2. 可疑交易与反洗钱基础
在构建LightGBM可疑交易告警评分模型之前，必须先厘清业务对象与监管语境。模型不是孤立算法，它服务于反洗钱（AML）合规体系，输入的是交易行为，输出的是风险排序。若对“可疑交易”的定义、洗钱模式与监管要求理解偏差，再高的AUC也只是数字游戏。
一、可疑交易的定义与判定逻辑
可疑交易并非法律上的单一罪名，而是金融机构在反洗钱义务下，对“与客户身份、经营背景、历史行为明显不符，且无法合理解释”的交易活动所作的判断。其核心特征有三：异常性（偏离正常模式）、无合理解释（客户无法提供正当理由）、与洗钱或上游犯罪关联的可能性。
监管文件通常以“特征列举+主观判断”结合的方式给出标准。例如《金融机构大额交易和可疑交易报告管理办法》列出了数十种可疑情形，包括：短期内资金分散转入集中转出、频繁接近但低于报告阈值的交易、与身份不明客户交易、长期闲置账户突然启用并大额交易等。这些规则是模型特征工程的重要来源，但规则本身存在高误报、难覆盖新型模式的局限，这正是引入机器学习评分模型的动因。
关键区分：大额交易是“客观金额触发”，可疑交易是“主观风险判断”。一笔大额交易未必可疑，一笔小额交易也可能高度可疑。模型的目标不是替代判断，而是把有限的人工审核资源优先分配给最可能可疑的案例。
二、洗钱典型模式与可量化特征
洗钱通常分为处置、离析、融合三个阶段。可疑交易监测主要覆盖前两个阶段。以下是典型模式及其在数据上的表现：
| 洗钱模式 | 行为描述 | 可量化特征示例 |
|---|---|---|
| 结构化拆分 | 将大额资金拆成多笔低于报告阈值的交易 | 单日交易笔数、金额集中在阈值下方、多账户协同 |
| 分散转入集中转出 | 多个来源小额转入，短时间集中转出至少数账户 | 转入转出比、对手方数量、资金停留时间 |
| 快进快出 | 资金到账后迅速转走，账户余额长期接近零 | 平均停留时长、日终余额均值、交易间隔 |
| 休眠账户突启 | 长期无交易账户突然发生大额或高频交易 | 账户活跃天数、历史交易均值、突增倍数 |
| 跨境复杂路径 | 通过多个境外账户层层划转，路径复杂 | 跨境交易占比、路径长度、高风险地区标识 |
| 现金密集 | 频繁存取现金，与经营场景不符 | 现金交易占比、存取频率、网点分布 |
这些模式在LightGBM中可转化为数值型、类别型和时序聚合特征。例如“快进快出”可构造“资金停留时长中位数”“当日转入后2小时内转出比例”等。模型的价值在于自动学习这些特征的组合权重，而非依赖人工设定固定阈值。
三、监管要求与合规底线
反洗钱监管对金融机构提出四项核心义务：客户身份识别、客户身份资料与交易记录保存、大额交易和可疑交易报告、以及内部控制与培训。其中与评分模型最直接相关的是可疑交易报告义务：机构发现可疑交易，应及时提交可疑交易报告，无论金额大小。
监管同时强调“风险为本”原则，即根据客户、业务、地域的风险等级差异化配置资源。这为评分模型提供了制度空间：模型输出的风险分可作为风险等级划分和审核优先级排序的依据。但需注意，监管并未免除机构对规则命中案例的审核责任，模型不能成为“漏报”的挡箭牌。
合规红线：模型评分只能用于辅助排序和资源分配，不能直接替代人工可疑交易判断，更不能以“模型未告警”为由不报告已知可疑交易。所有模型决策需保留可追溯的日志与版本记录。
四、告警评分在风控体系中的定位
典型反洗钱风控体系包含四层：规则引擎、评分模型、人工审核、报告与反馈。规则引擎负责高确定性、强监管要求的硬性拦截；评分模型负责对规则未覆盖或规则误报的案例进行风险量化排序；人工审核处理高分案例并反馈结论；反馈数据回流用于模型迭代。
交易数据 → 规则初筛 → 评分模型 → 风险排序 → 人工审核 → 可疑交易报告
↑ ↓
└────────── 反馈与模型迭代 ←──────────┘
评分模型的定位是“排序器”而非“判决器”。它解决的核心问题是：在每天数万乃至数百万笔交易中，如何把最可能可疑的几百笔排到审核员面前。评价指标应关注Top-K召回率、提升度（Lift）和审核通过率，而非单纯准确率。因为可疑交易天然极度不平衡，准确率会被大量正常交易稀释，失去业务意义。
实践建议：在项目初期就与合规、审核团队对齐“高分案例审核通过率”这一业务指标。模型上线后，若Top 1%案例的审核通过率从基线的5%提升到30%，即使AUC只有0.8，也已产生显著业务价值。
五、常见误区与复盘要点
- 误区一：把可疑交易等同于欺诈交易。欺诈关注资金损失，可疑交易关注洗钱风险，两者特征分布不同，模型目标也不同。
- 误区二：追求高准确率。在极度不平衡场景下，准确率是误导性指标，应优先看召回率与业务审核效率。
- 误区三：忽略时间穿越。特征计算若使用了未来信息，离线指标会虚高，上线后迅速失效。必须严格按时间切分训练集和验证集。
- 误区四：模型上线即终点。洗钱模式会演化，需建立定期回训、漂移监测和人工反馈闭环。
理解可疑交易的业务定义、洗钱模式的数据表现、监管的合规边界以及评分模型的排序定位，是后续LightGBM特征工程与模型调优的前提。只有把模型嵌入正确的风控流程，技术指标才能转化为真实的合规能力。