Capítulo 3 — Governança, riscos e compliance de segurança: evidências especializadas
Mapa da aula
Aula 03 publicada. Mapa, exemplo, EX011.
flowchart TD
N0["3.1 A estrutura do FAIR"]
N1["3.2 A simulação"]
N2["Laboratório — Distribuição de perdas por Monte Carlo"]
N3["3.3 Explicar o resultado"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX011"]
Desenho lógico
flowchart LR
N0["3.1 A estrutura do FAIR"]
N1["3.2 A simulação"]
N2["Laboratório — Distribuição de perdas por Monte Carlo"]
N3["3.3 Explicar o resultado"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX011"]
[3.1 A estrutura do FAIR]
|
v
[3.2 A simulação]
|
v
[Laboratório — Distribuição de perdas por Monte Carlo]
|
v
[3.3 Explicar o resultado]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX011]
Objetivos de aprendizagem
Você vai (1) montar uma estimativa quantitativa de risco no estilo FAIR; (2) interpretar uma distribuição de perdas; (3) explicar evidências especializadas a não especialistas.
3.1 A estrutura do FAIR
Daniel estuda o modelo FAIR descrito por Freund e Jones (2015), que decompõe o risco em frequência de eventos de perda e magnitude da perda, cada uma estimada como faixa. Para um cenário de vazamento de dados num fornecedor de sinistros, ele trabalha com as áreas de sinistros, jurídica e de TI para estimar a frequência entre um evento em dez anos e quase um por ano, mais provavelmente cerca de um a cada três anos, e uma magnitude de perda com mediana perto de trezentos mil e uma cauda longa vinda de multas regulatórias e de remediação. Essas faixas, e não valores únicos, viram as entradas da simulação da seção seguinte.
3.2 A simulação
O laboratório simula vinte mil anos. A perda anual média é de cerca de cento e setenta mil. Em sessenta e oito por cento dos anos não há perda alguma, então o ano mediano não custa nada. O percentil noventa fica em cerca de quinhentos e cinquenta e cinco mil, e o noventa e nove em cerca de um vírgula nove milhão. A chance de perder mais de um milhão num ano é de cerca de quatro por cento. Daniel observa que a média sozinha esconderia tanto os muitos anos tranquilos quanto a cauda grave. Uma mediana zero também explica por que gestores que nunca viram uma perda podem duvidar de que o cenário seja real.
Laboratório — Distribuição de perdas por Monte Carlo para um cenário de vazamento em fornecedor
"""FAIR-style Monte Carlo: loss event frequency x loss magnitude (synthetic, stdlib)."""
import random
random.seed(11)
N = 20000
def year():
n = 0; t = random.expovariate(random.triangular(0.1, 0.8, 0.3))
while t < 1: n += 1; t += random.expovariate(random.triangular(0.1, 0.8, 0.3))
return sum(random.lognormvariate(12.6, 0.9) for _ in range(n))
L = sorted(year() for _ in range(N))
print(f"mean annual loss {sum(L)/N/1000:,.0f}k")
print(f"P(no loss) {sum(x == 0 for x in L)/N:.2f}")
for q in (0.5, 0.9, 0.99): print(f"{int(q*100)}th percentile {L[int(q*N)]/1000:,.0f}k")
print(f"P(loss > 1,000k) {sum(x > 1e6 for x in L)/N:.3f}")
Execute com python3 lab_fair.py. Saída verificada:
mean annual loss 170k
P(no loss) 0.68
50th percentile 0k
90th percentile 555k
99th percentile 1,930k
P(loss > 1,000k) 0.041
3.3 Explicar o resultado
Daniel apresenta o resultado ao comitê de riscos como uma afirmação de excedência de perda: em cerca de um ano a cada vinte e cinco, as perdas desse cenário poderiam passar de um milhão. Ele explica que os números dependem de faixas estimadas, mostra as premissas e convida à contestação. Os membros do comitê o comparam com os riscos de seguro e de crédito que já administram. Ele aprende que as evidências especializadas convencem quando são traduzidas em termos familiares e quando sua incerteza fica visível, e não escondida. Ligar o número cibernético à forma como o comitê já lê as exposições de seguro torna a afirmação de um ano em vinte e cinco utilizável na mesma discussão.
Exemplo resolvido
Daniel monta uma simulação no estilo FAIR com média de 170 mil, 68% de anos sem perda, percentil 99 de 1.930 mil e 4% de chance de passar de um milhão.
Caso sintético. As faixas e os resultados são sintéticos; Freund e Jones (2015) é real.
Erros e limites
As estimativas dependem das faixas dos especialistas. Os modelos omitem eventos correlacionados.
Exercícios
- EX011 — Decomposição do FAIR. Em que dois fatores o FAIR decompõe o risco? Rubrica: 3 = frequência de eventos de perda e magnitude da perda;; 2 = dois;; 1 = vago;; 0 = nenhuma.
- EX012 — Perda média. Que perda anual média o laboratório relatou? Rubrica: 3 = cerca de 170 mil;; 2 = 170;; 1 = vago;; 0 = nenhuma.
- EX013 — Anos tranquilos. Em que proporção dos anos não houve perda? Rubrica: 3 = 68%;; 2 = 0,68;; 1 = vago;; 0 = nenhuma.
- EX014 — Chance da cauda. Qual é a chance de passar de um milhão num ano? Rubrica: 3 = cerca de 4%;; 2 = 0,041;; 1 = vago;; 0 = nenhuma.
- EX015 — Persuasão. O que torna as evidências especializadas convincentes para os comitês? Rubrica: 3 = tradução em termos familiares e incerteza visível;; 2 = tradução;; 1 = vago;; 0 = nenhuma.
Síntese
Estimativas quantitativas de risco mostram tanto os anos tranquilos quanto as caudas graves quando explicadas em termos familiares.
Continue estudando — aula 03 (capítulo 03 de 12)
← Capítulo 02 · Índice das aulas · Capítulo 04 →
Continue para a próxima aula já escrita.