東北證券課題組

近年來，監(jiān)管機構(gòu)不斷強化對投資者異常行為的管控力度，旨在進一步凈化市場，為投資者提供公平公正的交易環(huán)境。

各證券公司始終高度重視投資者異常行為管理工作，但實踐中仍然存在因為無法精準(zhǔn)識別可疑客戶而收到監(jiān)管提示函件的情況。因此，如何提高識別投資者異常行為的精準(zhǔn)度，并有效引導(dǎo)客戶合規(guī)交易成為行業(yè)各證券公司不斷努力探究的課題之一。

2019年以來，東北證券（以下簡稱“公司”）在監(jiān)管機構(gòu)的專業(yè)指導(dǎo)下，持續(xù)加強防范非法配資、反外掛、異常交易監(jiān)控等客戶異常交易行為管理，針對系統(tǒng)監(jiān)控的薄弱環(huán)節(jié)加強探索與實踐，不斷完善系統(tǒng)預(yù)警與人工排查相結(jié)合的工作機制，形成標(biāo)準(zhǔn)化的工作流程。歷經(jīng)兩年的持續(xù)優(yōu)化與總結(jié)完善，公司在投資者異常行為管理方面取得了一定的管理經(jīng)驗。

一、投資者異常行為

分類及管控難點

（一）投資者異常行為分類

廣義的投資者異常交易行為是指證監(jiān)會、滬深證券交易所、全國中小企業(yè)股份轉(zhuǎn)讓系統(tǒng)等機構(gòu)認(rèn)定的異常交易行為以及可能影響市場穩(wěn)定的其他交易行為。這些投資者異常行為中，場外配資、外掛和異常交易對維護資本市場穩(wěn)定、有效發(fā)揮資本市場樞紐功能危害最為嚴(yán)重，應(yīng)予以特別關(guān)注。

一是場外配資。場外配資是指未經(jīng)證監(jiān)會批準(zhǔn)，法人、自然人以高于投資者支付的保證金數(shù)倍的比例向其出借資金，組織投資者在特定證券賬戶上使用融入資金及保證金進行股票交易，并收取利息、費用或收益分成的活動。

二是外掛。外掛是指投資者非法接入證券公司交易系統(tǒng)或不當(dāng)使用非證券公司官方發(fā)布的交易系統(tǒng)進行證券交易的行為，該行為可能給客戶賬戶帶來被盜買盜賣的風(fēng)險。

三是異常交易。異常交易是指由證券交易所定義的嚴(yán)重影響正常交易秩序的異常交易行為或者涉嫌違法違規(guī)的交易行為。

（二）投資者異常交易行為管控存在的難點

一是，非法證券機構(gòu)慣用手段靈活，證券公司排查和監(jiān)控難度大。2020年以前證券公司監(jiān)控系統(tǒng)大都以單指標(biāo)進行監(jiān)控，存在指標(biāo)繁多、數(shù)據(jù)冗余的情況，對于單指標(biāo)觸發(fā)的客戶，難以對客戶整體異常交易行為進行畫像分析，仍須對客戶疑點進行逐一排查。

二是，外掛軟件存在安全隱患，投資者賬戶安全無法得到保障。證券公司反外掛策略由各系統(tǒng)供應(yīng)商提供，監(jiān)控系統(tǒng)閾值難以把控，如何有效識別外掛軟件客戶并有效轉(zhuǎn)化是有效管控外掛軟件客戶的重點課題。

三是，高凈值客戶自主交易意愿較強，異常交易行為管控難度較大。目前，在證券公司對客戶交易行為的管控層面，主要是以引導(dǎo)合規(guī)交易提示為主，系統(tǒng)監(jiān)控為輔，系統(tǒng)監(jiān)控又分為事前監(jiān)控與事中、事后監(jiān)控，應(yīng)用最為廣泛的仍是事中、事后監(jiān)控，管控存在滯后；事前監(jiān)控阻斷模式由于會影響客戶買賣交易，遇到極端行情客戶無法及時買賣極易引起客戶投訴，罕有應(yīng)用。

二、異常交易行為管控

的探索與實踐經(jīng)

公司在總結(jié)行業(yè)通行做法及排查系統(tǒng)監(jiān)控薄弱環(huán)節(jié)的基礎(chǔ)上，根據(jù)投資者異常行為的不同類型，不斷完善差異化的系統(tǒng)預(yù)警與人工分析相結(jié)合的工作機制。

（一）系統(tǒng)監(jiān)控與人工分析結(jié)合，提高非法配資防控質(zhì)效

一是，應(yīng)用隨機森林模型系統(tǒng)篩選，提高核查客戶精準(zhǔn)度。使用恒生疑似配資專業(yè)版監(jiān)控系統(tǒng)對賬戶核查名單進行篩選。系統(tǒng)應(yīng)用隨機森林模型通過前置篩選、指標(biāo)觸發(fā)、模型篩選三個步驟對客戶場外配資疑似程度進行打分，篩選出配資嫌疑較大的客戶名單。

二是，總部逐戶審核模式，避免利益沖突。公司配資核查管理模式為“自上而下”的方式，即由總部統(tǒng)一評估并下發(fā)核查數(shù)據(jù)，由營業(yè)網(wǎng)點進行核查，核查結(jié)果報總部逐戶復(fù)審后完成賬戶處置工作。

三是，持續(xù)完善流程，形成標(biāo)準(zhǔn)化工作機制。（1）賬戶核查的標(biāo)準(zhǔn)化工作流程。營業(yè)網(wǎng)點結(jié)合賬戶基本情況、背景調(diào)查以及改密、轉(zhuǎn)賬、交易終端等方面進行疑點核查分析；依據(jù)客戶評分情況以及賬戶核查結(jié)果對客戶疑似配資進行評級，并將核查結(jié)果通過公文形式報送公司總部審核。（2）完善人工分析關(guān)鍵點，提高排查精確度。經(jīng)過監(jiān)管機構(gòu)的指導(dǎo)以及兩年多的工作實踐，公司總結(jié)歸納出疑似配資賬戶核查應(yīng)包含客戶的基本信息分析、背景調(diào)查、改密轉(zhuǎn)賬交易站點分析以及系統(tǒng)觸發(fā)疑點分析等多個維度，對客戶進行綜合分析判斷（詳見圖一）。

經(jīng)過實踐，公司總結(jié)了關(guān)于客戶賬戶非實名制使用的一些站點信息規(guī)律：①預(yù)留聯(lián)系電話與轉(zhuǎn)賬涉及的手機號碼不一致且轉(zhuǎn)賬與交易涉及的站點地址完全不相關(guān)；②轉(zhuǎn)賬與改密地址相同，但與交易地址完全不相關(guān)。實踐中，我們可以從非實名制使用賬戶的疑點切入開展排查，通過客戶回訪、調(diào)研等多種方式排查是否存在非法配資行為。對于存在該類情況的賬戶，我們將提高客戶的疑似配資賬戶核查評級結(jié)果并采取相應(yīng)的賬戶處置措施。

四是，一站式工作底稿及核查名單庫，形成管控閉環(huán)。2019年以來，公司結(jié)合10余批疑似配資賬戶核查的實踐經(jīng)驗，不斷優(yōu)化完善并形成了賬戶核查工作底稿，還自建了疑似配資賬戶核查的名單庫，實現(xiàn)核查賬戶名單的查詢及賬戶狀態(tài)跟蹤，形成管控閉環(huán)。

【場外配資案例】

客戶A、客戶B、客戶C、客戶D4名客戶于2020年先后觸發(fā)了“轉(zhuǎn)賬地址與交易地址不一致”指標(biāo)，其中客戶A還觸發(fā)了交易活躍類的3個指標(biāo)，從系統(tǒng)觸發(fā)指標(biāo)上無法判定是否存在配資行為。但人工核查過程中發(fā)現(xiàn)，4名客戶站點地址存在關(guān)聯(lián)性且4名客戶為親屬且均為同一經(jīng)紀(jì)人開發(fā)。結(jié)合人工核查要點對4名客戶進行了合并排查，具體情況如下：

（1）客戶基本情況介紹?？蛻鬉：年齡31歲，某企業(yè)管理咨詢有限公司總經(jīng)理，2019年7月開立賬戶，開戶次日即入金開始操作，交易品種較多，轉(zhuǎn)賬、交易十分活躍?？蛻鬊：年齡58歲，離退休人員，2019年11月開立賬戶，開戶第二個月開始入金操作，轉(zhuǎn)賬、交易較為活躍。客戶C：年齡59歲，某制藥股份有限公司員工，2019年11月開立賬戶，開戶一周后開始入金操作，轉(zhuǎn)賬、交易較為活躍。客戶D：年齡38歲，其他金融機構(gòu)從業(yè)人員，2019年9月開立賬戶，開戶一周后開始入金操作，轉(zhuǎn)賬、交易較為活躍。

（2）核查發(fā)現(xiàn)的主要疑點。①客戶A存在同一交易日同時段相鄰兩筆交易，在不同城市操作，且兩城市間距離與兩筆交易間隔時間不合理?？蛻鬉稱，其為提高交易速度，使用阿里云服務(wù)器進行委托交易，可能導(dǎo)致站點歸屬城市差異較大的情況。②4名客戶均存在頻繁修改密碼或密碼錯誤超過10次的情況?？蛻舴Q，為了賬戶安全，存在定期修改密碼的情況，修改后其家人登錄賬號，導(dǎo)致賬戶多次輸入錯誤密碼。③4名客戶賬戶均存在賬戶清空后修改密碼，且修改密碼后的交易發(fā)生在新的地址，但轉(zhuǎn)賬地址未變更的情況?？蛻鬉賬戶于7月10日清空后，7月14日修改密碼，轉(zhuǎn)賬、改密地址與其他3戶均相同，且在修改密碼后交易地址發(fā)生了變化（詳見圖二）。

客戶B賬戶于2020年1月16日賬戶基本清空后修改了賬戶密碼，轉(zhuǎn)賬、改密地址與其他3戶均相同，1月21日存入資金后交易地址較修改密碼前的交易地址發(fā)生變化；客戶C賬戶未發(fā)生清空賬戶的情況，但轉(zhuǎn)賬、改密地址與其他3戶均相同，在1月17日修改密碼后，交易地址發(fā)生變化；客戶D賬戶于10月9日清空，轉(zhuǎn)賬、改密地址與其他3戶均相同，修改密碼前后交易地址發(fā)生變化。

對于上述賬戶站點信息異常情況，客戶解釋4名客戶為親屬，均委托A代為操作賬戶。但是，人工核查根據(jù)實際情況分析，4個賬戶的改密、轉(zhuǎn)賬地址相同，但交易地址與轉(zhuǎn)賬、改密地址不同，且交易涉及的手機號碼與客戶預(yù)留手機號碼不相關(guān)，代為操作賬戶的賬戶交易站點地址應(yīng)趨同。

根據(jù)排查，賬戶存在“預(yù)留聯(lián)系電話與轉(zhuǎn)賬涉及的手機號碼不一致，且轉(zhuǎn)賬與交易涉及的站點地址完全不相關(guān)”、“轉(zhuǎn)賬與改密地址相同，但與交易地址完全不相關(guān)”的情況，客戶無法進一步提供合理解釋，此4個賬戶存在較大的賬戶出借或者配資嫌疑，公司最終對4名客戶賬戶采取了限期注銷的處置措施。目前均已銷戶。

（二）構(gòu)建風(fēng)險畫像排查體系及轉(zhuǎn)化方案

在轉(zhuǎn)化外掛工作中，公司根據(jù)監(jiān)管要求和行業(yè)經(jīng)驗，不斷探索、總結(jié)和改進方法，以“客戶為中心”，在保護投資者賬戶資金安全的前提下，滿足投資者日常的交易需求，提升客戶的交易體驗，取得了客戶的信任和配合，大幅降低了外掛報警數(shù)據(jù)總量，化解了部分客戶賬戶使用風(fēng)險。

一是，逐項分析數(shù)據(jù)特征，構(gòu)建風(fēng)險畫像體系。通過對所有報警數(shù)據(jù)的全面分析以及對單一報警數(shù)據(jù)的深入研究，總結(jié)出應(yīng)重點關(guān)注賬戶涉及的7個異常特征及疑點；并基于這7個特征對每個觸發(fā)報警的客戶進行畫像（詳見圖三）。

二是，調(diào)研客戶需求，針對性制定客戶轉(zhuǎn)化方案。（1）全面回訪報警客戶，了解客戶需求并進行賬戶安全提示。組織各營業(yè)網(wǎng)點對觸發(fā)反外掛策略報警的客戶進行網(wǎng)上交易客戶端需求調(diào)研，向客戶提示風(fēng)險，指導(dǎo)客戶正確下載、安裝官方軟件。（2）鎖定重點排查對象，逐項分析異常特征。對客戶賬戶累計報警數(shù)量、客戶回訪了解到的賬戶使用情況進行綜合分析，對于年度累計“報警50次以上”的賬戶從背景信息、交易信息等方面進行多維度分析，對異常特征進行逐項排除式排查，為每位客戶的分析結(jié)果單獨建檔，形成獨立說明。（3）對重點賬戶制定有針對性的轉(zhuǎn)化方案。對于通過上述排查發(fā)現(xiàn)的重點賬戶、不了解如何安裝官方軟件的客戶及購買使用“按鍵精靈”“委托助手”等非法外掛軟件的客戶，采取不同措施引導(dǎo)客戶使用官方軟件。

三是，定期跟蹤并總結(jié)外掛賬戶特征，持續(xù)優(yōu)化排查方案。（1）設(shè)置專人每日跟蹤報警數(shù)據(jù)，及時開展排查，單人建檔，形成獨立說明。（2）跟蹤重點賬戶持續(xù)報警情況，及時向軟件供應(yīng)商反饋反外掛策略的錯報情況，持續(xù)優(yōu)化反外掛策略。（3）客戶交易軟件版本眾多，公司相關(guān)部門形成聯(lián)動機制，持續(xù)完善反外掛工作的流程及方法，有效提高報警精度，提升客戶體驗。

【轉(zhuǎn)化非法外掛案例】

客戶L某，截至2021年9月累計觸發(fā)反外掛策略系統(tǒng)報警數(shù)量800余次。

（1）客戶基本情況介紹。①身份背景信息：客戶L某，女，年齡44歲，2020年1月開立賬戶，預(yù)留聯(lián)系電話為138*******，聯(lián)系地址吉林省松原市*****。②交易情況：截至2020年9月，賬戶資金往來不頻繁，轉(zhuǎn)賬方式均為手機委托，手機號碼均為133********（百度檢索手機號碼歸屬地為上海中國電信），IP地址分屬在松原和上海兩地，交易活躍。

（2）核查發(fā)現(xiàn)的主要疑點。該客戶存在使用云IP、同一賬戶對應(yīng)4個以上Mac地址；近一年合計銀證轉(zhuǎn)賬5筆，均為手機委托，百度檢索手機號碼歸屬地為上海，5筆委托的手機IMEI相同，百度檢索交易流水的IP地址歸屬地分屬松原和上海兩地。①經(jīng)了解客戶在上海有生意，日常大部分時間在上海，只有少數(shù)時間會在松原，與系統(tǒng)留存IP地址相符；②經(jīng)過多次溝通，客戶承認(rèn)其購買并使用了T0交易軟件，通過對接破解版行情系統(tǒng)對其持有的三只股票T0交易，目的是降低持倉成本，增加收益?？蛻絷愂雠c歷史交易情況相符。③關(guān)于云IP、同一賬戶對應(yīng)4個以上Mac地址以及相同Mac地址的相關(guān)賬戶等情況，客戶表示并不知情，對軟件運算邏輯不了解。

經(jīng)過多次風(fēng)險提示，客戶意識到使用TO軟件登錄交易賬戶存在賬戶被惡意盜買盜賣的風(fēng)險后，立即修改密碼，并表示后續(xù)使用官方軟件。經(jīng)過持續(xù)監(jiān)測，后續(xù)委托均來自公司官方軟件，未再報警。

（三）事前風(fēng)控阻斷模式與事中事后監(jiān)控雙舉措

一是，持續(xù)完善監(jiān)控機制，加強系統(tǒng)建設(shè)及指標(biāo)優(yōu)化評估。結(jié)合最新監(jiān)管動態(tài)，及時優(yōu)化完善監(jiān)控系統(tǒng)功能；結(jié)合系統(tǒng)運行情況定期評估調(diào)整系統(tǒng)監(jiān)控指標(biāo)，不斷提高監(jiān)控工作的有效性。

二是，行業(yè)內(nèi)率先啟用事前風(fēng)控阻斷模式。2021年8月，公司經(jīng)過多次測試以及5輪生產(chǎn)環(huán)境測試上線試運行了事前風(fēng)控系統(tǒng)，并于9月起對一名交易所重點監(jiān)控賬戶正式啟用事前監(jiān)控及阻斷模式。啟用后系統(tǒng)運行平穩(wěn)，取得良好的管控效果。

三、存在的困惑及建議

（一）異常數(shù)據(jù)僅局限在各券商，未能實現(xiàn)行業(yè)共享

2018年以來，兩交易所持續(xù)加強重點監(jiān)控賬戶名單管理，為證券公司提供了管控支持。但由于各證券公司僅能監(jiān)控本公司開立賬戶客戶的交易行為，存在部分惡意擾亂證券市場秩序的投資者可以通過階段性、策略性更換證券公司的方式規(guī)避監(jiān)控系統(tǒng)預(yù)警和異常行為的持續(xù)評估的情況。目前行業(yè)內(nèi)還沒有共享此類異?？蛻粜畔⒌耐緩?。

（二）建議建立異常行為投資者信息共享數(shù)據(jù)庫

建議兩交所或其他行業(yè)自律組織建立數(shù)據(jù)上報路徑，結(jié)合其自身監(jiān)控數(shù)據(jù)構(gòu)建異常客戶數(shù)據(jù)庫，并向各證券公司開放共享投資者歷史異常行為信息，各證券公司可分別上報監(jiān)控結(jié)果數(shù)據(jù)；實現(xiàn)行業(yè)數(shù)據(jù)共享，核查聯(lián)動，更好地管控惡意擾亂證券市場秩序的投資者。

（三）東北證券下一步工作設(shè)想

一是，結(jié)合數(shù)字化轉(zhuǎn)型，建立全方位客戶風(fēng)險畫像體系。在疑似配資多維度賬戶核查方面，針對異地開戶、監(jiān)管函件、通訊運營商實名制、支付寶賬戶實名制情況以及互聯(lián)網(wǎng)檢索配資平臺相關(guān)性和改密轉(zhuǎn)賬交易站點分析等方面的排查，目前還是主要依靠排查人員對異常信息的敏感度。公司將進一步探索人工排查的有效性，并將成熟的排查方法轉(zhuǎn)化為自主研發(fā)的系統(tǒng)監(jiān)控模型，結(jié)合數(shù)字化轉(zhuǎn)型整體工作安排，建立異?？蛻舢嬒耋w系，減少人工誤差。

二是，將客戶異常行為數(shù)據(jù)分析方法應(yīng)用于從業(yè)人員執(zhí)業(yè)行為排查。排查客戶異常交易行為的數(shù)據(jù)挖掘方法主要針對客戶站點信息等進行排查分析，相應(yīng)方法可以經(jīng)過調(diào)整優(yōu)化后拓展到證券從業(yè)人員代客理財炒股等執(zhí)業(yè)規(guī)范情況的監(jiān)控排查。

（【作者簡介】課題組負(fù)責(zé)人：王愛賓,東北證券合規(guī)總監(jiān)；副組長：李雪飛，東北證券副總裁、經(jīng)發(fā)管委主任；課題組成員包括：趙文忠，東北證券合規(guī)管理部總經(jīng)理；于彥，東北證券交易風(fēng)控條線總經(jīng)理；張卓，東北證券合規(guī)管理部總經(jīng)理助理；李丹、孫洪超、潘云巖均供職于東北證券合規(guī)管理部、交易風(fēng)控條線。）