1. Descripción

El enfoque de distribución de pérdidas es un método común utilizado por los profesionales de la gestión de riesgos para identificar y evaluar los posibles riesgos que pueden enfrentar en el curso normal de los negocios. En realidad, el método de asignación de pérdidas fue diseñado por actuarios de la industria de seguros. Es por esta razón que la técnica es matemáticamente avanzada y, por tanto, intrínsecamente compleja. En el mundo moderno, los métodos de asignación de pérdidas se han convertido en una parte integral de los métodos de medición avanzados establecidos en el Código de Basilea por el Banco de Pagos Internacionales (BPI). En este artículo, analizaremos más de cerca el proceso paso a paso que se debe seguir al implementar un método de asignación de pérdidas.

2. Resumen del método de asignación de pérdidas por implementación

El método de distribución de pérdidas por riesgo es un método para cuantificar y analizar las pérdidas por riesgo. El método de distribución de pérdidas por riesgo generalmente se basa en los principios de la estadística y la teoría de la probabilidad, y determina el posible tamaño de la pérdida y su distribución de probabilidad mediante la recopilación y el análisis de datos relevantes.

Los métodos comunes de distribución de pérdidas por riesgo incluyen la distribución normal, la distribución de Poisson, la distribución binomial, la distribución exponencial, la distribución gamma, etc. Al aplicar el método de distribución de pérdidas por riesgo, es necesario hacer suposiciones razonables y recopilar datos, y calcular la probabilidad correspondiente y el valor de pérdida por riesgo mediante fórmulas matemáticas para cuantificar y analizar el riesgo.

El método de distribución de pérdidas por riesgo se puede aplicar a varios tipos de riesgos, como riesgos financieros, riesgos ambientales, riesgos de ingeniería, etc., para ayudar a las organizaciones e instituciones relevantes a gestionar y controlar mejor los riesgos y reducir las pérdidas y riesgos potenciales.

Los supuestos del enfoque del modelo final requieren varios supuestos, que deben probarse mediante escenarios, pruebas de estrés y pruebas retrospectivas. Los actuarios de riesgos cibernéticos deben estar familiarizados con la estructura general de los modelos LDA y comprender la aplicación de distribuciones de frecuencia y gravedad en la modelización de pérdidas.

3. Proceso paso a paso a seguir al implementar un método de asignación de pérdidas

2.1 Paso #1: Estimación de la gravedad

El primer paso en la metodología de asignación de pérdidas es medir la gravedad del impacto que tendría el evento de riesgo si realmente ocurriera. En teoría, esto es fácil de recolectar. Sin embargo, en realidad estos datos son escasos y a menudo simplemente inexactos. Esto se debe a cuestiones como el sesgo de información y la frecuencia de escalamiento.

Esto se debe a que estos análisis sólo resultan valiosos cuando se utilizan grandes cantidades de datos. Es difícil obtener grandes cantidades de datos homogéneos. Los datos a menudo provienen de diferentes agencias en diferentes países, que tienen reglas y regulaciones muy diferentes. Entonces, cada vez que intentas escalar tus datos, generalmente no es factible. Incluso si los datos provienen de diferentes unidades del mismo banco, puede que aún así no sea factible. Los administradores de riesgos experimentados pueden ajustar estos datos y reducir los problemas de frecuencia de expansión. Sin embargo, no pueden eliminarlo.

Además, siempre es posible que las estimaciones de pérdidas informadas difieran de las estimaciones de las pérdidas reales incurridas. Para eliminar este efecto, es posible que también sea necesario ajustar los datos. Es común que algunas organizaciones establezcan límites de presentación de informes más altos. Esto significa que tienen que informar menos incidentes de pérdidas. Sin embargo, también distorsiona la distribución de todo el conjunto de datos.

2.2 Paso #2: Estimación de frecuencia

El siguiente paso es utilizar distribuciones estadísticas para ayudar a predecir la cantidad de veces que ocurrirá un evento en un período de tiempo determinado. Ahora bien, aquí son posibles varias distribuciones estadísticas complejas. Sin embargo, en la mayoría de los casos, las organizaciones asumen que es probable que los eventos de pérdida sigan una distribución de Poisson.

Esto se debe a que la distribución de Poisson se considera estadísticamente la mejor distribución cuando se trata de predecir la probabilidad de cuántas veces ocurrirá un evento no relacionado en un período de tiempo determinado. Si se utiliza una distribución de Poisson, es importante que los eventos de pérdida sean independientes entre sí.

Estadísticamente hablando, la distribución de Poisson también es más fácil de utilizar. Esto se debe a que toda la distribución se puede describir utilizando un único parámetro (a menudo llamado "lambda").

2.3 Paso #3: Cálculo de los cargos de capital

Una vez conocida la frecuencia y gravedad de las pérdidas, el siguiente paso es determinar los cargos de capital. El cargo de capital es básicamente la cantidad que una organización necesita reservar para cumplir con sus requisitos de riesgo operativo.

A lo largo de los años se han desarrollado varios métodos estándar para determinar los requisitos de capital. Estos métodos se denominan simulaciones de Monte Carlo. El nombre "Montecarlo" proviene de la ciudad de Montecarlo, famosa por sus casinos, que obviamente son sinónimo de eventos aleatorios. Uno de los métodos más habituales se puede seguir en tres sencillos pasos. El primer paso es encontrar la distribución del percentil 99,9 de los datos. Por otro lado, en el segundo paso, encuentre la media, que es el percentil 50 de la distribución. En el tercer y último paso, el percentil 50 se resta del percentil 99.

El método Monte Carlo es el mejor método. Sin embargo, también tiene ciertas desventajas. Por ejemplo, este método proporciona resultados bastante inexactos cuando se trata de eventos de pérdidas que pueden estar relacionados entre sí.

2.4 Paso 4: Calcular los intervalos de confianza

El resultado final de los pasos anteriores es un número, la carga de capital. Sin embargo, al realizar análisis estadísticos, preferimos rangos a números. Además, nos gusta asignar una probabilidad a los valores que están dentro del rango real. A esto se le llama creación de un intervalo de confianza. Este es un paso difícil que requiere el uso de muchas técnicas estadísticas avanzadas para derivar intervalos de confianza. Esto es crucial ya que todas las decisiones posteriores se toman en función de los datos proporcionados dentro de este intervalo de confianza.

Los métodos de pérdida de datos pueden parecer muy complejos y, por tanto, muy precisos. La mayoría de las veces es exacto. Sin embargo, se basa en el planteamiento de que el futuro será como el pasado. Esto se debe a que se basa en datos empíricos durante todo el proceso. Como sabemos, esto puede no suceder muchas veces. Es por eso que las organizaciones no deberían seguir ciegamente metodologías de asignación de pérdidas. En cambio, este enfoque debe usarse junto con otros datos sobre el entorno operativo.

4. Determinación del capital económico

El enfoque de capital económico de una empresa debe abordar las pérdidas inesperadas. Los requisitos de capital económico deben incluir provisiones para riesgos cibernéticos. Hay varias formas de cuantificar el riesgo cibernético, y muchos consideran que el enfoque de distribución de pérdidas (LDA) es una forma natural de cumplir con el estándar de solidez del capital económico al modelar explícitamente la distribución de las pérdidas por riesgo cibernético en una empresa durante un año.

El método LDA es el método aceptado según el Acuerdo de Basilea II para determinar el requerimiento de capital por riesgo cibernético de un banco (es decir, la cantidad de capital regulatorio). Sin embargo, las empresas también pueden utilizar este enfoque para calcular el capital económico necesario para pérdidas inesperadas por riesgos cibernéticos.

Modelos de Loss Distribution Approach (LDA) y datos de fuentes externas sobre la frecuencia y gravedad de las pérdidas con el objetivo de determinar niveles adecuados de capital económico. Este enfoque requiere varios supuestos sobre las distribuciones de frecuencia y gravedad, en particular que deben modelarse por separado.

El análisis debe incluir datos de la institución que se analiza, así como datos de fuentes externas. Diversos supuestos (por ejemplo, distribuciones, parámetros, correlaciones).

5. Estructura del método de asignación de pérdidas

El método de distribución de pérdidas tiene varios pasos. Cada paso de este método se analizará con más detalle en artículos posteriores.

Organice y agrupe los datos de pérdidas en matrices de línea de negocio/tipo de evento correspondientes al modelo LDA. La evaluación de los datos de pérdidas nos permite comprender los riesgos cibernéticos que enfrenta una empresa. Tenga en cuenta que los datos de pérdida son "retrospectivos".
Asigne el mismo peso a cada punto de datos de la matriz, excepto las pérdidas divididas, las pérdidas antiguas y las pérdidas y escenarios externos.
Modelar la distribución de las pérdidas por riesgo cibernético dentro de cada celda de la matriz de línea de negocio/tipo de incidente utilizando métodos actuariales. Esto implica derivar una distribución de frecuencia de eventos y una distribución de gravedad a partir de los datos de pérdidas y luego combinarlas mediante la simulación de Monte Carlo.
Los requisitos de capital por riesgo cibernético para cada línea de negocio se determinan combinando distribuciones empíricas y distribuciones de cola paramétricas.

El requerimiento general de capital por riesgo cibernético de una empresa combina los resultados de cada celda en la matriz de línea de negocio/tipo de incidente, teniendo en cuenta que las pérdidas no estarán perfectamente correlacionadas (es decir, diversificadas).

6. Varias características de LDA

El Enfoque de Distribución de Pérdidas (LDA) es una forma natural de cumplir con el estándar de solidez del capital económico simulando explícitamente la distribución de las pérdidas por riesgo cibernético en una empresa durante un año.
LDA tiene varios pasos, que implican principalmente organizar datos para modelar pérdidas utilizando distribuciones de frecuencia y gravedad y, en última instancia, determinar los requisitos de capital.
Una modelización adecuada de las pérdidas a menudo requiere el uso de datos internos y externos.
Los principios para el uso de datos incluyen: usar todos los datos internos, ajustar por inflación, usar las pérdidas brutas después de la recuperación, usar los datos externos correctamente, convertir las pérdidas en moneda extranjera a moneda nacional y minimizar la posibilidad de una doble contabilización de las pérdidas.
Al modelar distribuciones, los actuarios de riesgo cibernético asignarán el mismo peso a todos los puntos de datos. Hay tres excepciones: pérdidas divididas, pérdidas antiguas y pérdidas y escenarios externos.
LDA modela la frecuencia y la gravedad de las pérdidas por separado. Para las frecuencias, los modelos LDA utilizan la distribución de Poisson, binomial negativa o binomial.
Los supuestos sobre las distribuciones de gravedad generalmente se consideran más importantes que las distribuciones de frecuencia y a menudo requieren el uso de datos externos. Además, es posible que los actuarios de riesgos cibernéticos deseen extrapolar las pérdidas observadas para estimar valores superiores a los observados.
Para modelar una distribución, un actuario de riesgo cibernético puede descomponer la distribución en cuerpo, rango medio y cola. Dentro de estos tres alcances, el actuario de riesgo cibernético utilizará solo datos internos, datos internos y externos aplicables a una celda determinada en la matriz de línea de negocio/tipo de incidente, y todas las pérdidas disponibles suficientes para caer en la cola.
Para calibrar las colas de los parámetros, los actuarios de riesgo cibernético estimarán los parámetros de forma y escala de la distribución de Pareto generalizada utilizando el método del umbral de superación máxima para aumentar el umbral de exceso.
Aunque puede haber muchas dependencias, un enfoque típico es centrarse únicamente en la correlación de distribuciones de frecuencia entre unidades de línea de negocio/tipo de evento.
El seguro cambia la distribución de la pérdida total y cuando se utiliza un seguro se debe incluir en el modelo LDA. Los seguros generalmente reducen la gravedad de las pérdidas pero no su frecuencia.

7. Desafíos de la LDA

LDA tiene muchas ventajas a la hora de cuantificar los riesgos cibernéticos:

Las estimaciones de pérdidas se basan en las características únicas de la empresa.
Las estimaciones se basan en principios matemáticos y estadísticos sólidos e incluyen plazos y niveles de confianza cuidadosamente seleccionados. Esta información se puede combinar con otras exigencias de capital basadas en los mismos principios.
El modelo es adecuado para el análisis "qué pasaría si", lo que permite a las empresas comparar los beneficios de un programa de reducción de riesgos con los costos del programa.
Las estimaciones de pérdidas varían con el tiempo, lo que refleja cambios en las operaciones y la gestión de riesgos de la Compañía.

Sin embargo, existen algunos desafíos al segmentar los riesgos cibernéticos de LDA:

Este enfoque requiere grandes cantidades de datos de red, que a veces no están disponibles.
Este enfoque es retrospectivo porque se basa en experiencias pasadas.
Los datos de la red a menudo no están disponibles en los niveles inferiores de la línea de negocio para producir un verdadero modelo ascendente.
Incluye solo pérdidas directas y no incluye reducciones en los ingresos debido a cambios en los ingresos o márgenes operativos.
Falta de medidas sólidas de sensibilidad al riesgo cibernético.
Dificultad para medir la dependencia de los datos sobre riesgos cibernéticos.

[Investigación actuarial 02/10] Una breve introducción al método de distribución de pérdidas (LDA) del riesgo