2. 反洗钱基础

在进入告警证据解释与调查路径生成之前，必须先建立一套稳定的反洗钱基础认知。否则，面对一条“可疑交易告警”，调查人员很容易只盯着单笔金额和客户解释，而忽略资金在整体链条中的位置。本章围绕五个基础问题展开：洗钱通常如何分阶段发生、常见手法有哪些、监管框架如何约束机构、金融机构承担哪些义务，以及告警究竟是怎样被系统产生的。

一、核心原理：洗钱三阶段与资金链视角

洗钱并非单一动作，而是一个试图切断“犯罪收益”与“合法外观”之间联系的过程。经典模型将其划分为三个阶段：处置（Placement）、离析（Layering）、融合（Integration）。理解这三阶段，是后续判断告警严重程度和调查方向的基础。

• 处置阶段：将非法资金引入金融体系，例如分散存入现金、购买高价值商品、充值虚拟账户。此阶段最容易被监测，因为现金密集、拆分特征明显。
• 离析阶段：通过多层转账、跨行跨域划转、贸易往来、投资理财等方式模糊资金来源。此阶段的核心是“制造距离”，让资金轨迹复杂化。
• 融合阶段：资金以看似合法的收入、投资收益、经营回款等形式回到经济体系，完成表面合法化。此时单看某一笔交易往往不再异常。

二、常见洗钱手法与识别要点

洗钱手法随监管和技术演进而变化，但底层逻辑仍是“隐藏来源、模糊路径、制造合法解释”。以下清单列出金融机构日常监测中较常见的手法及其识别信号。

手法类型	典型表现	告警识别要点
现金拆分	多人、多网点、多日存入接近申报阈值的现金	金额贴近阈值、时间集中、账户关联度高
多层转账	资金在短时间内经多个账户快速划转	入账后迅速转出、留存余额低、对手方分散
贸易洗钱	虚高或虚低报关、虚假贸易背景	货物流与资金流不匹配、关联公司间交易
虚拟资产洗钱	法币与虚拟资产频繁兑换、跨链转移	交易所充值提现异常、钱包地址高风险
壳公司/空壳账户	无实际经营却频繁大额收付	注册地集中、受益人模糊、流水与报表不符

需要强调的是，上述表现只是“风险信号”，不等于犯罪事实。调查人员应结合客户身份、职业、经营背景、地域风险和交易目的进行综合判断。

三、AML监管框架与金融机构义务

反洗钱监管框架通常由法律、行政法规、部门规章和行业指引构成。以我国为例，核心法律包括《反洗钱法》，配套的客户身份识别、客户身份资料和交易记录保存、大额交易和可疑交易报告等管理办法，构成了金融机构履行义务的基本依据。监管框架的目标不是让机构“多报”，而是让机构具备识别、评估、报告和管控风险的能力。

金融机构的主要义务可归纳为以下几项：

1. 客户身份识别（KYC）：了解客户真实身份、受益所有人、职业或经营背景，并在建立业务关系时完成尽职调查。
2. 客户风险等级管理：根据地域、业务、行业、交易特征等维度划分风险等级，并采取差异化措施。
3. 交易记录与身份资料保存：按规定期限保存，确保可追溯、可核查。
4. 大额交易与可疑交易报告：达到规定标准的大额交易需报告；有合理理由怀疑涉及洗钱活动的，应提交可疑交易报告。
5. 持续监测与重新识别：对高风险客户加强审查，对异常交易及时复核。

四、告警产生机制：从规则到告警

AML告警通常由交易监测系统产生。系统基于规则、模型或场景，对客户和交易数据进行扫描，当命中预设条件时生成告警。理解告警产生机制，有助于调查人员判断“为什么这条告警会出现”，从而更有针对性地收集证据。

一个典型的告警产生流程如下：

数据采集 → 数据清洗与标准化 → 规则/模型匹配 → 告警生成 → 告警分派 → 初步核查 → 可疑交易报告或关闭

规则通常由阈值、频率、对手方、地域、业务类型等要素组合而成。例如：

规则示例：单日现金存入累计金额 ≥ 5万元，且同一客户在3个以上网点办理
规则示例：账户入账后10分钟内转出，且转出金额占入账金额90%以上
规则示例：交易对手方位于高风险国家或地区，且单笔金额超过等值1万美元

当规则命中后，系统会生成告警，并附带交易明细、客户信息、命中规则和风险评分。调查人员需要做的，不是简单确认“规则命中”，而是解释告警背后的资金逻辑：这笔钱从哪里来、要到哪里去、为什么不符合客户正常模式。

五、案例场景：一条拆分现金告警的调查路径

假设系统产生一条告警：客户张某，在连续三天内，分别在不同网点存入现金4.8万元、4.9万元、4.7万元，合计14.4万元。命中规则为“多网点现金拆分”。

初步调查路径可以这样展开：

• 客户背景：张某为个体工商户，经营餐饮，日常现金流水较大，但此前单日存入通常不超过2万元。
• 交易特征：三天存入金额均接近5万元，网点分散，时间集中在上午。
• 资金去向：存入后未立即转出，而是留在账户中用于支付货款和房租。
• 合理解释：张某称近期为节假日备货，收取了较多现金营业款，因担心单点排队而分散存入。
• 进一步核实：调取商户经营流水、进货单据、房租合同，确认其经营规模与现金收入基本匹配。

该案例中，告警确实由拆分特征触发，但经过证据补充后，可以判断为“规则命中但实质风险较低”。如果调查发现张某无法说明现金来源，或资金随后快速转给陌生对手方，则风险等级会显著上升。这说明告警证据解释必须结合客户背景和资金链条，而不是孤立看金额。

六、复盘：基础认知如何影响后续调查

本章的基础知识最终要落到两个能力上：一是解释告警为什么产生，二是设计合理的调查路径。洗钱三阶段帮助判断资金处于哪个环节；常见手法提供识别信号；监管框架明确机构义务和报告标准；告警产生机制则解释系统命中的逻辑。只有把这些基础打牢，后续在生成调查路径时，才能做到既覆盖关键证据，又避免无效动作。