За каждым заблокированным пополнением или приостановленным выводом стоит число — оценка риска KYT. Это единственное число определяет, пройдёт ли пополнение, будет ли задержан вывод и подадут ли сообщение о подозрительной транзакции. Покупатели и проверяющие задают один вопрос: насколько точна оценка и может ли команда объяснить, почему она именно такая. Руководство разбирает, что измеряют инструменты оценки риска криптотранзакций, компромисс точности и объяснимости, причины требования регуляторов к понятным оценкам и критерии выбора инструмента. Процесс проверки, стоящий за оценками, представлен в Phalcon Compliance. Эта страница — часть центра знаний о KYT.
Что измеряет оценка риска KYT
Оценка риска KYT обобщает связи адреса или транзакции с незаконной активностью. Она строится на двух входных данных: прямых связях с известными незаконными контрагентами и косвенных связях, передающихся по многошаговым маршрутам средств.
Прямые связи — более простой компонент. Когда адрес проводил операции с подсанкционным субъектом, рынком даркнета, миксером или адресом, отмеченным в связи с изъятием правоохранительными органами, такая связь даёт прямое совпадение с меткой. На косвенных связях механизмы оценки расходятся. Средства движутся переходами, а расслоение операций служит размыванию прослеживаемых связей. Механизм, игнорирующий многошаговые маршруты, недооценивает риск; считающий каждый переход одинаково рискованным — переоценивает.
Хорошо работающие механизмы количественно оценивают многошаговое загрязнение средств. Phalcon Compliance показывает Exposure Value — абсолютный объём незаконных средств, достигших адреса по прослеженным маршрутам, — и Exposure Percentage — его долю в общем притоке. Вместе они отвечают на два вопроса проверяющего: сколько грязных денег коснулось адреса и какая часть его активности незаконна. Первый определяет решение о заморозке. Второй — решение о снижении риска отношений.
Помимо рискованных связей, оценка объединяет индикаторы риска. Она раскрывает 17 категорий, охватывающих подсанкционных субъектов, рынки даркнета, миксеры, мошеннические схемы, кражи, финансирование терроризма, безопасность детей, мошенничество, азартные игры и другую незаконную и высокорисковую активность. Каждый индикатор — обозначенный сигнал с установленным источником, а оценка представляет собой взвешенную комбинацию этих индикаторов и показателей связей, а не непрозрачный вывод модели.
Компромисс между силой обнаружения и объяснением
Вопрос точности не сводится к одной оси. Есть два вида точности, тянущих в противоположные стороны.
Первый — точность обнаружения: насколько хорошо механизм выявляет новые, ранее не встречавшиеся схемы отмывания. Здесь непрозрачные модели машинного обучения имеют преимущество. Модель, обученная на паттернах графа, может отметить последовательность дробления или расслоения, которую никогда не видела размеченной, поскольку та статистически похожа на известное незаконное поведение. Для новых типологий поведенческая модель находит то, что пропускает механизм только на метках.
Второй — объяснимость: может ли команда письменно и при проверке объяснить, почему оценка именно такая. Здесь выигрывают прозрачные механизмы на метках. Оценка из именованных индикаторов риска и количественного Exposure Value объяснима по построению. Специалист по комплаенсу может указать индикатор, контрагента и сумму и внести их в сообщение о подозрительной транзакции. Оценку на внутренних весах модели нельзя разобрать таким же образом; разрыв между оценкой и объяснением становится источником замечаний проверки.
Покупка более дорогого инструмента не разрешает этот компромисс. Прозрачный механизм актуален лишь настолько, насколько актуальны его метки. Если новый миксер запущен в этом месяце, а метка ещё не распространилась, механизм недооценит риск адресов, уже взаимодействовавших с ним. Поведенческая модель раньше улавливает паттерн, но ей трудно объяснить находку приемлемым для регулятора образом. Реалистичный вывод: наиболее сильный слой оценки сочетает оба подхода — индикаторы на метках для объяснимости и поведенческое обнаружение для новых схем.
Почему регуляторы требуют объяснимых оценок
Риск-ориентированный подход FATF обязывает VASP понимать принимаемый риск, а правило FinCEN о программе AML (31 CFR 1022.210) требует документировать саму программу и предоставлять её для проверки. Поэтому рассуждение по каждому решению должно восстанавливаться. Регуляторы оценивают не число риска само по себе, а способность команды обосновать вызванное им решение. Высокую оценку, приведшую к заморозке, нужно обосновать. Низкую, разрешившую транзакцию, которая позже оказалась незаконной, — тоже. Необъяснимая для команды оценка воспринимается как пробел программы независимо от точности механизма.
Это видно в операционной практике. Специалисты по комплаенсу, работающие с криптопроверками, описывают требование объяснять оценки регуляторам как реальное рабочее давление, а не теоретическое предпочтение. Повторяющаяся тема циклов проверок — необходимость объяснять скоринговые решения проверяющим; замечания связывают с оценками, которые нельзя разложить на составляющие.
Регуляторная рамка это подтверждает. Риск-ориентированный подход FATF для VASP ожидает постоянного мониторинга и пригодной для аудита методологии, а не только результата. Проверяющие считают такую методологию доказательством работающей программы. Непрозрачную оценку, которую нельзя проверить, они считают контролем на бумаге, не поддающимся подтверждению, — хуже более простого, но проверяемого контроля. Точность без объяснимости не проходит регуляторную проверку. Объяснимость без точности не проходит проверку обнаружения.
Прозрачная оценка: 17 категорий индикаторов риска и количественная оценка связей
Прозрачный механизм раскрывает входные данные. Phalcon Compliance построен на этом принципе. Каждая возвращаемая оценка прослеживается до именованного набора из 17 категорий индикаторов риска и количественных Exposure Value и Exposure Percentage. Специалист видит, какие индикаторы сработали, какие контрагенты их вызвали и какой объём незаконной стоимости прошёл через адрес.
17 категорий охватывают ожидаемые проверяющими области: подсанкционных субъектов и адреса, рынки даркнета, сервисы смешивания, мошеннические схемы и проекты, похищенные средства, финансирование терроризма, материалы сексуальной эксплуатации детей, азартные игры и иное высокорисковое и незаконное поведение. У каждого индикатора есть метка и установленный источник. Оценка агрегирует именованные сигналы; каждый можно изучить, оспорить и включить в итоговое решение или регуляторное сообщение.
Exposure Value и Exposure Percentage дополняют индикаторы как количественный слой. Они отвечают на вопрос многошагового загрязнения, на который не отвечают бинарные флаги. Адрес с небольшой Exposure Percentage, но большой Exposure Value имеет большой объём и ограниченную долю незаконного загрязнения. Адрес с большой Exposure Percentage и небольшой Exposure Value — малый адрес с преобладанием незаконного притока. Прозрачная оценка с обоими показателями позволяет выбрать правильную реакцию и заморозить нужные средства.
Практический результат — пригодность оценки для аудита по построению. Команде не нужно восстанавливать рассуждение постфактум. Оно передаётся вместе с оценкой.
Поведенческое обнаружение и рискованные связи: выявление нового расслоения с сохранением объяснимости
Слабость прозрачного механизма только на метках — задержка меток. Новые типологии возникают быстрее их распространения, а сложное расслоение специально размывает прослеживаемые связи ниже порога срабатывания оценки на метках. Слой оценки только на исторических метках пропускает новые схемы, пока метки не догонят; к тому моменту средства часто уже переместились.
Ответ — Behavioral Risk Engine поверх оценки индикаторов и связей. Платформа включает поведенческий механизм, выявляющий паттерны расслоения, дробления и типологии движения средств, которые могут ещё не иметь меток. Он анализирует, как движутся средства, а не только откуда они пришли, и потому отмечает активность, похожую на отмывание, даже если ни один отдельный контрагент не находится в санкционном списке или списке субъектов, связанных с незаконной деятельностью.
Сочетание важно тем, что сохраняет объяснимость и расширяет охват обнаружения. Поведенческий сигнал не заменяет оценку индикаторов и связей, а добавляет слой. Когда поведенческий механизм отмечает адрес, этот флаг сам становится индикатором риска со своей меткой и журналом аудита. Специалист по-прежнему видит именованный сигнал с установленным источником, а не необработанный вывод модели.
Это реалистичное разрешение компромисса точности и объяснимости. Прозрачный механизм, сочетающий размеченные индикаторы и количественные связи с поведенческим обнаружением, может выявлять новые схемы расслоения, не отказываясь от требуемой проверкой объяснимости.
Оценка инструмента скоринга для вашей команды
При выборе инструмента оценки риска криптотранзакций вопрос точности нужно разделить на три вещи, действительно значимые при проверке. Инструмент, сильный в одной и слабый в двух других, подведёт в самый важный момент.
Первое: можно ли объяснить оценку. Инструмент должен возвращать вместе с ней именованные индикаторы риска с установленным источником и количественные показатели связей, которые команда может включить в решение или сообщение. Запросите у поставщика пример разбивки и проверьте видимость, обозначение и прослеживаемость индикаторов и чисел до контрагентов. Оценку без разбивки команде придётся защищать без доказательств.
Второе: можно ли провести аудит оценки. Инструмент должен сохранять историю проверки, оценку на её момент и определившие её индикаторы и показатели связей. Проверяющие спрашивают, какой оценка была в день разрешения транзакции, а не сегодня, когда метки адреса уже изменились. Инструмент, не фиксирующий историческую запись, не ответит на этот вопрос.
Третье: можно ли обосновать решение по оценке. Инструмент должен поддерживать пороговую логику команды, маршрутизацию уведомлений и процесс сообщений о подозрительных транзакциях. Оценка полезна лишь при включении в программу: диапазоны риска соответствуют разрешению, приостановке и блокировке, а журнал аудита связывает оценку с принятым действием. Высокоточная оценка без интеграции — число на панели, а не контроль.
Честно поставленный вопрос точности — даёт ли инструмент оценку, по которой команда может действовать, которую может объяснить и обосновать, именно в этом порядке. Здесь применяется принцип прозрачности: 17 категорий индикаторов риска, Exposure Value и Exposure Percentage и Behavioral Risk Engine, расширяющий обнаружение без потери объяснимости. Изучите Phalcon Compliance, чтобы увидеть, как слой оценки раскрывает индикаторы и показатели связей, от которых зависят записи для проверки.
