越来越多的央国企穿透式监管培训中，笔者逐渐注意到一个值得思考的问题。

当我讲到规则模型设计时，台下法律合规风控人员的反应是比较复杂的。

有好奇，有焦虑，也有困惑，就是这件事跟我到底有什么关系？

一位学员反馈说，规则模型听起来是技术部门的事情，法律合规人员需要懂这个吗？

我的意见是，如果法律合规人员，包括内控风控人员，想在穿透式监管时代保持专业竞争力，那么规则模型设计能力，绝对是绕不开的新技能。

原因不复杂。规则模型作为穿透式监管的智能中枢，已经被提到了前所未有的高度。

规则模型说白了，是把制度文本转化成系统可以自动执行的规则。

但是，谁来做这个转化工作？

技术人员？可能不懂业务逻辑和合规要求；业务人员？可能不懂系统怎么实现。

只有法律合规人员，既懂制度条款的含义，又懂风险管控的逻辑，最有可能成为连接业务语言和技术语言的桥梁。

但问题在于，大多数法律合规人员习惯了执行制度，而不是定义规则。

规则模型设计恰恰需要后者。

如何从制度执行者转变为规则定义者？

基于对穿透式监管政策的研究和在央企的实践经验，我提出了一套标准化的方法，也就是规则模型六要素方法论。

掌握这六个要素，就掌握了规则模型设计的核心能力。

01 规则模型六要素

无论应用于哪个业务领域，一个完整的规则模型都包含六个核心要素。

风险场景定义、数据来源梳理、规则逻辑构建、预警阈值设定、处置动作设计、模型迭代机制。

这六个要素之间存在严格的递进关系。

前一个要素的输出，是后一个要素的输入。风险场景说清楚了，才能往下梳理判断依据从哪里来。数据确认可获取了，才能动手构建怎么判断的条件表达式。

判断逻辑完成了，才能设定多严重才报警的阈值。风险等级分出来了，才能定义谁来处理、怎么闭环的处置流程。模型上线运行了，才能积累数据回答怎么让模型越用越准的问题。

六个要素构成了一条从业务到技术、从静态到动态的完整逻辑链。理解这条逻辑链，是正确掌握规则模型设计方法的前提。

要素一： 风险场景，回答管什么的问题

风险场景是规则模型的逻辑起点。没有清晰的风险场景界定，规则模型就会陷入什么都想管、什么都管不好的困境。

界定风险场景需要回答三个问题。一，这个业务领域的核心流程是什么，关键控制节点在哪里。只有理解了业务流程，才能知道风险可能出现在哪个环节。二，这个领域曾经出过什么问题。内控评价、审计报告、巡视反馈、投诉举报都是识别风险场景最直接的来源。三，监管政策在这个环节有什么特殊要求。国资委的重点关注领域、行业监管的红线，都是确定风险场景的重要依据。

风险场景的界定遵循从宏观到微观的路径。先从业务领域整体出发，识别出若干大类风险，然后对每一类风险进行细分，直到形成可操作的场景单元。

拿采购与供应链领域来说，可以先划分为招标采购、供应商管理、合同履约、价格管理等大类。

招标采购又可以进一步细分为围标串标、虚假投标、资质造假、评标违规等具体场景。

场景分得越细，后续的规则设计就越有针对性。

对于法律合规人员来说，风险场景的识别恰恰是传统强项。审计报告看过，巡视反馈读过，违规案例处理过，这些经验正是界定风险场景最宝贵的素材。

要素二：数据来源，回答判断依据从哪里来的问题

数据来源是规则模型的技术基础。它决定需要采集哪些数据来支撑规则判断。

规则模型的准确性，从根本上取决于数据来源的完整性、准确性和及时性。来源不完整，模型就会因为缺少关键判断维度而产生漏报。数据质量差，模型的判断就是垃圾进、垃圾出。

确定数据来源需要遵循三个原则。完整性原则，覆盖规则判断所需的所有数据维度，不能有遗漏。以围标串标识别为例，既需要采购平台的投标数据，也需要工商信息库的股权数据，还需要历史投标记录的行为数据，缺一不可。准确性原则，数据来源可靠、采集过程规范、数据质量可验证。从源头系统直接采集的数据优于人工填报的数据，经过清洗和校验的数据优于原始数据。及时性原则，数据能够实时或准实时地进入规则模型，时延过大会导致判断的时候风险已经发生了。

数据来源的梳理对法律合规人员提出了新的要求。不能再满足于知道这件事该管，还需要知道这件事需要什么数据来证明。这就要求法律合规人员深入理解各业务系统的数据结构。

要素三：规则逻辑，回答怎么判断的问题

规则逻辑是规则模型的核心。它将风险场景中蕴含的业务判定经验，转化为由若干规则条目通过逻辑运算符组合而成的完整判定单元。

一条规则逻辑是一个能够独立作出是否触发预警决策的最小运行单元。

规则条目是规则逻辑的最小原子，每个条目只包含一个判断变量、一个判断算子和一个阈值或比对值。条目通过“与”组合表示所有条件必须同时满足，通过“或”组合表示至少一个条件满足即可，通过“非”组合表示排除条件。

规则逻辑解决的是转化过程中的核心问题，就是把业务专家头脑中的违规判定逻辑，转化为计算机可执行的条件表达式。

这是从业务语言到技术语言的关键转化。

拿融资性贸易识别来说。制度规定不得开展融资性贸易，这是业务语言。法律合规人员需要将其转化为规则逻辑。

如果上下游关联路径不超过两层，并且采购付款日期早于或等于销售回款日期，并且毛利率低于百分之一，并且购销合同相似度达到百分之九十以上，那么就触发融资性贸易预警。

从不得开展融资性贸易到这么一串条件表达式，这就是规则逻辑构建的本质工作。它不要求法律合规人员写代码，但要求他们把制度的模糊表述转化为系统可执行的精确判定。

要素四：预警阈值，回答多严重才报警的问题

预警阈值是判定条件的临界值。它为每条规则逻辑设定触发后的风险等级。

阈值的设定直接影响模型的准确率。阈值过松，大量误报会消耗有限的核查资源，导致狼来了效应。阈值过紧，则存在漏报真实风险的可能。阈值的设定需要结合管理实际。初期可以适当宽松，避免过多干扰正常业务，后续根据运行数据逐步收紧。

预警等级的设定依据是信号与风险核心特征的关联强度。直接触及核心特征的信号设定为红色高风险。具有指向性但单独证明力有限的信号设定为黄色中风险。

法律合规人员在设定阈值时，需要回答一个关键问题。到什么程度算违规，这个程度必须是可以量化的。如果制度说采购价格不得显著高于市场价，那显著是多少，百分之十还是百分之二十还是百分之五十。法律合规人员需要基于历史数据和行业惯例给出一个明确的数值。

要素五：处置动作，回答发现后怎么办的问题

处置动作是闭环保障。它定义预警触发后的三个层面的内容。

系统自动做什么，是暂停付款流程还是仅推送工单。人工怎么介入，推送给哪个岗位、什么时限内完成核查。超期怎么办，超期多长时间升级至哪一级管理层。

没有处置动作的规则模型只是一个数据观察器，无法真正驱动管理行动。处置动作的设计，本质上是将发现风险转化为解决问题的完整闭环。

法律合规人员在设计处置动作时，需要明确预警推送给谁、什么时限内完成核查、核查结论如何反馈、整改如何跟踪、销号如何完成。这些问题的答案就是处置动作的设计内容。

要素六：模型迭代，回答怎么让模型越用越准的问题

模型迭代记录解决的是持续优化问题。规则模型不是一次性工程。随着政策变化、业务调整和运行反馈，规则需要持续迭代。

迭代的驱动因素有几个方面。监管政策变化，新规定出台或者旧规定修订。业务模式变化，新业务形态或者新交易结构出现。运行反馈，误报率过高或者漏报率过高。

迭代机制的建立要求法律合规人员从写完制度就完事的习惯，转变为持续跟踪规则的运行效果并推动优化的习惯。需要建立规则运行台账，记录每条规则的触发次数、准确率、误报率。需要定期评估规则有效性，判断哪些规则需要调整阈值、哪些规则需要重构逻辑。需要建立规则变更管理流程，明确谁提变更、谁审批、谁实施、谁验证。

02 六要素体现的能力结构

规则模型六要素，不是六个孤立的知识点，而是一套完整的能力框架。掌握这六个要素，意味着法律合规人员具备了一种复合型的能力结构。

这种能力结构可以从几个层面来理解。

第一个层面，从抽象规范到具体条件的转化能力

法律与制度本质上是抽象的。不得、应当、严禁，这些词在法律文本中有明确的含义，但计算机系统无法执行。

规则模型设计要求法律合规人员把这种抽象规范转化为一系列可计算、可判定的具体条件。

这种转化能力的本质是什么。

我认为它类似于法律解释学中的演绎推理，但又不完全相同。法律解释是在规范与事实之间来回穿梭，而规则转化是在规范与数据之间建立映射。

你需要回答的不是这个行为是否构成违规，而是这个行为的哪些可观测特征可以被用来判定是否构成违规。

举个例子。制度说不得开展融资性贸易。法律合规人员需要思考，融资性贸易在数据层面会留下什么痕迹。上下游之间存在关联关系是一种痕迹，采购付款早于销售回款是一种痕迹，毛利率异常偏低是一种痕迹，购销合同高度相似是一种痕迹。

把这些痕迹转化为可计算的指标，再设定组合条件和阈值，就完成了从规范到条件的转化。

这种能力的训练方式与传统法律工作完全不同。传统法律工作训练的是对规范的理解和适用，而规则模型设计训练的是对规范的可计算化表达。

前者追求解释的准确，后者追求条件的精确。两者都需要扎实的法律功底，但后者额外需要一种将规范“拆解”为可观测指标的能力。

第二个层面，从规范要求到数据需求的关联能力

传统的法律合规工作围绕规范展开。制度怎么规定，流程怎么设置，权限怎么划分。

规则模型设计要求法律合规人员进一步追问，这条规范需要什么数据来验证，数据从哪里来，数据质量如何保证。

这种关联能力的核心在于，你要能够把一个规范命题转化为一个数据命题。

制度说重大投资必须经过董事会审批。转化为数据命题就是，系统中是否存在该投资事项的董事会决议记录，决议记录的日期是否早于投资款项支付日期，决议记录中的投资金额是否与实际支付金额一致。

这三个数据命题任何一个不成立，都意味着规范可能没有被遵守。

这种从规范到数据的思维跳跃，对法律合规人员来说可能需要刻意训练。传统工作中，我们关注的是文件有没有、签字全不全、程序对不对。

而规则模型设计中，我们需要进一步追问，这些文件、签字、程序在系统中留下了什么数据，这些数据以什么结构存储，如何被自动读取和校验。

法律合规人员的优势在于，我们知道哪些规范要求是关键的、哪些环节最容易出问题、哪些违规行为后果最严重。

但同样，我们需要补充的，是把这些专业判断转化为数据需求的能力。也就是向信息化部门说清楚，我需要什么数据、什么格式、什么频率、什么质量要求。

第三个层面，从静态合规到动态治理的演进能力

传统法律合规工作的一个显著特征是周期性。年度内控评价、年度合规检查、年度风险评估，工作节奏基本是按年展开的。规则模型设计要求的恰恰是持续性。

模型上线后，需要持续关注它的命中率、准确率、误报率、漏报率。数据发生变化，模型要跟着调。业务发生变化，模型要跟着改。监管政策发生变化，模型要跟着更新。

这种持续跟进和迭代的工作方式，与传统法律合规工作的节奏完全不同。

这种演进能力的核心是建立起一套反馈和优化机制。

规则运行产生数据，数据反映规则的效果，效果评价驱动规则的调整。你需要定期审视哪些规则的误报率太高需要调阈值，哪些规则的漏报率太高需要重构逻辑，哪些规则已经不再适用需要下线，哪些新的风险场景需要新建规则。这是一个循环往复、持续优化的过程，没有终点。

第四个层面，从专业判断到技术表达的沟通能力

规则模型设计必然涉及与技术人员的协作。法律合规人员不写代码，但需要把模型设计思路传达给技术人员，确保技术实现与管理意图一致。

这要求法律合规人员具备一种特殊的沟通能力，既不是纯粹的法律语言，也不是纯粹的技术语言，而是一种介于两者之间的“规则语言”。

这种语言的核心特征是结构化，风险场景是什么、数据来源有哪些、判定条件怎么写、阈值怎么设、处置动作怎么定，每个要素都有明确的格式和颗粒度要求。

当你能够用这种结构化的规则语言跟技术人员沟通时，沟通效率会大幅提升。技术人员不再需要猜测你到底想要什么，你也不再需要反复解释为什么系统实现的结果跟你的预期不一样。

03 法律合规人员如何训练这种能力

从法律合规人员熟悉的角度出发，本文提出，可通过以下几个路径逐步掌握规则模型设计技能。

路径一，从制度修订入手练习规则化表达

在修订制度的时候，尝试把每一条禁止性条款改写成条件表达式的格式。不得围标串标可以改成，如果不同投标人投标文件创建码相同或者机器码相同或者文本错误雷同处超过五处，则触发围标串标预警。

不是真的去写代码，只是练习把模糊表述变成精确条件的思维方式。

路径二，从已有规则模型入手练习逆向拆解

拿到一个现成的规则模型，比如融资性贸易识别模型，逆向拆解它的六个要素。风险场景是什么，数据来源有哪些，规则逻辑怎么写，阈值怎么设，处置动作怎么定，迭代机制怎么建。拆解一遍，比读十遍理论都管用。

路径三，从具体业务场景入手练习全流程走一遍

选一个你熟悉的业务场景，比如你经常审核的某类合同或者你经常检查的某个流程，用六要素框架走一遍完整的规则模型设计。从风险场景界定开始，到数据来源梳理，到规则逻辑构建，到阈值设定，到处置动作设计，到迭代机制建立。走完一遍，你就能体会到从业务语言到技术语言的完整转化过程。

小结一下：穿透式监管正在重新定义法律合规人员的专业边界。过去，法律合规人员的核心能力是读懂制度、写好制度、执行制度。现在，还需要增加一项能力，就是把制度翻译成系统可执行的规则。规则模型六要素，提供了一套标准化的翻译方法。掌握这六个要素，就掌握了从制度执行者到规则定义者跃迁的核心技能。