RBA: podejście oparte na ryzyku

1) Co to jest RBA i dlaczego jest potrzebne

• zachować konwersję i LTV klientów bona fide,
• ograniczenie oszustw, incydentów związanych z AML i obciążeń zwrotnych,
• spełniają wymogi organów regulacyjnych/banków/PSP i systemów.

2) Mapa ryzyka: co ocenić

1. Klient (KYC): wiek konta, poziom, opady deszczu, dokumenty, SoF/SoW, PEP/negatywne media, historia depozytów/wypłat, obciążenia zwrotne.

2. Kontrahent (KYB): jurysdykcja, UBO/dyrektorzy, licencje, sankcje, płatności „zdrowie” (AR/CBR).

3. Transakcja/zachowanie: suma/częstotliwość, prędkość, wyniki AVS/CVV/3DS, spójność urządzenia/IP/Geo, wykres łącza.

4. Metoda płatności/dostawca: card/A2A/wallet/crypto, jakość ACS/emitentów, ryzyko KYT, degradacja PSP.

5. Geografia i regulacja: sankcje, wysokie ryzyko FATF, lokalne tryby SCA/TRA, ograniczenia wieku/gry.

6. Produkt/Scenariusz: Szybkie wyjazdy, Zasady premii, Wysokie limity, Turnieje.

3) Wskaźnik ryzyka i segmentacja

• Niskie ryzyko (0-30): zweryfikowany klient, dopasowanie geo, pozytywna historia, metoda niskiego ryzyka.
• Średnie ryzyko (31-70): nowe rachunki, międzynarodowe BIN, częściowe niedopasowanie AVS/adres, rzadkie metody.
• Wysokie ryzyko (71-100): PEP/media niepożądane, prędkość anomalna, szybkie wstawienie, geo sankcjonowane/wysokie ryzyko, krypta z wysokim KYT.

Prędkość to sygnał, a nie zdanie: ostateczna decyzja to macierz RBA.

4) RBA Matrix: Zasady według segmentu

5) RBA i SCA/3DS (wyjątki TRA)

W strefach PSD2 wykorzystaj analizę ryzyka transakcji (TRA) dla partnerów o niskim wskaźniku oszustw: pomiń operacje niskiego ryzyka bez wahań, zachowując profil odpowiedzialności.

• „wynik ≤ T1” → zatwierdzenie/brak tarcia (jeżeli dostawca dopuszcza TRA),
• „T1
• 'wynik> T2' → metoda spadkowa/alternatywna.
• Weź pod uwagę koszt wyzwania i ryzyko obciążenia zwrotnego: RBA to optymalizacja ekonomiczna, a nie tylko „bezpieczeństwo”.

6) Integracja RBA z procesami

6. 1 KYC/KYB

Progresywny KYC: Wraz ze wzrostem ryzyka/limitów, dodaj PoA, SoF/SoW, video-KYC.
KYB-RBA: offshore/complex UBO/PEP → EDD i ograniczone limity, prosty CDD → szybki go-live.

6. 2 Orkiestra płatności

BIN/geo/risk scoring routing: low-risk → PSP z najlepszym AR, high-risk → PSP z silnym 3DS/ARF.
Auto Retrai: miękki spadek → powtórzyć z 3DS; Naprawić idempotencję.

6. 3 AML/krypta

Zasada Silnik z progami według segmentów (strukturyzacja, szybkie wbudowanie, muł).
KYT: adresy/wymiany z wysokim ryzykiem → alerty o wysokiej powadze i trzymaj.

7) Polityka progowa i czynniki uruchamiające

• Ilość ≥ lokalny próg S - lub obrót ≥ S - (30/90 dni).
• Niekonsekwentny GEO (IP i BIN i bill_country), nowy BIN wysokiego ryzyka.
• Przyspieszony depozyt → cykl wycofywania (≤ 30-60 min).
• PEP/niekorzystne media/sankcje (twarda bandera).
• Krypta na/off-rampie bez wymiany KYC/wysoki KYT.

• Token sieciowy, stabilne płatności COF, dobra historia pokryta SoF/SoW, wysoki poziom KYC.

8) UX do RBA (minimum tarcia)

Przejrzyste powody: „Musisz potwierdzić adres, aby zwiększyć limit”, „Bank prosi o SCA - potwierdzenie w aplikacji”.
Alternatywy: gdy spadek, zaoferować A2A/wallets.
Pomoc kontekstowa: listy kontrolne dokumentów SoF/PoA, lokalizacja wymagań.
Chłodnice i miękkie uchwyty z zegarkami zamiast „głuchych” bloków.

9) Dane, przechowywanie i prywatność

Minimalizacja PII, segregacja pamięci masowej (PAN-safe), szyfrowanie, RBAC.
Dzienniki decyzji RBA: „risk _ score”, kluczowe cechy (top-k), podjęte działania, wynik.
Zatrzymywanie zgodnie z prawem (często 5 + lat dla przypadków zgodności).
Procedury DSR (dostęp, naprawa, usunięcie).

10) Metryka RBA i kontrola jakości

Biznes/konwersja

Stawka zatwierdzenia, Koszt/zatwierdzone.
Frictionless %/3DS rate/Challenge success%.

Ryzyko

Współczynnik obciążenia zwrotnego (CBR%) w segmentach (Low/Med/High).
Fraud-loss/1k txn, konwersja SAR (od wpisów do raportów).

Procesy

Wskaźnik trafienia SLA przez pokład/wyjście/EDD.
Fałszywy dodatni wskaźnik reguł/punktacji, udział eskalacji bez znalezisk.
Czas do decyzji p95 według kluczowych wydarzeń.

Kalibracja

ROC/PR z wagami kosztów (ważonymi zyskiem), punktacją Brier (kalibracja ryzyka), dryfem danych (PSI).

11) Zarządzanie i zmiany

Polityka RBA: opisać czynniki ryzyka, progi T1/T2, role, wyłączenia.
Kontrola zmian: RFC i A/B dla nowych zasad/progów; wydanie magazynu.
Karta modelowa: właściciel, wersja, KPI, data następnego przeglądu.
Kwartalny przegląd wyników i retrospektywnie utraconych spraw/incydentów.
Ciągłość działania: dostawcy awaryjni KYC/KYT/PSP, scenariusze degradacji ACS/emitenta.

12) Przykłady scenariuszy RBA

A. Nowy klient, ta sama karta krajowa, niska kwota

Prędkość niska → bez tarcia/zatwierdzenia, poziom 1 jest wystarczający, bez PoA.

B. Klient z historią, wysoki depozyt, nowy GEO/IP

Średnia prędkość → wyzwanie 3DS + PoA przy przekroczeniu progu S, wyjście T + 1.

C. Szybki depozyt → wypłata, krypta off-ramp

Szybki high → hold, SoF request (raport wymiany + KYT), z czystością - częściowe zwolnienie.

D. Partner affiliate z nieoczekiwanym wzrostem ruchu z GEO wysokiego ryzyka

Szybkość KYB, KYB → terminy, recenzje kanału/domeny, płatności T + 1-T + 3.

13) Anty-wzory

Jeden rozmiar dla wszystkich: jednolite rygorystyczne wymagania KYC/SoF → spadek konwersji.
Tylko zasady lub ML: brak sieci bezpieczeństwa lub możliwości wyjaśnienia.
Ignoruj ekonomię: optymalizacja AUC zamiast ekonomii jednostki.
Brak logowania rozwiązań: Nie można chronić pozycji audytu.
Progi skręcone: wzrost CBR → zbyt delikatnie; zbyt trudne → straty przychodów.
RBA poza kontekstem geo/regulacyjnym: PSD2/TRA, lokalne limity nie są brane pod uwagę.

14) Lista kontrolna wdrażania (krótki)

• Mapa ryzyka (klient/kontrahent/transakcja/geo/metoda/produkt).
• Złożona stopa ryzyka + segmenty (niska/Med/wysoka).
• Matryca rozwiązania dla KYC/KYB/Płatności/AML/Wypłaty.
• polityki SCA/3DS i TRA; progi T1/T2 z kalibracją ekonomiczną.
• Integruje się z orkiestrą: routing, retray, holds, idempotency.
• Deski rozdzielcze KPI (AR/CBR/Frictionless/Cost) i wpisy SLA.
• Zarządzanie: RFC/magazyn, mapa modelu, recenzje kwartalne.
• Scenariusze degradacji (ACS/emitent/PSP/KYC/KYT).
• Polityka danych: minimalizacja PII, szyfrowanie, retencja, DSR.
• Szkolenia dowódcze (ryzyko/płatności/zgodność/wsparcie) i playbooks.

15) Podsumowanie

RBA to „operacyjna logika zdrowego rozsądku”: tyle samo kontroli, ile potrzebujesz. Łączenie punktów, zasad i progów ekonomicznych, rozważenie geo i regulacji, uczynić punkt tarcia (SCA/TRA), a decyzje wyjaśnione i wymierne. Następnie szyny płatnicze pozostaną szybkie, ryzyko pozostanie zarządzalne, a monetyzacja pozostanie stabilna.