从警报到决策：运行一个能够跟上步伐的调查队列
Charles Archibong, 联合创始人
维护两个队列，分别处理两项任务。快速对警报进行分类并标记每个警报；仅当证据需要负责人时才启动调查，按客户分组，按风险和截止日期确定优先级，并在记录结果和理由后结束调查。
要点
- 警报和调查是不同的工作：分类快速且有标签，调查由专人负责并有证据支持。
- 按客户分组工作，一个人审查一个客户的行为，而不是十个工单。
- 按风险和截止日期进行优先排序，并在截止日期临近之前关注截止日期，而不是之后。
- 任何警报或调查都不应在没有明确结论和书面理由的情况下结束。
运行两个队列，分别处理两项不同的任务。警报队列用于快速分诊：查看证据，判断是否需要进一步处理，并标记结果。调查队列用于处理已分配的案件：针对特定人员、特定客户、特定截止日期，并记录结果及原因。
大多数队列之所以会积压，是因为这些任务混杂在一起。每个警报都变成了一次小型调查，同一个客户的请求可能在同一天由三个人审核，而且没有任何记录说明警报关闭的原因。将任务分开，按客户分组，并强制要求提交结果，才能使小型团队的工作量保持在合理范围内。
警报和调查之间有什么区别？
警报是需要优先处理的信号。它会说明发生了什么以及系统发出警报的原因。调查（通常称为案件）是工作记录：包括负责人、证据、决定和理由。
警报 | 调查 | |
|---|---|---|
由……创建 | 当事件得分达到或超过审查阈值时，监控引擎会启动。 | 当警报需要所有者或更多证据时，需要联系相关人员。 |
范围 | 一种行为 | 一位客户，可能发出多条警报 |
目标处理时间 | 分钟 | 根据优先级不同，可能需要数小时到数天。 |
以……结尾 | 标签：真阳性、假阳性或结果不确定 | 结果、理由，以及可能的一份报告 |
Toden 案例与 SAR 文件归档（调查流程和监管报告撰写）遵循这一划分。交易监控会自动触发警报，当证据需要确定所有者或结果时，系统会根据一个或多个警报启动调查。调查文档 （在新标签页中打开）会同时记录这两类信息。
警报应该如何分组？
分组方式有两种：将重复触发事件合并为一个警报，将每个客户的警报合并为一个调查。
合并重复触发事件。如果同一条规则一天内对同一客户触发五次，分析师只需要一个包含触发次数的警报，而不是五个工单。 Toden 将同一客户上重复触发的相同规则合并为一个警报，并增加其发生次数，该次数也包含在内。alert.updated网络钩子。
按客户而非警报进行调查。洗钱账户通常会触发多项规则：交易速度快、移动迅速、发送者众多。单独审查每条警报，它们看起来都处于临界状态。但综合审查后，模式就清晰可见了。 Toden 只要属于同一客户，多个警报就可以合并到一个调查中，并且在调查进行期间可以添加该客户的更多警报。每个调查只针对一个客户，也有助于保持记录的清晰，方便后续报告的生成。
举例说明：一位阿布贾的钱包用户分别在 09:10 触发了速度警报，在 11:40 触发了分散付款警报，在 14:05 触发了快速转移警报，每条警报都显示多笔资金在几分钟内流向同一个出账账户。第一个注意到这三条警报中任意一条的分析师会发起一项调查，将这三条警报关联起来，并分配给自己。另外两条警报则会立即从分诊队列中移除。
工作应该如何安排优先级？
优先级应基于风险，而非到达顺序。一个简单的准则可以确保分析师之间决策的一致性：
优先事项 | 典型触发因素（示例） |
|---|---|
批判的 | 一个 BLOCK 决定、交易对手方被列入黑名单、可能面临制裁 |
高的 | 多条规则同时触发，相对于客户而言数值较大，以及已知的类型（例如传递）。 |
中等的 | 一条得分适中的规则，并附有一些佐证信息。 |
低的 | 一个权重很低、上下文信息很少的单一信号。 |
为每个优先事项设定截止日期，并在内部公布这些截止日期。截止日期的价值在于，团队可以在风险发生之前就发现它。 Toden 记录优先级（ LOW ， MEDIUM ， HIGH 或者 CRITICAL ）以及每项调查的截止日期，并发送case.sla_at_risk当到期日临近时case.overdue当事件过去后，将第一个事件路由给团队负责人，而不是整个频道，这样可以促使团队重新分配任务，而不是造成不必要的干扰。警报和调查 Webhook 参考文档 （在新标签页中打开）列出了事件和字段。
两个习惯有助于保持排队秩序：
在启动调查时立即分配任务。未分配任务的调查不属于任何人。请在启动调查时就将任务分配作为启动调查的一部分。
按状态升级，而非按消息升级。如果案件需要高级审核员，请将其状态升级，以便在记录中显示。聊天消息不会在文件中留下任何痕迹。
一个好的分诊决策是什么样的？
分诊应在几分钟内回答一个问题：这是否需要负责人？给分析人员一个固定的流程：
阅读原因。哪些规则被触发，具体细节是什么（例如，“金额 48000 > 10000”）？
查看客户的近期历史记录以及是否有任何未结案件。
决定：清除、将其并入正在进行的调查，或开启新的调查。
记录标签和一句话说明原因。
清除警报是一项真正的决策，而非捷径。带有原因（例如“常规工资批次发放至已知员工账户”）的误报标签是后续调整规则的有用依据。未添加标签而关闭的警报会丢失信息。
调查应该如何结束？
将解决争议与结案分开，并且两者都需要给出理由。
决议记录了有证据支持的结果。 Toden 使用四种结果：
结果 | 使用它 |
|---|---|
已清除 | 该活动有合理的解释，并有证据支持。 |
确认的 | 该活动可疑或具有欺诈性。 |
升级 | 一位资深审稿人或 MLRO 必须决定 |
结论不明 | 现有证据不支持任何一种结论。 |
结案标志着运营工作的完成：账户操作已落实，客户已联系，如有需要，报告已撰写完毕。将结案和后续工作分开，可以让经理查看已决定但仍需跟进的案例。
在 Toden 调查结果会写入客户的风险记录，因此，经确认的调查会提高该客户的风险等级。调查理由、参与者和时间戳会保留在调查时间线中，当出现新证据时，已结案的调查可以重新启动。每次写入操作都会记录在组织的审计日志中。
要警惕“结论不明”成为默认结果。虽然这是一种合理的结果，但如果大部分调查都以这种结果告终，要么是分析人员掌握的证据不足，要么是触发警报的规则不够具体。
当交易量激增时，你如何应对？
流量激增通常源于规则变更、产品发布或实际攻击。每种情况都需要区别对待。
规则变更后，检查是否有某条规则导致了数据激增。如果是，则应审查该规则，而不是通过增聘人手来解决。
上线初期，由于基线驱动规则的影响，在新客户积累历史记录之前，这些规则可能会产生较大的波动。建议暂时降低权重，并在审核日期前记录下来。
在攻击期间，要积极进行分组。批量分配和处理明显相关且合法的警报，可以确保团队专注于真正重要的案件。 Toden 支持对调查进行批量操作，但每个项目仍然有自己的结果和记录。
队列检查清单
警报和调查是两个独立的队列，分别针对不同的目标。
重复解雇事件合并为一个警报；调查针对每个客户。
优先级由书面评分标准确定，每个优先级都有截止日期。
每项调查从启动的那一刻起就有一个负责人。
案件逾期前，截止日期提醒会送达团队负责人。
没有标签，警报就无法关闭；没有理由，调查就无法结束。
结果会反馈到客户风险评估和规则调整中。
如果你能回答队列中每个项目“谁拥有它，何时拥有，以及为什么关闭”，那么队列就处于控制之中。
参考来源
