Правила антифрода и оценка риска платёжных операций

Платёжная компания может использовать сотни правил защиты от мошенничества и при этом принимать слабые решения. Другая компания может внедрить сложную систему расчёта риска, но не остановить очевидно запрещённую операцию. Причина не всегда заключается в качестве технологии. Нередко для конкретной ситуации просто выбран неподходящий способ принятия решения.

Правила и совокупную оценку риска часто представляют как конкурирующие подходы. Правила считают простыми и устаревшими, а расчёт итогового уровня риска — более умным и гибким. На практике такое противопоставление вводит в заблуждение. Прямое правило может быть самым сильным способом контроля, если условие имеет однозначный смысл. Совокупная оценка полезнее, когда необходимо учитывать несколько неполных признаков одновременно.

Поэтому правильный вопрос заключается не в том, какой подход лучше вообще. Нужно определить, какой способ соответствует имеющимся доказательствам, уровню неопределённости и действию, которое компания должна выполнить.

От этого выбора зависят доля одобренных операций, нагрузка ручной проверки, удобство добросовестных клиентов и потери от мошенничества. Жёсткое правило, применённое к неоднозначной ситуации, создаёт лишние отказы. Сложный расчёт риска, применённый к очевидному запрету, добавляет ненужные этапы и задерживает решение.

В этой статье сравним правила антифрода и совокупную оценку риска платёжных операций, разберём их сильные и слабые стороны и покажем, почему зрелая система обычно объединяет оба подхода.

Главный принцип: правило следует использовать, когда самого условия достаточно для выбора действия. Совокупная оценка риска нужна, когда решение зависит от общего значения нескольких неполных признаков.

Почему эти подходы часто путают

И правила, и оценка риска начинаются с признаков. Они могут учитывать сумму операции, историю устройства, географию клиента, категорию мерчанта, количество попыток оплаты, возраст аккаунта или предыдущие споры.

Оба подхода также способны приводить к одинаковым действиям: одобрению, дополнительному подтверждению, ручной проверке, временному удержанию или отказу.

Различие заключается в том, как формируется решение.

Правило проверяет выполнение заранее определённого условия. Например, карта находится в подтверждённом списке скомпрометированных реквизитов, сумма превышает установленный предел или с одного аккаунта совершено десять попыток за пять минут. Если условие выполнено, система применяет заранее выбранное действие.

Совокупная оценка определяет, как несколько признаков должны повлиять на общий уровень риска. Новое устройство может немного увеличить подозрение. Нетипичная сумма — увеличить его сильнее. Продолжительная положительная история клиента — уменьшить. Окончательное действие зависит от общего результата, а не от одного признака.

Путаница возникает, когда обычное правило называют оценкой риска либо десятки отдельных правил фактически создают неофициальную систему баллов. Система может обозначить операцию как «высокорисковую», хотя результат был получен на основании одного двоичного условия.

Возможна и обратная ситуация: множество пересекающихся правил реагирует на слабые признаки, которые было бы разумнее учитывать как части единой оценки.

Когда прямые правила работают лучше

Правила наиболее полезны, когда условие имеет ясный смысл, а реакция должна оставаться одинаковой. Они работают быстро, легко объясняются и сравнительно просто проверяются. Специалист обычно может назвать точную причину действия, указав сработавшее условие.

Прямое правило подходит, если у компании есть подтверждённое доказательство, которое самостоятельно определяет решение. Например:

— реквизиты находятся в подтверждённом списке скомпрометированных карт

— деятельность относится к запрещённой категории

— операция связана с территорией, для которой действует обязательное ограничение

— сумма превышает официально утверждённый предел полномочий или риска

Правила также хорошо подходят для обязательных этапов процесса. Компания может требовать ручного согласования перед изменением реквизитов для выплат, дополнительного подтверждения для определённого вида операций или временного ограничения после установленного количества неуспешных попыток.

Главное преимущество заключается в предсказуемости. Одинаковое условие приводит к одинаковой реакции, что упрощает выполнение, испытание и последующую проверку. Материал о том, как работают правила антифрода в реальных платёжных системах, подробнее показывает связь между выявляемым условием и заранее установленным действием.

Основная слабость правил проявляется, когда одного условия недостаточно. Новое устройство может указывать на захват аккаунта, но также может быть обычной заменой телефона. Иностранный сетевой адрес бывает связан с мошенничеством, поездкой клиента или корпоративной сетью.

Если каждый слабый признак превращать в самостоятельное основание для отказа, система создаёт большое количество ошибочных решений.

Другая проблема — накопление. По мере появления новых схем команды добавляют дополнительные правила, но редко удаляют старые. В результате несколько мер выявляют одно и то же поведение, система становится трудной для понимания, а небольшое изменение порога неожиданно затрагивает крупные группы клиентов.

Когда совокупная оценка полезнее

Совокупная оценка риска необходима, если ни один отдельный признак не является решающим, но их сочетание заметно меняет вероятность мошенничества. Она позволяет отличить небольшое отклонение от более широкой подозрительной картины.

Рассмотрим клиента, который использует новое устройство. Сам по себе этот факт может лишь немного повысить риск. Если операция одновременно имеет нетипичную сумму, выполняется из новой страны и следует после нескольких неудачных попыток, общее подозрение усиливается.

При этом продолжительная положительная история аккаунта или успешное дополнительное подтверждение способны уменьшить итоговый уровень риска.

Такой подход позволяет установить несколько порогов действий:

— низкий уровень приводит к одобрению

— средний требует дополнительного подтверждения

— повышенный направляет ситуацию на ручную проверку

— крайне высокий становится основанием для удержания или отказа

Компания применяет соразмерные меры вместо одинакового отношения ко всем необычным операциям. Это особенно важно при работе с разными клиентами, мерчантами, товарами и моделями поведения.

Но совокупная оценка также имеет ограничения. Её результат зависит от качества исходных сведений. Отсутствующая информация об устройстве, запоздалая история клиента или ошибочные данные мерчанта способны исказить итог. Числовой результат может выглядеть точным, хотя фактически основан на неполных доказательствах.

Объяснять такие решения сложнее. Специалист должен понимать, какие признаки повлияли на результат, насколько сильным было их влияние и не возникли ли несколько сигналов из одного события.

Одного числа недостаточно для обоснованного рабочего решения. Вместе с итоговой оценкой должны сохраняться причины, которые её сформировали.

Два способа формирования решения

Прямая логика

Решение на основании правила

Определённое условие

Условие выполнено или нет

Заранее выбранное действие

Лучше всего подходит, когда одно условие самостоятельно даёт достаточно доказательств для одинаковой реакции.

Совокупная логика

Решение по общей оценке риска

Признак 1

Признак 2

Признак 3

Общий взвешенный результат

Одобрить

Проверить

Отклонить

Лучше всего подходит, когда несколько неполных признаков необходимо рассматривать совместно.

Практическое сравнение двух подходов

Критерий	Правила антифрода	Совокупная оценка	Практический вывод
Основная задача	Выявить конкретное условие и применить установленное действие	Определить общий риск на основании нескольких признаков	Способ должен соответствовать характеру неопределённости
Однозначный запрет	Работает прямо и эффективно	Обычно не требуется	Используйте правило, если условия уже достаточно
Несколько слабых признаков	Может создавать пересекающиеся и чрезмерно строгие меры	Эффективно объединяет сведения	Используйте общую оценку, если отдельного признака недостаточно
Скорость решения	Очень высокая и предсказуемая	Высокая при наличии всех данных и расчётов	Оба подхода могут работать во время обработки операции
Объяснение результата	Обычно простое: условие было выполнено	Требует показа повлиявших признаков	Нельзя использовать необъяснимое число как единственную причину
Контекст клиента	Ограничен, если отдельно не включён в условие	Может учитывать историю и обычное поведение	Общая оценка лучше подходит для разнообразного поведения
Отсутствующие данные	Правило может не сработать или перейти к запасному действию	Итоговый результат может быть искажён	В обоих случаях нужен отдельный порядок для неполных данных
Изменение порогов	Понятно, но может резко затронуть большую группу операций	Позволяет постепенно менять диапазоны решений	До включения нужно проверять влияние на весь поток
Ошибочные срабатывания	Часты, если слабый признак считается решающим	Могут сокращаться за счёт положительных и отрицательных факторов	Общая оценка полезна при частых законных объяснениях
Основное ограничение	Жёсткое отношение к неоднозначным ситуациям	Сложность, зависимость от данных и меньшая прозрачность	Каждый подход должен применяться в подходящей области

Ситуация первая: скомпрометированная карта

Для оплаты используются реквизиты, находящиеся в подтверждённом и актуальном списке скомпрометированных карт. Источник сведений надёжен, совпадение точное, а внутренняя политика требует остановить такую операцию.

В этой ситуации правильным решением будет прямое правило. Нет необходимости включать признак в общий расчёт и ждать, повысят или уменьшат результат другие обстоятельства. Подтверждённая компрометация уже даёт достаточно оснований для действия.

Решение: применить прямое правило, поскольку условие самостоятельно определяет риск, а реакция должна оставаться одинаковой.

Ситуация вторая: несколько неполных признаков

Постоянный клиент совершает операцию на сумму выше обычной с нового устройства во время поездки в страну, которая раньше не встречалась в истории аккаунта. Две попытки завершаются неудачно, третья проходит успешно. Дополнительное подтверждение клиент выполняет правильно.

Ни один тревожный признак самостоятельно не доказывает мошенничество. Отдельные правила по устройству, стране, сумме и повторным попыткам могут несколько раз наказать добросовестного клиента за одно объяснимое событие.

Совокупная оценка здесь подходит лучше. Она позволяет учесть отрицательные признаки, положительную историю клиента и успешное подтверждение, а затем направить на дополнительный разбор только действительно неоднозначный результат.

Решение: использовать общую оценку, поскольку значение определяется сочетанием доказательств, а не одним решающим условием.

Ситуация третья: объединённая модель контроля

Операция относится к категории мерчантов, для которой обязательно дополнительное подтверждение. Одновременно сумма значительно превышает обычную, используется новое устройство, а история клиента ограничена.

Требование обязательного подтверждения должно выполняться прямым правилом. Оно не зависит от общего уровня риска, поскольку компания заранее решила одинаково защищать все операции данного вида.

После подтверждения остальные признаки могут участвовать в совокупной оценке. Низкий результат приведёт к одобрению, средний — к ручной проверке, высокий — к удержанию или отказу.

Каждый подход используется для той части решения, с которой справляется лучше.

Решение: использовать правило для обязательного требования, а совокупную оценку — для оставшейся неопределённости.

Почему зрелая система объединяет подходы

Правила и совокупная оценка должны образовывать последовательность, а не бороться за каждое решение. Первый уровень удаляет запрещённую или очевидно неприемлемую активность. Второй оценивает остальные операции по совокупности риска. Третий направляет неоднозначные ситуации специалисту.

Объединённый порядок принятия решения

Прямые запреты

Подтверждённые ограничения и обязательные меры

Расчёт риска

Совокупность поведенческих и контекстных признаков

Порог действия

Одобрение, подтверждение, проверка, удержание или отказ

Решение специалиста

Учет контекста в промежуточной зоне неопределённости

Обратная связь

Мошенничество, споры и клиентские результаты улучшают логику

Такая последовательность улучшает и управление системой. Компания может ясно объяснить, какие меры обязательны, какие решения основаны на вероятности и где требуется профессиональное суждение.

Последующие результаты должны возвращаться на оба уровня. Подтверждённый случай мошенничества может стать основанием для нового прямого правила, если обнаружено однозначное условие. Повторяющиеся ошибочные отказы могут показать, что слабое правило лучше преобразовать в один из факторов общей оценки.

Три способа выбрать подход правильно

Первый путь

Использовать прямые правила

Условие однозначно, самостоятельно имеет значение, требует одинаковой реакции и должно легко объясняться.

Второй путь

Использовать совокупную оценку

Несколько слабых признаков имеют значение вместе, законные объяснения встречаются часто, а разные уровни риска требуют разных действий.

Третий путь

Объединить оба подхода

Существуют обязательные ограничения, но оставшийся поток операций всё ещё содержит разные уровни неопределённости.

Как выбирать способ принятия решения

Сначала нужно определить, можно ли сформулировать условие достаточно ясно, чтобы оно самостоятельно определяло действие. Если да, прямое правило обычно оказывается более прозрачным и простым в управлении.

Затем следует понять, требуется ли совместное толкование нескольких признаков. Если ни один из них не является достаточным отдельно, общая оценка снижает риск ошибочного признания нормального поведения мошенничеством.

Необходимо учитывать и цену ошибки. Необоснованный отказ по небольшой розничной операции создаёт одни последствия. Ошибочное одобрение, приводящее к крупной расчётной потере, — другие. Порог действия должен учитывать и риск мошенничества, и ущерб добросовестным клиентам.

До применения любого подхода следует проверить качество данных. Правило не сработает правильно, если необходимое поле отсутствует. Совокупная оценка не останется надёжной, если её важнейшие составляющие неполны или по-разному понимаются отдельными системами.

Компания также должна решить, каким образом результат будет объясняться. Итог прямого правила обычно понятен. При общей оценке необходимо сохранять признаки, их значение и пороги, которые привели к действию.

Практическая ценность оценки риска мошенничества при обработке платежей зависит от того, можно ли связать итоговый результат с понятными доказательствами и соразмерными мерами контроля.

Наконец, каждому способу нужны ответственный и регулярный пересмотр. У правила должны быть определённая цель, владелец и история изменений. Для факторов общей оценки необходимо зафиксировать смысл, источник данных и результаты проверки.

Ни правила, ни расчёт риска не должны работать бессрочно без подтверждения того, что они по-прежнему соответствуют текущему поведению клиентов и новым мошенническим схемам.

Вывод: способ должен соответствовать доказательствам

Прямые правила не становятся устаревшими только потому, что они просты. Они остаются сильнейшим способом контроля, если ясное условие самостоятельно требует одинакового действия.

Совокупная оценка не становится умной только потому, что выдаёт числовой результат. Она полезна, когда необходимо объединить несколько неполных признаков и выбрать разные уровни реакции.

Зрелая платёжная система использует оба подхода. Правила обеспечивают выполнение однозначных ограничений, общая оценка помогает работать с неопределённостью, ручная проверка учитывает исключительный контекст, а последующие результаты улучшают каждый уровень.

Команды, которым необходимо развивать практические знания о правилах антифрода, построении оценки риска, поведенческих признаках и логике платёжных решений, могут изучить программы Академии Riskscenter.