Поймать подозрительное -
не утопив команду

Behavioral Analytics

Модель поведения на клиента - не только фиксированные пороги.

• Peer-group baselining
• Обнаружение отклонения от профиля
• Structuring / smurfing detection
• Динамический risk scoring

Graph и анализ сетей

Деньги движутся по сетям - не в отдельных транзакциях.

• Выявление сообществ и посредников
• Money-mule detection
• Обход бенефициарного владения
• Визуализация для аналитика

Санкции и watchlist

Скрининг в реальном времени по санкционным спискам.

• OFAC, ЕС, ООН, Росфинмониторинг, локальные
• Fuzzy matching для транслитерации
• Снижение false-positive
• Rescreening при обновлении списка

Формирование СПО / SAR

Черновик готов - человек проверяет и подаёт.

• Генерация narrative из данных кейса
• Структура под формат регулятора
• Хранение доказательств и timeline
• Обязательный human-in-the-loop

Триаж и скоринг алертов

Важные алерты наверху, с обоснованием.

• Очередь, ранжированная по риску
• SHAP-объяснение по каждому алерту
• Документированный auto-close для незначимых
• Метрики производительности команды

Интеграция и контроль модели

Подключено к ядру, с мониторингом самой модели.

• Ingestion из core / payments
• Model registry + drift
• Контролируемый tuning порогов
• Отчётность регулятору

РФ: 115-ФЗ, ЦБ РФ, ФинЦЕРТ

Мониторинг операций по 115-ФЗ (ПОД/ФТ), формирование ОЭС/СПО в Росфинмониторинг, обмен инцидентами с ФинЦЕРТ, требования ЦБ РФ к внутреннему контролю.

Израиль: закон о ПОД, IMPA

Закон о запрете отмывания денег, указания IMPA по отчётности о необычных операциях и директивы Банка Израиля по мониторингу и внутреннему контролю.

ЕС: AMLD + AMLA

AML-директивы ЕС и новая рамка AMLA, включая обязательства по отчётности и record-keeping.

США: BSA, FinCEN, OFAC, FATF

Bank Secrecy Act, подача SAR в FinCEN, санкционный скрининг OFAC, обмен по 314(a)/(b) и принципы FATF - для организаций с экспозицией за рубежом.

Меньше false-positive

Что показывает индустрия: Переход с rule-based на гибрид (behavioral + ML) снижает false-positive на 30-50% при сохранении recall (Bain payments tech 2024).

Где входим мы: ML-слой поверх существующего движка правил - без его замены, с контролируемым tuning.

Graph раскрывает сети

Что показывает индустрия: Анализ сетей выявляет money-mule и structuring, которые не видит взгляд на отдельную транзакцию.

Где входим мы: Построение graph-модели на данных транзакций, с представлением, которое аналитик реально может исследовать.

Автоматизация СПО экономит время

Что показывает индустрия: Значительная доля времени аналитика уходит на повторное ручное написание narrative.

Где входим мы: Черновик narrative из данных кейса - с human-in-the-loop до подачи.

Придётся ли выбрасывать существующий движок правил?

Нет. Правила остаются на месте: они понятны регулятору и уже описаны во внутренних документах. ML-слой ставится поверх и занимается приоритизацией того, что правила уже подняли. Замена движка - это отдельный регуляторный проект, и начинать с него неразумно.

Можно ли обосновать перед проверяющим, почему алерт закрыт автоматически?

Только если обоснование сохранено вместе с решением. По каждому алерту считается SHAP-объяснение и пишется в audit trail вместе со скором, версией модели и датой. Авто-закрытие применяется лишь к тем категориям, которые политика явно разрешила, и каждое такое закрытие остаётся в журнале.

Может ли система сама подавать сообщение о подозрительной операции?

Нет, и мы сознательно так не делаем. Система собирает narrative из данных кейса и готовит черновик в формате регулятора, но подаёт его человек. Ответственность за сообщение лежит на сотруднике, поэтому human-in-the-loop здесь не опция, а обязательный шаг.

Что graph-анализ находит такого, чего не видит правило?

Правило смотрит на одну транзакцию или один счёт. Graph смотрит на связи: цепочки дробления, кольца money-mule, общих посредников и попытки обойти раскрытие бенефициарного владения. Такие схемы по отдельным операциям выглядят безобидно и проходят пороги.

Почему санкционный скрининг даёт столько ложных совпадений?

Потому что имена транслитерируются по-разному, а наивное сравнение строк этого не учитывает. Fuzzy matching, настроенный под транслитерацию с русского, иврита и арабского, снимает основную массу шума и при этом не пропускает реальные совпадения. Отдельно настраивается rescreening при обновлении списков.

С чего начинается проект по AML-мониторингу?

С разбора текущей очереди алертов: сколько их в день, какая доля закрывается без действий, какие правила генерируют основной шум и сколько времени уходит на один кейс. Без этой картины настройка модели улучшает не то, что реально мешает команде.