# 决策留痕与审计

> 把每一次决策「拍下来」：当时用了哪些变量、命中哪条规则、模型给了多少分、最终结论是什么。它是客诉答复、监管检查、事故复盘、模型迭代的共同底座。

## 一、它是干什么的

风控决策是自动化决策，一旦客户投诉或监管问询，必须能回答三个问题：**依据什么数据、按什么规则、得出什么结论**。决策留痕系统负责把这三件事完整、不可篡改、可查询地存下来，并支持回放。

严格说它不是「业务系统」，而是所有风控系统的**公共基础设施**：变量平台、规则引擎、模型平台、额度系统都要往里写。

## 二、谁在用

| 角色 | 用来做什么 |
| --- | --- |
| 客服 | 查某笔决策的原因，答复客户 |
| 策略 | 复盘某类客群的决策分布、验证改动效果 |
| 合规 / 审计 | 检查决策是否符合政策与授权范围 |
| 研发 / 运维 | 定位线上问题、复现故障 |
| 算法 | 拿历史决策做样本与特征回溯 |

## 三、系统里有什么

| 模块 | 主要能力 |
| --- | --- |
| 决策日志 | 请求、响应、结论、决策码、耗时分解 |
| 变量快照 | 决策时点全部变量取值 + 数据来源 + 版本 |
| 规则版本 | 命中的规则 ID、规则版本、决策流版本 |
| 模型记录 | 模型 ID、版本、分数、阈值 |
| 查询与回放 | 按客户/时间/决策码检索，一键重放 |
| 导出与举证 | 生成可读的决策说明（对客/对监管） |
| 留存策略 | 分级保留期、冷热分层、到期归档 |
| 安全 | 脱敏、加密、访问审批、防篡改（WORM/哈希链） |

## 四、解决什么问题

| 痛点 | 表现 | 后果 |
| --- | --- | --- |
| 客诉答不上 | 只能回「系统判定」 | 投诉升级、监管介入 |
| 无法复盘 | 不知道当时变量取值 | 事故原因查不清 |
| 模型迭代缺数据 | 没有历史决策分布 | 无法做归因与仿真 |
| 版本对不上 | 日志只记结论不记版本 | 无法复现同一决策 |
| 留存不合规 | 该留的没留、该删的没删 | 合规处罚 |

## 五、深度解析

### 5.1 一条决策日志该有什么

| 字段 | 说明 | 用途 |
| --- | --- | --- |
| traceId / 请求 ID | 全链路唯一 | 串联上下游 |
| 实体与产品 | 谁、什么产品、什么渠道 | 分群分析 |
| 输入参数 | 申请信息（脱敏） | 复现 |
| 变量快照 | 变量名 + 值 + 来源 + 版本 | 解释与复盘 |
| 规则轨迹 | 命中/未命中 + 规则版本 | 归因 |
| 模型结果 | 版本 + 分数 + 阈值 | 归因 |
| 结论与决策码 | 可枚举的原因 | 客诉答复 |
| 耗时分解 | 取数/规则/模型各多少 ms | 性能优化 |

### 5.2 回放的一致性

回放不是「重新跑一遍」那么简单：变量可能已经变了，规则已经升级了。正确做法是**用存档的变量快照 + 当时的规则/模型版本**重算，得到「如果当时重来一次」的结果。若要做「用新规则跑历史流量」的仿真，必须显式区分两种模式，并在结果里标注。

### 5.3 存储与成本

决策日志是**写多读少、体量大、留存久**的数据。常见策略：热数据（近 3 个月）可在线检索；温数据（3—12 个月）列式存储；冷数据（1 年以上）对象存储归档。变量快照占空间最大，可按需存「命中的关键变量 + 全部变量哈希」，需要时再抽稀。

### 5.4 合规要点

- 留存期限按监管要求（通常不少于业务关系结束后若干年），到期删除；
- 敏感字段加密/脱敏，查询需审批并留痕；
- 不可篡改：写入后只读，或用哈希链校验；
- 客户行使查阅、更正权时，能取到对应记录。

### 5.5 核心指标

| 指标 | 说明 |
| --- | --- |
| 日志完整率 | 决策有日志的比例（应接近 100%） |
| 回放成功率 | 能成功复现的比例 |
| 查询 P99 | 客服检索体验 |
| 存储成本/万笔 | 单位决策的留存成本 |

## 六、竞品与选型参考

| 产品 / 厂商 | 类型 | 优点 | 局限 |
| --- | --- | --- | --- |
| 阿里云 SLS / 腾讯云 CLS | 云日志服务 | 托管、检索快、按量计费、与云上组件打通 | 需自建结构化字段规范与回放逻辑，长期存储成本需规划 |
| ELK（Elasticsearch + Kibana） | 开源 | 灵活、可检索可聚合、生态成熟 | 运维成本高，长期存储贵，大数据量下集群压力大 |
| Splunk | 商业 | 检索与合规审计能力强、插件生态好 | 价格高，按数据量计费 |
| 数据安全厂商（安恒、美创等） | 商业 | 脱敏、审计、防篡改能力强、合规报告完善 | 不懂风控语义，变量快照与决策回放需定制 |
| 风控厂商内置决策日志 | 商业 | 开箱即用，与规则/模型版本自动关联 | 绑定厂商、导出与长期留存受限 |

> 选型关键不是存储，而是「结构化字段 + 版本关联 + 可回放」，这三件事任何通用日志产品都不开箱提供。

> **资料来源与时效**：厂商官网与公开产品文档、开源项目文档/仓库、公开技术文章与行业报告，以及行业常见实践；信息整理截至 **2026-10**，未逐一与厂商核实。产品能力、定价与版本会随迭代变化，选型前请核对官方最新资料并做 POC 验证；本节不构成选型推荐，也不含厂商商务信息。

## 七、与其他风险系统的关系

| 系统 | 关系 | 交互内容 |
| --- | --- | --- |
| 规则引擎 | 上游 | 规则命中、版本、决策流轨迹 |
| 模型平台 | 上游 | 模型版本、分数、阈值 |
| 特征变量平台 | 上游 | 变量快照、来源、版本 |
| 授信额度与定价 | 上游 | 额度与定价的计算依据 |
| 人工审核 | 双向 | 审核结论与证据写入；客服查询读取 |
| 策略分析 | 下游 | 提供明细数据做归因与回测 |
| 合规 / 审计 | 下游 | 举证、监管报送、留存检查 |

## 八、常见坑

| 坑 | 后果 | 规避 |
| --- | --- | --- |
| 只记结论不记依据 | 无法解释 | 变量快照 + 版本 |
| 不记版本 | 无法复现 | 规则/模型/流程版本 |
| 同步写日志 | 拖慢决策链路 | 异步写入 + 削峰 |
| 明文存储敏感数据 | 泄露风险 | 加密 + 最小字段 |
| 无留存策略 | 存储成本失控 | 冷热分层 + 到期归档 |