2. 风险数据基础
在风险数据可适应性与临时报表实战中，第一步不是写 SQL，也不是搭看板，而是把“风险数据”本身看清楚。风险数据不是单一表格，而是围绕客户、账户、交易、资产、行为、外部事件等多类对象持续产生的证据集合。它的价值在于支撑识别、计量、监测、预警和处置，因此理解其类型、来源、特征与术语，是后续做临时报表和适应性分析的前提。
一、核心原理：风险数据是“证据链”而非孤立字段
风险数据的核心原理可以概括为：以业务对象为主线，以时间与事件为切片，以风险因子为标签，形成可追溯的证据链。例如，一笔异常转账本身只是交易记录，但当它同时关联到客户身份、设备指纹、IP 归属、历史行为基线、黑名单命中情况时，才构成可用于风险判断的数据证据。
从结构上看，风险数据通常分为四层：
- 主体层：客户、企业、账户、商户、员工等风险承担者或关联方。
- 行为层：登录、转账、支付、查询、修改资料、签约等操作事件。
- 状态层：授信额度、逾期天数、风险等级、账户状态、冻结标志等。
- 外部层：征信、司法、舆情、名单、地理位置、设备画像等第三方数据。
这四层数据通过主键（如客户号、账号、设备号、交易流水号）和时间戳串联，形成从“谁”到“做了什么”再到“当前处于什么风险状态”的完整视图。
二、风险数据类型与来源：从内部到外部，从结构化到非结构化
风险数据按来源可分为内部数据和外部数据；按形态可分为结构化、半结构化和非结构化数据。内部数据通常来自核心业务系统、信贷系统、支付系统、反欺诈平台、客服工单和日志平台；外部数据则来自征信机构、监管名单、司法公开信息、第三方风控服务商和公开舆情。
| 数据类别 | 典型来源 | 常见字段/内容 | 业务用途 |
|---|---|---|---|
| 客户身份数据 | CRM、开户系统、KYC 平台 | 证件号、姓名、职业、注册地址、受益所有人 | 身份核验、反洗钱、关联图谱 |
| 交易数据 | 核心账务、支付网关、清算系统 | 流水号、金额、对手方、渠道、时间、摘要 | 异常交易监测、资金流向分析 |
| 行为数据 | APP/网银埋点、日志平台 | 登录时间、设备ID、IP、操作路径、停留时长 | 反欺诈、账户盗用识别 |
| 信用与资产数据 | 信贷系统、征信接口、资产管理系统 | 授信额度、余额、逾期天数、五级分类 | 信用风险计量、拨备与资本 |
| 外部风险数据 | 征信、司法、名单服务、舆情 | 黑名单、诉讼、失信、负面新闻 | 准入判断、贷后预警、合规审查 |
在实际项目中，临时报表往往需要跨源整合。例如，要回答“近 7 天某渠道新客首笔交易异常率”，就需要把客户身份、交易流水、设备行为和名单命中结果临时关联起来。此时，数据来源的稳定性和字段口径一致性，比查询速度更关键。
三、风险数据的特征：高时效、强关联、多口径、易缺失
风险数据与普通业务数据相比，有四个显著特征：
- 高时效性：欺诈、盗刷、异常转账等风险窗口极短，T+1 数据往往只能用于复盘，实时或准实时数据才用于拦截。
- 强关联性：单一字段很难定性风险，必须通过客户—账户—设备—IP—对手方等多跳关联才能还原团伙或链路。
- 多口径性：同一“逾期”在信贷、财务、监管报表中定义可能不同，临时报表必须明确口径，否则结论不可比。
- 易缺失与噪声：外部数据覆盖率有限，埋点可能丢失，名单存在误命中，导致风险数据常伴随空值、重复和冲突。
常见误区：把“数据量大”等同于“风险识别能力强”。实际上，若主键不统一、时间戳不一致、名单未去重，数据越多，临时报表的偏差越大。风险数据治理的第一原则是可追溯、可解释、可复现。
四、常见术语与业务应用场景
在风险数据领域，以下术语出现频率最高，理解它们有助于准确编写临时报表：
- 风险暴露（Exposure）：因某风险因子可能造成的最大损失或受影响金额。
- 风险因子（Risk Factor）：驱动风险变化的变量，如逾期天数、交易频次、设备更换次数。
- 命中（Hit）：客户或交易与黑名单、规则、模型阈值匹配。
- 误报（False Positive）：系统预警但实际无风险，需通过人工复核或反馈闭环降低。
- 漏报（False Negative）：实际有风险但未预警，通常比误报代价更高。
- 风险等级：高、中、低等分层结果，用于差异化处置。
- 阈值（Threshold）：触发预警或拦截的临界值，如单笔金额、日累计次数。
- 回溯（Backtesting）：用历史数据验证规则或模型的有效性。
业务应用场景主要包括：反洗钱可疑交易监测、信贷贷后预警、反欺诈实时拦截、操作风险事件统计、合规名单筛查、以及监管临时报送。以反欺诈为例，临时报表可能需要快速统计“某设备 ID 在 1 小时内关联的账户数”，以判断是否存在团伙攻击；以信贷为例，则需要按行业、区域、产品维度统计逾期迁徙率，支撑资产质量分析。
实战建议：编写临时报表前，先确认三件事——业务问题是什么、风险口径是什么、数据主键和时间字段是否可用。这三件事决定了报表能否真正支撑决策，而不是只产出一张“看起来正确”的表。
-- 示例：按设备ID统计近1小时关联账户数，用于团伙欺诈临时排查
SELECT
device_id,
COUNT(DISTINCT account_no) AS related_accounts,
COUNT(*) AS txn_cnt,
MIN(txn_time) AS first_txn,
MAX(txn_time) AS last_txn
FROM risk_txn_log
WHERE txn_time >= NOW() - INTERVAL '1' HOUR
AND device_id IS NOT NULL
GROUP BY device_id
HAVING COUNT(DISTINCT account_no) >= 5
ORDER BY related_accounts DESC;上述查询体现了风险数据临时报表的典型思路：以设备为关联键，以时间窗口为切片，以账户数为风险信号，快速定位异常聚集。实际生产中还需结合名单命中、IP 归属、历史基线等字段做二次过滤，避免误报。