反洗钱体系详解：KYC、风险评级、交易监控与可疑交易报告

文章目录

- 一、前言
- 二、什么是洗钱
- 三、洗钱的典型过程
- - [3.1 处置阶段](#3.1 处置阶段)
  - [3.2 离析阶段](#3.2 离析阶段)
  - [3.3 融合阶段](#3.3 融合阶段)
- 四、AML、KYC、反欺诈与制裁筛查的区别
- 五、反洗钱监管框架
- - [5.1 FATF](#5.1 FATF)
  - [5.2 各国反洗钱制度示例](#5.2 各国反洗钱制度示例)
  - [5.3 规则不是全球统一的](#5.3 规则不是全球统一的)
- 六、风险为本的反洗钱方法
- - [6.1 风险评估层次](#6.1 风险评估层次)
- 七、客户尽职调查
- - [7.1 个人客户识别](#7.1 个人客户识别)
  - [7.2 企业客户识别](#7.2 企业客户识别)
  - [7.3 实际受益所有人](#7.3 实际受益所有人)
  - [7.4 简化尽职调查](#7.4 简化尽职调查)
  - [7.5 强化尽职调查](#7.5 强化尽职调查)
- 八、持续尽职调查
- - [8.1 周期性复核](#8.1 周期性复核)
  - [8.2 事件触发复核](#8.2 事件触发复核)
- 九、名单筛查
- - [9.1 常见名单类型](#9.1 常见名单类型)
  - [9.2 精确匹配与模糊匹配](#9.2 精确匹配与模糊匹配)
  - [9.3 同名不等于同一人](#9.3 同名不等于同一人)
  - [9.4 存量客户重新筛查](#9.4 存量客户重新筛查)
- 十、客户风险评级
- - [10.1 风险维度](#10.1 风险维度)
  - [10.2 简化的评分模型](#10.2 简化的评分模型)
  - [10.3 风险评分示例](#10.3 风险评分示例)
  - [10.4 评分模型的限制](#10.4 评分模型的限制)
- 十一、政治公众人物识别
- 十二、交易监控
- - [12.1 金额类异常](#12.1 金额类异常)
  - [12.2 频率类异常](#12.2 频率类异常)
  - [12.3 资金流向异常](#12.3 资金流向异常)
  - [12.4 地域异常](#12.4 地域异常)
  - [12.5 账户行为异常](#12.5 账户行为异常)
- 十三、交易监控规则设计
- - [13.1 单笔规则](#13.1 单笔规则)
  - [13.2 聚合规则](#13.2 聚合规则)
  - [13.3 结构化拆分规则](#13.3 结构化拆分规则)
  - [13.4 关联网络规则](#13.4 关联网络规则)
- 十四、规则引擎与模型协同
- - [14.1 规则引擎](#14.1 规则引擎)
  - [14.2 机器学习模型](#14.2 机器学习模型)
  - [14.3 推荐决策结构](#14.3 推荐决策结构)
- 十五、从预警到可疑交易报告
- - [15.1 预警调查内容](#15.1 预警调查内容)
  - [15.2 排除预警](#15.2 排除预警)
  - [15.3 确认可疑](#15.3 确认可疑)
  - [15.4 禁止泄露调查信息](#15.4 禁止泄露调查信息)
- 十六、反洗钱系统架构
- - [16.1 数据接入层](#16.1 数据接入层)
  - [16.2 实时计算](#16.2 实时计算)
  - [16.3 离线计算](#16.3 离线计算)
  - [16.4 案件管理](#16.4 案件管理)
- 十七、核心数据模型
- - [17.1 客户表](#17.1 客户表)
  - [17.2 实际受益人表](#17.2 实际受益人表)
  - [17.3 交易表](#17.3 交易表)
  - [17.4 预警表](#17.4 预警表)
  - [17.5 案件表](#17.5 案件表)
  - [17.6 审计日志](#17.6 审计日志)
- 十八、数字资产反洗钱
- - [18.1 链上监控内容](#18.1 链上监控内容)
  - [18.2 常见数字资产风险信号](#18.2 常见数字资产风险信号)
  - [18.3 地址风险评分](#18.3 地址风险评分)
  - [18.4 链上与链下关联](#18.4 链上与链下关联)
  - [18.5 交易规则示例](#18.5 交易规则示例)
- 十九、降低误报的方法
- - [19.1 加入客户画像](#19.1 加入客户画像)
  - [19.2 使用时间窗口](#19.2 使用时间窗口)
  - [19.3 预警归并](#19.3 预警归并)
  - [19.4 反馈闭环](#19.4 反馈闭环)
- 二十、数据隐私与系统安全
- - [20.1 最小权限](#20.1 最小权限)
  - [20.2 敏感数据保护](#20.2 敏感数据保护)
  - [20.3 环境隔离](#20.3 环境隔离)
  - [20.4 可追溯性](#20.4 可追溯性)
- 二十一、常见设计误区
- - [21.1 把 KYC 当成反洗钱的全部](#21.1 把 KYC 当成反洗钱的全部)
  - [21.2 把大额交易等同于可疑交易](#21.2 把大额交易等同于可疑交易)
  - [21.3 规则命中就直接认定洗钱](#21.3 规则命中就直接认定洗钱)
  - [21.4 只监控单个账户](#21.4 只监控单个账户)
  - [21.5 规则长期不更新](#21.5 规则长期不更新)
  - [21.6 没有记录排除理由](#21.6 没有记录排除理由)
  - [21.7 只依赖名单供应商](#21.7 只依赖名单供应商)
  - [21.8 直接把模型结果当成最终结论](#21.8 直接把模型结果当成最终结论)
- 二十二、反洗钱系统建设检查清单
- - 客户尽调
  - 风险评级
  - 交易监控
  - 调查与报告
  - 数据与安全
- 二十三、总结

本文用于技术与业务知识交流，不构成法律意见。不同国家、地区和行业的适用规则存在差异，实际制度、阈值和报告流程应由专业法律及合规人员结合当地现行规定确定。

一、前言

随着银行、支付、证券、保险、跨境汇款以及数字资产等业务快速发展，金融交易的速度和复杂度不断提高。与此同时，犯罪分子也可能利用金融系统转移、掩饰非法资金。

反洗钱，英文为 Anti-Money Laundering，简称 AML，其核心目标是：

识别客户真实身份；
了解客户及其资金来源；
识别异常交易行为；
防止金融产品被非法利用；
对可疑活动开展调查和报告；
保存能够还原业务过程的证据；
配合监管、金融情报和执法机构调查。

反洗钱并不只是"达到某个金额就报警"，也不是安装一个名单筛查系统就算完成合规。它是一套贯穿客户准入、交易处理、持续监控、调查报告和退出管理的风险控制体系。

本文从业务与技术两个角度，介绍反洗钱的基本原理、客户尽职调查、风险评级、名单筛查、交易监控、可疑交易调查和系统架构，并补充数字资产场景下的链上反洗钱设计。

二、什么是洗钱

洗钱通常是指通过交易、账户、公司、资产或其他安排，掩饰、隐瞒犯罪所得及其收益的来源、性质、流向、控制关系或实际所有权，使非法资金看起来具有合法来源。

非法资金可能来自：

电信网络诈骗；
贪污贿赂；
毒品犯罪；
非法集资；
走私；
黑客攻击；
赌博；
敲诈勒索；
偷逃税；
人口贩运；
恐怖融资；
其他上游犯罪。

反洗钱系统不一定能够直接证明某笔资金来自犯罪，但可以通过客户身份、交易模式、关联关系和资金流向识别异常，形成可供进一步调查的风险线索。

三、洗钱的典型过程

传统上，洗钱过程常被概括为三个阶段。

3.1 处置阶段

处置也称 Placement，主要目标是让非法现金或资产进入金融体系。

常见方式包括：

将大额现金拆分成多笔小额存款；
通过多个账户分散入金；
通过现金密集型商户虚构营业收入；
购买预付卡、贵金属或高价值商品；
将非法所得兑换成数字资产；
使用他人账户代收资金。

3.2 离析阶段

离析也称 Layering，主要目标是通过复杂交易切断资金与原始犯罪活动的联系。

常见方式包括：

在多个账户间快速转账；
通过多个国家或地区进行跨境划转；
使用空壳公司制造贸易背景；
在多个支付机构之间循环转账；
频繁进行资产买卖；
在不同数字资产之间快速兑换；
使用跨链桥、混币服务或匿名增强工具；
资金到账后立即转出。

3.3 融合阶段

融合也称 Integration，主要目标是让资金以看似合法的形式重新进入经济活动。

常见方式包括：

房地产投资；
企业投资；
虚假贸易结算；
股东借款；
咨询费和服务费；
保险赔付；
艺术品或奢侈品交易；
数字资产兑换为法币后进入银行账户。

这三个阶段是便于理解的典型模型，实际案件不一定严格按照固定顺序发生。有些交易可能同时具有处置、离析和融合特征。

四、AML、KYC、反欺诈与制裁筛查的区别

这些概念经常出现在同一套金融风控系统中，但关注目标并不完全相同。

模块	主要目标	典型关注点
KYC	确认客户身份	客户是谁、证件是否真实
KYB	了解企业客户	企业是否真实、谁实际控制
CDD	客户尽职调查	业务目的、风险、资金来源
EDD	强化尽职调查	高风险客户的深入核查
AML	防止清洗非法资金	资金来源、流向和异常模式
CFT	防止恐怖融资	资金是否用于恐怖活动
制裁筛查	避免与受限制对象交易	名单、国家、行业和所有权
反欺诈	防止未经授权或欺骗交易	账户盗用、身份冒用、诈骗
反贿赂	防止商业贿赂与腐败	不当利益、利益冲突

一笔交易可能同时触发多个风险模块。

例如，一个新注册账户使用被盗银行卡购买数字资产，并将资金转入受制裁地址，可能同时涉及：

身份欺诈；
支付欺诈；
洗钱；
制裁风险；
数字资产风险。

因此，成熟的风险系统需要共享客户、账户、设备、交易和关联关系数据，而不是让每个模块形成独立的数据孤岛。

五、反洗钱监管框架

5.1 FATF

FATF 是 Financial Action Task Force 的缩写，即金融行动特别工作组。

FATF 建议构成全球反洗钱、反恐怖融资和反扩散融资的重要国际标准框架，覆盖：

国家风险评估；
客户尽职调查；
实际受益所有人识别；
可疑交易报告；
记录保存；
政治公众人物；
跨境支付透明度；
虚拟资产；
国际合作。

FATF 强调，各国家和机构应根据自身风险采用风险为本的方法，而不是对所有客户采用完全相同的措施。最新标准和修订记录可以参考 FATF 官方发布的相关建议文件。

5.2 各国反洗钱制度示例

不同国家和地区通常都会制定反洗钱相关法律法规，要求义务机构依法采取反洗钱预防和监控措施，履行包括以下内容在内的义务：

建立健全反洗钱内部控制制度；
开展客户尽职调查；
保存客户身份资料和交易记录；
报告大额交易和可疑交易；
采取反洗钱特别预防措施。

监管机构通常还会进一步强调：

交易监测结果需要人工分析；
不报告的预警需要记录排除理由；
确认可疑时需要记录分析过程；
客户尽职调查与可疑交易判断应相互验证；
反洗钱系统应覆盖机构各类业务活动；
应及时、准确、全面获取客户和交易信息。

具体制度细节和监管要求会随法规修订而调整，实际执行时应以当地现行有效的规定为准。

5.3 规则不是全球统一的

不同司法辖区对以下事项可能有不同规定：

义务机构范围；
大额交易报告标准；
可疑交易报告时限；
客户资料保存期限；
实际受益人认定标准；
制裁名单；
高风险国家或地区；
数字资产服务监管；
跨境信息传输；
隐私和数据本地化。

因此，反洗钱系统应把以下内容配置化：

text 复制代码

国家或地区
业务主体
产品类型
客户类型
币种
交易渠道
规则版本
生效时间
监管报送要求

不要把某一个国家的规则直接复制到所有业务主体。

六、风险为本的反洗钱方法

风险为本方法可以概括为：

text 复制代码

识别风险
   │
   ▼
评估风险
   │
   ▼
采取与风险相匹配的措施
   │
   ▼
持续监测
   │
   ▼
定期复核和调整

它并不意味着"高风险客户一律拒绝"，而是要求机构根据风险程度决定：

收集多少客户资料；
是否需要强化尽职调查；
是否需要高级管理人员审批；
多长时间复核一次；
采用什么交易监控规则；
是否限制产品或交易额度；
是否需要终止业务关系。

6.1 风险评估层次

反洗钱风险评估通常包括三个层次。

机构风险评估

评估整个机构面临的固有风险和控制效果，例如：

客户结构；
产品类型；
地理分布；
交易渠道；
跨境业务比例；
数字化程度；
控制措施有效性。

产品风险评估

新产品上线前需要判断：

是否允许匿名或弱实名；
是否支持快速跨境转移；
是否支持现金或数字资产；
是否容易被第三方代用；
是否支持不可撤销交易；
交易限额是否合理；
资金来源是否可验证。

客户风险评估

根据客户身份、行业、地域、产品和行为形成客户风险等级，并随着业务变化动态调整。

七、客户尽职调查

客户尽职调查简称 CDD，是反洗钱体系的基础。

如果不知道客户是谁，也不知道其业务目的和资金来源，交易监控系统就很难判断什么行为属于异常。

7.1 个人客户识别

个人客户通常需要收集和验证：

姓名；
出生日期；
国籍；
身份证件；
居住地址；
联系方式；
职业；
收入或财富来源；
开户目的；
预计交易规模；
税务居民信息；
实际控制人或代理人信息。

身份验证可以包括：

证件真实性校验；
人脸活体检测；
人证一致性比对；
手机号实名验证；
银行账户验证；
地址证明；
多数据源交叉验证。

7.2 企业客户识别

企业客户的 KYB 通常需要了解：

企业名称；
注册号；
注册地址；
实际经营地址；
成立时间；
经营范围；
企业状态；
董事和高级管理人员；
股东结构；
实际受益所有人；
授权经办人；
主要交易对手；
预计资金规模；
开户和使用产品的目的。

仅验证企业营业执照并不足以完成企业尽职调查。

需要进一步回答：

text 复制代码

谁拥有这家公司？
谁控制这家公司？
谁最终获得经济利益？
企业实际从事什么业务？
账户交易与业务是否匹配？

7.3 实际受益所有人

实际受益所有人通常是最终拥有、控制客户，或者最终享有交易利益的自然人。

复杂股权结构可能表现为：

text 复制代码

自然人 A
  │ 80%
  ▼
控股公司 B
  │ 60%
  ▼
客户公司 C

自然人 A 对客户公司 C 的间接持股比例为：

text 复制代码

80% × 60% = 48%

但实际控制不能只看持股比例，还要分析：

表决权；
协议控制；
董事任免权；
信托安排；
一致行动关系；
资金收益权；
其他实际影响方式。

FATF 关于法人实际受益所有权的指引强调，主管机关需要能够获得充分、准确且及时更新的真实所有人信息。FATF 关于法人实际受益所有权的指引强调，主管机关需要能够获得充分、准确且及时更新的真实所有人信息。

7.4 简化尽职调查

对于经过评估后风险较低的客户和业务，可以在法律允许范围内采取与风险相匹配的简化措施。

简化不代表：

不识别客户；
不核验身份；
不进行交易监控；
不保留记录。

一旦出现风险变化或可疑情况，应重新评估并采取普通或强化措施。

7.5 强化尽职调查

EDD 即 Enhanced Due Diligence，通常适用于较高风险客户。

强化措施可能包括：

收集更多身份资料；
了解财富来源；
核实具体资金来源；
了解主要交易对手；
核实业务合同和发票；
获得高级管理人员批准；
提高复核频率；
降低交易限额；
加强持续监控。

八、持续尽职调查

KYC 不是开户时的一次性动作。

客户资料和风险可能持续变化：

职业发生变化；
公司股权发生变化；
实际控制人发生变化；
客户成为政治公众人物；
客户进入高风险行业；
交易规模突然上升；
交易国家或地区发生变化；
联系方式和设备批量关联；
出现负面新闻；
账户行为与开户目的不再一致。

因此，需要建立持续尽职调查机制：

text 复制代码

客户准入
   │
   ▼
初始风险评级
   │
   ▼
持续交易监控
   │
   ▼
触发事件或定期复核
   │
   ▼
更新客户资料
   │
   ▼
重新计算风险等级

8.1 周期性复核

不同风险等级可以采用不同复核周期：

风险等级	示例复核策略
低风险	较长周期复核
中风险	常规周期复核
高风险	更短周期复核
特殊风险	事件触发或持续复核

具体周期应根据适用法规和机构制度确定，不能直接照搬示例。

8.2 事件触发复核

常见触发事件包括：

证件即将到期；
地址或联系方式变更；
法人或股东变更；
交易行为明显变化；
命中名单或负面新闻；
多次触发可疑交易规则；
收到监管或执法查询；
客户申请高风险产品；
短期内显著提高交易额度。

九、名单筛查

9.1 常见名单类型

反洗钱系统可能需要筛查：

制裁名单；
恐怖组织及相关人员名单；
政治公众人物名单；
执法和司法名单；
内部黑名单；
欺诈风险名单；
负面新闻；
高风险国家或地区；
监管提示名单。

不同名单代表不同风险，不能使用完全相同的处置流程。

9.2 精确匹配与模糊匹配

如果只使用完全相等匹配，容易漏掉：

不同语言的姓名；
姓名顺序变化；
缩写；
空格和标点差异；
拼写变体；
音译差异；
别名；
曾用名。

因此，名单筛查通常包含：

text 复制代码

文本标准化
   │
   ▼
精确匹配
   │
   ▼
模糊匹配
   │
   ▼
出生日期、国籍等辅助信息比对
   │
   ▼
人工确认

美国财政部 OFAC 提供的制裁名单查询工具也采用模糊逻辑查找潜在匹配，但机构仍需根据风险评估确定匹配阈值，并对结果进行判断。美国财政部 OFAC 提供的制裁名单查询工具也采用模糊逻辑查找潜在匹配，但机构仍需根据风险评估确定匹配阈值，并对结果进行判断。

9.3 同名不等于同一人

不能因为客户姓名与名单相同就直接认定为命中。

还需要综合比对：

出生日期；
国籍；
证件号码；
地址；
性别；
别名；
企业注册号；
股东和关联关系。

系统应区分：

text 复制代码

候选匹配
可能匹配
确认命中
排除匹配

9.4 存量客户重新筛查

名单会持续更新，因此不仅需要在开户时筛查，还要对存量客户和实际受益所有人进行重新筛查。

典型流程：

text 复制代码

名单更新
   │
   ▼
生成版本
   │
   ▼
重新筛查存量客户
   │
   ▼
生成预警
   │
   ▼
人工审核
   │
   ▼
采取对应措施

十、客户风险评级

客户风险评级用于决定尽调深度、审批层级、监控强度和复核频率。

10.1 风险维度

可以将风险归为以下几类。

风险维度	示例因素
客户风险	身份类型、职业、公司结构、PEP
地域风险	注册地、居住地、交易地区
产品风险	跨境汇款、现金、数字资产
渠道风险	非面对面开户、代理渠道
行业风险	现金密集型、高价值商品
交易风险	金额、频率、对手方、异常模式
名单风险	制裁、负面新闻、内部黑名单
行为风险	设备关联、资料变更、登录异常

10.2 简化的评分模型

可以定义：

text 复制代码

客户风险分 =
客户风险 × 25%
+ 地域风险 × 20%
+ 产品风险 × 15%
+ 渠道风险 × 10%
+ 交易风险 × 20%
+ 名单风险 × 10%

然后划分等级：

text 复制代码

0 - 29    低风险
30 - 59   中风险
60 - 79   高风险
80 - 100  极高风险

这只是技术示例，实际权重和等级必须经过风险评估、数据验证和合规审批。

10.3 风险评分示例

python 复制代码

from dataclasses import dataclass


@dataclass
class CustomerRiskInput:
    customer_score: float
    geography_score: float
    product_score: float
    channel_score: float
    transaction_score: float
    watchlist_score: float


def calculate_risk_score(
    risk: CustomerRiskInput
) -> float:
    score = (
        risk.customer_score * 0.25
        + risk.geography_score * 0.20
        + risk.product_score * 0.15
        + risk.channel_score * 0.10
        + risk.transaction_score * 0.20
        + risk.watchlist_score * 0.10
    )

    return round(score, 2)


def get_risk_level(score: float) -> str:
    if score >= 80:
        return "EXTREME"

    if score >= 60:
        return "HIGH"

    if score >= 30:
        return "MEDIUM"

    return "LOW"


risk_input = CustomerRiskInput(
    customer_score=70,
    geography_score=80,
    product_score=60,
    channel_score=40,
    transaction_score=85,
    watchlist_score=20
)

score = calculate_risk_score(risk_input)

print("风险分数:", score)
print("风险等级:", get_risk_level(score))

10.4 评分模型的限制

风险评分不能完全代替人工判断。

例如，客户虽然总分不高，但如果确认命中适用制裁名单，可能需要立即进入专门处置流程，而不是继续计算平均分。

因此，系统应同时支持：

text 复制代码

加权评分
硬性规则
一票否决条件
人工调整
审批流程
模型版本管理

十一、政治公众人物识别

PEP 即 Politically Exposed Person，通常指担任或曾担任重要公共职务的人员。

十二、交易监控

交易监控的核心问题是：

客户当前交易是否与其身份、业务目的、历史行为和合理经济活动相匹配？

它不只是判断金额大小，还需要综合分析：

金额；
频率；
时间；
渠道；
币种；
地区；
对手方；
资金停留时间；
账户之间的关联；
客户历史行为；
客户申报的业务模式。

12.1 金额类异常

例如：

短时间内累计交易显著增加；
多笔交易金额接近某个报告或审核边界；
收入水平较低却进行大额交易；
交易金额与企业经营规模不匹配；
长期休眠账户突然出现大额资金。

12.2 频率类异常

例如：

短时间高频转账；
多次小额入金后集中转出；
单日与大量陌生对手方交易；
连续多日保持相似拆分模式；
短期频繁跨机构划转。

12.3 资金流向异常

例如：

资金到账后立即转出；
多账户资金汇聚到一个账户；
一个账户将资金拆分给大量账户；
资金在多个关联账户之间循环；
交易缺乏合理商业目的；
资金来源与去向明显不一致。

12.4 地域异常

例如：

与高风险地区频繁交易；
客户实际所在地与开户信息不符；
登录地区和资金流向同时发生变化；
无跨境业务背景却大量跨境汇款；
使用多个国家的账户和设备。

12.5 账户行为异常

例如：

新开户后立即发生高额交易；
账户用途与开户声明不一致；
多个客户使用相同设备或联系方式；
频繁更换手机号、地址和银行卡；
拒绝说明交易目的或资金来源；
提供的业务合同无法核验。

十三、交易监控规则设计

13.1 单笔规则

text 复制代码

如果：
单笔交易金额较大
并且客户历史交易规模较低

那么：
生成交易行为变化预警

13.2 聚合规则

text 复制代码

如果：
24 小时内入账次数较多
并且累计金额显著
并且资金在短时间内大部分转出

那么：
生成快进快出预警

13.3 结构化拆分规则

text 复制代码

如果：
客户在一定时间窗口内发生多笔相近金额交易
并且金额集中在内部阈值附近
并且缺乏合理业务解释

那么：
生成疑似拆分交易预警

内部监控阈值不宜在公开文章、客户端提示或普通业务页面中完整暴露，否则可能被用于规避监控。

13.4 关联网络规则

单独查看一个账户时，交易可能并不明显异常。

但从关系网络来看：

text 复制代码

账户 A ─┐
账户 B ─┼──► 账户 X ───► 账户 Y
账户 C ─┤
账户 D ─┘

如果多个无明显关系的账户向同一账户汇款，随后迅速集中转出，就可能形成资金归集网络。

图计算可以帮助识别：

多对一归集；
一对多分散；
循环转账；
多层中转；
共同设备；
共同地址；
共同实际受益人；
风险对象的多跳关联。

十四、规则引擎与模型协同

成熟的反洗钱系统通常不会只依赖一种检测方式。

14.1 规则引擎

规则引擎适合检测：

明确监管要求；
已知洗钱模式；
可解释的业务逻辑；
黑名单和硬性限制；
金额、次数和时间窗口组合。

优点：

可解释；
容易审计；
便于快速上线；
便于合规人员参与配置。

缺点：

容易产生较多误报；
难以识别未知模式；
规则可能被规避；
维护成本会随规则数量增长。

14.2 机器学习模型

机器学习可以用于：

异常行为检测；
预警风险排序；
客户行为分群；
账户关联识别；
预警误报预测；
图网络风险传播。

但模型不能成为无法解释的"黑盒拒绝系统"。

至少需要记录：

模型名称；
模型版本；
输入特征；
输出分数；
主要影响因素；
决策阈值；
训练数据范围；
上线审批记录。

14.3 推荐决策结构

text 复制代码

制裁与禁止性规则
        │
        ▼
确定性业务规则
        │
        ▼
统计与行为规则
        │
        ▼
机器学习风险模型
        │
        ▼
关联图谱分析
        │
        ▼
预警归并与风险排序
        │
        ▼
人工调查

模型适合帮助合规人员提高调查效率，而不是在缺少治理、验证和人工复核的情况下自动替代全部判断。

十五、从预警到可疑交易报告

规则命中不等于客户已经实施洗钱。

正确流程通常是：

text 复制代码

规则或模型命中
      │
      ▼
生成预警 Alert
      │
      ▼
预警去重与合并
      │
      ▼
建立调查案件 Case
      │
      ▼
分析客户和交易
      │
      ├── 排除：记录合理理由
      └── 可疑：进入报告审批
                  │
                  ▼
             提交可疑交易报告
                  │
                  ▼
             持续强化监控

15.1 预警调查内容

调查人员通常需要查看：

客户身份资料；
客户风险等级；
账户历史；
交易明细；
交易对手；
资金来源和去向；
设备和登录信息；
关联账户；
合同、发票和业务证明；
名单匹配结果；
历史预警和案件；
客户解释；
公开信息和负面新闻。

15.2 排除预警

排除预警不能只点击"误报"。

应记录：

调查了哪些数据；
客户业务背景是什么；
交易为什么合理；
是否获取补充材料；
与历史行为是否一致；
排除依据是什么；
由谁审核；
何时完成。

15.3 确认可疑

如果交易缺乏合理解释，或者多个风险因素相互支持，应按照适用法律和内部流程决定是否提交可疑交易报告。

报告内容需要清楚说明：

text 复制代码

客户是谁
发生了什么
为什么可疑
资金从哪里来
资金到哪里去
涉及哪些账户和对手方
机构采取了什么措施

15.4 禁止泄露调查信息

在很多反洗钱制度下，不得向客户泄露已经提交、准备提交可疑交易报告或正在开展相关调查的信息。

因此，客服、运营和合规之间需要设计专门的信息权限和沟通流程。

十六、反洗钱系统架构

一个完整的反洗钱平台可以设计为：

text 复制代码

客户系统        账户系统        交易系统
   │               │               │
   └───────────────┼───────────────┘
                   ▼
              数据接入层
                   │
                   ▼
              数据标准化
                   │
       ┌───────────┼───────────┐
       ▼           ▼           ▼
   客户画像     交易画像     关系图谱
       │           │           │
       └───────────┼───────────┘
                   ▼
            AML 风险计算平台
                   │
       ┌───────────┼───────────┐
       ▼           ▼           ▼
   名单筛查     规则引擎     风险模型
       │           │           │
       └───────────┼───────────┘
                   ▼
                预警中心
                   │
                   ▼
                案件管理
                   │
          ┌────────┴────────┐
          ▼                 ▼
       排除归档          可疑报告
                            │
                            ▼
                       监管报送

16.1 数据接入层

负责接入：

客户资料；
企业资料；
股东关系；
账户数据；
交易流水；
登录设备；
IP 地址；
支付工具；
名单数据；
负面新闻；
数字资产地址；
客服和尽调记录。

16.2 实时计算

实时计算适用于：

制裁名单筛查；
高风险地址拦截；
大额异常交易；
短时间高频交易；
设备批量关联；
账户接管风险。

16.3 离线计算

离线计算适用于：

多日资金归集；
长周期拆分交易；
客户风险评级；
复杂关系网络；
模型训练；
历史回溯；
定期复核。

16.4 案件管理

案件系统应支持：

预警合并；
调查任务分配；
证据上传；
调查意见；
多级审批；
报告生成；
操作审计；
权限隔离；
处理时限管理。

十七、核心数据模型

17.1 客户表

text 复制代码

aml_customer

建议字段：

text 复制代码

customer_id
customer_type
name
id_type
id_number_hash
country
occupation
industry
risk_score
risk_level
kyc_status
pep_status
sanction_status
created_at
updated_at

敏感身份信息不应以明文随意存储。

17.2 实际受益人表

text 复制代码

beneficial_owner

建议字段：

text 复制代码

customer_id
person_id
ownership_percentage
control_type
relationship_path
verification_status
effective_from
effective_to

17.3 交易表

text 复制代码

aml_transaction

建议字段：

text 复制代码

transaction_id
customer_id
account_id
counterparty_id
transaction_type
direction
amount
currency
channel
country
transaction_time
status

17.4 预警表

text 复制代码

aml_alert

建议字段：

text 复制代码

alert_id
customer_id
rule_code
rule_version
risk_score
alert_reason
transaction_ids
status
generated_at
assigned_to

17.5 案件表

text 复制代码

aml_case

建议字段：

text 复制代码

case_id
customer_id
case_type
risk_level
investigation_summary
decision
decision_reason
reviewer
approved_by
created_at
closed_at

17.6 审计日志

需要记录：

text 复制代码

谁
在什么时间
查看了什么数据
修改了什么内容
原值是什么
新值是什么
为什么修改

反洗钱调查涉及大量敏感信息，所有查看、导出、修改和审批操作都应具备审计记录。

十八、数字资产反洗钱

数字资产交易具有：

全球流转；
运行时间连续；
转账速度快；
交易不可轻易撤销；
地址可以大量生成；
跨平台和跨链流动；
链上数据公开；
地址与现实身份不天然绑定。

因此，数字资产反洗钱需要将链上分析与链下 KYC 结合。

18.1 链上监控内容

可以分析：

资金来源地址；
资金目标地址；
地址风险标签；
交易时间；
代币类型；
跨链行为；
地址聚类；
资金多跳流向；
是否接触混币服务；
是否接触黑客、诈骗或勒索地址；
是否与高风险交易平台交互。

18.2 常见数字资产风险信号

FATF 列出的虚拟资产风险信号包括：

使用增强匿名性的技术；
使用混币或资金混淆服务；
与监管薄弱地区的平台交互；
交易规模和频率缺乏合理解释；
资金或财富来源无法说明；
客户拒绝提供必要的 KYC 资料；
多账户规避限制；
资金快速跨平台或跨资产转移。

相关内容可以参考 FATF Virtual Assets Red Flag Indicators。

18.3 地址风险评分

可以从以下维度评估链上地址：

text 复制代码

直接接触风险
多跳关联风险
资金占比
接触时间
交易频率
风险标签可信度
资金流向
地址行为模式

例如：

text 复制代码

用户地址
   │
   ├── 70% 来自普通交易平台
   ├── 25% 来自未知钱包
   └── 5% 来自已标记高风险地址

不能只因为存在一次多跳关联就自动判定客户违法，还需要综合考虑：

跳数；
金额占比；
时间间隔；
风险标签质量；
客户身份；
交易目的；
客户解释。

18.4 链上与链下关联

text 复制代码

链上地址
   │
   ▼
充值或提现记录
   │
   ▼
平台账户
   │
   ▼
KYC 客户
   │
   ▼
银行卡、设备、IP 和交易对手

只有把链上地址与真实客户、账户和设备关联起来，才能形成更完整的风险视图。

18.5 交易规则示例

text 复制代码

如果：
客户首次充值金额较大
并且资金直接来自高风险地址

那么：
暂停自动入账
生成高优先级预警
进入人工调查

又例如：

text 复制代码

如果：
客户充值后立即提现
并且更换多个币种
并且提现到新地址
并且缺乏合理投资行为

那么：
生成疑似资金分层预警

FATF 对虚拟资产和虚拟资产服务提供商同样强调风险评估、许可或注册、监督以及可疑交易监测等要求。FATF Virtual Assets Guidance

十九、降低误报的方法

反洗钱规则如果过于简单，容易产生大量误报。

例如：

text 复制代码

单笔金额超过某值
就生成高风险预警

这种规则可能同时命中大量正常客户。

19.1 加入客户画像

将固定阈值升级为：

text 复制代码

当前金额
与客户历史金额对比
与同类客户对比
与申报收入对比
与企业规模对比

19.2 使用时间窗口

不要只看单笔交易，可以统计：

1 小时；
24 小时；
7 天；
30 天；
90 天。

不同洗钱模式可能对应不同观察周期。

19.3 预警归并

同一批交易可能同时命中多条规则。

不要简单生成十个独立预警，而应根据：

客户；
账户；
时间窗口；
交易集合；
风险主题；

进行合并，形成一个完整案件。

19.4 反馈闭环

text 复制代码

预警生成
   │
   ▼
人工调查
   │
   ├── 确认可疑
   └── 排除误报
   │
   ▼
反馈规则与模型
   │
   ▼
调整阈值和特征

但不能只追求降低误报率。如果为了减少工作量而大幅提高阈值，也可能导致真实风险被漏掉。

应同时关注：

text 复制代码

预警数量
误报率
可疑确认率
规则覆盖率
调查处理时间
高风险案件遗漏情况

二十、数据隐私与系统安全

反洗钱需要集中处理大量敏感数据，包括：

身份证件；
生物识别信息；
银行账户；
交易流水；
实际受益人；
设备信息；
调查记录；
可疑交易报告。

因此，需要落实：

20.1 最小权限

不同角色只能访问工作所需数据：

text 复制代码

客服
只能查看有限客户资料

调查人员
可以查看案件相关交易

审批人员
可以查看完整调查结论

系统管理员
不应默认拥有业务数据查看权限

20.2 敏感数据保护

可以采用：

字段加密；
密钥管理系统；
数据脱敏；
Token 化；
传输加密；
数据库访问审计；
下载和导出控制；
水印；
数据保留和销毁策略。

20.3 环境隔离

生产环境的真实客户数据不应直接复制到测试环境。

测试时应使用：

脱敏数据；
合成数据；
经过审批的最小数据集。

20.4 可追溯性

所有规则、名单和模型都应保存版本。

需要能够回答：

text 复制代码

某笔交易发生时
使用了哪个名单版本？
执行了哪些规则？
规则参数是什么？
模型版本是什么？
谁做出了最终决定？

二十一、常见设计误区

21.1 把 KYC 当成反洗钱的全部

完成实名认证并不代表后续交易一定安全。

正确做法是：

text 复制代码

KYC + 风险评级 + 持续监控 + 定期复核

21.2 把大额交易等同于可疑交易

大额交易可能完全合理，小额交易也可能属于复杂洗钱网络的一部分。

可疑判断需要结合：

客户身份；
业务背景；
交易模式；
资金来源；
资金去向；
关联关系。

21.3 规则命中就直接认定洗钱

规则命中只代表需要进一步调查。

系统中的状态应明确区分：

text 复制代码

规则命中
预警
调查中
排除
确认可疑
已经报告

21.4 只监控单个账户

洗钱活动经常通过多个账户、设备、企业和数字资产地址协同完成。

需要建立跨账户、跨产品和跨渠道的统一客户视图。

21.5 规则长期不更新

犯罪模式、产品结构、监管要求和客户行为都在变化。

规则需要定期进行：

有效性评估；
阈值回测；
命中分析；
误报分析；
风险覆盖分析；
版本更新。

21.6 没有记录排除理由

如果调查人员只点击"误报"，后续很难证明机构已经进行了合理分析。

系统必须保存调查过程和排除依据。

21.7 只依赖名单供应商

第三方名单可以提高效率，但机构仍需：

判断名单是否适用；
评估数据质量；
处理误匹配；
维护补充名单；
保存名单版本；
建立人工复核流程。

21.8 直接把模型结果当成最终结论

模型分数只能表达统计风险，不能自动证明客户违法。

模型应接受验证、监控、解释和人工复核。

二十二、反洗钱系统建设检查清单

客户尽调

已识别并核验客户身份；
已了解开户或合作目的；
已识别企业实际受益所有人；
已了解预期交易规模；
已筛查适用名单；
高风险客户已开展强化尽调；
客户资料具有更新机制；
证件到期具有提醒机制。

风险评级

风险因子覆盖客户、产品、地域和渠道；
权重和阈值经过审批；
存在硬性风险规则；
风险等级可以动态变化；
人工调整需要记录理由；
保留评分模型及版本；
定期验证评级效果。

交易监控

支持单笔和聚合规则；
支持多个时间窗口；
支持资金快进快出识别；
支持拆分和归集识别；
支持跨账户关联分析；
支持高风险地区监控；
支持数字资产地址风险；
规则异常时具有告警机制。

调查与报告

预警可以归并为案件；
调查人员能够查看完整客户视图；
排除预警必须填写理由；
可疑案件支持多级审批；
报告内容可以完整追溯；
报告过程受到权限保护；
不会向客户泄露调查和报告信息；
案件具有处理时限提醒。

数据与安全

客户和交易数据完整接入；
名单数据能够及时更新；
敏感字段已经加密或脱敏；
数据访问遵循最小权限；
查看和导出操作具有审计日志；
测试环境不使用未脱敏生产数据；
规则、模型和名单均保留版本；
数据保存和销毁符合适用规定。

二十三、总结

反洗钱不是某一条规则，也不是一个独立的名单查询接口，而是一套覆盖客户全生命周期的风险管理体系。

完整流程可以概括为：

text 复制代码

客户身份识别
      │
      ▼
客户尽职调查
      │
      ▼
名单筛查与风险评级
      │
      ▼
建立业务关系
      │
      ▼
持续交易监控
      │
      ▼
生成风险预警
      │
      ▼
人工调查与案件管理
      │
      ├── 合理：记录排除依据
      └── 可疑：审批并依法报告
      │
      ▼
持续复核与策略优化

技术系统可以帮助机构处理海量客户与交易数据，但最终效果仍取决于：

数据是否完整；
规则是否合理；
模型是否经过验证；
调查是否充分；
处置是否及时；
决策是否可解释；
制度是否真正执行。

特别是在数字资产、跨境支付和实时支付场景中，资金可以在短时间内跨平台、跨地区和跨资产流动，传统的单笔金额监控已经无法覆盖全部风险，需要结合客户画像、行为分析、图谱关系和链上数据形成统一风险视图。

最重要的原则可以概括为：

反洗钱不是证明每个客户都没有风险，而是在了解客户、理解交易和保留证据的基础上，及时发现那些缺乏合理经济目的或与客户背景不一致的异常行为。