BCBS 239 Benchmark Survey 2026

Luka w zgodności regulacyjnej wciąż istnieje

Jak wynika z analizy, po ponad dekadzie od wprowadzenia BCBS 239 sektor bankowy nadal nie osiągnął pełnej zgodności regulacyjnej. Choć banki zainwestowały znaczące środki w zarządzanie danymi, ryzykiem i infrastrukturą IT, luka w zgodności z wymogami BCBS 239 pozostaje jednym z głównych zastrzeżeń organów nadzoru bankowego. Przed instytucjami wciąż sporo pracy nad jakością, spójnością i przejrzystością danych w raportowaniu ryzyka (RDARR-Risk Data Aggregation and Risk Reporting).

Jednocześnie rola BCBS 239 ulega istotnej zmianie. Wdrożenie BCBS 239 rzadziej traktowane jest jak projekt w obszarze compliance, a coraz częściej staje się fundamentem zarządzania danymi w całej organizacji.

Nowością jest objęcie zasadami samych modeli zarządzania ryzykiem, np. VaR (Value at Risk), czyli miary maksymalnej oczekiwanej straty portfela. Na ten krok zdecydowało się już 28 banków. Modele kapitałowe Filaru 1 i 2 są uwzględniane przez odpowiednio 42 i 41 instytucje. Kontrola przesuwa się więc z samych raportów na dane wykorzystywane przy budowie i stosowaniu modeli.

Governance - silne struktury i ograniczona egzekucja

Struktury governance są w dużej mierze ustandaryzowane i formalnie dojrzałe. Odpowiedzialność za wdrożenie BCBS 239 ponosi głównie Chief Risk Officer (CRO) oraz Chief Financial Officer (CFO) - odpowiednio dla 65 proc. i 47 proc. badanych instytucji. W praktyce oznacza to, że ciężar wdrożenia programu spoczywa wspólnie na ryzyku i finansach, przy ścisłej współpracy z funkcjami biznesowymi i technologicznymi.

Dobrze działa monitoring postępów -  38 proc. banków raportuje je co miesiąc, a 35 proc. co kwartał.

Najsłabszym ogniwem obszaru Governance pozostają wynagrodzenia. Aż 81 proc. instytucji nie powiązało celów jakości danych z wynagrodzeniami osób odpowiedzialnych za dane i IT. Zazwyczaj bez wprowadzenia aspektów motywacyjnych trudniej jest o trwałą poprawę jakości danych, a tempo transformacji organizacyjnej maleje.

Krytyczne elementy danych - postęp we wdrożeniach i ograniczone pokrycie procesów

Zarządzanie krytycznymi elementami danych (CDE - Critical Data Elements) powoli dojrzewa - odsetek banków z portfelami 1000-2000 CDE wzrósł z 5 do 17 proc. Większość instytucji (53 proc.) jednak nadal utrzymuje w swoim portfelu mniej niż 500 elementów.

Na obecnym etapie rynek wciąż nie wypracował jednolitych kryteriów identyfikacji CDE, stąd obserwujemy duże różnice między instytucjami. Ponadto, wiele kluczowych obszarów wciąż pozostaje poza formalnymi ramami zarządzania danymi.

Śledzenie pochodzenia danych nowym standardem rynkowym

Śledzenie pochodzenia danych (data lineage) należy dziś do kluczowych wymagań nadzorczych. Z doprecyzowanych przez Europejski Bank Centralny oczekiwań wynika, że banki powinny dokumentować pełną ścieżkę danych – od ich pozyskania, przez ekstrakcję, transformację i ładowanie, aż po warstwę raportową – zamiast poprzestawać na warstwie agregacji, np. hurtowni danych.

Obecnie rynek dostosowuje się do tych oczekiwań. Podejście end-to-end czyli od raportu po systemy źródłowe stosuje już 68 proc. banków wobec 61 proc. w 2024 roku. Odsetek instytucji poprzestających na warstwie agregacji spadł w tym samym czasie z 28 do 18 proc.

Dojrzałość dokumentacji maleje jednak wraz ze szczegółowością. Na poziomie aplikacji i systemów pełne pokrycie deklaruje 66 proc. banków. Na poziomie atrybutów danych odsetek ten spada do 34-36 proc. Kolejne 44 proc. podmiotów dokumentuje wyłącznie obszary priorytetowe, a około 20 proc. nie robi tego wcale. Instytucje finansowe kierują ograniczone zasoby tam, gdzie znaczenie danych jest największe i jednocześnie prowadzą rozmowy z regulatorami na temat formalnego dopuszczenia takiego podejścia, opartego na ryzyku.

Najwięcej zmian wymaga obszar dokumentacji pochodzenia danych w narzędziach użytkowników końcowych. Aż 43 proc. banków opisuje je tylko na poziomie przepływów procesowych. Wymaganą szczegółowość na poziomie atrybutów zapewnia zaledwie 18 proc. instytucji. Tymczasem o jakości rozwiązania decyduje złożoność i precyzja dokumentacji, także w środowisku EUC.

End User Computing - największa luka w kontroli danych

Największa luka w kontroli danych kryje się w narzędziach użytkowników końcowych (EUC -End-User Computing). Ponad połowa banków (57 proc.) ma ich do 250, a kolejne 24 proc. od 250 do 500. Mimo to co drugi bank (55 proc.) nie mierzy jakości danych w tym obszarze. Obok oficjalnych systemów rośnie więc równoległe środowisko danych. Pozostaje ono często poza standardowymi mechanizmami kontroli, co może zwiększać ryzyko błędów raportowych, utrudniać analizę przyczyn nieprawidłowości oraz ograniczać przejrzystość procesów przetwarzania danych.

Brak przejrzystości kosztów ogranicza zarządzanie programem

Jedna z najciekawszych obserwacji z tegorocznego badania dotyczy aspektów finansowania. Aż 79 proc. banków nie dysponuje informacjami na temat całkowitych wydatków ponoszonych na zarządzanie BCBS 239. W praktyce koszty pozostają rozproszone między inicjatywami zespołów IT, danych i ryzyka. Tymczasem ograniczona przejrzystość w zakresie wydatków  utrudnia ocenę efektywności prowadzonych inicjatyw oraz świadome zarządzanie nakładami na ich realizację.

Mimo to 73 proc. banków zakłada zamknięcie wdrożenia w ciągu trzech lat, co pokazuje że implementacja postrzegana jest jako proces średnioterminowy.

AI pozostaje w fazie eksperymentalnej, potrzebna większa dojrzałość w zakresie danych

Zainteresowanie nowymi technologiami, w tym sztuczną inteligencją rośnie, choć dojrzałość w zakresie zarządzania danymi pozostaje na wcześniejszym etapie. Aż 51 proc. banków monitoruje mniej niż trzy wskaźniki jakości danych.

Ostrożnie wygląda wykorzystanie generatywnej AI w data lineage. Około 36 proc. banków dopiero obserwuje i ocenia możliwe zastosowania w tym obszarze. Kolejne 34 proc. koncentruje się na budowie podstawowej dokumentacji pochodzenia danych, a 24 proc. prowadzi pierwsze eksperymenty i pilotaże. Zastosowania dojrzałe należą do rzadkości. Ukierunkowane wsparcie wybranych procesów wskazało 4 proc. instytucji, a pełną integrację strategiczną zaledwie 2 proc.

Postęp hamują przede wszystkim przestarzałe systemy legacy oraz rozproszone narzędzia użytkowników końcowych (EUC). Nie bez znaczenia jest także ograniczone zaufanie do stosowania GenAI w procesach krytycznych.

Wybory dotyczące implementacji rozwiązań również pokazują ostrożne podejście instytucji do nowych narzędzi. Na rynku rozwiązań data lineage dominują systemy budowane wewnętrznie, które wskazało 19 instytucji. Wśród platform komercyjnych pod względem liczby wdrożeń prowadzi Collibra (15 wskazań) przed Informaticą (8), Microsoft Purview (7) i Ab Initio (6). Pozostałe narzędzia, jak Dataplex, Amazon SageMaker, Mantas czy Solidatus, doczekały się pojedynczych implementacji.