先说结论：验证的是风险判断是否可靠，不只是分数能否算出来
客户风险评分通常用于支持洗钱及恐怖分子资金筹集风险管理；它与投资适当性评分、信用评分不是同一个模型。验证应能回答：数据是否可信、风险因素是否符合本机构业务、评分和强制升级规则能否识别重要风险，以及结果是否真正改变尽调和持续监察措施。
香港银行、SFC持牌法团及其他受规管机构适用的具体指引并不完全相同。以下以反洗钱客户风险评级为主，并将监管原则与实务验证建议分开；不能据此宣称所有金融机构都必须使用同一套权重、阈值或验证周期。
监管原则与模型设计如何对应
SFC反洗钱指引采用风险为本方法，要求结合机构及客户风险制定适当控制，并持续更新客户资料、检视措施有效性。因此，一份模型说明不宜只有“低、中、高”三档和最终分数，还应解释风险因素、资料来源、缺失数据处理，以及评级如何连接后续措施。银行应另对照HKMA适用指引，不直接复制证券机构的制度。
模型验证可以按五个层次展开
| 验证对象 | 可实际执行的测试 | 应保留的证据 |
|---|---|---|
| 输入数据 | 抽查客户资料与源文件；测试空值、过期资料、重复客户及接口映射错误 | 样本、差异、修正和重新运算记录 |
| 因素与规则 | 说明地区、客户、产品、交易及渠道因素为何相关；检查重复计分和遗漏 | 因素定义、设计理由、适用范围及规则版本 |
| 权重与阈值 | 对临界值、异常值及因素变化进行敏感性测试；检查高风险因素是否被其他低分抵销 | 测试案例、结果解释及阈值调整依据 |
| 输出效果 | 比较已知高风险样本、人工复核结果和风险分布；调查明显漏判与不合理集中 | 抽样方式、误判分析、人工覆核及改善决定 |
| 使用与变更 | 核对评级是否触发相应尽调、批准和监察；测试版本变更、人工覆盖和回退 | 授权、理由、日志、缺陷清单和关闭记录 |
这些是可采用的验证方法，并非监管统一指定的统计指标或合格线。模型复杂程度、客户组合和资料质量不同，所需测试也应相应调整。
一个容易漏掉的例子：高风险因素被平均分冲淡
假设客户触发机构政策要求升级的高风险条件，但因为开户渠道、职业等其他因素得分较低，总分仍落在低风险档。测试不应只确认加权公式计算正确，还应检查强制升级规则是否生效，以及升级后是否进入适当的批准和尽调流程。这里的示例不是把某一标签自动等同于可疑交易；评级、筛查和可疑交易报告仍须分别判断。
面对监管检查，建议能够还原这条链
风险识别依据 → 模型及规则版本 → 客户输入资料 → 得分与覆盖理由 → 最终评级 → 对应控制措施 → 后续复核。检查人员若抽取某个客户，机构应能重现当时使用的资料和版本，而不是只能展示今天系统里的最新分数。
- 明确业务、合规、技术和批准人的职责；复核应有足够能力及适当客观性，避免开发人员的自测成为唯一证据。
- 把未解决缺陷分级，说明临时控制、责任人和期限；重大缺陷未缓解时，不宜继续将评级结果当成可靠结论。
- 按风险、实际表现及重大变化安排复核；不能凭本文虚构统一“每年一次独立验证”法定频率。
- 采购第三方模型时，仍需掌握因素、局限、版本变化和取证能力，不能仅以供应商“已验证”代替机构判断。
常见问题
高风险客户占比低，是否说明模型更好？
不是。分布可能来自真实客群，也可能来自数据缺失、阈值过高或规则失效，应结合样本和业务解释，不能单看占比。
是否需要先让监管机构批准评分公式？
不能一概而论。本文没有依据认定所有客户风险评分模型均须逐一预先审批；应按机构类别、适用要求及监管沟通情况核定，但机构仍须能解释并验证所使用的方法。
依据与适用边界
核对至2026年10月26日。本文是客户反洗钱风险评级的验证方法说明，不是投资或授信模型验证标准。