互联网不同于其他互联网产品，其与资金交易直接相关的属性要求其对风险管控的要求远高于其他互联网产品。了解互联网金融平台的风控基础知识，有助于你在设计产品时更好的控制风险点，做到心中有数，从容不迫。
互联网的核心是金融。金融最重要的是风险管理和风险控制。但由于P2P行业的一些特点(从业者多来自传统民间小贷平台或纯互联网领域)，很难兼顾规模、速度和风控。所以作为P2P行业的产品经理，你要对整个平台的风控体系有一个清晰的认识，必要的时候要为你的团队制定一个合适的风控方案，甚至要抵制你领导的一些“不靠谱”的想法。
本文所说的“风控”并不是说借贷端的“风控”，这是风控部门的主要职责。一般涉及借贷端的风控系统，风控部门制定策略，产品部门配合。我今天要讲的P2P平台的风险控制主要包括四个部分:信息安全、资金安全、技术安全和反作弊。至于其他的风险控制，比如借贷端的风险控制，公司内部的各种规定，以及相关的内部审计机制，都不在本文的讨论范围之内。
风控的概念说到风险控制，就不得不提“风险管理”。风险管理是一个过程，风险控制是这个过程中的一个步骤。
风险管理:这是一个管理过程，包括定义、衡量、评估和制定应对风险的战略。目的是尽量减少可避免的风险、成本和损失。理想的风险管理，事先已经确定了优先级，可以优先处理造成损失最大、发生概率最高的事件，然后处理风险相对较低的事件。对于风险管理，有以下步骤:风险识别-->风险预测-->风险管理(风险控制)。我们也会通过这一步梳理出P2P平台产品设计中可能遇到的一些风险点，并提出一些解决方案。
今天要讲的是广义的风险控制，不仅包括互联网行业的信息风险控制、技术风险控制和反作弊风险控制，还包括金融行业的借贷风险控制和资金风险控制。而且风险控制的某些方面也有监管要求。
所以，对于互联网金融产品来说，风控已经不是业务和技术问题了。这就需要对互金产品经理有清晰的认识。
风控的场景既然说的是广义的“风险控制”，那么广义的“风险控制”存在于哪里呢？我整理了我做的产品。包括以下主要领域:
信息安全应该说，在资金存管政策下，P2P平台对资金安全的风控压力正在逐渐减小。毕竟所有的资金都是在银行存管制度下运作的，但无论是从实际业务还是政策监管来看，信息安全都显得尤为重要。因为，对于P2P平台来说，无论是用户、平台还是目标信息都需要采取强有力的风控措施来保证安全。在这里，需要在产品设计和开发上有远见卓识，对可能出现的问题做出相应的解决方案，从而在保证信息安全的前提下提升用户体验。
用户信息安全用户账号作为用户信息的主体，其安全性直接关系到平台信息安全。因为作为互金平台的用户账号会存储很多身份z、yhk号等敏感信息。如果用户账号信息泄露，就非常容易诱发各种财产入侵的案件。同时对平台也是极大的打击。甚至可以说，在这里，平台输不起。
在产品设计的过程中，要对可能出现的风险点进行预判，与开发同事一起在产品和技术的各个层面制定和完善相关的解决方案。
注册
在注册阶段，主要需要应对“机器注册”、“人为恶意注册”、“注册短信被攻击”。这里我们可以采取以下预防措施:
『手机号+短信验证码』：通过在需要注册手机号接收（也有上行）短信验证码，确保手机号是真实的。防止垃圾注册随便编写虚假手机号。但目前已有接码和打平台，只能是增加一点（很少）的垃圾账号注册成本。对于验证码的防范将在下边说到。『实名认证』：实名认证可以在很大程度上确保注册用户的真实性，同时也是政策监管的要求。一般对于实名认证的方式有两种：一是通过专门的实名认证入口进行认证，二是依托第三方支付平台或者银行，在进行绑卡/开户的同时完成。对于两种方式的优劣，应该说各有各的优势。第一种可以减轻用户的心理压力，避免引起用户反感，进行步步引导来完成实名和绑卡，另外分开 *** 作的话，手续费也会加倍。第二种方式显然用户 *** 作更少，但是容易一起用户反感，不过仅需支付一次手续费。所以实际选择哪种方式要根据具体情况来制定。『基于大数据的注册风控系统』：目前很多公司都提供了基于其自身大数据能力的『注册风险控制解决方案』，利用其所掌握的大数据分析和技术能力，建立深度特征体系，发现虚假注册、恶意刷单等非常正注册行为。短信验证码
至于短信验证码，风险在于垃圾注册和调用短信接口轰炸，干扰正常短信发送，浪费短信成本(一般几毛钱一条，但是量太大就要花很多钱，异常短信发送很容易被渠道商或运营商屏蔽，造成更大损失)。攻击者可能利用脚本自动调用平台短信验证接口，导致短信通道异常关闭。对于验证码的风险；可以通过以下方式解决:
『发送验证码前进行人机验证』：在用户 *** 作获取『短信验证码』功能前，设置图形验证码或滑动验证码等人机验证措施，识别机器人自动 *** 作。『请求限制』：同一IP或同一手机在一定时间内请求验证码达到上限将限制该IP或手机号的请求，再次请求时仅在客服后台记录但不发送，用户需致电客服，获取验证码。（比如单个IP在一分钟内最多请求5次，24小时内最多请求30次。单一手机号在90s内只能请求一次，24小时内最多请求10次，确定这个策略要经过完整的调研，不应因为为了安全而造成用户的极度不便。）『短信路由』：采取『短信路由』方式，主要是为了在保证短信的通达率和发送成本间达成平衡。因为不同的短信服务商的价格、条款和通达率不同，因此不同类型的短信下发由不同通道来完成，同时互为备份。对营销短信、验证码短信、用户资金提醒短信进行了分类，通过不同的短信渠道进行下发，相互之间互不影响。另外，还可以采用语言验证码功能，在用户多次请求（比如3次）验证码失败后，可以选择语音验证码来进行验证。『充分利用短信服务商的各种服务』：如短信业务量监控和IP白名单等方式，对于非正常的短信使用做到早发现，早排查。登录
针对登录的风险点，主要防范撞库、暴力破解、可疑登录等问题。你可以采取以下方式:
『单点登录』：顾名思义，仅允许用户在一台设备上登录网站/App，如果同时出现两个登录行为，则后一个登录行为会令上一个登录行为失效，同时上一个登录设备以及用户绑定的微信号上会进行相关风险提示。『地址栅栏』：通过接入『淘宝IP库』或『IPIP』等免费/付费的IP地址库，记录用户的常用登录地址。通过每次比对用户当前登录地和常用登录地，对异地登录通过短信、微信公众号提醒用户。『人机识别』：为应对刷库撞库、暴力破解等问题，还可以采用异常情况下的出现图形验证码、滑动验证码等人机识别措施。『建立设备指纹库』：通过采集用户设备指纹信息，可以监控来自同一用户的攻击，同时还可以及时预判潜在风险，为后续风控提供信息。『移动端解锁』：在移动端App，为了在确保安全的同时提升用户的使用体验，可以使用基于指纹、图形绘制的解锁方案。对于AndroidApp，只有在Android6.0以上的版本才有指纹识别功能（不排除某些厂家的定制系统就加入了指纹识别），因此Android的指纹识别开发成本较大。在产品设计时应该予以考虑。『密码锁定』：在密码多次输入错误后，将账号临时锁定，不允许进行登录 *** 作。这一点可以有效防止暴力破解。比如：登录时连续输入错误密码4次，则限制该账号30分钟不能登录。平台信息安全七靠管理，三靠技术。
“七分靠管理，三分靠技术”是网络安全领域的至理名言。意味着网络安全的30%取决于计算机系统信息安全设备和技术支持，70%取决于用户安全管理意识的提高和管理模式的更新。信息安全也是如此。只有制定完整的、可执行的管理措施，并严格遵守，才能最大程度地保障信息安全。
不怕对手技术强，就怕对手在你身边。为了应对可能出现的“卧底事件”，需要对后台采取严格的分级权限管理模式。例如，在我设计的产品中，采用了基于RBAC的权限控制方案。不同的人被授权扮演不同的角色，不同的角色对应不同的权限。不同的权限对应不同的可以查询的数据信息。同时，网络安全与开发团队会定期对后台 *** 作记录和服务器日志进行安全审计，避免近期爆出的某二手车平台“间谍门”事件。
反爬行
阳光下无新鲜事，互联网无隐私。注意防止对手通过网络爬虫抓取平台数据。我这里借用了一些电商平台的解决方案:(对于爬虫，我能想到的就是尽可能的增加爬虫的成本。至于彻底消灭他们，我还真没想到。)
『控制单IP/账号的频率』：一般来说，几万ip差不多是一般的爬虫团队所能掌握的极限了，所以一个ip肯定需要多次请求服务器，账号同理。通过控制爬取速度，延长爬虫爬完全部数据的时间，增加其时间成本（同样也是资金成本）。『控制爬取策略』：通过对访问概况和用户行为进行分析，对于一些异常访问加以重视，并进行限制。图像水印处理
对于一些关键信息，我们也可以用淘宝店主常用的方法:水印！多打几个字，这样图片就不能用于其他用途了。
标的信息安全平台发布信息的准确性直接关系到产品运营的安全性。对于标的物的安全性，主要是通过相关的工艺规范来提高。在产品和技术方面，我们可以通过以下两种方式来保证平台产品的安全性。
『多人多次多权限审核』：发布标的和满标审核都需要不同权限的两人以上进行审核，并需要填写审核意见。一般会要求在审核意见里填写产品信息。『产品发布后信息固化』：产品标的完成最终审核，上线发布后，所有信息即完成信息固化，任何权限账号不得修改。确保产品信息唯一，安全、可靠。另外，对于借款合同，我们还依托某合同托管品台来进行CFCA签章认证和第三方合同托管，杜绝借款合同被篡改的可能。突然先到这一块，如果基于『区块链』的去中心化、不可篡改的特性来做，应该也很有意思。资金安全资金安全主要集中在两个方面:用户资金安全和平台自由资金安全。这几个方面相辅相成，既有外在的，也有内在的。
账户安全
至于用户账户资金安全，可以通过“同卡进出”、“提现审核”、“交易密码”、“资金托管/资金存管”等方式解决。
『同卡进出』：通俗的说就是你投资时绑定的是哪张yhk，提现也必须是同一张yhk，这样做别人就没有办法提走你账户的钱。即使出现账户丢失、手机丢失等情况，资金也无风险。（我承认我是照搬了运营的宣传话术……）对于用户来说，如果丢失了yhk，则需要触发很严格且严重影响用户体验的人工解绑卡流程完成相关换卡 *** 作。『资金托管』/『资金存管』：通过引入第三方支付（已经不符合新规了）或银行形成资金托管/存管系统，每一个用户都需要在托/存管平台开立一个独立的托/存管账户。平台不触碰用户资金，实现资金与平台账户的独立管理、独立运行。『提现审核』：对于提现我们前期采用的人工手动审核，后期采用了基于自动化风控系统的自动审核机制。主要审核机制是用户登录IP所在地域是否与常驻地相符。另外资金托/存管平台还会进行更加严格的风控审核。从而确保提现安全。『交易密码』：通过要求用户设置不同于登录密码的『交易密码』，使『投资』、『提现』等涉及资金 *** 作时，进行二次验证。平台资金安全
对于平台资金风险，如流动性风险、标的逾期还款风险、跑路风险等，可以采取计提风险准备金、限制提现、避免资金错配、消除资金池等措施进行防范。(这属于更高层次的风险控制。简单来说，不再是一个普通产品经理考虑的问题。)
计提风险准备金：在每一个已满标产品的服务费中，可以提取一部分作为风险准备金，专门用于在一定额度内应对因逾期或坏账对投资用户造成的损失。（但是这一点在）提现限制：这一点主要针对的是短时间挤兑的风险。对于这一点因为同卡进出的缘故在我们的平台上风险较小。我们在设计时仅根据yhk本身的限制进行限制。后期更换了托管和存管系统后，更不存在这个问题。杜绝资金错配：这一点也是合规性的要求，单一标的产品的期限和额度禁止的被二次拆分。杜绝资金池：这一点同样是合规要求，我经历过第三方支付资金托管平台，和符合监管要求的银行存管系统。平台技术安全安全主要是开发的事情，但是作为产品经理，了解一些相应的技术，更容易和他们沟通。另外，我认为平台技术安全是其他风险点的基础。
信息传输安全
对于信息传输的安全性，目前一般采用https加密传输，以保证数据传输的安全性，保护数据不被中间人攻击和窃取，保证数据的真实性、安全性和隐私性。此外，AppStore还要求2017年后所有iOS应用将全面强制启用https。另外，在传输一些敏感数据时，用户可以用盐加密，然后在后台解密，保证数据安全。
数据存储和数据备份
在数据存储和数据备份过程中，由于涉及到用户的各种敏感信息(身份z、yhk、手机号，甚至用户身份z正反面照片、用户持身份z照片等。)和平台交易数据，数据存储和备份过程中的数据安全是最重要的。可以选择一些非常成熟的容灾备份方案，基本实现准实时同步备份，多站点集成，远程备份，定时生效。
另外，对于数据库，也可以使用预加密器进行加密。不要以纯文本形式存储数据。
程序安全和 *** 作维护安全
为了避免开发过程中的误 *** 作，导致网站数据损坏，开发团队要建立一套完整的代码部署流程，所有代码都要经过具有一定权限的负责人授权后才能上线部署。严格按照流程 *** 作，基本可以避免误 *** 作造成生产环境的数据损坏。此外，运维人员还需要全天候监控平台的所有关键节点。也可以通过购买一些网络安全厂商的服务和解决方案来提高安全防护水平。
推广运营一个平台需要获得用户和投资，必然会进行各种推广活动。在异业合作或平台推广过程中，运营商需要在CPACPSCPCCPM等不同获客成本中选择最优的获客方式，同时要求运营、产品、技术团队做好相关的反作弊控制。另外，对于“羊毛党”，我们的原则是欢迎高层羊毛党(指会有真实投资交易的羊毛党)，抵制普通羊毛党。
反作弊
在推广过程中，最重要的是制定完善的反作弊规则(当然包括技术反作弊行为)。限制平台捐赠资金额度，设置提现前置条件，既能有效杜绝普通羊毛党运营，又能促进用户实名卡绑定和投资转化。这些问题可以通过购买一些“反作弊解决方案”服务来解决。
促销效果监控
在推广过程中，也要注意对推广效果的监控。通过使用友盟D-PLUS，诸葛Io，GrowingIO等。，我们可以监控推广效果。通过分析注册转化率、实名卡绑定转化率、投资转化率、投资额度等指标，可以区分渠道的好坏。
预警机制
另外，在推广运营过程中，也要有预警机制。这个预警机制和运维安全控制系统一起，对于短时间内突然大量注册、频繁注册同一个IP地址的情况，系统会向相关人员发送提醒。
相关阅读作为一个P2P产品经理，你应该知道一些基本知识
作为一个P2PPM，你应该了解资本运作。
作者:张，微信官方账号:金(ID:sylvainZhang)
作者@张未经允许禁止转载。
注:阅读相关建站技巧请移至建站教程频道。
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）