2. AML基础与监管背景

反洗钱（Anti-Money Laundering，AML）不是单一技术，而是一套由法律、监管、金融机构内控与数据系统共同构成的合规体系。理解这套体系，是后续做告警优先级评分与调查队列优化的前提。因为评分模型的目标、阈值设定、队列排序逻辑，最终都受监管要求和风险为本原则约束。

一、核心概念：洗钱三阶段与风险为本

洗钱通常被拆解为三个阶段：处置（Placement）、离析（Layering）、融合（Integration）。处置是把非法资金注入金融体系，例如拆分现金存入多个账户；离析是通过复杂交易掩盖来源，例如多层转账、跨境汇款、贸易融资；融合是资金重新进入合法经济，例如购房、投资、经营收入。AML监控系统要识别的，正是这些阶段中留下的行为痕迹。

风险为本（Risk-Based Approach，RBA）是FATF建议的核心原则。它要求机构根据客户、产品、地域、渠道的风险高低，分配不同的尽职调查强度和监控资源。这意味着：不是所有告警都同等重要，也不是所有客户都需要相同频率的审查。优先级评分正是RBA在运营层面的落地工具。

二、FATF建议与各国监管要求

FATF（金融行动特别工作组）发布的40项建议是全球AML/CFT框架的基准。与告警调查最相关的包括：建议10（客户尽职调查）、建议11（记录保存）、建议12（政治公众人物）、建议20（可疑交易报告）、建议21（泄密与保密）、建议29（金融情报中心）。这些建议不直接规定技术实现，但决定了机构必须“能发现、能报告、能留痕”。

各国监管在此基础上细化。美国以《银行保密法》（BSA）和FinCEN规则为核心，强调SAR提交时限与持续监控；欧盟通过反洗钱指令（AMLD）系列，要求成员国建立受益所有权登记；中国以《反洗钱法》及人民银行配套规章为主，强调客户身份识别、大额与可疑交易报告、风险自评估。不同司法辖区的差异，会直接影响告警规则的设计：例如跨境业务需要同时满足多个辖区的报告口径。

三、告警生成机制与调查流程概览

AML告警通常由规则引擎、阈值模型或异常检测模型生成。规则引擎基于专家经验，例如“单日现金存入超过等值5万美元”“短时间内多笔接近申报阈值的转账”；模型则基于统计或机器学习，识别偏离客户历史行为的交易。两者往往并行运行，产生大量原始告警。

原始告警进入调查流程前，一般会经过去重、聚合、初步评分。去重是合并同一客户同一模式的多条告警；聚合是把关联账户、关联交易合并为一个案件；初步评分则决定进入队列的优先级。调查流程通常包括：告警分派、初步审查、深入调查、结论（关闭或上报）、记录归档。

典型告警生命周期：
交易数据 → 规则/模型匹配 → 原始告警
        → 去重与聚合 → 评分与排序
        → 调查队列 → 分析师审查
        → 关闭 / 升级 / 提交STR
        → 归档与反馈调优

四、案例与常见误区复盘

假设某银行规则引擎在一天内产生1200条告警，其中800条来自同一客户的多次小额现金存入。若不去重，分析师会被大量重复告警淹没；若简单按时间排序，真正高风险的结构化交易可能被延迟处理。合理的做法是：先按客户与模式聚合，再根据客户风险等级、交易金额、涉及地域、历史告警处置结果进行评分，把高风险案件排到队列前端。

常见误区包括：

• 阈值越低越好：降低阈值会增加告警量，但不提升风险覆盖，反而稀释调查资源。
• 评分只看金额：金额是重要维度，但客户风险、交易频率、对手方地域同样关键。
• 关闭告警不留痕：监管检查时，无法证明“为何关闭”与无法证明“为何上报”同样严重。
• 模型一次调优后长期不变：洗钱手法和业务结构会变化，评分权重需要定期回测与调整。

掌握上述基础后，你就能理解：为什么告警优先级评分不能只做技术排序，而必须嵌入监管要求、风险为本原则和调查流程的实际约束。这是后续所有优化工作的起点。