2. 金融风控基础：洗钱与恐怖融资概述、监管合规要求（AML/KYC）、典型可疑交易特征
2.1 洗钱与恐怖融资：定义与生命周期
洗钱（Money Laundering）是将非法所得及其收益通过交易、转换、转移等方式，使其在形式上合法化的行为。恐怖融资（Terrorist Financing）则为恐怖活动提供或筹集资金，其资金来源可能合法也可能非法。两者在资金流动路径上高度重叠，是反洗钱（AML）与反恐怖融资（CTF）监管的核心打击对象。
2.1.1 洗钱三阶段模型
| 阶段 | 核心目标 | 典型手法 |
|---|---|---|
| 处置（Placement） | 将现金等非法资产首次注入金融系统 | 化整为零存款、购买金融产品、赌场筹码兑换 |
| 离析（Layering） | 通过复杂交易切断资金与非法来源的关联 | 跨行转账、跨境汇款、购买/出售高价值资产、多层壳公司 |
| 融合（Integration） | 使清洗后的资金以合法形式回归洗钱者 | 虚假贸易发票、房地产投资、奢侈品消费、投资收益回流 |
关键认知： 实时检测系统在处置阶段最容易捕获异常现金流入；离析阶段依赖跨账户、跨地域的关联图谱分析；融合阶段则需要结合外部数据（如工商、税务）进行穿透。
2.2 监管合规要求：AML / KYC 核心框架
全球反洗钱监管以 FATF（金融行动特别工作组）40 项建议为基准，各国/地区据此制定本地法规。金融机构必须建立以 KYC（了解你的客户） 为基础的 AML 合规体系。
2.2.1 AML 合规三大支柱
- 客户尽职调查（CDD）： 识别并核实客户身份，了解其业务性质和资金来源。对高风险客户执行强化尽职调查（EDD）。
- 交易监控与报告： 实时/事后分析交易行为，发现可疑交易后向金融情报机构（FIU）提交可疑交易报告（STR）。
- 记录保存与培训： 保存客户身份资料和交易记录至少 5 年（部分司法管辖区要求更长），定期开展员工 AML 培训。
2.2.2 KYC 核心要素
| 要素 | 内容 | 实时检测关联 |
|---|---|---|
| 身份识别 | 姓名、证件、地址、国籍、职业 | 黑名单匹配、PEP（政治公众人物）筛查 |
| 受益所有人 | 穿透识别最终控制人 | 关联账户图谱、股权结构分析 |
| 风险评级 | 基于客户背景、地域、业务、渠道评分 | 动态调整交易阈值、规则权重 |
| 持续监控 | 定期更新客户信息，重检风险等级 | 行为漂移检测、异常模式发现 |
工程提示： 实时推理链路中，KYC 数据通常作为静态特征（客户风险等级、注册时长、历史违规次数）与动态行为特征（交易频率、金额、对手方）拼接后输入模型。KYC 数据质量直接影响模型召回率。
2.3 典型可疑交易特征
根据 FATF 指引及各国监管实践，以下交易行为通常被列为可疑特征，也是实时检测系统规则引擎与模型训练的核心标签来源。
2.3.1 金额与频率异常
- 化整为零： 单笔金额略低于大额报告阈值（如人民币 5 万元），但短期内累计金额巨大。
- 整数交易： 频繁出现 10,000、50,000、100,000 等整数金额，缺乏商业合理性。
- 快进快出： 资金入账后短时间内（如 5 分钟内）立即转出，账户余额极低。
- 夜间/非工作时间交易： 在凌晨 0:00-5:00 等非营业时段发生高频转账。
2.3.2 账户行为异常
- 休眠账户激活： 长期无交易的账户突然发生大额资金进出。
- 多账户归集/分散： 多个账户向同一账户集中转账，或一个账户向多个无关联账户分散转账。
- 频繁更换设备/IP： 同一账户在短时间内使用不同设备、不同地理 IP 登录并交易。
- 账户信息频繁变更： 短期内多次修改手机号、地址、密码等关键信息。
2.3.3 交易对手与地域风险
- 高风险司法管辖区： 交易对手位于 FATF 公布的高风险及受监控国家/地区。
- 空壳公司/离岸账户： 交易对手为注册在避税天堂、无实际经营地址的公司。
- 个人与公司混用： 个人账户频繁接收公司账户转账，或公司账户向个人账户大额支付。
2.4 监管处罚与合规成本
全球 AML 违规罚款金额持续攀升。2020-2023 年，全球主要金融机构因 AML 缺陷累计被罚超过 500 亿美元。典型处罚原因包括：
- KYC 程序缺失，未识别 PEP 或受益所有人
- 交易监控系统未能及时检测并报告可疑交易
- 未对高风险客户执行 EDD
- 记录保存不足，无法配合监管调查
合规红线： 实时检测系统不能仅依赖规则引擎。监管机构明确要求金融机构使用机器学习模型补充规则盲区，且模型需具备可解释性（Explainability）与定期回测（Backtesting）能力。模型误报率过高会导致运营成本失控，漏报则直接面临监管处罚。