3. AML调查员工作流程

反洗钱调查员的工作并不是“看到警报就写报告”，而是一条有严格顺序、有证据链要求、有质量门禁的流水线。理解这条流水线，是后续讨论反馈闭环与模型再训练的前提：只有知道每个环节产生什么数据、什么判断、什么结论，才能判断模型该从哪里学、该往哪里改。本章把调查员工作拆成四个阶段，并说明每个阶段的输入、动作、输出与常见失败点。

一、核心原理：四阶段是一条“证据漏斗”

警报分诊、案件调查、可疑活动报告撰写、结案与归档，本质上是一条不断收敛的证据漏斗。分诊阶段处理的是“量”，目标是快速排除明显噪声、保留有调查价值的线索；调查阶段处理的是“质”，目标是把线索变成可验证的事实；报告阶段处理的是“表达”，目标是把事实转化为监管可读、可复核的结论；结案归档阶段处理的是“沉淀”，目标是把个案结论变成可追溯、可复用的组织知识。

四个阶段的输出物不同，但必须首尾一致：分诊的处置理由要能支撑调查方向，调查的证据要能支撑报告结论，报告的结论要能支撑结案定性。任何一环断裂，都会导致后续模型再训练拿到“脏标签”。

二、方法流程：四阶段的标准动作

1. 警报分诊

分诊的目标是在有限时间内决定警报的优先级与去向。典型动作包括：核对客户身份与账户状态、查看警报触发规则与命中字段、比对历史交易模式、判断是否属于已知合理解释（如工资入账、季节性经营回款）。分诊结果通常分为三类：关闭（无进一步调查价值）、转调查（存在可疑点）、升级（高风险或涉敏，需优先处理）。

分诊记录示例（结构化字段）：
alert_id: ALT-2024-08731
rule_id: R-STRUCT-014
trigger: 24h内5笔现金存入，单笔均低于1万
customer_risk: 中
triage_decision: 转调查
triage_reason: 存入频率与客户申报职业不符，且无对应经营流水
triage_owner: 调查员A
triage_time: 2024-06-11 09:42

2. 案件调查

调查阶段要把“可疑”变成“可解释”。标准动作包括：调取交易明细与对手方信息、分析资金流向与回流路径、核查客户背景与受益所有人、必要时发起补充尽调或访谈。调查员需要区分三类结论：排除嫌疑、确认可疑、证据不足但需持续监控。调查过程应形成时间线与资金链路图，便于复核。

3. 可疑活动报告撰写

报告不是调查笔记的复制，而是面向监管的结构化叙述。一份合格的可疑活动报告通常包含：可疑活动描述、涉及主体与账户、交易时间与金额、资金流向、可疑点分析、已采取行动、结论与建议。写作要求是事实与判断分离：事实可核查，判断有依据。

4. 结案与归档

结案不是“结束”，而是把个案结论固化为组织资产。结案时应确认：报告已提交或已决定不提交、证据材料完整、处置动作已执行（如限制交易、关闭账户、上报监管）、标签与原因码已正确填写。归档后，该案件的分诊理由、调查结论、报告定性应能被后续模型再训练直接读取。

阶段	核心输入	关键动作	标准输出	常见失败点
警报分诊	警报详情、客户画像、历史交易	核对、比对、判断去向	分诊结论与理由	理由笼统，无法支撑后续调查
案件调查	分诊结论、交易明细、外部信息	资金链路分析、背景核查	证据包与调查结论	证据链断裂，结论跳跃
报告撰写	调查结论、证据材料	结构化叙述、事实判断分离	可疑活动报告	事实与判断混写，监管难复核
结案归档	报告、处置记录	确认动作、填写标签、归档	结案记录与标签	标签错误，污染再训练数据

三、案例/场景：一笔“结构化现金存入”的完整流转

某客户在24小时内分5笔存入现金，每笔9800元，触发结构化规则。分诊阶段，调查员发现客户申报职业为普通职员，月收入约1.2万元，但近三个月现金存入总额超过15万元，且无对应经营流水，决定转调查。

调查阶段，调查员调取交易明细，发现资金存入后迅速通过手机银行转给三个不同对手方，对手方账户开户地分散，且部分资金在48小时内回流至客户另一账户。调查员形成资金链路图，并核查客户背景，发现其名下有一家未申报的个体工商户。调查结论为“确认可疑”。

报告阶段，调查员按“事实—分析—结论”结构撰写报告，明确列出交易时间、金额、对手方、回流路径，并指出与客户申报职业及收入不符。结案阶段，机构决定提交可疑活动报告，同时对账户采取限制措施，并在系统中标注“结构化现金存入—确认可疑—已上报”。

四、误区/复盘：调查员流程中最容易犯的错

• 分诊理由模板化：大量使用“无异常”“客户解释合理”等空泛理由，导致后续无法复盘，也无法为模型提供有效负样本。
• 调查结论跳跃：从“资金流向分散”直接跳到“疑似洗钱”，缺少对手方核查与背景验证，证据链不完整。
• 报告事实与判断混写：把“我认为”写成“事实是”，监管复核时难以区分，影响报告可信度。
• 结案标签随意：把“证据不足”标成“排除嫌疑”，或把“持续监控”标成“关闭”，直接污染再训练标签体系。
• 归档不完整：证据材料未关联案件ID，后续模型再训练时无法回溯原始上下文。