网赚：日进千刀: 麦肯锡：面对诸多复杂风险威胁，支付服务应构建更具弹性的支付系统

根据麦肯锡数据，从2018年到2023年，全球支付行业规模达2.4万亿美元，年增长率达7%。预计到2028年，该行业仍将保持5%的年增长率。然而，在这种强劲增长的背景下，支付服务提供商也处于一个风险日益增加的环境中。

根据麦肯锡全球支付地图的数据，从2018年到2023年，全球支付行业规模达2.4万亿美元，年增长率达7%。预计到2028年，该行业仍将保持5%的年增长率。届时，支付业务将占银行总收入的35%。然而，在这种强劲增长的背景下，支付服务提供商也处于一个风险日益增加的环境中。

本文探讨了影响支付生态系统的主要三个风险因素——新兴且迅速发展的欺诈形式、令人担忧的洗钱现象以及支付渠道的大量涌现，并分析了支付服务提供商应如何应对这些重大且不断加剧的威胁。

支付欺诈现象正在蔓延并愈发复杂化

鉴于欺诈行为的种类繁多，且有众多机构在追踪相关数据，因此很难给出有关支付欺诈增长的确切数字。不过可以明确的是，损失一直在增加，而且预计这种情况还将持续下去。据杰西普研究公司的一份报告预测，从2023年到2028年，网络支付欺诈的损失总额将超过3620亿美元。2024 年，特伦伍德公司指出，在其从18个国家调查的消费者中，超过一半的人表示自己曾成为欺诈行为的目标。另一个来源估计，2024年消费者因欺诈而损失的总金额超过1万亿美元。

大多数类型的支付欺诈事件都在不断增多，包括由伪造身份证引发的欺诈、实时支付欺诈、深度伪造/人工智能驱动的攻击、社会工程/网络钓鱼攻击、账户盗用欺诈（ATO）以及支票欺诈（详见侧栏"新兴欺诈趋势"）。

新兴的欺诈趋势

支付领域的欺诈行为之所以增多，主要有以下几个原因：首先，线上交易的迅速发展以及其全球化趋势使得支付成为欺诈者的主要作案途径。此外，还有以下因素：

人工智能在欺诈创新中的作用日益增强，尤其是在电子邮件、短信、电话诈骗以及收购企图方面。
在暗网上出售的大量个人身份信息（PII）/账户数据，背后有强大的犯罪团伙参与，他们收集并重新包装这些细节用于欺诈用途。
欺诈者的手段日益复杂，使得不太精明的消费者更容易受到诈骗和ATO（欺诈交易）的侵害。
客户对导致购买中断的障碍高度敏感。这一情况因保护客户并惩罚金融机构的法规而变得更为复杂——这使得客户变得不那么警惕，金融机构也不愿意中断交易。
实时支付的增长——与大多数欺诈类型相比，这种支付方式的可控性和可恢复性最低。

在打击欺诈行为的过程中，支付服务提供商面临着相互矛盾的迫切需求：他们需要投入资金用于研发先进的算法，以更好地识别欺诈行为，并且需要构建数字化流程，以便内部团队能够更轻松地识别出可疑活动。然而，过度侧重于欺诈预防可能会对客户体验产生负面影响（例如，出现误报从而触发不必要的警报），并且会限制收入潜力（例如，导致客户满意度下降或购物车被放弃率上升）。因此，一种将强大的欺诈检测与无缝客户体验相结合的平衡方法是至关重要的。例如，欺诈管理策略可以将与欺诈损失率、客户影响（退单率）以及欺诈决策的风险/收益偏好相关的绩效目标结合起来。

最后，尽管欺诈行为在不断增多，但客户对于得到全额赔偿的期望也变得越来越高。如今，客户往往认为服务提供方不仅会保护他们，还会在发生欺诈时为他们进行赔偿，即便是在他们自己已授权进行交易的情况下也是如此。在一项调查中，四分之三（77%）的客户表示，如果银行未能退还欺诈造成的损失，他们就会离开该银行；而在另一项研究中，只有6%的金融机构表示他们打算对所有欺诈行为进行赔偿（其中许多是按具体情况而定）。

随着欺诈手段不断演变，被盗取的个人身份信息变得更加容易获取，责任框架也在发生变化。因此，支付机构需要重新审视其应对策略——不仅要在控制措施方面做出调整，还要让客户参与到风险管理中来。

以下是一些建议的行动措施：

确保实施完善的身份验证流程。大多数机构都配备了多种身份验证技术，包括生物识别技术、行为分析（如用户打字或操作方式）、自拍和身份证件比对、用于银行卡交易的3D安全认证、收款人确认以验证收款详情、一次性密码以及文档扫描的光学字符识别等。然而，要使这些工具充分发挥作用，它们必须协同运行。作为实现这一整合的第一步，支付服务提供商可以利用声誉数据来识别可疑活动（例如，从开户流程或外部账户的关联信息中获取）。第二步是分析关联关系以识别与风险评级的欺诈详情的联系。最后，支付服务提供商可以将上述指标纳入评分/规则集或其他评估手段中，在发送资金之前进行审查。
构建欺诈解决方案。银行和其他支付服务提供商必须从各个方面着手打击欺诈行为，这应包括为客户提供教育资源和额外的产品服务。例如，花旗集团的"Citi Verify"服务为客户提供银行账户验证服务，以防止账户被不当使用。此类解决方案可以作为独立产品提供，也可以整合到客户开户流程中，或者作为每笔交易的检查（在资金释放或服务提供之前进行额外的验证）。银行可以自行开发工具，也可以与不断发展的欺诈供应商领域中的供应商合作。
在欺诈决策中纳入声誉数据以对抗第一方欺诈。对于银行账户支付，经验丰富的参与者会跟踪风险评级以及来源和目的地银行的指标——例如，他们会标记出存在高欺诈水平的情况，或者对某些来源银行的退款请求作出回应，或者当资金被汇往特定目的地银行时进行标记。信用卡提供商也会采用类似的方法对商户风险评级进行评估。声誉数据还包括支付提供商对客户拥有的信息（例如，退款、争议）以及来自诸如 LexisNexis 或 Telesign 等第三方声誉数据提供商或诸如早期预警服务等联盟的信息。一些建模服务提供商会收集并利用联盟数据（通过共享针对不同客户类型的清洁数据）来提高其模型和针对不同地域不同欺诈类型的规则集的准确性，从而帮助支付服务提供商提前应对不良行为者。
设计基于人工智能/机器学习的欺诈模型以检测特定类型。目前，大多数支付服务提供商采用一种简单的一刀切式方法来进行欺诈检测，导致大量误报。更有效的方法是针对相同的交易和数据运行多个针对特定欺诈途径的独立模型。支付服务提供商应根据产品、渠道和欺诈类型（例如，第一方欺诈、合成身份、账户盗用）设计欺诈模型，以提高区分欺诈者与非欺诈者的建模精度。支付服务提供商可以将交易监控与对微行为的分析、收款方确认、联盟数据和客户质疑相结合。人工智能和机器学习在此可以发挥辅助作用，用于识别触发因素。
用"良好客户"的检测能力来抵消误报。许多机构的误报率高达90%以上，而顶尖机构的误报率则在60%左右。这些顶尖机构通过将"优质客户"评分纳入考量，来抵消误报现象，并加强与客户的联系和体验。优质的客户评分可以基于账户活动（例如账单支付、直接存款、安全余额）；提供商还可以利用生成式人工智能来通过分析非结构化数据（例如长支付文件）以及客户旅程和导航历史来识别优质客户。
将客户作为第一道防线。客户可能是打击欺诈的最薄弱环节，也可能是最强大的资产。提供商可以通过让客户直接识别和应对风险来加强其防御措施。这种方法始于有针对性的教育和干预：例如，带有常见诈骗类型的安全门户、在交易过程中基于风险的提示以及关于高风险时刻的推送消息。一些提供商现在允许用户报告可疑内容以进行基于人工智能的诈骗评估。随着开放银行的不断发展，客户将越来越希望不仅能够掌控自己的数据访问权限，还能掌控其支付活动的保护机制。那些能够帮助客户安全地制定自身保护策略（例如通过定制限额或同意偏好设置）的机构——在不牺牲用户体验的前提下——将更有能力建立信任，并持续降低欺诈损失。

洗钱活动正在增多，人们对相关要求的期望也在不断加强。

每年有高达2万亿美元的资金通过全球金融体系进行洗钱活动。针对反洗钱（AML）的监管要求已经愈发严格（尽管美国的监管要求可能暂时有所放宽），相关的罚款（包括与违反制裁规定相关的罚款）在2023年全球范围内超过了 60亿美元——创下了历史新高。金融机构和支付服务提供商面临着越来越大的压力，需要在合规框架中提高检测能力和责任意识。

然而，值得注意的是，对反洗钱、了解你的客户（KYC）以及制裁合规系统的改进也能成为重要的增长动力和抵御风险的源泉。一流的合规措施能够减少"繁琐"的客户流程环节（如开户环节）中的障碍，从而提升客户体验和转化率。强大的反洗钱/了解你的客户系统还能为进入新的高风险且严格监管的市场提供所需的合规保障，并能提升声誉和信任度，从而吸引股东、客户和合作伙伴。

支付服务提供商可以通过关注以下三个主题来应对洗钱威胁以及反洗钱合规方面的挑战：

在支付生态系统中扩大客户尽职调查（KYC）和风险审查的范围。在当今的支付领域，KYC和筛查责任延伸至众多第三方，每个第三方都带来不同的风险。这些第三方包括发卡机构、商户收购商、金融科技公司、非银行服务提供商、支付服务提供者以及终端商户。根据其在价值链中的作用，组织可能需要对多个交易对手执行或验证尽职调查，通常对底层客户或商户数据的了解有限。然而，供应商仍可以利用现有数据进行交易监控（例如，基于风险的警报生成和调查、可疑活动报告提交），同时采取措施提高对相关方是否正在执行适当KYC措施的保证程度。供应商可以采取分层的方法来获取保证，从要求证明和程序文件开始，到定期进行风险和合规"同行访问"，对于高风险情况，还可以通过现场审查或第三方评估来行使审计权利。
加强持续监控。扎实的尽职调查只是第一步。支付机构还必须在可行的情况下实施持续交易监控机制，尤其是针对高风险领域。即使无法进行直接监控，相关实体仍可能有义务识别异常情况并报告可疑活动。随着监管要求的不断扩展，行业必须从定期检查转向持续监督和实时情报共享。
投资效率和现代化。随着金融犯罪分子变得愈发狡猾，服务提供商必须对自身能力进行现代化改造，以跟上步伐。然而，尽管进行了多年的投资，反洗钱和金融犯罪合规计划仍成本高昂且效率低下。例如，欧洲、中东和非洲（EMEA）地区的金融机构在 2023 年在金融犯罪合规方面的支出约为850 亿美元，这主要得益于专业人员的投入——而81%的EMEA金融机构计划减少这一支出。而且尽管进行了这些投资，全球范围内执法部门拦截的国际犯罪金融流动还不到1%。支付服务提供商在应对这些挑战时需要提高效率，他们将从依赖手动、基于规则的系统转向采用人工智能和生成式人工智能驱动的解决方案，以实现交易监控和调查工作。领导者们正在利用机器学习来识别复杂的行为模式和异常情况，但这种技术的广泛应用仍受到限制。

支付系统的大量涌现正在加大"威胁面"

在日益多极化的世界中，支付系统变得愈发复杂，出现了种类繁多的新国家、跨国和全球支付通道。这些包括全新的支付通道（例如稳定币或中央银行数字货币，如数字欧元），或者跨越国内即时支付通道（如在印度、马来西亚和新加坡，支付可以在一个系统上开始，而在另一个系统上结束）。这种趋势很可能会继续下去，因为各国当局力求增强主权，而支付运营商则希望提高抗风险能力。

除了加强本地化之外，一些政府还试图扩大其货币的使用范围（例如，中国有意用人民币来支付沙特的石油费用），以减少对外部系统的依赖。

随着新的策略和支付方案不断涌现，传统的保护机制（例如防范欺诈或反洗钱机制）可能并不总是能随之发展。为单一国内支付系统所构建的系统和控制措施如今面临着更为广泛的一系列威胁。

展望未来，金融机构必须整合完善且不受铁路系统限制的风险控制和监控措施，以确保安全的一致性并有效应对新出现的风险。这些措施可以借鉴现有的成熟技术（例如，针对电汇的反洗钱控制或针对银行卡的欺诈控制）。

这种方法充分利用了已证实的有效性，保持了客户信任，并有助于确保所有支付产品的合规性。选择这种路径的机构能够防范新技术中的潜在风险，同时还能保证其支付系统的完整性。

2025年的支付风险管理

更广泛地说，在应对不断变化的支付风险环境时，银行和支付服务提供商应当采取一种积极且具有战略性的态度，并基于一系列适用于所有风险类型的准则来制定策略：

接受适当的风险。对客户进行风险评估能够开辟新的收入来源。正如更完善的信用评估模型有助于更有效地管理风险并优化业务成果一样，更善于识别和管理支付风险不仅能减少客户摩擦，还能提供竞争优势和经济优势。
多元化。多元化既能降低风险，又能开辟新的增长机会。支付服务提供商可以通过建立新的代理银行关系和引入替代支付渠道来实现交易流的多元化，通过支持以其他货币计价的商品或替代货币结算选项来实现货币选择的多元化，以及通过新的和未充分发展的行业来实现商户细分的多元化。他们还可以探索替代支付渠道（例如，除了标准商户收购商之外还与数字钱包合作），并支持新的跨境清算机制以摆脱传统的代理银行网络。
利用成熟的方法并强化基础支持。为了确保在安全和合规方面采取全面的措施，应将来自成熟系统的强大欺诈防护措施整合到新的支付模式中。此外，基础的风险管理实践可能也需要得到加强；例如，为商家制定明确的风险偏好政策。
采用基于流程的方法。改进支付客户旅程中最关键但往往繁琐的环节（如开户和争议管理）的流程，可以提高客户留存率和满意度，同时降低运营风险。一个流程越需要人工操作和繁琐处理，就越有可能出现难以通过自动化方式规避的风险（示例）。

利用人工智能和先进技术发起攻势：在反欺诈方面，人工智能是一把双刃剑，它为支付服务提供商提供了对抗诈骗行为的工具，但同时也让诈骗者有了创新的空间。银行和支付服务提供商应当利用人工智能和先进技术来更有效地检测和预防欺诈行为，并领先于不法分子。

在支付业务日益复杂的运营环境中，风险将会进一步加大。上述策略不仅能降低风险，还能开辟新的收入机会，为长期的成功和增长铺平道路。

说明：本文译自《Guardrails for growth: Building a resilient payments system》，网址：https://www.mckinsey.com/industries/financial-services/our-insights/guardrails-for-growth-building-a-resilient-payments-system，文章内容和数据仅供参考，不构成投资建议。投资者据此操作，风险自担。

GeeWallet，专注于为跨境出海企业提供一站式跨境支付解决方案，如有中东阿联酋、东南亚（泰国、越南、马来西亚、印尼、菲律宾）、拉美（厄瓜多尔、阿根廷、智利、墨西哥、巴西、哥伦比亚、秘鲁等）等全球收单需求，以及跨境收单系统、VCC发卡系统、跨境收款系统等需求的，欢迎扫描下方客户经理二维码，或登录GeeWallet官网了解详情。