支付筛选与交易监控：基于规则及人工智能／机器学习之方法
欢迎来到 Domain D：打击金融犯罪的工具与技术（Tools and Technologies to Fight Financial Crime） 中最关键的实务考核范畴之一。在本章中，我们将探讨金融机构如何在交易发生时以及客户账户的全生命周期中，识别非法资金流动。
如果一开始觉得技术名词较为晦涩，千万不要担心！从核心本质来看，本章主要解答两个简单的问题：
1. 我们如何在受限制或非法支付进出机构之前将其拦截？（支付筛选，Payment Screening）
2. 我们如何识别客户随时间推移而呈现的异常或可疑行为模式？（交易监控，Transaction Monitoring）
注：有关静态制裁名单管理与模糊逻辑算法，请参阅“制裁与监控名单筛选”专章。关于更广泛的数据治理与工具整合，请参阅“数据隐私、工具选择与营运成效”。
---1. 涵盖不同报文类型的支付与交易筛选
实时检测 vs. 交易后检测
在金融犯罪合规范畴中，时效性至关重要：
• 支付筛选（实时／执行前，Real-Time / Pre-Execution）： 在交易处理过程（in-flight）中进行。资金在发送或结算前会被拦截并审查。一旦识别出潜在匹配或违规情况，该笔付款将会被暂扣以待人工审核。
• 交易监控（执行后／定期，Post-Execution / Periodic）： 审查已经执行的交易（或已完成活动的批处理数据），借此检测数天、数周或数月以来的历史模式、结构性异常以及行为偏差。
涵盖不同报文格式的筛选
金融机构会通过多种通信标准与清算渠道处理交易。筛选技术必须能够精确解析、读取及提取每种格式的数据字段：
• SWIFT 报文传送：
传统的跨境银行同业转账依赖标准化的 SWIFT 报文（例如 MT 和 ISO 20022 格式）。支付筛选系统必须能够实时导入这些结构化报文，扫描特定字段——例如汇款人姓名、汇款机构、收款客户、代理银行以及付款附言或汇款信息——以便在结算完成前检测受制裁实体、受禁制司法管辖区或高风险识别代码。
• 区块链与虚拟资产交易：
随着虚拟资产与加密资产在去中心化账本上流动，筛选机制依据的数据机制亦有所不同。虚拟资产服务提供商（VASP）及处理区块链交易的机构会使用专门的筛选工具，以评估公钥钱包地址、交易哈希（transaction hashes）、智能合约及交易对手实体。区块链筛选并非扫描传统的银行代号，而是在价值转移发生前或进行时，评估与非法钱包（例如暗网市场、勒索软件参与者或受制裁的数字地址）的直接和间接关联风险。
将人工智能与机器学习导入支付筛选
传统筛选往往会产生大量误报（False Positives，虚报）——即正常交易文本仅因与受限制关键字或姓名变体相似而触发预警。人工智能与机器学习（AI/ML）工具可通过以下方式协助支付筛选：
• 智能分析支付文本串的整体语境含义（减少因普通词汇、城市名称或船只名称出现在付款细节中而导致的误报）。
• 根据历史处置数据为预警的真实风险评分（协助合规团队即时按优先顺序处理高概率的真实匹配）。
本节重点提要： 支付筛选针对传统渠道（如 SWIFT）及去中心化渠道（区块链交易）的处理中交易，旨在资金结算前拦截非法转账，现时越来越多运用 AI/ML 来抑制误报杂音。
---2. 传统（基于规则的）交易监控
虽然筛选是独立检视单笔交易以拦截受禁制转账，但交易监控则是审视账户一段时间内的整体活动，以检测可能显示洗钱、恐怖融资、欺诈或逃税的可疑模式。
客户群组划分（Customer Segmentation）
试想象，如果银行为每个账户设定统一的 \$10,000 单笔交易预警上限：一名学生存入 \$12,000 现金会触发预警——这是合理的；然而，一间地区超级市场每天存入 \$50,000 现金亦会每天触发预警，令合规分析员被无可疑的文书工作彻底淹没！
为了避免这种情况，机构采用了客户群组划分：
• 将账户分组为具有相似预期行为、业务类型、营业额规模及风险特征的群组（例如：个人零售客户、高净值人士、中小型企业、跨国企业）。
• 针对每个同类群组（peer group）量身定制规则与情景，建立基准预期，以便对照相关的同类常态来评估活动。
情景覆盖范围（Scenario Coverage）
一个情景（Scenario）即是一项自动化规则或逻辑测试，旨在当出现特定洗钱类型学的异常特征（red flags）时触发预警。全面覆盖的情景可确保监控系统涵盖整个企业的多类金融犯罪风险：
• 资金迅速转移（Rapid movement of funds）： 大额存款随后立即被汇出，且账户保留极少余额。
• 拆分交易／化整为零（Structuring / smurfing）： 在短时间内重复存入刚好低于法定申报门槛的现金。
• 长期不动账户重新启用（Dormant account reactivation）： 多年零活动的账户突然处理高额转账。
• 交易活动激增（Spike in activity）： 突然显著偏离客户既有的历史交易额常态。
阈值设定（Threshold Setting）
每个情景都需要校准参数或阈值。阈值定义了触发预警所需的确切边界条件：
• 金额阈值： 例如，在单一个滚动周期内现金存款超过特定的金额上限。
• 频率阈值： 例如，在 48 小时窗口内进行三次或以上的转账。
• 百分比偏差： 例如，每月营业额超过历史平均值的 \(200\%\) 或以上。
阈值设得太高会造成漏报（False Negatives，未能识别出真实的非法活动）；设得太低则会产生难以处理的积压误报，浪费合规资源而未能真正降低风险。
统计测试：线界之上与线界之下测试（ATL / BTL）
机构如何得知其阈值是否设定在合适水平？这需要进行实证统计测试，即线界之上（Above-the-Line, ATL）与线界之下（Below-the-Line, BTL）测试。
让我们打个比方：想象一下设定测速相机的限速。
• 线界之上（ATL）测试： 测试超过当前预警阈值的活动。如果当前阈值设为 \$10,000，ATL 分析会审查在 \$10,000、\$15,000 或 \$20,000 触发的预警。借此确定所产生的预警是否具有实质的调查价值（能转化为调查案例及可疑交易报告，即 SAR），抑或只是产生徒劳无效的营运杂音。
• 线界之下（BTL）测试： 测试刚好低于当前预警阈值的活动。例如，当阈值为 \$10,000 时，抽样检查 \$8,000 至 \$9,999 之间的交易。为什么要这样做？这是为了核实犯罪分子是否刻意保持在侦测线之下活动！如果 BTL 抽样发现刚好在边界之下存在显著的可疑模式，则必须调低或重新校准阈值。
记忆小贴士：
• ATL 测试你看得见的交易（是否具备效率与成效？）。
• BTL 测试你看不见的交易（是否有真正风险被遗漏？）。
情景调优（Scenario Tuning）
情景调优是一个持续、迭代优化情景逻辑、客户群组边界及阈值的过程，其依据包括：
• ATL 与 BTL 统计测试的结果。
• 调查员的处置率（即预警转化为可疑交易报告 SAR／案例升级的百分比）。
• 客户基础行为模式转变、经济环境变化或新产品的推出。
• 监管机构或金融情报机构（FIU，例如香港联合财富情报组 JFIU）所识别的前瞻监测趋势及新兴犯罪类型学。
模型风险管理（Model Risk Management, MRM）
自动化交易监控系统不仅仅是一套软件，它属于监管模型。由于该模型衍生出的决策会影响法定合规责任，机构必须对交易监控实施严格的模型风险管理治理：
• 验证与测试（Validation and Testing）： 由独立于模型开发团队的第三方，对模型的设计、数学逻辑、程序代码运行及输入数据进行独立验证。
• 数据完整性检查（Data Integrity Checks）： 确保来源交易数据（来自核心银行、电汇平台及支付网关）完整且准确地映射至监控引擎中，不存在数据损坏或字段遗漏。
• 审计追踪与治理（Audit Trail and Governance）： 记录所有阈值调优的理据、审批决策及定期验证结果，以备监管机构查核。
本节重点提要： 基于规则的监控依赖于客户群组划分、针对性的情景逻辑及校准后的阈值。阈值必须通过 ATL 及 BTL 统计测试进行验证，定期调优，并受正式的模型风险管理原则所监管。
---3. 模式转变：由基于规则转向主要及辅助型 AI/ML 监控
尽管传统的基于规则系统在打击金融犯罪（AFC）领域仍被广泛使用，但其存在固有限制：高误报率、逻辑僵化而无法适应不断演变的洗钱手法，以及难以发现复杂的多方洗钱网络。这推动了向人工智能与机器学习迈进的技术革新。
方法比较：基于规则 vs. AI/ML
• 基于规则的架构（确定性，Deterministic）：
遵循严格、预设的逻辑（例如：若 24 小时内交易次数 \(\ge 4\) 且 总金额 \(\ge \$10,000\)，则 触发预警）。
优势： 直观、高度透明、易于向审计师及监管机构解说。
劣势： 静态固定、容易被摸清阈值的犯罪分子规避，且常因巨量误报而造成“警报疲劳”。
• 人工智能与机器学习架构（概率性／模式导向，Probabilistic / Pattern-Driven）：
分析复杂的多维度数据关系、客户历史、同类基准以及细微的行为转变，而非孤立的数值。
优势： 能识别非线性模式、自动调节适应新的行为基准、减少无价值的误报，并能发掘以往未知的洗钱类型。
劣势： 复杂度高、高度依赖优质数据，且需要严格的模型治理以向监管机构解释其决策推理过程。
AI/ML 担任辅助角色与主要角色
机构通常以两种不同配置引入 AI/ML 监控：
• 1. 辅助角色（强化／规则后优化，Secondary Role）：
在此部署架构中，传统的基于规则引擎仍作为主要预警生成器。当规则触发预警后，AI/ML 模型将作为二级审查层运作：
• 根据风险高低及可采取行动的概率，为各项预警进行评分与排序。
• 自动整合客户背景资料与历史活动，以辅助人工调查员。
• 自动关闭符合特定低风险标准的重复且明显良性的误报，使合规人员能够专注于高风险、复杂的调查。
为何采用？ 这是稳健且渐进的做法，既能保留现有已获监管认可的规则框架，又能大幅提升营运效率。
• 2. 主要角色（直接异常检测与侦测建模，Primary Role）：
在此进阶架构中，AI/ML 模型作为主要检测机制，与静态规则并行或直接取而代之：
• 模型直接导入原始交易、行为及交易对手数据。
• 无监督学习（Unsupervised learning）能检测出由人工编写规则所无法预料的细微异常与偏离常规的行为群组。
• 有监督学习（Supervised learning）通过识别历史确认的 SAR 及典型手法中所学习到的模式，来预测可疑活动。
为何采用？ 能展现更强的适应力，以应对蓄意绕过已知静态阈值的高智商、多变的犯罪手法。
本节重点提要： 技术演进正由确定性规则，发展至辅助型 AI/ML（对规则生成的预警进行优化、排序及分流），再迈向主要型 AI/ML（直接检测行为异常及多变量的金融犯罪模式）。
---快速复习：CAMS 考试核心概念
• 支付筛选（Payment Screening）： 在不同报文渠道（SWIFT、区块链）上实时／执行前针对处理中转账运作，以在资金转移前阻截非法流动。
• 交易监控（Transaction Monitoring）： 针对已完成活动在执行后运作，以识别长期累积的可疑模式、趋势与拆分交易行为。
• 客户群组划分（Customer Segmentation）： 将相似的账户归纳分组，使阈值检查能反映适当的同类行为，而非采用粗略且一刀切的限额。
• 线界之上（ATL）测试： 审查在现行阈值之上生成的预警，借此评估预警质量、SAR 产出率及误报率。
• 线界之下（BTL）测试： 抽样检查刚好在现有阈值之下的活动，以识别未被察觉的可疑行为，并判定是否需要调低阈值。
• 模型风险管理（Model Risk Management）： 严格的监管框架，规范独立模型验证、程序代码完整性、数据准确度及阈值变更记录。
• 辅助型 AI/ML（Secondary AI/ML）： 对传统规则引擎所生成的预警进行优先排序、评分并简化审查流程。
• 主要型 AI/ML（Primary AI/ML）： 直接评估数据流以识别复杂的行为异常与可疑手法，不再仅依赖静态阈值。