Um comitê existe para que a governança tenha de onde tirar autoridade. Os donos dos dados conseguem acordar o que é um cliente e quem aprova o acesso a ele, mas não conseguem aprovar um orçamento, assumir um risco regulatório em nome da empresa nem dizer a outro executivo que o projeto dele atrasa porque os dados não estão prontos. É por isso que a sala é maior do que o time de dados: o patrocinador de nível C que responde pelo resultado, o encarregado de proteção de dados (DPO), o diretor de cibersegurança e, em geral, jurídico, auditoria interna e os donos dos domínios que estão na pauta.
Na prática. Reúne-se trimestralmente, não todo mês, porque decide coisas maiores e em menor número que um conselho: o conjunto de políticas, o financiamento, o apetite a risco, os domínios prioritários e as escalações que o conselho não conseguiu fechar. Cada item chega com uma recomendação e sai com um nome atribuído. O DPO e o responsável pela segurança são membros, não revisores — é isso que evita que uma objeção de privacidade apareça três semanas depois de uma decisão já tomada.
Onde dá errado. Só aparece gente de dados. Um comitê formado pelo CDO, dois analistas e um consultor pode recomendar qualquer coisa e financiar nenhuma, e em duas reuniões vira acompanhamento de projeto com título executivo. A falha oposta é igualmente comum: trinta convidados, cinquenta slides e um registro de decisões vazio desde o kickoff.