JP5247434B2 - リスクの評価及び提示のためのシステム及び方法 - Google Patents

Description

（関連出願の相互参照）
本出願は、２００５年５月２７日に出願された名称「Ｍｅｔｈｏｄｓ， Ｄｅｖｉｃｅｓ Ａｎｄ Ａ Ｃｏｍｐｕｔｅｒ Ｐｒｏｇｒａｍ Ｆｏｒ Ｃｒｅａｔｉｎｇ Ｉｎｆｏｒｍａｔｉｏｎ Ｆｏｒ Ｕｓｅ Ｉｎ Ｆａｃｉｌｉｔａｔｉｎｇ Ａ Ｒｉｓｋ Ａｓｓｅｓｓｍｅｎｔ（リスク評価を容易にするのに用いる情報を生成するための方法、装置、及びコンピュータプログラム）」のオーストラリア特許出願第２００５９０２７３４号に対する優先権を主張し、該出願は引用により全体が本明細書に組み込まれる。

リスクは、あらゆる種類の事業及び商業活動に内在するものである。現在まで、リスクを算出、測定、及び管理するためのシステム及び方法が開発されている。このようなシステム及び方法は、組織により利用されるプロセスに伴うリスクに損失確率分布を割り当てる段階を含む。これらの損失確率分布は、リスクを良好に評価し予測することを目的とする。

例証として、名称「Ｓｙｓｔｅｍ ａｎｄ Ｍｅｔｈｏｄ ｆｏｒ Ｍｅａｓｕｒｉｎｇ ａｎｄ Ｍａｎａｇｉｎｇ Ｏｐｅｒａｔｉｏｎａｌ Ｒｉｓｋ（オペレーショナルリスクを測定及び管理するためのシステム及び方法）」の米国特許出願公開第２００３／０１４９６５７号は、リスクに損失確率分布を割り当てることを記載している。段落［００４２］では、頻度又は重大度分布としてモデル化することができる損失事象を説明している。別の実施例として、名称「Ｍｅｔｈｏｄ ｆｏｒ Ｃａｌｃｕｌａｔｉｎｇ Ｌｏｓｓ ｏｎ Ｂｕｓｉｎｅｓｓ， Ｌｏｓｓ Ｃａｌｃｕｌａｔｉｎｇ Ｐｒｏｇｒａｍ， ａｎｄ Ｌｏｓｓ Ｃａｌｃｕｌａｔｉｎｇ Ｄｅｖｉｃｅ（事業上の損失を算出するための方法、損失算出プログラム、及び損失算出装置）」の米国特許出願公開第２００３／０２３６７４１号は、事業固有の損失確率分布を説明している。上記出願の段落〔００７５〕〜〔００７９〕では、ローン事業における損失確率分布の実施例を挙げている。

米国特許出願公開第２００３／０１４９６５７号公報 米国特許出願公開第２００３／０２３６７４１号公報

本明細書で説明されるのは、事業運営及びこれに伴うオペレーション及びコンプライアンスのリスク並びに制御の総合的階層プロセスの概観を提示する例示的な実施形態である。表示階層は、概要レベルのプロセスマップとベースとなる詳細レベルのプロセスマップとの間の関係を示す。階層は、何らかの特定のプロセスに伴うリスク及び制御属性を含む。階層のプロセス属性は、下層レベルプロセスを個々の事業ライン、部門、製品、顧客層、又は事業運営の他のあらゆる側面にリンクさせる。

例示的な実施形態により、事業プロセスの障害から生じる可能性のある損失の確率分布を推定することが可能となる。下層レベルプロセスの損失確率分布は、それぞれの属性階層に応じて集計され、オペレーショナルリスク及び制御有効性のより統合された概要を提供することができる。階層により、リスク及びコンプライアンス関連性及び改善の必要性についての特定プロセスの調査が可能になる。組織内の変化のリスクの意味は、プロセスの変化及びオペレーショナルリスクのリンク付けにより評価することができる。また、制御有効性、プロセスのリスク値、及び独立評価に対する自己評価の比較も測定することができる。

現在、例示的な実施形態は、複数のパラメータを受けるコンピュータプログラム製品を用いて実装することができ、これらのパラメータを相関付けて、組織に対応する属性を有する枠組み内でパラメータを提示することができることが企図される。

本明細書で説明される方法は、全ての業種に適用可能であるが、金融サービス業内の１つの特定の用途に注目すべきである。金融サービス業では、Ｂａｓｅｌ ＩＩオペレーショナルリスクコンプライアンスガイドラインは、金融サービスオペレーションの大きさ及び複雑さに応じて、種々のレベルのオペレーショナルリスク測定の高度化を必要とする。最も高度なガイドラインは、先進的計測手法（ＡＭＡ）と呼ばれる。例示的な実施形態の特定のボトムアップ手法は、ＡＭＡオペレーショナルリスク定量化法に情報を提供してこれと対話し、付加的な見通しをオペレーショナルリスク挙動に提供することができる。

例示的な実施形態は、オペレーショナルリスクのＢａｓｅｌ ＩＩ定義を用いることができ、該定義には、「オペレーショナルリスクとは、不適切な又は失敗した内部プロセス、人及びシステムにより生じるか、或いは外部事象により生じる損失のリスクとして定義される」と記載されている。或いは、この定義は、組織内から生じるこれらのリスク事象のみが考慮されるように外部事象から生じる損失を除外するように変更することができる。

例示的な実施形態が入力及び補足ＡＭＡ法をもたらすことができる別の領域は、オペレーショナルリスクに対して法規制コンプライアンスリスクの寄与を分離する機能である。例えば、２００２年サーベンスオクスリー法（Ｓａｒｂａｎｅｓ Ｏｘｌｅｙ Ａｃｔ）（ＳＯＸ）は、オペレーショナルリスクのカテゴリーを管理する制御セットに対する有効な規定である。ＳＯＸが管理しようとするオペレーショナルリスクとは、財務報告書において組織の原資産及び負債を不当表示するリスクである。例示的な実施形態は、一般にコンプライアンスリスクに伴うプロセス、リスク及び制御上の問題に詳細な見通しを提供し、これによって、組織がこれを更に有効に管理することを可能とすることができる。

例示的な実施形態の別の用途は、情報技術（ＩＴ）インフラストラクチャ統合、プロセス標準化、中央集中制御、事象管理及び他のオペレーショナルリスク管理上の利益である。ＩＴインフラストラクチャサポート事業プロセス及びこれらのシステムの故障における大きなリスクへの影響度が存在する。このような１つのリスクは、多数の異種のＩＴシステムの管理である。これらの管理を協調させるための集中データベース又は機構が欠如すると、高コストで、複雑で、且つ事業に対し相当なオペレーショナルリスクを提示する。本明細書で記載する例示的な実施形態によって、オペレーショナルリスクへの影響度の測定が可能となり、これを用いて、コスト及びオペレーショナルリスク挙動に基づく解決策の導入を妥当性なものにすることができる。

図１は、例示的なリスク評価及び提示システム１００を示す。システム１００は、コンピュータ１０２及びデータベース１０４を含む。また、システム１００は、コンピュータ１０２及びデータベース１０４が接続されたネットワーク１０６を含む。コンピュータ１０２は、種々のシステムレベルのオペレーションを行い、アプリケーションソフトウェアを実行する環境を提供するオペレーティングシステムを含むソフトウェアを有する。この点に関して、コンピュータ１０２には、リスク評価を容易にするのに用いる情報を提供するソフトウェアアプリケーションがロードされる。データベース１０４は、リスク評価を容易にするのに用いるための情報を生成する際にコンピュータ１０２が用いるデータを記憶する。

コンピュータ１０２上のソフトウェアアプリケーションにより、ユーザは、組織が実施する種々のプロセスを識別することが可能となる。例えば、ユーザは、組織が全ての新しいクライアントに対して信用調査プロセスを実施することを識別することができる。ソフトウェアアプリケーションにより、ユーザは、種々の識別されたプロセスをツリー状構造又は階層２００に配列することが可能となり、これは図２に示される。

階層２００のノードの各々は、ユーザに識別される種々のプロセスを表す。階層２００は、組織により行われる種々のプロセス間の関係（子／親）を示す。ソフトウェアアプリケーションは、階層２００に従って識別プロセスを記憶することができる点に留意されたい。ソフトウェアアプリケーションは、ユーザが組織のプロセスの流れの中でプロセスを識別してこれらを階層２００に配列することを可能にするグラフィカルユーザインタフェース（ＧＵＩ）を備えるようにされる。

例示的な実施形態によれば、ユーザは、ライブラリからの標準階層を利用して階層２００を構築する。或いは、Ｃａｓｅｗｉｓｅ Ｓｙｓｔｅｍｓから入手可能であり、ｗｗｗ．ｃａｓｅｗｉｓｅ．ｃｏｍ．でインターネット上に記載されているＣｏｒｐｏｒａｔｅ Ｍｏｄｅｌｅｒコンピュータソフトウェアのような、階層生成ツールを用いることができる。

グラフィカルな形式でプロセスの流れを示す多数の方法がある。例えば、典型的には金融サービス機関で行われるクレジットデフォルトスワッププロセスは、クロスファンクショナルプロセスマップ（図１１参照）；親子プロセスマップ階層（図１２参照）；上下方向の親子プロセス階層（図１３参照）；左右方向の親子プロセス階層（図１４参照）として文書化することができる。これらの表現及び他の多くの可能性のあるプロセス文書規約の全てを用いて、文書化、リソース配分、制御、性能測定等のような種々の管理目的向けの重要なプロセス情報を伝達することができる。表現の選択は、管理の特定要件に依存する。例示的な実施形態は、１つのプロセス表現には依存しない。例えば、図１２〜図１４を参照して説明されるクレジットデフォルトスワップの実施例は、親子プロセスの関係をどのように確立することができるかを実際に示している。従って、親子プロセス階層を生成するために第３者のプロセスマッピングソフトウェアを用いる点において柔軟性がある。しかしながら、第３者のソフトウェアが利用可能でない場合には、親子プロセス階層は、図１４〜図１８を参照して説明されたものと同様の機能を有するソフトウェアを用いて確立することができる。プロセス階層の構築は、他のプログラムからプロセスデータをインポートすることにより達成するか、或いは、事業により定義される種々の子プロセスを指名して追加及び削除機能を介してやはり事業により定義される関連親プロセスに付加することによって構築することができる。

プロセスを階層２００に配列することができる利点は、これを用いて組織の意思決定構造を反映することができる点である。プロセスは、ノード２０２、２０４、２０６、及び２０８により示される。例えば、ノード２０４は、上層管理に関連するプロセスとすることができる「レベル１」プロセスを表し、ノード２０６は、中間管理に関連するプロセスとすることができる「レベル２」プロセスを表す。ノード２０８は、細分レベルまで識別され、「プロセス所有者／管理者」、「事業ライン」、「部門／コストセンター」、「製品」、その他のような付加的な属性が付与された下層レベルプロセスを表す。更に、このリストには、レポート目的で管理対象となる限り、「支店」、「販売網」等の属性を追加することができる。階層２００は、下層レベルプロセスに「プロセスコスト」、「オペレーショナルリスク」及び「制御措置」を加えることができる。全般的に、この「タグ付けシステム」により、プロセス属性のあらゆるセット又は組み合わせについてのカスタマイズ管理レポートの生成が容易になる。また、リスク及び制御を除く上述したようなあらゆる数のプロセス属性を親プロセスに付加することができる点も理解すべきである。

ユーザが組織により行われる種々のプロセスを識別し、これらのプロセスを階層２００に配列することができることに加えて、パーソナルコンピュータ１０２にロードされたソフトウェアアプリケーションにより、ユーザは、階層２００で識別される各プロセスに伴う１つ又はそれ以上のリスクを識別し、これらのリスクの各々に幾つかの損失確率分布（離散的又は連続した分布の何れかとすることができる）を割り当てることができる。この点に関して、リスクとは、例えば、組織の新しいクライアントに対して行った信用調査が場合によっては不備がある可能性があるものとすることができる。階層２００と同様に、ソフトウェアアプリケーションにより提供されるグラフィカルユーザインタフェース（ＧＵＩ）は、ユーザがリスクを特定することができるように配列される。

各プロセスに伴うリスクに割り当てられる損失確率分布の実施例は、ＬＰＤ［１］、ＬＰＤ［２］及びＬＰＤ［３］と識別することができる。別の実施形態では、付加的な損失確率分布を用いることができる。ＬＤＰ［１］は、リスクを制御するためにどのような機構も適用しない場合に付随するリスクの結果として生じる損失の確率を表す。例示的な実施形態の関連において、「リスク制御機構を用いずに」とは、環境及びそれぞれの管理の好ましい処理に応じて、管理者により定義された「制御なし」又は「最小限の制御」を意味することができる。一般に、プロセス所有者及び独立した評価人は、ＬＰＤ［１］に同意する必要がある。ＬＰＤ［１］は、制御有効性が測定される基準線である。ＬＰＤ［２］は、プロセスを担う当事者がリスクを制御するための技術を適用する場合に、付随するリスクの結果として生じる損失の確率を表す。当該リスクに関する信頼度ｘ％での期待損失（ＥＬ）又はバリューアットリスク（ＶａＲ）におけるＬＰＤ［２］とＬＰＤ［１］との間の差は、プロセス所有者により設定されたドル価格で表された制御有効性の尺度である。ＬＰＤ［３］は、独立した当事者がリスクを制御するための技術を評価するときに、関連するリスクの結果として生じる損失の確率を表す。リスクに関する信頼度ｘ％での期待損失（ＥＬ）又はバリューアットリスク（ＶａＲ）におけるＬＰＤ［３］とＬＰＤ［１］との間の差は、独立した評価人により設定されたドル価格で表された制御有効性の尺度である。外部データを用いて損失確率分布を生成することができる。外部データは、金融データベース、集計産業データ、又は関連比較を行うのに用いることができる他のあらゆるデータリソースからのものとすることができる。

３つの損失確率分布（ＬＰＤ［１］、ＬＰＤ［２］及びＬＰＤ［３］）を確立するために、パーソナルコンピュータ１０２上にロードされたソフトウェアアプリケーションは、種々のオペレーションを行うように構成される。図３は、損失確率分布を確立するように実施される例示的なオペレーションを示す。実施形態に応じて、追加オペレーション、より少ないオペレーション、又は異なるオペレーションを行うこともできる。オペレーション３１０では、事象の発生確率分布又は尤度が求められる。この決定は、履歴データを用いて行うことができ、このようなデータが存在しない場合には、推定を用いることができる。オペレーション３２０では、損失の重大度又は事象の影響度が求められる。損失の重大度は、損失可能性の範囲を用いて数値で表すことができる。オペレーション３３０では、予測される事象についての損失確率分布が求められる。

損失確率分布を推定するのに損失事象データが利用可能である場合には、次の例示的な方法を用いることができる。このようなデータは利用可能でない場合もあるが、例示的な方法は、損失事象の頻度及び重大度を推定するときに鑑定人のガイドとなることができる関連する一連の質問に対する枠組みを提供する。このような質問は、鑑定人の経験的データへのアクセスが限定されている場合に有用となる。代わりに、鑑定人は、代理データ、質的データ（例えば専門家の意見）、又は代理及び質的データのあらゆる組み合わせを用いて推定を生成することができる。次いで、推定は、質問への回答により確立される正当化事由により裏付けされ、将来の参照にするために記録することができる。

有利には、例示的な方法では、ベースとなる仮定を鑑定人が精査することが必要とされる。頻度及び重大度分布に関する質問は、別個に識別され、鑑定人が損失確率分布からベースとなる構成要素を精査することが可能となる。期待損失及び他の統計的変数もこれらの構成要素から導き出すことができる。影響度−尤度法のような従来の方法では、鑑定人が、リスクのベースとなる損失確率分布及びそれぞれの頻度並びに重大度の分布を分析することなく、リスクに対する期待損失を推定することができると仮定する。

図４は、例示的な損失確率分布推定法で行われるオペレーションを示す。実施形態に応じて、付加的なオペレーション、より少ないオペレーション、又は異なるオペレーションを行うことができる。更に、幾つかのオペレーションを異なる順序で行うことができる場合もある。説明のために、変数Ｙは、履歴データが考慮される年数である。ｙ年間リスク事象がないと仮定すると、リスク事象の起こる確率及び発生しない確率は（最悪ケースを除く）、Ｐ０及びＰ₁で表される。すなわち、
Ｐ０＝ｙ／Ｙ
及び
Ｐ₁＝Ｉ−Ｐ０
である。

非ゼロ収支事象が少なくとも１回起こる年数は、ｎ＝（Ｙ−ｙ）である。これらの年数は、非ゼロ収支事象の頻度の昇順で配列される。各収支は、利益又は損失の値に関連する。それぞれの年の数列及び非ゼロ収支事象の頻度の対応する数列は、次のように表される。
Ｙ₁，Ｙ₂，．．．，Ｙｎ
及び
ｆ₍₁₎，ｆ₍₂₎，．．．，ｆ_(n)
である。
変数ｆ₍₁₎及びｆ_(n)は、上記の非ゼロ事象数列のそれぞれ最小及び最大頻度である。頻度の範囲は、３つの等しい部分区間に分けられる。部分区間の長さは、
ｌ_f＝（ｆ_(n)−ｆ₍₁₎）／３
である。変数ｆ_x及びｆ_yは、区間［ｆ₍₁₎，ｆ_(n)］を等しく分ける２つの点である。従って、
ｆ_x＝ｆ₍₁₎＋ｌ_f及びｆｙ＝ｆ₍₁₎＋２ｌ_f
である。

オペレーション４１０では、頻度階級区間は、低頻度、中頻度及び高頻度として定義される。低頻度階級の範囲は、ｆ₍₁₎〜ｆ_xである。中頻度階級の頻度値は、ｆ_xより大きくｆ_y以下であり、高頻度階級の頻度値は、Ｆ_yより大きくＦ_(n)以下である。Ｎ_L，Ｎ_M，及びＮ_Hは、各それぞれの低、中及び高頻度階級の数である。Ｎ_L＋Ｎ_M＋Ｎ_H＝ｎである点に留意されたい。

Ｐ_NL，Ｐ_NM及びＰ_NEは、それぞれ、事象発生の低、中、及び高確率を表す（最悪ケース及び事象なしを除外する）。これらは、
Ｐ_NL＝Ｎ_L／ｎ、Ｐ_NM＝Ｎ_M／ｎ、及びＰ_NE＝Ｎ_H／ｎ
と定義される。
変数ｐは、これらのｎ年以内の非ゼロ収支事象の総数である。従って、

オペレーション４２０では、非ゼロ収支事象は、これらの収支の降順で配列される。事象収支の数列は、ｂ₍₁₎，ｂ₍₂₎，．．．，ｂ_(p)である。変数ｂ₍₁₎及びｂ_(p)は、上記収支数列のそれぞれ最大及び最小収支である。収支の範囲は、３つの等しい部分区間に分けられる。部分区間の長さは、ｌ_b＝（ｂ_(l)−ｂ_(p)）／３である。区間［ｂ_(l)，ｂ_(p)］を等しく分ける２つの点は、ｂ_x及びｂ_yである。従って、ｂ_x＝ｂ_(l)−ｌ_b及びｂ_y＝ｂ_(l)−２ｌ_bである。

オペレーション４３０では、重大度の階級の区間は、低重大度、中重大度及び高重大度と定義される。低重大度階級の範囲は、ｂ_(l)〜ｂ_xである。中重大度階級の収支値は、ｂ_xより大きく、ｂ_y以下であり、高重大度階級の収支値は、ｂ_yより大きく、ｂ_(p)以下である。各ｂ_(i)は、重大度階級の１つに含まれ、特定の年にも関連付けられている。考慮されている当該年の事象発生頻度に応じて、ｂ_(i)は、対応する頻度階級に属する。表１は、頻度発生階級と発生収支の重大度の３×３の表を示している。各セルのｂ_(i)の数を計数すると、表１の各記号は、特定のセルの合計数を表す。各セルの全てのｂ_(i)の値が加えられると、表２の各記号は、特定のセルの合計収支を示す。

最悪ケースの状況は、ｔ年毎に起こる。損失額の最悪ケースはＴで表される。最悪ケースの状況は、年次事象とは独立していると仮定する。図５は、可能性のある異なる事象条件を示す。オペレーション４４０では、事象の確率が求められ、オペレーション４５０では、事象収支の量が求められる。異なる事象条件を得る確率は、対応する事象収支の量と共に表３に示される。図６は、最悪事象が年次事象の一部である場合の異なる事象条件を示す。

コンピュータ１０２上のソフトウェアアプリケーションが損失確率を算出すると、ソフトウェアアプリケーションは、リスク評価を容易にするための情報を提供することができる。この点に関して、ソフトウェアアプリケーションは、ユーザがグラフィカルユーザインタフェース（ＧＵＩ）を介して階層２００に示されるプロセス（図２参照）の１つ又はそれ以上を選択することが可能となるように構成される。

ユーザにより階層２００内のノードのどれが選択されたかが判断されると、ソフトウェアアプリケーションは、その選択を用いて、結果として得られる損失確率分布を算出し、これは、リスク評価を容易にするための情報を表す。この点に関して、ソフトウェアアプリケーションは、階層２００内のノードに関連するリスクに伴う損失確率分布に基づいて少なくとも２つの集計オペレーションを行うように構成される。

集計オペレーションの第１のものは、階層２００内の特定のノード（プロセス）の子ノードに関連付けられた損失確率分布の全てを集計する段階を含む「プロセス間」集計である。例えば、図７を参照すると、プロセス間集計は、プロセスＰ_x、Ｐ_y、及びＰ_zに対するＲ_i、プロセスＰ_x及びＰ_yに対するＲ_iii、その他に関する損失確率を集計する段階を含む。従って、事業単位Ｂ_aに対して結果として得られる損失確率分布は、Ｐ_x、Ｐ_y、及びＰ_zに対するＲ_iに関する損失確率の集計と、Ｐ_x及びＰ_yに対する損失確率Ｒ_iiiの集計となる。表４は、この集計手法を例示するＰ_x、Ｐ_y及びＰ_zに対するＲ_iの損失分布の実施例を示す。

表５は、表４からの数字を用いたＰ_wに対するＲ_iの損失分布を示す。

損失額を昇順に配列して、同じ損失額（すなわち、４５、５０、７０、９０、及び１４０）に対する確率を共に加えると、Ｐ_wに対するＲ_iの損失分布は、表６に示すようになる。

集計オペレーションの第２のものは、「プロセス内」集計であり、これは、プロセスに関連する種々のリスクの損失確率分布を集計する段階を含む。例えば、再び図７を参照すると、プロセス内集計は、Ｒ_i、Ｒ_ii及びＲ_iiiに関連する損失確率を集計する段階を含む。従って、プロセスＰに対して結果として得られる損失確率分布は、Ｒ_i、Ｒ_ii及びＲ_iiiに対する損失確率分布の集計となる。損失確率分布を集計すると、ソフトウェアアプリケーションは、異なる確率分布が互いに及ぼす作用を考慮して構成される。これは、データベース１０４から通信ネットワーク１０６を介してコンピュータ１０２が得ることができる相関係数を処理することにより達成される。結果として得られる損失確率分布が算出されると、ソフトウェアアプリケーションは、結果として得られた分布をコンピュータ１０２のモニタ上に表示するか紙に印刷し、リスク鑑定人がリスクの影響を考慮する際に用いることができるようにする。

可能な組み合わせの合計が計算管理がし難くなる分布のセットでは、幾つかの代替の方式を用いて、期待損失に対する集計分布を推定することができる。１つの手法では、集計プロセスを開始する前に個々の低レベルの分布の各々において結果の数を減少させる。例えば、特定の低レベル分布が５つの可能な結果を含む場合には、この数は、以下で説明する方法の１つを用いてより少ない数の結果まで減少させることができる。このようにして、集計される低レベル分布のセットを有することができるが、各分布が５つの可能性のある結果で開始すると、１０分布のセット全体を集計するプロセスを開始する前に低レベル分布の各々内で集計を行うことにより、計算の数をｎ＝５¹⁰＝９７６．５万からｎ＝３¹⁰＝５９，０４９まで減少させることができる。

親プロセスの分布が構築されると、可能な損失値の数が増大する。この親プロセスは、別の親プロセスの子プロセスである。この親子関係は、多くのレベルにまで広めることができる。１つのレベルから別のレベルまでの損失分布を評価するのに関与する算出数は大幅に増大する。従って、分布に対する損失値の数を各レベルで制限して、システム内の全てのレベルでの全ての算出を完了する時間が現実的な時間フレーム内にあるようにすることが望ましい。その期待損失値と共に確率を集計する方法が本明細書に記載される。

Ｐ（Ｗ＝ｗ_i）＝ｐ_i（式中、ｉ＝１，２，・・・，ｎ）は、親プロセス（Ｐ_w）の損失分布Ｗからの確率として定義される。各ｐ_iは、ｗ_iの損失値に対応する。ｐ_iとｗ_iの積は、Ｗ＝ｗ_iのときの期待損失である。最も大きな可能性ｍは、

であるように用いられる。

３つの等しい区間は、区間［ｗ₁，ｗ_m］を再分割することにより得られる。同様に、区間［Ｗ_m，Ｗ_n］は３つの等しい部分区間に分けられる。変数ｒ及びｓは、第１の３つの部分区間及び残りの３つの区間のそれぞれの長さを表す。従って、
ｒ＝（ｗ_m−ｗ₁）／３
及び
ｓ＝（ｗ_n−ｗ_m）／３
である。

ここで、ｗ_a及びｗ_bが区間［ｗ₁，ｗ_m］を等しく分ける２つの点である。同様に、ｗ_c及びｗ_dが区間［ｗ_m，ｗ_n］を等しく分ける２つの点である。従って、
ｗ_a＝ｗ₁＋ｒ，
ｗ_b＝ｗ₁＋２ｒ，
ｗ_c＝ｗ_m＋ｓ
及び
ｗ_d＝ｗ_m＋２ｓ
である。

新しい確率のセットは、損失値の異なる範囲を考慮することにより算出される。各新しい確率（Ｐ（Ｕ＝ｕ_j））は、その損失値が考慮している特定の損失範囲に含まれる分布Ｗからの確率の合計である。これらの対応する期待損失値（ｌ₁）の合計が、この新しい確率（Ｌ_j）の期待損失になる。新しい損失確率分布及びその期待損失値が表７に示される。

損失分布が対称である場合には、ｗ_mは、ｗ_lとｗ_nとの間の中間点とすることができる。しかしながら、損失分布が典型的な場合と同様に正側に非対称であると仮定すると、ｗ_mの選択は、０．５に近接する累積確率に基づく。全体で６つの区間が定められる。区間数が依然として多すぎる場合には、ｗ₁とｗ_mとの間の中間点及びｗ_mとｗ_nとの間の別の中間点を定めることにより例えば４つにまで更に減少させることができる。

また、分布内の値の数は、誤差の二乗和を最小にするか及び／又は関数形式を割り当てることにより減少させることもできる。この形式は、初期分布の平均（Ｍ０）及び標準偏差（Ｓ０）を算出し、可能性のあるより少ない結果の新しい分布を定義し、これらの結果Ｕの値を系統的に選択して、Ｕの各新しい組み合わせに対する各新しい分布の平均（Ｓｎ）及び標準偏差（Ｓｎ）を算出することにより行われる。次に、誤差の二乗和は、Ｓｕｍ［（Ｍｎ−Ｍ０）²＋（Ｓｎ−Ｓ０）²］として算出され、上記で定義された誤差の二乗和を最小にするベクトル値Ｕ＝（ｕ₁，ｕ₂，．．，ｕ_n）が識別され、初期分布は、このベクトルＵ及び付随する累積確率で置き換えられる。後者の技術（関数形式を割り当てるもの）には、元の離散的分布を最も密接に近似する一般的関数形式及び対応するあらゆるパラメータの特定値を識別する段階を含む。これは、最初に分布の累積確率関数を計算することにより、特定の離散的確率分布に対して行うことができる。この累積分布関数は、連続分布のある範囲の関連の対応する累積分布関数と比較されて、最も適切な近似式を識別する。最も適切な連続分布は、元の離散的確率分布に対する近似式として機能するように選択される。この選択は、（１）相関係数又は（２）推定の二乗誤差の最小化の何れかに基づくことができ、これらの両方の手段は、元の分布及び近似分布の累積分布関数に基づいて計算される。

分布内の値の数を減少させるための第２の手法では、中央極限定理（ＣＬＴ）を呼び出して、各低レベル分布を全体的な集計分布に合計するのを容易にする。ＣＬＴは、ランダムな変動の合計の平均及び分散が正規性に向かう傾向があり、集計平均が平均の合計に等しく、集計分散が分散の合計に等しいことを示す。本手法は、損失の重大度の範囲が同様であって且つあらゆる所与の分布における可能性のある結果の範囲が全ての他の分布の可能な結果の範囲を左右しない場合の分布、及び合計される各分布が有限の平均及び分散を有する場合の集計分布に適用することができる。

集計される低レベル分布のサブセットが存在し、該サブセットの各要素が、同じオーダーの可能性のある結果の範囲を有する場合には、ＣＬＴを呼び出し、集計される分布のモーメント（積率）を推定することができる。分布の統計的モーメントは、平均、分散、非対称性、及び尖度を含む。平均に関するモーメントは、最も有用とすることができるが、ゼロに関するモーメントを用いることもできる。また、ｎ番目のモーメントを用いて、分布を比較することもできる。同様に、例えば標準偏差のような統計的モーメントの導関数を生成することもできる。次いで、集計分布の形状及び信頼区間は、適切な「アトラクタ」分布に対するパーセンタイル表と共に集計平均及び分散を用いて計算することができる。最も一般的な場合において、これは標準正規分布になる。所与のセット内に２つ以上のサブセットが存在する場合には、ＣＬＴ法は、各サブセットに別個に適用されて、各サブセットについて集計分布を生成することができる。次に、上記の手法１で説明された集計の方法を用いて、これらの分布を集計することができる。

分布の値の数を減少させるための更に別の手法は、集計される分布の数及び特性を考慮する最良の集計を生成するように、部分的又は全体的且つ順次に選択された上記の手法１及び２のあらゆる組み合わせを含む。

図８は、例示的な尤度分布法で行われるオペレーションを示す。実施形態に応じて、付加的なオペレーション、より少ないオペレーション、又は異なるオペレーションを行うことができる。更に、特定のオペレーションを異なる順序で行うことができる場合もある。オペレーション８１０では、尤度確率分布（ＬＰＤ）は、既存の制御と仮定すると、履歴データを参照して求められる。ＬＰＤは、図３〜図４を参照して説明されたもののように、オペレーションに従って求めることができる。オペレーション８２０では、尤度指標及び影響指標が識別される。オペレーション８３０で、管理者の期待に関連するＬＰＤは、既存の制御と仮定すると求められる。管理者には、次の１２ヶ月（例えば）を見越して、「尤度指標」及び「影響指標」の値が変化するかどうかを考慮することが要求される。あらゆる変化及びコメントは記録される。この種類の分析の実施例は、調停プロセスに対して提示される。表８及び表９を参照されたい。この新しい情報に基づき、図３〜図４のオペレーションは、新しいＬＰＤが求められるように再び取り上げられる。

オペレーション８４０では、管理者は、プロセスの制御が１つずつ緩和される場合に「尤度指標」及び「影響指標」が変化する可能性があるかどうかを考慮するように依頼される。この手法は、オペレーション８３０に類似する調停プロセスの実施例を用いて示すことができる。以下の実施例では（表１０及び表１１参照）、制御は緩和され、管理者が期待する累積変化を記録する。次いで、管理者は、その関連する尤度及び影響問題に対して応答させることになる事象損失要因のリストと共に図３〜図４を参照して説明された再取り上げオペレーションにより良い状況となる。従って、制御なしを仮定しているＬＰＤを求めることができる。

このオペレーションは、一部の制御は、尤度影響指標の何れにも影響を及ぼさないことを明らかにすることができる。この結果は、以下の状況：（ｉ）制御が「予防的」ではなく「検出的」であること、（ｉｉ）幾つかの指標が適切に識別されないこと、又は（ｉｉｉ）制御が冗長であること、の１つ又はそれ以上を示すことができる。

図９は、オペレーション及びコンプライアンスリスクをリスク調節性能メトリクスに統合するための例示的なプロセスを示す。実施形態に応じて、付加的なオペレーション、より少ないオペレーション、又は異なるオペレーションを行うことができる。更に、特定のオペレーションを異なる順序で行うことができる場合もある。オペレーション９１０では、データ及び性能メトリクスが定義される。このようなメトリクスは、組織の異なるグループに対して異なるものとすることができる。例えば、事業部門又は課、ライン管理、プロセス所有者、監査人、役員、コンプライアンス責任者等は、異なるデータ及び性能のメトリクスを定義することができる。プロセス所有者は、データを集め、主要リスク指標を識別し、リスク及び制御を評価して、プロセスマップを生成することができる。ライン管理は、プロセスマップをレビューし、リスク及び制御評価をレビューし、プロセスメトリクスを識別することができる。必要に応じて、組織内の異なる事業体により他の機能を行うことができる。

オペレーション９２０では、オペレーショナルリスクの算出を行う。このオペレーショナルリスクの算出は、本明細書の各図を参照して説明されたリスク算出を含むことができる。取締役会は、オペレーショナル及びコンプライアンスリスクの選好度及び信頼度を設定することができる。監査人は、役員会の決定及び指示をレビューすることができる。オペレーション９３０では、オペレーショナルリスク資本の配分及びリスク調節性能メトリクス（ＲＡＰＭ）の算出がある。例えば、オペレーショナルリスク資本は、関連の所有者に配分することができる。ライン管理者及びプロセス所有者のためのインセンティブを設定することができる。メトリクスを較正し、リスク算出の結果に基づき調節を行うことができる。

オペレーション９４０では、種々の異なるレポートが生成され、組織の全てのレベルで分析が行われる。オペレーション９５０では、リスク調節された生産性が管理される。例えば、プロセス所有者は、リスクデータを集め、オペレーショナルリスクメトリクス及びリスク調節性能メトリクスの目的に従ってリソースを展開することができる。ライン管理は、これらの目的に従ってリソースを展開することができ、部門又は課は、これらの目的に従ってリソースを調整することができる。オペレーション９６０では、プロセス構造及び／又はリスクプロファイルが更新され、評価プロセスは継続する。

図１０は、クレジットデフォルトスワッププロセスのクロスファンクションプロセスマップを示す。プロセスマップは、取引評価、取引交渉、及び取引実行を含むクレジットデフォルトスワップの背景のオペレーションをグラフィカルに示す。図１１は、クレジットデフォルトスワッププロセスのための親子プロセスマップ階層を示す。本階層は、クレジットデフォルトスワップを構成する種々の構成要素部分を示す。図１２は、上下方向のクレジットデフォルトスワッププロセスを示す。図１３は、左右方向のクレジットデフォルトスワッププロセスを示す。このような左右方向は、折り畳み可能拡張可能なフォルダ及びサブフォルダ構造を用いて、コンピュータユーザインタフェース内に図示することができる。左右方向で示す階層を有する例示的なコンピュータインタフェースが図１４に示されている。図１５は、種々の異なる階層を含む幾つかの異なるインタフェースを示す。

図１６は、選択評価モデルのための２つのリスクの相互集計を示すコンピュータインタフェースを示す。図１７は、取引評価プロセスに関連する全ての子プロセスのリスクの内部集計を示すコンピュータインタフェースを示す。図１８は、クレジットデフォルトスワッププロセスに関連する内部不正リスクの内部集計を示すコンピュータインタフェースを示す。

例示的な実施形態に関して本明細書で説明された方法は、幾つかの利点をもたらす。例えば、例示的な方法は、オペレーショナルリスク属性及び損失確率分布（ＬＰＤ）を下層レベルプロセスに付加する。オペレーショナルリスク；制御；予算／実コスト；及び個々のオペレーショナルリスクに起因するＬＰＤは、下層レベルプロセスに関連付けられ、これはまた、限定ではないが、所有者プロセスＩＤ、親プロセスＩＤ、プロセス所有者／管理者、プロセスが所属する部門、プロセスが所属する事業単位、及びプロセスが支援する製品を含む属性を有する。

更に、例示的な方法により、下層レベルプロセスのリスク及び制御詳細についての複数の当事者の評価／妥当性確認が可能になる。プロセス所有者及び独立した査閲者は、ＬＰＤのセットを構築する前にオペレーショナルリスク及び制御情報の状態及び正当性に同意する必要がある。例示的な方法は、下層レベルプロセスでの各オペレーショナルリスクについての複数のＬＰＤをモデル化するのを支援し、独立したレビューの品質を向上させるように設計される。ＬＰＤ（ＬＰＤ［１］：制御無し（又は、上述のように、管理により定義される最低限の制御で）仮定される；ＬＰＤ［２］：プロセス所有者により評価された制御で仮定される；ＬＰＤ［３］：独立した査閲者により評価された制御で仮定される、等）を利用して、リスク及び制御有効性に関する複数の当事者の評価を取り込むと、独立したレビューのプロセス／品質が向上し、組織全体にわたって更に標準化され、正確で、透明になり、ユーザは、有用な比較を行うために、平均、分散、非対称性、尖度、他のモーメント、標準偏差、又は損失確率分布間の相関係数を比較することができる。例えば、プロセスのユーザは、プロセスの履歴平均をこのプロセスに対する産業平均と比較することができる。ここで、非対称性のような測定値は、それぞれの産業と比較して、不正行為のような低頻度の高額事象を比較するのに特に有用とすることができる。

例示的な方法により、それぞれの階層の各プロセス／事業単位／部門／製品．．．その他で全てのリスクについてのＬＰＤのセットを確立するために、種々の属性（例えばプロセス／事業単位／部門／製品／．．．等）のそれぞれの階層に沿って下層レベルプロセスの個々のリスクについてのＬＰＤのセットの相互集計が可能になる。例示的な方法では、下層レベルプロセスのプロセス階層上のその親プロセスに対する個々のオペレーショナルリスクのためのＬＰＤのセット（すなわち、ＬＰＤ［１］：制御なし（又は最低限制御）で仮定される；ＬＰＤ［２］：プロセス所有者により評価された制御で仮定される；ＬＰＤ［３］：独立した査閲者により評価された制御で仮定される、等）を集計し、全ての親プロセスがそれぞれのオペレーショナルリスクのための集計ＬＰＤの対応するセットを有するようにする。また、この集計は、他の属性（例えば個々の事業ライン、部門、製品．．．等）のそれぞれの階層に従って行われる。それぞれのＬＰＤでこれらの効果が更新された後、それぞれの階層が集計される限りは、下層レベルプロセスでのリスク／制御プロファイルの変化は、全ての親プロセス、事業単位、部門、及び製品に自動的に反映される。

例示的な方法により、各プロセス／事業単位／部門／製品．．．等での全てのオペレーショナルリスクに対するＬＰＤのセットの内部集計して、あらゆるプロセス／事業単位／部門／製品．．．等のためのＬＰＤ（すなわちＬＰＤ［１］、ＬＰＤ［２］、ＬＰＤ［３］）の１セットにすることが可能になる。ＰＲＩＭは、プロセス下で種々のオペレーショナルリスクのためのＬＰＤのセットを集計し、当該特定のプロセスのためのＬＰＤの１セットにする。また、他の属性、すなわち、個々の事業ライン、部門、製品．．．等に対しても同じことが行われる。これにより、全てのプロセス／事業単位／部門／製品．．．等について、ドル換算で「期待損失」（ＥＬ）及び「信頼度ｘ％でのバリューアットリスク」（ＶａＲ）をレポートすることが可能になる。

例示的な方法により、組織リスク資本配分要件を定量化するレポートを提供することができる。「期待損失」（ＥＬ）及び「ｘ％信頼度でのバリューアットリスク」（ＶａＲ）のようなオペレーショナルリスクの定量的尺度は、ドル価格で表され、プロセス、部門、事業単位、及び製品に対するＬＰＤで容易に利用可能である。その結果、オペレーショナルリスク資本配分の基礎は、配分を基礎として「ＥＬ」又は「ＶａＲ」を用いてプロセス、部門、事業単位、及び製品レベルに容易に利用可能である。

例示的な方法により、コンプライアンスリスクに帰属する組織リスク資本配分要件の構成要素を識別する手段が提供される。本方法により指示されるプロセス、リスク及び制御分析には、ＬＩＤの適用が含まれ、これによって、コンプライアンスリスクに関連する当該ＬＰＤのみを集計することが可能となる。例示的な方法では、ＬＰＤに基づきドル換算で制御有効性を測定する。「制御ありと仮定した」ＬＰＤと「制御無しと仮定した」ＬＰＤを比較することによって、本方法は、制御有効性の測定をＬＰＤに基づき且つ個々のプロセス、事業単位、部門、製品．．．等に対してドル換算で表すことが可能になる（例えば「期待損失（ＥＬ）はｎドル減少され」、及び「ｘ％信頼度でバリューアットリスク（ＶａＲ）はｎドル減少される」）。ドル換算で表される制御有効性測定により、制御のためのコスト便益分析が容易になる。

例示的な方法は、事業プロセスの相互依存ネットワークから生じる可能性がある複雑なオペレーショナルリスクの挙動を認識する。ネットワーク効果とは、プロセス（例えばプロセスＡ）の性能が良好であるかどうかが別のプロセス（例えばプロセスＢ）の成功に依存する状況を指す。従って、プロセスＢの不成功は、プロセスＡのリスクを表す。その結果、例えば、プロセスＢの外部委託は、これに直接関わるリスクのみが除去され、プロセスＡに及ぼすネットワーク効果を除去することはできない。例示的な方法では、ユーザがプロセスＡに対してプロセスＢが失敗するリスクを指定することができるようにすることで、これを処理する。

例示的な方法では、相関関係因子により異なるリスク間の相関関係を取り込む。相関関係因子は、関連するリスクのＬＰＤ集計を行うときに適用される。例示的な方法は、量的データの利用可能性の依存だけに限られていない。例示的な方法では、ＬＰＤを生成するのに量的又は質的データ或いはその両方の混合を用いるかを選択することで管理する。この意味で、本方法は、履歴オペレーショナル損失データのみに完全に依存するわけではない。

例示的な方法のデータ取り込み法は、データが殆ど又は全く存在しないプロセスに対し、リスク及び制御属性を特徴付ける管理タスクを単純化することができる。リスク及び制御を特徴付けるための高品質データの豊富なリソースを有するプロセスを用いて、データが殆ど又は全く存在しない同様のプロセスの特徴付けを行うことができる。例示的な１つの実施形態において、組織は既に、組織の堅牢な事業プロセス概観を展開させており、この場合、プロセス定義は、基準化され、マッピングされ、良好に文書化されて、図２の階層２００と同様のプロセス階層が既に利用可能であるか、容易に生成することができるようにする。

階層２００は、事業プロセスが実際に管理される方法を提供して、組織内のプロセスの関係のネットワーク、すなわち種々のプロセスが相互作用する方法を取り込む。階層２００から、チャート２１０が導き出され、これは、親子プロセス階層であり、どのように種々のＬＰＤが集計されるかを定義する基本的構造である。図２の階層２００とチャート２０との間の関係は、対応するプロセス表記を調べることにより理解することができる。

第２の例示的な実施形態では、事業プロセスプログラムは所定位置に存在しない。プロセスマップ階層は、親子プロセス階層が生成される前に必ずしも生成する必要は無い。親子プロセス階層を生成する段階は、複雑な時間のかかるプロセス関係の詳細は必要ではないので、複雑な作業ではない。種々のライン管理者及び技術顧問が入力を要求することによって迅速に得られる既存のプロセス情報及びあらゆる残りのギャップを用いることによって利点を得ることができる。下層レベルの子プロセスのみが親子プロセス階層無しにＬＰＤ集計を単純に識別し、ＬＰＤ集計に予め定められた定義を与えることができる。この状況下では、この情報は、依然としてオペレーショナルリスク調節生産性、オペレーショナルリスク及び制御挙動に有用な管理見通しを与えることができる。

当業者であれば、本明細書に記載される発明は、具体的に記載されたもの以外の変形形態及び修正形態が可能である点は理解されるであろう。本発明は、本発明の精神及び範囲内に含まれる全てのこのような変形形態及び修正形態を含むことは理解すべきである。

例示的な実施形態によるリスク評価及び提示システムの全体的な図である。 図１の例示的なシステムのソフトウェアアプリケーションにより生成されるプロセスレベルの階層表示である。 図１の例示的なシステムで行われるオペレーションを示すフロー図である。 図１の例示的なシステムの異なる頻度レベル及び重大度区間に基づいて事象の確率及び事象収支の額を決定するように行われるオペレーションを示すフロー図である。 異なる可能な事象条件を示すツリー図である。 最悪事象が年次事象の１つである場合の異なる可能な事象条件を示すツリー図である。 図１のシステムで用いられるプロセス間集計技術で行われるオペレーションのフロー図である。 尤度分布法で行われるオペレーションを示すフロー図である。 組織環境に実装された例示的な実施形態を示す組織概略図である。 クレジットデフォルトスワッププロセスのためのクロスファンクションプロセスマップである。 クレジットデフォルトスワッププロセスのための親子プロセスマップ階層である。 上下方向に示すクレジットデフォルトスワッププロセスのための親子プロセス階層である。 左右方向に示すクレジットデフォルトスワッププロセスのための親子プロセス階層である。 親子プロセス階層を構築するための機能性を有するソフトウェアアプリケーションのインタフェースのスクリーン表示である。 種々の異なる階層を含む多幾つかの異なるコンピュータインタフェースである。 選択評価モデルプロセスにおける２つのリスクの内部集計を示す表示である。 取引評価プロセスに関連する全ての子プロセスのためのリスクの相互集計を示す表示である。 クレジットデフォルトスワッププロセスに関連する全ての内部不正行為リスクの内部集計を示す表示である。

符号の説明

３１０ 発生確率分布（ＯＰＤ）を求める
３２０ 損失重大度を求める
３３０ 損失確率分布（ＬＰＤ）を求める

Claims (42)

1. リスク評価を容易にするためのコンピュータ装置であって、該装置のプロセッサが、
   組織に関連し且つプロセスの流れの一部であるプロセスに関連するプロセスデータをメモリに記憶する段階と、
   前記プロセスに関連するリスクに関するリスクデータを前記メモリに記憶する段階と、 前記リスクに関連する少なくとも１つの損失事象に関連する経験的データを前記メモリに記憶する段階と、
   前記リスクについての少なくとも以下の３つの異なる損失確率分布、すなわち、
   前記リスクを管理するのにどんなコントロールアクティビティも使用されないとき発生する損失事象の確率分布をあらわす第１の分布と、
   前記プロセスのオーナーが前記リスクを管理するのにコントロールアクティビティを使用するとき発生する損失事象の確率分布をあらわす第２の分布と、
   前記プロセスとは無関係のサードパーティが前記コントロールアクティビティを評価するとき発生する損失事象の確率分布をあらわす第３の分布と、
   を含む当該損失確率分布を、前記プロセスデータ、前記リスクデータ、及び前記経験的データを用いて決定する段階と、を行うようにプログラムされた命令を実行することを特徴とするコンピュータ装置。
2. 前記プロセスをプロセスの階層でグラフィカルに提示する段階を更に含み、前記プロセスの階層が、前記プロセスと子及び／又は親プロセスとの間の関連性を表す、
   ことを特徴とする請求項１に記載のコンピュータ装置。
3. 前記経験的データは時間データ及びリスク事象データを含み、
   前記経験的データを処理する段階が、
   前記経験的データが関連する第１の時間期間Ｙを特定する段階と、
   前記第１の時間期間Ｙの間で、リスク事象が発生しない第２の時間期間ｙを特定する段階と、
   発生する前記リスクの第１の確率Ｐ１と、発生しない前記リスクの第２の確率Ｐ０とを決定する段階であって、Ｐ０＝ｙ／Ｙ及びＰ１＝１−Ｐ０である段階と、
   前記リスクが発生した各年Ｙ−ｙにおける前記リスクの発生数を決定する段階と、
   前記発生数を昇順にソートする段階と、
   リスク事象の発生頻度が所定の閾値よりも低い範囲をあらわす低頻度発生範囲、リスク事象の発生頻度が所定の閾値よりも高い範囲をあらわす高頻度発生範囲、及びリスク事象の発生頻度が前記低頻度発生範囲と前記高頻度発生範囲の間の中頻度発生範囲を、前記リスク事象の最小頻度及び最大頻度を基に決定する段階と、
   前記低頻度発生範囲、前記中頻度発生範囲、及び前記高頻度発生範囲の各発生確率を決定する段階と、
   を含む、
   ことを特徴とする請求項１に記載のコンピュータ装置。
4. 前記経験的データを処理する段階が、
   リスク事象のリスク重大性が所定の閾値よりも低い範囲をあらわす低損失重大度の範囲、リスク事象のリスク重大性が所定の閾値よりも高い範囲をあらわす高損失重大度の範囲、及びリスク事象のリスク重大性が前記低損失重大度の範囲と前記高損失重大度の範囲の間である中損失重大度の範囲を、前記リスク事象データに基づき決定する段階と、
   前記低頻度発生範囲、前記中頻度発生範囲、及び前記高頻度発生範囲の各発生確率と、前記低損失重大度、前記中損失重大度及び前記高損失重大度との組み合わせから得られる各事象条件に含まれる前記リスク事象データを決定する段階と、
   前記決定されたリスク事象データの損失確率分布を確立する段階と、
   を含む、
   を含むことを特徴とする請求項３に記載のコンピュータ装置。
5. リスク評価を容易にするためのコンピュータ装置であって、前記装置のプロセッサが、 組織に関連し且つプロセスの流れの一部である第１のプロセスに関連するプロセスデータをメモリに記憶する段階と、
   前記第１のプロセスに関連する第１のリスクに関するリスクデータを前記メモリに記憶する段階と、
   前記第１のリスクに割り当てられた第１の複数の損失確率分布を、前記プロセスデータ及び前記リスクデータに基づき計算する段階であって、前記第１の複数の損失確率分布は少なくとも３つの異なる損失確率分布、すなわち、
   前記リスクを管理するのにどんなコントロールアクティビティも使用されないとき発生する損失事象の確率分布をあらわす第１の分布と、
   前記プロセスのオーナーが前記リスクを管理するのにコントロールアクティビティを使用するとき発生する損失事象の確率分布をあらわす第２の分布と、
   前記プロセスとは無関係のサードパーティが前記コントロールアクティビティを評価するとき発生する損失事象の確率分布をあらわす第３の分布とを含む当該段階と、
   前記第１の複数の損失確率分布に基づき、前記リスク評価の少なくとも一部を生成する段階と、
   を行うようにプログラムされた命令を備えるプロセッサを含むことを特徴とするコンピュータ装置。
6. 前記第１のプロセスをプロセスの階層でグラフィカルに提示する段階を更に含み、前記プロセスの階層が、前記第１のプロセスと子及び／又は親プロセスとの間の関連性を表すようにされる、
   ことを特徴とする請求項５に記載のコンピュータ装置。
7. 前記プログラムされた命令が、
   前記プロセスデータにおいて、前記第１のプロセスと関連する第２のプロセスを識別する段階と、
   前記リスクデータにおいて、前記第２のプロセスに関連する第２のリスクを識別する段階と、
   前記プロセスデータ及び前記リスクデータに基づき、前記第２のリスクに割り当てた第２の複数の損失確率分布を得る段階と、
   を行うように更に構成され、
   前記第１の複数の損失確率分布を処理するオペレーションが、前記第１の複数の損失確率分布の少なくとも１つと、前記第２の複数の損失確率分布の少なくとも１つとを集計して少なくとも１つの合成損失確率分布を得る段階を含む、
   ことを特徴とする請求項５に記載のコンピュータ装置。
8. 前記プログラムされた命令が、前記第１の複数の損失確率分布の１つと、前記第１の複数の損失確率分布の別の少なくとも１つとの間、又は前記第２の複数の損失確率分布の別の少なくとも１つとの間の相関係数を得る段階を行うように更に構成され、
   前記第１の複数の損失確率分布を処理する段階が、前記相関係数を用いて少なくとも１つの合成損失確率分布を得る段階を含む、
   ことを特徴とする請求項７に記載のコンピュータ装置。
9. リスク評価を容易にするためのコンピュータ装置であって、
   組織に関連し且つプロセスの流れの一部であるプロセスに関連するプロセスデータをメモリに記憶する段階と、
   前記プロセスに関連する少なくとも１つのリスクに関するリスクデータを前記メモリに記憶する段階と、
   前記プロセスデータ及び前記リスクデータに基づき、前記少なくとも１つのリスクに関する少なくとも３つの損失確率分布を計算前記リスク評価の少なくとも一部する段階であって、前記少なくとも３つの損失確率分布が、
   前記リスクを管理するのにどんなコントロールアクティビティも使用されないとき発生する損失事象の確率分布をあらわす第１の分布と、
   前記プロセスのオーナーが前記リスクを管理するのにコントロールアクティビティを使用するとき発生する損失事象の確率分布をあらわす第２の分布と、
   前記プロセスとは無関係のサードパーティが前記コントロールアクティビティを評価するとき発生する損失事象の確率分布をあらわす第３の分布とを含む当該段階と、
   を行うようにプログラムされた命令を備えたプロセッサを含む、
   ことを特徴とするコンピュータ装置。
10. 前記プログラムされた命令が、
    前記リスクに関連する少なくとも１つの損失事象に関する経験的データが存在するかどうかを判断し、
    前記経験的データを処理して前記損失確率分布を得る、
    ように更に構成される、
    ことを特徴とする請求項９に記載のコンピュータ装置。
11. 前記プログラムした命令が、前記プロセスをプロセスの階層でグラフィカルに提示するように更に構成され、前記プロセスの階層が、前記プロセスと子及び／又は親プロセスとの間の関連性を表すようにされる、
    ことを特徴とする請求項９に記載のコンピュータ装置。
12. 前記経験的データは時間データ及びリスク事象データを含み、
    前記プログラムされた命令が、
    前記経験的データが関連する第１の時間期間Ｙを特定し、
    前記第１の時間期間Ｙの間で、リスク事象が発生しない第２の時間期間ｙを特定し、
    発生する前記リスクの第１の確率Ｐ１と、発生しない前記リスクの第２の確率Ｐ０とを決定し、この場合Ｐ０＝ｙ／Ｙ及びＰ１＝１−ＰＯであり、
    前記リスクが発生した各年Ｙ−ｙにおける前記リスクの発生数を決定し、
    前記発生数を昇順にソートし、
    リスク事象の発生頻度が所定の閾値よりも低い低頻度発生範囲、リスク事象の発生頻度が所定の閾値よりも高い高頻度発生範囲、及びリスク事象の発生頻度が前記低頻度発生範囲と前記高頻度発生範囲の間の中頻度発生範囲を、前記リスク事象の最小頻度及び最大頻度を基に決定し、
    前記低頻度発生範囲、前記中頻度発生範囲、及び前記高頻度発生範囲の各発生確率を決定し、
    リスクの重大性を低損失重大度範囲Ｌ、中損失重大度範囲Ｍ、及び高損失重大度範囲Ｈを求め、
    前記低損失重大度範囲Ｌ、前記中損失重大度範囲Ｍ及び前記高損失重大度範囲Ｈに含まれる損失の部分を求め、
    少なくとも１つの発生が記録されたｔ年毎に１回起こる可能性がある最悪ケースの事象Ｔを求め、
    損失確率分布を確立する、
    ことによって前記経験的データを処理するように更に構成される、ことを特徴とする請求項１０に記載のコンピュータ装置。
13. リスク評価を容易にするコンピュータ装置であって、
    組織に関連し且つプロセスの流れの一部である第１のプロセスに関連する第１プロセスデータをメモリに記憶する段階と、
    前記第１のプロセスに関連する第１のリスクに関する第１リスクデータを前記メモリに記憶する段階と、
    前記第１のリスクに割り当てられる、第１の損失確率分布、第２の損失確率分布、及び第３の損失確率分布を計算する段階であって、前記少なくとも３つの損失確率分布が、
    前記リスクを管理するのにどんなコントロールアクティビティも使用されないとき発生する損失事象の確率分布をあらわす第１の分布と、
    前記プロセスのオーナーが前記リスクを管理するのにコントロールアクティビティを使用するとき発生する損失事象の確率分布をあらわす第２の分布と、
    前記プロセスとは無関係のサードパーティが前記コントロールアクティビティを評価するとき発生する損失事象の確率分布をあらわす第３の分布とを含む当該段階と、
    前記第１のプロセスに関連する第２のプロセスに関連する第２プロセスデータをメモリに記憶する段階と、
    前記第２のプロセスに関連する第２のリスクに関する第２リスクデータを前記メモリに記憶する段階と、
    前記第２のリスクに割り当てられた第４の損失確率分布を計算する段階と、
    前記第１の損失確率分布及び第４の損失確率分布を集計して第１の合成損失確率分布を得る段階と、
    を行うようにプログラムされた命令を有するプロセッサを含む、
    ことを特徴とするコンピュータ装置。
14. 前記プログラムされた命令が更に、
    前記プロセスに関連する別のリスクに関するリスクデータを前記メモリに記憶を識別し、
    前記別のリスクに割り当てられた別の損失確率分布を計算する、
    ように構成され、
    前記第１の損失確率分布を処理する段階が、前記第１の損失確率分布及び前記別の損失確率分布を集計して前記第１の合成損失確率分布を得る段階を含む、
    ことを特徴とする請求項１３に記載のコンピュータ装置。
15. 前記プログラムされた命令が更に、前記第１の損失確率分布と前記第２の損失確率分布との間の相関係数を計算するように構成され、前記第１の損失確率分布を処理する段階が、前記相関係数を用いて第３の合成損失確率を得る段階を含む、
    ことを特徴とする請求項１３に記載のコンピュータ装置。
16. 前記プログラムされた命令が更に、プロセスの階層的表示をグラフィカルに提示するように構成される、
    ことを特徴とする請求項１３に記載のコンピュータ装置。
17. コンピュータ装置によって実行される命令を記憶したコンピュータ読取り可能な記憶媒体であって、前記コンピュータ装置に、
    組織のプロセスに関連し且つ該プロセスに関連するリスクを含む情報をメモリに記憶されること、
    前記リスクに対する複数の損失確率分布を算出させることであって、複数の損失確率分布が、(1)前記リスクを管理するのにどんなコントロールアクティビティも使用されないとき発生する損失事象の確率分布をあらわす第１の分布と、(2)前記プロセスのオーナーが前記リスクを管理するのにコントロールアクティビティを使用するとき発生する損失事象の確率分布をあらわす第２の分布と、(3)前記プロセスとは無関係のサードパーティが前記コントロールアクティビティを評価するとき発生する損失事象の確率分布をあらわす第３の分布とを含み、
    前記リスクに対する複数の損失確率分布を比較させること、
    前記プロセスをプロセスの階層でグラフィカルに提示させること、
    を実行させ、
    前記プロセスの階層が、前記プロセスと子及び／又は親プロセスとの間の関連性を表す、ことを特徴とするコンピュータ読取り可能な記憶媒体。
18. 前記少なくとも２つの損失確率分布の１つが制御なしのリスクを表し、前記少なくとも２つの損失確率分布の他のものが制御されたリスクを表す、ことを特徴とする請求項９に記載のコンピュータ装置。
19. 前記少なくとも２つの損失確率分布の少なくとも１つが外部データから生成される、ことを特徴とする請求項９に記載のコンピュータ装置。
20. 前記少なくとも２つの損失確率分布のうちの少なくとも２つが互いに比較されることを特徴とする請求項９に記載のコンピュータ装置。
21. 前記プログラムされた命令が、前記第２の損失確率分布及び前記第４の損失確率分布を集計して、第２の合成損失確率分布を得るように更に構成されることを特徴とする請求項１３に記載のコンピュータ装置。
22. 前記プログラムされた命令が、前記第１の合成損失確率分布を前記第２の合成損失確率分布と比較するように更に構成されることを特徴とする請求項２１に記載のコンピュータ装置。
23. 前記経験的データが外部リソースからのものである請求項１に記載のコンピュータ装置。
24. 前記第１、第２、第３、又は第４の損失確率分布のうちの少なくとも１つが、外部データから得られることを特徴とする請求項１３に記載のコンピュータ装置。
25. 前記第１の複数の損失確率分布の少なくとも１つが外部データから得られることを特徴とする請求項５に記載のコンピュータ装置。
26. 前記第２の複数の損失確率分布の少なくとも１つが外部データから得られることを特徴とする請求項７に記載のコンピュータ装置。
27. 前記少なくとも２つの異なる損失確率分布の少なくとも２つを比較する段階を更に含むことを特徴とする請求項１に記載のコンピュータ装置。
28. 前記比較が、統計モーメントを用いて行われることを特徴とする請求項２７に記載のコンピュータ装置。
29. 前記統計モーメントが、平均、分散、非対称、尖度、又は前記平均に対するｎ番目のモーメントのうちの１つであることを特徴とする請求項２８に記載のコンピュータ装置。
30. 前記比較が、前記統計モーメントの導関数を用いて行われることを特徴とする請求項２８に記載のコンピュータ装置。
31. 前記統計モーメントの導関数が標準偏差であることを特徴とする請求項３０に記載のコンピュータ装置。
32. 前記比較が、統計モーメントを用いて行われることを特徴とする請求項２０に記載のコンピュータ装置。
33. 前記比較が、統計モーメントを用いて行われることを特徴とする請求項２２に記載のコンピュータ装置。
34. 前記比較が、前記統計モーメントの導関数を用いて行われることを特徴とする請求項３３に記載のコンピュータ装置。
35. 前記少なくとも３つの損失確率分布の少なくとも２つを比較するためのプログラム命令を更に含むことを特徴とする請求項９に記載のコンピュータ装置。
36. 前記比較が、統計モーメントを用いて行われることを特徴とする請求項３５に記載のコンピュータ装置。
37. 前記比較が、前記統計モーメントの導関数を用いて行われることを特徴とする請求項３６に記載のコンピュータ装置。
38. 前記少なくとも１つの合成損失確率分布を別の損失確率分布と比較するオペレーションを更に含むことを特徴とする請求項７に記載のコンピュータ装置。
39. 前記別の損失確率分布が、前記第１の複数の損失確率分布の少なくとも１つと、前記第２の複数の損失確率分布の少なくとも１つとを集計することにより得られる第２の合成損失確率分布であることを特徴とする請求項３８に記載のコンピュータ装置。
40. 前記第１の複数の損失確率分布の少なくとも１つと、前記第２の複数の損失確率分布の少なくとも１つとを比較するオペレーションを更に含むことを特徴とする請求項７に記載のコンピュータ装置。
41. 前記比較が、前記統計モーメントの導関数を用いて行われることを特徴とする請求項３２に記載のコンピュータ装置。
42. 前記関連が階層的であることを特徴とする請求項１３に記載のコンピュータ装置。

Images