半年左右，XTransfer公开材料里的一个数字变化得很快。3月底，其港股申请文件披露，已有51个AI Agent进入风险审核流程，交易自动化审核率约98.5%；8月的未来外贸大会上，这个数字更新为72个，覆盖客户准入、交易真实性验证以及持续反洗钱监控。而目前XTransfer官网风险管理页面显示的已经是100+ AI Agents，并称其已进入风险评估的各个阶段。
B2B风控，已经不只是“看单”
跨境B2B支付的风险识别，本来就比标准化消费支付复杂得多。一笔货物贸易，审核材料可能包括商业合同、形式发票（PI）、商业发票（CI）、提单（B/L）、装箱单（PL）、报关单（CD）以及其他Supporting Documents。交易主体是谁、付款人是谁、买卖关系是否成立（交易流）、货物流向是否合理（物流）、资金从哪里来、最终又流向哪里（资金流、最终受益人），能否相互验证。在第三方代付、非同名账户入金、货代代收、集团付款、海外仓以及代理采购等场景中，Payer、Buyer、Seller、Shipper、Consignee甚至可能分别对应不同主体。因此，跨境B2B越来越强调风险为本方法（RBA，Risk-Based Approach）。客户风险评级（CRR）、国家和地区、行业、商品、贸易单据、付款人、名单筛查、交易金额、交易频率、历史交易行为、渠道反馈以及外部风险事件等因素组合起来。风险较低，可以实现Straight-Through Processing（STP）。风险可控，则Conditional-Approval，如降低限额、延迟结算、冻结部分交易。风险信号增加，则进入Transaction Monitoring（TM）、人工Review（或升级至L2/L3 Review），触发Enhanced Due Diligence（EDD），如要求补充贸易关系Request for Information（RFI）、交易对手、物流、资金来源等材料。Agent和规则引擎，并不是一回事
例如：高风险国家、首次付款人、大额交易、整数金额、交易金额短期爆发式增长、集中收付款、异常拆单、付款人与Buyer不一致、付款人所在行业与商品明显不匹配、该交易同时命中高风险地区。本质上都是：Risk Indicator → Rule Hit → Risk Action。但B2B交易里还有大量规则很难直接表达的非结构化问题。一家意大利建材公司的付款，为什么会进入一家主营消费电子的中国出口企业？付款人与合同中的Buyer不一致，两者究竟是什么关系？B/L中的Consignee与PI中的Buyer不同，是海外仓安排，还是贸易关系异常？过去，这类问题基本依赖人工Reviewer进行Google Search、网站核验、企业背景调查和单证交叉验证。读取材料→提取字段→查询外部信息→识别关联关系→进行Consistency Check →输出风险判断依据。这与传统OCR只是把B/L上的Vessel、Port、Shipper、Consignee、Commodity读出来有本质区别，这里Agent可能只是下一代决策体系中的一个专业化执行单元。Customer Profile + CRR + Transaction Data + Trade Documents + External Data + Sanctions/PEP Screening + Rules + Models + Agent Output最终转换为具体的Risk Action，包括什么情况下必须把交易判断交回给人。人工Review并没有消失
XTransfer一边披露接近98.5%的交易自动化审核率，另一方面仍拥有超过300人的风险及合规专业团队。风险工作开始被进一步拆分为风险策略、风险决策与风险运营：策略负责Policy、Solution与SOP；决策负责Platform、Data和Rules；运营团队才负责Manual Review、Investigation与QC。Auto-approval Rate、Manual Review Rate、False Positive Rate、Risk Hit Rate、Review SLA、Fraud Loss Rate以及RFI/EDD转化情况。例如，某条规则触发大量Case，但98%最终都被L1人工解除，那么首先应该考虑的可能不是增加审核人员，而是重新审视Rule Precision。类似地，如果“First Buyer”或者“Explosive Growth”等规则不断命中长期表现良好的客户，也需要重新设计CRR、交易历史与规则之间的关系。通过Risk Rule Engine与Trade-based Case Review结合，能将RFI、调高风险评级、降低限额、延迟结算、增加Spot Check直至Account Hold、Parting Way等措施纳入统一风险动作体系的尝试。这才是真正意义上的Risk-Based Automation。风控正在变成支付平台的“生产系统”
过去评价一家跨境支付机构，主要看License、Banking Partner、Coverage、Currency以及Pricing。但B2B交易规模扩大之后，还必须回答另外一个问题：每增加一亿美元TPV，需要增加多少Risk OPEX？真正的风控生产力，是把少数资深风险人员对于贸易、资金、客户和异常行为的判断，逐渐沉淀成：Data → Policy → SOP → Rule → Model → Agent → Decision。这样，一个人的判断能力才能被放大到几十万客户和海量交易。这里真正难复制的，是它背后那套能够让机器理解交易、让规则约束机器、又让人能够解释最终为什么Release、为什么Hold、为什么Reject的风险决策体系。
