Un comité existe para que el gobierno tenga de dónde sacar autoridad. Los dueños de datos pueden acordar qué es un cliente y quién aprueba el acceso, pero no pueden aprobar un presupuesto, asumir un riesgo regulatorio en nombre de la compañía ni decirle a otro directivo que su proyecto se retrasa porque sus datos no están listos. Por eso la sala es más amplia que el equipo de datos: el patrocinador de nivel C que responde por la cuenta de resultados, el delegado de protección de datos, el director de ciberseguridad y, normalmente, legal, auditoría interna y los dueños de los dominios que están en la agenda.
En la práctica. Se reúne trimestralmente, no cada mes, porque decide cosas más grandes y menos numerosas que un consejo: el cuerpo de políticas, la financiación, el apetito de riesgo, los dominios prioritarios y las escaladas que el consejo no pudo cerrar. Cada punto llega con una recomendación y sale con un nombre asignado. El DPO y el responsable de seguridad son miembros, no revisores: eso es lo que evita que una objeción de privacidad aparezca tres semanas después de una decisión ya tomada.
Dónde se rompe. Solo asiste gente de datos. Un comité formado por el CDO, dos analistas y un consultor puede recomendar cualquier cosa y financiar ninguna, y en dos reuniones se convierte en un seguimiento de proyecto con título ejecutivo. El fallo contrario es igual de común: treinta invitados, cincuenta diapositivas y un registro de decisiones vacío desde el kickoff.