності до управління майстер-записом

• Призначено власника даних (Data Owner) для майстер-запису замовника?
• Затверджено політику Data Governance, що регламентує права доступу та модифікації запису?
• Визначено ролі та відповідальність для команд, що працюють з AI-моделями (Data Scientist, AI Governance Lead)?
• Впроваджено механізми контролю доступу та аудиту змін, що відповідають стандартам кібербезпеки (наприклад, CISA CPG)?
• Існує процес оцінки та управління ризиками, пов’язаними з використанням AI для обробки даних (згідно з NIST AI RMF)?
• Визначено процедури реагування на інциденти безпеки, пов’язані з несанкціонованою зміною або витоком даних?
• Проведено навчання персоналу щодо правил роботи з конфіденційними даними та вимог кібербезпеки?