2017 年 7 月《证券期货投资者适当性管理办法》实施后，"卖者尽责、买者自负"从一句口号变成了系统拦截逻辑。现在客户第一次登录 APP 买任何产品，都会先被弹去答一份风险测评问卷——大多数人随便点完就过，但这个"随便"背后是一套有严格法律后果的判定链。这篇讲这套系统怎么实现，以及真正的坑在哪里。
两层分级：客户 C1~C5，产品 R1~R5
适当性的核心数据结构就两个字段。客户侧叫风险承受能力等级，C1（保守型）到 C5（积极型），来自问卷打分；产品侧叫产品风险等级，R1 到 R5，由产品准入时评级（发行方或券商内部评级委员会）确定。匹配规则一行代码就能写完：
$$ \text{允许购买}(C_i, R_j) \iff j \le i \quad \text{且} \quad C_i \neq \text{最低类别} \lor j = 1 $$
即普通投资者只能买不超过自身等级的产品，其中被评估为最低风险承受能力类别（实务里叫 C1 最低档）的客户只能买 R1。判定点在每一个委托入口：柜台、APP、API、电话委托——凡能形成交易指令的地方都要先过这道闸，漏一个入口就是内控缺陷。
矩阵本身不难，难的是两个输入的可信度。
测评问卷：打分模型与防作弊
问卷通常 10~15 题，覆盖年龄、收入、投资经验、亏损承受度，每题选项映射分数，加权汇总后落到 C1~C5 分档。设计上有个内生矛盾：客户有动机把答案填激进（填保守买不到想要的股票型基金），系统又必须尊重客户的自我声明。两边拉扯出来的工程取舍是：
- 题目内置一致性校验。比如"您的年收入"选了 5 万以下，"您计划投入本金的占比"却选了 80% 以上，这种组合触发谨慎提示甚至要求重新作答。不是拦住，而是让"随便点"的摩擦变大。
- 关键题加权重。"最多能接受多大比例的的本金亏损"这类题直接决定分档边界，权重显著高于职业、学历题。
- 前端可以提示，结论不可改。柜员和客服能看到测评结果，但不能替客户把 C2 改成 C4——改分需要客户重新测评，全程留痕。能改结果的双录都救不回来，这是处罚案例里的高频事实。
有效期是另一个拦截点：测评结果最长两年有效（到期前系统要提示重测），客户信息发生重大变化（年龄越过 65 岁、联系方式变更等）也应触发重测。到期未重测的后果要落到委托链路里：允许卖出和查询，禁止新的买入类委托。只在前端弹提示、服务端不拦，等于没做。
风险不匹配：越级购买的特别程序
矩阵有例外通道：客户坚持要买超过自身等级的产品，监管允许，但必须走特别程序——书面风险警示（APP 上是强提示页面，逐条确认）、录音录像（双录）、柜面双签。系统要记录"警示-确认"的完整证据链：警示内容版本号、客户确认时间戳、双录文件编号，三者要能关联回那笔交易。
这里的工程细节是警示和下单的绑定关系。常见缺陷：客户在 H5 页面签了警示，下单走的却是另一个通道（比如从行情页快捷下单），两个环节没串起来，事后举证拿不出"这笔单在下单前已警示"的证据。实现上应该把"已警示且未过期"作为下单接口的硬校验条件，而不是前端展示流程。
产品风险等级：静态字段还是动态系统
产品端最容易被低估。产品风险等级 R1~R5 不是上架时评一次就完——分级要考虑杠杆、流动性、结构复杂度，一只分级基金下折、一只债券违约，等级都要重评。实务中的折中：托管人/发行人给初始等级，券商自营产品由内部委员会评级，存量产品每年定期复审，触发事件（净值异常波动、杠杆超标、流动性枯竭）时即时重评，重评结果立即生效到委托拦截。
这也是个参数热更新问题（《风控参数的热更新》会展开）：等级变更不能等下次发布窗口，也不能因为发布而把正在交易的产品拦一半放一半。当日已发出的委托按什么等级算，要在口径文档里写死——我们当时的口径是"以委托进入时刻的产品等级判定"，理由是和成交回报的既有处理一致（按委托时刻快照），审计时说得清。
双录：留痕的证据标准
最后说说双录。向普通投资者销售高风险产品，监管要求对销售过程同步录音录像。系统的考点是证据的可关联性和不可篡改性：录像文件编号要能关联到客户号、产品代码、警示确认记录；存储要防篡改（对象锁/WORM）；保存年限按监管要求执行（一般不少于二十年，争议期要能调出来）。现场检查时监管会抽查"这笔不匹配交易的双录在哪里"，调不出来的后果比少做一单销售严重几个数量级。
整套适当性系统总结成一句话：矩阵是明线，留痕是暗线。明线做拦截，暗线做举证——拦截错了可以改，举证缺失没得补。