2. 反洗钱监测系统基础：交易监控流程、规则引擎与模型评分、典型告警生命周期
反洗钱（AML）监测系统是金融机构合规防线的核心。本章将深入拆解交易监控的标准流程、规则引擎与模型评分的协同机制，以及一条告警从生成到关闭的完整生命周期。理解这些基础是后续开展A/B测试的前提。
2.1 交易监控标准流程
一笔交易从发生到被判定为可疑，通常经历以下四个阶段。每个阶段都可能成为A/B测试的干预点。
- 数据采集与标准化：从核心银行、支付、跨境等系统实时或准实时获取交易数据，并转换为统一格式（如Swift MT103/202）。
- 筛选与过滤：根据黑白名单、阈值（如金额<1000元）、业务类型（如内部转账）进行初步过滤，排除明显正常交易。
- 规则与模型评分：通过规则引擎和机器学习模型对交易进行风险打分，生成告警或阻断指令。
- 案件调查与上报：告警被分配给调查员，经人工研判后决定是否上报可疑交易报告（STR）。
💡 A/B测试切入点：在“筛选与过滤”阶段，可测试不同阈值对告警量的影响；在“规则与模型评分”阶段，可测试新模型vs旧模型的准确率与召回率。
2.2 规则引擎与模型评分
规则引擎和模型评分是监测系统的“大脑”，二者通常以“规则兜底、模型提效”的方式协同工作。
2.2.1 规则引擎
规则引擎基于预定义的业务逻辑（如“单笔跨境交易>5万元”），具有高可解释性、低延迟的特点。典型规则类型包括：
- 阈值规则：金额、频率、国家/地区等硬性指标。
- 名单规则：匹配制裁名单、政治人物（PEP）名单。
- 行为规则：短时间内多次交易、账户休眠后突然活跃。
- 组合规则：多个条件通过AND/OR逻辑组合。
2.2.2 模型评分
机器学习模型（如XGBoost、神经网络）通过历史可疑样本训练，输出0-100的风险分数。模型能捕捉规则难以表达的复杂模式（如“交易对手网络结构异常”），但可解释性较弱。
| 对比维度 | 规则引擎 | 模型评分 |
|---|---|---|
| 可解释性 | 高（逻辑透明） | 低（黑盒） |
| 维护成本 | 高（人工调参） | 中（需定期重训） |
| 捕捉能力 | 已知模式 | 未知/复杂模式 |
| 误报率 | 较高 | 较低（调优后） |
| 延迟 | 毫秒级 | 毫秒~秒级 |
📌 协同策略：通常先过规则引擎（快速过滤），再对命中规则或随机抽样的交易进行模型评分，以平衡效率与准确性。
2.3 典型告警生命周期
一条告警从生成到关闭，通常经历以下7个状态。每个状态都对应着系统或人工的操作，也是A/B测试可以观测的指标节点。
| 阶段 | 状态 | 说明 | 关键指标 |
|---|---|---|---|
| 1 | 生成 | 规则或模型触发，系统创建告警记录 | 告警量、触发规则分布 |
| 2 | 分配 | 根据队列策略或调查员技能自动/手动分配 | 分配延迟、队列深度 |
| 3 | 调查中 | 调查员收集信息、分析交易链路、查询KYC | 调查时长、信息查询次数 |
| 4 | 待复核 | 调查员提交初步结论，需主管复核 | 复核通过率、复核延迟 |
| 5 | 关闭-正常 | 经研判为误报，关闭告警 | 误报率、关闭原因分布 |
| 6 | 关闭-可疑 | 确认为可疑，生成STR上报监管 | STR转化率、上报时效 |
| 7 | 归档 | 告警及调查记录进入历史库，用于模型训练 | 归档完整性、数据质量 |
⚠️ 常见陷阱：在A/B测试中，如果只关注“告警量”而忽略“调查时长”和“STR转化率”，可能导致模型虽然减少了告警，却错过了真正的可疑交易。必须同时观测效率与效果指标。