1. 课程导入

一、为什么交易监测是反洗钱体系的“心脏”

反洗钱工作通常被概括为“识别—评估—监测—报告—控制”五个环节，其中交易监测是唯一持续、批量、自动化地观察客户资金行为的环节。它把静态的客户身份信息、风险等级与动态的资金流水连接起来，使机构能够在海量交易中发现可疑线索，而不是被动等待举报或监管检查。

从核心价值看，交易监测至少承担四项职能：第一，发现异常，通过规则与模型识别与客户身份、经营模式、历史行为不符的交易；第二，支撑报告，为可疑交易报告提供事实依据和证据链；第三，验证风控，反向检验客户尽职调查与风险评级的准确性；第四，形成威慑，让试图利用机构洗钱的主体知道资金流动会被持续观察。

二、监管要求：从“规则合规”走向“风险为本”

国际与国内监管框架均强调风险为本（Risk-Based Approach）。这意味着机构不能只机械执行固定阈值，而要根据自身客户、产品、地域和渠道风险，设计有梯度的监测策略。监管关注点通常包括：监测范围是否覆盖全部客户与交易渠道；规则是否与机构风险状况匹配；警报处理是否及时、留痕、可追溯；可疑交易报告是否真实、完整、有分析结论；以及系统与数据治理是否可靠。

在检查与处罚实践中，常见问题集中在：规则长期不更新、阈值设置不合理导致大量无效警报、警报关闭理由模板化、可疑交易报告只填字段不做分析、以及境外代理行、跨境汇款、虚拟资产等高风险场景监测缺失。因此，交易监测的合规底线是“可解释、可验证、可追溯”，而不是“有系统、有规则、有报告”。

三、课程学习目标与整体知识框架

本课程围绕“场景库”与“规则设计”两条主线展开，目标是让学员能够独立完成从风险识别到规则上线、从警报分析到报告输出的完整闭环。具体学习目标如下：

• 理解反洗钱交易监测的监管逻辑、核心概念与常见失效模式；
• 掌握可疑交易场景的拆解方法，能够把业务风险转化为可监测的行为特征；
• 掌握规则设计要素：主体、对象、时间窗、阈值、聚合方式、排除条件与优先级；
• 能够编写规则说明、测试用例与误报分析报告；
• 能够结合客户尽调、产品渠道与地域信息，对警报进行分层调查与结论输出。

整体知识框架可以概括为“一个闭环、三层结构、四类场景”。一个闭环指“风险识别—场景设计—规则实现—警报调查—报告与反馈—规则优化”；三层结构指数据层（客户、账户、交易、外部名单）、逻辑层（场景、规则、模型、阈值）、治理层（制度、流程、人员、审计）；四类场景指身份异常、行为异常、资金异常、关系异常。

四、核心原理：可疑交易是如何被“看见”的

交易监测的基本原理是比较：把当前交易与“合理预期”比较。合理预期来自客户身份、职业、行业、规模、历史交易习惯、地域和渠道。当实际交易显著偏离预期，就产生异常信号。异常不等于可疑，可疑也不等于犯罪，监测系统输出的是“需要人工判断的线索”。

规则设计本质上是把这种比较写成可执行逻辑。一个典型规则包含以下要素：

下面是一段规则配置的伪代码示例，用于说明“分散转入、集中转出”场景的结构：

rule: structuring_in_out
scope: 对公客户
window: 连续 3 个自然日
condition:
  转入笔数 >= 5
  and 转入对手方数量 >= 5
  and 转出笔数 <= 2
  and 转出金额 / 转入金额 >= 0.8
  and 单笔转入金额 < 报告阈值
exclude:
  工资代发
  同名账户划转
  已备案的供应链结算
priority: 高

这段配置体现了规则设计的核心：用行为组合而不是单一金额来识别规避意图。单笔低于报告阈值、但多笔分散转入后集中转出，是典型的“化整为零”信号。

五、案例与场景：从一笔交易到一条线索

某贸易公司账户在3天内收到来自7个不同个人账户的转入共42万元，随后向一家境外公司一次性转出40万元。单看金额未达到大额报告标准，但系统触发“分散转入、集中转出”规则。调查发现：该公司注册地址为虚拟办公室，经营范围与收款对手方无关联，个人转账附言为“货款”但无法提供合同。进一步核查发现其中两名个人客户与该公司法人存在亲属关系。最终机构提交可疑交易报告。

这个案例说明：监测的价值不在于单笔金额大小，而在于行为模式与客户背景的偏离程度。规则负责“发现”，调查负责“解释”，报告负责“定性”。三者缺一不可。

六、常见误区与复盘

复盘时建议追问四个问题：这条规则覆盖了什么风险？误报率是多少？漏报是否可接受？如果客户刻意规避，规则是否仍然有效？只有把规则当作“风险假设”而非“合规摆设”，交易监测才能真正发挥作用。

七、本章小结