2. 金融合规基础
在进入规则引擎的建模与实施之前，必须先建立对金融合规本身的准确认知。规则引擎只是工具，真正决定系统成败的，是团队对合规概念、监管逻辑与风险边界的理解深度。本节从核心概念、监管要求、常见风险与数字化挑战四个层面，为后续的规则建模打下业务基础。
一、核心概念：合规、合规管理与合规风险
合规（Compliance）指金融机构及其员工的经营管理行为符合法律、行政法规、部门规章、规范性文件、行业自律规则以及机构内部规章制度的要求。它不仅是"不违法"，还包括履行对客户、市场和监管机构的承诺义务。
合规管理是识别、评估、监测、报告和缓释合规风险的持续性管理活动，通常由合规部门牵头，但责任主体是全体业务条线。其核心逻辑是"三道防线"：业务部门自我约束为第一道，合规与风险管理部门为第二道，内部审计为第三道。
合规风险则指因未遵守规则而可能遭受法律制裁、监管处罚、财务损失或声誉损失的风险。它与信用风险、市场风险并列，但具有"可预防、可规则化"的显著特征——这正是规则引擎能够发挥价值的根本原因。
关键区分：合规风险是"因违规而受罚"的风险，操作风险是"流程或人员失误"的风险，两者常交叉但归因不同。规则引擎主要解决前者中可被明确规则表达的部分。
二、监管要求：从原则导向到规则导向
金融监管要求通常分为三个层次：法律层（如《商业银行法》《证券法》《反洗钱法》）、监管规章层（如人民银行、金融监管总局、证监会发布的办法与指引）、机构内控层（机构据此制定的操作规程与限额标准）。
监管要求呈现两种典型形态：一是原则导向，如"了解你的客户""勤勉尽责"，需要人工判断；二是规则导向，如"单笔现金交易超过5万元须报告""客户风险等级每半年复评一次"，可直接转化为机器可执行的判断条件。规则引擎的建模对象，主要是后者，以及前者中可被结构化拆解的部分。
| 监管维度 | 典型要求 | 可规则化程度 |
|---|---|---|
| 反洗钱 | 大额与可疑交易报告、客户身份识别 | 高（阈值、频次、名单匹配） |
| 适当性管理 | 风险等级匹配、双录、冷静期 | 中高（评级矩阵、时间条件） |
| 授信与集中度 | 单一客户限额、行业集中度 | 高（比例、金额、口径计算） |
| 信息披露 | 产品说明、风险揭示、时效 | 中（模板校验、时间戳） |
| 消费者保护 | 营销话术、收费透明、投诉处理 | 低到中（语义判断为主） |
三、常见合规风险场景与规则化切入点
以下场景在金融机构中高频出现，也是规则引擎最先落地的领域：
- 反洗钱监测：同一客户短期内多笔接近报告阈值的交易（拆分交易），需按时间窗口聚合判断。
- 适当性错配：向风险承受能力为"保守型"的客户销售"中高风险"产品，需按评级矩阵拦截。
- 授信超限：集团客户统一授信额度被突破，需跨系统汇总敞口后比对限额。
- 名单筛查：交易对手命中制裁名单或内部黑名单，需实时匹配并触发人工复核。
- 员工行为：员工账户与客户账户异常资金往来，需关联关系图谱识别。
规则化切入点判断口诀：有明确阈值、有清晰主体、有可获取数据、有确定动作——四者齐备，才适合优先做成规则。
四、数字化挑战：为什么合规规则落地并不轻松
把监管条文变成可执行规则，面临四类典型挑战：
- 语义鸿沟：监管语言是自然语言，规则引擎需要结构化条件。例如"频繁交易"需定义时间窗口与笔数阈值。
- 数据割裂：客户、交易、授信、名单数据分散在不同系统，规则执行前需完成数据集成与口径统一。
- 规则冲突与优先级：不同监管要求可能对同一业务给出不同约束，需要定义优先级与例外处理机制。
- 变更频繁：监管规则更新快，硬编码在代码中的逻辑维护成本极高，必须做到规则与代码分离。
下面是一段典型的规则配置片段，展示了"规则与代码分离"的基本形态：
rule: AML_STRUCTURING_CHECK
when:
- transaction.type == "CASH_DEPOSIT"
- count(transaction, window="24h", sameCustomer=true) >= 3
- sum(transaction.amount, window="24h") >= 45000
then:
- action: FLAG_SUSPICIOUS
- action: CREATE_CASE
- notify: compliance_team
priority: 100
该配置将"24小时内同一客户3笔以上、累计接近5万元"的拆分交易特征显式表达，业务人员可读、可改，无需研发重新发版。这正是规则引擎相对传统硬编码的核心优势。
常见误区：认为"上了规则引擎就合规了"。规则引擎只保证规则被一致执行，规则本身是否正确、是否覆盖监管要求，仍依赖合规专家的持续校准。工具不能替代判断。
五、复盘：从条文到规则的映射方法
建议采用"四步映射法"：拆条文（提取主体、条件、动作）、定数据（确认字段来源与口径）、设阈值（与合规部门确认参数）、留痕迹（记录规则版本与依据条文）。这一方法将在后续章节反复使用。