Прогнозирование операционных ИТ-рисков с использованием теории экстремальных величин

УДК 336.71:519.2

DOI: 10.18384/2310-6646-2018-2-145-154

прогнозирование операционных ит-риоков с использованием теории экстремальных величин

Петросян Г.С.

Российский экономический университет имени Г.В. Плеханова 117997, г. Москва, Стремянный пер., д. 36, Российская Федерация

Аннотация. В статье предложена экономико-математическая модель оценки операционного ИТ-риска c использованием теории экстремальных величин. Данная модель позволяет оценить максимально возможный ущерб от ИТ-инцидентов в релизах информационных систем банка. Модель основана на предположении, что экстремальные потери от ИТ-инцидентов подчинены распределению Фишера-Типпета. В работе приведены два различных подхода к оценке параметров распределения Фишера-Типпета на основе статистических данных по инцидентам операционного риска. Для апробации разработанной модели в статье приводятся расчёты с использованием языка программирования R. Осуществлена валидация модели с использованием теста Купика. Описаны преимущества и ограничения использования моделей экстремальных величин при оценке операционных рисков.

Ключевые слова: операционный ИТ-риск, стоимостная мера операционного риска, теория экстремальных величин, оценка Хилла, метод вероятностно-взвешенных моментов, тест Купика.

OPERATiONAL iT RISK FOREOASTiNG BASED ON EXTREME VALUE THEORY

G. Petrosyan

Plekhanov Russian University of Economics

36, Stremyanny lane, Moscow, 117997, Russian Federation

Abstract. This article considers the mathematical economic model for IT operational risk estimation, which is based on extreme value theory. This model allows of predicting maximum possible loss caused by IT incidents in the context of multiple releases of automated banking systems. The model is based on the assumption that catastrophic losses from IT incidents are distributed as Fisher-Tippet distribution. The paper provides two different techniques for parameter estimation for the Fisher-Tippet distribution when statistical data on operational risk events is known. Calculations are made by means of R programming language for confirmation of the results of the work. The model is validated by means of the Kupiec test. The author describes advantages and disdvantages of the use of extreme value theory to estimate operational risks.

Key words: IT operational risk, operational value at risk, extreme value theory, Hill estimator, probability weighted moments, Kupiec test.

© CC BY Петросян Г.С., 2018.

Операционный ИТ-риск - это риск ущерба текущей деятельности банка в виде убытка или недополученного дохода, вызванный использованием информационных технологий и реализации ИТ-процессов [2]. По результатам опроса 2015 г., проведённого компанией "PricewaterhouseCoopers" и исследовательским центром "Centre for the Study of Financial Innovation (CSFI)", операционные ИТ-риски занимают четвёртое место в рейтинге наиболее значимых угроз для банковской отрасли [4]. Это объясняется тем, что сбои и ошибки в информационных системах способны привести к серьёзным финансовым потерям для банков. К примеру, в период с 2011 по 2016 гг. во внешней базе данных по операционным рискам "Operational Riskdata eXchange Association" розничными банками было зарегистрировано 1819 инцидентов операционного ИТ-риска с суммарным ущербом 836,8 млн евро [6].

Таким образом, в настоящее время актуальна задача разработки инновационных методов управления операционными ИТ-рисками в банковской сфере.

В работе [2] предложена математическая модель для прогнозирования ущерба от операционных рисков в разрезе ИТ-релизов, которая базируется на методологии стоимостной меры риска (Value at Risk). Традиционные подходы к оценке показателя Value at Risk, которые использовались в работе [2], недостаточно хорошо учитывают случаи катастрофических потерь, что приводит к неточности прогнозов. Именно катастрофические потери, т. е. наблюдения на "хвостах" распределения ущерба, играют важную роль при прогнозировании операционного риска.

Цель настоящей статьи - разработка метода прогнозирования операционного ИТ-риска на основе статистических данных по катастрофическим потерям внедрённых ранее релизов информационных банковских систем.

Для построения математической модели был использован аппарат теории вероятностей, математической статистики и теории экстремальных величин. Модель реализована с использованием языка программирования R и среды RStudio.

Оценка показателя OpVaR на основе теории экстремальных величин

Ранее был сделан вывод, что установка каждого нового релиза в промышленную среду может привести к возникновению инцидентов операционного ИТ-риска и, как следствие, к существенным финансовым потерям. Поэтому для возможности прогнозирования данных потерь банкам следует вести непрерывный сбор статистических данных по всем инцидентам. Ведение внутренней базы данных по операционным рискам также является требованием Базельского комитета по банковскому надзору [5].

Пусть имеется массив статистических данных по финансовым потерям от ИТ-инцидентов за n релизов, и потери от релиза i = (1,2, ... , n) определяются вектором L. = (l , l. , ... , lx), где x. - количество дефектов, привнесённых данным релизом.

Определим вектор катастрофических потерь M = {M ; M2;...;Mn} следующим образом:

M. = max

Доказано [9], что величина M. имеет закон распределения, близкий к обобщённому распределению экстремальных значений, которое также называют распределением Фишера-Типпета.

Интегральная функция данного распределения имеет следующий вид:

x) =

1

exp[-(1 + ———) * ], если 0

exp[exp(- ———)], если * = 0 а

где:

^е R - параметр формы (shape);

це R - параметр размещения (location);

о>0 - параметр масштаба (scale).

Стоимостная мера операционного риска (operational value at risk) ИТ-релиза t определяется как значение потерь от инцидентов операционного риска в данном релизе, которое не будет превышено с вероятностью р.

При известных параметрах ц, а оценка величины OpVar может быть осуществлена следующим образом [5]:

м+у№ /у1 —1] при 0

£ Р

ju — о" ln(-(ln /)) при £ = 0

OpVarд (releaset) =

В случае 0<^<1 также можно рассчитать OpCVar (operational conditional value at risk) - ожидаемое значение ущерба при условии, если он превысит значение OpVaR [5]:

lnl

7 7 Р

OpCVarр

Методы оценки параметров обобщённого распределения экстремальных значений

Параметр формы ^ распределения Фишера-Типпета может быть оценён методом Хилла [5].

Упорядочим статистические данные по экстремальным потерям в ИТ-релизах в порядке возрастания: x1<x2<...<xn. Затем для каждого k = 1, ... , n - 1 вычислим предварительные оценки Хилла Y(k) по формуле (5). 1 к

Гт = j X ln x„_J+1 - In x^

k j=i

В качестве итоговой оценки Хилла параметра i следует выбрать такое значение предварительной оценки Y(k), чтобы зависимость Y(k) от k была близка к линейной.

В случае 0 <1 параметры ц и а могут быть оценены при помощи метода моментов [3].

При о<£<2 математическое ожидание и дисперсия распределения Фишера-Типпета могут быть вычислены по формулам (6) и (7).

а,

Mv = ju + - (Г (1 -£) -1) €

Dv=^г

Таким образом, при условии о<%< 1 оценки параметров А™ и ^м, по методу

а

моментов являются решением системы уравнений (8).

1 п —

-X/ —

п ,=1 д

1 п —

1

п -1 ,=-

Отсюда:

(-4 х (- *

n -1 ;=i_

1 п —

ßMM = - X ^ --f (Г (1 -fr -1) п ¡=1 fr

Очевидным недостатком данного метода оценки параметров и и & является условие о <£< 2.

Опишем метод вероятностно-взвешенных моментов [9], который может использоваться при условиях ^ > - 1 и ^ Ф 0.

Вероятностно-взвешенный момент порядка г определяется по формуле (11).

Ьг = М[х х х))г ]

Для того чтобы оценить неизвестные параметры ц и а, необходимо приравнять первые три теоретических средневзвешенных момента распределения Фишера-Типпета Ьг к эмпирическим ь:

Ьо (Ц,а,€) =

• Ь

Ь2

При г =0, 1, 2 и ^ > - 1, ^ Ф 0 теоретические и эмпирические вероятностно-взвешенные моменты могут быть по формулам (13) и (14) соответственно.

r +1 4 (1 + rf

= 1 £ (' - 1)(' - 2)...(i - г) ni=i(n - 1)(n - 2)...(n - г) '

V14V

Решение системы уравнений (12) может быть представлено в следующем виде:

| = -7,8590

3b2 -b0 ln 3 K3b2 -b0 ln3

fi__Az2h

г

ö = b0 - Г

I

Реализация модели на языке программирования R

Продемонстрируем предложенную в статье математическую модель на практическом примере. Пусть имеется вектор катастрофических потерь (в руб.) за 24 релиза банковской автоматизированной системы:

M = {80796,13; 98674,32; 107572,60; 114697,20; 87068,80; 90082,55; 185920,50 78763,61; 83358,21; 88865,22; 94661,56; 77003,22; 126073,10; 79035,37; 103652,90 104392,30; 106112,80; 89987,28; 78272,86; 165563,00; 90445,82; 79514,61; 115544,80 96564,83}

Спрогнозируем потери от ИТ-инцидентов для внедряемого в настоящий момент релиза 25. Для этого вычислим показатели OpVar и OpCVar.

Предположим, что экстремальные потери от ИТ-инцидентов подчинены распределению Фишера-Типпета, и оценим параметры ц и а данного распределения.

Для вычисления предварительных оценок Хилла Y(1), У^2),..., Y^23) выполним скрипт (рис. 1) на языке программирования R, используя библиотеку Reins [1].

Console / а Г™1

> LossData<-c(80796.13, 98674.32, 107572.60, 114697.20, 87068.80, л 90082.55, 185920.50, 78763.61, 83358.21, 88865.22, 94661.56, 770

03.22, 126073.10, 79035.37, 103652.90, 104392.30, 106112.80, 8998 7.28, 78272.86, 165563.00, 90445.82, 79514,61, 115544.80, 96564.8 3)

> Hill(LossData, k - TRUE, plot=FALSE) $k

[1] 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 £20] 20 21 22 23

$gamma

[1] 0.1159674 0.3304736 0.3075193 [6] 0.2257728 0.2098663 0.1907411

[11] 0.2185464 0.2458912 0.2310010

£16] 0.2207997 0.2513630 0.2686164 [21] 0.2539101 0.2486189 0.2541630

Рис. 1. Расчёт предварительных оценок Хилла в R

V149;

Чтобы определить итоговую оценку Хилла, целесообразно построить график зависимости предварительной оценки от k (рис. 2), выполнив следующий программный код:

Hill

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 18 17 18 19 20 21 22 23

к

Рис. 2. Зависимость предварительной оценки Хилла от номера к

Из рис. 2 можно сделать вывод, что в качестве итоговой оценки Хилла параметра ^ следует выбрать предварительную оценку У^10):

4, = 0,21850

Поскольку 0<- , для оценки параметра размещения ц и параметра масштаба а распределения экстремальных потерь от ИТ-инцидентов может быть использован метод моментов.

Выполним скрипт R (рис. 3) для оценки параметров и [8] по формулам (9) и (10) и для последующей оценки показателей ОрУаг и ОрСУаг согласно (3) и (4).

Console 7 -П]

> xi< Iii 11 (LossData, k = TRUE, plot=FALSE)$gamma[10] A

> sigma<-

> ittu<-mean

> beta<-0.95

> OpVar<-mu+

> int<-"i ntegrate(funct"i on(x) {exp(-x)/xAxi}, lower = 0, upper = log

> OpCVar<-mu-

> print

[1] 89046.16

> print

[1] 13999.69

> print

[1] 147582.7

> print

[1] 182358.6 V

Рис. 3. Оценка параметров размещения и масштаба методом моментов и расчёт показателей ОрУяг, °рСУяг на ОснОве Д^, (Гмм,

Viso;

Получим:

иМм = 89046,16, = 13999,69 ОрУаг„ 95 (ге^е25) = 147582,70 руб. ОрС¥агах (ге1еаэе25) = 182358,60 руб.

Для оценки параметров распределения Фишера-Типпета методом вероятностно-взвешенных моментов может быть использована функция gevFit библиотеки Шх^етез в И.

Листинг программы и результаты её выполнения приведены на рис. 4.

Console / = П|

> pwm<-gevFit(sort(LossData) , type = "pwm") А

> xi2<-as . numeric (pwrtfif "i t$par . ests [1D

> mu2<-as . nuuteri с

> sigma2<-as.nimeric

> OpVar2 <-tmj2 + (sigma2/xi2)Ä(Oog(l/beta))A(-xi2)-13

> int<-integrate(function(x) {exp(-x^/x^xi2}, lower = 0, upper = logCL/

beta)}

> OpCVar2 <-tmj2-(sigma2/xi2)-i-(sigma2,tin1:ivalije) / ( (l-beta)5lxi 23

> print(pwmfitSpar. estsj

xi ttiu beta

3.239492e-01 8.766408e+04 1.273979e+04

> pri nt(OpVar23

[1] 151271.9

> pri nt

[1] 201353.8 V

& л л

Рис. 4. Оценка параметров ' гжм' ржм и расчёт показателей OpVar, OpCVar в среде

изшаю

Таким образом, получим результат:

!шм = 0,32395, [1ШМ = 87664,08, &„м = 12739,79 OpVar0 95 (release25) = 151271,90 руб. OpCVar095 (release25) = 201353,80 руб. Валидация построенной модели

Для валидации модели расчёта стоимостной меры операционного риска воспользуемся тестом Купика [7].

Пусть х - количество наблюдений катастрофического ущерба М, которые превышают прогнозный максимальный ущерб OpVar.

Иными словами, х - это количество таких индексов ь что: ОрУат^(ге1еа$е ) <М. 0 = 4, 5,..., п).

Тест Купика проверяет гипотезу Н0 о равенстве вероятности в эмпирической частоте превышения ОрУат^(ге1еа$е ) величины наблюдаемых катастрофических потерь М :

visy

ISSN 2072-8549

2

2018/№ 2

H 0 : ß

n - x

n

Hl:ßФ

n - x

n

Для проверки данной гипотезы необходимо рассчитать статистику:

нью свободы: LR ~ х2(1).

В случае LR ~ х2а(1) гипотеза Ho согласуется с результатами наблюдений на уровне значимости а, и модель OpVar следует считать валидной.

При LR ~ Х2а(1) гипотезу Ho следует отклонить и принять альтернативную гипотезу Hr

Для тестирования гипотезы Ho при уровне значимости а = 0,05 выполним следующий программный код: library("rugarch") vars <- c() beta<-0.95 for (n in 3:24){

pwm<-gevFit

xi<-as.numeric

mu<-as.numeric

sigma<-as.numeric

OpVar<-mu+

vars<-append(vars, OpVar)}

VaRTest(alpha=0.95, LossData[4:24], vars[1:21], conf.level=0.95) Результаты выполнения программного кода R приведены на рис. 5. Отметим, что при тестировании гипотезы значения OpVar рассчитывались на основе оценок параметров ц, а, полученных методом вероятностно-взвешенных моментов.

$uc.LRstat [1] 2.596067

$uc .critical [1] 3.841459

Рис. 5. Результаты обратного тестирования модели OpVar в RStudio Из рис. 5 следует:

Console $

V15V

LR = 2,59607 < 3,84146 = х2 005

Таким образом, принимается гипотеза Ho, и построенную модель оценки OpVar можно считать валидной.

Заключение

Рассмотрена модель расчёта стоимостной меры операционного ИТ-риска с использованием теории экстремальных величин. Произведена оценка адекватности модели. Разработанная математическая модель может быть использована для оценки ИТ-рисков банковских информационных систем, а также при определении размера капитала, резервируемого под операционные риски. Основным недостатком применения теории экстремальных величин в риск-менеджменте является необходимость использования большого объёма статистических данных.

ЛИТЕРАТУРА

1. Зарядов И.С. Введение в статистический пакет R: типы переменных, структуры дан-

ных, чтение и запись информации, графика. М.: Издательство Российского университета дружбы народов, 2010. 207 с.

2. Петросян Г.С. Методы анализа операционных рисков при управлении релизами бан-

ковских информационных систем // Фундаментальные исследования. 2017. № 11-1. С. 108-113.

3. Шведов А.С. Теория вероятностей и математическая статистика: промежуточный уро-

вень. М.: ИД Высшей школы экономики, 2016. 280 с.

4. Banking Banana Skins 2015. The CSFI survey of bank risk [Электронный ресурс] // PWC:

[сайт]. URL: https://www.pwc.com/gx/en/financial-services/pdf/Banking-banana-skins-2015-final.pdf (дата обращения: 13.01.2018).

5. Novak S.Y. Extreme Value Methods with Applications to Finance. Florida: CRC Press, 2011.

399 p.

6. Operational risk loss data for banks submitted in 2016 [Электронный ресурс] // Managingrisktogether: [сайт]. URL: https://managingrisktogether.orx.org/research/ beyond-headlines (дата обращения: 13.01.2018).

7. Scandizzo S. The Validation of Risk Models: A Handbook for Practitioners. New York: Palgrave Macmillan, 2016. 242 p.

8. Wickham H. R for Data Science: Import, Tidy, Transform, Visualize, and Model Data. Canada: O'Reilly Media, 2016. 522 p.

9. Yan J., Dey D.K. Extreme Value Modeling and Risk Analysis: Methods and Applications.

Florida: CRC Press, 2016. 540 p.

REFERENCES

1. Zaryadov I.S. Vvedenie v statisticheskii paket R: tipy peremennykh, struktury dannykh, chtenie

i zapis' informatsii, grafika [Introduction to the R Statistical Package: Variable Types, Data Structures, Reading and Writing of Information Graphics]. Moscow, Publishing Hhouse of the Russian University of Peoples' Friendship Publ., 2010. 207 p.

2. Petrosyan G.S. [Methods of Operational Risk Analysis in the Release Management of Banking

Information Systems]. In: Fundamental'nye issledovaniya [Basic Research], 2017, no. 11-1, pp. 108-113.

Visy

3. Shvedov A.S. Teoriya veroyatnostei i matematicheskaya statistika: promezhutochnyi uroven

[Probability Theory and Mathematical Statistics: an Intermediate Level]. Moscow, Publishing House of the Higher School of Economics Publ., 2016. 280 p.

4. Banking Banana Skins 2015. The CSFI Survey of Bank Risks. In: PWC. Available at: https://

www.pwc.com/gx/en/financial-services/pdf/Banking-banana-skins-2015-final.pdf (accessed: 13.01.2018).

5. Novak S.Y. Extreme Value Methods with Applications to Finance. Florida, CRC Press, 2011.

399 p.

6. Operational risk loss data for banks submitted in 2016. In: Managingrisktogether. Available

at: https://managingrisktogether.orx.org/research/beyond-headlines (accessed: 13.01.2018).

7. Scandizzo S. The Validation of Risk Models. New York, Palgrave Macmillan, 2016. 242 p.

8. Wickham H. R for Data Science: Import, Tidy, Transform, Visualize, and Model Data. Canada,

O'Reilly Media, 2016. 522 p.

9. Yan J., Dey D.K. Extreme Value Modeling and Risk Analysis: Methods and Applications.

Florida, CRC Press, 2016. 540 p.

ИНФОРМАЦИЯ ОБ АВТОРЕ

Петросян Грант Саркисович - аспирант кафедры информатики Российского экономического университета им. Г.В. Плеханова; e-mail: grant-petrosyan-s@yandex.ru

INFORMATION ABOUT THE AUTHOR

Grant S. Petrosyan - postgraduate student at the Department of Informatics, Plekhanov Russian University of Economics; e-mail: grant-petrosyan-s@yandex.ru

ПРАВИЛЬНАЯ ССЫЛКА НА СТАТЬЮ Петросян Г.С. Прогнозирование операционных ИТ-рисков с использованием теории экстремальных величин // Вестник Московского государственного областного университета. Серия: Экономика. 2018. № 2. С. 145-154 DOI: 10.18384/2310-6646-2018-2-145-154

FOR CITATION

Petrosyan G.S. Operational IT Risk Forecasting Based on Extreme Value Theory. In: Bulletin of Moscow Region State University. Series: Economics, 2018, no. 2, рр. 145-154 DOI: 10.18384/2310-6646-2018-2-145-154

V15V