3. 告警评分模型概述

在反洗钱与可疑交易监测领域，机构最早依赖的是规则引擎：只要交易金额超过阈值、或命中某条黑名单、或在短时间内发生多笔跨境转账，就触发告警。规则引擎的优点是逻辑透明、可解释、易于审计，但它的局限也同样明显——规则是人工编写的，只能覆盖已知的、被明确描述过的可疑模式，面对不断演化的洗钱手法，规则库会越来越臃肿，误报率居高不下。告警评分模型正是为了解决这一矛盾而出现的：它不再输出“是/否”的二元判断，而是输出一个连续的风险分数，让调查人员按分数高低排序处理，把有限的精力集中在最可疑的案例上。

一、评分模型与规则引擎的本质区别

规则引擎的核心是“条件命中”，评分模型的核心是“概率估计”。规则引擎回答的是“这笔交易是否满足某条规则”，评分模型回答的是“这笔交易有多大概率是可疑的”。前者是确定性的布尔逻辑，后者是统计意义上的风险排序。理解这一区别，是理解后续所有建模工作的前提。

需要强调的是，评分模型并不是要完全取代规则引擎。在实际生产系统中，两者通常是互补关系：规则引擎负责硬性合规要求（如制裁名单命中必须上报），评分模型负责在规则未命中或命中过多时进行风险排序和优先级划分。

二、评分卡思想：从信用评分到可疑交易评分

评分卡（Scorecard）最早起源于信用风险评估，其核心思想是将多个特征变量通过一定的权重组合，映射为一个总分，再根据总分划分风险等级。经典的信用评分卡使用逻辑回归加WOE（Weight of Evidence）编码，每个特征对应一个分数段，最终加总得到总分。这种思想迁移到可疑交易识别中，就形成了“可疑交易评分卡”：将交易金额、交易频率、对手方风险、地域风险、账户年龄等特征，分别赋予不同权重，计算出一个综合风险分数。

评分卡思想对可疑交易识别的最大启发在于：风险是可以被分解和量化的。一笔交易之所以可疑，往往不是单一因素造成的，而是多个弱信号叠加的结果——比如“夜间交易 + 新开户 + 高风险地区对手方 + 金额接近阈值”。规则引擎很难穷举这种组合，而评分模型可以自然地处理特征之间的交互和叠加效应。

三、机器学习在可疑交易识别中的优势与边界

机器学习模型，尤其是LightGBM这类梯度提升树模型，在可疑交易识别中展现出三方面显著优势：

• 非线性与交互建模：树模型可以自动捕捉“金额高且频率快”这类组合条件，无需人工构造交叉特征。
• 高维特征处理：可疑交易场景中可构造数百甚至上千个特征，树模型对无关特征和缺失值具有较好的鲁棒性。
• 排序能力：模型输出的分数可以直接用于告警排序，帮助调查团队优先处理高风险案例，提升整体运营效率。

但机器学习并非万能，它在可疑交易识别中存在明确的边界：

1. 标签质量问题：可疑交易的“正样本”通常来自历史上报案例，而历史上报本身受规则引擎影响，存在选择偏差。模型学到的可能是“规则曾经抓到的模式”，而非真正的洗钱模式。
2. 概念漂移：洗钱手法会随监管和风控策略变化而演化，模型上线后性能会衰减，需要持续监控和重训。
3. 可解释性要求：监管和内部审计往往要求解释“为什么这笔交易被判定为高风险”，纯黑箱模型难以满足，需要配合SHAP、特征重要性等解释工具。
4. 极端不平衡：可疑交易占比通常极低（可能低于0.1%），模型容易偏向多数类，需要采用代价敏感学习、采样策略或调整阈值来应对。

四、案例场景：从规则告警到评分排序的转变

假设某银行原有规则引擎每天产生5000条告警，其中真正可疑的只有50条，调查人员按时间顺序处理，大量精力浪费在低风险告警上。引入评分模型后，模型对每笔交易输出0~100的风险分，调查团队按分数从高到低处理。实际运行数据显示：前500条高分告警中覆盖了45条真实可疑案例，召回率达到90%，而工作量仅为原来的10%。这就是评分模型带来的核心业务价值——在有限人力下最大化可疑案例的发现效率。

规则引擎告警示例（伪代码）：
if 交易金额 > 50000 and 对手方地区 in 高风险地区:
    触发告警

评分模型输出示例：
交易ID: TX20240512001
风险分数: 87.3
主要贡献特征:
  - 对手方高风险地区占比: 0.42
  - 近7天交易频率: 23次
  - 账户开户时长: 15天
  - 夜间交易占比: 0.68
建议优先级: 高

从规则到评分的转变，本质上是风控理念从“确定性判断”向“概率性排序”的升级。规则引擎告诉你“这笔交易触发了什么”，评分模型告诉你“这笔交易有多值得看”。两者结合，才能构建既合规又高效的可疑交易监测体系。