2. 风控基础认知
在进入决策表设计之前，必须先建立一套清晰的风控认知框架。很多团队在落地决策表时反复返工，根源往往不是表格画得不好，而是对“风控到底在防什么、用什么工具防、工具之间如何分工”没有形成共识。本节围绕四个问题展开：风控的核心概念是什么、常见风险有哪些类型、决策引擎与规则引擎有何区别、二者如何协同。
一、风控核心概念：风险、敞口与决策
风控（Risk Control）的本质，是在收益与损失之间做可控的取舍。它并不是追求“零风险”，而是把风险控制在与业务目标匹配的范围内。理解风控需要抓住三个基础概念：
- 风险（Risk）：未来结果的不确定性，且这种不确定性可能带来损失。例如一笔贷款可能正常还款，也可能逾期。
- 风险敞口（Exposure）：一旦风险发生，可能损失的最大规模。同样一笔欺诈，授信额度 5000 元和 50000 元的敞口完全不同。
- 风险决策（Decision）：在有限信息和有限时间内，对一笔业务做出“通过、拒绝、人工审核、挑战验证”等动作的选择。
风控决策有三个典型特征：时效性强（支付场景要求毫秒级响应）、信息不完整（新用户几乎没有历史行为）、代价不对称（放过一个欺诈的损失，往往远大于误拒一个正常用户）。这三点直接决定了为什么我们需要决策表这种结构化工具——它把复杂的判断逻辑显性化、可审计、可快速调整。
二、常见风险类型：按业务场景分类
不同业务面对的风险类型差异很大，但归纳起来主要有以下几类。理解风险类型，才能设计出有针对性的规则和决策表。
| 风险类型 | 典型场景 | 核心特征 | 常见应对手段 |
|---|---|---|---|
| 欺诈风险 | 支付盗刷、虚假注册、薅羊毛 | 团伙化、对抗性强、变化快 | 设备指纹、名单、关联图谱 |
| 信用风险 | 贷款逾期、分期违约 | 滞后暴露、与还款能力相关 | 评分卡、额度策略、征信数据 |
| 操作风险 | 内部违规、流程漏洞 | 人为因素、流程依赖 | 权限控制、双人复核、审计 |
| 合规风险 | 反洗钱、数据隐私 | 监管强制、后果严重 | 名单筛查、KYC、交易监控 |
| 账户风险 | 盗号、撞库、异常登录 | 高频、技术驱动 | 行为验证、二次认证、限流 |
需要强调的是，同一笔业务往往同时面临多种风险。例如一次转账，既可能是账户被盗（账户风险），也可能是洗钱（合规风险），还可能是本人操作但额度异常（信用风险）。决策表的价值就在于能把多类风险的判断条件组织在同一张表中，按优先级和组合条件输出统一决策。
三、决策引擎与规则引擎：区别与联系
这是最容易被混淆的一组概念。很多团队把两者当成同义词，导致架构设计时职责不清。下面从定位、能力、使用方式三个维度做对比。
| 对比维度 | 规则引擎 | 决策引擎 |
|---|---|---|
| 核心定位 | 执行单条或一组业务规则 | 编排完整决策流程并输出决策结果 |
| 关注点 | 条件判断与动作触发 | 决策流、优先级、多模型协同 |
| 典型能力 | 规则匹配、条件表达式、动作执行 | 规则集、评分卡、决策表、冠军挑战者 |
| 输出 | 命中/未命中、执行结果 | 通过/拒绝/审核/挑战等业务动作 |
| 使用角色 | 开发、策略人员 | 策略、风控、运营、产品 |
用一个类比来理解：规则引擎是“发动机”，决策引擎是“整车”。规则引擎负责把一条条 if-else 逻辑高效、可维护地执行；决策引擎则负责决定先跑哪条规则、规则之间如何组合、最终输出什么业务动作。决策引擎通常包含规则引擎，并在此基础上增加了决策流编排、决策表、评分卡、名单服务、模型调用等能力。
四、案例与误区复盘
某支付团队曾遇到一个典型问题：他们用规则引擎实现了 200 多条风控规则，上线后发现两个现象——一是规则之间互相覆盖，后写的规则把前面的结果冲掉了；二是每次调整规则都要改代码、走发布，策略人员无法自助操作。复盘后发现，根本原因是把决策引擎的职责压给了规则引擎。
改造方案是引入决策引擎，把 200 条规则按风险类型拆成多个规则集，用决策表组织条件组合，用决策流编排执行顺序，并明确优先级。改造后的结构大致如下：
决策流：支付风控
├── 节点1：名单校验（规则集）
│ ├── 命中黑名单 → 拒绝
│ └── 未命中 → 继续
├── 节点2：设备与行为规则（决策表）
│ ├── 条件：设备异常 + 高频 + 新账户
│ └── 输出：拒绝 / 挑战 / 通过
├── 节点3：信用评分卡（模型）
│ └── 输出：风险分
└── 节点4：最终决策（决策表）
├── 风险分 < 30 且无命中 → 通过
├── 30 ≤ 风险分 < 70 → 人工审核
└── 风险分 ≥ 70 → 拒绝
这个案例暴露了三个常见误区，值得在后续章节中反复对照：
- 误区一：把规则引擎当决策引擎用。规则引擎擅长执行，不擅长编排。缺少决策流，规则之间就会互相打架。
- 误区二：规则堆叠代替结构化设计。200 条规则平铺，没有优先级和分组，维护成本随规则数量指数上升。决策表正是解决这个问题的工具。
- 误区三：策略与开发职责不分。策略调整依赖开发发布，响应速度慢。决策引擎的价值之一，就是让策略人员能自助配置决策表。