Может ли AML-сервис ошибаться: почему меняется risk score и как проверить результат

Блокчейн позволяет проверить, что перевод состоялся, между какими адресами и на какую сумму. Но он обычно не сообщает, кто стоит за адресом. Эти сведения AML-сервис получает из дополнительных источников и анализа операций. Здесь используются три понятия.

Атрибуция - установление того, с кем связан адрес. Например, аналитики выяснили, что адрес относится к бирже X, и добавили соответствующую метку.

Кластеризация - объединение адресов по признакам общего управления. Например, несколько адресов отнесли к инфраструктуре одной биржи. При этом можно обнаружить такую группу, ещё не зная, кто ею управляет.

Эвристика - правило, которое помогает предположить связь по косвенным признакам. Например, регулярное пополнение нескольких адресов из одного источника может указывать на общее управление. Но источник может оказаться биржей, обслуживающей разных клиентов, поэтому одного такого признака недостаточно.

Эти методы помогают превратить историю переводов в понятную картину участников и связей. Но если адрес определили неверно или объединили с чужими кошельками, ошибка может повлиять и на итоговую оценку риска.

Ошибки возможны на нескольких уровнях:

Поэтому неизменность записи в блокчейне не делает безошибочным весь отчёт. Надёжность атрибуции зависит от доступных данных, особенностей сервиса и ограничений используемых методов.

Возможны ошибки в обе стороны.
Ложноположительный результат означает, что система указала на рискованную связь, которой в действительности нет.
Ложноотрицательный - что существующий риск остался незамеченным.

Но неприятный результат сам по себе не доказывает ошибку. Если сервис правильно обнаружил рискованное поступление, несогласие владельца адреса не отменяет этот факт.

Оценка зависит от истории операций, доступных сведений об адресах и правил расчёта. Измениться может любой из этих элементов. Ниже четыре основные группы причин, которые могут действовать по отдельности или одновременно.

1. Изменилась активность адреса
После первой проверки появились новые поступления или переводы. Например, адрес получил средства от контрагента, связанного с мошеннической схемой. Сервис учитывает новую операцию и пересчитывает оценку.

Значение могут иметь сумма, доля рискованных поступлений, повторяемость и давность связей. Если модель учитывает время, вес старой операции может изменяться и без новых переводов. Само по себе это не означает, что происхождение средств стало другим.

2. Появились новые сведения об адресах и сервисах
Иногда история переводов остаётся прежней, но аналитики узнают больше о её участниках.
Условный пример: в январе адрес получил перевод от неизвестного контрагента. В марте расследование связало этого контрагента с мошеннической схемой. Январская операция получила новый контекст. Это называется ретроспективной разметкой.

Сюда же относятся изменения санкционного статуса: включение сущности в список, изменение или исключение записи. Если сервис учитывает соответствующий список, обновление может повлиять на метки и оценку связанных адресов. При этом важно различать дату операции и дату изменения статуса.

Дополнительные сведения появляются и при расширении покрытия: провайдер подключил новый источник данных, улучшил распознавание сервисов или обработал ранее недоступную историю. Информация могла существовать и раньше, но ещё не учитываться конкретным инструментом.

3. Провайдер исправил ошибку
Адрес могли неверно отнести к сервису, включить в чужой кластер или связать с инцидентом без достаточных оснований. После проверки провайдер корректирует данные, и оценка может измениться.

Здесь речь именно об исправлении прежнего результата. Это отличается от ситуации, когда первоначальный вывод был обоснован доступными сведениями, а затем появились новые.
По двум итоговым баллам различить эти случаи нельзя. Нужно выяснить, какое основание пересмотрено и почему.

4. Изменились методика или правила принятия решения
Провайдер может обновить модель: иначе учитывать косвенные связи, давность переводов или отдельные категории риска. Тогда прежний набор операций и меток способен дать другой балл.
Изменения законодательства, требований регулятора или внутренней политики компании также могут повлиять на оценку и порядок работы с контрагентами. Но не каждый AML-сервис автоматически учитывает требования всех стран.

Поэтому важно разделять два результата:

• Изменился risk score: сервис пересчитал оценку по новым правилам.
• Изменилось решение компании: балл остался прежним, но организация пересмотрела условия допуска операций или порог дополнительной проверки.

Один и тот же отчёт поэтому может привести к разным решениям у компаний с разными применимыми требованиями и политиками риска.

При сравнении отчётов выясняйте, что изменилось: операции, сведения об участниках, расчёт риска или правило принятия решения. Это поможет отличить обоснованное обновление от возможной ошибки и понять, что именно нужно перепроверить.

Не обязательно кто-то из них. У провайдеров могут различаться разметка, охват данных, глубина анализа и вес отдельных факторов.

Сначала убедитесь, что сравниваете один адрес в одной сети, одинаковый тип проверки и результаты, полученные примерно в одно время. Проверка конкретной транзакции и общего профиля адреса может отвечать на разные вопросы.

Затем сравните основания. Условно, один отчёт показывает прямое поступление от адреса с меткой мошенничества, другой этой метки не содержит. Нужно проверять принадлежность отправителя и основание разметки. Усреднять баллы здесь бессмысленно.

Если оба сервиса видят одну связь, но оценивают её по-разному, вопрос уже к методике. Более строгая оценка не равна ошибке, а более низкая не становится правильной только потому, что удобнее для сделки.

О структуре отчёта подробнее рассказываем в статье «Что показывает AML-проверка криптовалюты».

Не всегда можно сразу заметить неверную метку или пропущенную связь. Поэтому важно выстроить проверку так, чтобы решение не зависело только от одного балла.

Читайте причины оценки и сопоставляйте их с операцией.
Даже при низком риске проверьте, понятны ли источники средств и соответствует ли история перевода объяснениям контрагента. Высокий риск тоже требует понимания: что именно обнаружено и как это связано с вашей операцией?

При необходимости используйте несколько AML-сервисов.
Другие сервисы могут показать сведения, которых нет в первом. Сравнивайте метки, маршруты и охват проверки, а не только итоговые числа. Два одинаковых результата не гарантируют отсутствия ошибки, а более низкий балл сам по себе не заслуживает большего доверия.

Сохраняйте отчёт и обновляйте проверку перед значимой операцией.
Старый результат показывает прежнюю оценку. За прошедшее время могли появиться новые переводы, метки или сведения о контрагенте.

Соотносите глубину проверки с последствиями решения.
Для крупной операции, нового контрагента или непонятного происхождения средств может понадобиться ручной анализ при помощи специальных сервисах, например Bholder. AML-сервис помогает выявить риски, но решение о взаимодействии принимаете вы или ваша организация с учётом всей доступной информации.

Свяжитесь с поддержкой провайдера и запросите проверку конкретного основания оценки:

1. Укажите объект проверки: адрес, сеть, дату и номер отчёта, если он есть.
2. Объясните сомнение: какая метка, операция или связь кажется неверной и почему.
3. Приложите подтверждения: например, хэш транзакции, сведения о выводе с биржи или предыдущий отчёт.
4. Попросите пояснить основание и проверить данные. Если ошибка подтвердится, запросите её исправление.

Например: «В отчёте адрес отнесён к сервису X. Прилагаю сведения, которые этому противоречат. Прошу проверить принадлежность адреса и пояснить основание метки».

Цель обращения - проверить факты и связи, повлиявшие на результат. Исправление одной ошибки не обязательно снизит итоговый балл: в отчёте могут оставаться другие обоснованные факторы риска.

Автоматическая проверка помогает обнаружить связи, которые потребовали бы значительного времени при ручном просмотре. Её ценность - в выявлении факторов риска и возможности понять, что проверять дальше.

В Btrace итоговый risk score дополняется информацией о составе средств и факторах риска. Неразмеченная часть обозначается отдельно. Это важно: отсутствие сведений об источнике нельзя автоматически считать подтверждением его безопасности.

При выборе сервиса оценивайте, можно ли понять причины результата, увидеть ограничения данных и получить разъяснение по спорной связи. Возможность обоснованного пересмотра ценнее обещания безошибочности.

Рабочее правило: проверяйте адрес перед значимой операцией, сохраняйте результат и разбирайте конкретное основание риска. Итоговая оценка помогает принять решение, но сама по себе не устанавливает виновность владельца и не гарантирует приём средств другой площадкой.

Проверьте адрес контрагента в Btrace и изучите не только балл, но и факторы, на которых он основан.