謝麗霞　孫偉博

(中國民航大學計算機科學與技術學院　天津 300300)

?

B2C電子商務信息系統(tǒng)操作風險評估方法研究

謝麗霞孫偉博

(中國民航大學計算機科學與技術學院天津 300300)

針對B2C電子商務系統(tǒng)操作風險評估問題，提出一種基于極值理論EVT(Extreme Value Theory)的安全風險評估方法。首先，根據(jù)操作風險定義和系統(tǒng)風險類型構造出操作風險的量化方法。其次，以計算結果為樣本數(shù)據(jù)，基于極值理論塊極大值模型BMM(Block Maxima Method)對風險價值VaR(Value at Risk)方法進行改進，通過量化計算和綜合分析得到系統(tǒng)的操作風險評估結果。實驗結果表明，通過該方法獲得的風險值和系統(tǒng)自身承受能力對比，可以解決電子商務系統(tǒng)的操作風險問題，并為管控電子商務操作風險提供重要依據(jù)。

電子商務操作風險風險評估極值理論風險價值

0　引　言

當今，互聯(lián)網(wǎng)不再是單純提供資訊的平臺，它已成為社會生活工作不可或缺的工具，電子商務是在互聯(lián)網(wǎng)之上發(fā)展出來的新一代交易模式。2013年國務院出臺的《關于促進信息消費擴大內需的若干意見》明確提出，要拓寬電子商務發(fā)展空間，培育信息消費需求，加速電子商務發(fā)展。

在過去的數(shù)年間，京東、淘寶、阿里巴巴、百度、當當?shù)然ヂ?lián)網(wǎng)的先驅者為當代電子商務的發(fā)展奠定了穩(wěn)定的基礎，同時也刺激了B2C模式的發(fā)展。大量的B2C企業(yè)開始涌現(xiàn)，相比B2B、C2C等模式，B2C模式已經(jīng)成為電子商務市場的主流力量。

國家經(jīng)濟的進步和電子商務發(fā)展的不斷前進、網(wǎng)民網(wǎng)絡購物意愿不斷地增強，在給市場帶來機會的同時也給不法分子以可趁之機，致使B2C模式自身存在的風險問題暴漏出來。其中，信用風險、市場風險和操作風險是電子商務企業(yè)面臨的主要風險[1]。操作風險以它的低頻高危特性可能對電子商務企業(yè)造成災難性的后果。

操作風險在金融和保險領域已經(jīng)有了較為成熟的風險管控方法，而在電子商務領域的研究和關注相對滯后。針對B2C信息系統(tǒng)操作風險評估問題，本文對系統(tǒng)操作風險的量化方法做出研究。并結合極值理論EVT和風險價值VaR方法，給定系統(tǒng)未來一段時間內可能出現(xiàn)的最大操作風險。實驗表明這種方法可為中小型電子商務企業(yè)進行風險管理、風險控制和內部審計評估提供衡量依據(jù)。

1　相關工作

隨著操作風險在風險管理工作中的重要性與日俱增，對操作風險的理解不能僅僅停留在“操作風險”的字面意義上，需對其背后隱藏的問題進行研究，比如自然災害造成系統(tǒng)停止運轉、業(yè)務流程上的操作不當和員工內部管理等問題都可能為系統(tǒng)帶來操作風險。

英國銀行協(xié)會BBA(British Bankers Assoeiation)[2]從內部程序、人員、系統(tǒng)等方面對操作風險進行了初步定義。Laycock等人[3]主要從顧客和內部控制兩個方面著手，將一些不可控因素和顧客行為作為衡量重點，更具有合理性。Slater等人從人為因素和系統(tǒng)錯誤兩個方面定義操作風險，這同Laycock等人提出的定義基本一致，令操作風險的定義更加完善。

目前，基于極值理論的操作風險度量模型主要應用在金融和保險領域。Embrechts等人[4]對金融組織發(fā)生的極端事件建模問題展開了深入研究，并運用極值理論對度量模型進行構建。Demoulin和Embrechts[5]認為考慮極值方法的非平穩(wěn)性和相關性可以更好地度量操作風險。巴曙松[6]對操作風險進行細分，并分析了操作風險管理框架的建立流程。陳倩[7]應用極值理論度量操作風險，并認為只要以真實數(shù)據(jù)為向導，評估的準確性比較可信。陳寶東等人[8]在數(shù)據(jù)不足的情況下應用極值理論，有效地解決了如何計量操作風險的難題。

電子商務系統(tǒng)較大的操作風險通常出現(xiàn)在極端事件發(fā)生的情況下，如員工的非誠實操作、網(wǎng)絡的惡意攻擊、自然災害導致的設備中斷等。因此，極值理論十分適合作為管理操作風險的特定工具。

2　操作風險評估

2.1信息系統(tǒng)操作風險分析

根據(jù)相關工作中操作風險定義的研究和B2C模式的主要業(yè)務模塊，如表1所示，可分析出系統(tǒng)中存在的主要操作風險。

表1　B2C系統(tǒng)主要業(yè)務模塊

系統(tǒng)中存在的主要操作風險如下：

(1) 系統(tǒng)安全性風險

電子商務是建立在Internet之上的交易模式，由于互聯(lián)網(wǎng)的開放性系統(tǒng)可能會受到內部或外部的攻擊。系統(tǒng)的癱瘓可能會導致整個電子商務系統(tǒng)的運行中斷、客戶無法進行交易、企業(yè)無法運營，將會給客戶和企業(yè)帶來不可預計的損失。

(2) 客戶誤操作風險

大部分客戶的安全意識相對比較弱，他們過分地依賴信息安全產(chǎn)品，對自己的操作缺少警惕性?？蛻艉芸赡軙诓淮_定是否安全的環(huán)境下使用個人信息(認證信息、銀行卡號、支付密碼等)，這將會造成個人信息的泄露。黑客可以非常輕松地訪問到客戶賬號，進行違法操作。

(3) 內部管理風險

與傳統(tǒng)的交易模式不同，B2C企業(yè)需要員工對業(yè)務和系統(tǒng)進行大批量的業(yè)務操作處理。在這期間，員工不免會出現(xiàn)錯誤操作，故意操作和非故意操作是兩種常見類型。其中，非誠實員工的未授權處理是最為嚴重的問題，它會給企業(yè)和客戶都帶來災難性的損失。

2.2操作風險量化公式

目前，國內外對信息安全風險量化方法主要分為三類：基于概率論的量化方法；基于專家知識的量化方法；模糊邏輯法；本文應用的是基于概率論和專家知識相結合的量化方法。

風險是威脅發(fā)生概率的潛在函數(shù)，預期損失概率是判斷威脅發(fā)生概率的參數(shù)，預期損失程度是評估造成損失大小的衡量標準?；谶@兩個評估風險的重要因素，構造出的操作風險量化公式為：

(1)

其中，R為操作風險值；i表示系統(tǒng)業(yè)務類別；j表示造成損失的事件類別；E為事件預期損失的概率，L為事件預期損失程度。

系統(tǒng)的主要業(yè)務類別i(i=1,2,3)包括賬戶管理、訂單處理、電子支付等三個模塊，如表1描述。

其中，每個業(yè)務模塊的損失事件j(j=1,2,…,5)主要包括：

(1) 非人為事故(自然災害)對系統(tǒng)的破壞；

(2) 電腦黑客、計算機病毒和惡意木馬等侵入系統(tǒng)；

(3) 誠實員工的非故意操作；

(4) 非誠實員工對系統(tǒng)的未授權處理；

(5) 客戶的不安全操作行為。

其中，預期損失概率E根據(jù)電子商務內外部環(huán)境的變化程度、各部門工作的有效性和員工職業(yè)道德操守進行評價。預期損失程度L根據(jù)專家知識和損失的補償程度進行評價。具體步驟見4.1節(jié)操作風險計算流程。

3　基于極值理論的風險評估

3.1VaR方法

風險價值VaR[9]指在一定的置信水平下，某組織在未來特定的一段時間內可能造成的最大損失。它是一種準確的風險計算方法，已經(jīng)被廣泛應用于市場風險、操作風險、信用風險計算。VaR方法在風險控制、業(yè)績評估,監(jiān)管信息披露等領域已經(jīng)獲得了重要應用。它自身具有信息披露、資源配置、績效評價等功能。

其數(shù)學模型如下：

假設存在連續(xù)型隨機變量X為資產(chǎn)在特定持有期間的對數(shù)收益率, 給定(0,1)之間一個概率p，則置信水平為1-p的VaR表示如下：

VaRp=-inf{u：P(X≤u)≥p}

(2)

VaR的計算方法[10]主要包括方差-協(xié)方差方法、蒙特卡羅模擬法和歷史模擬法。這三種傳統(tǒng)的計算方法非常簡單實用，其中方差-協(xié)方差方法應用最為廣泛，但是計算結果的精準性存在明顯的不足。接下來工作的重點是如何改進VaR的計算模型，保證計算結果的準確性。

3.2改進的VaR計算模型

傳統(tǒng)的方差協(xié)方差法計算需要擬合正態(tài)分布，如果數(shù)據(jù)分布不符合正態(tài)分布會降低計算結果的準確性。采用基于極值理論改進的方差協(xié)方差法不僅有效的解決了上述問題，而且可以更加精確地刻畫分布的尾部特征，方便觀察分布情況。

研究次序統(tǒng)計量極值的分布特性的理論叫作極值理論EVT。它是處理與概率分布的中值相離極大的情況的理論，常用來分析罕見事件的概率情況，比如百年一遇的洪水、地震等，經(jīng)常應用于風險管理和可靠性研究。

極值理論主要有兩種計算模型：塊極大值法BMM[11]和高限峰值法POT(Peaks over Threshold)。通常情況下，BMM模型采用廣義極值GEV(Generalized Extreme Value)分布進行描述，POT模型采用廣義帕累托分布GPD(Generalized Pareto Distribution)進行描述。本文采用的是BMM模型計算VaR，所以POT模型不再贅述，主要介紹BMM模型采用的廣義極值分布。

假定Xi(i= 1,2，…,n)是符合獨立同分布特征 (i.i.d.)的隨機變量序列，它們是取自分布函數(shù)F(x)中的樣本數(shù)據(jù)，將這些樣本序列進行大小排序:

x1≥x2≥…≥xn

此時，則稱它們?yōu)榇涡蚪y(tǒng)計量，令Mn=max{x1,x2,…, xn}。根據(jù)Fisher-Tippett中心極限定理，若存在常數(shù)an,bn(其中an>0,bn>0)則：

(3)

該極值分布存在三種形式，分別為Frechet，Weibull，Gumbel分布，即：

Frechet：

(4)

Weibull：

(5)

Gumbel：

Λ(x)=exp(-e-x)-∞

(6)

將三種分布統(tǒng)一形式(GEV)進行表達，即：

(7)

其中，μ,ξ∈R，σ> 0，ξ是形狀參數(shù)，μ是位置參數(shù)，σ是尺度參數(shù)。當ξ> 0時，為Frechet分布。當ξ< 0時，為Weibull分布。僅當ξ=0時，為Gumbel分布。

3.3基于BMM模型的VaR計算

由于BMM模型采用GEV分布進行描述，根據(jù)廣義極值分布式(7)和VaR的數(shù)學模型即可給出P值下的VaR公式：

(8)

采用BMM模型處理數(shù)據(jù)需將樣本按照一定的標準進行分塊處理，然后在每個模塊中挑選出最大值，再選取最大值作為最終的極值。處理數(shù)據(jù)的具體步驟如下：

(1) 將樣本值分成若干等區(qū)間；

(2) 篩選區(qū)間最大值作為最終極值；

(3) 對模型參數(shù)進行估計。

其中，參數(shù)估計采用極大似然估計法，根據(jù)式(7)可以得出其對數(shù)似然函數(shù)，即可對參數(shù)進行極大似然估計。

4　模擬實驗與分析

4.1操作風險計算流程

根據(jù)前文五種主要損失事件，專家可憑借經(jīng)驗和歷史數(shù)據(jù)建立適合特定損失事件操作風險的關鍵控制點[12,13]來評價式(1)中的E和L矩陣：

A1：恢復非人為事故(自然災害)對系統(tǒng)的破壞的工作由D1部門負責；

A2：防范電腦黑客、計算機病毒和木馬程序等侵入系統(tǒng)內部的工作由D2部門負責；

A3：防范誠實員工的非故意操作由D3部門負責；

A4：阻止非誠實員工對系統(tǒng)的未授權處理由D3部門負責；

A5：防范客戶誤操作行為所帶來損失由D4部門負責。

對賬戶管理業(yè)務損失概率和程度做評價時的判斷實例如下：

(1) D1部門在出現(xiàn)自然災害后，做出及時處理故障，并恢復設備，在控制此類事件中從未出現(xiàn)過失誤，判定此類事件預期損失概率為E(1,1)=0；

(2) D2部門在防范電腦黑客、計算機病毒和木馬程序等侵入系統(tǒng)的工作上未出現(xiàn)過失誤，判定類事件預期損失概率為E(1,2)=0；

(3) D3部門負責在防范誠實員工的非故意操作工作上偶爾疏忽，則判定E(1,3)=0.3；

(4) 在進行訂單處理時，D3部門阻止未授權員工進入信息系統(tǒng)的管理方面缺乏足夠經(jīng)驗，并有相關損失記錄，則判定E(1,4)=0.7；

(5) D4部門有明確的提示信息和阻止違法操作程序，能夠有效地避免由于客戶的錯誤行為導致業(yè)務中斷，判定E(1,5)=0.2。

結合Kratchman等人[14]的研究對L矩陣進行評價，系統(tǒng)在A1、A2和A5控制點的失控對信息系統(tǒng)的影響較小，企業(yè)可以通過保險和免責條款對損失進行彌補工作。系統(tǒng)在A3和A4控制點失控可能給企業(yè)帶來不可估計的損失，由于企業(yè)形象和聲譽非常不容易重新塑造，所以A3和A4破壞性強，且損失程度占的比例高。最終得出5個控制點的預期損失程度比例分別為0.1，0.1，,0,5，0.2，0.1。

分別對三個業(yè)務模塊的五個控制點進行評價工作，即可得到E矩陣和L矩陣，對這兩個二維矩陣進行相乘計算，即得出最終R值。

4.2實驗參數(shù)計算與結果分析

根據(jù)某B2C網(wǎng)站一年內發(fā)生的損失事件的歷史記錄，作為分析實驗的數(shù)據(jù)源。參照BMM模型處理數(shù)據(jù)的具體步驟，擬設定分塊時長為兩周，每兩周對系統(tǒng)的分塊區(qū)間進行一次最大值篩選，一年內可得到24個樣本極值。如圖1為半年樣本數(shù)據(jù)展示。

圖1　一月到六月的樣本數(shù)據(jù)

根據(jù)處理好的實驗數(shù)據(jù)，利用極大似然估計法[15]的Matlab設計程序，對參數(shù)進行估計。結果如下：

根據(jù)參數(shù)結果可以給出P概率下的VaR值，給定0.95和0.99下的VaR值：

VaR0.95=0.439VaR0.99=0.741結果表示根據(jù)過去一年的歷史數(shù)據(jù)得出未來系統(tǒng)可能發(fā)生的最大操作風險為0.7。根據(jù)專家知識和B2C企業(yè)歷史經(jīng)驗，該系統(tǒng)的操作風險處于高風險狀態(tài)范圍內。部門可以從5個控制點入手進行管理工作，使信息系統(tǒng)適應B2C模式的外部變化環(huán)境，對系統(tǒng)進行學習和升級。從而降低信息系統(tǒng)的操作風險，控制在理想狀態(tài)。

通過實驗結果調查，應用極值理論對系統(tǒng)進行風險管理可以使企業(yè)確切地估計出系統(tǒng)存在的最大操作風險，管理部門可以為每個員工或部門設置VaR限額來防止各部門出現(xiàn)過度的投機行為。如果執(zhí)行嚴格的VaR評估管理,可以避免一些重大操作風險事件的發(fā)生。

將計算出的風險值和自身的承受能力做對比，可以解決系統(tǒng)的操作風險難題。為管理者的企業(yè)控制、管理操作風險提供重要依據(jù)，它是管理者做決策的有力分析工具。

5　結　語

操作風險對于電子商務系統(tǒng)的威脅正逐漸被人們所重視。由于缺乏歷史數(shù)據(jù)和經(jīng)驗，應用于金融和保險領域的傳統(tǒng)操作風險評估方法并不能直接嫁接于電子商務系統(tǒng)的操作風險評估。本文通過分析操作風險的定義和B2C模式的業(yè)務特點，構建出基于VaR方法和極值理論的評估模型。

實驗結果表明，通過本文方法獲得的風險值和系統(tǒng)自身承受能力對比，可以解決電子商務系統(tǒng)的操作風險問題，并為管控電子商務操作風險提供重要依據(jù)。

未來研究工作的重點是進一步完善電子商務系統(tǒng)的操作風險評估模型，包括改進VaR方法的其他模型(POT模型的運用)、風險量化分析表構建和設置更加有效關鍵內部控制點等，為中小型電子商務企業(yè)的風險管理提供更可靠的衡量依據(jù)。

[1] Rahim N A, Tafri F H. Operational risk measurement[C]//Langkawi: Statistics in Science, Business, and Engineering. 2012(7):1-4.

[2] British Bankers Association. International Swaps and Derivatives Association and Robertrris Association. Operational Risk-The Next Frontier[J]. The Journal of Lending & Risk Management, 2000(3):38-44.

[3] Laycock M. Analysis of Mishandling Losses and Processing Errors[M]. Operational Risk and Financial Institutions, 1998:131-145.

[4] Embrechts P, Resnick I, Gennady S. Extreme value Theory as a Risk management Tool[J]. North American Actuarial Journal,1999,3(2):30-41.

[5] Demoulin C, Embrechts P, NeSlehova J. Quantitative Models for Operational Risk:Extremes, Dependence and Aggregation[J]. Journal of Banking and Finance,2006, 30(10):2635-2658.

[6] 巴曙松．巴塞爾新資本協(xié)議框架下的操作風險衡量與資本金約束[J]．經(jīng)濟理論與經(jīng)濟管理，2003(2):17- 24.

[7] 陳倩. 基于極值理論的商業(yè)銀行操作風險度量研究[J]. 中國管理科學, 2012(S1)：332-339.

[8] 陳寶強，劉學娟．基于極值理論與蒙特卡洛模擬的商業(yè)銀行操作風險度量研究[J]．中國管理信息化，2014，17(6):70-73.

[9] Saul I, Michael C. Encyclopedia of Operations Research and Management Science[M]. New York: Springer US, 2013.

[10] 風險價值VaR的計算方法研究重慶[D]．重慶大學，2013.

[11] Imamverdiyev Y. An application of extreme value theory to e-government information security risk assessment [C]//Baku: Application of Information and Communication Technologies,2013(7):1-4.

[12] 樊陳．基于風險管理整合框架下的電子商務系統(tǒng)內部控制研究[D]．首都經(jīng)濟貿易大學,2013.

[13] 黃錫遠. 基于“18號指引”構建會計信息系統(tǒng)內部控制體系[J]. 財會月刊：會計版, 2011(9):59-61.

[14] Kratchman, S H， Smith J L， Smith L M. Perpetration and Prevention of Cyber Crimes[J]. Internal Auditing, 2008，23(2):3-12.

[15] 穆?lián)P眉．極大似然估計的幾種求法[J]．科技信息，2011(29):30-72.

ON OPERATIONAL RISK ASSESSMENT OF B2C E-COMMERCE INFORMATION SYSTEM

Xie LixiaSun Weibo

(School of Computer Science and Technology, Civil Aviation University of China, Tianjin 300300, China)

Aiming at the problem of B2C e-commerce operational risk assessment, we proposed an EVT-based security evaluation method. First, we constructed a quantification method of operational risk according to the operational risk definition and risk types. Then, we improved the value at risk (VaR) method based on block maxima method (BMM) of EVT by adopting calculation results as the sample data. Consequently, we obtained the operational risk assessment results of e-commerce system by quantitative calculation and comprehensive analysis. Experimental results indicated that by comparing the risk values obtained with our method and the bearing capacity of system its own can solve the problem of operational risk of e-commerce system, and it can provide the important basis for controlling the operational risk of e-commerce as well.

E-commerceOperational riskRisk assessmentExtreme value theory (EVT)Value at risk

2015-06-08。國家自然科學基金項目(60776807，6117 9045);國家科技重大專項(2012ZX03002002);天津市科技計劃重點項目(09JCZDJC16800)。謝麗霞，副教授，主研領域：網(wǎng)絡與信息安全。孫偉博，碩士生。

TP393.08

A

10.3969/j.issn.1000-386x.2016.09.010