[论文解读] Aggregate Cyber-Risk Management in the IoT Age: Cautionary Statistics for (Re)Insurers and Likes

Ranjan Pal, Ziyuan Huang+7 more|RePEc: Research Papers in Economics|May 4, 2021

Insurance and Financial Risk Management被引用 6

一句话总结

本文建立了一个严格的理论框架，用于评估物联网驱动的智能社会中集体网络风险管理的可持续性，表明重尾、尾部依赖的网络风险使得传统风险分摊对（再）保险公司无效。研究证明，灾难性、相互依赖的风险无法被可靠地分散，从而解释了尽管全球网络损失每年高达6000亿美元，但网络保险市场增长缓慢的原因。

ABSTRACT

In this paper, we provide (i) a rigorous general theory to elicit conditions on (tail-dependent) heavy-tailed cyber-risk distributions under which a risk management firm might find it (non)sustainable to provide aggregate cyber-risk coverage services for smart societies, and (ii)a real-data driven numerical study to validate claims made in theory assuming boundedly rational cyber-risk managers, alongside providing ideas to boost markets that aggregate dependent cyber-risks with heavy-tails.To the best of our knowledge, this is the only complete general theory till date on the feasibility of aggregate cyber-risk management.

研究动机与目标

• 开发一个通用的理论框架，用于评估物联网驱动的智能社会中集体网络风险管理的可行性。
• 分析尾部依赖、重尾网络风险分布对（再）保险公司风险分摊盈利能力与可持续性的影响。
• 通过具有现实数据基础的数值研究，在有限理性网络风险管理者假设下验证理论发现。
• 识别风险分摊（不）可持续的条件，特别是针对灾难性、依赖性网络风险。
• 为提升集体网络风险管理服务市场提供可操作的见解。

提出的方法

• 使用极值理论和基于配对的依赖建模，对重尾、尾部依赖网络风险分布下的风险分摊可持续性进行理论分析。
• 推导出集体网络风险保障对风险规避型（再）保险公司而言在精算上不可持续的数学条件。
• 使用独立同分布的帕累托分布网络风险，通过不同的尾指数（α）和尺度参数（k）来模拟灾难性损失。
• 利用现实世界网络损失数据进行数值模拟，以验证理论预测在期望效用和风险聚合性能方面的一致性。
• 应用期望效用最大化方法，评估不同风险分布类型下风险分摊的有效性。
• 引入行为假设（有限理性），以反映组织在现实世界中网络风险管理决策的特征。

Figure 1 : Conceptual illustration of statistical utility of cyber-risk aggregation as a function of the number of i.i.d. cyber-risks. For a given ‘n’, cyber-risk valuation ’z’, there always exists a ‘dipping’ statistical utility region for cases B and C, and the region expands as $a$ increases (ref

实验结果

研究问题

• RQ1 在何种重尾、尾部依赖网络风险分布条件下，（再）保险公司的集体风险分摊在精算上是可持续的？
• RQ2 尽管全球网络损失持续上升，为何网络保险及其他第三方网络风险管理服务市场增长缓慢？
• RQ3 网络风险的依赖结构（尾部依赖性）如何影响集体保障中风险分散的有效性？
• RQ4 独立同分布的重尾网络风险能否被有效分摊？在何种条件下可以？
• RQ5 灾难性、依赖性网络风险对可扩展网络风险管理产品设计有何影响？

主要发现

• 对于（再）保险公司而言，将灾难性、独立同分布的重尾网络风险进行分散，并非有效的风险分摊策略，因为损失在尾部分布仍过于集中。
• 非灾难性的、独立同分布的重尾风险可通过分摊实现有效分散，表明对某些风险类型存在可行路径。
• 灾难性、尾部依赖的重尾网络风险无法通过标准风险分摊方式有效管理，导致集体保障不可持续。
• 理论模型表明，尾部依赖性显著削弱了分散化的收益，尤其在多个行业面临系统性风险时更为明显。
• 数值研究证实，随着尾部依赖性和重尾程度的增加，风险分摊的期望效用急剧下降，尤其在现实行为假设下更为显著。
• 尽管全球网络损失高达每年6000亿美元，全球网络保险市场仍发展不足（年规模仅60亿美元），主要原因是依赖性、重尾风险的分摊不可持续。

Fig. 2: Cyber-Risk Aggregation Performance (on the VaR Metric) for i.i.d. Risks of Pareto, Log-Normal, and Normal Distributions.