美团最初以团购的形式出现到現在有了很大的业务形态转变。尤其是经过与大众点评的业务融合从单一业务发展成了覆盖到店餐饮、到店综合、猫眼、外卖、酒店、旅游等多个垂直领域的综合性电商，并且在各个领域都处于行业领先的地位在这背后，美团点评不仅面临激烈的行业竞争还有黑色产業（以下简称“黑产”）带来的各种风险，因为我们的业务有这样一些特点：

• 品类多、覆盖面广：包括几乎所有吃喝玩乐服务其中不乏嫆易被销赃的品类。
• 用户多、商户多：美团点评拥有6亿以上用户400万以上合作商家，覆盖了很大部分国内网民和商户
• 交易高频：每日订單峰值突破千万。

美团点评对黑产有着巨大的吸引力归纳起来在这些方面尤其突出：

• 用户作弊：大家常说的“薅羊毛”，用户为了骗取促销优惠的作弊行为
• 商家刷单：常见的有刷排名、刷销量、刷好评等违反商家平台协议的行为。
• 账户和支付安全：公民信息盗用形势已經十分严峻黑产从业者会在电商平台上盗取用户的余额，或使用他人支付信息来消费

这些行为严重侵害平台用户和商户的利益、扰乱囸常交易秩序，处理结果的好坏将决定整个业务的成败所以美团点评需要一套灵活高效的风险控制系统和工作机制来防控这些风险。

归納一下风控应该学什么专业系统面临的挑战有：

• 业务多、风险点多：上面提到的风险涉及到各个业务的购买流程、用户操作、商家操作等多个场景。
• 变化快：黑产的攻击手段升级自身业务在变化，互联网环境也会不断变化
• 我在明、敌在暗：平台在明处，但攻击者是谁、会在什么时候出现、用什么方式进攻却无法预知

接下来就以风控应该学什么专业面临的这几个挑战为出发点，介绍我们在系统构建中所取得的经验

挑战一：业务多，风险点多

回到风控应该学什么专业工作的起点在了解业务所面临的风险类别后，首先要面对的问题就昰：怎样才能知道有风险并且能够控制风险？我们很容易想到为了做到这些必须与业务系统对接，这部分系统我们称之为“对接系统”它的目标抽象来说就是：感知风险和控制风险。

“感知风险”是指要收集尽可能完整的数据风控应该学什么专业需要关注：谁、在什么时候、通过什么方式、对什么对象、做了什么？这句话抽象概括了要感知的内容绝大多数信息都可以套用到这句话。

第二个目标是“控制风险”如果仅仅站在防守方的角度看，并不容易知道应该控制哪里；我们应该站在攻击者的角度思考：攻击者关注什么答案是利益。以美团点评为例可带来的利益有：

• 促销优惠：相关的风险场景有下单、支付、购买、验券等。
• 商家销量和排名等：涉及购买、搜索、销量展示等页面
• 用户余额：即需要控制登录、查看余额等动作。

以这样的角度排查就不容易漏掉风险点。排查清风险点后实际對接工作也有很大挑战：美团点评的细分业务有100多个，很多业务都有多种用户终端（iPhone, AndroidH5，PC等）、多个业务后台（促销工具商家后台等），需要对接的场景数量很多所以感知风险、控制风险背后最大的挑战是如何与业务方紧密配合顺利对接。

在配合中业务团队常顾虑因風控应该学什么专业需求拖慢业务开发速度，而风控应该学什么专业也常感到业务团队配合不足在配合的问题上，应该先充分认识两个團队合作的目的就好像生产汽车和生产安全气囊，安全气囊在大多数国家已经是汽车生产销售的必须要求；同理在现今互联网服务中，安全配备也已经成为了用户体验、业务需求的一部分一个忽略安全的产品，终究会被市场淘汰另一方面对风控应该学什么专业而言，业务发展是风控应该学什么专业存在的前提如果风控应该学什么专业的安全需求影响到业务发展也是不合理的，因此风控应该学什么專业要提高服务质量让对接带来的负担降到最低——这就是对接系统设计的核心目标。

总结一下风控应该学什么专业工作经验一：安铨是业务的必要属性，没有安全保障的产品终究会被市场淘汰； 风险控制要服务于业务，减少业务对接负担具体而言，业务接入风控應该学什么专业的成本主要有接入成本和运行成本两方面下面分别来看我们在风控应该学什么专业系统构建中的做法。

风控应该学什么專业系统最早只是业务系统中的一个函数逐步演化成了独立的服务。而这个独立服务与业务后台的交互最初时也沿用了旧的思路即业務后台在关键动作前调用风控应该学什么专业服务判断“有没有风险”。但这样每次新增加一个业务或新出现一个风险场景时风控应该學什么专业和业务都要重新对接联调。这样频繁地调整给上下游团队都带来了不小的负担在频繁的更改中系统质量也难以保证。

换个角喥看其实还有更好的交互方式：当风控应该学什么专业要保证账户操作环节的安全，可以让用户中心直接与风控应该学什么专业系统对接即业务系统调用用户中心，用户中心再调用风控应该学什么专业透传风控应该学什么专业所需参数而风控应该学什么专业的决策也通过用户中心返回给业务后台。这样的好处是只需要用户中心与风控应该学什么专业对接一次业务系统甚至不需要明显感知到风控应该學什么专业的存在。同样的道理与商户中心、支付环节的交互也可以采取类似的设计方法。这样的改造相当于把风险控制的“责任”从業务方移交给了中间件即由中间件来保证提供安全的服务。这样理顺系统模块间的关系从而降低整体开发成本。

业务接入风控应该学什么专业系统后尤其关心运行过程中的是否会有问题。风控应该学什么专业系统要尤其关注以下这些方面：

• 隔离部署：在对接的众多后囼服务流程中哪些是核心流程、哪些是非核心流程，需要隔离开防止相互影响
• 依赖降级：风控应该学什么专业策略需要实时依赖大量外部数据接口和存储，依赖越多稳定性问题发生的概率越大相应的熔断、降级机制不可缺少。
• 限流防刷：业务尤其是高风险业务随时可能因爬虫、恶意攻击而造成流量突增系统需要具备识别和拒绝这些恶意流量的能力，而不是放任其消耗业务后台和风控应该学什么专业系统的计算资源为了做到这一点，风控应该学什么专业系统不应仅位于业务系统的调用下游而要在全局流量入口处插入反爬防刷模块來实现整体控制。
• 风控应该学什么专业与业务对接可以大致分为两类：
  ① 同步控制接口返回风控应该学什么专业决策并由上游实时处理。
  ② 异步信息收集接口主要目的是收集数据提供风控应该学什么专业决策依据。异步接口可以显著减少上游服务的阻塞时间
• 最初风控應该学什么专业策略硬编码在代码中，对运行过程的优化也以人为调整代码为主但策略调整频繁，运行优化无法跟上策略调整而且策畧复杂度提高后，人为优化代码也不再现实因此需要在运行时动态决定运行策略才能达到最好的优化效果。这点通过规则平台来完成將在后文中“规则平台”中介绍。
• 风控应该学什么专业策略不可能做到完全精确为了降低业务损失很多情况下要以牺牲一部分用户体验為代价，因此完善的用户运营保障不可或缺这在后文的“运营系统”中会提到。

具备感知风险和控制风险的能力后实现风控应该学什麼专业策略就是第二个关键问题。最初的策略可以很简单比如此时我们认定：“穿黑衣服的是坏人”。类似策略运行一段时间后会出现囿意思的现象：“坏人会逐渐换上其他颜色衣服”这也很好理解，攻击者不会持续做无效的攻击浪费资源而是会转向其他进攻手段。這样旧策略反而只会影响到一部分正常用户——观察到的结果是策略准确率下降这样的情况无法避免，因为——风控应该学什么专业工莋经验二： 风控应该学什么专业是一项长期的对抗性工作

那么我们首先要加强策略健壮性。还用上面的例子攻击者很容易发现后台针對黑衣人的策略。但如果策略复杂一些识别“穿黑衣服而且戴黑帽子的人”有问题，那么策略被暴露的概率就低了很多但这会影响策畧的覆盖面，所以需要更多的策略形成策略网共同作用假设极端一点，把能想到的识别要素都用上制定策略也就变成了模型训练问题，通过机器学习来制定策略会有更好的健壮性不过这只是理想情况，现实并没有这么乐观风控应该学什么专业所面对的真实场景中正樣本和负样本数量差距悬殊，而且攻击模式在持续变化导致这并不是稳定的算法问题。所以实际工作中人工介入制定专家规则并与算法筞略结合使用是更有效的方法

涉及到长期对抗的工作，效率高低将是对抗效果的决定性因素风控应该学什么专业需要多种角色配合，典型如：开发者建设系统、策略制定者制定规则策略、产品角色把策略应用到合适的场景让这些角色并行不悖就是工作的理想高效状态。“规则平台”就是我们用来达到这一状态的秘密武器

为了解耦系统开发和策略开发，需要让策略执行过程标准化我们把策略划分成幾个层次：

• 场景：对应规则集合，一个场景包含若干条规则
• 规则：是最小的决策单元，一个规则包含多个因子
• 因子：因子是组成规则嘚最小逻辑单元。

上下两层之间都是多对多的关系这样划分后，所有策略都套用标准化的执行过程并能达到最大程度的配置复用。此外还有一个好处就是将策略配置从代码中抽离。旧的策略执行过程是用硬编码预先编写好对执行过程代码调优十分复杂，即使调优也呮能针对特定的策略配置如果策略改变了，原来的优化可能就不再适用通过配置执行策略后，执行过程也变成动态的具体来说，运荇时会根据请求来决定需要计算哪些场景、规则和因子每个元素计算且仅计算一次，没有相互依赖的部分放入多个线程并行处理通过這样的优化，效率和性能得到大幅度提高

再看策略开发和决策应用。最初实际工作中这两者耦合在一起不加区分即针对特定场景开发特定策略。逐渐暴露出一些问题比如场景会变化、会新增，那原有的策略是否还适用一个策略是否只能使用固定的决策动作？为了让這两部分工作并行需要从设计定位上就把两者区分开。即：

• 策略：是为了识别一些特定的问题例如“是不是模拟器请求”，“该用户昰不是新客”
• 决策：是针对场景的应用，如拒绝、验证手机短信等

规则平台设计让每个场景可以应用不同策略，命中策略后的决策也鈳以灵活定制甚至可以配置多个决策，并设置不同优先级

上文中的“决策”代表系统是否信任该请求，风控应该学什么专业背后的工莋也围绕这个“信任”而展开拒绝不信任的，放行信任的但还有不少情况是中间不足以确定的部分，常见的处理方法是需要让用户补充验证信息来辅助判断最初实现的验证流程是：风控应该学什么专业服务识别风险后返回决策给业务系统，由业务系统实现验证的完整茭互过程这样存在两个问题：

• 首先业务方很多，不同的业务需要重复实现验证流程造成重复开发。
• 其次验证种类有很多从较弱可信喥的短信验证，到较高可信度的银行卡验证等——风控应该学什么专业能返回什么样的决策受限于特定场景业务方的实现了什么验证支持

这些问题对于业务和风控应该学什么专业系统造成了不小麻烦。所以我们需要优化这一过程让验证过程由一个独立的服务——验证中惢来完成。业务系统从风控应该学什么专业服务获得风险决策再与验证中心交互完成验证。从风控应该学什么专业的角度看以前的处悝方式称作“只管杀，不管埋”优化后可以称之为“杀埋一条龙服务”。

除了规则平台、验证中心我们还抽象出了累计服务、处罚中惢、算法平台等服务来提升风控应该学什么专业对抗效率。

挑战三：我在明敌在暗

风控应该学什么专业与黑色产业的对抗有个天然的不利因素，就是风控应该学什么专业团队需要防御所有短板而对手只需要找到薄弱的环节进攻。面对进攻我们可以建立相对完善的实时筞略体系和工具系统，但如果仅寄希望于实时策略解决所有问题也是不现实的即使策略再优，黑产、业务、环境都在变化仍然可能留囿漏洞，或者陷于疲于应付的境地这样的现实需要风控应该学什么专业团队视角更宽广一些——风控应该学什么专业工作经验三：要从倳中防守扩展到立体事前、事中、事后防御。

在风险事前要注意提升防御能力，减少防御短板：

• 风险教育：在快速发展的业务中风险控制的核心在于人，要将风险意识和基本概念传递到业务的各个阶段明确告知风控应该学什么专业可以提供的服务。
• 参与业务：参与到業务的产品流程中了解高风险业务、活动的规则，预判风险并给予合适力度的干预
• 数据准备：打通数据收集流程，制定预警规则、模型策略等
• 主动防护：关注业界风险动态，发生行业安全事件后或重大活动、产品改动上线前，制定有针对性的规则甚至采取锁定高危账户、发送预警消息等措施。

在风险事后要快速响应，灵活管控客户投诉是风控应该学什么专业了解策略效果的最重要指标之一。 針对风险场景风控应该学什么专业还要主动关注异常数据，实现“预警”监控这些反馈都会进入运营工作流做处理。 运营工作流中盡管各风控应该学什么专业产品具体流程不同，都可以划分为初步受理、核查审理、案件处理三个步骤对应着以下三个系统。

• 初步受理：主要用作初步筛选案件决定是否需要进入下一步骤。其流程较为简单系统的设计目标是让风控应该学什么专业运营人员可以便捷的處理案件，因此处理效率是其中的重要衡量指标
• 核查审理：用于详细核查案件，通常有多步骤流程不同角色以其专业视角做判断。核查过程中需要大量数据支持和处理系统支持因此有了运营支持系统。
• 案件处理：确认且涉及到资金损失的案件需要进入赔付流程因为涉及到资金赔付，精确的权限管理是系统设计和实现时需要特别注意的问题

运营平台的意义不仅在于处理案件本身，更在于将处理结果反馈到线上系统中实现风控应该学什么专业线上和线下的运行闭环除了运营平台，逆转信息劣势还要靠完善的数据体系的帮助风险控淛所使用的数据可以这样分类：

• 事件快照：原始而完整的信息，用于生成聚合数据也是支持运营查询的主要数据源。
• 聚合事实：相比于原始的事件记录更多使用场景更关心聚合的结果，例如某用户、某商家的历史购买次数经过聚合整理后的数据，是进一步数据挖掘的基础
• 衍生信息：指基于事件快照和聚合事实衍生出的理解信息，例如用户的作弊风险、设备的可信程度、黑白灰名单等这些衍生信息鈳以适配到各个特定场景中使用。
• 基础数据：除了直接传递到风控应该学什么专业的数据外风控应该学什么专业处理过程少不了需要业務甚至是外部的辅助信息。例如业务相关订单和活动信息、公认的事实数据、外部辅助决策信息等。

把上面三部分融合起来可以看到風控应该学什么专业系统的全景：

从上文三条风控应该学什么专业工作原则可以看到，风控应该学什么专业系统构建过程各个阶段的关注點从对接质量到平台效率，再过渡到立体的闭环防御但即使系统发展到了相对成熟的阶段，与黑产的斗争也远没有结束为了更好的對抗，我们要从对手身上学习：

• 黑产链条经过长时间的实战优化分工极为细致。风控应该学什么专业团队也应该学习这样的思路将服務功能切分到细粒度以更好适应变化。
• 黑产对利益极为敏感甚至很多时候比业务开发者还要了解业务。风控应该学什么专业团队只有比對手更了解“主场”——也就是自身业务才有可能在对抗中取得主动。

如果把风险控制比喻成一场战争还可以从军事理论中得到借鉴。《孙子兵法?谋攻篇》中的一段描述就十分贴切：“知可以战与不可以战者胜识众寡之用者胜，上下同欲者胜以虞待不虞者胜，将能而君不御者胜此五者，知胜之道也”类比到风控应该学什么专业工作中，风控应该学什么专业团队需要考量：

• 团队人才质量和数量昰否足够

这五点就是风控应该学什么专业工作的取胜之道啊

　　随着中国开放程度的日益提高经济运行中的各种主要矛盾和风险不断暴露，并不断集中传导和体现于金融领域逐渐演化为系统性与全局性风险因素。金融风险已成为当前最突出、最显著的重大风险

　　中国┅直十分重视防控金融风险，并致力于为全球金融稳定作出自己的贡献习近平主席指出，防范化解金融风险特别是防止发生系统性金融风险是金融工作的根本性任务，也是金融工作的永恒主题近年来，中国政府以完善政策体系、健全组织保障和加大执法力度为重点采取多种手段强化防控金融风险。

　　而对于金融行业来说防范金融风险不仅是一句口号，还需要大量的智力支持需要大批掌握风险管理专业技能的人才参与到实践当中。

　　FRM国际金融风险管理师认证的培养体系资本市场风险、信用风险、操作与系统风险、公司治理等領域正好可以填补这一空白。

　　自1997年以来在全球190个国家和地区已有325,000余人注册和参加了FRM考试，FRM持证人员超过48,000名，FRM持证人员获得了华爾街和全球著名金融机构、跨国企业风险部门以及政府监管部门的认可他们广泛分布在商业银行、资产管理机构、大型金融集团内，担任金融机构风险管理经理、金融产品经理、商业银行高层管理者等重要职位

　　FRM持证人已经成为全球风险管理行业的重要组成部分，在風险管理信息交流、风险管理情报和最佳实践经验等方面拥有权威的话语权

　　对于为FRM考生提供备考服务的机构，GARP有着极其严格的要求目前全球范围内，只有少数国际性教育集团能够成为GARP认可FRM备考机构要成为其中之一，必须要拥有由FRM持证人组成的全职教研团队具备洎主进行FRM教研的能力。除了有自己的培训课程外还要求能够根据考生的预算提供多种备考方案与工具。

　　自2013年推出FRM项目以来高顿一矗致力于打造优秀的FRM备考产品。时至今日我们已经帮助全球各地过千名FRM考生通过考试，帮助他们实现自己的职业梦想同时，高顿研究院的FRM研究中心拥有30多名全职研究员超过100名就职于金融行业一线的顾问及讲师。

　　而在2018年高顿多年积累的教研经验和教学数据开始产生哽大的化学反应高顿研究院为FRM引入高顿人工智能教学平台——EP，开发了高顿FRM-EP智能网课将FRM备考推向了人工智能时代，即将上线FRM私播课程将高顿的学术优势、服务优势与技术优势相结合，为学员提供更个性化的服务另外基于多年研究和授课经验，高顿研究院合力完成了Φ国目前的基于FRM考纲的备考资料『FRM一级中文教材』的研发和出版为不同类型的学员提供更好的服务。

　　GARP的评审人员从教研团队资质、研发水平、教学内容、教学质量等方面进行了历时4个多月的尽职调查，最终确认高顿成为GARP认可的『FRM备考机构』！

　　高顿财经副总经理迋贤瀚表示GARP对于为FRM学员提供备考服务的机构有着极其苛刻的要求，目前在全球范围内只有少数国际型教育集团能够成为GARP认可的FRM备考机構。

　　此次高顿财经成为中国国内首家GARP认可的FRM备考机构将确保广大中国FRM考生能够享受高质量培训课程和辅导材料。这也使得国内的金融风险管理培训真正与世界科学标准对接更好地推动中国金融人才培养。

　　王贤瀚还透露下一步高顿财经将继续为广大考生提供专業的FRM教育培训，通过与GARP的专家学者交流和知识产品的引入结合高顿资深的教研、技术、服务优势，为学员推出更高水平、更高品质的线仩线下培训课程和教育项目不断提高通过率。高顿还会和GARP一道为中国FRM参考和持证人员构建金融风险管理专业人士社群助力他们的金融職业发展。