4. 告警证据类型
在反洗钱（AML）告警处理中，调查结论是否站得住脚，取决于证据链是否完整、可追溯、可解释。很多告警之所以被认定为“误报”或“无法定性”，并非风险不存在，而是调查人员只看了单一维度证据，没有把交易、身份、行为、关系、外部信息串联起来。本节将告警证据划分为六类，并说明每类证据的特征、取证要点与在调查路径中的作用。
一、核心原理：证据分类的本质是“还原资金与意图”
AML告警的本质，是系统基于规则或模型发现“异常”。异常只是线索，不是结论。调查的任务是把线索还原为可解释的业务事实或可疑活动。六类证据分别回答不同问题：
- 交易记录：钱怎么动？金额、频率、对手、渠道、时间分布如何？
- 客户身份信息：客户是谁？职业、行业、注册地、受益所有人、风险等级是什么？
- 账户行为：账户怎么用？登录、转账、收款、提现、变更是否偏离正常模式？
- 关联关系：客户与谁有关？担保、控股、任职、同地址、同设备、同IP、资金闭环等。
- 外部名单：是否命中制裁、PEP、负面新闻、执法通报、内部黑名单？
- 公开信息：工商、司法、招投标、招聘、舆情、行业价格等能否解释交易背景？
这六类证据不是并列堆砌，而是有层次：身份信息界定“应然”，交易与行为反映“实然”，关联关系与外部信息解释“或然”。调查就是比较应然与实然，再用外部信息判断偏离是否合理。
二、六类证据的特征与取证要点
| 证据类型 | 典型内容 | 关键特征 | 取证要点 |
|---|---|---|---|
| 交易记录 | 收付金额、时间、对手、渠道、摘要、余额 | 结构化、可量化、易被拆分规避 | 看趋势而非单笔；关注整数、快进快出、夜间、跨行跨境 |
| 客户身份信息 | 姓名、证件、职业、行业、注册地、UBO、风险等级 | 相对静态，但可能过期或虚假 | 核对有效期、受益所有人穿透、经营地址与交易地是否匹配 |
| 账户行为 | 登录IP/设备、密码重置、限额变更、网银签约、销户 | 行为序列，能反映控制权变化 | 关注告警前后行为突变；设备与IP是否多人共用 |
| 关联关系 | 股权、任职、担保、同地址、同设备、资金闭环 | 图结构，需多跳分析 | 区分强关联与弱关联；避免仅凭同名同姓定性 |
| 外部名单 | 制裁名单、PEP、负面新闻、执法通报、内部黑名单 | 命中即高优先级，但存在误命中 | 核对证件号、出生日期、国籍；记录命中来源与时间 |
| 公开信息 | 工商变更、司法涉诉、招投标、招聘、舆情 | 非结构化、时效性强、需交叉验证 | 优先官方来源；截图留痕；注意信息与交易时间先后 |
三、方法流程：从告警到证据链的六步法
- 锁定告警要素：明确告警规则、触发时间、涉及账户、金额阈值与规则逻辑。
- 调取身份基线：获取客户身份、职业、行业、风险等级、UBO，形成“应有交易画像”。
- 拉取交易全量：至少覆盖告警前后各3—6个月，按对手、渠道、金额区间聚合。
- 分析账户行为：提取登录、设备、限额、签约等日志，定位行为突变点。
- 扩展关联关系：以资金对手、设备、地址、股权为边，做1—2跳扩展，识别闭环与团伙。
- 核验外部信息：查询名单、工商、司法、舆情，形成“支持/排除/待查”三类结论。
每一步都应产出可复核的记录。例如交易聚合可用如下伪代码表达：
-- 按对手与渠道聚合近6个月交易
SELECT counterparty_id,
channel,
COUNT(*) AS txn_count,
SUM(amount) AS total_amount,
AVG(amount) AS avg_amount,
MAX(amount) AS max_amount
FROM transactions
WHERE customer_id = :customer_id
AND txn_time >= :start_time
GROUP BY counterparty_id, channel
ORDER BY total_amount DESC;聚合后重点看三类信号：一是集中度，资金是否高度流向少数对手；二是节奏，是否出现与经营周期不符的密集收付；三是闭环，资金是否经过多个账户后回流至客户或其关联方。
四、案例场景：一笔“正常货款”如何被还原为可疑
某贸易公司账户触发“单日累计收款超阈值”告警。初步看，交易摘要为“货款”，对手为三家不同公司，似乎正常。调查人员按六类证据展开：
- 身份信息：公司注册地为某园区，注册资本100万，员工2人，经营范围含电子产品。
- 交易记录：近3个月收款后均在30分钟内转出至同一自然人账户，留存极少。
- 账户行为：网银登录IP集中在两个地址，其中一个与另一家已销户公司共用。
- 关联关系：三家付款公司注册地址相同，法定代表人为同一人，且该自然人与客户原股东为亲属关系。
- 外部名单：未命中制裁或PEP，但其中一家付款公司有涉诉记录。
- 公开信息：招聘网站显示该公司仅招“电话客服”，无电子产品采购或销售岗位。
结论：交易摘要与经营实质不符，资金快进快出、对手关联、行为共用设备，形成疑似代收代付或资金过账。该告警最终被升级为可疑交易报告。这个案例说明，单看交易记录会误判为正常，只有把六类证据拼起来，才能解释“为什么可疑”。
五、误区与复盘
常见误区一：只看单笔金额。拆分交易、蚂蚁搬家正是为了规避阈值，必须看累计与趋势。
常见误区二：把名单命中当结论。同名同姓、证件过期、拼写差异都会造成误命中，必须二次核验。
常见误区三：忽略行为证据。控制权变更、设备共用、夜间操作往往比交易本身更能说明问题。
常见误区四：外部信息不标注来源与时间。舆情和工商信息会变化，调查记录必须可追溯。
复盘时建议用一张“证据覆盖清单”自检：六类证据是否都查过？每类证据支持什么结论？是否存在未解释的矛盾？如果某类证据缺失，应在报告中明确说明缺失原因及对结论的影响。证据链的价值不在于数量多，而在于每一环都能回答“这说明了什么”。