支付篩選與交易監控：基於規則及人工智能／機器學習之方法

歡迎來到 Domain D：打擊金融犯罪的工具與技術（Tools and Technologies to Fight Financial Crime） 中最關鍵的實務考核範疇之一。在本章中，我們將探討金融機構如何在交易發生時以及客戶賬戶的全生命週期中，識別非法資金流動。

如果一開始覺得技術名詞較為晦澀，千萬不要擔心！從核心本質來看，本章主要解答兩個簡單的問題：
1. 我們如何在受限制或非法支付進出機構之前將其攔截？（支付篩選，Payment Screening）
2. 我們如何識別客戶隨時間推移而呈現的異常或可疑行為模式？（交易監控，Transaction Monitoring）

註：有關靜態制裁名單管理與模糊邏輯演算法，請參閱「制裁與監控名單篩選」專章。關於更廣泛的數據管治與工具整合，請參閱「數據私隱、工具選擇與營運成效」。

---

1. 涵蓋不同報文類型的支付與交易篩選

實時檢測 vs. 交易後檢測

在金融犯罪合規範疇中，時效性至關重要：
• 支付篩選（實時／執行前，Real-Time / Pre-Execution）： 在交易處理過程（in-flight）中進行。資金在發送或結算前會被攔截並審查。一旦識別出潛在匹配或違規情況，該筆付款將會被暫扣以待人工審核。
• 交易監控（執行後／定期，Post-Execution / Periodic）： 審查已經執行的交易（或已完成活動的批次數據），藉此檢測數天、數週或數月以來的歷史模式、結構性異常以及行為偏差。

涵蓋不同報文格式的篩選

金融機構會透過多種通訊標準與清算渠道處理交易。篩選技術必須能夠精確解析、讀取及提取每種格式的數據欄位：

• SWIFT 報文傳送：
傳統的跨境銀行同業轉賬依賴標準化的 SWIFT 報文（例如 MT 和 ISO 20022 格式）。支付篩選系統必須能夠實時導入這些結構化報文，掃描特定欄位——例如匯款人姓名、匯款機構、受款客戶、代理銀行以及付款附言或匯款資訊——以便在結算完成前檢測受制裁實體、受禁制司法管轄區或高風險識別代碼。

• 區塊鏈與虛擬資產交易：
隨著虛擬資產與加密資產在去中心化賬本上流動，篩選機制依據的數據機制亦有所不同。虛擬資產服務提供者（VASP）及處理區塊鏈交易的機構會使用專門的篩選工具，以評估公鑰錢包地址、交易哈希（transaction hashes）、智能合約及交易對手實體。區塊鏈篩選並非掃描傳統的銀行代號，而是在價值轉移發生前或進行時，評估與非法錢包（例如暗網市場、勒索軟件參與者或受制裁的數碼地址）的直接和間接關聯風險。

將人工智能與機器學習導入支付篩選

傳統篩選往往會產生大量假陽性（False Positives，虛報）——即正常交易文本僅因與受限制關鍵字或姓名變體相似而觸發預警。人工智能與機器學習（AI/ML）工具可透過以下方式協助支付篩選：
• 智能分析支付文字串的整體語境含義（減少因普通詞彙、城市名稱或船隻名稱出現在付款細節中而引致的虛報）。
• 根據歷史處置數據為預警的真實風險評分（協助合規團隊即時按優先次序處理高機率的真實匹配）。

本節重點提要： 支付篩選針對傳統渠道（如 SWIFT）及去中心化渠道（區塊鏈交易）的處理中交易，旨在資金結算前攔截非法轉賬，現時越來越多運用 AI/ML 來抑制虛報雜音。

---

2. 傳統（基於規則的）交易監控

雖然篩選是獨立檢視單筆交易以攔截受禁制轉賬，但交易監控則是審視賬戶一段時間內的整體活動，以檢測可能顯示洗黑錢、恐怖分子資金籌集、詐騙或逃稅的可疑模式。

客戶群組劃分（Customer Segmentation）

試想像，如果銀行為每個賬戶設定統一的 \$10,000 單筆交易預警上限：一名學生存入 \$12,000 現金會觸發預警——這是合理的；然而，一間地區超級市場每天存入 \$50,000 現金亦會每天觸發預警，令合規分析員被無可疑的文書工作徹底淹沒！

為了避免這種情況，機構採用了客戶群組劃分：
• 將賬戶分組為具有相似預期行為、業務類型、營業額規模及風險特徵的群組（例如：個人零售客戶、高資產淨值人士、中小型企業、跨國企業）。
• 針對每個同儕群組（peer group）量身定制規則與情境，建立基準預期，以便對照相關的同儕常態來評估活動。

情境覆蓋範圍（Scenario Coverage）

一個情境（Scenario）即是一項自動化規則或邏輯測試，旨在當出現特定洗錢類型學的異常特徵（red flags）時觸發預警。全面覆蓋的情境可確保監控系統涵蓋整個企業的多種金融犯罪風險：
• 資金迅速轉移（Rapid movement of funds）： 大額存款隨即被匯出，且賬戶保留極少餘額。
• 分拆交易／化整為零（Structuring / smurfing）： 在短時間內重複存入剛好低於法定申報門檻的現金。
• 久未往來賬戶重新啟用（Dormant account reactivation）： 多年零活動的賬戶突然處理高額轉賬。
• 交易活動激增（Spike in activity）： 突然顯著偏離客戶既有的歷史交易額常態。

門檻設定（Threshold Setting）

每個情境都需要校準參數或門檻。門檻定義了觸發預警所需的確切邊界條件：
• 金額門檻： 例如，在單一滾動週期內現金存款超過特定的金額上限。
• 頻率門檻： 例如，在 48 小時窗口內進行三次或以上的轉賬。
• 百分比偏差： 例如，每月營業額超過歷史平均值的 \(200\%\) 或以上。

門檻設得太高會造成假陰性（False Negatives，漏報——未能識別出真實的非法活動）；設得太低則會產生難以處理的積壓虛報，浪費合規資源而未能真正降低風險。

統計測試：線界之上與線界之下測試（ATL / BTL）

機構如何得知其門檻是否設定在合適水平？這需要進行實證統計測試，即線界之上（Above-the-Line, ATL）與線界之下（Below-the-Line, BTL）測試。

讓我們打個比喻：想像一下設定測速相機的限速。
• 線界之上（ATL）測試： 測試超過當前預警門檻的活動。如果當前門檻設為 \$10,000，ATL 分析會審查在 \$10,000、\$15,000 或 \$20,000 觸發的預警。藉此確定所產生的預警是否具有實質的調查價值（能轉化為調查案例及可疑交易報告，即 SAR），抑或只是產生徒勞無效的營運雜音。
• 線界之下（BTL）測試： 測試剛好低於當前預警門檻的活動。例如，當門檻為 \$10,000 時，抽樣檢查 \$8,000 至 \$9,999 之間的交易。為甚麼要這樣做？這是為了核實犯罪分子是否刻意保持在偵測線之下活動！如果 BTL 抽樣發現剛好在邊界之下存在顯著的可疑模式，則必須調低或重新校準門檻。

記憶小貼士：
• ATL 測試你看得到的交易（是否具備效率與成效？）。
• BTL 測試你看不到的交易（是否有真正風險被遺漏？）。

情境調校（Scenario Tuning）

情境調校是一個持續、迭代優化情境邏輯、客戶群組邊界及門檻的過程，其依據包括：
• ATL 與 BTL 統計測試的結果。
• 調查員的處置率（即預警轉化為可疑交易報告 SAR／個案升級的百分比）。
• 客戶基礎行為模式轉變、經濟環境變化或新產品的推出。
• 監管機構或金融情報機構（FIU，例如香港聯合財富情報組 JFIU）所識別的前瞻監測趨勢及新興犯罪類型學。

模型風險管理（Model Risk Management, MRM）

自動化交易監控系統不僅僅是一套軟件，它屬於監管模型。由於該模型衍生出的決策會影響法定合規責任，機構必須對交易監控實施嚴格的模型風險管理管治：
• 驗證與測試（Validation and Testing）： 由獨立於模型開發團隊的第三方，對模型的設計、數學邏輯、程式碼運行及輸入數據進行獨立驗證。
• 數據完整性檢查（Data Integrity Checks）： 確保來源交易數據（來自核心銀行、電匯平台及支付網關）完整且準確地映射至監控引擎中，不存在數據損壞或欄位遺漏。
• 審計追蹤與管治（Audit Trail and Governance）： 記錄所有門檻調校的理據、審批決策及定期驗證結果，以備監管機構查核。

本節重點提要： 基於規則的監控依賴於客戶群組劃分、針對性的情境邏輯及校準後的門檻。門檻必須通過 ATL 及 BTL 統計測試進行驗證，定期調校，並受正式的模型風險管理原則所監管。

---

3. 模式轉變：由基於規則轉向主要及輔助型 AI/ML 監控

儘管傳統的基於規則系統在打擊金融犯罪（AFC）領域仍被廣泛使用，但其存在固有限制：高虛報率、邏輯僵化而無法適應不斷演變的洗錢手法，以及難以發現複雜的多方洗錢網絡。這推動了向人工智能與機器學習邁進的技術革新。

方法比較：基於規則 vs. AI/ML

• 基於規則的架構（確定性，Deterministic）：
遵循嚴格、預設的邏輯（例如：若 24 小時內交易次數 \(\ge 4\) 且 總金額 \(\ge \$10,000\)，則 觸發預警）。
優勢： 直觀、高度透明、易於向核數師及監管機構解說。
劣勢： 靜態固定、容易被摸清門檻的犯罪分子規避，且常因巨量虛報而造成「警報疲勞」。

• 人工智能與機器學習架構（概率性／模式導向，Probabilistic / Pattern-Driven）：
分析複雜的多維度數據關係、客戶歷史、同儕基準以及細微的行為轉變，而非孤立的數值。
優勢： 能識別非線性模式、自動調節適應新的行為基準、減少無價值的虛報，並能發掘以往未知的洗錢類型。
劣勢： 複雜度高、高度依賴優質數據，且需要嚴格的模型管治以向監管機構解釋其決策推理過程。

AI/ML 擔任輔助角色與主要角色

機構通常以兩種不同配置引入 AI/ML 監控：

• 1. 輔助角色（強化／規則後優化，Secondary Role）：
在此部署架構中，傳統的基於規則引擎仍作為主要預警生成器。當規則觸發預警後，AI/ML 模型將作為二級審查層運作：
• 根據風險高低及可採取行動的機率，為各項預警進行評分與排序。
• 自動整合客戶背景資料與歷史活動，以輔助人工調查員。
• 自動關閉符合特定低風險標準的重複且明顯良性的虛報，使合規人員能夠專注於高風險、複雜的調查。
為何採用？ 這是穩健且漸進的做法，既能保留現有已獲監管認可的規則框架，又能大幅提升營運效率。

• 2. 主要角色（直接異常檢測與偵測建模，Primary Role）：
在此進階架構中，AI/ML 模型作為主要檢測機制，與靜態規則並行或直接取而代之：
• 模型直接導入原始交易、行為及交易對手數據。
• 非監督式學習（Unsupervised learning）能檢測出由人手編寫規則所無法預料的細微異常與偏離常規的行為群組。
• 監督式學習（Supervised learning）透過識別歷史確認的 SAR 及典型手法中所學習到的模式，來預測可疑活動。
為何採用？ 能展現更強的適應力，以應對蓄意繞過已知靜態門檻的高智商、多變的犯罪手法。

本節重點提要： 技術演進正由確定性規則，發展至輔助型 AI/ML（對規則生成的預警進行優化、排序及分流），再邁向主要型 AI/ML（直接檢測行為異常及多變量的金融犯罪模式）。

---

快速複習：CAMS 考試核心概念

• 支付篩選（Payment Screening）： 在不同報文渠道（SWIFT、區塊鏈）上實時／執行前針對處理中轉賬運作，以在資金轉移前阻截非法流動。
• 交易監控（Transaction Monitoring）： 針對已完成活動在執行後運作，以識別長期累積的可疑模式、趨勢與分拆交易行為。
• 客戶群組劃分（Customer Segmentation）： 將相似的賬戶歸納分組，使門檻檢查能反映適當的同儕行為，而非採用粗略且一刀切的限額。
• 線界之上（ATL）測試： 審查在現行門檻之上生成的預警，藉此評估預警質素、SAR 產出率及虛報率。
• 線界之下（BTL）測試： 抽樣檢查剛好在現有門檻之下的活動，以識別未被察覺的可疑行為，並判定是否需要調低門檻。
• 模型風險管理（Model Risk Management）： 嚴格的監管框架，規範獨立模型驗證、程式碼完整性、數據準確度及門檻變更記錄。
• 輔助型 AI/ML（Secondary AI/ML）： 對傳統規則引擎所生成的預警進行優先排序、評分並簡化審查流程。
• 主要型 AI/ML（Primary AI/ML）： 直接評估數據流以識別複雜的行為異常與可疑手法，不再僅依賴靜態門檻。