7.2 综合风控框架

7.2 综合风控框架

单个闸门再精密，也回答不了一个管理层必须回答的问题：现在整个系统加总起来，风险有多大。头寸限额管住了单标的，管不住五十个标的同向持仓的隐性集中；频率限制管住了报单数，管不住策略群在特定行情下的同步行为。把零散闸门组织成体系，就是综合风控框架的职责。本节讲这套框架的三层结构（事前、事中、事后）、一个核心机制（压力镜像），以及 kill switch 的分级设计与演练纪律——它们合起来，构成监管问询时你能拿出来的完整答案。

这一节要弄明白的事

1. 划分事前、事中、事后三层的职责边界，说明信息如何跨层流动；
2. 理解限额体系的层次结构：账户、策略、标的、时段四个维度如何叠加；
3. 设计压力镜像机制：用实时数据持续计算"如果现在极端行情，账面会怎样"；
4. 给 kill switch 分级：撤单级、平仓级、停机级，并定义每级的触发与恢复；
5. 制定演练日历，把风控从文档变成肌肉记忆。

一、三层结构：事前审批、事中拦截、事后校准

事前层管"允许什么"：策略上线审批、参数变更审批、限额分配。这一层的产出物是结构化的配置——每个策略允许交易的标的清单、限额数值、生效时段，机器可读，直接下发到 7.1 的闸门。事前层的关键设计是变更必须走版本化流程：谁批的、什么时候生效、影响哪些参数，全程留痕。高频系统的参数改动频繁，没有版本化的审批流程，事故后的复盘会陷入"不知道当时跑的是什么"的沼泽。

事中层就是 7.1 的热路径闸门群，加上跨策略的聚合检查：单标的限额在闸门里查，账户总持仓、总风险敞口在聚合层查——聚合计算不进热路径（预算不允许），由冷路径以毫秒级周期刷新，闸门读取最近快照。这里有一个精度与速度的经典交换：聚合风险快照滞后几十毫秒，极端行情下可能短暂低估敞口，工程解法是给闸门加保守偏置（按快照年龄加严阈值），用一点误杀率换结构安全。

事后层管"学到了什么"：对账（本系统与交易所流水逐笔核对，差异即事故线索）、异常行为分析（自发单率、误杀率、闸门触发的聚集分析）、以及把结论回流到事前层——限额该调的调、阈值该修的修。事后层的产出如果只是周报，框架就退化成了仪式；它的正确形态是一个工单系统，每条异常都有处置人与关闭条件。

二、压力镜像：让"如果"变成常驻仪表

压力镜像是一套实时计算：以当前真实持仓为起点，代入极端行情假设（价格跳若干档、波动翻倍、流动性减半），实时算出账面会亏多少。它跟盘后压力测试的区别在时间性——不是每天算一次，而是每个报价都重算一遍，作为常驻仪表挂在交易台。市场平静时它是绿色的背景板；行情异动时它是第一面镜子，交易员在决定加仓还是收缩之前先看它。

实现上，压力镜像是冷路径服务：订阅持仓快照与行情流，维护一套情景参数（按标的历史波动分档），毫秒级刷新结果。它自己也要有风控——情景假设失真（比如用常态波动给极端日定价）会让镜子给出虚假的安心，所以情景参数由事后层按月校准，校准记录供审计。

图：三层联动与压力镜像的位置

三、Kill switch 与演练：把预案变成肌肉

Kill switch 至少分三级，每级有明确的触发者、动作与恢复条件。撤单级：撤销本账户全部未成交挂单，保留持仓，由风控值班或自动化监控触发——最常用，代价最小。平仓级：撤单后把持仓压到日内中性，触发条件通常是账户回撤越过日限或压力镜像越线——半自动执行，重大动作需双人确认。停机级：系统整体退出报单会话，只留撤单通道——对应系统完整性可疑的场景（疑似被入侵、数据全面失真）。分级的核心价值是避免一刀切：什么都上最强熔断，等于让值班员在关键时刻先做一道错误的选择题。

演练日历把分级预案变成肌肉记忆：撤单级演练纳入每周例行（低成本，直接在生产流量上验证）；平仓级每月一次沙盒演练；停机级每季度实战化一次（在维护窗口真实走一遍全流程）。每次演练留痕：耗时、卡点、责任人。监管检查里"请演示你们的中止机制"是常见科目，演练记录就是满分答案。

案例复盘：压力镜像的第一次实战

背景：某账户在跨国品种上运行多策略，某日盘中关联市场突发政策消息，数个品种在秒内同步跳动。

操作：值班员面前的多块屏幕里，压力镜像率先变色：极端情景下的账面损失突破日限的一半。按预案，他触发撤单级并通知策略侧收缩报价带；三十秒内镜像数值稳住，未触发平仓级。当天账户回撤控制在日限的四成以内。

结果：复盘确认三个环节起效：镜像的情景参数（该品种组的联动跳档假设）恰好在上月校准时上调过；撤单级执行耗时两秒（演练均值）；策略侧收缩动作由预案直接指定，无需临场决策。

解读：这单"没发生的事故"归功于三件无聊的事：参数校准、例行演练、预案细化。风控的有效性恰恰藏在无事发生的日子里——所有戏剧性的成功救火，都值得追问一句"为什么让它烧起来"。

变式：小型团队的简化版框架：三层可以合并职责（事前事后同一人兼任），但版本化配置与演练日历两项不可省——它们是框架的最小内核，省掉任何一项，剩下的都会缓慢退化为摆设。

进阶讨论：框架运转中的三个现实问题

限额怎么定才算"有依据"？ 常见做法是历史模拟：把过去若干年的极端日行情代入当前组合，取损失分布的高分位数倒推限额。比拍脑袋强，但要警惕样本偏差——历史没演过的情形，限额会系统性偏松，所以限额体系必须与压力镜像的情景校准联动更新，而不是一年一拍。

值守与自动化的边界在哪？ 判断标准是"反应窗口"：窗口在秒级以下的处置（撤单、缩仓）必须自动化，人工来不及；分钟级以上的决策（是否恢复报价、是否上平仓级）保留人工，机器的把握不足且后果不可逆。边界会随自动化可靠性移动，但每次移动都要走变更审批，不能顺手改。

风控团队怎么跟策略团队不对立？ 把风控从"审批方"改造为"服务方"：闸门参数提供自助查询，限额申请走标准化流程并给出拒绝原因，压力镜像向策略开放只读访问。策略团队理解了约束的来历，绕过约束的冲动会小得多——对立多数来自信息不对称，而不是利益本身。

本节要点回顾

• 三层各司其职：事前管配置、事中管拦截、事后管校准，工单闭环是框架活着的证据；
• 限额四维叠加：账户、策略、标的、时段，聚合快照滞后用保守偏置补偿；
• 压力镜像是实时仪表不是盘后报告，情景参数按月校准防虚假安心；
• Kill switch 分撤单、平仓、停机三级，触发者、动作、恢复条件全部预定义；
• 演练日历分周、月、季三档，演练记录是监管问询的满分答案。