Auditoría de Gobierno del Dato — Checklist

La auditoría de gobierno del dato responde una pregunta simple pero difícil de responder sin metodología: ¿en qué estado real están el gobierno y la calidad de nuestros datos? No la percepción — el estado real, documentado y medido.

Es un punto de partida, no un fin en sí mismo. Su valor está en identificar las brechas más críticas y priorizar las intervenciones por impacto, no en producir un informe que no se lee.

Las 8 dimensiones de la auditoría

Checklist por dimensión

1. Estrategia de datos

• ¿Existe un documento de estrategia de datos aprobado por dirección?
• ¿Hay un roadmap de datos con iniciativas priorizadas y plazos?
• ¿La inversión en datos está vinculada a objetivos de negocio medibles?
• ¿Se revisa la estrategia de datos al menos una vez al año?

2. Roles y ownership

• ¿Están definidos formalmente los roles de gobierno (CDO, Data Owner, Data Steward)?
• ¿Cada dominio de datos tiene un Data Owner de negocio identificado?
• ¿Los Data Owners tienen autoridad real para tomar decisiones sobre sus datos?
• ¿Existen reuniones periódicas de gobierno del dato con agenda documentada?

3. Calidad de datos

• ¿Están definidas las dimensiones de calidad para cada dominio crítico?
• ¿Existen controles automáticos de calidad en los pipelines de datos?
• ¿Hay un proceso formal de remediación cuando se detectan incidencias?
• ¿Se mide y reporta la calidad de datos de forma regular?

4-8. Catálogo, linaje, seguridad, compliance y cultura

• ¿Existe un catálogo de datos con el inventario de fuentes y un glosario de negocio?
• ¿El linaje de los datos críticos está documentado y es trazable?
• ¿El acceso a datos sensibles está controlado con el principio de mínimo privilegio?
• ¿El registro de tratamientos de datos personales está actualizado según RGPD?
• ¿El equipo ha recibido formación en gestión y uso responsable de datos en el último año?

Cómo interpretar el resultado

Niveles de madurez explicados con ejemplos prácticos

Saber que una empresa está en nivel 2 importa poco si no se traduce en qué se ve sobre el terreno. Estos son los rasgos típicos que diferencian un nivel de otro en empresas medianas españolas. Sirven tanto para situar la auditoría inicial como para validar mejoras seis o doce meses después.

Nivel 1, inicial

No existe rol de gobierno formal. Los informes se hacen en Excel y cada departamento mantiene su propia versión de la verdad. Las incidencias de calidad se gestionan por email y dependen del conocimiento tácito de una o dos personas. No hay catálogo, ni glosario, ni linaje documentado.

Nivel 2, reactivo

Existe equipo de datos y herramientas básicas (un data warehouse o un ERP con su BI). Cuando un informe falla se corrige, pero no hay políticas escritas. Algunos Data Owners están designados de facto sin formalizar. La calidad se controla manualmente o solo cuando un usuario se queja.

Nivel 3, definido

Hay políticas y roles documentados, dimensiones de calidad acordadas y un catálogo básico activo. Las reuniones de gobierno se celebran con agenda, pero la ejecución es desigual entre dominios. Es el nivel más habitual en empresas medianas que ya han invertido un año en gobierno del dato.

Nivel 4, gestionado, y nivel 5, optimizado

En el nivel 4 los controles de calidad están automatizados en pipelines, el linaje es trazable extremo a extremo y los KPIs de gobierno se reportan a dirección. El nivel 5 añade mejora continua medida, integración con riesgo y compliance corporativos y formación recurrente del negocio. Es raro encontrarlo fuera de banca, seguros o utilities reguladas.

¿Qué entregables produce una auditoría de gobierno del dato?

Una auditoría útil termina con artefactos accionables, no con un PDF de 80 páginas que nadie lee. Estos son los entregables mínimos que conviene exigir cuando se contrata o se ejecuta internamente. Cada uno responde a una pregunta concreta que la dirección hará después.

• Mapa de sistemas y dominios de datos críticos, con propietarios identificados.
• Scoring por dimensión (las 8 vistas en este post) con evidencias y citas de las entrevistas.
• Listado priorizado de hallazgos y riesgos, separando los que requieren acción urgente de los estratégicos.
• Roadmap a 6-12 meses con iniciativas, esfuerzo orientativo y dependencias entre ellas.
• Propuesta de modelo de gobierno: roles necesarios, foros de decisión y cadencia de revisión.
• Anexo de compliance: estado de RGPD, registro de tratamientos y huecos respecto al AI Act si hay sistemas de IA.

Caso anonimizado: auditoría en una empresa industrial mediana

Para ilustrar cómo se traduce el checklist en hallazgos reales, este es un caso anonimizado de una empresa industrial española con tres plantas y unos 250 empleados. Los datos del proyecto se han modificado para preservar la confidencialidad, pero el patrón se repite con frecuencia en el sector.

• Punto de partida: SAP ECC en las tres plantas, Power BI corporativo, Excel intensivo en finanzas y compras.
• Score inicial: estrategia 1, roles 1, calidad 2, catálogo 1, linaje 1, seguridad 3, compliance 2, cultura 2. Global aproximado: 19 %.
• Hallazgo principal: el maestro de materiales tenía 18 % de duplicados estimados y bloqueaba cualquier análisis cross-planta.
• Quick wins priorizados: nombrar Data Owners de cliente, material y proveedor; cerrar accesos a SAP por baja de empleados; arrancar política de calidad sobre el dominio material.
• Iniciativas estructurales: implantación de un registry de materiales sobre el data warehouse y catálogo open source conectado a Power BI.
• Resultado a 9 meses: score global cerca del 45 %, duplicados de material por debajo del 6 % y comité de gobierno mensual con dirección.

El detalle por fase de un proyecto como este se cubre en auditoría de gobierno del dato: fases y entregables. El punto importante es que el roadmap fue corto, ejecutable y revisado cada 90 días. Una auditoría que produce un plan a tres años sin checkpoints intermedios suele acabar archivada.