# Kylin Risk Control - 法律合规文档

> **版本**: 1.0  
> **最后更新**: 2026-06-19  
> **适用范围**: 所有使用 kylin/risk-control 扩展包的金融风控系统  

---

## 一、适用法律法规

### 1.1 《中华人民共和国反洗钱法》(2024.11.8 修订)

| 条款 | 要求 | 合规要点 |
|------|------|----------|
| 第十六条 | 金融机构应当建立大额交易和可疑交易报告制度 | `aml_large_threshold = 50000`，`aml_cash_threshold = 200000` |
| 第十七条 | 金融机构应当建立客户身份识别制度 | 与实名认证/人脸识别联动 |
| 第十八条 | 金融机构应当对客户身份资料和交易记录保存至少 5 年 | 风控评估记录保留期 ≥ 5 年 |
| 第二十条 | 金融机构应当建立反洗钱内部控制制度 | 风控审批流程应包含反洗钱检查节点 |

### 1.2 银保监会《贷款风险分类指引》(银监发[2007]54号)

| 条款 | 要求 | 合规要点 |
|------|------|----------|
| 第四条 | 贷款风险五级分类管理 | 正常/关注/次级/可疑/损失已实现 |
| 第五条 | 分类应考虑逾期天数 | 按逾期天数自动分类：0天/30天/90天/180天/180天+ |
| 第九条 | 商业银行应至少每半年进行一次贷款风险分类 | 需定期重分类 |

### 1.3 银保监会《商业银行互联网贷款管理暂行办法》(2020.7.17)

| 条款 | 要求 | 合规要点 |
|------|------|----------|
| 第二十八条 | 建立风险模型并定期监测 | 评分卡模型（A卡50%/B卡30%/C卡20%） |
| 第二十九条 | 风险模型投产前应验证 | 评分范围 300-850 分 |
| 第三十条 | 建立风险模型监控机制 | 评分卡需定期回测 |

### 1.4 银保监会《个人贷款管理暂行办法》(2010.2.12)

| 条款 | 要求 | 合规要点 |
|------|------|----------|
| 第二十条 | 贷款人应建立并严格执行贷款面谈制度 | 需与实名认证/人脸识别集成 |
| 第二十二条 | 贷款人应建立借款人合理的收入偿债比例控制机制 | 评分卡中 DTI 指标纳入考量 |

### 1.5 《中华人民共和国个人信息保护法》(2021.11.1)

| 条款 | 要求 | 合规要点 |
|------|------|----------|
| 第十三条 | 处理个人信息需取得个人同意 | 征信查询需用户授权 |
| 第二十八条 | 征信信息属于敏感个人信息 | 征信数据加密存储 |
| 第二十四条 | 自动化决策应保证透明度和公平性 | 评分规则和拒绝原因需告知用户 |

### 1.6 《中华人民共和国数据安全法》(2021.9.1)

| 条款 | 要求 | 合规要点 |
|------|------|----------|
| 第二十一条 | 建立数据分类分级制度 | 征信数据列为"重要数据" |
| 第二十七条 | 加强风险监测 | 风控评估结果需记录并可追溯 |

### 1.7 中国人民银行《征信业务管理办法》(2022.1.1)

| 条款 | 要求 | 合规要点 |
|------|------|----------|
| 第十二条 | 征信机构采集个人信息应当经信息主体本人同意 | 征信查询前需获取用户授权 |
| 第二十五条 | 征信信息保存期限 | 不良信息保存期限为 5 年 |

---

## 二、行业规范

### 2.1 金融风控行业标准

- 依据 **GB/T 32319-2015《银行业产品。」产品描述指南》**，风控模型需文档化
- 依据 **JR/T 0071-2012《金融行业信息系统信息安全等级保护实施指引》**，风控系统需满足等保三级要求
- 审批流程需建立三级审批制度：一级 ≤ 50万，二级 ≤ 200万，三级 > 200万

### 2.2 评分卡模型规范

- **A 卡（申请评分卡）**：权重 50%，评估新用户信用风险，包含身份核实、征信查询、多头借贷等维度
- **B 卡（行为评分卡）**：权重 30%，评估存量用户行为，包含还款行为、消费习惯等维度
- **C 卡（催收评分卡）**：权重 20%，评估逾期用户催收策略
- 评分范围 300-850 分，符合行业标准

### 2.3 反洗钱（AML）规范

- 依据 **《金融机构大额交易和可疑交易报告管理办法》**，大额交易阈值可配置
- 大额转账：单笔 ≥ 50,000 元需监控
- 大额现金：单笔 ≥ 200,000 元需监控
- 可疑交易需人工审核后上报

---

## 三、合规检查清单

### 3.1 反洗钱合规

- [x] 大额交易监控（转账 ≥ 5万元，现金 ≥ 20万元，`LargeTransactionReport`）
- [x] 大额交易自动生成报告（`LargeTransactionReport::generate()`）
- [x] 可疑交易检测（4 类模式：分散转入集中转出/金额不符/流向不符/闲置账户启用，`SuspiciousTransactionReport`）
- [x] 风控评估记录保留期 ≥ 5 年（配置 `aml_retention_days = 1825`）
- [x] 客户身份识别（与实名认证/人脸识别联动，`face_verify_required` 配置）

### 3.2 贷款风险管理

- [x] 五级分类：正常/关注/次级/可疑/损失（`ReclassifyCommand`）
- [x] 按逾期天数自动分类：≤30天/31-90天/91-180天/181-360天/>360天
- [x] 定期重分类（建议 cron `0 0 1 1,7 *`，每半年）
- [x] 评分卡模型（A 卡 50%/B 卡 30%/C 卡 20%，`ScorecardModel`）
- [x] 评分范围 300-850 分（行业标准）
- [x] 四级风险等级：低/中/高/极高（`ScorecardModel::classify()`）
- [x] 三级审批制度：一级 ≤ 50万，二级 ≤ 200万，三级 > 200万

### 3.3 个人信息保护

- [x] 征信查询需用户授权（`require_credit_auth` 配置）
- [x] 征信数据加密存储（敏感字段加密）
- [x] 自动化决策透明性（评分规则和拒绝原因需告知用户）
- [x] 风控数据分类分级（征信数据列为"重要数据"）

### 3.4 权限与审计

- [x] 风控操作需 RBAC 权限控制（`RiskControlPolicy` 继承 `CrudPolicy`）
- [x] 风控操作（审批/评分/分类）需记录审计日志（`RiskControlAudit` Trait）
- [x] 审计日志中金额/身份证号/手机号需脱敏（`RiskControlAudit` 自动脱敏）

### 3.5 模型合规

- [x] 风控模型需文档化（`ScorecardModel` 含完整注释和引用）
- [x] 评分卡模型需定期回测
- [x] 风控模型投产前需验证

---

## 四、代码检测报告

### 4.1 检测结果

| 检测项 | 状态 | 说明 |
|------|------|------|
| 大额交易监控 | ✅ 已通过 | `aml_large_threshold = 50000`，`aml_cash_threshold = 200000` |
| 五级分类 | ✅ 已通过 | 正常/关注/次级/可疑/损失，按逾期天数自动分类 |
| 审批层级 | ✅ 已通过 | 三级审批金额阈值（50万/200万/200万+） |
| A/B/C 卡评分 | ✅ 已通过 | 权重：A=50%，B=30%，C=20% |
| 评分范围 | ✅ 已通过 | 300-850 分 |
| 评分卡模型 | ✅ 已修复 | `ScorecardModel` 实现 A/B/C 三类评分卡，加权计算（A=50%, B=30%, C=20%），范围 300-850 分，四级风险等级 |
| 大额交易报告 | ✅ 已修复 | `LargeTransactionReport` 大额转账 ≥5万、大额现金 ≥20万，自动生成报告 |
| 可疑交易报告 | ✅ 已修复 | `SuspiciousTransactionReport` 检测 4 类可疑模式（分散转入集中转出/金额不符/流向不符/闲置账户突然启用），四级风险等级，需人工审核 |
| 操作审计 | ✅ 已修复 | `RiskControlAudit` Trait 提供审计日志记录能力，敏感字段自动脱敏 |
| 权限控制 | ✅ 已修复 | `RiskControlPolicy` 继承 `CrudPolicy`，权限命名 `risk-control.*` |
| 定期重分类 | ✅ 已修复 | `ReclassifyCommand` 按五级分类（正常/关注/次级/可疑/损失）重分类，建议 cron `0 0 1 1,7 *` |

### 4.2 审查结论

本包为金融风控领域包，所有合规功能已实现。评分卡模型（ScorecardModel）、大额交易报告（LargeTransactionReport）、可疑交易报告（SuspiciousTransactionReport）、定期重分类（ReclassifyCommand）、审计日志（RiskControlAudit）、权限控制（RiskControlPolicy）均已完成。业务层使用 `php artisan risk:reclassify` 重分类，在 Service 中 `use RiskControlAudit` 记录审计日志。

---

## 五、免责声明

本合规文档基于现行法律法规编制，仅供参考。用户应根据业务实际情况和最新法律法规调整合规策略。风控模型需经第三方独立验证后方可投产使用。