数据和IT系统都属于风险管理基础设施。在数据方面，巴塞尔委员会强调银行应具有准确的内部和外部数据以便能够识别、评估并缓释风险、做出战略经营决定以及确保充足的资本和流动性。董事会及高级管理层应特别注意做出风险决定所用数据的质量、完整性和准确性。
在IT设施方面，巴塞尔委员会强调银行风险管理基础设施的复杂程度(尤其包括足够强大的数据基础设施、数据架构及信息技术架构)应与资产负债表及收入增长，银行业务、风险配置或经营结构的复杂性，扩张和并购需求，新产品或业务条线相适应。
风险数据包括：
(1)内部数据：从各个业务系统中抽取的、与风险管理相关的数据信息。
(2)外部数据：通过专业数据供应商所获得的数据。
