金融犯罪风险：内幕交易、市场操纵、腐败（识别信号、监控、调查）

金融犯罪风险：内幕交易、市场操纵、腐败（识别信号、监控、调查）本文档提供：三项风险分流判定表（表1）；内幕交易识别信号表（表2）及“联络接触＋异常交易”要素核验清单（表2-a）；内幕交易监控指标表（表3）；市场操纵类型识别表（表4）及幌骗/分层量化阈值表（表4-a）；腐败贿赂红旗信号表（表5）及费用穿透审查清单（表5-a）；三项联合监控记录表（表6）及自检清单（表6-a）；调查启动判定表（表7）；证据固定清单（表8）；调查阶段与产出表（表9）；完整示例“一位合规负责人从异常交易信号到三项分别处置的全程”；改进决策规则表（表10）；矛盾四段式；监控与调查权衡表（表11）；三套场景操作序列表（表12）；监控失效排查表（表13）。2026-11-04这一节的标题读完你能拿到什么这一节在全文中的功能一、先翻监控告警：这一条线索落在内幕交易、市场操纵还是腐败上三项风险分流判定表（表1）用可读取的信号把金融犯罪线索按三项切开二、内幕交易：联络接触有了，交易异常怎么核内幕交易识别信号表（表2）及要素核验清单（表2-a）用时间吻合和交易背离判断是否进入调查三、内幕交易监控：知情人台账和关系密切人员盯哪几列内幕交易监控指标表（表3）把监控落到知情人登记和账户关联上四、市场操纵：幌骗、分层、尾盘，报单和撤单的阈值在哪市场操纵类型识别表（表4）及量化阈值表（表4-a）按操纵类型匹配可执行的监控阈值五、腐败贿赂：费用穿透和第三方尽调先查哪几项腐败贿赂红旗信号表（表5）及费用穿透审查清单（表5-a）从付款和第三方异常中筛出贿赂线索六、三项联合监控：一张记录表盯住三条线三项联合监控记录表（表6）及自检清单（表6-a）把三项监控信号汇总到同一张季度记录七、调查启动：什么条件下从监控转入正式调查调查启动判定表（表7）设定监控转调查的门槛和审批路径八、证据固定：通讯、流水、决策链先保哪几样证据固定清单（表8）在调查启动时固定不可再生的关键证据九、调查阶段：从立案到处置分几步，每步产出什么调查阶段与产出表（表9）把调查拆成可交付的阶段十、完整示例：一位合规负责人从异常交易信号到三项分别处置的全程完整示例含四次试错与变量表展示分流、监控、调查的全流程十一、改进与矛盾：监控收紧误报多、调查拖长证据灭失怎么权衡改进决策规则表（表10）、矛盾四段式、权衡表（表11）校准阈值并处理监控与调查的两难十二、三套场景：全量排查、单线索深查、桌面推演各跑什么三套场景操作序列表（表12）按场景选择监控和调查深度十三、监控做了两个季度没移出线索，先查这六处监控失效排查表（表13）定位监控链路断点并修复按第一列在正文找对应那节，按第二列判断这节有没有要的东西，按第三列判断这节是否对应当前卡住的位置。一、先翻监控告警：这一条线索落在内幕交易、市场操纵还是腐败上监控系统推送了一条告警：某员工关联账户在重大合同公告前三个交易日集中买入，同时该员工近三个月审批了三笔向同一家咨询公司的付款，金额均在服务费阈值以下。告警描述里混着交易和付款两类信息，没有标明属于哪一类金融犯罪。先回答一个问题：这条线索应当进入内幕交易、市场操纵还是腐败的调查通道。三项风险的作用证据不同。内幕交易的核心证据是信息传递和交易时点的吻合——“谁在什么时间知道了什么，然后在什么时间交易”；市场操纵的核心证据是交易行为本身是否以制造虚假信号为目的——报单和撤单的模式是否偏离正常交易逻辑；腐败的核心证据是资金或利益是否流向了不该流向的人——付款是否有真实对价，第三方是否真实存在。三项可以在同一个人身上同时出现（例如知情人利用内幕信息交易，同时收受好处泄露信息），但调查的入口和证据链不同，不能混在一条通道里推进。表1的用途：用三个可当场读取的信号，判断一条监控线索应当优先进入哪条调查通道。表1三项风险分流判定表先看什么内幕交易信号市场操纵信号腐败信号示例行线索的核心事实指向“信息”还是“行为”还是“资金”存在知情人、联络接触、敏感期交易存在异常报撤单、对倒、尾盘集中交易存在异常付款、第三方无真实服务、回扣或礼品未申报某线索：敏感期交易＋付款异常，两项同时出现证据是否依赖时间比对交易时点与内幕信息演进时间高度吻合报单和撤单的时间模式呈现规律性付款时间与审批或合同节点异常接近某交易：公告前3日买入，敏感期内压力测试下哪一项最先构成可处罚事实联络接触加异常交易，无法提供合理说明报单不以成交为目的，反向交易获利账外暗中或流向第三方的款项无法说明真实对价某线索：两项均可能，先查内幕交易时间链两项信号同时指向不同通道的，按“证据最易灭失”的原则排优先级：通讯记录和交易流水需要尽早固定，付款记录相对可追溯。表1的“压力测试”行用于判断哪条通道最先具备可处罚的事实基础。这个概念在表7的调查启动判定中直接用到。第一轮分流后，如果某条通道的证据在两周内无法补强，降为观察，资源转向另一条通道。[经验建议，因人参考]二、内幕交易：联络接触有了，交易异常怎么核内幕交易调查的起点通常是“某人与知情人有过接触，且在敏感期内交易了相关证券”。但“有接触”和“利用了内幕信息”之间隔着证明责任。2026年7月27日起施行的新司法解释进一步明确了推定规则的适用方式：当证据证明行为人与内幕信息知情人在敏感期内存在联络或接触，且交易呈现异常特征，行为人不能提供合理说明或正当信息来源的，推定其知悉并利用内幕信息。这个推定的基础是两组事实：联络接触的存在，以及交易的异常性。两组事实都需要用可核查的记录来支撑，不能停在“看起来可疑”。交易异常性的认定综合时间吻合程度、交易背离程度和利益关联程度。具体拆开包括：账户关键操作与内幕信息演进时间的比对、资金变化与演进时间的比对、交易时点与获悉信息时间的比对、交易行为与日常交易习惯的比对、交易行为与证券基本面的比对，以及资金进出与知情人员的关联性。执法实践中被反复列举的异常要素包括：新开立账户、长期空置账户重新启用、交易金额突然放大、突击转入资金、卖出其他证券后集中买入、首次交易该股。表2的用途：把“联络接触”和“交易异常”拆成可逐项核验的信号，判断一条线索是否具备进入调查的事实基础。表2内幕交易识别信号表信号组核验项在哪看什么算信号成立示例行联络接触行为人与知情人是否在敏感期内有通话、见面或即时通讯记录通讯记录、差旅记录、会议纪要存在联络且时间落在敏感期内某员工：公告前5日与董秘通话2次，各3分钟交易异常：时间账户关键操作（开户、激活、转入资金）与信息演进时间是否吻合证券账户流水、资金流水操作发生在敏感期内且紧邻信息节点某账户：敏感期内新开立，转入资金×万元交易异常：背离交易行为是否偏离该账户或该人的日常交易习惯历史交易记录首次交易该股、交易金额远超历史均值、卖出其他证券集中买入某账户：历史无该股交易，单笔买入×万元，为历史最大单笔的×倍交易异常：基本面买入或卖出方向是否与当时公开信息指向的基本面相反公司公告、研究报告在无公开利好消息时大额买入，或在无公开利空时清仓某账户：公告前基本面平淡，大额买入利益关联交易资金是否来源于知情人或与其存在关联银行流水、关联关系图谱资金从知情人或其关系密切人员账户转入某账户：买入资金×万元来源于知情人配偶账户表2-a“联络接触＋异常交易”要素核验清单核验顺序打开什么核验什么什么算补强什么算断裂示例行1通讯记录敏感期内行为人与知情人的联络频次和时长联络时点紧邻交易时点敏感期内无任何联络记录某案：通话记录显示公告前3日联络2证券账户流水开户、激活、资金转入的时间操作集中在敏感期内账户开立和资金转入均在敏感期之前某案：敏感期内突击开户3历史交易记录本次交易与过往习惯的背离程度首次交易、金额突变、集中度突变该账户长期交易该股且金额稳定某案：首次交易，金额为历史均值×倍4资金流水交易资金的来源和路径资金与知情人存在直接或间接关联资金来源为工资、理财赎回等常规渠道某案：资金来自知情人关联账户5公司公告和文件信息演进时间与交易时间的间隔交易发生在信息公开前且紧邻信息形成交易发生在信息公开之后某案：公告前3日买入，公告后未卖出五项中前三项同时成立，且行为人无法提供合理说明的，进入表7的调查启动判定。后两项用于补强或断裂：资金关联断裂不必然排除推定，但会降低证据链的完整性；公告时间比对断裂（交易发生在信息公开后）直接排除内幕交易通道。三、内幕交易监控：知情人台账和关系密切人员盯哪几列内幕交易监控的难点不在交易端，在信息端。知情人登记如果只登记到本人，配偶、父母、成年子女和日常密切联系人不在台账内，监控就看不到信息从本人向关联账户传递的路径。新司法解释将敏感期起点前移至控股股东、实际控制人或决策人员向关系密切人员透露初步意向的时间，这意味着内幕信息管控需要从“书面文件形成”前移到“动议酝酿”阶段。知情人台账应当相应覆盖关系密切人员，并通过保密协议和专项告知将约束触达上述人员。表3的用途：把内幕交易监控落到知情人台账的字段和账户关联的维度上，每个字段有取数位置和触发标准。表3内幕交易监控指标表监控维度监控字段在哪取数什么算需要预警示例行知情人覆盖台账是否包含配偶、父母、成年子女及日常密切联系人知情人登记台账关系密切人员未登记某台账：登记本人×人，关系密切人员×人，缺×人敏感期起算敏感期起点是否按“初步意向”而非书面文件形成日起算内幕信息事项台账敏感期起点晚于实际动议时间某事项：动议×日，台账起算×日，晚×天账户关联知情人及其关系密切人员的证券账户是否全部登记并与交易监控关联账户登记表、监控系统存在未登记或未关联的账户某知情人：关联账户×个，已登记×个交易预警关联账户在敏感期内的交易是否触发异常信号交易监控系统新开户、突击转入、首次交易、金额突变某账户：敏感期内新开并买入×万元披露抗辩内部通报、传闻扩散是否被误当作“已公开披露”公告记录和内部通知记录以内部通知主张信息已公开某案：信息仅在内部会议通报，未公告第一行决定监控的覆盖面。关系密切人员台账缺失的，监控系统无法将关联账户与知情人匹配，后续的交易预警无从触发。这个概念在表13第1项排查中直接用到。每季度复核一次台账完整性，新增知情人及其关系密切人员在事项动议后5个工作日内完成登记。四、市场操纵：幌骗、分层、尾盘，报单和撤单的阈值在哪市场操纵的监控不能只看“撤单率高不高”，要看报单和撤单的模式是否指向“不以成交为目的的虚假信号”。量化交易场景下的典型模式包括：幌骗——在订单簿一侧反复大额报撤单，制造价格朝特定方向变动的假象，同时在另一侧实现真实成交；分层——在买一至买三等多个价位挂大单制造买盘厚的错觉，真实意图在卖侧出货；尾盘操纵——在收盘窗口期集中大额交易影响收盘价。程序化交易还延伸出技术抢跑、多账户对倒等变体。量化阈值的设定需要区分“高频认定的门槛”和“操纵行为的认定标准”。前者是监管分类，后者是违法认定，两者不能混用。2026年的程序化交易管理规则将高频交易的门槛收紧至单账户每秒申报撤单最高笔数15笔或单日最高2万笔，同时设置单日撤单率不超过15%、报单最低停留时间不少于50微秒等约束。这些阈值是监控的触发线，不是操纵的定性线。撤单率超过15%可能触发异常交易关注，但认定操纵还需要结合买卖方向、时间节点和成交可能性——反向交易是否发生在频繁报撤单之后，报单是否全程不以成交为目的。表4的用途：按操纵类型匹配识别信号和监控数据来源，把“看起来异常”转化为“指向特定操纵模式”的可核查信号。表4市场操纵类型识别表操纵类型核心行为特征在哪看什么算信号成立示例行幌骗一侧大额报撤单，另一侧反向成交订单簿逐笔报撤记录、成交记录报撤单后短时间内反向成交，报单存活时间极短某账户：买侧报单×笔，撤单×笔，卖侧成交×笔分层多价位同向挂大单制造深度假象订单簿分价位挂单量买一至买三挂单量显著高于历史水平，随后集中撤单并在反方向成交某账户：买一至买三合计挂单×手，为历史均值的×倍尾盘操纵收盘窗口集中交易影响收盘价收盘前×分钟成交记录收盘前成交量占全天比例异常高，价格偏离盘中均价某账户：收盘前5分钟成交占全天×%对倒控制多个账户，反向等量交易账户组交易记录账户间成交时间接近、方向相反、数量匹配某账户组：3个账户间对倒×笔技术抢跑利用低时延优势抢先交易订单到达时间和成交时间抢先于已知订单流的方向交易某策略：在可识别的大单到达前×毫秒下单表4-a幌骗/分层量化阈值表监控指标参考阈值数据来源阈值性质示例行单账户每秒申报撤单笔数15笔以上触发高频关注，300笔以上进入重点监控交易所逐笔数据监管分类线，非操纵定性线某账户：峰值×笔/秒单日撤单率超过15%进入异常交易关注账户当日报撤统计关注线，需结合买卖方向和成交可能性某账户：撤单率×%报单最低停留时间少于50微秒的报单视为瞬时报撤订单生命周期记录技术约束线某账户：×%报单停留少于50微秒单笔交易价格冲击单笔成交导致价格波动超过1%逐笔成交和行情快照冲击关注线某笔：冲击×%收盘前成交量占比收盘前5分钟成交占比显著高于该账户历史均值分时成交记录需结合价格偏离方向判断某账户：收盘前5分钟占×%表4-a的阈值是监控的触发线，不是调查的结论线。触发后进入表7的调查启动判定，由调查人员结合订单簿还原、账户关联和交易盈亏综合判断是否存在“不以成交为目的”的主观状态。未经调查直接以阈值越线认定操纵，会在后续程序中因证据不足被推翻。五、腐败贿赂：费用穿透和第三方尽调先查哪几项腐败贿赂的监控入口不在“有没有礼品”，在“付款是否有真实对价，第三方是否真实存在并提供了服务”。2026年5月1日起施行的新司法解释将民营企业非国家工作人员受贿、职务侵占等罪名的入罪门槛显著降低，3万元即达到刑事追诉标准，量刑档次和罚金标准与公职人员全面对标。这意味着内部合规处置的空间收窄，达到追诉标准的案件不能停留在纪律处分层面。“茶水费”“返佣”“回扣”未入账，采购人员或投资经理收受供应商现金、转账、购物卡、高档礼品未申报且无真实劳务对价的，累计价值3万元即涉嫌犯罪。费用穿透审查的抓手是第三方和付款的真实性。对CSO、经销商、咨询公司等第三方开展真实性尽调，核查其空壳状态、参保人数和服务痕迹；账外暗中或流向第三方的款项即使名义上不是“回扣”，也可能被识别为商业贿赂。第三方是腐败风险的主要来源，大多数不当付款的执法案件涉及第三方——代理商、分销商、中介机构的行为。表5的用途：把腐败贿赂的识别信号按“付款—第三方—人员行为”三层拆开，每一层给出可打开的文件和判定标准。表5腐败贿赂红旗信号表层级红旗信号在哪看什么算信号成立示例行付款向第三方支付的费用无真实服务对价付款台账、服务合同、服务成果记录合同约定了服务但无交付物、无服务痕迹某付款：咨询费×万元，无报告或会议记录付款付款金额紧贴审批阈值以下，或拆分支付付款审批记录多笔付款刻意低于某一审批线某供应商：连续×笔付款均在×万元以下第三方第三方为空壳或无实际经营能力工商信息、参保人数、经营场所无参保人员、无经营场所、注册地与业务地不符某咨询公司：参保×人，无办公地址第三方第三方与员工存在关联关系关联关系图谱、股权信息员工或其关系密切人员持有第三方权益或任职某供应商：股东为员工配偶人员行为关键岗位人员与供应商存在异常交往礼品申报记录、差旅记录、通讯记录未申报的礼品、宴请、旅游，或频繁私下会面某采购岗：未申报接受供应商宴请×次人员行为采购价格持续高于市场水平采购价格历史、市场比价同一产品价格显著高于历史或市场某采购：单价比市场均价高×%表5-a费用穿透审查清单审查顺序打开什么审查什么什么算通过什么算不通过示例行1服务合同服务范围、交付物、付款条件是否明确有具体交付物和验收标准合同仅有框架，无交付物某合同：约定“咨询服务”，无具体成果2服务成果记录是否有报告、会议纪要、交付确认有可核查的交付记录仅有付款发票，无成果文件某付款：无任何成果文件3第三方工商和参保信息是否真实经营、有无参保人员有经营场所和参保人员空壳或无参保某第三方：参保0人4付款流水资金是否流向员工关联方或异常路径收款方与合同方一致，路径常规资金转入个人账户或关联方某笔：收款方为个人账户5审批记录是否按权限审批，是否存在拆分审批完整，金额与合同一致拆分规避审批某供应商：×笔付款均在阈值以下五项中第3项不通过（第三方空壳）或第4项不通过（资金流向异常），直接进入表7的调查启动判定，不再等待其他项。第1、2、5项不通过但第3、4项通过的，按合规瑕疵处理，补正合同和成果记录，不进入调查。六、三项联合监控：一张记录表盯住三条线三项风险的监控如果分散在交易监控、合规举报和财务审计三个系统里，线索之间的交叉关系会被漏掉。某员工关联账户在敏感期交易，同时其审批的付款流向一家空壳第三方，两条线索单独看都不足以立案，合在一起才构成“利用内幕信息获利并通过第三方输送利益”的完整图景。表6的用途：把三项监控的关键信号汇总到一张季度记录表，每个字段有取数位置和触发标准，交叉信号单独标记。表6三项联合监控记录表监控字段填什么从哪取触发标准示例行内幕交易预警数敏感期内关联账户交易触发次数交易监控系统任一预警进入表2-a核验某季：预警×次，进入核验×次知情人台账完整性关系密切人员登记覆盖率知情人台账覆盖率低于90%某季：覆盖率×%市场操纵预警数撤单率、报单速度、收盘前交易触发次数交易监控系统任一预警进入表4-a阈值核对某季：预警×次，幌骗信号×次操纵信号补强率触发后经人工核查确认异常的比例监控复核记录补强率低于20%某季：补强×/×，比率×%腐败红旗数费用穿透或第三方尽调发现的红旗数付款审查、第三方尽调记录任一红旗进入表5-a审查某季：红旗×项第三方尽调覆盖率高风险第三方完成尽调的比例第三方管理台账低于100%某季：高风险×家，完成×家交叉信号同一人员或关联方同时触发两项以上预警三项记录的关联匹配出现即标记并优先核验某季：交叉×条调查转化数进入表7调查启动的线索数调查台账与预警数对照，转化率过低需查监控质量某季：转化×条表6-a联合监控自检清单检查项怎么查什么算通过示例行知情人关系密切人员是否登记看台账覆盖率和关系列覆盖率90%以上某季：×%，通过操纵预警是否有补强记录看补强率行和复核底稿每条预警有核验结论某季：×条有结论，通过第三方尽调是否覆盖高风险看高风险名单和尽调记录高风险100%完成某季：×家完成，通过交叉信号是否优先处理看交叉信号行的处置记录交叉信号在5个工作日内核验某季：×条均核验，通过调查转化率是否合理转化数与预警数对照转化率低于5%时检查监控阈值某季：×%，检查阈值五项中任一项不通过，该季度联合监控记录退回补正。五项全通过，记录进入季度风险汇总，交叉信号单独列示。七、调查启动：什么条件下从监控转入正式调查监控预警和正式调查之间需要一道门槛。门槛过低，大量正常交易和合规瑕疵被当作犯罪线索，浪费调查资源并损害员工信任；门槛过高，真正需要固定证据的线索在监控阶段停留过久，通讯记录和交易数据可能被覆盖或删除。表7的用途：为三项风险各设定调查启动的触发条件，并写明审批路径和启动后的第一动作。表7调查启动判定表风险类别启动条件（需同时满足）审批路径启动后第一动作示例行内幕交易表2-a前五项中至少三项成立，且行为人无法提供合理说明合规负责人＋法务负责人封存相关通讯记录和证券账户流水某线索：联络接触＋突击开户＋资金关联，启动调查市场操纵表4-a任一阈值越线，且表4的操纵类型信号经人工复核成立合规负责人＋交易业务负责人调取订单簿逐笔数据和账户组关联关系某账户：撤单率×%且反向成交，启动调查腐败贿赂表5-a第3项或第4项不通过，或表5中付款和第三方两层同时有红旗合规负责人＋审计负责人封存付款审批记录和第三方合同某付款：空壳第三方＋资金流向个人，启动调查交叉信号同一人员或关联方同时触发两项以上预警合规负责人报高级管理层按证据最易灭失的通道先行固定某员工：敏感期交易＋第三方付款，内幕交易通道先行启动条件中的“无法提供合理说明”由行为人在收到询问通知后5个工作日内以书面形式提出，附证据。逾期未提供或提供的说明无法解释交易与信息的吻合性的，推定成立，进入调查。交叉信号不等待单条通道的条件全部满足，优先启动证据固定。八、证据固定：通讯、流水、决策链先保哪几样金融犯罪案件的证据体系以客观书证为核心：证券交易流水、银行资金明细、通讯通话记录、公司内部会议纪要、任职文件等占据核心地位，言词证据更多起辅助印证作用。证据固定的窗口很窄——通讯记录的保存期限、交易数据的覆盖周期、员工离职后设备回收的时间，任何一项延迟都可能导致关键证据不可恢复。表8的用途：在调查启动后按证据易灭失程度排序，明确每类证据的固定方式和责任人。表8证据固定清单固定顺序证据类别固定什么怎么固定易灭失原因示例行1通讯记录敏感期内行为人与知情人的通话、短信、即时通讯记录向运营商或系统管理员调取，制作镜像或导出文件并计算哈希系统定期覆盖、员工删除某案：调取公告前30天通话记录，×条2证券账户和资金流水关联账户的开户、交易、资金进出记录从券商和银行调取对账单，加盖业务章数据保存期限、账户销户某案：调取×个账户×个月流水3订单簿和交易日志逐笔报撤单、成交、订单生命周期数据从交易系统导出原始日志，保留时间戳精度系统滚动清理某案：导出×日逐笔数据4内部文件和决策链会议纪要、审批记录、邮件、动议时间记录从文档系统、邮件系统导出，封存原始载体文件被修改或删除某案：封存×份会议纪要和×封邮件5付款和合同文件服务合同、发票、付款审批、成果记录从财务系统导出，核对原件合同到期销毁、系统迁移某案：封存×份合同和×笔付款记录6第三方工商和关联信息股权结构、参保人数、经营场所、关联关系从公开信息和企业登记系统调取，制作时间戳快照信息变更某案：调取×家第三方登记信息第1、2项在调查启动后24小时内完成调取申请，第3、4项在48小时内完成，第5、6项在5个工作日内完成。通讯记录和交易流水的时间范围覆盖敏感期起点前30天至调查启动日，订单簿数据覆盖全部涉案交易日。九、调查阶段：从立案到处置分几步，每步产出什么调查不是一条无限延伸的线。每个阶段有明确的产出和退出条件，阶段之间不交叉、不回退。表9的用途：把调查拆成五个可交付的阶段，每个阶段写明做什么、产出什么、什么条件下进入下一阶段。表9调查阶段与产出表阶段做什么产出进入下一阶段的条件示例行立案确认启动条件、审批、固定首批证据立案审批表、证据固定清单第1至3项首批证据到位，线索指向明确某案：立案×日，通讯和流水到位事实调查还原信息传递链或交易模式或资金路径事实调查报告（时间线、关系图、交易模式图）关键事实有至少两类客观证据支撑某案：时间线覆盖联络、交易、资金性质认定对照法律构成要件，判断是否达到移送或内部处置标准认定意见书（构成要件逐项对照）认定意见经法务和合规复核某案：认定构成内幕交易，建议移送处置移送监管或司法机关，或内部纪律处分和整改移送函或处分决定、整改通知处置决定经审批并送达某案：移送监管，同步启动内部整改整改修补监控和制度漏洞整改清单和完成记录整改项关闭并经复核某案：知情人台账扩展至关系密切人员性质认定阶段对照的构成要件因风险类型而异。内幕交易看：内幕信息的存在和敏感期、行为人知悉或应当知悉、交易与信息的吻合、无合理说明。市场操纵看：主观上是否有干预价格的故意、客观上是否实施了操纵行为、行为与价量异常之间是否有因果关系。腐败看：利益输送的存在、对价的不真实性、金额是否达到追诉标准。任何一个要件的证据链不完整，退回事实调查阶段补强，不强行认定。十、完整示例：一位合规负责人从异常交易信号到三项分别处置的全程示例案例，细节为合理设定。某合规负责人收到监控系统推送：员工A的配偶账户在重大合同公告前3个交易日买入公司股票×万元，该账户此前两年无交易记录。同一周，内部审计在付款抽查中发现，A审批的三笔咨询费均支付给同一家咨询公司，每笔×万元，略低于审批阈值，该公司参保人数为零。手头有知情人台账、交易流水、付款记录和第三方工商信息。第一步：按表1分流。两条线索同时出现，内幕交易通道的证据更容易灭失，优先启动，腐败通道并行核验但不先行调查。第二步：按表2-a核验内幕交易信号。通讯记录显示A在公告前5日与董秘通话2次；配偶账户在敏感期内新开立并转入资金；历史交易记录显示该账户此前两年无该股交易。前三项成立。A在询问通知后提交说明称“配偶独立决策，不知悉信息”，但无法解释新开户和资金转入与敏感期的时间吻合。按表7进入调查启动。第三步：按表5-a审查腐败信号。咨询合同仅有框架，无交付物；第三方参保人数为零；付款拆分在阈值以下。第3项和第4项（资金流向）待查。付款流水调取后发现，咨询公司收款后一周内将等额资金转入A配偶账户。腐败通道的启动条件同时满足。第四步：两条通道分别按表8固定证据。内幕交易通道固定通讯记录、证券账户流水和订单数据；腐败通道固定合同、付款审批和银行流水。不顺利环节一：第一反应是合并调查，认为两条线索指向同一人，应当由同一个调查组一并处理。执行后发现，内幕交易的证据核心是时间吻合，腐败的证据核心是资金对价，两组证据的调取对象和证明逻辑不同，合并后调查方向互相干扰。新信息：表1的分流逻辑需要贯穿到调查组织，不仅是线索分类。推翻“同一人就合并调查”的假设。换路：分两个调查组并行，由合规负责人统一协调，交叉信号单独标记但不合并证据链。不顺利环节二：内幕交易调查组在调取通讯记录时发现，A与董秘的通话记录中，公告前5日的两次通话时长分别为3分钟和1分钟，A的解释是“工作汇报”。当时以为通话时长过短，不构成实质联络。查公司会议纪要发现，董秘在通话次日向管理层通报了合同签署的初步意向，A作为列席人员参会。新信息：联络接触不仅包括通话，还包括会议中的信息传递。推翻“只有通话才算联络”的假设。换路：将会议纪要纳入联络接触证据，表2-a的核验范围从通讯记录扩展到会议参与记录。不顺利环节三：腐败调查组在第三方尽调中发现，咨询公司注册地址与A配偶名下另一家公司的地址相同。当时以为这足以证明关联关系，查工商登记的时间线发现，地址重合发生在付款之后，付款时咨询公司的注册地址是另一处。新信息：地址重合的时间点晚于交易，不能直接证明付款时的关联。推翻“地址相同即关联”的假设。换路：追溯付款时的实际控制人和资金流向，用银行流水而不是地址重合来建立关联。不顺利环节四：两条通道的事实调查基本完成后，性质认定阶段发现内幕交易的“合理说明”抗辩中，A提交了一份配偶的“独立投资计划”，但该计划的落款日期在公告之后。当时以为落款日期不影响计划本身的真实性，法务复核指出倒签的计划不能作为预定交易的抗辩依据。新信息：抗辩证据的形成时间本身是审查对象。推翻“有书面计划就构成合理说明”的假设。换路：将抗辩证据的形成时间纳入表2-a的核验，倒签或事后补做的计划不产生阻却效力。终点：产出五份文本——两份调查事实报告（内幕交易时间线、腐败资金路径）；性质认定意见书（内幕交易推定成立，腐败达到追诉标准）；移送函（分别移送监管和司法机关）；整改清单（知情人台账扩展至关系密切人员、第三方尽调增加资金流向穿透、付款审批阈值以下交易纳入抽样）；表10新增“抗辩证据形成时间”核验规则。变量表变量案例中情形如果变量不同处置变化联络方式通话＋会议仅有会议无通话联络接触仍成立，但证据强度下降，需更多交易异常补强抗辩证据形成时间计划落款在公告后计划落款在公告前且有第三方见证合理说明可能成立，内幕交易推定被阻却第三方关联证据付款后地址重合付款前即存在股权关联腐败关联更直接，调查周期缩短付款拆分三笔均略低于阈值单笔超过阈值且正常审批腐败红旗减弱，但仍需审查真实服务对价交叉信号处置顺序内幕交易先行腐败通道证据更易灭失调整为先固定付款和资金流水权重较高的变量是抗辩证据形成时间和第三方关联证据的时间点。前者决定内幕交易推定是否成立，后者决定腐败关联是否在付款时已经存在。[示例案例，细节为合理设定]十一、改进与矛盾：监控收紧误报多、调查拖长证据灭失怎么权衡表10的用途：回答监控和调查中的两个方向——监控阈值收紧会推高误报率并消耗调查资源，阈值放宽会漏掉早期信号；调查启动过早可能证据不足，启动过晚可能证据灭失。表10改进决策规则表规则如果（可观察条件）则（执行动作）如果（判定失效条件）退路规则1某类监控预警的补强率低于20%上调该类阈值10%至20%，或增加第二信号作为与条件上调后漏报一次实质线索恢复原阈值并改为复合条件规则2内幕交易线索中“联络接触”成立但交易异常不足不启动正式调查，纳入观察名单，监测后续交易观察期内出现新的异常交易按表2-a重新核验，补强后启动规则3腐败线索中第三方空壳成立但资金关联未建立启动初步核查（非正式调查），调取流水初步核查发现资金流向异常转入正式调查规则4调查启动后20个工作日内关键事实仍无两类客观证据支撑降为观察或结案，书面记录证据缺口证据缺口因客观障碍而非事实不足延长调查期限并记录障碍矛盾四段式：矛盾陈述：监控阈值收紧，异常交易和异常付款的预警数量上升，调查资源被大量低价值线索占用，真正需要固定证据的线索反而被延迟；调查启动过早，证据链不完整，可能在后续程序中因证明不足被推翻，启动过晚，通讯记录和交易数据可能已经灭失。实质分析：监控和调查不是同一条流水线上的上下游。监控的目标是“不漏”，调查的目标是“能证”。两者的评价标准不同：监控的误报有成本但可承受，调查的误启动有程序后果和声誉影响。三项风险中，内幕交易的证据最依赖时间——通讯记录和交易流水的保存窗口有限，调查启动的延迟直接导致证据灭失；市场操纵的证据在交易系统日志中相对可追溯，但对订单簿还原的技术要求高；腐败的证据在财务系统中保存较久，但第三方和个人的关联关系需要外部调取，时间窗口取决于工商和银行信息的更新周期。调查启动的门槛应当按证据灭失的速度分层，而不是按线索的“看起来严重程度”一刀切。权衡规则：内幕交易通道的启动门槛最低——表2-a前三项成立即可启动，先固定证据，再在调查中补强。市场操纵通道的启动需要阈值越线加人工复核，因为订单簿数据的保存周期较长，不需要在复核完成前抢跑。腐败通道的启动以第三方空壳或资金流向异常为触发，付款和合同记录可追溯，但银行流水需要尽早调取。交叉信号按“证据最易灭失”的通道先行，不等待所有通道的条件满足。退路：如果三项同时出现且调查资源不足以并行，按内幕交易、腐败、市场操纵的顺序串行，内幕交易通道的初步证据固定（通讯和流水调取）在24小时内完成后再转其他通道，已固定的证据不因串行而灭失。表11监控与调查权衡表策略对漏报的影响对误报/误启动的影响证据固定时效适用条件不适用条件阈值收紧加调查门槛降低漏报减少误报和误启动增加快线索集中爆发期或监管检查前调查资源有限阈值放宽加观察名单漏报风险上升误报减少依赖观察期内的持续监测日常监控证据保存窗口短的线索交叉信号优先启动漏报减少误启动集中在交叉线索，单条线索不启动最快同一人员或关联方多项异常交叉信号无法可靠匹配按证据灭失速度分层启动漏报在慢灭失通道略高快灭失通道误启动略多与证据类型匹配三项同时存在且资源受限证据类型单一十二、三套场景：全量排查、单线索深查、桌面推演各跑什么表12三套场景操作序列表版本适用条件检查项增减公式/阈值使用不可让步的底线操作序列全量排查季度常规或监管检查前表2、表3、表4、表5全量跑，表6汇总表4-a全部阈值加表2-a五项核验交叉信号必须匹配并核验跑三项监控→表6汇总→交叉信号核验→按表7分流单线索深查单条预警触发但未达到全量排查条件只跑触发项对应识别表，另两项用简表筛查只用触发项阈值和核验项触发项必须有核验结论表1分流→选一项识别表→核验→按表7判断是否启动桌面推演非检查期或培训只查表6记录完整性和表7启动记录人工核对阈值方向和量级表7启动条件逐条对照查表6-a五项→对表7启动记录→通过或退回全量排查在季度末或监管检查前一个月启动，产出三项监控汇总和交叉信号清单。单线