भारतीय रिजर्व बैंक (आरबीआई) द्वारा विनियमित संस्थाओं (आरई), जैसे वाणिज्यिक बैंकों और गैर-बैंकिंग वित्तीय कंपनियों (एनबीएफसी) के लिए डेटा गवर्नेंस प्रणाली से संबंधित मानदंडों का एक मसौदा प्रस्तुत किया गया है। ये मानदंड सभी प्रणालियों और व्यावसायिक कार्यों में डेटा की सटीकता, संगति, गोपनीयता, अखंडता और पता लगाने की क्षमता सुनिश्चित करने की आवश्यकता पर जोर देते हैं।
यह मसौदा मानदंड अपेक्षित क्रेडिट हानि (ईसीएल) प्रणाली को लागू करने की तैयारी के मद्देनजर प्रस्तुत किया जा रहा है, जिसका उद्देश्य ऋणों पर नुकसान के लिए प्रावधान करना है, जो 1 अप्रैल 2027 को निर्धारित है। बैंकों को इस ईसीएल प्रणाली को सफलतापूर्वक लागू करने के लिए अपने डेटा बुनियादी ढांचे को मजबूत करने की आवश्यकता होगी।
मसौदा मानदंडों के अनुसार, डिजिटल वित्तीय सेवाओं, परस्पर जुड़ी तकनीकी पारिस्थितिक तंत्रों, तीसरे पक्ष के समझौतों, उन्नत विश्लेषण और स्वचालित निर्णय लेने की प्रक्रियाओं के तेजी से विकास ने विनियमित संस्थाओं द्वारा उत्पन्न, संसाधित, प्रसारित और संग्रहीत डेटा की मात्रा, गति और जटिलता को काफी बढ़ा दिया है।
मानदंडों का सुझाव है कि विनियमित संस्थाओं को सभी डेटा पर लागू होने वाली एक डेटा गवर्नेंस फ्रेमवर्क (डीजीएफ) लागू करना चाहिए और इसे अपने जोखिम प्रबंधन प्रणाली के साथ संरेखित करना चाहिए। इसके अलावा, यह प्रणाली संगठन के आकार, जटिलता, व्यावसायिक मॉडल, और सूचना प्रौद्योगिकी (आईटी) और सूचना सुरक्षा (आईएस) की स्थापना के अनुपात में होनी चाहिए।
डेटा गवर्नेंस फ्रेमवर्क व्यापक होना चाहिए और संगठनात्मक संरचना, नीतियों और प्रक्रियाओं, जोखिम प्रबंधन (जिसमें डेटा गोपनीयता और सुरक्षा शामिल है), तकनीकी बुनियादी ढांचे और पूरे डेटा जीवनचक्र में ऑडिट तंत्र सहित सभी पहलुओं को कवर करना चाहिए।
इसके अतिरिक्त, प्रणाली को व्यक्तिगत डेटा संरक्षण अधिनियम (डीपीडीपी) 2023, डीपीडीपी नियम 2025 और अन्य सभी लागू कानूनों और विनियमों का अनुपालन करना चाहिए। मसौदे में यह प्रावधान है कि डीजीएफ की वार्षिक या आवश्यकतानुसार अधिक बार समीक्षा की जानी चाहिए।
तीसरे पक्ष के साथ सहयोग के संबंध में, आरबीआई ने फैसला सुनाया है कि विनियमित संस्थाएं उन डेटा के प्रबंधन के लिए जिम्मेदार रहती हैं जो वे तीसरे पक्ष, जिसमें संबद्ध समूह भी शामिल हैं, के साथ साझा करते हैं। हालांकि, डेटा केवल पूर्व-निर्धारित और अनुमोदित उद्देश्यों और नामित कर्मियों को ही तीसरे पक्षों को हस्तांतरित किया जा सकता है।
आरई को तीसरे पक्षों को हस्तांतरित किए गए डेटा तक पहुंच, उपयोग और हटाने के लिए सिस्टम और नियंत्रण तंत्र बनाने चाहिए, जिसमें डेटा वर्गीकरण, उनकी संवेदनशीलता और विशेष रूप से ग्राहक डेटा के मामले में ग्राहक की सहमति को ध्यान में रखा जाए। मानदंड आरई से मांग करते हैं कि वे तीसरे पक्षों को हस्तांतरित किए गए डेटा की पता लगाने की क्षमता सुनिश्चित करें, जिसे नामित एकल सत्य स्रोत (एसएसओटी) तक पहुँचा जा सके, और इस आदान-प्रदान की मात्रा के मेटाडेटा और उत्पत्ति को दर्ज किया जाए। डेटा विनिमय से अनधिकृत पुन: उपयोग, हस्तांतरण या डुप्लीकेशन नहीं होना चाहिए।
मसौदा मानदंड स्थापित करते हैं कि बैंक या एनबीएफसी का निदेशक मंडल डेटा गवर्नेंस प्रणाली की निगरानी करेगा, और प्रस्तुत रिपोर्टों और मेट्रिक्स की समीक्षा करेगा। विनियमित संस्थाओं को निदेशक मंडल स्तर पर एक डेटा गवर्नेंस कमेटी (डीजीसी) स्थापित करनी चाहिए या इस जिम्मेदारी को मौजूदा बोर्ड समिति को सौंपना चाहिए।
यह समिति डीजीएफ के कार्यान्वयन की निगरानी करेगी। इसे डेटा गवर्नेंस नीतियां विकसित करनी चाहिए जो दायरे, डेटा आर्किटेक्चर, डेटा जोखिम प्रबंधन, डेटा स्वामित्व, जवाबदेही और पूरे डेटा जीवनचक्र में डेटा की जिम्मेदारी, डेटा गुणवत्ता, डेटा वर्गीकरण फ्रेमवर्क और तीसरे पक्ष के साथ समझौतों को कवर करती हों।
इसके अलावा, विनियमित संस्थाओं को डेटा जोखिम प्रबंधन प्रक्रियाओं को समग्र जोखिम प्रबंधन प्रणाली में एकीकृत करना चाहिए। भूमिकाओं और जिम्मेदारियों को परिभाषित करते समय, मानदंड डेटा फंक्शन की स्थापना की मांग करते हैं, जिसका नेतृत्व मुख्य महाप्रबंधक या समकक्ष स्तर का प्रमुख करेगा, जिसके पास डीजीएफ को लागू करने के लिए पर्याप्त अधिकार, योग्यता और कौशल हो।
डेटा फंक्शन को डीजीएफ की प्रभावशीलता की निगरानी के लिए संकेतक विकसित करने चाहिए। यह सभी व्यावसायिक, जोखिम, तकनीकी और अन्य संबंधित कार्यों में डीजीएफ और उससे संबंधित नीतियों की समान व्याख्या और अनुप्रयोग सुनिश्चित करने के लिए केंद्रीय समन्वय बिंदु के रूप में कार्य करेगा।
प्रत्येक डेटा डोमेन के लिए एक डेटा स्वामी (डेटा ओनर) को भी नियुक्त किया जाना चाहिए, जो यह सुनिश्चित करने के लिए जिम्मेदार होगा कि उस डोमेन में डेटा को डीजीएफ के अनुसार परिभाषित, वर्गीकृत और उपयोग किया गया है। इसके अतिरिक्त, एक डेटा संरक्षक (डेटा कस्टोडियन) नियुक्त किया जाना चाहिए, जो डेटा वर्गीकरण और अनुमोदित उपयोग के अनुसार उपयोगकर्ता पहुंच और अधिकारों को सुनिश्चित करने के लिए जिम्मेदार होगा।
अंत में, मसौदा मानदंड आरई से अपेक्षा करते हैं कि वे डेटा गुणवत्ता प्रबंधन प्रक्रियाएं बनाएं जो डेटा की महत्वपूर्णता, संवेदनशीलता और वर्गीकरण के अनुरूप हों, और यह सुनिश्चित करें कि डेटा इच्छित उपयोग के लिए उपयुक्त है, महत्वपूर्ण समस्याओं की समय पर पहचान और समाधान करें।
भारतीय रिजर्व बैंक (आरबीआई) ने बैंकों के निदेशक मंडलों के समक्ष प्रस्तुत किए जाने वाले मामलों के तर्कसंगतकरण के उद्देश्य से अद्यतन दिशानिर्देश जारी किए हैं। इन परिवर्तनों का उद्देश्य बोर्ड के समय के उपयोग की दक्षता बढ़ाना और रणनीति तथा जोखिम प्रबंधन के मुद्दों पर अधिक गहन और केंद्रित ध्यान को प्रोत्साहित करना है।
संशोधित निर्देशों के अनुसार, निदेशक मंडल को उन मामलों को स्पष्ट रूप से परिभाषित करना होगा जिन्हें उनके अनुमोदन के लिए आरक्षित किया गया है, साथ ही प्रत्यायोजित शक्तियों की नियमित रूप से समीक्षा भी करनी होगी। यह संशोधित विनियमन 1 अक्टूबर 2026 से प्रभावी होगा।
नए मानदंडों के तहत, बोर्ड जोखिम प्रबंधन, नीति और रणनीति, संबद्ध संरचनाओं की संवेदनशीलता, और कॉर्पोरेट प्रशासन मानकों के अनुपालन की निगरानी करेंगे, जो अन्य जिम्मेदारियों में से एक है। आरबीआई ने जोर देकर कहा कि 'बोर्ड अध्यक्ष बैठक के एजेंडा के निर्माण के लिए प्राथमिक रूप से जिम्मेदार होता है।'
नियामक ने कहा कि बोर्ड बैंक की व्यावसायिक रणनीति, उसकी वित्तीय स्थिरता, प्रबंधन प्रणाली, प्रमुख कर्मियों के निर्णय, जोखिम प्रबंधन और नियामक आवश्यकताओं के अनुपालन के लिए अंतिम जिम्मेदारी बनाए रखते हैं। दिशानिर्देश बोर्डों को अपने कार्यों को प्रभावी ढंग से करने के लिए प्रबंधन से पर्याप्त और समय पर जानकारी प्राप्त करने को भी बाध्य करते हैं। बोर्डों को प्रदान की जाने वाली जानकारी की प्रकृति और आवृत्ति को विशिष्ट बनाना चाहिए। इस बीच, आरबीआई ने जोड़ा कि 'आवश्यक होने पर बोर्ड बाहरी रिपोर्ट मांग सकता है।'
बोर्ड कुछ मामलों को बोर्ड समितियों या प्रबंधन समितियों को सौंप सकते हैं, बशर्ते रिपोर्टिंग के लिए स्पष्ट रूप से परिभाषित आवश्यकताएं हों। उन्हें अपने अनुमोदन के लिए छोड़े गए मामलों को स्पष्ट रूप से तैयार करने और रणनीति और जोखिम प्रबंधन पर चर्चा के लिए पर्याप्त समय सुनिश्चित करने का भी निर्देश दिया गया है।
आरबीआई ने बताया कि 'बोर्ड को आवधिक रूप से उन मामलों की समीक्षा करनी चाहिए जो उसके सामने प्रस्तुत किए जाते हैं, साथ ही बोर्डों/प्रबंधन समितियों को सौंपे गए मामलों की भी समीक्षा करनी चाहिए।' इस समीक्षा में एजेंडा भेजने की समयबद्धता, एजेंडा दस्तावेजों के साथ संलग्न जानकारी की पर्याप्तता और महत्वपूर्ण विषयों के लिए आवंटित समय का मूल्यांकन किया जाना चाहिए।
संशोधित विनियमन कॉर्पोरेट प्रशासन प्रावधानों को, जो पहले केवल सार्वजनिक क्षेत्र के बैंकों (पीएसबी) के लिए लागू थे, निजी क्षेत्र के बैंकों (पीवीबी) पर संबंधित संशोधनों के साथ विस्तारित करता है। बोर्डों की जिम्मेदारियां और दिशानिर्देशों में स्थापित नए प्रबंधन अभ्यास समान आधार पर निजी ऋणदाताओं पर लागू होते हैं। विनियमन प्रमुख नीतियों, जिसमें क्रेडिट, निवेश, जोखिम प्रबंधन, आउटसोर्सिंग, डिजिटल बैंकिंग, सूचना प्रौद्योगिकी, जिम्मेदार व्यवसाय संचालन, जमा, मुआवजा, केवाईसी और प्रकटीकरण शामिल हैं, साथ ही बड़े शेयरधारकों के लिए अनुपालन और उपयुक्तता (एफ एंड पी) मूल्यांकन और कॉर्पोरेट सामाजिक उत्तरदायित्व (सीएसआर) और सुरक्षित प्रकटीकरण योजना जैसी महत्वपूर्ण संरचनाओं के अनुमोदन की आवश्यकता को बरकरार रखता है। फिर भी, यह समितियों को कुछ पहलुओं को सौंपने की अनुमति देता है यदि यह उचित समझा जाता है।
इसी तरह, पूंजी नियोजन, लाभांश घोषणा, स्वैच्छिक विलय, और प्रबंध निदेशक, मुख्य कार्यकारी अधिकारी, मुख्य जोखिम प्रबंधक और मुख्य अनुपालन अधिकारी की नियुक्ति से संबंधित मामले बोर्ड के अनुमोदन की मांग करते रहते हैं।
