模型失效：一张稳定运行两年的评分卡，是怎么在八个月里悄悄坏掉的

模型失效：一张稳定运行两年的评分卡，是怎么在八个月里悄悄坏掉的

这是海外现金贷案例复盘与踩坑实录系列的第六篇。

前面几篇讲的都是”看得见的事故”：牌照被拒、催收被罚、欺诈击穿。这一篇讲一个看不见的事故——模型失效。

它最危险的地方在于：出问题的时候，所有报表都是正常的。

一、背景

一个中型市场的消费信贷产品，上线两年，主力是一张自研的行为评分卡。

这张卡的表现一直很稳：KS长期在0.35以上，AUC稳定在0.78左右，每个月的通过率、批核额度分布、首逾率都在预设区间内波动。风控团队每周看一次监控报表，指标基本没红过。

团队对这张卡是有信心的。它经过了完整的开发、验证、上线流程，还有一套看着挺规范的监控——PSI、KS、通过率、坏账率，都在看。

问题就出在”都在看”这三个字上。

二、出了什么问题

事故发生的方式是这样的：逾期率开始上升，但滞后了整整八个月才被归因到模型上。

具体时间线：

• 第1–2个月：通过率略有上升，从42%升到46%。团队判断为”市场环境好转，优质客群增加”，属于正常波动，未做特别处理。
• 第3–5个月：首逾率（FPD）从2.8%缓慢爬升到3.6%。团队归因为”获客渠道质量波动”，处置动作是收紧了下游渠道的准入。
• 第6–8个月：M1逾期率开始系统性抬升，催收回收率下降。此时才做vintage分析，发现所有新批次的风险曲线整体上移，而不是某一渠道的问题。
• 第8个月末：复核模型输入变量分布，发现三个核心变量的群体稳定性指数（PSI）已经超过0.25——远超0.1的预警线，其中两个甚至超过0.3。

也就是说：模型的输入环境在第2–3个月就已经发生了实质变化，但监控体系直到第8个月才把它和坏账上升联系起来。

八个月，一个本可以在第3个月就踩下刹车的窗口，被完全浪费了。

三、根因

复盘下来，根因有三层。

第一层：只监控”结果”，不监控”输入”

团队看的是KS、AUC这些模型表现指标，这些指标只有在坏账成熟后才恶化——它们本质上是滞后指标。

而真正能提前预警的是输入变量分布：PSI、特征分布偏移、分数分布漂移。这些是领先指标，能在坏账出现前3–6个月发出信号。

行业里有个经验阈值：PSI > 0.1 需要关注，PSI > 0.25 意味着模型已经不适合当前客群。这家团队的第2个月，核心变量的PSI就已经在往0.1以上走，但没人看这个数。

第二层：把系统性漂移误判为局部波动

第3–5个月FPD上升时，团队的第一反应是”某个渠道变差了”，于是去收紧渠道。这个判断之所以错，是因为没有做分层归因：

• 如果只有A渠道的FPD上升，那是渠道问题；
• 如果所有渠道的FPD同步上升，那是模型或客群整体的问题。

没有做这个区分，处置动作就打偏了——收紧渠道只会降低量，不会解决风险上移。方向错了，越努力越远。

第三层：没有独立于业务线的监控职责

模型是风控团队自己开发的，监控也是风控团队自己做的。当业务线在冲规模、通过率上升被解读为”好消息”时，监控方的判断会受到业务目标的影响。

这就是为什么监管框架都强调独立验证和”三条防线”——模型开发、独立监控、内部审计三者分开。自己监督自己，天然会偏向”没问题”的解释。

四、代价与后果

这场事故的代价，最终体现在三个层面：

层面一：直接的坏账损失。 八个月的漂移期，新放款的资产整体质量下沉。事后测算，这段窗口期多产生的坏账，是可控范围内的数倍量级。

层面二：追不回来的时间。 模型失效不是”发现即修复”的事。识别问题→重新开发→验证→灰度→全量，周期通常在3–6个月。加上已经浪费的8个月，从真正出问题到完成修复，接近一年。

层面三：治理信任的损耗。 更麻烦的是，这次事故暴露了监控体系的形同虚设。业务线开始质疑风控数据的可信度，后续再提”收紧风险偏好”，阻力明显变大。

这类”模型悄悄坏掉”的案例，在行业里并不罕见。有公开复盘提到，某中型银行的催收模型在无人察觉的情况下漂移了8个月，直到损失积累到无法忽视才被发现——事后被归类为模型治理的”不当使用”。

五、可复用的教训

把这次事故抽象出来，有五条可以直接搬走的经验。

1. 监控要盯领先指标，不是滞后指标

把PSI、特征漂移放进周报的第一页，而不是等着看逾期率。PSI超过0.1就要有动作，超过0.25就要启动模型重构。

2. 漂移要分三类来监控

• 数据漂移（Data Drift）：输入变量的分布变了。用PSI、KS检验监控。
• 概念漂移（Concept Drift）：变量和结果之间的关系变了。同样的收入水平，违约概率不一样了。用vintage曲线、分层坏账率监控。
• 反馈回路风险（Feedback Loop Risk）：模型只批给”它认为好”的客群，导致未来数据失去代表性。这是最隐蔽的一类，只能靠Champion-Challenger对比和实验设计来发现。

绝大多数团队只监控了第一类，而这次事故是第二类和第三类叠加。

3. 分层归因是基本功

任何风险指标的变动，必须先做维度拆分：按渠道、按客群、按时间段、按产品。

拆完再判断是”局部问题”还是”系统问题”。不分层就下结论，是风控最贵的错误之一。

4. 复活”死人开关”

模型失效的处置，需要预设好的升级路径和暂停权限：

• 谁有权在监控指标越线时暂停模型？
• 暂停后用什么规则兜底（比如回退到上一版模型、或切到保守规则）？
• 从发现到暂停，需要走几层审批？

如果这些没在事前写清楚，出事时就会陷入”发现问题→开会讨论→等领导拍板”的延误。行业里把这种机制叫kill switch（杀死开关），是2026年多个监管框架明确要求的能力。

5. 独立性不是形式，是保命

监控职责必须和业务目标隔离。可以让风控团队开发模型，但监控和验证要交给独立的一环——哪怕只是让另一个人、另一份报表来做这件事。

“自己看自己的模型”，看到的一定是”还行”。

六、小结

模型失效这件事，本质上是“指标正常”和”业务正常”之间的时间差。

模型不会在坏的当天报警，它会在报表还很漂亮的时候，悄悄把风险塞进资产池。等到逾期率把真相摆出来，往往已经过去了三到六个月。

所以风控的核心能力，不是”把模型做得更准”，而是“在模型变坏的时候，比市场早一步知道”。

领先指标、分层归因、三类漂移、独立监控、复活开关——这五件事做扎实了，模型就算失效，你也能在窗口期内把损失控制住。

下一篇，我们讲渠道欺诈：当你的渠道伙伴开始”制造”用户，风控该怎么接招。