1. Beschreibung

Der Verlustverteilungsansatz ist eine gängige Methode, die von Risikomanagementexperten verwendet wird, um mögliche Risiken zu identifizieren und zu bewerten, denen sie im normalen Geschäftsverlauf ausgesetzt sein könnten. Die Schadenszuteilungsmethode wurde eigentlich von Versicherungsmathematikern in der Versicherungsbranche entwickelt. Aus diesem Grund ist die Technik mathematisch fortgeschritten und daher von Natur aus komplex. In der modernen Welt sind Verlustzuweisungsmethoden zu einem integralen Bestandteil der fortschrittlichen Messmethoden geworden, die im Basler Kodex der Bank für Internationalen Zahlungsausgleich (BIZ) festgelegt sind. In diesem Artikel werfen wir einen genaueren Blick auf den schrittweisen Prozess, der bei der Implementierung einer Verlustzuweisungsmethode befolgt werden muss.

2. Zusammenfassung der Methode zur Zuordnung von Implementierungsverlusten

Die Risikoverlustverteilungsmethode ist eine Methode zur Quantifizierung und Analyse von Risikoverlusten. Die Risikoverlustverteilungsmethode basiert in der Regel auf den Prinzipien der Statistik und der Wahrscheinlichkeitstheorie und bestimmt die mögliche Verlustgröße und ihre Wahrscheinlichkeitsverteilung durch die Sammlung und Analyse relevanter Daten.

Zu den gängigen Methoden zur Risikoverlustverteilung gehören Normalverteilung, Poisson-Verteilung, Binomialverteilung, Exponentialverteilung, Gammaverteilung usw. Bei der Anwendung der Risikoverlustverteilungsmethode ist es notwendig, angemessene Annahmen und Datenerfassungen zu treffen und die entsprechende Wahrscheinlichkeit und den Risikoverlustwert mithilfe mathematischer Formeln zu berechnen, um das Risiko zu quantifizieren und zu analysieren.

Die Risikoverlustverteilungsmethode kann auf verschiedene Arten von Risiken angewendet werden, wie z. B. finanzielle Risiken, Umweltrisiken, technische Risiken usw., um relevanten Organisationen und Institutionen dabei zu helfen, Risiken besser zu verwalten und zu kontrollieren und potenzielle Verluste und Risiken zu reduzieren.

Die Annahmen des endgültigen Modellansatzes erfordern verschiedene Annahmen, die mithilfe von Szenarien, Stresstests und Backtesting getestet werden sollten. Aktuare für Cyberrisiken sollten mit der allgemeinen Struktur von LDA-Modellen vertraut sein und die Anwendung von Häufigkeits- und Schwereverteilungen bei der Modellierung von Verlusten verstehen.

3. Schritt-für-Schritt-Anleitung zur Implementierung einer Verlustzuweisungsmethode

2.1 Schritt Nr. 1: Einschätzung des Schweregrads

Der erste Schritt der Verlustzuordnungsmethode besteht darin, die Schwere der Auswirkungen zu messen, die das Risikoereignis hätte, wenn es tatsächlich eintreten würde. Theoretisch ist dies leicht zu sammeln. In Wirklichkeit sind diese Daten jedoch spärlich und oft einfach ungenau. Dies ist auf Probleme wie Berichtsverzerrung und Skalierungshäufigkeit zurückzuführen.

Denn erst bei der Nutzung großer Datenmengen werden diese Analysen wertvoll. Es ist schwierig, große Mengen homogener Daten zu erhalten. Die Daten stammen oft von verschiedenen Behörden in verschiedenen Ländern, die sehr unterschiedliche Regeln und Vorschriften haben. Wenn Sie also versuchen, Ihre Daten zu skalieren, ist dies normalerweise nicht möglich. Selbst wenn die Daten von verschiedenen Einheiten derselben Bank stammen, ist dies möglicherweise nicht möglich. Erfahrene Risikomanager können diese Daten anpassen und Probleme mit der Erweiterungshäufigkeit reduzieren. Sie können es jedoch nicht beseitigen.

Darüber hinaus ist es immer möglich, dass die gemeldeten Verlustschätzungen von den Schätzungen der tatsächlich eingetretenen Verluste abweichen. Um diesen Effekt zu beseitigen, müssen ggf. auch die Daten angepasst werden. Bei einigen Organisationen ist es üblich, die Obergrenzen für die Berichterstattung höher festzulegen. Dadurch müssen sie weniger Schadenereignisse melden. Allerdings verzerrt es auch die Verteilung des gesamten Datensatzes.

2.2 Schritt Nr. 2: Häufigkeitsschätzung

Der nächste Schritt besteht darin, statistische Verteilungen zu verwenden, um vorherzusagen, wie oft ein Ereignis in einem bestimmten Zeitraum auftreten wird. Nun sind hier mehrere komplexe statistische Verteilungen möglich. In den meisten Fällen gehen Organisationen jedoch davon aus, dass Schadenereignisse wahrscheinlich einer Poisson-Verteilung folgen.

Dies liegt daran, dass die Poisson-Verteilung statistisch gesehen als die beste Verteilung gilt, wenn es darum geht, die Wahrscheinlichkeit vorherzusagen, wie oft ein unabhängiges Ereignis in einem bestimmten Zeitraum auftritt. Wenn eine Poisson-Verteilung verwendet wird, ist es wichtig, dass Verlustereignisse unabhängig voneinander sind.

Statistisch gesehen ist die Poisson-Verteilung auch einfacher zu verwenden. Dies liegt daran, dass die gesamte Verteilung mit einem einzigen Parameter (oft als „Lambda“ bezeichnet) beschrieben werden kann.

2.3 Schritt Nr. 3: Berechnung der Kapitalkosten

Sobald Häufigkeit und Schwere der Verluste bekannt sind, besteht der nächste Schritt darin, die Kapitalanforderungen zu ermitteln. Bei der Kapitalanforderung handelt es sich grundsätzlich um den Betrag, den eine Organisation zurücklegen muss, um ihre Anforderungen an das Betriebsrisiko zu erfüllen.

Im Laufe der Jahre wurden eine Reihe von Standardmethoden zur Bestimmung der Kapitalanforderungen entwickelt. Diese Methoden werden Monte-Carlo-Simulationen genannt. Der Name „Monte Carlo“ stammt von der Stadt Monte Carlo, die für ihre Casinos bekannt ist, was offensichtlich ein Synonym für zufällige Ereignisse ist. Eine der gängigsten Methoden kann in drei einfachen Schritten befolgt werden. Der erste Schritt besteht darin, die 99,9-Perzentilverteilung der Daten zu ermitteln. Andererseits ermitteln Sie im zweiten Schritt den Mittelwert, der das 50. Perzentil der Verteilung darstellt. Im dritten und letzten Schritt wird das 50. Perzentil vom 99. Perzentil abgezogen.

Die Monte-Carlo-Methode ist die beste Methode. Allerdings hat es auch gewisse Nachteile. Beispielsweise liefert diese Methode eher ungenaue Ergebnisse, wenn es um Schadensereignisse geht, die möglicherweise miteinander in Zusammenhang stehen.

2.4 Schritt #4: Konfidenzintervalle berechnen

Das Endergebnis der oben genannten Schritte ist eine Zahl, die Kapitalanforderung. Bei statistischen Analysen bevorzugen wir jedoch Bereiche gegenüber Zahlen. Darüber hinaus fügen wir Werten, die innerhalb des tatsächlichen wahren Bereichs liegen, gerne eine Wahrscheinlichkeit zu. Dies wird als Erstellung eines Konfidenzintervalls bezeichnet. Dies ist ein schwieriger Schritt, der den Einsatz vieler fortgeschrittener statistischer Techniken zur Ableitung von Konfidenzintervallen erfordert. Dies ist von entscheidender Bedeutung, da alle weiteren Entscheidungen auf der Grundlage der innerhalb dieses Konfidenzintervalls bereitgestellten Daten getroffen werden.

Verlustdatenmethoden können sehr komplex und daher sehr genau erscheinen. Meistens ist es korrekt. Es basiert jedoch auf dem Ansatz, dass die Zukunft wie die Vergangenheit sein wird. Dies liegt daran, dass während des gesamten Prozesses auf empirische Daten zurückgegriffen wird. Wie wir wissen, kommt dies möglicherweise nicht oft vor. Aus diesem Grund sollten Unternehmen den Methoden zur Verlustzuweisung nicht blind folgen. Stattdessen sollte dieser Ansatz in Verbindung mit anderen Daten über die Betriebsumgebung verwendet werden.

4. Bestimmung des ökonomischen Kapitals

Der ökonomische Kapitalansatz eines Unternehmens muss unerwartete Verluste berücksichtigen. Der ökonomische Kapitalbedarf sollte Rückstellungen für Cyber-Risiken beinhalten. Es gibt mehrere Möglichkeiten, das Cyber-Risiko zu quantifizieren, und viele halten den Verlustverteilungsansatz (Loss Distribution Approach, LDA) für eine natürliche Möglichkeit, den Standard für die Solidität des ökonomischen Kapitals zu erfüllen, indem die Verteilung der Cyber-Risikoverluste in einem Unternehmen über ein Jahr hinweg explizit modelliert wird.

Die LDA-Methode ist die im Basel-II-Abkommen akzeptierte Methode zur Bestimmung der Cyber-Risikokapitalanforderung einer Bank (d. h. der Höhe des regulatorischen Kapitals). Mit diesem Ansatz können Unternehmen jedoch auch den ökonomischen Kapitalbedarf für unerwartete Cyber-Risikoschäden berechnen.

Modelle des Loss Distribution Approach (LDA) und Daten aus externen Quellen zur Häufigkeit und Schwere von Verlusten mit dem Ziel, angemessene Niveaus des ökonomischen Kapitals zu bestimmen. Dieser Ansatz erfordert verschiedene Annahmen über Häufigkeits- und Schweregradverteilungen, vor allem, dass diese separat modelliert werden sollten.

Die Analyse sollte Daten der analysierten Institution sowie Daten aus externen Quellen umfassen. Verschiedene Annahmen (z. B. Verteilungen, Parameter, Korrelationen).

5. Struktur der Verlustzuordnungsmethode

Die Verlustverteilungsmethode besteht aus mehreren Schritten. Jeder Schritt dieser Methode wird in den folgenden Artikeln ausführlicher besprochen.

Organisieren und gruppieren Sie Verlustdaten in Matrizen für Geschäftsbereiche/Ereignistypen, die dem LDA-Modell entsprechen. Durch die Auswertung von Verlustdaten können wir die Cyberrisiken verstehen, denen ein Unternehmen ausgesetzt ist. Beachten Sie, dass die Verlustdaten „rückblickend“ sind.
Weisen Sie jedem Datenpunkt in der Matrix das gleiche Gewicht zu, mit Ausnahme von geteilten Verlusten, alten Verlusten sowie externen Verlusten und Szenarien.
Modellieren Sie die Verteilung von Cyber-Risikoverlusten innerhalb jeder Zelle der Geschäftsbereich-/Vorfalltyp-Matrix mithilfe versicherungsmathematischer Methoden. Dabei werden aus den Schadensdaten eine Ereignishäufigkeitsverteilung und eine Schweregradverteilung abgeleitet und anschließend mittels Monte-Carlo-Simulation miteinander kombiniert.
Der Cyber-Risikokapitalbedarf für jeden Geschäftsbereich wird durch die Kombination empirischer Verteilungen und parametrischer Tail-Verteilungen ermittelt.

Der Gesamtbedarf eines Unternehmens an Cyber-Risikokapital kombiniert die Ergebnisse für jede Zelle in der Geschäftsbereich-/Vorfalltyp-Matrix und berücksichtigt dabei, dass Verluste nicht perfekt korreliert (d. h. diversifiziert) sind.

6. Mehrere Merkmale von LDA

Der Loss Distribution Approach (LDA) ist eine natürliche Möglichkeit, den Standard für die Solidität des ökonomischen Kapitals zu erfüllen, indem die Verteilung von Cyber-Risikoverlusten innerhalb eines Unternehmens über ein Jahr hinweg explizit simuliert wird.
LDA besteht aus mehreren Schritten, die in erster Linie die Organisation von Daten umfassen, um Verluste mithilfe von Häufigkeits- und Schwereverteilungen zu modellieren und letztendlich den Kapitalbedarf zu bestimmen.
Eine adäquate Schadensmodellierung erfordert häufig die Nutzung interner und externer Daten.
Zu den Grundsätzen für die Verwendung von Daten gehören: Verwendung aller internen Daten, Anpassung an die Inflation, Verwendung von Bruttoverlusten nach der Erholung, korrekte Verwendung externer Daten, Umrechnung von Fremdwährungsverlusten in Landeswährung und Minimierung der Möglichkeit einer Doppelzählung von Verlusten.
Bei der Modellierung von Verteilungen weisen Aktuare für Cyberrisiken allen Datenpunkten das gleiche Gewicht zu. Es gibt drei Ausnahmen: geteilte Verluste, alte Verluste sowie externe Verluste und Szenarien.
LDA modelliert Verlusthäufigkeit und Schadenschwere getrennt. Für Häufigkeiten verwenden LDA-Modelle die Poisson-Verteilung, die negative Binomialverteilung oder die Binomialverteilung.
Annahmen über Schweregradverteilungen gelten im Allgemeinen als wichtiger als Häufigkeitsverteilungen und erfordern häufig die Verwendung externer Daten. Darüber hinaus möchten Aktuare für Cyberrisiken möglicherweise beobachtete Verluste extrapolieren, um Werte zu schätzen, die über den beobachteten Werten liegen.
Um eine Verteilung zu modellieren, kann ein Cyber-Risikoaktuar die Verteilung in einen Hauptteil, einen Mittelteil und einen Endteil zerlegen. Innerhalb dieser drei Bereiche verwendet der Aktuar für Cyber-Risiken nur interne Daten, interne und externe Daten, die für eine bestimmte Zelle in der Branchen-/Vorfalltyp-Matrix gelten, und alle verfügbaren Verluste, die ausreichen, um in die Schlussphase zu gelangen.
Um die Parametergrenzen zu kalibrieren, schätzen Cyber-Risikoaktuare die Form- und Skalierungsparameter der verallgemeinerten Pareto-Verteilung mithilfe der Methode der Spitzenüberschreitungsschwelle, um die Überschreitungsschwelle zu erhöhen.
Obwohl es viele Abhängigkeiten geben kann, besteht ein typischer Ansatz darin, sich nur auf die Korrelation von Häufigkeitsverteilungen zwischen Geschäftsbereichen/Ereignistypeinheiten zu konzentrieren.
Versicherungen verändern die Gesamtschadenverteilung und sollten bei Inanspruchnahme einer Versicherung in das LDA-Modell einbezogen werden. Versicherungen verringern im Allgemeinen die Schwere von Schäden, nicht jedoch deren Häufigkeit.

7. Herausforderungen von LDA

LDA bietet viele Vorteile bei der Quantifizierung von Cyberrisiken:

Schadensschätzungen basieren auf den einzigartigen Merkmalen des Unternehmens.
Schätzungen basieren auf fundierten mathematischen und statistischen Prinzipien und umfassen sorgfältig ausgewählte Zeitrahmen und Konfidenzniveaus. Diese Informationen können mit anderen Kapitalanforderungen kombiniert werden, die auf denselben Grundsätzen basieren.
Das Modell eignet sich für „Was-wäre-wenn“-Analysen und ermöglicht es Unternehmen, den Nutzen eines Risikominderungsprogramms mit den Kosten des Programms zu vergleichen.
Die Verlustschätzungen variieren im Laufe der Zeit und spiegeln Änderungen in der Geschäftstätigkeit und im Risikomanagement des Unternehmens wider.

Allerdings gibt es einige Herausforderungen bei der Segmentierung der Cyberrisiken von LDA:

Dieser Ansatz erfordert große Mengen an Netzwerkdaten, die manchmal nicht verfügbar sind.
Dieser Ansatz ist rückwärtsgewandt, da er auf Erfahrungen aus der Vergangenheit basiert.
Für die Erstellung eines echten Bottom-up-Modells stehen auf den unteren Ebenen der Branche häufig keine Netzwerkdaten zur Verfügung.
Beinhaltet nur direkte Verluste und keine Umsatzrückgänge aufgrund von Umsatz- oder Betriebsmargenänderungen.
Fehlen starker Sensitivitätsmaßnahmen für Cyberrisiken.
Es ist schwierig, die Abhängigkeit von Cyber-Risikodaten zu messen.

[Actuarial Research 02/10] Eine kurze Einführung in die Verlustverteilungsmethode (LDA) des Risikos