之前我說過很多創業者容易犯的錯誤，過度理想主義，把用戶當作好人。我說過一個關鍵詞，不能說壞用戶一定很多，可能壞用戶真的只有1%，但很可能一個壞用戶的破壞，可以抵銷一百個好用戶的創造。這是很常見的創業困境，因為很小的疏忽，導致極大的損失。
所以，一些毫無經驗的創業者，要有這方面的意識，至少思想上要有風控這個概念，要知道如何規避和防范壞的事情，不要過于理想主義。
但，凡事過猶不及，創業者以及某些大公司還存在另一個極端，那就是對壞的東西非常敏感。非常擔心，風控意識非常強大，而導致產品設計上顧慮重重，用戶體驗直線下降。簡單說就是，把所有用戶當壞人來防范。
所以，平衡性才是關鍵。
我之前也在《那些用力過猛的員工》談過這個事。
其實很多大公司都遇到這樣的問題，不管你想做什么事情，律師、法務都會告訴你，這個風險很大，那個不能做，這個政策不明確，等等。你什么都不做，他們是最安全的，所以這就是很多創業公司還有機會脫穎而出的原因，光腳的不怕穿鞋的。
網上流傳的微信歷史傳記也提過，騰訊內部多個平臺做移動聊天工具，其中微信團隊是資源最少，規模最小的，但因為顧忌與電信部門的合作關系，幾個核心部門都不敢碰語音聊天，還勸張小龍不要輕舉妄動。結果張小龍光腳的不怕穿鞋的，做出來再說，微信一舉成為騰訊新的發展引擎。
有的時候我也覺得自己寫著寫著就前后矛盾，你看，一會說有些創業者頭腦發熱什么都敢做，風險考慮不周全不對；一會又說創業者不要顧慮太多很多事情還是要盡可能做起來。其實，一切都是度。
我總說，創業的路徑，不是只有黑和白，不是只有對和錯。很多時候我們要找到一個合適的尺度，我的膽子比較小，所以也是我創業很不成功的地方。很多尺度我自己收得非常緊，很多東西不敢碰；但我也認識一些膽子很大的創業者，有的已經經歷了牢獄之災。你非要我劃一條線，我做不到，但我想提醒給創業者的是，兩邊你都要知道。
你可以膽子大一點，但你要知道風控是什么，哪些是你不能碰的高壓線，哪些是壞用戶可能造成巨大傷害的領域；你也可以膽子小一點，但你要知道如果一昧的拒絕風險，可能很多好的機會就會徹底錯過。膽子大，但不能說什么風險都不知道，不是說你可以閉著眼睛往前跑，那不是膽子大，那是作死。膽子小，但不能束手束腳，非要追求絕對安全，就算你找份好工作，也不是說百分百安全沒風險的，更何況創業。
如果講政策風險，法律風險，這個話題有點大，而且很容易屏蔽詞。只說一點，早期互聯網創業者（包括各路巨頭在內）在版權方面多少都存在一些問題，這是事實，必須承認的。市場環境都是盜版天下的時候，你規規矩矩做真就是沒有一點機會；但市場環境已經規范化，你還不收手那就是找死，這個話題點到為止。
下面講講用戶體驗層面，面對壞用戶的風險，如何將產品體驗做到好。
現在很多公司已經成為標配的一個登錄體驗是這樣的，作為一個案例分享，你輸入賬號密碼的時候，第一次輸入的時候，只需要輸入正確的賬號和密碼就可以。但如果你連續輸入錯誤兩到三次，那么就出現驗證碼，而且很難認的那種，如果再輸入錯誤幾次，賬號就鎖死了，一段時間內禁止登錄。
從用戶體驗而言，驗證碼是用戶非常反感的，但這個東西確實有意義，因為要應對壞用戶的風險。但類似的情況，其實還有很多。
用戶期待便捷，簡單與系統風控本身通常是互悖的，完美的解決方案是不存在的，但平衡的原則是有的。
類似如上驗證碼的策略流程就是一個典型原則，漸進風控，用戶最開始登錄的時候，系統默認為好用戶，但出現異常之后，開始增加防范手段。隨著異常的情況，防范手段層進加深，直到賬戶鎖死，當然，用戶體驗是隨著風險系數增加而下降的。
現在大部分優秀的互聯網產品都有這樣的漸進策略，低風險情況下，用戶的操作體驗是最優化的，但隨著系統判別的風險層級的提升，防范策略開始啟動，操作體驗開始逐漸下降。 而這個風險層級的評估，就是一個技術挑戰，你既不能隨意給好用戶降低操作體驗，又能做到高效防范壞用戶的行為。
除了漸進原則，還有幾個關鍵點可以說一下：
1、容忍度
對壞用戶，壞行為的容忍度是什么？你說，0容忍，說得容易，其實0容忍是技術不可實現的，相當多壞行為往往是基于數據分析和統計規律獲得的。說來慚愧，壞行為數據越豐富，這個識別能力越強。但識別能力的漸進發展，往往是伴隨著不斷的壞行為得逞的過程。
容忍度的基本原則在于，壞行為不能具有規模性，爆發性，以及擴散性。
我們常說，很多常旅客系統里面有羊毛，其實這里也存在一個容忍度的問題，你只要不規模化，不擴散性地去賺這個便宜，人家真的不在乎。
2、防范策略的友好度
當風險識別級別提升，防范策略出現的時候，這里其實也存在一個很明確的友好度的話題。
這個怎么理解呢，就是風險防范策略出現的時候，這些策略面對的可能是一個壞行為，但也可能是一個好用戶。只要系統沒有屏蔽這個行為，而是提供了一個防范策略，那么這個策略所面對的，就很有可能是一個好用戶。這時候，你要盡量給這個用戶的感受是：你尊重他，他不是壞用戶。
什么意思呢？
比如我密碼連續輸入錯誤了幾次，你出驗證碼可以，但你的文案要溫和，不要直接給這個用戶出現粗暴或者不禮貌的文字。因為我經常變換城市，很多app對換城市登錄都做了風控處理，這個作為技術出身，我能理解背后的策略。但文案能不能和藹一些，比如說，“對不起，給您添麻煩了，由于當前地址不屬于您的常見登錄地址，系統為了保護您的資料不被非法盜用，希望您給予配合輸入如下驗證碼”。
再帶一點溫和萌化的表情，用戶的理解度可能就會好一點。現在我發現很多知名互聯網產品，在這種地方往往簡單粗暴，出現的提示更像是赤裸裸的警告，看上去讓用戶很不爽，我估計可能測試也沒把這個當回事。
其實，關于風控策略在交互中出現的時候，其中文案和交互視圖，對于壞行為，壞用戶是沒任何意義的，但對于好用戶來說，你文案做好一點，也是一種對體驗下降的補償。
3、風控不能以規模化損害正常業務或降低活躍度為代價
這是非常關鍵的原則，風控對業務和用戶活躍度會有影響是必然的，但如果規模化的傷害了正常業務，或者降低了用戶的活躍度，這是得不償失的。
不能說，我風控我有理，我安全我優先。你業務都完蛋了你安全給誰看呢？
一個企業的風控部門，安全部門，說到底是保障業務的，為了業務健康發展的，短期內會導致一些業務損失。如果確實有必要，也能理解，但如果以風控為名扼殺業務，讓用戶流失，這個就非常糟糕了。
以前百度空間對屏蔽詞的策略就很無語，我一直是百度空間的忠實用戶，說來我還在百度空間的產品團隊里混過半年多，但我發現想在百度空間發篇長文越來越難，因為不知道哪里就屏蔽詞違規了。關鍵是我要發表的文章，毫無半點政治隱喻和相關的內容，全都是規規矩矩的文字，每次遇到都特別困擾，而且毫無任何修正的提示，只能不斷用二分法（切掉一半文字，試試能否發布成功，然后一半的一半，這樣層進）來找關鍵詞，找到屏蔽詞的酸爽真是一言難盡。后來我就真的不愿意在百度空間發東西了，再后來百度空間也沒了。
我覺得這就是個典型風控導致用戶流失的案例，我覺得這是風控部門最偷懶，最不愿意承擔責任的解決方案。
另一個典型案例以前也提過，微軟的Vista系統，是微軟Windows操作系統最失敗的一個版本，其實就是因為安全性訴求勝過了便捷性，過猶不及，導致用戶無法接受。
把好用戶都擠兌走了，你風控價值何在呢？
以前我講過的一句話，用戶對個人信息安全產品的訴求是什么，是為了讓自己更安全么？錯，是為了上網更爽。因為不安全導致了上網不爽，用戶才需要安全產品。如果安全產品喧賓奪主，讓用戶上網不爽，那一定會被卸載掉。
那么，這些原則說起來容易，實施中為什么會存在障礙呢？
第一，求全責備，領導要求對風險零容忍，或者對壞案例百分百究責。在這樣的情況下，相關執行者自然把風控放在了業務的前面，反正業務做不好跟自己沒關系，風控出問題了要背鍋。
第二，部門代溝，各部門只關心自己的職權和責任，我的部門KPI只考慮了系統安全性，我為什么要關心業務的增長，那是你們的問題。
第三，顧此失彼，今天發現這里出了一個問題，就努力分析問題的原因，找解決方案，出一個補丁；明天發現那里出了一個問題，就努力分析問題的原因，找解決方案，出一個補丁；看上去，都是正確的分析方式，每個方案都是對的。但最后做下來，問題是沒有了，用戶也沒有了。
為什么會這樣，我們在解決問題的時候，是不是考慮到這個解決方案的負面作用？風控也是如此，我們解決了一個系統風險，是不是導致用戶操作體驗的下降？這個影響有多大，一個影響不大，兩個影響也不大，但是此消彼長，也許競爭對手體驗本來跟你差不多，但你這邊很努力地解決問題，越解決用戶體驗越糟糕，到最后你越努力，你的用戶流失比競爭對手還快。
總結一下
要對壞用戶，壞行為有概念，要對風險，包括系統安全風險，包括薅羊毛的風險，包括政策和法規風險有概念。你可以膽大，但不能無視這些問題，要知道風險在哪里，邊界在哪里，這是必須的。
在了解這些風險的前提下，要明確知道，在公司范圍內明確風控是用來保障業務發展的，而不是遏制業務發展的。風控會導致用戶體驗下降，這是必然的，但應該遵循一些保障用戶體驗的原則，比如漸進原則，比如防范策略友好度原則。要對風險容忍度有認識，尋求用戶體驗與風控的平衡點。
每個解決風險的方案，要評估對用戶體驗的傷害，尋求最佳平衡，如果對用戶體驗的傷害大于風險對系統的威脅，那么這個方案是不可取的。
不要求全責備，不要部門各自為政，不要為了解決問題而忽視其他的影響。
以上，是今天希望創業者，以及大公司的創新部門，需要認真面對的話題。
