交易监控规则旨在发现风险而非噪音。
Charles Archibong, 联合创始人
只有当监控规则能够对应到你实际承担的风险、在你实际发送的数据上触发，并且能够生成分析师可以提供理由的警报时，它才能真正发挥作用。调整规则时，应根据已标记的结果进行，切勿仅仅根据警报数量进行调整。
要点
- 每条规则都应该与你自身风险评估中明确指出的风险相对应；如果不能，那就是人为制造的噪音。
- 如果没有它们读取的字段（例如方向、交易对手和渠道），行为规则将保持沉默。
- 对于混合账簿，按货币种类和客户数量划分的限额超过了统一的全球金额门槛。
- 调整规则时，应根据其真阳性和假阳性标签来判断，而不是根据它产生的警报数量来判断。
一条有效的交易监控规则必须满足三个条件：它能对应你实际承担的风险；它能针对你实际发送的数据触发；它能生成分析师可以明确关闭的警报。任何一条规则如果未能通过上述任何一项测试，都只会增加工作量，而不会增加检测能力。
调整规则的方法与上述测试相同。评判规则的标准在于其警报的处理结果（已确认、已清除、结果不确定），而不是它生成的警报数量。一条每周发出 40 个警报并确认 6 个的规则，可能比一条发出 5 个警报但未确认任何警报的规则更有价值。
为什么大多数监测程序都会被警报淹没？
警报数量增加通常是由于可预测的原因，其中大多数是配置选择，而不是犯罪活动。
这些规则是从模板复制的，而不是基于风险评估。一条针对现金密集型活动的规则，对于一个从不接触现金的钱包来说毫无意义。
每个客户都只有一个消费限额。为受薪零售用户设置的限额将全天对商家生效，但不会触发被用作洗钱工具的学生账户的限额。
读取无人发送字段的规则。这些规则要么永远不会触发（给人一种虚假的安全感），要么会基于毫无意义的默认值触发。
同一行为会产生重复警报。一天内违反同一规则的十笔付款，除非将重复项分组，否则将生成十张罚单。
每一种问题都有相应的解决方法，你可以在接触任何重量之前进行调整。
哪些规则对贵公司至关重要？
从产品入手，而非规则目录。下表列举了四种常见商业模式的示例，仅供参考。它并非监管清单，最终清单应由您自身的风险评估决定。
业务模式 | 通常与风险相关的规则 | 通常关闭或降低权重的规则 |
|---|---|---|
个人钱包或支付服务商（PSP） | 交易频率、新收款人、资金快速流转（转入后几乎立即转出）、拆分交易（smurfing：多人向同一账户转账） | 现金密集型交易；通过代理开展现金存入业务时除外 |
中小企业贷款机构 | 放款后立即转出、新收款人、还款金额为整数 | 拆分交易（smurfing），通常不适用于贷款组合 |
加密资产交易平台 | 交易对手名单、地理位置、资金快速流转、休眠后重新活跃 | 整数金额，因为加密资产金额通常不是整数 |
电商平台 | 行为模式变化（卖家开始一种新的交易类型）、交易频率、跨境交易 | 卖家最初几周的基线异常 |
有两条规则值得特别关注，因为它们看似复杂，但却取决于历史。
基准异常规则会将金额与该客户的正常金额进行比较。由于新客户没有历史记录，因此在积累了足够的事件之前，比较必须回退到某个客户群。预计在建立关系的最初几周内，异常值会比较高。
只有当账户休眠期异常频繁时，“休眠后激活”规则才有意义。对于几个月的休眠期属于正常现象的储蓄产品，应将休眠期设置得较长，或者降低该规则的权重。
每条规则在触发前需要哪些数据？
这是一种常见的隐性故障。行为规则会读取特定的字段，而一条带有权重但没有相应字段的规则永远不会触发。告警队列看起来很平静，但这种平静毫无意义。
规则 | 事件中所需的数据 |
|---|---|
立即转出、快速流转 |
|
拆分交易（smurfing） |
|
新收款人 |
|
现金密集型交易 |
|
跨境交易 | 客户国籍及事件字段 |
行为模式变化 | 一致的交易类型字段 |
在进行任何调整之前，请先检查覆盖率。 Toden 交易监控（实时评估交易和客户事件）的规则配置中会显示一个覆盖率面板，该面板会标记已加权但未配置的规则。监控规则文档 （在新标签页中打开）列出了每个内置规则读取的字段。
一个示例： PSP 系统会发送付款金额、币种和客户 ID，但不会发送交易对手方信息，因为支付系统将收款人信息存储在单独的表中。该系统的“拆分支付”和“新增收款人”规则权重为 0.6，从未触发过。解决方法是进行集成更改，而非规则更改：在每个事件中添加交易对手方引用。
如何根据货币种类和客户类型调整金额限制？
单一的全局阈值往往会同时产生误报和漏报。两种机制可以有所帮助。
按货币种类设定限额。以美元设定的限额对于以奈拉或先令进行转账来说毫无意义，因为汇率会随时间变化。 Toden 系统以基础货币设定交易限额，并可根据不同货币进行可选的额外限额调整。因此，单笔交易限额可以同时设定为 5,000,000 尼日利亚奈拉和 5,000 美元，分别适用于以各自货币进行的交易。以上数字仅供参考，请根据自身交易数据进行设置。
每个客户的基线值。当产品服务于截然不同的客户群体时，基线规则可以捕捉到即使低于全局限值，对该客户而言也属于异常的波动。
结构化模式规则取决于单笔交易限额。 Toden 它会在一定时间范围内寻找连续三次或三次以上相同货币的交易事件，且交易量达到限额的 70% 到 100%。如果限额设置得远高于正常交易量，则监控区间为空，规则不会触发。如果限额设置得过低，普通客户的交易量也会落入该区间。因此，应先设置限额，然后再判断模式规则是否适用。
权重和阈值如何将规则转化为决策？
每条规则都会产生一个介于 0 和 1 之间的信号。 Toden 它使用软或运算，按权重将它们组合成一个综合评分：一个强信号本身就能提高评分，而其他信号对评分的提升作用会递减。然后将该评分与两个阈值进行比较。
分数 | 决定 |
|---|---|
低于审查门槛 | ALLOW |
达到或超过审查阈值 | REVIEW 然后弹出一个警报。 |
达到或超过阻塞阈值 | BLOCK |
这种形状具有实际意义。权重表示规则本身的可信度。例如，你永远不会单独依据某条规则采取行动（例如，整数金额），因此该规则的权重较低，只有与其他规则结合使用才有效。而接近决定性的规则（例如，被列入黑名单的交易对手）的权重则接近最高。
当内置规则无法描述特定场景时，可以使用自定义规则。自定义规则是由以下条件构建的条件树：all，any和not它有自己的评分和权重，并在收到警报时触发。custom:<name>名称要有意义，因为调查人员会在每条警报中看到它，而且它会出现在某些地方。 SAR 报告。
如何在不靠猜测的情况下调整规则？
调优需要结果。一个没有标签的警报被关闭并不能提供任何信息，因此在关闭警报前，务必强制添加标签。 Toden 允许分析师将警报判定为真阳性、假阳性或不确定，并且对同一客户重复触发相同规则将合并为一个警报，以便每个标签反映一种行为，而不是十个工单。
一个在实践中行之有效的调音循环：
一次只选择一条规则。同时改变三条规则的权重会导致结果无法归因。
阅读其近期标签。统计足够长的时间（涵盖您的正常业务周期）内已确认、已清除和结果不确定的警报数量。
请阅读已清除的警报本身。来自同一商户类别的十个误报表明问题出在细分市场，而不是阈值设置上。
提出能够解决该问题的最小改动方案。通常情况下，这指的是设定单一货币限额或排除特定交易对手，而不是降低权重。
保存前请先对照历史记录进行检查。 Toden 's 测试更改会以只读测试的形式重放最近评分的事件，并显示有多少决定会改变，而不会产生任何警报或费用。
记录原因。写下发生了哪些变化、为什么会发生变化，以及你期望看到什么。下次评估应该检验这一预期是否实现。
有两种反模式值得一提。提高审查阈值来减少警报数量会一次性移除所有规则的警报，包括那些原本有效的规则。仅仅因为规则噪音过大就将其删除，会消除你之前认定存在的风险覆盖范围；如果该风险仍在你的评估范围内，则应该修复该规则。
库中每条规则都有一个决策规则
规则生效前，应通过以下检查：
它指明了风险评估中它所涵盖的风险。
它读取的字段存在于实时事件中，并且您已确认它在测试中至少触发过一次。
它的重量反映了你对它本身的信任程度。
如果您的书籍涉及多种货币，则其限额是按每种货币设定的。
它的警报会用标签关闭，并且会有人按计划审核这些标签。
每一次改动都经过历史事件的检验，并记录了原因。
一条无法通过这些检验的规则并不能保护你。它要么悄无声息，要么喧嚣嘈杂，而无论哪种方式，都会让你付出代价。
参考来源
