Diagramme de Sankey du tri des alertes de fraude : modèle
Voyez d'où viennent 2 000 alertes de fraude hebdomadaires, combien sont clôturées automatiquement ou examinées par un analyste, et combien sont réellement avérées. Vue opérationnelle, volumes inventés.
Un Sankey du tri des alertes de fraude place les sources d'alertes à gauche et les issues à droite. Comme quatre sources se rejoignent dans trois niveaux d'examen, il montre quelles sources créent du travail et lesquelles produisent de vrais dossiers.
L'exemple fait passer 2 000 alertes hebdomadaires issues de quatre sources par trois niveaux d'examen, puis vers un verdict. 1 100 sont clôturées automatiquement, 800 vont à un analyste et 100 dans une file prioritaire. Au final, seules 200 des 2 000 sont confirmées.
L'image sert à décider où va le temps des analystes : une source avec un large ruban vers l'examen et un étroit vers la fraude confirmée génère du bruit. Elle montre des volumes, pas des pertes, et ne dit pas comment régler un système en particulier.
Comment lire ce diagramme
- Les règles carte déclenchent 900 des 2 000 alertes, soit 45 % du total, mais seules 40 d'entre elles atteignent la file prioritaire.
- 800 alertes nécessitent un analyste, et 620 d'entre elles (78 %) se révèlent être des faux positifs.
- La file prioritaire est petite (100), mais 70 % de ses alertes sont confirmées, le taux de réussite le plus élevé.
- Au total, 200 alertes sont confirmées (10 %), 1 730 sont des faux positifs et 70 sont non concluantes.
Les données derrière le diagramme
Chiffres inventés, à titre d'illustration. Ce ne sont pas des données d'une organisation réelle. Nombres d'alertes pour une semaine, pas des pertes.
| De | Vers | Quantité (alertes) |
|---|---|---|
| Règles carte | Clôture automatique | 500 |
| Règles carte | Examen par un analyste | 360 |
| Règles carte | File prioritaire | 40 |
| Contrôles de vélocité | Clôture automatique | 350 |
| Contrôles de vélocité | Examen par un analyste | 230 |
| Contrôles de vélocité | File prioritaire | 20 |
| Signaux d'appareil | Clôture automatique | 180 |
| Signaux d'appareil | Examen par un analyste | 100 |
| Signaux d'appareil | File prioritaire | 20 |
| Signalements clients | Clôture automatique | 70 |
| Signalements clients | Examen par un analyste | 110 |
| Signalements clients | File prioritaire | 20 |
| Clôture automatique | Faux positif | 1090 |
| Clôture automatique | Fraude confirmée | 10 |
| Examen par un analyste | Faux positif | 620 |
| Examen par un analyste | Fraude confirmée | 120 |
| Examen par un analyste | Non concluant | 60 |
| File prioritaire | Faux positif | 20 |
| File prioritaire | Fraude confirmée | 70 |
| File prioritaire | Non concluant | 10 |
Les mêmes données en CSV
source,target,value
Règles carte,Clôture automatique,500
Règles carte,Examen par un analyste,360
Règles carte,File prioritaire,40
Contrôles de vélocité,Clôture automatique,350
Contrôles de vélocité,Examen par un analyste,230
Contrôles de vélocité,File prioritaire,20
Signaux d'appareil,Clôture automatique,180
Signaux d'appareil,Examen par un analyste,100
Signaux d'appareil,File prioritaire,20
Signalements clients,Clôture automatique,70
Signalements clients,Examen par un analyste,110
Signalements clients,File prioritaire,20
Clôture automatique,Faux positif,1090
Clôture automatique,Fraude confirmée,10
Examen par un analyste,Faux positif,620
Examen par un analyste,Fraude confirmée,120
Examen par un analyste,Non concluant,60
File prioritaire,Faux positif,20
File prioritaire,Fraude confirmée,70
File prioritaire,Non concluant,10Comment cela fonctionne
Lister les sources d'alertes
Un nœud par famille de règles ou par signal, avec les alertes qu'il a déclenchées sur la période.
Ajouter les niveaux d'examen
Créez des nœuds pour la clôture automatique, l'examen standard et l'examen prioritaire, et reliez chaque source à chaque niveau qu'elle alimente.
Ajouter les verdicts
Reliez chaque niveau d'examen aux verdicts qu'il a produits. Un verdict rendu plus tard est rattaché à la période où l'alerte a été déclenchée.
Questions fréquentes
Cela montre-t-il quelles règles désactiver ?
Cela montre où se trouvent les volumes et les cas confirmés. Modifier ou non une règle relève d'un jugement qui dépend aussi du coût d'un cas manqué, ce qu'un Sankey ne montre pas.
Dois-je inclure des données clients ?
Non. Utilisez uniquement des totaux agrégés. Le diagramme n'a besoin que de totaux par source et par issue, jamais de dossiers individuels.
Modifier ce Sankey de tri de fraude
Ouvrez l'exemple comme votre propre diagramme et saisissez vos nombres d'alertes hebdomadaires.