从行为到数据的特征发现方法

《从行为到数据的特征发现方法》由会员分享，可在线阅读，更多相关《从行为到数据的特征发现方法（5页珍藏版）》请在金锄头文库上搜索。

1、从行为到数据的特征发现方法陈峰 王秦辉（审计署京津冀办）【摘 要】 审计发挥“免疫系统”功能要求审计人员迅速发现审计线索、及时查处重大违法 违规问题，然而通过数据来还原经济行为再判断其合法性的传统计算机审计方法有其明显弊 端，需要找到一种能够迅速抓住问题并及时发现和揭露正在发生的违法犯罪行为的方法。本 文介绍了一种以行为分析为主、数据分析为辅的从行为到数据的特征发现方法，其过程一般 是先假设存在某种行为，然后通过行为分析列举出可能的行为特征，然后通过数据分析来验 证这些行为特征在数据中是否有反映，如果发现了对应的数据特征，那么就说明最初假设的 行为是存在的，从而形成审计线索。本文还对该方法的三

2、个实施步骤“行为特征分析”、“行 为到数据的特征映射”以及“数据特征发现”进行了详细阐述。【关键字】 行为 数据 特征发现、，一 、前言突出重点，捕捉疑点是审计线索特征发现的目标，在计算机审计中，需要通过数据分析 来发现特征，进而确定审计线索。传统的数据分析方法是通过数据来还原经济行为再判断其 合法性的方法，这种方法的弊端一是时效性差，对数据进行全面采集整理比较费时，难以快 速抓住问题，不利于打开审计工作局面；二是如果数据采集不全面，则难以真实还原经济行 为，无法抓住问题。审计发挥“免疫系统”功能对计算机审计提出了更高的要求。需要找到一种方法，能够迅 速抓住问题，及时发现、揭露和制止正在发生的

3、违法犯罪行为。笔者和笔者的同事经过多年 实践探索，以“从行为到数据”的思路来进行特征发现，取得了较好的效果。一、案例分析1. 案例简介利用 POS 机套现是金融领域近年来出现的新型违法犯罪行为，除了影响正常的金融秩 序，损害银行利益外，更重要的是为信用卡诈骗、洗钱等违法犯罪提供了便利条件，成为滋 生其他金融犯罪的温床。公安部门对此类问题的查处通常是通过举报或者专项排查来获取案 件线索，那么从审计角度出发，能否通过数据分析来发现案件线索呢？在 2010 年的某商业银行审计调查中，审计人员积极运用计算机审计技术，通过特征总 结、模型构建、数据分析、信息比对等方法，发现了胡某等12 人组成的团伙利用

4、12个空壳 公司向银行申请 POS 机，并虚构交易为信用卡持卡人套现，涉嫌非法经营的案件线索。一 是通过咨询银行相关专家、查阅互联网信息等方式获取大量利用POS机套现的案例素材， 并进行科学分析，总结出从事POS机套现的商户其刷卡交易数据呈现出的短时间内刷卡交 易笔数多、单笔金额大、间隔时间短、交易总额高等异常特征；二是根据总结出的异常特征 构建套现型商户的特征模型，在通过银行获取的 POS 机商户刷卡交易数据上运行该模型， 通过数据分析筛查出可疑商户；三是从账户资金流水入手，对资金的去向进行层层追查，进 一步查明这些商户申请使用POS机的情况，锁定关联网；四是通过调取分析银行账户流水、 查询

5、税务申报情况、比对互联网相关信息等外部手段以及外部数据的分析，初步认定商户犯 罪事实；五是对商户的账户流水继续追查，提示出刷卡交易资金通过层层划转被集中转入个 别商户账户，之后又被转入若干个个人账户，最后通过ATM机或者柜台被取现的犯罪过程。 该线索移交公安部门后，经过进一步侦查，最终刑拘了21名团伙成员，涉案金额超过5亿 元。2. 案例剖析在本案例中，审计人员之所以能够从海量数据以及纷繁复杂的信息当中准确地发现线 索，而且在不惊动犯罪分子的情况下迅速掌握关键证据，主要在于审计人员较好地把握了套 现型商户利用POS机进行套现的行为区别于一般商户利用POS机进行正常刷卡交易行为的 特征，进而有针

6、对性地获取相关数据，并通过特征发现从数据中找到了疑点。其关键在于首 先是对利用POS机进行套现的犯罪行为进行了深入分析，总结出从事POS机套现的商户其 刷卡交易的行为会表现出一些明显的特征，比如短时间内刷卡交易的笔数会比较多、每笔的 交易金额都不会太小、没有真实的贸易背景等；再者是对这些犯罪行为在数据中的反映进行 了深入分析，总结出套现商户的 POS 机刷卡交易数据会呈现出诸如交易时间间隔短、交易 总额高、交易额与注册资本及进出货量明显不符、平均每笔交易额接近信用卡额度、账户中 的资金被大量提现等特点；继而在相关数据中发现这些特征并进行分析取证，最终确定了审 计线索。这是一个从行为到数据的特征

7、发现过程，是这个案例成功的关键。二、特征和特征发现1. 什么是特征 审计之所以能够发现问题，首先要有审计线索，而审计线索往往是从一些蛛丝马迹中发现的，这些蛛丝马迹就是审计线索的特征表现。任何一项具体的活动都具有行为特征， 这种行为特征又会转换为数据特征。特征的概念所谓特征，是指可以作为事物特点的征象、标志等。对审计工作而言，特征就是被审计 对象在经济、管理、社会等领域活动时产生的具有共通性、规律性、特殊性、异常性等区别 于其他事物的征象与标志。特征的这种直接表现就是行为特征，其在数据中的反映就是数据 特征，这些特征往往是发现审计线索的关键所在。行为特征行为过程是需要和动机逐步实现的过程，无论是

8、被审计对象的经济行为还是非经济行 为，都是由其需要和动机相组合形成的，不同的需要和动机的结合必然导致不同的行为，不 管是正常的行为还是异常的行为，都有一定的特点，这些区别不同行为的关键表现就是行为 特征。数据特征数据是用于载荷信息的物理符号，是信息的一种表现形式。被审计对象的经济活动及非 经济活动都会产生大量的信息，对这些信息的记录、存储就形成了数据，分为数值型数据和 非数据型数据两类。被审计对象在各种活动中的行为特征也会以某种形式反映在数据中，比 如表现为某些特定的数据，或者是一些数据的组合排列，或者是数据结构的改变等等，这些 都是数据特征。行为特征和数据特征的关系 从以上对行为特征和数据特

9、征的概念分析中可以看出，被审计对象的各种活动产生了行 为信息，这些信息以数据的形式表现出来，因此可以说行为特征决定了数据特征，数据特征 反映了行为特征。2. 特征发现过程特征发现的概念本文所指的特征发现是以计算机处理为基础的信息化环境下的特征发现，因此审计人员 面对的是电子数据。在此前提下，特征发现可以定义为从大量的数值型和非数值型数据中提 取有用的信息和知识的过程。在信息化环境下，审计线索会通过电子数据表现出一定的特征， 捕捉到这些特征并进而进行分析取证，是计算机审计发展到目前阶段的一种有效做法。这是 一个从海量数据中提取符合条件的数据并获取相关信息的过程，是一种基于审计中间表的知 识发现的

10、技术。特征发现过程所谓过程，是指事物进行或事物发展所经过的程序。审计线索特征发现的一般过程就是 指为了达到最终发现审计线索特征这一目的而采用的步骤、程序。根据其步骤程序的不同， 通常分为两种，一种是“从数据到行为”的发现过程，一种是“从行为到数据”的发现过程。“从数据到行为”的发现过程是一种完全从数据分析角度出发的特征发现方法，力图通过 数据分析来发现数据特征，然后在数据特征的基础上还原其对应的经济或非经济行为原貌， 继而用法律法规来判断其行为的合法性，最终形成审计线索。“从行为到数据”的发现过程是“从数据到行为”的逆过程，是一种以行为分析为主、数据 分析为辅的特征发现方法。其过程一般是先假设

11、存在某种行为，然后通过行为分析列举出可 能的行为特征，然后通过数据分析来验证这些行为特征在数据中是否有反映，如果发现了对 应的数据特征，那么就说明最初假设的行为是存在的，从而形成审计线索。“从数据到行为”的发现方法通常需要全面采集被审计单位的各种数据，然后运用多种数 据分析方法来进行特征发现，是一种开放发散的方法，而“从行为到数据”的发现方法则能够 更加准确地聚焦到问题所在，迅速发现审计线索。三、从行为到数据的特征分析方法 从行为到数据的特征分析方法一般分为三个步骤：行为特征分析、行为到数据的特 征映射以及数据特征发现。在这里本文介绍的是运用该特征发现方法的思路，而不是单纯从 技术的角度就技术

12、讲技术，就方法讲方法。1. 行为特征分析行为特征分析就是在审计线索特征发现过程中首先要尽量分析列举出可能的行为特征 表现。这不仅需要一定的经验积累，还需要对相关的资料、信息进行全面分析，从多角度入 手总结出什么样的线索会通过什么样的行为特征和方式表现出来。在审计实践中，行为特征 通常是从违法犯罪手段以及法律法规要素等方面来进行分析的。 从违法犯罪的手段来分析行为特征在审计工作中，对违法犯罪行为的揭露是从发现审计线索开始的，这就需要审计人员根 据这些违法犯罪的行为特征去捕捉审计线索，实践中比较直接有效的方法是针对违法犯罪的 手段进行深入分析，进而总结出其行为特征。违法犯罪的手段对审计人员来说往往

13、会有以下 两种情况：一是在以往的审计工作中出现过、查处过的。审计人员在长期的对各行业各种情况进行 审计后，对发现的违法犯罪行为进行总结提炼，形成了非常宝贵的历史案例，在审计实践中， 可以直接借鉴这些历史案例，总结出违法犯罪的行为特征。此外在对某类问题的反复审计过 程中，审计人员往往能摸索、总结出业务的规律及问题的表征，在实践中掌握这些规律、抓 住这种表征，从现象分析至实质，就可以较为准确地发现违法犯罪的行为特征。以银行承兑汇票诈骗案件为例。近年来，银行承兑汇票业务发展迅速，成为银行中间业 务的主要品种之一。按我国现行政策的规定，申请开票的企业必须具备两个条件，一是有真 实的贸易背景，二是必须提

14、供足够的保证金，到期必须归还银行的欠款。根据以往的审计案 例及经验，一些不法企业为了达到骗取银行票据的目的，往往采取虚构贸易的手法，前笔开 票欠款到期后，又采取滚动开票的方法，开新还旧。在对银行的承兑汇票业务进行审计时， 审计人员通过深入分析历史案例中不法企业骗取银行票据所采用的手段，总结出违规滚动签 发银行承兑汇票通常具有以下三个基本特征：一是前一笔承兑汇票的到期日与后一笔的出票 日相同或相近；二是为了套取银行资金，一般采取保证、抵押、质押的担保方式，而不是全 额保证金；三是一般没有真实贸易背景。因此，只要以到期日和出票日的时间间隔、担保方 式、企业经营范围为基本判断要素，就能进一步验证是否

15、存在滚动签发无真实贸易背景银行 承兑汇票的问题。另一种则是审计人员还未接触过、新出现的。随着审计职能的转变，审计人员面对的情 形越来越复杂，面对的新生事物也越来越多，一些各行业中的新型违法犯罪行为可能还未在 审计工作中被发现揭露过。在没有历史案例能够借鉴的情况下，审计人员需要大胆假设、合 理虚拟违法犯罪行为，通过各种渠道获取、了解、掌握相关的业务信息，对这些信息深入分 析后，梳理出对应的违法犯罪过程将会形成一个怎样的行为链条，总结出该链条上关键环节 的行为特征。前面提过的POS机套现案例就是这种情况。POS机套现犯罪的技术含量较高、 手法隐蔽，查处难度较大，也是审计人员在金融审计领域中遇到的新

16、问题，在此案例中，审 计人员通过科学分析总结出此犯罪行为的特征，再将行为特征落实到数据特征中，最终发现 审计线索。从法律法规的要素来分析行为特征当违法犯罪行为本身比较隐蔽，或者具有很强的伪装性，利用了知识或者行业漏洞，钻 法律法规的空子，不易察觉时，直接通过分析违法犯罪的手段来发现行为特征会比较困难， 此时可以进行换位思考，从法律法规的要素来分析行为特征，即在各种法律法规的约束下， 从事违规行为的当事人可能会采取哪些手段来进行违法违规活动，进而分析总结出行为特 征。以骗取征地拆迁补偿款案件为例。近年来，在一些土地收储项目和建设项目中，诈骗征 地拆迁补偿款的案件时有发生。审计工作也很关注此类问题，但由于审计时被征地块的拆迁 工作往往已经完成，很多实物证据已经不复存在，发现线索十分困难。在某审计项目中，审 计人员认真分析了相关的法律法规，其中一个文件关于城市拆迁房屋拆迁补助费有关规定 的批复让审计人员找到了突破