一條 KYT 告警從「被標記的交易」升級為「真實的敞口」的那一刻，隨後要提交的那份申報就開始計時了。可疑活動報告，是一家 VASP 把這次升級呈現給金融情報單位的方式。無論是以 SAR 還是 STR 的形式提交，它覆蓋的都是那些越過某個門檻、看起來已經不像普通客戶活動的鏈上行為。它也是監管檢查一個反洗錢體系時最先索取的文件——因為正是在這裡，監控、調查，以及分析師所做的那些決定，第一次落到紙面上變得可見。本文講一份SAR 或 STR 包含什麼、這類申報在數字貨幣領域為什麼更費時，也講一份站得住的敘述長什麼樣，以及怎樣在不削減證據的前提下更快地把它組織出來。產出這些告警的整套交易監控工作流見 Phalcon Compliance。本頁屬於 KYT 資源中心。
SAR 是什麼，以及 VASP 何時必須提交
可疑活動報告是一份向金融情報單位提交的結構化披露。在美國，這份文件是 FinCEN SAR。按《銀行保密法》，FinCEN 要求金融機構（含數字貨幣交易所）就達到其報送門檻的交易提交 SAR。在國際層面，FATF 第 20 項建議為虛擬資產服務提供商設定了可疑交易報送義務，要求每一家 VASP 向其本國金融情報單位報送可疑交易。許多轄區把它稱為 STR 而不是 SAR。功能是一樣的：把一條內部告警轉成一份執法機關可以據以行動的披露。
觸發條件是基於風險的，不是純數字的。FinCEN 的 SAR 報送義務，附著於機構知道、懷疑、或有理由懷疑涉及非法活動資金的那些交易。同一標準也覆蓋那些為規避報送而設計的、沒有明顯商業目的的、或者利用該機構協助實施犯罪活動的交易。對貨幣服務企業（含數字貨幣交易所）而言，2000 美元的合計門檻是美國 SAR 提交的下限，但義務的依據是那份懷疑，不是那個金額。一批為規避檢測而結構化的、單筆低於門檻的轉帳，本身就是一個危險訊號。FATF 第 20 項建議在國際層面為 VASP 映象了這一點，並把它接回 FATF 第 1 項建議裡的風險為本方法——那項建議要求 VASP 識別、評估並理解自身的洗錢與恐怖融資風險，並採取與這些風險相稱的控制措施。
提交還有時限。FinCEN 期望在初次發現可能構成提交依據的事實後 30 個日曆日內提交 SAR；在未識別出嫌疑人時可能延長至 60 天。STR 的時限因轄區而異，但都在同一區間。正是這個時鐘，讓數字貨幣領域的起草負擔變得尖銳——支撐一份站得住的申報所需的證據在鏈上，而它必須在同樣的截止壓力下被組織起來。
SAR 為什麼比傳統 SAR 更費時
數字貨幣領域的起草負擔在結構上比傳統金融重，而這個差距不是工具偏好，它是資金在一個公開帳本上如何流動這件事的性質。一份傳統 SAR 描述的是機構內部的一組交易：帳號、日期、金額，以及把它們串起來的一段敘述。一份SAR 要描述的是一張圖。資金在沒有已知所有者的地址之間流動，在鏈之間跳轉，穿過混幣器或跨鏈橋；在抵達提現出口之前，它們會拆分或重新匯合。敘述必須把這條路徑追出來，並解釋每一跳為什麼要緊——而且要在一份非區塊鏈分析師的讀者也跟得上的文件裡做到這一點。
從業者的體驗反映了這個差距。SAR 起草被普遍體驗為一項沉重的手工任務，一份申報常規地要吃掉分析師好幾個小時。其底層機制與上面那個結構性差距是一致的：瓶頸在鏈上敘述，而一份通用的 SAR 模板對此幫不上忙。
做錯的代價是雙向的。一份對懷疑支撐不足的申報，會引來監管問「這家機構究竟為什麼要提交」。一份誇大了證據的申報，會引來相反的問題。一份站得住的SAR 必須落在兩者之間。這意味著起草者需要一個連貫的鏈上故事、量化它的那些敞口數字，以及觸發這條告警的那些風險指標。
一份站得住的 SAR 裡有什麼
一份站得住的SAR 靠四塊證據支撐。每一塊回答一個複核者一定會問的問題，而每一塊都必須來自鏈上調查，而不是來自模板。
第一塊是多跳資金流向。這是從客戶地址出發，穿過它交易過的那些地址，跟到分析師能跟到的最多跳數的那條追蹤。它在資金抵達一個已知出口、或一個已被標記為高風險的交易對手時結束。這條追蹤必須給出地址、交易雜湊與順序。一個跟不上這條路徑的複核者，無法評估這份懷疑。
第二塊是敞口金額與敞口占比。敞口金額是那些碰過平臺已歸類為高風險的地址（例如與已知非法活動關聯的地址）的資金的美元數字。敞口占比把這個數字表達為它相對於流經該客戶地址的總流量的比例。它讓複核者看出這份風險是邊緣性的汙染，還是資金的主要來源。這兩個數字，把原本只是一句「這個地址有風險」的含糊斷言給量化了。
第三塊是觸發這條告警的那組風險指標。風險指標是平臺風險引擎裡附著在一個地址或一筆交易上的、帶標籤的屬性，取自一套 17 個風險指標類別。這些類別覆蓋的來源包括暗網市場、詐騙、被盜資金、勒索軟體、混幣器、制裁，以及兒童性虐待材料。SAR 的敘述必須點明是哪些指標觸發的、在哪些地址上、在第幾跳。這些指標把鏈上證據與「懷疑」這條標準連了起來。一份只說「這個地址看起來有風險」而不點明指標的 SAR，是在要求複核者憑信任接受結論。
第四塊是處置決定及其理由。SAR 記錄機構做了什麼——凍結資金、限制帳戶、終止關係，還是把案件移交執法——同時也記錄為什麼這個處置與該風險相稱。處置是監控、調查與政策交匯的地方，而 SAR 就是這次交匯的記錄。
怎樣更快地組織出鏈上敘述
SAR 起草的瓶頸不在寫字，而在於：在提交截止期限之內，把那四塊證據組織成一段連貫的敘述。手工做這件事意味著重跑追蹤、複製地址與交易標識、重新計算敞口、把風險指標重新列進另一份文件。這正是把一份申報的耗時拖過兩小時的那份手工搬運。
Phalcon Compliance 把這份組裝收斂成一次匯出。平臺對它跟蹤的每一個案件，本來就已經持有多跳資金流向、敞口金額與佔比，以及那套 17 類風險指標。案件匯出（Essential 及以上檔位可用）把這些塊組裝成一份結構化的可疑交易報告，把追蹤路徑、敞口數字與風險指標一起帶上，並附上審計軌跡。這份匯出就是合規官原本要手工搭出來的那份文件——只不過它是從調查員已經工作過的同一個案件檔案裡生成的。
匯出的意義不在於跳過人的判斷。合規官仍然要決定這個案件是否達到懷疑門檻、仍然要寫那段把證據與結論連起來的敘述、仍然要為處置簽字。匯出移除的是調查與申報之間的那份轉錄工作——而時間成本與出錯風險，正集中在那份轉錄裡。一個手工起草要兩小時的案件，可以轉到一條更快的工作流上：調查員複核已經組裝好的證據、確認敘述、匯出，審計軌跡一併留存。
保留監管期望的那條審計軌跡
SAR 不是監管在檢查期間索取的唯一材料。它背後的審計軌跡分量相當，因為它顯示這份申報是一次真實調查的產物，而不是填了一份模板。FATF 第 11 項建議要求 VASP 儲存記錄，以證明那些風險為本的控制措施確實被施加過；第 20 項建議把記錄儲存延伸到可疑交易報送流程本身。檢查官會把「沒有審計軌跡」讀作「沒有這道控制措施」。
一條站得住的審計軌跡有三層。第一層是告警軌跡：是哪次篩查觸發了這條告警、什麼時候、在哪個地址或交易上、觸發了哪些風險指標。第二層是調查軌跡：誰接了這個案子、跑了哪些追蹤、觀察到哪些敞口數字、得出了什麼結論。第三層是處置軌跡：誰複核了這個結論、誰批准了提交、提交了什麼、什麼時候提交的、之後採取了什麼行動。
Phalcon Compliance 通過 Audit Trails、Audit Logs 與 Risk Engine Details 記錄全部三層，每一項都可匯出為 PDF 或 CSV。Audit Trail 記錄案件上調查動作的順序；Audit Logs 記錄每個動作由誰在何時做出；Risk Engine Details 記錄觸發了哪些風險指標、風險評分是如何計算的。三者一起匯出，就構成一份監管可以從告警一路跟到提交、中間不斷線的記錄。它們還與 SAR 匯出一同流轉，於是證據包與審計包不會各自漂開。
審計軌跡的實用檢驗標準是：第二個分析師、或者一位檢查官，能不能僅憑這些記錄就重建出那個決策。如果這條軌跡逼他們去問原來那個分析師「當時發生了什麼」，那這條軌跡就是不完整的。匯出模型的設計目標，正是讓這次重建可以僅憑這些材料完成——而這同樣也是原來那位分析師離職之後，保護這家機構的東西。
提交工作流與多轄區要點
那種經得起檢查的提交工作流是一個序列，不是一次衝刺。檢出抬起告警。分流確認它不是誤報。調查搭出鏈上敘述、量化敞口、識別風險指標。複核確認這個案件達到懷疑門檻。審批為處置簽字。提交在轄區規定的時限內把 SAR 或 STR 遞交給金融情報單位。記錄儲存把案件檔案、敘述與審計軌跡留存到儲存期滿——FinCEN 下是五年，其他地方大體相當。
跨轄區經營的 VASP 還多一層。在美國持牌的 VASP 向 FinCEN 提交。在歐洲經濟區經營的 VASP 向其本國金融情報單位提交，依據是歐洲銀行管理局所設的框架與各國對反洗錢指令的相應轉化。其他轄區各有自己的金融情報單位、門檻與表格，不過 FATF 第 20 項建議是共同的骨幹。實操上的做法是：讓調查與證據包保持與轄區無關——因為鏈上敘述不會因為跨了國境而改變；轄區特定的提交格式，可以在最後一步再做對映。一份由單次匯出組裝、並附有審計軌跡的案件檔案，可以在不重做調查的前提下被重新對映到另一個轄區的表格上。這正是匯出模型在多轄區佈局下耐用的原因。
站得住的標準在每個轄區都是同一套：把多跳資金流向攤出來、把敞口量化、點明風險指標、記錄處置、留存審計軌跡。這五件事做對了，這份申報讀起來就是一個正在運轉的體系的產物；其中任何一件做錯了，它讀起來就是這個體系需要解釋的一個缺口。瞭解 Phalcon Compliance 如何組裝 SAR 證據包與審計軌跡，STR 與 SAR 匯出在 Essential 及以上檔位可用。