移动支付风控诉求定义规范

移动支付风控诉求定义规范一、总则（一）适用范围。本规范适用于移动支付业务全流程风险控制诉求的定义、分类与管理，涵盖交易监测、身份核验、额度控制、反欺诈、反洗钱等核心风控环节。各业务单元、技术部门及第三方合作机构均须遵照执行。（二）基本原则。风控诉求定义应遵循“精准防控、适度干预、动态优化、协同联动”原则，确保风险控制措施与业务发展、用户体验、合规要求相匹配。二、诉求分类标准（一）风险等级划分。1.高风险诉求：涉及重大安全事件、系统性风险、监管强制要求的控制需求，如电信诈骗、恐怖融资、跨境赌博等场景的封堵。2.中风险诉求：针对常规欺诈、异常交易行为的监测处置，如设备异常、地理位置冲突等。3.低风险诉求：优化类、提示类需求，如交易限额提醒、风险等级可视化等。（二）诉求属性定义。1.监测类：被动式风险识别需求，如实时交易轨迹分析。2.防控类：主动式风险拦截需求，如敏感交易自动拦截。3.优化类：风险模型参数调整、规则阈值优化等需求。4.补录类：风险事件后的信息补充需求，如商户资质补验。三、定义管理流程（一）需求提报规范。1.提报主体：业务部门、风控团队、技术支撑单位。2.提报要素：诉求名称、业务场景、风险描述、预期效果、数据来源、触发条件、处置方式。3.格式要求：使用《风控诉求提报模板》，附件包含逻辑流程图。（二）评审机制。1.初审：风控合规部对提报的完整性、合规性进行审核。2.复审：技术委员会组织业务、研发、测试人员开展技术可行性评估。3.终审：分管领导对高风险诉求进行决策确认。（三）版本控制。1.版本号规则：YYYYMMDD-序号。2.变更记录：每次修订需注明变更内容、原因、生效日期。3.作废处理：失效诉求需标注作废日期及替代方案。四、核心风控环节诉求定义（一）交易监测诉求。1.实时监测：定义交易速率异常、金额突变、设备指纹异常等监测指标阈值。2.跨境交易管控：明确境外IP、境外卡组织、高频跨境交易的控制策略。3.非法通道识别：建立支付渠道黑白名单及流量异常模型。（二）身份核验诉求。1.多维度验证：规定生物特征、证件信息、行为特征等验证组合规则。2.静态信息校验：明确身份证号、银行卡号、手机号等基础信息的校验逻辑。3.动态风险校验：定义人脸比对相似度、活体检测阈值等参数。（三）额度控制诉求。1.限额分级：区分单笔、日累计、周期累计等不同维度限额标准。2.动态调整：建立基于用户信用、交易场景的弹性限额模型。3.异常额度处置：明确超额交易的拦截、补录、人工审核流程。五、模型开发与维护规范（一）模型开发要求。1.数据治理：规定训练数据质量标准，要求标注准确率不低于95%。2.算法选型：优先采用机器学习算法，禁止使用未经验证的复杂模型。3.模型验证：要求A/B测试覆盖率达80%，误报率控制在3%以内。（二）模型监控。1.性能指标：实时监控模型召回率、精确率、响应耗时。2.稳定性要求：模型性能波动超过5%需立即复核。3.定期重训：高风险模型每季度至少重训一次。六、应急响应机制（一）事件分级。1.级别划分：重大事件（系统瘫痪）、紧急事件（单日损失超100万）、一般事件（规则误拦截）。2.报告时限：重大事件需30分钟内上报至监管机构。（二）处置流程。1.初步处置：风控团队2小时内完成规则临时调整。2.深入分析：技术、业务团队24小时内完成根因定位。3.恢复验证：需经模拟演练确认无风险后方可上线。七、合规与审计要求（一）隐私保护。1.数据脱敏：涉及个人信息的模型训练需采用脱敏技术。2.使用限制：禁止将风控数据用于商业用途。3.存储期限：交易日志保存期限不超过5年。（二）审计要求。1.操作日志：记录所有风控规则变更、参数调整。2.定期检查：合规部门每季度抽查风控模型执行情况。3.报告机制：每半年提交《风控合规报告》，附风险事件统计表。八、附则（一）术语解释。1.风控诉求：指为应对业务风险而提出的控制需求。2.异常交易：与用户历史行为显著偏离的交易。3.误拦截：正常交易被风控系统拦截。（二）责任主体。1.风控合规部：统筹全行风控诉求管理。2