道——三类行为者的成本——收益分析

这次我们聊聊“违规识别”模型，在有的行里也被称为“三反”模型。这类模型的一个共同特点是获得明确标签（Y）的成本很高、主要特征提取自交易（有动帐）和行为（无动帐）数据的RFM模型及其衍生变量，和通过这些交易和行为数据构建时、空、网的关联关系而获取的衍生特征。这里需要强调一下，申请反欺诈和交易反欺诈在以上三方面存在明显差别。虽然申请反欺诈也会用到复杂网络，但是仅使用联系人、设备等信息构建的复杂网络，而不是依据交易流水做的复杂网络。

很多人在分析“三反”问题是都遇到难以清晰分类的问题。这是很正常的现象，因为这三者往往是伴生的。如果一定要分清楚的，不妨可以这样来区分：洗钱的交易发起者是用户本身，交易欺诈的发起者非用户的其他人，舞弊的交易发起者是内部员工。

笔者曾经在和客户沟通时，甲方反应反舞弊和反欺诈的差别很大。诚然，在业务理解上确实差别很大。但是在模型抽象的角度，这三个主题建模时，其标签的数据特征、取数窗口的设置、特征的提取方式是沿用的一套框架。因此可以统一来讨论其建模问题。

我们再强调一下建模的三个原则，即以成本-收益分析为单一分析框架、区分分析主体和客体两个视角、全模型生命周期工作模板。

我们这里以舞弊为例，讨论一下从事舞弊活动的人的成本-收益。舞弊的成本较明确，那就是事情败露后面临的处分、开除、经济处罚或刑事处罚。收益也很明确，那就是从事舞弊行为获得的收入。也就是说在舞弊行为分析中，成本-收益可以看似固定的。那为什么一个人有时候刚正不阿，而有时候禁不住诱惑呢？主要的问题是其内心发生了变换。如下所示的“舞弊三角”理论中，压力和动机是最关键的，这往往是外部事件，推动者行为人心中的砝码发生偏移，从而酿成悲剧。

法——“三反”模型的数据问题和应对方法

建立违规识别模型的一个最重要的问题是对这个业务问题认识不足。很难有业务专家可以清晰的知道所有违规类型，每一次做这类项目，总是本着抓大放小的原则，针对最关心的一些“洗钱”、“交易欺诈”或“舞弊”的类型进行识别。同时样本的标签也是相互混淆的，因为犯罪份子可不会每次只按照洗钱“教科书”中的一种违规行为做事，比如地下钱庄和其他洗钱类型往往是伴生的。第二个难点是PU问题，即违规份子的行为没有被全部识别出来，也没有明确的类罪相对应。

由于违规识别模型有以上问题，因此需要两到三步才能处理好以上问题。比如针对第一类问题，需要使用到无监督的异常学习算法将与正常交易有明显差异的交易提取出来供下一步分析。针对第二个问题，目前主要是依赖业务人员手工审核。清洗干净的数据才会用于建模。

“三反”模型统一使用“黑名单”、“规则引擎”、“机器学习”、“ 复杂网络特征构建和无监督”。看过“越狱”的读者可能有印象，那里在分析犯罪时就会使用复杂网络作为分析工具。之所以现在这类技术被广泛使用，主要得益于开源大数据分析平台极大的降低了建设成本，使得可以基于全量的交易数据构建复杂网络和异常识别模型。因为这两类模型是不应该对数据抽样的。

术——“三反”模型为什么要使用非线性模型？

之前很多人认为构建风控模型一定要可解释，因此一定要使用逻辑回归，甚至还要求必须制作评分卡之类的产出物。这种要求在“三反”模型中是不适宜的。因为违规交易的子类型太多了。虽然每一种违规行为和正常交易的客户有可能是线性可分的。但是如下图“问题4”所示，具有违规标示的样本是按群聚集的，而不同类的群是分散的。因此使用一个逻辑回归构建起的线性模型的精确度是很低的。需要使用组合算法构建非线性模型。

器——落地“三反”模型的系统架构

以上提到，违规识别模型需要从大量交易流水中提取交易特征和复杂网路特征。而且此类模型建模是不建议采用抽样的方式。因此使用分布式计算平台对数据进行加工是不可避免的。以下列出了主要模块，即数据源采集、图数据库、特征工程平台、机器学习平台。

用——反洗钱模型的开发介绍

下面这是一家金融机构的经历。由于传统的“三反模型”的规则很少是数据驱动的，而且及时是数据驱动的，规则的准确性也是很低的。通过构建无监督学习模型，使用异常识别算法，在降低了原模型15%召回率的情况下，预测精度提升了60倍。在使用有监督机器学习模型，并充分提取交易网络信息后，召回率无降低的请款下，模型精度提高了80倍。模型上线后，可以极大的减少“三反”调查人员的工作量。不过需要强调一点，本例中使用的样本是业务人员手工梳理的，模型效果容易做到指标上好看。