干了这么多年的风控，既不是个角儿，也不是个腕儿，也没拿过奖，还是“哪个说相声的小学生”。指着这份手艺养家糊口，跟修脚、磨剪子戗菜刀的没啥区别。囿于水平，本文纯属娱乐，信笔由之，多有胡言乱语之处。如果你是专业人士就此止步，文中可能有些许观点会令您不适。

1、概念厘定：风险是管理还是控制？

关于风险的管理，或者是风险部门的设置，大家一般都会约定俗成为“风控”，或者是“风控合规部”，在业内沟通和交流中，大家也愿意说“风险控制”，简称“风控”，几乎没有人说“风险管理”，或者简称“风管”。

其实，一些比较正规的金融机构，如银行、证券、保险等部门，从事风险管理的部门一般会命名为“风险管理部”。但是一些小的金融机构，如三方支付、小贷公司，专司此职能的部门会叫“风控合规部”。是不是很有趣？

风险是客观存在的，不以人的意志为转移。因此，风险是不可能控制的，没有人能够控制风险。如果能控制风险，金融市场上也就不会出现交易机会。

风险只能识别、计量、评估、监测、报告、缓释，这些才是风险管理的主要内容。在一些比较权威的监管机构中，也比较倾向与采用“风险管理”的说法。如银监会发布的《银行业金融机构全面风险管理指引》，国资委颁发的《中央企业全面风险管理指引》，原保监会发布的《保险业风险管理指引》等。

如此一来，认真辨析“风险控制”与“风险管理”就很有必要。

风险管理包含了企业目标和战略的设定、风险评估方法的选择、管理人员的聘用、以及报告程序等活动。而风险控制关注的是伴随风险管理过程及其以后的措施，如对风险的评估和由此实施的控制活动、监督评审与缺陷的纠正等工作。

两者最明显的差异在于风险控制不负责企业经营目标的具体设立，而只是对目标的制定过程进行评价，特别是对目标和战略计划制定当中的风险进行评估。

两者对风险的对策和态度不一样。风险管理的核心是经营风险，知风险而为之，对风险是一种积极态度，是进攻思维。因此，其框架下引入了风险偏好、风险容忍度、风险对策、压力测试、情景分析等概念和方法。

故，风险管理是在拥抱风险的基础上，注重风险与回报相联系，从而决定资源的投入。这些内容都是现行的内部控制框架所不能做到的。

之所以要厘清这两个概念，就是想说明，针对风险，不要用控制的思维去做管理，要用积极、进攻的态度看待风险，而不是恐惧、惧怕风险。鉴于市面上都惯用“风控”，本狗在文中也就采用这个说法。

2、风险管理能力是支付公司的核心竞争力之一

曾几何时，没有人会关注支付公司的风险管理能力。决定一家公司成败的，往往是便宜、稳定的通道；广泛、强大的线上线下营销渠道；实时、迅速的产品创新等能力。除了鹅场和猫家以外，很少有机构将风险管理能力作为核心能力去打造。

就像有一个段子，某公司领导认为风控就是聋子的耳朵，摆设而已。不出问题的时候，就像养了一群猪，只吃不做；出了问题，还不如养了一群猪，毕竟猪还可以卖钱。

但是世道变了，而且是变的这么快。随着监管力度的加强，从2016年开始，一些只顾着埋头拉车跑业务，不抬头看天研究宏观形势、研判行业大势的支付机构，频频接到到了大额罚单，动辄上千万的罚单，让一些支付机构不胜胆寒。

此时，心思活泛的机构已经开始发现，行业粗暴发展、野蛮生存的时代已经一去不复返了。如何保住胜利果实，落袋为安，或者是在一团乱麻之中找寻到些许发展的契机，这都需要风控的支持。

蓦然回首，当初聋子的耳朵，现在摇身一变成了猫的胡子。猫在开展业务（捉老鼠）的过程中，会通过胡子来感应市场环境（老鼠洞）的安全，只有通过了胡子（风控）的检验和感触，才会决定是否值得去进洞猎杀。

下水容易，上岸难。轻松钱、快钱赚习惯了，现在开始赚分分钱、辛苦钱哪有那么容易？

以前多年的裸奔，风控欠下的历史旧账岂能在朝夕之间满血复活？要数据没数据，要人才没人才，要模型没模型，要体系没体系，看着满目疮痍的现状，好多机构不禁悲从中来。此时，才发现，下海搏杀没有风控的支持，基本上就是一株死菜。

既然东隅已失，但亡羊补牢犹未晚也。一些醒悟早的机构，凭借着早些年粗放经营打来的利润积累，已经开始重建风控部门、重新重视风控能力。欣慰的是，敏锐的鸭子已经闻到了春天的气息，在池塘里去遨游捉鱼吃了。因为，他们已经认识到，风险控制能力也是支付公司的核心竞争能力，并付诸实施了。

3、论一只支付风控狗的自我修养

风控的春天来了。作为一只风控狗，能否在如此美好的时代里遨游，打铁还靠自身硬，这就要各凭本事了。但我们首先要认识到，风控的本质是跟人打交道，是在研究人性。切忌不要把自己工具化、脸谱化、面具化、否则就是走火入魔了。如何做一只好狗，下面有一些体会，供同行指正。

制度、流程、机制管理是基础，但整天把这些挂在嘴上的风控狗，不是一只好狗。

众所周知，制度、流程、机制是风险管理的基础。没有良好的基础，其他的都是沙滩上的宫殿，看似豪华，其实倾倒也是在一瞬间。

如巴林银行的魔鬼交易员一通猛如虎的操作，导致整个银行的倒闭，这就是内控失衡，制度、流程缺位导致严重后果的典型案例。

但是，我们在具体的风险管控过程中，把所有的问题都归结为制度、流程、机制的缺失，不去分析事件背后的原因，不去寻求解决办法。每每遇到问题，作捶胸顿足、痛心疾首状，痛斥内控的失效，痛心友军和猪队友的神操作，这其实是不愿意解决问题，逃避问题，规避责任，只不过是给自己所谓的风控良知一点心理安慰罢了。

合规管理是持牌机构风险管理能力的基础，但只会做合规的风控狗，亦不是一只高明的狗。

持牌机构最怕啥？怕监管，怕处罚。因此，在开展业务过程中，业务部门在咨询风控意见的时候，最有利的拒绝理由就是合规过不了，监管要求不允许。

更是煞有介事的翻出本本，拿出条款，划出框框，确实不允许。给出否定意见是最容易的事情，什么都不做，绝对没风险。但是，如果我们在深刻理解监管条款的情况下，提出合理的解决方案，兼顾合规和业务，岂不是更高明？

风控不要有洁癖，要有吃烂桃子的勇气和水平。小时候家贫，时有吃不饱的时候。因此一些小野果也就成了裹腹之物。山野里有桃子，我们每每摘了之后，即便是烂了的也舍不得抛弃。用小刀细心的把腐烂的部分去掉，然后把好的部分吃掉，再把桃核留下，要么种下来，等待今后吃更多的好桃子。要么积少成多，卖给药材商，还能赚个糖果钱。

如果从食品安全、风险管理的角度来看，不吃烂桃子绝对是最佳选择。但是，在不吃就要挨饿的情况下，烂中挑好，至少也是一种次优选择。

从风险和经营角度来看，这个故事蕴含的意义就相当重大。烂中取好，既满足了当下的压力，又没有大的风险，何乐而不为呢？

同时，我卖掉果核，这难道不是资产的二次收益吗？种下桃核，在时间的加持下，获得更多的、新鲜的桃子，这不就是我们所期望的，培育可持续、新的增长点吗？

光吃烂桃子，必定会拉稀腹泻，好汉也抗不过三天拉。只吃好桃子，村里就这么几棵桃树，但饥饿的胃却很多，好桃子肯定不够吃。

因此，光做坏业务，必定会被毒死，只做好业务，也有可能会饿死。如何拿捏这个尺度，如何剔除桃子腐烂的部分，吃掉好的，就是考验风控水平的时候了。

做风控，要有凝视深渊，缠斗恶龙的勇气。尼采说过，与恶龙缠斗过久,自身亦成为恶龙；凝视深渊过久,深渊将回以凝视。我佛也说，不显金刚之怒，不见菩萨慈悲。

也就是说对和错没有绝对的标准，一切都是相对的。风控是抓坏人坏事儿的，如果你自己都不知道如何干坏事儿，不理解，不知道坏人的手段和伎俩，怎么去防范呢？

毛主席说，你想知道梨子的味道，你就要去变革梨子。你要去抓黑产，自己首先得是一个黑产高手，贼来拿贼，一拿一个准！

风险策略和方法要灵活机动、迅速反应，不断的调整。人类往往迷信过去的经验，把过去或者现在已经确定的事项当做未来的必然，逃避思考。

殊不知，市场无时不刻不在发生变化，坏人的攻击手法时刻在翻新，因此，要求我们的策略也要发生变化，要不断的对现在的手段进行不断的审视。

这个变化周期应该最好能精确到每天为单位。在就要求我们必须在短时间内作出判断和决策，这就是考验水平和功力的时候。

航空公司有一个收益管理部，主要负责座位价格的管理，要根据历史销售数据考虑潜在的销售可能，尽可能把机票在合适的时间以合适的价格销售给合适的人群，获取收益最大化。据某航空公司人员介绍，该部门工作人员每天要做出3000个价格策略。

支付公司风控的策略调整虽没有如此频繁，但也应该根据实际情况做实时调整。比如，昨天的限额可能是单人单卡30万，今天就可能调整为20万元。昨天某行业也许可以进件，但是今天就不行了。这不是风控政策的反复，而是风控应时而动的精髓。

风控规则和技术一定是简单易懂的，让外行人都听的懂的才是最高明的。如果一上来就给你侃侃而谈，言必称大数据、机器人学习、风控图谱、风控模型，把人唬得一愣一愣，整的云山雾罩的，要么真是绝世高人，要么就是所谓的“砖家”。

科学的分析工具是必须的，也是重要的。但是工具是死的，人是活的。

而且数据或者是模型，只有做到一定体量，提取的信息或者是得到的结果才可能会有普遍性，而且我们不能忽略的还有个体和场景的特殊性。所以，人才是风控审核中最为关键的因素。

大道至简，风控亦如是。真正的大牛，能够从最简单的逻辑出发，从细节着手，将复杂的道理阐述的简单易懂。

让内行一点就明，外行一听就懂，简单、好用、实用、适用的风控技术、规则或者模型才是最好的。这也就是“道”和“术”最佳融合的体现。

风控既要拿得起，更要放得下。所谓“拿的起”，是指要有把握全局的宏观视野，对国际国内经济金融形势、支付业态、法律法规、监管政策、市场变化要有深刻的理解和掌握。理解的深度与风控狗今后发展绝对正比例。

所谓“放的下”，是指在具体的操作过程中，要对风险管理的方法和套路手到擒来，能够敏锐的发现问题并解决问题。在宏观和微观有如此高的造诣，这样的风控狗少说也是CRO的级别，更有做CEO的潜质。

借用习大大的话就是，风险管理既要高度警惕“黑天鹅”事件，也要防范“灰犀牛”事件；既要有防范风险的先手，也要有应对和化解风险挑战的高招；既要打好防范和抵御风险的有准备之战，也要打好化险为夷、转危为机的战略主动战。