2. AML基础

在讨论误报降噪之前，必须先回到一个更基础的问题：我们到底在识别什么？如果对洗钱的本质、资金流转阶段和监管边界理解不清，规则设计就会走向两个极端——要么把正常业务当成可疑行为，要么把真正的风险淹没在告警海洋里。本章为后续的降噪策略和告警保留提供共同语言。

一、洗钱的本质：把非法来源伪装成合法来源

洗钱（Money Laundering）通常指将犯罪所得或其他非法收益，通过一系列交易和安排，掩盖其真实来源、所有权和去向，使其在形式上看起来像合法收入的过程。它的核心不是“钱多钱少”，而是来源非法与外观合法之间的转换。

从合规视角看，洗钱风险并不只存在于“黑钱”本身。金融机构更常面对的是三类风险：客户身份与真实控制人不一致、交易行为与客户画像不匹配、资金链路与申报用途明显偏离。理解这一点，才能理解为什么AML系统会产生大量误报——很多告警只是“行为异常”，并不等于“犯罪所得”。

二、洗钱三阶段：放置、离析、整合

经典的反洗钱理论将洗钱过程划分为三个阶段。它们并非总是线性出现，也可能重叠、循环或跳过某一阶段，但这一框架仍然是设计监测规则和解释告警的重要基础。

阶段	核心动作	典型场景	监测关注点
放置（Placement）	将非法现金或资金引入金融体系	现金拆分存入、购买高价值商品、充值虚拟账户	现金密集、拆分交易、多网点分散操作
离析（Layering）	通过复杂交易掩盖资金来源和去向	多层转账、跨境汇款、证券买卖、贸易融资	资金快进快出、循环交易、对手方集中
整合（Integration）	将资金以合法形式回流到经济体系	投资房产、企业入股、购买金融产品、偿还贷款	资金来源与收入不匹配、突然大额投资

在真实系统中，放置阶段的告警往往最容易被规则捕获，但也最容易产生误报，因为现金拆分行为在零售、餐饮、批发等行业中并不罕见。离析阶段的告警更依赖网络分析和时序特征，而整合阶段的告警则更依赖客户画像和财富来源验证。

三、常见洗钱手法与对应的监测信号

洗钱手法会随监管环境和技术手段不断演化。以下列出几类常见模式，以及它们在交易监测系统中通常留下的信号。

• 结构化拆分：将大额现金拆成多笔低于申报阈值的存款，或在不同网点、不同账户间分散操作。监测信号包括接近阈值的高频交易、同一客户多账户并行操作。
• 多层嵌套转账：资金在多个账户、多个机构、多个司法辖区之间快速流转，切断直接关联。监测信号包括短时间内的多层跳转、对手方分散且无业务关联。
• 贸易洗钱：通过虚高或虚低发票、虚假货物描述、重复报关等方式跨境转移价值。监测信号包括贸易金额与行业惯例偏离、运输路线与货物类型不匹配。
• 虚拟资产混币与跨链：利用匿名币、混币服务、跨链桥转移资金。监测信号包括与高风险地址交互、链上资金路径异常复杂。
• 壳公司与空壳账户：利用无实际经营的公司开立账户，进行与经营范围无关的资金收付。监测信号包括注册地址集中、无员工社保、资金流水与申报业务不符。
• 赌场与娱乐场所：通过购买筹码、故意输赢、兑换现金等方式模糊资金性质。监测信号包括高频大额筹码交易、与个人收入明显不符。

四、监管要求：从合规底线到风险为本

不同国家和地区的AML监管细节不同，但核心要求高度一致。理解这些要求，有助于判断哪些告警必须保留、哪些可以降噪。

1. 客户身份识别（KYC）：了解客户真实身份、受益所有人、业务性质和风险等级。身份信息缺失或不一致，通常是高风险告警保留的重要依据。
2. 客户尽职调查（CDD/EDD）：对高风险客户采取强化尽调，包括财富来源、资金来源、交易目的等。EDD不足时，相关告警不应轻易关闭。
3. 交易监测与可疑报告：建立与机构风险状况相匹配的监测系统，及时提交可疑交易报告。监管关注的是“是否有效”，而不是“是否零告警”。
4. 记录保存：交易记录、身份资料、尽调材料需按规定期限保存，确保可追溯、可审计。
5. 风险为本方法：根据客户、产品、地域、渠道等维度分配合规资源，高风险高关注，低风险可简化。这是误报降噪的监管基础。

五、案例复盘：一笔“看起来正常”的跨境汇款

某客户为一家小型贸易公司，过去12个月每月有3至5笔跨境汇款，金额稳定在2万至5万美元，对手方集中在同一地区。某月突然出现一笔48万美元的汇款，收款方为新注册的海外公司，申报用途为“咨询服务费”。

如果只看单笔金额，系统可能仅触发“大额交易”告警，容易被当作正常业务处理。但结合以下信息，风险显著上升：

• 客户经营范围与“咨询服务费”无直接关联；
• 收款方注册时间短，注册地与客户历史交易地区不一致；
• 该笔汇款后，客户账户在3天内出现多笔分散转出；
• 客户未提供对应的合同、发票或服务交付证明。

在这个场景中，降噪的正确做法不是关闭大额告警，而是将“大额 + 新对手方 + 用途偏离 + 后续分散转出”组合成高风险告警，并保留人工尽调环节。这样既减少了单纯大额交易的误报干扰，又避免漏掉真正需要关注的资金链路。

告警组合示例：
规则A：单笔金额 >= 等值40万美元
规则B：对手方为近90天内新注册境外公司
规则C：客户历史交易地区与本次收款地区不一致
规则D：汇款后72小时内出现3笔以上分散转出

保留策略：
A AND B AND (C OR D) → 高风险告警，必须人工复核
仅A → 进入降噪队列，可自动补充背景信息后再决定

六、本章要点回顾

洗钱的核心是掩盖非法来源，三阶段框架帮助我们理解资金在不同环节的行为特征；常见手法提供了监测信号来源；监管要求则划定了合规底线和风险为本的资源配置原则。误报降噪与高风险告警保留，必须建立在这些基础之上，而不是单纯追求告警数量的下降。只有先理解“什么是真正的风险”，才能判断“哪些告警可以降噪、哪些必须保留”。