上一篇讲申购款怎么扣，这一篇讲扣款之前的一道闸：这个客户能不能买这个产品。2017 年《证券期货投资者适当性管理办法》把"把合适的产品卖给合适的人"从销售道德变成了法定义务，系统里落地为两个组件：风险测评（给客户定级）和匹配校验（下单前置拦截），高风险场景再加一个双录（录音录像留痕）。券商柜台和基金销售共用同一套框架，这篇以基金销售视角讲。
风险测评：问卷打分定级
客户首次购买基金前必须完成风险测评。测评是一份问卷（风险承受能力评估），各家机构题目不同，但结构同构：收入与资产规模、投资经验、投资期限、亏损承受意愿、风险偏好，五类维度加权打分。以某头部机构 10 题问卷为例，每题 A-D 选项对应 1-4 分，总分映射等级：
$$ \text{等级} = f\left(\sum_{i=1}^{10} w_i \cdot s_i\right),\quad f:\ [10,40] \to \{\text{C1},\text{C2},\text{C3},\text{C4},\text{C5}\} $$
等级含义按监管口径：C1 保守型（只能买货币、短债），C2 稳健型，C3 平衡型（可加股票基金），C4 成长型（可加混合、QDII），C5 进取型（可加复杂结构产品）。70 岁以上老人、低收入高杠杆群体有专门的降级规则——系统自动在映射结果上降一级，这是问卷分数之外的硬规则，写死在评级引擎里而不是题目权重里。
测评结果不是终身的：有效期一年，过期未完成重测的客户禁止新增购买（存量持有不受影响，只挡新申购）。系统实现上，客户风险档案是一个带过期时间戳的状态，下单前置校验的第一条就是查这个状态——和查资金余额同一个拦截器层级，毫秒级返回。
匹配矩阵：下单前的硬性拦截
产品侧也有风险等级：R1（货币）到 R5（复杂衍生品策略），由管理人在产品注册时申报并写入销售机构的参数库。匹配规则是矩阵化的硬性约束：
$$ \text{可购买} \iff \text{客户等级} \ge \text{产品等级}\ (\text{按映射表}) $$
监管口径里 C1 匹配 R1-R2、C2 匹配 R1-R3，以此类推，C5 全谱系。关键设计决策：拦截发生在哪一层。行业里被验证过的做法是放在销售网关的统一前置校验，而不是各渠道页面自己做：
- 下单请求进网关，先查客户风险档案（等级 + 有效期）；
- 再查产品风险等级和特殊销售状态（首发期、限购、仅直销可售）；
- 不匹配直接拒单，错误码区分"等级不足"和"测评过期"——前者引导换产品或做更高级别测评（C3 客户主动申请升 C4 要重新测评并签署风险揭示书），后者引导先重测。
渠道页面有自己的营销逻辑（会想把客户往高风险产品引），把拦截权收在网关层，才能保证 App、网页、理财师平板、电话委托全渠道一个口径。券商侧同理，集中交易柜台的事前风控和基金销售的网关校验是同一个哲学：《事前风控检查链路》篇讲过的毫秒预算，在这里就是测评查询和产品等级查询各一次缓存命中。
双录：高风险销售的过程留痕
风险等级匹配还不够的场景，监管要求"销售过程录音录像"：私募产品、R4 及以上产品向 C4 以下客户销售（不匹配但客户坚持购买，走特别风险警示流程）、65 岁以上老人购买高风险产品等。双录的内容是销售人员向客户逐条宣读风险揭示条款并确认客户理解的完整过程。
双录对系统的要求和测评、拦截完全不同，它是个工作流系统：
- 录制开始前，系统核对"该笔销售是否需要双录"（产品等级 × 客户等级 × 客户特征的三维判定），生成双录任务单；
- 录制中，视频和音频流实时上传，关键帧（风险揭示书签署画面）单独抓取存证；
- 录制完成，文件编号和交易流水号绑定，双录完成是下单生效的前置条件——先录后买，录了没买任务单超时关闭；
- 存储合规：录音录像资料保存期限不少于产品到期后若干年，期间可调取举证（监管检查和客诉仲裁都靠它）。
工程上的坑有两个。一是离线场景的补录：网点网络抖动，理财师和客户的双录流程不能中断，常见做法是本地缓存加密录制、恢复联网后补传，补传窗口内的下单请求挂"双录待确认"状态，这个中间态要防客户流失也要防绕过。二是双录文件的不可抵赖性：文件要做哈希固化（和《审计日志》篇的哈希链同款思路），防止事后被替换——客诉时"视频是不是事后补的"是常见的抗辩点。
适当性数据的治理价值
适当性档案不只是合规挡箭牌，它是销售机构最有价值的结构化数据之一：客户等级分布决定产品线排布，测评题目的应答分布反推渠道的营销话术是否越界（某题目得分普遍异常说明理财师在诱导作答）。监管检查现在必查"超风险销售"，系统要能 5 分钟拉出全量"客户等级 < 产品等级"的历史成交清单并逐笔关联双录文件——这个查询性能决定了检查时是调数据还是被开罚单。
适当性系统的架构思路和事前风控一脉相承：把合规判断从业务流程里抽出来，做成网关层的纯函数——输入客户档案和产品参数，输出放行或拒绝。双录是唯一没法纯函数化的部分，它绑定了线下的人和摄像头，所以它被设计成"前置条件"而不是"校验规则"：系统管不了销售过程是否真诚，只能保证没留痕的交易根本没发生过。