风控系统和大部分的产品项目一样，最终需要对领导层汇报这个项目为公司带来了什么价值，这是评估项目成功与否的要素；另外是哪里做的不够好，如果改善了能带来更多的价值，给出了预期才有后续资源的补充，整个项目才能转起来形成一个良性循环。

而这个系列的最后一话：我们来讲讲如何对风控系统进行效果评估与优化。与之前三期的文章一样，我们再来洗一次脑业务风控要做的四件事：

1.拿到足够多的数据
2.做足够灵活的分析平台去分析风险
3.产出风险事件进行阻拦风险
4.量化风险拦截的价值和不断分析案例进行策略优化

让我们看一下这个环节要考虑的：

1.找到钱在哪里

风控项目的基本价值在于省钱，而省钱的思路基本有三种：直接拦截风险带来的止损（比如提前阻止了一笔欺诈交易所挽回的损失）、提升服务稳定性所带来的业务基本指标提升（比如因阻止风险事件所降低的服务响应延时而提升的业务转化）、降低服务不可用概率事件所带来的直接业务损失（比如降低了风险事件导致服务宕机所带来的营收损失）。可以看出这三点是按风险事件的暴力程度做出的简单划分，其实也还有很多其他不同的视角来分类，很大程度上和对应企业的互联网业务形态有关。

而我们做这样划分的目的是为了在一开始就明确风控项目从哪里可以挖掘效益，很多情况下风险事件不是一个独立的问题，而是一个链条，由一些看起来影响不大的问题逐层深入的，比如交易欺诈并不是一个独立的问题，而是因为注册环节发生的垃圾注册问题攻击者手里有了大量的账号所导致的，所以任何一个风险问题都是有价值的，无利不起早，但作为风险分析者应当有能力找到其中的关联转化关系，并预测对方的得手点进行效果评估会有更好的效果。

2.有效利用预期价值的力量

天下没有100%准确的风控策略，所以在接入拦截的过程中业务方可能存在种种阻力，往往的一个误区是没有拦截就认为风控没有效果，其实效果评估不只是在最后项目落地评估价值所用，在推行项目中间也有很好的效果，虽然没有拦截，但预期效果放在那里，这对决策者平衡业务影响有着重要的价值。

3.学会考虑企业财务目标

风控系统并不是一个可有可无的东西，其实大部分企业中安全已经是业务的必要组成部分了，那么我们知道在资源有限、而业务风险问题无限的情况下，所有的资源投入都必然有一个优先级，而这个优先级与整个企业发展的现状必须是牢牢捆绑在一起的，讲简单些：风控系统解决什么问题，评估出的效果与企业目前业务关心的问题息息相关，如果企业目前的业务重点在一次年度促销活动，那么风控的重点就应当在促销羊毛党；如果企业目前面临严重的账户盗用投诉问题，那么重点就应在账号安全。

尤其在风控系统启动之初，配合系统的需求交付时间选择对应的重点问题，对于项目效果的评估是一个巨大的加分项，切记一开始就贪大贪全。

4.策略的生命周期和健康度

风控系统的规则有多少？哪些已经很久没有触发了？产生误判投诉的对应规则有哪些？一个新规则在建立起初的效果肯定是最有效的（因为这时风险问题正在发生，而规则正好对应了风险），但随着时间其有效性是快速下降的，比如攻击者都知道网站三次输入密码错误触发验证码，那么他们会傻傻的尝试第三次猜测密码的概率有多大？那么是否有人在定期的去统计分析这些规则的效率就是风控产品的重要运营环节了，而运营风控产品所要付出的代价是往往大于常规互联网业务产品的，并且是保证项目能够持续产出价值并不断迭代进化的一个前提。

写在最后

业务风控是一个非常具有挑战性的项目，我一直把它比作一种竞技游戏，而这种攻防不同于传统安全（在传统安全你并不能有足够的技术能力预测所有人的攻击方法），它更强调逻辑和预测，攻守双方在一个双方充分了解的环境下（业务逻辑简单到任何人都可以理解，但又可以产生无数的变化和组合）不断的博弈，而这正是业务风控系统的乐趣所在。

业务风险问题足够简单而又足够复杂，正是这样的原因其参与攻击者并没有太高的门槛限制，处于国内互联网的环境下，任何一家企业都不可能逃开业务风险问题的影响，作一个比喻，这片土壤是有着自己的一些特质的，而企业如果是生长在这片土壤中的一颗树，投入足够的养分才能快速生长，而业务风险则是寄生于树木窃取养分的角色，只有能够充分抵御这种风险的才能成长为参天大树。