1. 课程导入

在反洗钱（AML）日常运营中，真正消耗团队精力的往往不是“有没有告警”，而是“这条告警为什么触发、证据是否站得住、下一步该查什么”。很多机构已经上线了规则引擎、名单筛查与机器学习模型，但一线调查员面对的仍是一屏屏风险评分、命中规则代码和碎片化交易记录。若缺少统一的证据解释框架与调查路径生成方法，就会出现三种典型后果：误报被机械关闭、真案被表面排除、调查过程无法复核。本课程的目标，正是把“告警—证据—解释—路径—结论”打通为一条可复用的工程化链路。

一、学习目标：学完你能做到什么

本课程不是泛泛介绍 AML 概念，而是围绕“告警证据解释与调查路径生成”这一具体任务展开。完成学习后，你应当能够：

• 解释告警触发逻辑：读懂规则、模型、名单与阈值背后的命中原因，而不是只看风险等级。
• 构建证据链：把交易流水、客户画像、关系网络、外部名单与历史行为组织成可引用的证据集合。
• 生成调查路径：根据告警类型与证据缺口，自动或半自动地产出下一步核查动作、优先级与所需数据。
• 输出可解释结论：形成“触发原因—证据摘要—排除/升级理由—后续建议”的标准表达。
• 评估与复盘：用误报率、漏报率、调查时长、证据覆盖率等指标持续优化规则与路径。

二、核心原理：告警不是结论，而是待验证假设

AML 告警的本质，是系统基于某种风险信号提出的“待验证假设”。例如“单日现金存入超过阈值”并不等于洗钱，它只是提示可能存在拆分、规避申报或资金来源不明。调查的任务，是围绕该假设收集正反证据，并决定排除、升级或转人工深度调查。

因此，证据解释需要区分三个层次：

1. 触发层：哪条规则、哪个模型特征、哪个名单命中导致告警，阈值与时间窗口是什么。
2. 行为层：客户实际交易模式是否与触发信号一致，是否存在结构化、快进快出、对手方集中等模式。
3. 背景层：客户职业、行业、地域、历史交易、受益所有人、制裁与负面新闻等是否提供合理解释或加重风险。

调查路径生成则是把上述层次转化为可执行动作。一个实用的路径通常包含：数据补全 → 模式验证 → 对手方核查 → 外部信息检索 → 结论与留痕。路径不是固定清单，而是根据证据缺口动态调整的决策树。

三、方法流程：从告警到路径的六步法

为了让不同调查员产出一致结果，建议采用以下六步流程。每一步都要求留下可复核的记录。

步骤	关键动作	输出物	常见工具/数据
1. 告警解析	读取规则ID、模型版本、命中特征、阈值与时间窗	触发原因说明	规则引擎日志、模型解释器
2. 证据聚合	拉取客户画像、交易流水、关系网络、名单命中	证据清单	数据仓库、图数据库、筛查系统
3. 模式验证	验证是否构成结构化、分层、快进快出等可疑模式	模式匹配结果	SQL、Python、可视化分析
4. 缺口识别	找出无法解释的交易、缺失的对手方信息、矛盾点	证据缺口列表	调查模板、检查清单
5. 路径生成	按优先级生成下一步核查动作与所需数据	调查路径	决策树、规则库、LLM辅助
6. 结论留痕	记录排除/升级理由、证据引用与审批轨迹	调查报告	案件管理系统、审计日志

在技术实现上，路径生成常以结构化配置表达。例如一条针对“高频跨境小额”告警的路径可以写成：

{
  "alert_type": "HIGH_FREQ_CROSS_BORDER_SMALL",
  "steps": [
    {"action": "pull_transactions", "window": "90d", "fields": ["amount", "counterparty", "country"]},
    {"action": "check_structuring", "threshold": 10000, "window": "24h"},
    {"action": "screen_counterparties", "lists": ["sanction", "pep", "adverse_media"]},
    {"action": "request_source_of_funds", "condition": "unexplained_volume > 3x_avg"}
  ],
  "priority": "high"
}

四、实战场景概览：三类高频告警

本课程后续将围绕三类真实场景展开演练，它们覆盖了大多数机构 80% 以上的调查工作量：

• 结构化现金存取：客户在多个网点、多日、多账户存入略低于申报阈值的现金。调查重点是时间分布、网点分布、账户关联与资金来源。
• 跨境高频小额汇款：短时间内向多个境外对手方汇款，单笔金额小但频次高。调查重点是对手方名单、贸易背景、地域风险与是否代他人操作。
• 名单与负面新闻命中：客户或对手方命中制裁、PEP 或负面媒体。调查重点是同名排除、受益所有人穿透、交易是否与风险事件相关。

五、整体课程框架与复盘思维

课程将按“原理—方法—工具—案例—复盘”推进：先建立证据解释与路径生成的基本模型，再进入规则解析、交易模式识别、名单与网络分析、路径自动化与报告输出，最后通过综合案例与误报/漏报复盘巩固。每一章都强调可操作产出，而不是停留在概念。

复盘时建议固定问三个问题：这条告警如果重来，我会先查什么？ 哪个证据真正改变了结论？ 路径中哪一步是无效或冗余的？ 长期坚持，团队会形成自己的证据优先级与路径模板，误报处理效率与真案发现率将同步提升。