一种基于客户行为时序分析的反洗钱异常交易识别方法.docx

第 卷 第 期年月中国管理科学， ， 文章编号 ：（）一种基于客户行为时序分析的反洗钱异常 交易识别方法刘卓军，李晓明，（中国科学院数学与系统科学研究院 ，北京 ； 中国科学院大学 ，北京 ）摘 要 ：可疑交易报告制度是打击洗钱活动的一项 基本 机 制 ，如何有效甄别可疑交易是金融机构和金融情报中心 面临的一个技术难点。为辅助反洗钱分析人员从海量金融交易信息中甄别客户异常交易 ，本文提出一种预测误差 和统计处理综合法 ，通过分析客户前后行为的一致性来 发现异常。 建立客户行为模型 ，根 据预 测误差对客户行为进行时点异常检验 ，并 在此基础上构造一个窗口检验 ，以提高对涉嫌洗钱行为的识别能力 。 本文在支持向量回归和核密度估计等具体实现手段的基础上 ，运 用 对实际交易和仿真数据进行分析 ，结 果表 明该方法的有效性和可行性 ，具有应用推广价值 。关键词 ：反 洗钱 ；异 常点监测 ；时 序 ；支 持向量回归 ；核 密度估计中图分类号 ：文献标识码 ： 引言反 洗 钱 工 作 以 打 击 洗 钱 和 恐 怖 融 资 犯 罪 为 目 标，在保卫国家安全、反腐败和维护经济金融稳定中 发挥着重要作用。中华人民共和国反洗钱法对反 洗钱的定义是，“为了预防通 过各种方式掩饰 、隐 瞒 毒品犯罪、黑社 会性质的组织犯罪 、恐 怖活动犯罪、 走私犯罪、贪污 贿赂犯罪、破 坏金融管理秩序犯罪、 金融诈骗犯罪等犯罪所得及其收益的来源和性质的 洗钱活动，依照本法规定采取相关措施的行为”。可 疑交易报告制度是打击洗钱活动的一项基本机制， 国际反 洗 钱 组 织 金 融 行 动 特 别 工 作 组 （）在打击洗钱、恐怖融资、扩散融资国际标准 ： 建议（）中规定，如果金融机构有合理理由怀疑资 金为犯罪收益，或与恐怖融资有关 ，则应立即按法规 要求向金融情报中心报告。如何高效地甄别可疑交易是各国反洗钱工作普 遍面临的一个技术难点。金融机构要想从日常业务 经营中发现洗钱分子的蛛丝马迹 ，除了做好客户尽 职调查，了解客户的真正身份 ，摒弃基于简单规则的收稿日期 ：；修 订日期 ：基金项目 ：国家科技支撑计划项目（）作者简介 ：刘 卓军（），男（汉 族），黑 龙江人 ，中 国科学院数 学与系统科学研究院 ，研 究员 ，研 究方向 ：系 统安全可疑交易筛选方式，强调通过人工分析判别可疑交 易之 外，还 应注意利用数据挖掘技术提高人工分 析效率。我国承担反洗钱可疑交易报告义务的金融 机构和承担洗钱线索分析任务的中国反洗钱监测分 析中心，面临从海 量原始客户和交易信息中筛选异 常交易行为的艰巨任务。仅年一年，中国反洗 钱监测分析 中 心 接 收 的 大 额 交 易 报 告 超 过 就 亿 份，可疑交易报告超过 万份 ，说 明了这项工 作的艰巨性，分析 人员仅凭经验人工分析处理原始 信息非常低效，难 以保证既不漏报又不误报洗钱线 索。这种工作现状激发了数据挖掘技术在反洗钱中 应用研究的开展，研究人员力求构建合理数学模型 识别客户交易行为特征 ，进而通过计算机软件对原 始交易信息进行有效分析处理。应用时序异常点监测技术来帮助分析人员发现 异常交易，是将数 据挖掘技术应用于反洗钱监测分 析的一个重要方面。 已有研究方法主要有两种 ，一 种是基于相似度核的监测方法，例 如汤俊提 出基于拟合时序线段斜率比较的检测 方 法 ， 提出基于欧氏距离对客户交易的资金序列进行匹配 比较，以发现异常交易序列 ；另一种是基于交易网络 的监测方法，例 如喻炜提 出了基于交易网络特征 向量中心度量的可疑洗钱行为检测方法。已有研究成果为数据挖掘方法在可疑交易甄别中的应用奠定第 期刘卓军等 ：一种基于客户行为时序分析的反洗钱异常交易识别方法 了基础，但距满足实际工作需求仍有不足 ，主要表现 在未充分考虑金融交易复杂性 ，算法效率不高；未重 视分析人员与计算机软件系统的交互 ；虽 然考虑了 通过客户之间的行为比较来发现异常 ，对 不同客户 进行了正常和异常的区分 ，但对客 户自身行为一致 性研究不够；以及 由于难以获得样本数据而未使用 真实洗钱案例对所提方法进行验证等方面。本文从 客户行为分析的角度出发 ，综合运 用非线性时序分 析和统计推断的相关理论 ，提出一 种预测误差和统 计处理综合法（ ，简 称 ），为 依 据 客 户 自 身行为一致性识别反洗钱异常情况这一重要的工作方式提供了一个量化分析框架（如图所示）。 在 该框架下，本文 应用支持向量回归 （ ，简称 ）和 核密度估计 （ ，简 称 ），对 实际交易和仿真数 据进行实验，并与 利用控制图识别异常的方法进行 了比较，结果表明该方法是可行有效的 ，克服了常用 方法的一些不足，具有推广应用价值 。图 框架 问题的描述洗钱分子的行为具有隐蔽性 、智 能性和流动性 的特点，但绝大多数 犯罪所得的 “黑 钱 ”都 要通过银 行等金融机构进行流转 ，在金融机构中必然留下大 量的非法资金流动踪迹，所 以可以通过分析交易 信息来发现客户涉嫌洗钱等犯罪的蛛丝马迹。本文研究针对一类典型的洗钱模式 客户以 某种正常经营活动作为掩护 ，将非 法所得混入正常 经营收益进行清洗。这种洗钱模式属于常见典型的洗钱手法，例如金融机构大额交易和可疑交易报告 管理办法第十一条（四）中规定的“平常资金流量小 的账户突然有异常资金流入 ，且短期内出现大量资 金收付”，即提示了这种模式的一类具体特 征。 针 对这种洗钱模式的异常交易甄别需回答两个问题， 一是客户交易行为是否有涉嫌 洗 钱 的 异 常 交 易 发 生，二是如何对已 经发现异常的时点或时段进行统 计推断。例如，本文 中提及的 公司表面上开 展正当经营，其在 银行办理的交易大部分出于合法 业务所需，但实际 上却将少量涉及诈骗的非法经营 混杂到日常活动中，因此需要分析人员根据整体交 易记录对其行为是否存在异常做出判断 ，指 出哪些交易异常，并对异常程度进行量化分析 。本文研究通过分析客户前后行为的一致性来发 现异常。根据上述洗钱模式的固有特点 ，我 们提出 两方面假设：一是 客户正常行为和异常行为所产生 的交易时序，因内 在机制 （经营目的和经营方式等 ） 不同，故可视为由不同动力系统产生 ；二是发生异常 交易的客户，其正常交易行为仍占主导 ，异常交易仅 为偶发行为，客户 交易数据可被视为一个主体的动 力系统产生的数据，被另一个动力系统在短时间内 干扰。基于 上 述 假 设，我 们 认 为 在 适 当 选 取客户某一时段的交易数据作为训练集进行时序建 模时，其中涉及异 常交易的数据点相对少到可忽略 不计，或者说可以 通过利用这部分数据训练生成的 模型来预测客户正常行为 ，即只要建模方法合理有 效， 建立的交易时序模型应能够对客户正常 行为做出一定程度 “准 确 ”的 预测，否则有理由怀疑 客户行为可能发生了异常。本文认为通过上述方法筛选出的异常交易还需 经过分析人员进一步的人工识别 ，有合理理由怀疑 与洗钱等犯罪行为相关后 ，才能作为可疑交易提交 金融情报中心等单位。 模型 可分为三大部分 ：一是建立客户 行为模 型；二是根据客户 行为模型的预测误差进行时点检 验；三是基于时点检验结果进行窗口检验 ，指出具有 洗钱嫌疑的时段。 建立客户行为模型为排除自相关等系统非随机模式对异常判别的 干扰， 第一部分对客户行为 进 行 建 模 预 测。由于金融时序内在的噪声 、非平稳性和混沌性， 过短的金融时序难以预测 ，但长度足够的金融时序 中国管理科学年是可建模预测的，部分学 者应用神经网络和支持 向量机等方法已经取得了一定研究成果 ，例 如在股 指研究方面。将 由 映射到 中， 和（）可通过解下列优化 问题求得： 客户行为特征属性时序建立客户行为特征属性时序（以下简称“特征时 序”）是对客户交易行为进行分析的基础 。特征属性（ ）烄 （） （）应能随时间推移反映客户行为在反洗钱所关注方面的性 质，并 可 被 量 化 表 示，以 便用于建立数学模 烅 （）型。由于反洗钱核心问题是判别被客户支配资金的 合法性，所以应优 先考虑与交易金额相关的行为属 性，例如日（周）收 款金额、日 （周 ）付 款金额、日 （周 ） 收付款总额、日（周 ）平 均每笔交易金额等。 在选定烆 其中， ，常数 表示（）光滑性与 误差大于的数量之间的权衡取舍 。为解决该问题引 入拉格朗日乘子 ， ， ， ，并 求解下列拉格朗日函数的优化问题：特征属性后，依据 时间的推移采集相应数据即得到 （ ） （ 特征时序 。反洗钱工作对及时性要求没有一般的实时在线 ）监测系统那么强，因此在建模时不 仅可以按照从前 往后的时间顺序构建特征时序 ，也 可按照从后往前 （） ） （ （）的时间顺序构建特征时序 ，以便增加一个分析视角 。（） 基于相空间重构和 的非线性时序建模 利用非线性时序建模方法对标量时序进行分析引入核函数（，）（）（）后，上述 问题的 对偶问题为对和，求下列函数最大化 ：的基础是重构与系统原相空间等价的相空间，此珟 （ ）（ ）（，）方面广泛应用的方法是延迟坐标相空间重构法。按 照伪邻近点法和互息法确 定嵌入维数 和延迟 （ ） （ ）（）时间 后，根据特征时序可构建延迟向量 ： （），（），）（）要求满足条件， ，其中，在特征时序具有混沌属性的假设下 ，该 时序的一步预测可表示如下： （） （），（），）（）（）式中映 射 可选择神 经 网 络、支 持 向 量 回 归和多项式等。本文根据混沌系统建模的已有研究 成果，采用目前应用较广的 解出 ，原 因是考 虑到 有如下特性：）只要选择适合的核函数 ，通过 得到的回 归函数可以模拟输入变量和输出值之间的任意非线 性关系；） 有较好的泛化能力；） 能够有效地处理高维数据。并且（ ） 。求 得 该 问 题 的 解 和后，得到：（）（ ）（，）（）其中，对于每个样 本 ， 或（或 者两者都） 为，当 或 不为，即 时，对应的样本 称为支持向量。在实际操作中， 参数和 的取值可通过交叉验证确定。 特征时序建模预测流程步骤 由分析人员给出初始训练集容量后， 按时点顺序将 中 的前 个元素作为初始训练 集，将其余元素归入检测集。 基 本 思 想是，给 定 训 练 数 据 （，步骤 使用 中的数据作为 的训），（，） ，这里 表示 维输入变量空间（ ）。 的目标是找到一个回归函 数（）（） ，要求该函数尽量光滑 ，并且 与训练集中目标值有最大为的误差 （允 许有一定练集（，）： ， ，生 成 模型（）。步骤将 中 按 时 点 顺 序 排 在 第 一 位 的 作为 模型 （）的 输入值，得 到一步预的误差）。是高维特征空间 中的向量，（）表示测 （ ）。第 期刘卓军等 ：一种基于客户行为时序分析的反洗钱异常交易识别方法 步骤 将 加入 ，并 从 中剔 除 。如 非空，则转步骤，否则建模预测结 束。 异常交易的时点检验为利用客户行为模型预测误差对客户行为是否 异常做出合理判断， 第二部分将判断客户行 为在一个时点是否异常的问题转化为一个假设检验 问题。首先提出如下假设：客户交易行为在时点正常然后将 作为预测误差的观察样本，并对如何根据 时点的样本 对客户行为进行 时点检验做出规定：分析人 员事先给定预设值，当 概 率（）时，则认为客户行为在时点存 在异常，此时否定 。按 照这种方式对客户行为进 行检验，必须先解决两个问题 ：一 是估算 概 率 （），二是合理给出预设值。由于没有依据认定 总是符合正态分布等某一 特定参数分布，这给分析带来很大难度 ，因此本文提出使用现代统计学一项重要的新成果，对 的概率密度函数进行估计。 是一种非参数检否存在异常。在上述时点检验的基础上 ，分析人员可 选择通过该窗口检验 ，将 对异常交易的关注时间单 位由时点扩大到时段 。窗 口检验首先定义一个长度 为 的窗口： （，）（）其中， 表示客户行为在时点的时点检验结果，当 被判定为异常时 为，否则为。定义为窗口对应的时段内被时点检验判定为异常的时点个数之和：（）窗口检验提出如下假设：客户交易行为在窗口 内正常基于窗口内时点检验结果，对 窗口检验做出规 定：分析人员事先给定预设值， 和，当概率（） 时，则认为客户行为在该窗 口内存在异常行为，此时否定 。与时点检验相同，由 于 可作为窗口检验犯第一类错误概率的估计 ，即 客户在窗口内行为实际正 常，但经过检验后被判定为异常的可能性 ，因此分析验方法，设 为变量 的样本，的概人员可以依据这一点给出适当的预设值。，率密度函数 （）的 定义为：在给定后，可 以根据其值推算窗口内时点检（；） （所用的预设值。在 一个窗口中各个 时 点 发 生 异 常）（）事件相互独立的合理假设下 ，一个窗口内发生时点 其 中， 为 样 本 容 量；（） 为 核 函 数， 满 足 （） ，通常选用关于 原点对称的单峰概异常的个数符合二项分布，（）可表示为下式：率密度函数，以保证 （；）也 是一个密度函数，但（） （）（）也可以 选 用 其 他 非 密 度 函 数 的 核 函 数，本 文 选 择核函数，主要 考虑到其易于积分和高 效性等优点； 为窗宽系数，其取值应使得下列积分 均方误差达到最小：（；） （）（；）（）其中，（）是 实际概率密 度，（；）是 估 计 概率密度。由于 可作为该假设检验犯第一类错误概率的 估计，即客户在时点行为实 际正常，但 经过检验后 被判定为异常的可能性 ，因此分析人员可以依据这 一点给出适当的预设值。 异常交易的窗口检验其中， 表示从 个 不 同 元 素 中 取 出 个 的 组 合数， 表示客户行为在某一时点发生异常的概率 。根 据（）式可以求出满足 （）的 ， 可作为窗口内时点检验时所用 值的估计。 算例为说明 应 用 于 实 际 数 据 的 效 果，本 文 选取低洗钱风 险 的 某 公司和因涉嫌诈骗洗钱罪 被查 处 的 某 公 司 作 为 算 例 进 行 分 析。 利 用 二 者 符合金融机构大额交易和可疑交易报告管理办法 规定的大额交易建立特征时序 ，并按照下式进行归 一化处理： 为了进一步提高异常交易识别能力 ， 第 （）三部分在时点检验的基础上构造了一个窗口检验， 考察包含连续 个时点的窗口内客户 交 易 行 为 是（ ）其中， 为 原 始 特 征 时 序， 为 归 一 化 后 的 时 中国管理科学年序， 为时序长度。根 据伪邻近点法和互息法确定 和后，按照（）式进行相空间重构，得到延迟向量集。分别应用 的窗口检验和独立的时点检 验对上述时序进行分析。 关于窗口检验，分 析人员 给出的预设值 为， 为， 为，与 对应的窗口内时点检验的预设值 为。关于独立的时点检验，分析人员给 出的预设值 为 。这 里 和 的取值基于本文和中的讨论， 和 的取值则主要是根据分析人员的工作经验。 算例：低洗钱风险企业的数值分析选取 公 司 年 底 至 年 初 的 大 额 交 易记录，根据交易频繁程度，取日交易总金额作为客 户行为特征属性，按照时间前后顺 序采集得到包含 点 数 据 的 特 征 时 序，初 始 训 练 样 本 集 容 量 为。根据伪邻近点和互息 法得到的嵌入维数 为，延迟时间 为。表列出了 公司的窗口内时点检验中，满 足 （） 的时点所对应的被检测样本序号、 预测误差（简称 受关注 预 测 误 差，下 同 ）和 事 件 的概率。由于 ，该结果包含了独立的时点 检验满足 （） 的时点。从表中可以看出，被检验的时序中没有被判断为存在异常的窗口 ， 但时点被独 立的时点检验判断为异常 ，需 进行 人工分析。（）（）表 公司受关注预测误差及相关概率密度 表列出了 公 司 加 仿 真数据后检验中受关注的 预测误差及相关概率密度。从表 中可以看出，时 点至时 点 的 时 段 被 窗 口 检 验 判 断 为 存 在 异 常，时点被独立的时点检 验判断为异常，需进行 人工分析。表 公司加仿真数据后受关注预测误差及 相关概率密度（）（） 算例：涉嫌疑犯罪企业的数值分析选取 公 司 年 前 后 的 大 额 交 易 记 录，根 据交易频繁程度，取日交易金额总额作为客户行为 特征属性，按照时间前后 顺序采集得到包含 点 数据的特征 时 序，初 始 训练样本集容量为 。 根据伪邻近点和互息法得到的嵌入维数 为 ，延 迟时间 为。表 列 出 了 公司检验中受关注 的 预 测 误 差 及相关概率密度。 从表 中可以看出，客 户行为在 时点至时点和时点至时点的两个 时段被窗口检验判断为存在异常，时 点 ， 被 独立的时点检验判断为存在异常 ，需进行人工分析。表 公司受关注预测误差及相关概率密度 （）（）参照金融机 构大额交易和可疑交易报告管理 办法对可 疑 交 易 模 式 的 定 义，在 公 司 的 实 际 交 易数据中加入仿真的异常交易数据 ：将 检测集中第 时点的日交易总金额增加样本数据最高日交 易 总金额的，将 第 、 和 时点的日交易总 金额分别增加样本数据最高日交易总金额的 。第 期刘卓军等 ：一种基于客户行为时序分析的反洗钱异常交易识别方法 与利用控制图识别异常方法的比较为进一步考 察 的 实 际 功 效，本 文 通 过 实验，将其 与原理相似的利用控制图识别异常， 的典型方法（简称控制图法）进行了比较。统计过程 控制中控制图法的通常流程是 ，先 建立时序模型对 数据进行预测，得到预测误差集合 ；然后 将预测误差分为前后不重合的两部分 ，包 含 个数据的第一部分用于计算上、下控制限： 其中， 是标准正态分布的 （ ）分 位数，论，这方面需要今 后在条件允许情况下进行深入的 研究。 总结本文根据反洗钱监测分析工作需要提出一种新 的异常交易识别方法，该 方法能够帮助 分析人员摆脱耗时费力到近乎不可能完成的 “对 客 户历史交易逐笔分析”的困境，有效提高监测分析工作的效率。该方法的理论意义包括 ：一 是为非线性 时序分析和统计推断在反洗钱异常交易行为识别研 究中的有机结合提供了一个框架 ，后续研究工作可 以在这个框架下进行深化 ，例如考虑使用 之外的其它非线性模型 ；二是运用核密度估计方法 ，在没 ；最后根据得到的上 、下控制限使用休哈特控制图检验第二部分预测误差。两种方法对多个案例的实验结果表明 ，在 合理 设置参数的前提下，控制图法虽然 对部分案例也能 做出与实际情况基本相符的结论 ，但 对 公司交易 加仿真数据等案例的 检 验 效 果 不 如 。 控 制 图方法相较 有以下两点突出的不足：（）控制图法的前提是预测误差符合正态分布 ， 但 公司等算例的预测误差不满足正态分布 ，会 表 现出偏态，厚尾和缩尾的现象 ，因而不满足控制图方 法的适用条件。（）如果用于计算上、下控制限的预测误差集中 包含异常数 据，则 可 能 会 致 使 上、下控制限发生改 变，导致控制图法漏检部分异常数据 。例如，在对 公司交易加仿真数据的实验中 ，将时点的预测误差放入计算控制上限的预测误差集合中后 ，导 致上 控制限偏大，影响到了对时点的检出。 实验结果分析两类企业的数值分析结果与其是否涉嫌洗钱的 实际情况 基 本 吻 合，表 明 了 的 可 用 性。 通 过算例可以看出，该方法可以辅助 分析人员提高工 作效率，一方面该方法可以减轻人工分析工作量 ，对 于低洗钱风