可疑交易监测规则（或称监测条件）和监测模型没有根本区别，实务中通常将蕴含复杂判断条件的规则称为模型，将建立在简单判断基础上的规则称为监测规则。

理论上，在掌握足够多的数据的前提下，金融机构能够建立起比较理想的监测模型。理想与现实之间总有距离，在没有可资借鉴的经验和风险提示的情况下，判断交易行为异常的依据只能是社会经验和常识。

在理想情况下，金融机构在设计可疑交易的监测模型时，通常需要以下几个步骤来完成。

第一步，了解通过本机构实施洗钱的行为类型，这一过程可以称为“行为类型化”。不同的机构所面临的洗钱风险在洗钱类型、行为特征上有较大差异。银行业金融机构面临的洗钱类型比较全面，其他类型的机构所面临的洗钱风险类型因机构性质而呈现不同特点：证券期货类的上游犯罪主要通过证券期货业机构实施，保险类的上游犯罪通过保险机构实施，以社会公众为侵害对象的犯罪主要靠第三方支付机构实施。比较而言，如果客户的交易频率低，金额较大或者资金需要跨境流动，则通过金融机构洗钱的可能性比较大。如果洗钱行为以高频、小额交易为主，以不特定的公众为侵害对象，通过支付机构进行洗钱的可能性比较大。如果客户从事的是证券期货类的交易，出现高频、短时间集中交易、金额巨大等特征，则通过证券期货类机构洗钱的可能性高。

第二步，总结每一类型的洗钱行为在外部表现上的规律性，即行为特征，这一过程也叫做“类型特征化”。行为特征是洗钱行为与正常行为相比所表现出来的不同，这种不同是概率意义上的，并非绝对，比如正常的行为也可能发生在非正常时间段，但发生于非正常时间段的正常行为从数量上讲是比较小的。行为特征有两个要点，其一是行为特征的普遍适用性，非法行为与正常行为相比是“另类”，但同类型的非法行为具有共同的特征，比如信用卡类违法犯罪，其使用的工具总是信用卡，同时伴随大量的透支。其二是行为特征的可重复性，行为重复出现是可疑交易监测标准适用的基础，如果行为某一方面的特征不再重复出现，这个特征也就不能再作为行为特征。同一洗钱行为可能有多个行为特征，而一个行为特征可能是多个洗钱行为的行为特征。比如信用卡的频繁透支，可能是信用卡诈骗行为，也可能是妨害信用卡管理的行为。对行为特征的研究应当以积累大量的数据为支撑，但不少机构缺乏这方面的数据积累。因此，金融机构在数据积累不足、经验缺乏的情况下，可以参考同类型机构的经验。

第三步，对总结出来的行为特征进行量化设计，这一过程称为“特征指标化”，也就是给系统设定一个计算维度。比如要对“分散转入、集中转出”这个特征进行量化，分散转入含义为小金额、多次、不同的付款人，集中转出意味着大金额、收款人相同或者或仅有少数几个收款人。假定以A公司账号为观察对象，该账户一天内有1000笔收款，其中有996笔为5万元以下的收款，付款人是990个，第二天，转出1笔，收款人是B公司账户。我们可以将一天内5万元以下的入金（相对于A公司账户来说为收款）总笔数作为X，入金业务的对方账户重复的，视为一个，为此要做去重处理，将一天内出金（相对于A公司账户来说为付款）业务的对方账户的个数作为Y，同时也做去重处理。将去重后的前一交易日（T-1日）入金总笔数与当天（T日）的出金的总笔数之比作为“分散转入、集中转出”这个行为特征的量化指标，即X/Y，要注意的是，X是T-1日的值，Y是T日的值，假定这个计算维度的阈值为10，则A公司的交易将触发规则并预警。

第四步，就是将已经设计出的量化指标设置在系统中，即“指标系统化”的过程，由系统通过运行代码进行计算。

行为特征化是基础，也是设计可疑交易监测模型的起点，但也是最复杂的一个环节。反洗钱与洗钱的关系，形同“猫鼠”游戏，洗钱行为的特征也在不断的变化中，同一性质的洗钱行为在不同的时间具有不同的特征。监测规则、模型的设计有时需要配合客户的身份特征。身份特征这个指标可以量化，比如用代码来代表职业和行业，但前提是必须掌握客户真实的职业和行业属性。从客户的身份判断行为的异常是可行的方法，但在很多场合，身份特征是被隐藏的，因此，还需要从交易行为的异常来判断客户身份是否真实。

在建立监测模型中，可以将一个量化指标单独使用，也可以将多个量化指标组合使用。阈值直接影响到系统所筛查出的可疑交易数量，对阈值的选取，也需要在数据的积累上进行分析判断，但如果没有足够的数据，可以先依据生活常识进行选择，宁可多提取一些无效的预警，也不可放过真正的可疑交易。

综上，一个完整的可疑交易监测模型的建立过程可以这样描述：行为类型化、类型特征化、特征指标化、指标系统化。必须是在掌握前两个步骤所需的大量数据的基础上才可能建立有效的模型，但在多数情况下，金融机构对本机构所面临的洗钱类型、行为特征根本不掌握，如何在洗钱类型和行为特征不明了的情况下建立有效的监测模型，将在以后介绍。