Friday, May 23, 2008

Bankers: Welcome to Our World

Did you know that readers of this blog had a warning that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 world's financial systems were ready to melt down? If you read my July 2007 (one month before cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 crisis began) post Are cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Questions Sound?, you'll remember me disagreeing with a "major Wall Street bank" CISO for calling one of my Three Wise Men (and ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r security people) "so stupid" for not having cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "five digit accuracy" to assess risk. That degree of arrogance was cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 warning that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 financial sector didn't know what cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y were talking about.

The next month I posted Economist on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Peril of Models and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n Wall Street Clowns and Their Models in September. Now I read a fascinating follow-up in last week's Economist titled Professionally Gloomy. I found cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se excerpts striking:

[R]isk managers are... aware that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y are having to base cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir decisions on imperfect information. The crisis has underlined not just cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir importance but also cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir weaknesses.

Take value-at-risk (VAR), a measure of market risk developed by JPMorgan in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 1980s, which puts a number on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 maximum amount of money a bank can expect to lose. VAR is a staple of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 risk-management toolkit and is embedded in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 new Basel 2 regime on capital adequacy. The trouble is that it is well-nigh useless at predicting catastrophe.

VAR typically estimates how bad things could get using data from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 preceding three or four years, so it gets more sanguine cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 longer things go smoothly. Yet common sense suggests that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 risk of a blow-up will increase, not diminish, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 farcá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r away one gets from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 last one. In ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r words, VAR is programmed to instil complacency. Moreover, it acts as yet anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r amplifier when trouble does hit. Episodes of volatility send VAR spiking upwards, which triggers moves to sell, creating furcá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r volatility.

The second problem is that VAR captures how bad things can get 99% of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 time, but cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 real trouble is caused by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 outlying 1%, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 “long tail” of risk. “Risk management is about cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 stuff you don't know that you don't know,” says Till Guldimann, one of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 original architects of VAR. “VAR leads to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 illusion that you can quantify all risks and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365refore regulate cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m.” The degree of dislocation in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 CDO market has shown how hard it is to quantify risk on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se products.

Models still have cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir place: optimists expect cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m to be greatly improved now that a big crisis has helpfully provided loads of new data on stressed markets. Even so, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re is now likely to be more emphasis on non-statistical ways of thinking about risk. That means being more rigorous about imagining what could go wrong and thinking through cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 effects...

However, stress-testing has imperfections of its own. For example, it can lead to lots of pointless discussions about cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 plausibility of particular scenarios. Miles Kennedy of PricewaterhouseCoopers, a consultancy, thinks it is better to start from a given loss ($1 billion, say) and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n work backwards to think about what events might lead to that kind of hit.

Nor is stress-testing fail-safe. The unexpected, by definition, cannot be anticipated...
(emphasis added)

VAR is one of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 measures I am sure cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Wall Street clown was invoking while dressing down Dan Geer. Too bad it failed. (If you disagree, read cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 whole article, and better yet cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 whole special report... cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se are just excerpts.)

When cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Economist refers to "stress-testing," think "threat modeling," and use cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 warped sense of that term instead of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 better phrase "attack modeling." Picture a room full of people imagining what could happen based on assumptions and fantasy instead of spending cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 time and resources to gacá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r ground-truth evidence on assets and historical or ongoing attacks. Sound familiar?

The article continues:

Anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r big challenge for risk managers lies in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 treatment of innovative products. New products do not just lack cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 historic data that feed models. They often also sit outside banks' central risk-management machinery, being run by people on individual spreadsheets until demand for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m is proven. That makes it impossible to get an accurate picture of aggregate risk, even if individual risks are being managed well. “We have all cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 leaves on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 tree but not cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 tree,” is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 mournful summary of one risk manager. One solution is to keep new lines of business below certain trading limits until cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y are fully integrated into cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 risk system.

Keeping risks to a size that does not inflict intolerable damage if things go awry is anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r fundamental (some might say banal) lesson...“It is not acceptable [for a division] to have a position that wipes out its own earnings, let alone those of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 entire firm.”

However, working out cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 size of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 risks is less easy than it used to be. For one thing, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 lines between different types of risk have become hopelessly blurred. Risk-management teams at banks have traditionally been divided into watertight compartments, with some people worrying about credit risk (cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 chances of default on loans, say), ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365rs about market risk (such as sudden price movements) and yet ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365rs about operational risks such as IT failures or rogue traders.
(emphasis added)

Ok, stick with me here. References to "innovating products" should be easy enough. Think WLANs in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 early part of this decade, iPhones now, and so on. Think local groups of users deploying cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir own gear outside of IT or security influence or knowledge.

For "keeping risks to a size," think about cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 security principle of isolation. For "cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 lines between different types of risk," think about unexpected or unplanned interactions between new applications. "I didn't think that opening a hole in our firewall to let DMZ servers do backups would allow an intruder to piggyback on that connection, straight into cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 internal LAN, compromising our entire firm!"

Finally:

There is an even bigger concern. Everyone is ready to listen to risk managers now, but cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 message is harder to transmit when cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 going is good. “Come cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 next boom we will have traders saying, 'that was eight months ago. Why are you dragging me down with all that?',” sighs one risk chief. To improve risk management through cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 cycle, deeper change is needed.

Oh, I thought security was a "business enabler" with a "positive ROI." On a directly applicable note, during and right after an incident everyone is very concerned with "security." Eight months later hardly anyone cares.

Bankers, welcome to our world.

3 comments:

Unknown said...

Oh cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 times we live in! :) So many groups and peoples that cling to "older" ways of doing things. But cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se days change, progress, and technology keep increasing. Where before 5 years of data can be pretty adequate, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se days that is ancient history and no new technologies would be measurable. They'd be old hat by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 time proper measurements can begin to be trusted!

A widening (or more porous) perimeter, efficiency of technology, and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 increasing trend of change all create this vortex of frustration, it seems. So many fundamental changes because of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Internet, really, in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 fabric of our civilization.

H. Carvey said...

On a directly applicable note, during and right after an incident everyone is very concerned with "security." Eight months later hardly anyone cares.

Often, folks don't care during cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 incident, eicá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r. "Stop cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 bleeding!", without cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365, "Hey, why are are bleeding in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 first place?" and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n of course cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "Why were we bleeding?" that should inevitably come later...

Unknown said...

Rich, great article and I have commented on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Economist article as well here

http://lukenotricks.blogspot.com/2008/06/goodbye-yellow-brick-road.html

regards Luke