4. 合规基础
在反欺诈与支付科技体系中，合规不是“附加项”，而是决定业务能否持续运行的地基。欺诈者利用身份伪造、资金拆分、跨境通道和隐私盲区完成套现，而监管框架正是通过识别客户、监测交易、保存证据、报告可疑行为四条主线，把非法资金流动压缩到可追踪、可拦截、可问责的范围内。本章聚焦反洗钱（AML）、反恐怖融资（CFT）、KYC、KYB、数据隐私以及主要监管框架，帮助建立可落地的合规认知。
一、核心原理：从“了解你的客户”到“了解你的风险”
AML与CFT的共同目标是防止金融体系被用于清洗犯罪收益或资助恐怖活动。其底层逻辑可以概括为三个动作：识别（Who）、监测（What）、报告（Report）。KYC（Know Your Customer）解决个人客户身份真实性与风险等级问题；KYB（Know Your Business）解决企业客户的实际控制人、受益所有人、经营实质与制裁背景问题。二者不是一次性开户动作，而是贯穿客户生命周期的持续尽调。
风险为本（Risk-Based Approach）是当前监管共识：不是对所有客户做同等强度的审查，而是根据客户类型、地域、业务关系、交易模式、渠道风险分配资源。高风险客户应触发强化尽调（EDD），低风险客户可适用简化尽调（SDD），但简化不等于免除。
核心公式：合规有效性 = 身份识别准确度 × 交易监测覆盖率 × 可疑报告及时性 × 数据留存完整性。任一环节趋近于零，整体防线即失效。
二、方法流程：KYC/KYB与交易监测的工程化落地
一个可运行的合规流程通常包含以下步骤：
- 客户准入：采集身份信息、企业注册信息、受益所有人（UBO）信息，进行证件核验、人脸比对、企业工商核验。
- 制裁与PEP筛查：比对制裁名单、政治公众人物名单、负面媒体，命中则进入人工复核。
- 风险评级：按国家、行业、渠道、交易规模、股权结构打分，划分低/中/高风险。
- 持续监测：对交易金额、频率、对手方、地域、时间模式设置规则与模型，触发告警。
- 可疑交易报告：对达到报告标准的案件撰写STR/SAR，提交金融情报机构。
- 记录留存：身份资料、交易日志、筛查结果、复核意见按监管期限保存，通常为5年以上。
在工程实现上，筛查与监测常以规则引擎加名单服务的方式落地。例如，一个简化的交易监测配置可以表示为：
rule: high_risk_cross_border
when:
amount >= 10000
and counterparty_country in ["IR", "KP", "SY"]
and customer_risk_level in ["high", "medium"]
then:
action: block_and_alert
alert_queue: aml_review
retain_days: 1825
该配置表达的是：当高风险或中风险客户发生一万美元以上、对手方位于受制裁或高风险国家时，系统应拦截并生成反洗钱复核告警，同时保留数据五年。实际生产中还需考虑误报率、名单版本、时区、币种折算和人工复核SLA。
三、案例/场景：KYB缺失导致的空壳公司洗钱
某支付机构为一家注册在离岸地的“贸易公司”开通企业账户。开户时仅核验了营业执照和法人身份证，未穿透股权，未识别实际控制人，也未核查其是否与受制裁实体存在关联。三个月内，该账户接收多笔来自不同个人账户的小额资金，随后集中转出至另一家空壳公司。交易金额均低于单笔报告阈值，但频率和对手方高度异常。
复盘发现三个关键缺口：第一，KYB未识别UBO，导致真实控制人隐藏在多层股权之后；第二，监测规则只关注单笔金额，未建立累计金额与分散转入集中转出模式；第三，可疑交易报告依赖人工发现，未与名单筛查联动。改进措施包括：强制UBO穿透至自然人、增加聚合交易规则、将制裁筛查嵌入每笔交易链路、对高风险行业设置更低的告警阈值。
常见误区：把KYC等同于“开户时上传身份证”；把KYB等同于“查一下工商信息”；把AML等同于“大额交易报告”。实际上，监管关注的是持续、动态、可解释的风险管理过程，而非单点动作。
四、数据隐私与主要监管框架
合规科技必须在“反洗钱需要数据”与“隐私保护限制数据使用”之间取得平衡。数据隐私的核心原则包括：目的限制、最小必要、存储期限、跨境传输合规、用户权利响应。反洗钱场景下，监管通常要求保留交易与身份数据，但企业仍需确保数据访问有授权、有审计、有脱敏。
主要监管框架可按地域与功能梳理如下：
| 框架/法规 | 地域 | 核心要求 | 对支付/反欺诈的影响 |
|---|---|---|---|
| FATF建议 | 全球 | 风险为本、客户尽调、可疑报告、制裁合规 | 各国监管的底层参考标准 |
| 反洗钱法/刑法第191条 | 中国 | 客户身份识别、大额与可疑交易报告、记录保存 | 境内支付机构必须履行AML义务 |
| GDPR | 欧盟 | 数据主体权利、跨境传输、DPIA | 影响KYC数据采集与留存设计 |
| 个人信息保护法 | 中国 | 告知同意、最小必要、跨境评估 | 身份核验与生物识别需单独同意 |
| BSA/AML | 美国 | KYC程序、CTR、SAR、OFAC制裁 | 美元清算与代理行关系的关键门槛 |
| PSD2/AMLD | 欧盟 | 强客户认证、受益所有人登记 | 支付发起与账户访问的合规要求 |
从工程视角看，合规系统需要把上述要求转化为可执行的控制点。例如，在数据跨境场景中，可以先做数据分类，再决定是否出境：
data_class: kyc_identity
contains: [name, id_number, face_embedding]
cross_border: prohibited_by_default
if_required:
mechanism: standard_contract_clause
assessment: transfer_impact_assessment
retention: 5_years_after_relationship_end
这段配置说明：KYC身份数据默认禁止出境；如业务确需跨境，应走标准合同条款并完成传输影响评估，关系结束后仍需保留五年。类似的控制点还包括访问审计、字段级加密、双人复核和告警闭环。
落地建议：把合规要求拆成“可测试的控制项”，例如“每笔交易必须经过制裁筛查”“高风险客户必须完成EDD”“STR必须在发现后24小时内提交”。控制项可测试、可审计、可追责，合规才不是纸面文章。
总结来看，AML/CFT、KYC/KYB、数据隐私与监管框架共同构成支付与反欺诈业务的合规底座。理解其原理、流程、案例与误区，才能在系统设计中把“合规”从成本中心转化为可信能力。