证券公司风险数据管理示范实践落地：统一风险数据字典与境外子公司治理路径拆解
摘要
中证协 2026 年 10 月 13 日发布《证券业务示范实践第7号——证券公司风险数据管理》，把"穿透式+全景式"风险管控落到数据侧：一套覆盖母子公司的统一风险数据字典、一条境外子公司风险数据治理路径、一套前置到源端的质量规则。本文拆解这份示范实践给出的三类产物、字典的字段级模板与报送口径双向映射方法、境外子公司"先接通—再统一—后穿透"的分期路径，以及 AI 问数进风险集市的前置条件，附落地检查清单与四个常见坑。
前言
风险数据管理这件事，在券商里长期是"每年应付一次"的活。
我调研过的几家公司，报送给监管的风险数据分散在七八个系统里：客户信息在 CRM、持仓在交易系统、担保品在单独的担保品系统、舆情在采购的外部数据源。风控部门每个月要做一次"数据对齐"，本质上是人工把不同系统的口径掰到一致。这个过程有两个必然结果：一是慢，月报永远在最后三天赶；二是错，同一个"融资融券余额"在不同系统里含义不同，改口径要开会。
跨境业务一来，问题翻倍。境外子公司的监管规则、会计口径、系统能力都和总部不一样，总部定的质量标准到子公司执行时往往要打折。
2026 年 10 月 13 日，中证协发布《证券业务示范实践第7号——证券公司风险数据管理》（下称《示范实践》），给出的正是针对这两类问题的落地路径。它明确了一个目标——以高质量风险数据驱动"穿透式+全景式"风险管控体系的构建；也给了三条具体抓手：统一风险数据字典、境外子公司治理路径、质量规则前置。
下面按"问题拆解—字典怎么建—境外怎么推—AI 怎么接—检查清单—避坑"六段展开。
一、先看清三个结构性难题
《示范实践》要解决的不是"某个系统数据不准"，而是三个结构性问题。
难题一：风险数据的"三多一少"
| 表现 | 具体形态 | 后果 |
|---|---|---|
| 系统多 | 交易、担保、信用、舆情、财务各自成库 | 同一指标多个来源，取哪张表靠经验 |
| 口径多 | 同一指标在报送口径与内控口径下算法不同 | 报送数 ≠ 内部风险数，解释成本极高 |
| 报送多 | 监管报表、集团报表、内部管理报表三套 | 一套数据三处维护，改一处漏两处 |
| 统一治理少 | 缺统一字典、统一主键、统一责任主体 | 出问题找不到人，改不动 |
"三多一少"的根因不是技术，是"字典"缺位。没有一份权威的、覆盖母子公司全业务条线的数据字典，任何口径统一都只能靠开会。
难题二：境外子公司的结构性差异
《示范实践》对这块的表述很克制，但指向明确：境外子公司普遍面临境内外监管规则差异显著、信息系统建设滞后于业务发展。
这两句话翻译成工程语言就是：总部定的数据架构和模型设计规范，到境外子公司可能既不合规、也没有系统承载。
难题三：质量规则只装在出口，不装在源头
多数公司的做法是：数据报到总部，在应用层跑一批校验规则，不合格就打回。
这么做的代价是——问题在最后一公里才被发现，修补成本最高。一次数据不合格，子公司的业务人员要回头翻原始凭证，一来一回是几天。
二、统一风险数据字典怎么建
《示范实践》给的要求可以拆成两句话：制定覆盖母子公司全业务条线的统一风险数据字典，同步输出标准化的数据架构、模型设计规范及数据治理标准。
这四样东西不是并列的四份文档，而是一条链：
数据架构（分几域、几类实体） ↓ 约束 模型设计规范（表怎么建、键怎么定、字段怎么命名） ↓ 对齐 数据治理标准（口径、质量、责任、变更） ↓ 沉淀 统一风险数据字典（唯一权威口径载体）2.1 字典的字段级模板
我把字典条目建议的最小字段列成表。这九项缺任何一项，字典就退化成一个"名词表"。
| # | 字段 | 说明 | 示例 |
|---|---|---|---|
| 1 | 指标/数据项名称 | 全公司唯一命名，含命名规范前缀 | RISK.MARGIN.BALANCE |
| 2 | 业务定义 | 一句话讲清"在算什么" | 客户融资融券未了结合约的应收余额 |
| 3 | 计算口径 | 分子分母、包含/排除项写全 | 含未到期利息，不含已强平合约 |
| 4 | 统计范围 | 主体范围、账户范围、时间口径 | 集团口径；信用账户；业务发生日 |
| 5 | 单位与币种 | 元/万元；本币/原币 | 元，人民币 |
| 6 | 来源系统与表 | 权威来源唯一指定 | 信用交易系统cr_margin_pos |
| 7 | 报送口径映射 | 对上报表的对应项与差异说明 | 监管报表 X 表第 N 行（含/不含项差异） |
| 8 | 责任主体 | 业务责任人 + 技术责任人 | 信用业务部 / 数据平台组 |
| 9 | 质量门槛与时效 | 完整性、准确性阈值，T+1 或实时 | 准确率 ≥ 99.5%，T+1 08:30 前就绪 |
第 7 项"报送口径映射"是券商特有的刚需。内部风控口径和监管报送口径不一致是常态，不是错误。关键是把差异显式写在字典里，而不是每次靠人回忆。
risk_metric:code:"RISK.MARGIN.BALANCE"definition:"客户融资融券未了结合约应收余额"caliber:includes:["未到期利息"]excludes:["已强平合约","已核销部分"]time_basis:"业务发生日"scope:{entity:"集团",account:"信用账户"}source:{system:"信用交易系统",table:"cr_margin_pos"}reporting_mapping:-report:"监管报表X表"line:"第N行"diff:"报送不含未到期利息，差额需在报送前扣减"owner:{business:"信用业务部",tech:"数据平台组"}quality:{accuracy:">=99.5%",freshness:"T+1 08:30前"}2.2 主键与实体对齐先行
字典里最容易被低估的是"主键"。风险数据要穿透，靠的是实体能对齐：
- 客户：经纪客户号、信用客户号、机构客户编码是否统一到同一个
cust_uid； - 合约：融资合约与融券合约是否共用一套
contract_id规则； - 交易对手：集团客户是否做集团合并视图（同一实控人下多个法人主体）。
这三个实体对不齐，"穿透式"就只能停在口号上。建议做法：字典每条数据项都要标注"连接键用哪一套"，并且把映射质量（1:1 / 1:N）写进去。
2.3 字典的维护机制
字典不是一次编完就完事。建议三条机制：
- 唯一入口：所有口径变更只能通过字典提交流程，不接受"口头对齐"；
- 版本化：字典条目带生效日期与版本号，历史报送可回溯到当时口径；
- 变更影响面自动提示：字典条目与报表、指标、下游模型建立关联，改一条自动列出受影响清单。
三、境外子公司治理路径：先接通、再统一、后穿透
《示范实践》对境外子公司给了三条明确动作，我把它整理成一条分期路径。
3.1 第一步：专项工作组 + 常态化合规差异评估
原文要求：启动境外子公司风险数据治理专项工作，组建专项工作组，建立定期会议沟通机制，常态化开展境内外监管合规差异评估，动态跟踪治理过程中的各类问题并推动闭环解决。
这一步的产出不是系统，是一份**《境内外监管差异清单》**。清单至少要覆盖：
| 差异维度 | 要问的问题 | 典型结论形态 |
|---|---|---|
| 数据范围 | 哪些数据境内要报、境外不要求？反之呢？ | 需新增/可豁免字段清单 |
| 口径定义 | 同名指标在两地定义是否一致？ | 差异项 + 转换规则 |
| 保留期限 | 数据留存年限要求是否不同？ | 最长要求为准 |
| 出境合规 | 是否涉及个人信息出境？ | 是否需评估的判定结论 |
| 报送时效 | 时限与格式要求差异 | 对系统的时效约束 |
3.2 第二步：建设境外子公司风险数据中心或集市
《示范实践》明确要求加快境外子公司风险数据中心或集市的建设，并制定覆盖母子公司全业务条线的统一风险数据字典，同步输出标准化的数据架构、模型设计规范及数据治理标准。
这里的取舍很关键：是建"中心"还是建"集市"？
| 形态 | 适用条件 | 代价 |
|---|---|---|
| 风险数据中心 | 子公司业务量较大、系统能力较好、需要本地留存 | 建设与运维成本高 |
| 风险数据集市 | 业务量有限、以报送和汇总为主 | 本地分析能力弱，依赖总部 |
我的建议是先集市、后中心：先用集市把"能报得出、报得准"解决，等业务量与本地监管要求都上来了，再考虑升级为中心。别在第一期就按最高形态立项。
3.3 第三步：质量规则前置到源端
这是《示范实践》里最有工程价值的一条：通过跨境合规路径将总部风险数据应用层校验规则中针对境外子公司的规则前置至子公司风险数据中心或集市，由总部指导子公司落地执行，通过源端把控与过程监控，提升风险数据报送的时效性、完整性与准确性。
拆成动作就是：
- 规则分拣：把总部规则集分成"通用规则"与"仅适用境外子公司的规则"；
- 规则下发：只下发后者，减少子公司的执行负担；
- 本地执行：在子公司集市/中心的入仓环节跑校验，不合格不入仓；
- 过程监控：总部看到的是"规则执行率 + 拦截量"，而不是月底的一堆不合格提示。
关键指标建议：规则前置后，把"月末返工单数"和"首报通过率"作为验收口径。我见过一家机构做前置改造后，首报通过率从六成提到九成以上——收益主要来自"错误在源头就被挡住"，而不是修得更快。
3.4 数据出境：别漏了评估这一步
《示范实践》还提到，存在跨境子公司的证券公司，如涉及数据出境，需要对数据类型、规模、传输路径等情况开展数据跨境评估；涉及个人信息出境的，需开展个人信息影响评估；如涉及数据入境，需依据跨境子公司所在国家/地区的法律法规要求开展评估。
这一块的合规判断涉及具体法规适用，落笔前必须以监管原文与法务意见为准。【待人工核验】
工程上建议做一件事：把"出境/入境评估结论"作为数据资产的一个属性挂在目录里。这样后续新增字段、新增传输路径时，系统能自动提示"这条链路是否已评估"，而不是等人想起来。
四、AI 问数进风险集市的前置条件
《示范实践》提到，AI 与风险数据管理是协同演进的共生关系：AI 可以助力风险数据的应用，例如在风险数据集市中引入大模型能力落地"AI 问数"等核心场景；负面舆情智能分析、风险报告自动化生成、风险知识库智能问答也是重点方向。
但"AI 问数"能不能用，取决于三个前置件是否就位：
| 前置件 | 要求 | 缺了会怎样 |
|---|---|---|
| 语义层 | 指标口径、同义词、统计范围可被机器读取 | 答得流利但口径错 |
| 权限与用途 | 按用户角色、用途动态判定可读范围 | 问数成为权限旁路 |
| 证据链 | 每次回答记录取数范围、口径版本、结果集引用 | 结论无法解释、无法审计 |
顺序不能反。字典先行 → 语义层才有内容；权限模型先行 → 问数才不会越界；证据链先行 → 问数才敢进正式流程。
五、落地检查清单
| 阶段 | 关键动作 | 产出物 | 验收判据 |
|---|---|---|---|
| 0 立项 | 明确覆盖范围（母子公司、业务条线） | 范围清单 | 范围无争议 |
| 1 盘点 | 风险数据源与系统盘点 | 数据源清单 | 覆盖全部报送与内控场景 |
| 2 建字典 | 九字段模板落库 | 统一风险数据字典 v1 | 核心指标 100% 有责任人 |
| 3 对齐 | 内部口径 ↔ 报送口径双向映射 | 差异对照表 | 差异项均有说明与转换规则 |
| 4 境外 | 专项工作组 + 差异评估 + 集市/中心 | 差异清单、子公司集市 | 规则执行率可监控 |
| 5 前置 | 校验规则下发源端执行 | 规则集与拦截看板 | 首报通过率、返工单数改善 |
| 6 智能化 | 语义层 + 权限 + 证据链就绪后接问数 | AI 问数试点 | 答案可解释、可审计 |
六、四个坑
坑一：只编字典，不改流程。字典编得漂亮，但口径变更仍然靠群里吼一句。字典必须成为唯一变更入口，否则三个月后就是一份过期的参考文档。
坑二：向子公司下发全部规则。规则全量下发，子公司执行不动，最后变成"规则挂在系统里没人跑"。只下发适用规则，并明确谁执行、谁监督。
坑三：把境外治理做成"总部意志的延伸"。忽略当地监管差异和系统现实，方案落不了地。先出差异清单，再定架构。
坑四：字典字段只填业务含义，不填质量门槛。没有门槛的字典无法驱动监控。每条核心数据项都要有准确率/时效阈值，并接监控。
总结
第一，券商风险数据的问题根因是"字典缺位"，不是某个系统不准。统一风险数据字典是这件事的地基。
第二，字典的最小字段集是九项，其中"报送口径映射"“连接键用哪一套”"质量门槛"是最容易漏、又最影响穿透的三项。
第三，境外子公司走"先接通、再统一、后穿透"的分期路径：专项工作组出差异清单 → 建集市/中心 → 质量规则前置到源端。
第四，质量规则前置的收益主要在"少返工"，不在"修得快"。用首报通过率和返工单数来验收最直接。
第五，AI 问数的顺序是字典 → 语义层 → 权限 → 证据链，顺序反了就是给自己埋雷。
一句话：先把"同一个数字在全公司代表什么意思"这件事写进字典，再谈穿透和智能。
你们公司在建统一数据字典时，最难啃的是哪一类口径——报送与内控的差异，还是母子公司之间的差异？欢迎评论区交流。
标签：数据治理、数据标准、数据治理落地实战、数据字典、证券行业
