Analyse kausaler Abhängigkeiten

Kausale Inferenz im OpRisk-Management


Analyse kausaler Abhängigkeiten: Kausale Inferenz im OpRisk-ManagementWissenschaft

Operationelle Risiken stellen alle Unternehmen vor Herausforderungen. Insbesondere deren hohe Komplexität sowie zahlreiche kausale Abhängigkeiten erschweren dabei das Management dieser Risiken. Während in Unternehmen bereits flächendeckend Verfahren zur Erfassung und Messung operationeller Risiken im Einsatz sind, sind diese jedoch etwa für die Bewertung von Maßnahmen, die Analyse von kausalen Ursachen oder die Abwägung von Alternativen bis dato nur rudimentär vorhanden.

Tatsächlich ist die Analyse kausaler Abhängigkeiten jedoch essentiell, um überhaupt Entscheidungen treffen zu können! Nur wenn die Folgen einer Maßnahme abgeschätzt werden können, lassen sich überhaupt angemessene Entscheidungen treffen und Alternativen bewerten. Nur dann sind Verfahren wie "Prescriptive Analytics" überhaupt sinnvoll.

In den letzten Jahrzehnten hat es auf dem Gebiet der Kausalen Inferenz erhebliche Fortschritte gegeben. So ist es möglich den tatsächlichen Einfluss von Interventionen anhand vorliegender Daten zu quantifizieren. Darüber hinaus lassen sich rückwirkend (kontrafaktisch) Ursachen ermitteln und Alternativen bewerten.

Im Folgenden werden die Verfahren der Kausalen Inferenz sowie deren Einsatzmöglichkeiten im OpRisk Management anhand verschiedener Use Cases erläutert. Damit lassen sich letztlich unter anderem die Effektivität von Kontrollen objektiv bewerten und Mitigationsmaßnahmen überprüfen.

Operationelle Risiken

Die Geschäftstätigkeit jedes Unternehmens bringt spezifische operationelle Risiken (OpRisks) mit sich. Diese können von

  • Menschen (beispielsweise interner oder externer Betrug)
  • Prozessen (beispielsweise Kontrollmängel)
  • Systemen (beispielsweise Systemabstürze) oder
  • externen Ereignissen (beispielsweise Naturkatastrophen)

verursacht werden. Eine weitere Untergruppe stellen zudem rechtliche Risiken dar. Aus OpRisks können oft Reputationsrisiken resultieren, die unter anderem zu Umsatzeinbußen und den Verlust von Schlüsselpersonal führen können.

Schadensereignisse

Wenn operationelle Risiken eintreten, führen sie zu operationellen Schäden. Diese können beträchtlich sein. Prominente Fälle umfassen unter anderem

  • Betrugsfälle (beispielsweise Diesel-Affäre)
  • Hackerangriffe (beispielsweise Solar Winds)
  • Computerviren (beispielsweise MyDoom)
  • Naturkatastrophen (beispielsweise Fukushima)

Daneben ist aber jedes Unternehmen vielen kleinen Schäden ausgesetzt, die ihre Wirkung aufgrund ihrer Häufigkeit entfalten, wie etwa Systemabstürze, Kündigungen von Schlüsselpersonal, Fehlbuchungen etc.

Klassifikation

Die durch den Basler Ausschuss für Bankenaufsicht formulierten Eigenkapitalvorschriften Basel II teilen OpRisks in folgende sieben Kategorien ein, die auch für andere Branchen relevant sind:

  1. Interner Betrug: Veruntreuung von Vermögenswerten, Steuerhinterziehung, vorsätzliche Falschkennzeichnung von Positionen, Bestechung
  2. Externer Betrug: Diebstahl von Informationen, Hackerschäden, Diebstahl und Fälschung durch Dritte
  3. Beschäftigungspraktiken und Sicherheit am Arbeitsplatz: Diskriminierung, Arbeitnehmerentschädigung, Gesundheit und Sicherheit der Mitarbeiter
  4. Kunden, Produkte und Geschäftspraktiken: Marktmanipulation, Kartellrecht, unzulässiger Handel, Produktmängel, Treuhandverstöße, Kontoänderungen
  5. Schäden an Sachwerten: Naturkatastrophen, Terrorismus, Vandalismus
  6. Betriebsunterbrechungen und Systemausfälle: Versorgungsunterbrechungen, Softwarefehler, Hardwarefehler
  7. Ausführung, Lieferung und Prozessmanagement: Dateneingabefehler, Buchhaltungsfehler, versäumte Pflichtberichte, fahrlässiger Verlust von Kundenvermögen

Gegenwärtige Analyse operationeller Risiken

Datenerfassung

Basis für die Quantifizierung ist die systematische Erfassung bereits vorgekommener interner Schadenfälle sowie Beinahe-Schäden. Diese liefern eine historische Grundlage für die Abschätzung künftiger Schäden.
Zusätzlich zu den internen Daten stehen auch anonymisierte externe Daten zur Verfügung. Diese vergrößern die Datenbasis, beinhalten aber im Allgemeinen weniger Informationen als die internen Datenbanken.
Darüber hinaus verfügen oftmals auch Interne Revisionen über detaillierte Informationen zu vergangenen Schäden.

Risikoquantifizierung

Eine gängige Einstufung der OpRisks erfolgt anhand ihrer Häufigkeit und ihres Ausmaßes. Eine Zusammenfassung kann dann beispielsweise mittels einer Heatmap dargestellt werden.

Zur Quantifizierung der Risiken können Risikokennzahlen wie etwa der Value at Risk (VaR) verwendet werden. Darüber hinaus sind auch Szenario-Betrachtungen, etwa im Rahmen von Stresstests, möglich. Hierbei kommen auch (Monte Carlo-)Simulationen zum Einsatz.

Eine Schwierigkeit hierbei liegt in der Ermittlung der Parameter, die oft mit einem Bias versehen sind (beispielsweise Selection). Auch besteht die Gefahr Korrelationen mit Kausalität zu verwechseln.

Gegenwärtige kausale Analysen

Ein gängiges Verfahren zur Modellierung von kausalen Zusammenhängen im OpRisk-Bereich stellen die Bow-Tie-Diagramme dar. Hierbei werden die Ursachen (und die entsprechenden Kontrollen) eines möglichen Schadens sowie die Folgeschäden in Form eines Diagramms dargestellt, das im Allgemeinen die in Abb. 01 skizzierte Form aufweist. Diese Diagramme können einen qualitativen Startpunkt für kausale Zusammenhänge liefern.

Abb. 01: Bowtie-Diagramm (schematisch)Abb. 01: Bowtie-Diagramm (schematisch)

Auch darüber hinaus werden kausale Zusammenhänge im Allgemeinen nur qualitativ untersucht. Quantitative Analysen beschränken sich auf Risiken und Korrelationen sowie Szenariobetrachtungen auf Basis von Beobachtungen und Einschätzungen.

Damit können weder Ursachen objektiv ermittelt, noch Maßnahmen (Interventionen) bewertet, noch alternative Handlungsoptionen quantitativ untersucht werden. Dies erfordert extra-statistische Verfahren, wie sie die Kausale Inferenz bereitstellt.

Kausale Inferenz

Hintergrund

Die Methoden der Kausalen Inferenz sind seit einigen Jahren insbesondere im biomedizinischen Bereich verstärkt im Einsatz, wo zum Teil auch von einer "Kausalen Revolution" die Rede ist.

Hiermit ist es möglich tatsächliche Ursachen zu identifizieren und Korrelationen von Kausalitäten zu trennen.
Damit kann die Wirkung möglicher Maßnahmen anhand der Beobachtungen abgeschätzt werden, ohne die Maßnahmen durchführen zu müssen.

Zudem ist es möglich rückwirkend (notwendige und/oder hinreichende) Ursachen zu ermitteln.

Do-Calculus und Counterfactuals

Mit dem Do-Calculus ist es möglich die Wirkung von Interventionen anhand der Beobachtungen abzuschätzen, ohne die – oftmals gar nicht mögliche oder ethische vertretbare – Interventionen selbst durchzuführen. Für einige einfache kausale Zusammenhänge lassen sich daraus Formeln zur Berechnung von Kennzahlen ableiten. Do-Operationen unterscheiden sich von der statistischen Konditionierung (d.h. Filterung), da die Änderungen hier (fiktiv) auf alle Beobachtungen angewandt werden.

Ein weiteres Teilgebiet stellen die Counterfactuals dar. Hierbei wird untersucht wie ein Ergebnis y(x) bei realem y1(x1) ausgefallen wäre, wenn x stattdessen (fiktiv) ungleich x1 wäre.

Wichtige Kennzahlen

Die Methoden der Kausalen Inferenz sind extra-statistisch, da sie ein Wissen über kausale Zusammenhänge erfordern, das außerhalb der Daten liegt und beispielsweise mittels Diagrammen (genauer: gerichtete azyklische Graphen) dargestellt werden kann (siehe unten).  Die Ermittlung der kausalen Zusammenhänge erfordert Fachexpertise und kann allenfalls mithilfe beobachteter Daten überprüft, jedoch nicht aus diesen abgeleitet werden.

Sobald dies geschehen ist, lassen sich – je nach kausalem Fall – unter anderem folgende relevante Kennzahlen berechnen (siehe auch Glossar in Info-Box):

  • Conditional Probability (PE): Die bedingte (beobachtete) Wahrscheinlichkeit P(Y | X) des Ergebnisses Y unter der Bedingung X. Die bedingte Wahrscheinlichkeit entspricht einer Filterung der Datensätze.
  • Total Effect (TE): Die Änderung der Wahrscheinlichkeit für Y nach Durchführung einer Intervention X0  →  X1: P(Y | do(X) = X1) – P(Y | do(X) = X0). Die Ermittlung des Total Effect setzt kausale Überlegungen voraus, da hierfür die Intervention (gedanklich) für alle Individuen durchgeführt und die Wirkung hieraus abgeleitet werden muss.
  • Effect of Treatment on the Treated (ETT): Hierbei wird betrachtet, inwiefern eine bestimmte Ursache tatsächlich zu einer bestimmten Wirkung beigetragen hat. Hierfür werden die Individuen betrachtet, bei denen eine Ursache X = 1 zu einer Wirkung Y = 1 geführt hat. Anschließend wird – kontrafaktisch – ermittelt, inwiefern für diese Individuen die beobachtete Wirkung auch bei einer anderen Ursache X = 0 eingetreten wäre. Der ETT ist die Differenz hieraus. 
  • Probability of Necessity (PN): Wahrscheinlichkeit, dass Y in Abwesenheit von X nicht eingetreten wäre, wenn X und Y jedoch tatsächlich eingetreten sind. Diese Kenngröße ist oftmals bei rechtlichen Fragestellungen relevant.
  • Probability of Necessity and Sufficiency (PNS): Maß für Hinlänglichkeit als auch Notwendigkeit von X zur Erzeugung von Y.
  • Excess Risk Ratio (ERR): Ähnlich PN, jedoch abzüglich des Confounding Bias: (P(Y|X) – P(Y|X')) / P(Y|X)

Die folgenden Kennzahlen sind für den Mediation-Fall relevant, d.h. für den Fall, dass eine Variable X sowohl direkt, als auch indirekt über eine Variable Z ("Mediator") auf Y wirkt:

XY  und  XZY

  • Controlled Direct Effect (CDE): Änderung des Ergebnisses Y bei Änderung des direkten Parameters X und gleichzeitiger Festsetzung des Mediators Z.
  • Natural Direct Effect (NDE): Änderung des Ergebnisses Y bei Änderung des direkten Parameters X und freier Entwicklung des Mediators Z. Im Gegensatz zum Total Effect wird hierbei die Verbindung von X nach Z gedanklich "gekappt", d.h. Z entwickelt sich komplett "natürlich". Die Berechnung des NDE erfordert kontrafaktische Überlegungen. Der NDE gibt an, in welchem Umfang der Effekt ausschließlich durch die direkte Ursache bei Beseitigung des Vermittlers erfolgt, d.h. in welchem Umfang auf den Vermittler verzichtet werden kann.
  • Natural Indirect Effect (NIE): Änderung des Ergebnisses Y bei Änderung des Mediators Z und freier Entwicklung des direkten Parameters X. Die Verbindung von X nach Z wird hierbei gedanklich "gekappt", d.h. X entwickelt sich komplett "natürlich" und Z wird unabhängig hiervon festgesetzt. Die Berechnung des NIE erfordert kontrafaktische Überlegungen. Der NIE gibt an, in welchem Umfang der Effekt ausschließlich durch die indirekten Vermittler bei Beseitigung der direkten Ursache erfolgt, d.h. in welchem Umfang auf die direkte Ursache verzichtet werden kann.


Analyse nichttrivialer Zusammenhänge

Confounding / Backdoor

In diesem Fall beeinflusst eine Variable X eine Variable Y. Sowohl X als auch Y werden zusätzlich von einer Variablen Z ("Confounder") beeinflusst.

Abb. 02: Confounding / Backdoor
Abb. 02: Confounding / Backdoor

Für die Berechnung des Effekts von Interventionen auf X (d.h. P(Y | do(X))) – und damit von TE – wird die sogenannte Backdoor-Formel verwendet.

Diese nutzt aus, dass Z eine kausale "Hintertür" von X nach Y darstellt. Entsprechend wird über Z summiert: 

Frontdoor

Hier werden sowohl die zu ändernde Variable X als auch die Ergebnis-Variable Y durch eine Variable U beeinflusst. U ist jedoch unbekannt.

Zusätzlich existiert eine Variable Z, die nicht von U beeinflusst wird und den Einfluss von X auf Y "abfängt".

Abb. 03: Frontdoor
Abb. 03: Frontdoor

In diesem Fall kann per Frontdoor-Formel auch bei unbekanntem U der Einfluss von X auf Y – d.h. P(Y | do(X))) und damit der Total Effect TE – bestimmt werden:

Mediation

In diesem Fall erfolgt die Wirkung von X auf Y sowohl direkt als auch indirekt über einen Mediator Z.

Abb. 04: Mediation
Abb. 04: Mediation

Während die Berechnung des TE trivial ist, erfordert die Ermittlung des direkten und indirekten Effekts komplexere Formeln, die zum Teil auf kontrafaktischen Überlegungen basieren.

Für den Mediation-Fall lassen sich damit mehrere weitere Kennziffern, wie ERR, ETT, PN, PNS, CDE, NDE und NIE berechnen (zur Index-Nomenklatur der Counterfactuals siehe Glossar in Info-Box 01):

ERR = (P(Y | X) – P(Y | X')) / P(Y | X)
ETT = E(Y1Y0 | X = 1)
PN = P(Y0=0 | X=1, Y=1)
PNS = P(Y1=1, Y0=0)
CDE = E(Y | X=1, Z=0) – E(Y | X=0, Z=0)

Instrumental-Variablen

Im Falle linearer Abhängigkeiten erweitern sich die Analysemöglichkeiten beträchtlich. So auch im Falle der Instrumental-Variablen. Hier ist der gemeinsame Einfluss U unbekannt, allerdings wird X auch von einer bekannten Variablen Z beeinflusst.

Abb. 05: Instrumental-Variablen
Abb. 05: Instrumental-Variablen

Für den Fall, dass Y linear von Z mit einem Regressionsparameter rZY und X wiederum linear von Z mit einem Regressionsparameter rZX abhängt, beträgt die Abhängigkeit von Y von X
rXY = rZY / rZX


Anwendungen im OpRisk Management

Fiktives Beispiel

Situation: In einem Unternehmen brechen immer wieder Feuer aus. Deshalb werden in einigen Abteilungen aufwendige Feuerschutz-Schulungen durchgeführt, bei denen unter anderem auch der effektive Einsatz von Feuerlöschern geübt wird. Tatsächlich gehen die Brände gegenüber den Abteilungen ohne Schulung relativ betrachtet von 56% auf 45% zurück. Der ermittelte Total Effect beträgt 11%. Allerdings zeigt sich auch, dass in den geschulten Abteilungen (wiederum relativ betrachtet) Feuerlöscher öfters eingesetzt wurden (64%) als in den nicht geschulten (22%).

Abb. 06: Fallbeispiel Feuerschutz-Schulungen
Abb. 06: Fallbeispiel Feuerschutz-Schulungen

Tab. 01: Fallstudie zum Einsatz FeuerlöscherTab. 01: Fallstudie zum Einsatz Feuerlöscher

Frage: Das Management erwägt daher, die kostenintensiven Schulungen zu streichen und nur die Bedienung der Feuerlöschern zu üben. Wie wäre die Wirkung davon einzuschätzen?

Lösung: Hier liegt ein Mediation-Fall vor. Relevant ist die kontrafaktische Überlegung, wie stark sich die Brände mindern würden, wenn der Einsatz der Feuerlöscher dem Kenntnisstand der Schulung entspräche, die Schulung selbst jedoch nicht stattgefunden hätte. Der entsprechende Natural Indirect Effect beträgt -3%. Daher ist von reduzierten Schulung abzusehen, da sie sogar (leicht) kontraproduktiv wäre. Nur zusammen mit der durchgeführten Schulung ist der Einsatz von Feuerlöschern effektiv.

Use Cases OpRisk

Datendiebstahl durch Hacker

Abb. 07: Datendiebstahl durch Hacker
Abb. 07: Datendiebstahl durch Hacker

  • Basel II-Nummer: 2
  • Kausales Modell: Hacker stiehlt Daten entweder direkt oder später über eine installierte Trapdoor. Letzteres kann auch über die Installation von Malware erfolgen.
  • Mögliche Fragestellung(en): Wo sind die Hauptschwachpunkte? Sollte bei knappen Ressourcen eher in Malware- oder in Hacker-Bekämpfung investiert werden?
  • Die Ermittlung des TE Hacker ist trivial. Ansonsten liegen Mediation-Fälle vor, die sich wie folgt berechnen lassen:
    • NDE Malware: Konditionierung auf Hacker und Trapdoor.
    • NIE Malware: Mediation-Formel mit Confounding und Konditionierung Hacker.

Interner Betrug

Abb. 08: Interner Betrug
Abb. 08: Interner Betrug

  • Basel II-Nummer: 1
  • Mögliche Fragestellung(en): Sind Mängel im Recruiting-Prozess die Ursache für Betrugsfälle und inwiefern trägt auch das Betriebsklima dazu bei? Was sollte dagegen unternommenw werden?
  • Kausales Modell: (Unbekannte) Recruiting-Mängel führen dazu, dass zum Betrug neigende Individuen eingestellt werden. Diese versuchen entweder direkt zu betrügen oder erst nach Vorfällen, die z.B. Abmahnungen nach sich ziehen. Letztere werden auch durch das Betriebsklima begünstigt. Legen außerdem Kontrollmängel vor, ist der Betrug „erfolgreich“.
  • Zur Analyse persönlicher Ursachen können Kontrollmängel außen vor gelassen werden, da es hierzu keinen kausalen Pfad gibt. Werden zudem lineare Zusammenhänge angenommen, lassen sich sowohl der Anteil des Betriebsklimas an Betrugsfällen als auch Recruiting-Mängel messen.

Projektrisiken

Abb. 09: Projektrisiken
Abb. 09: Projektrisiken

  • Kausales Modell: Mängel im Projektmanagement führen zu einer zu knappen Zeitplanung. Dadurch steigt die Arbeit pro Mitarbeiter zu stark an und das Projekt scheitert, weil Deadlines nicht eingehalten werden können. Zusätzlich führen Projektmanagement-Mängel auch direkt zum Scheitern des Projekts, etwa aufgrund von Fehlallokationen.
  • Mögliche Fragestellung(en): Sollte das Projektmanagement allgemein verbessert werden? Inwiefern sind äußere Umstände schuld an gescheiterten Projekten?
  • Da sich Projektmanagement-Mängel i.A. nicht direkt messen lassen, bietet sich hier das Frontdoor-Kriterium an. Damit ist des möglich den entsprechenden TE durch die knappe Zeitplanung zu bestimmen.
  • Als Key Risk Indicators bieten sich unter anderem die Zeiterfassung und das Kundenfeedback an

Fehlbuchungen an Feiertagen

Abb. 10: Fehlbuchungen an Feiertagen
Abb. 10: Fehlbuchungen an Feiertagen

  • Basel II-Nummer: 7
  • Kausales Modell: An Feiertagen fehlen Mitarbeiter und damit auch erfahrene Mitarbeiter. Zudem kann es zu mehr Buchungen oder zu komplexeren Buchungen kommen. Beides kann in Zeit- oder Komplexitätsproblemen resultieren und damit letztendlich zu Fehlbuchungen.
  • Mögliche Fragestellung(en): Sollte das Verfahren zur Genehmigung von Urlaubstagen überdacht werden? Sind mehr oder erfahrerenere Mitrbeiter an Feiertagen erforderlich?
  • Die Berechnung der TE von 1), 2) und 3) ist trivial. Für den TE von 4) muss das Backdoor-Kriterium angewandt werden. Für 2) liegt außerdem ein Mediation-Fall vor und es lassen sich entsprechend NDE und NIE ermitteln.

Folgen Data Loss

Abb. 11: Folgen Data LossAbb. 11: Folgen Data Loss

  • Kausales Modell: Hier werden die Folgen eines eingetretenen Schadens betrachtet. Ein Datenverlust kann dabei zu einem Verlust der Intellectual Property sowie zu Rechtsfolgen (Klagen) und Reputationsschäden führen. Erstere können dabei zu Schadenersatzzahlungen und letztere zu einem Umsatzrückgang führen.
  • Sollten Rechtsstreitigkeiten im Hinblick auf Reputationsschäden trotz guter Erfolgssaussichten vermieden werden? 
  • Um den TE der Rechtsfolgen zu ermitteln, ist das Backdoor-Kriterium anzuwenden. Außerdem liegt ein Mediation-Fall mit den Rechtsfolgen als Mediator vor; entsprechend lassen sich NDE und NIE ermitteln.
  • Dieser Case ist insbesondere für Versicherungen relevant, da diese über entsprechende Daten verfügen dürften.

Nicht ergonomische Sessel

Abb. 12: Nicht ergonomische Sessel
Abb. 12: Nicht ergonomische Sessel

  • Basel II-Nummer: 3
  • Kausales Modell: Vermutlich aufgrund von Policy-Mängeln werden ungeeignete Bürosessel angeschafft, die zu Rückenproblemen und die wiederum zu Klagen führen. Gleichzeitig könnte aber auch die allgemeine schlechte wirtschaftliche Situation des Unternehmens für die billigen Sessel und die Klagen verantwortlich sein.
  • Mögliche Fragestellung(en): Sollte die Policy zur Arbeitssicherheit überarbeitet werden?
  • Sofern die eigentliche Ursache unbekannt ist, bietet sich das Frontdoor-Kriterium an, um den TE der problematischen Sessel zu identifizieren.
  • Dieser Case ist insbesondere für Versicherungen relevant, da diese über entsprechende Daten verfügen dürften.

Externer Fraud

Abb. 13: Externer Fraud
Abb. 13: Externer Fraud

  • Basel II-Nummer: 2
  • Kausales Modell: Hier manipulieren externe Betrüger interne MA per Social Engineering, die daraufhin durch Nachlässigkeiten Fehler begehen, wodurch Schäden entstehen. Zudem können auch über andere Wege direkt Schäden entstehen.
  • Mögliche Fragestellung(en): Sollten zunächst die Mitarbeiter geschult oder ein Risk Assessment durchgeführt werden?
  • Sofern die eigentliche Ursache unbekannt ist, bietet sich das Frontdoor-Kriterium an, um den TE durch das Social Engineering der MA zu identifizieren und diese Sicherheitslücke eventuell durch Schulungen zu schließen.

Aggressive Verkäufe

Abb. 14: Aggressive Verkäufe
Abb. 14: Aggressive Verkäufe

  • Basel II-Nummer: 4
  • Kausales Modell: Vermutlich aufgrund von Compliance-Mängeln werden Führungskräfte verleitet zu schwere Verkaufsziele vorzugeben, die den Druck auf die Mitarbeiter erhöhen und die daraufhin zu aggressiv verkaufen. Gleichzeitig können Compliance-Mängel aber auch direkt zu aggressiven Verkäufen führen.
  • Mögliche Fragestellung(en): Sollten die Compliance-Regeln überarbeitet werden? Sind einzelne Führungskräfte verantwortlich zu machen?
  • Sofern die eigentliche Ursache unbekannt ist, bietet sich das Frontdoor-Kriterium an, um den TE der zu schweren Ziele zu identifizieren. Nicht erklärbare Anteile dürften auf Compliance-Mängel zurückzuführen sein.

Bewertungs-Modell-Fehler

Abb. 15: Bewertungs-Modell-FehlerAbb. 15: Bewertungs-Modell-Fehler

  • Basel II-Nummer: 4
  • Kausales Modell: Compliance-Mängel führen dazu, dass weder die Mitarbeiter richtig geschult werden, noch saubere Validierungsprozesse vorliegen; beides führt – zusammen mit einem direkten Effekt – zu Modellfehlern.
  • Mögliche Fragestellung(en): Sollten die Compliance gestärkt werden? Müssen neue Spezialisten eingestellt bzw. Mitarbeiter verstärkt geschult werden? 
  • Soll der TE des Knowhow-Mangels ermittelt werden, ist das Backdoor-Kriterium sowohl auf die Compliance- als auch auf die Validierungs-Mängel anzuwenden. Soll der TE des Validierungs-Mangels ermittelt werden, ist das Backdoor-Kriterium analog sowohl auf die Compliance- als auch auf die Knowhow-Mängel anzuwenden. 

Unerlaubte Datenweitergabe

Abb. 16: Unerlaubte Datenweitergabe
Abb. 16: Unerlaubte Datenweitergabe

  • Kausales Modell: Es liegt weder eine Anonymisierung vor, noch hinreichende Kontrollen, die die Weitergabe verhindern.
  • Mögliche Fragestellung(en): Sind Mitarbeiterschulungen erforderlich? Muss das Anonymisierungskonzept überarbeitet werden?
  • Die Ermittlung der TE im geschilderten Fall ist trivial. 
  • Es ist lediglich darauf zu achten, dass nicht auf die unerlaubte Weitergabe konditioniert wird, da es sich hier um einen Collider (→ ←) handelt und eine Konditionierung hierauf zu einer Scheinkorrelation zwischen Sperrungs- und Anonymisierungs-Mängeln führen würde.

Systemabsturz

Abb. 17: Systemabsturz
Abb. 17: Systemabsturz

  • Basel II-Nummer: 6
  • Kausales Modell: Sowohl Software-Neuerungen, als auch Support- und Dienstleister-Probleme sowie Hacker/Malware können über die rechts skizzierten Pfade zu Systemabstürzen führen.
  • Mögliche Fragestellung(en): Was muss als nächstes angegangen werden: Antimalware-Schutz, Verträge mit neuen Dienstleistern, Überarbeitung der Schnittstellen, Ersetzung veralteter Software-Packete?
  • Trotz der hohen Komplexität lässt sich auch dieses Modell auf einfachere Backdoor- und Mediation-Fälle herunterbrechen. Diese lassen sich dann mit den üblichen Kriterien analysieren.
  • Als KRIs können u.a. der Installationsaufwand (für Inkompatibilitäten), die Anzahl der Updates/Patches (für Updates) oder News und Ratings (für Shutdown externer DL) herangezogen werden.

Fehleingaben

Abb. 18: Fehleingaben
Abb. 18: Fehleingaben

  • Basel II-Nummer: 6
  • Kausales Modell: Fehleingaben können durch Fehlkommunikation, Zeitdruck oder Knowhow-Mangel entstehen. Die ersten beiden Punkte sind bei neuen Mitarbeitern eher möglich, Feiertage können letzteres begünstigen.
  • Mögliche Fragestellung(en): Ist das Onboarding von Mitarbeitern zu verbessern? Müssen Mitarbeiter generell geschult werden? Sind Feiertags-Regelungen zu überarbeiten?
  • Die Ermittlung des TE von 1 und 2 ist trivial. Bei 4 sind zwei Backdoors (3 und/oder 6 sowie 5) zu berücksichtigen. 3 und 5 stellen Mediation-Fälle dar; entsprechend können die jeweiligen NDE und NIE ermittelt werden.

Info-Box 01: Glossar

Backdoor-Kriterium: Kriterium zur Berechnung von Do-Operationen im Confounding-Fall

CDE, Controlled Direct Effect: Änderung des Erwartungswertes des Ergebnisses Y bei Änderung des direkten Parameters X und gleichzeitiger Festsetzung des Mediators Z. Es wird also bei einem kontrollierten indirekten Effekt durch die Vermittler-Variable nur die Änderung durch den direkten Effekt berechnet

Conditional Probability: Die bedingte (beobachtete) Wahrscheinlichkeit P(Y | X) des Ergebnisses Y unter der Bedingung X. Die Ermittlung der bedingten Wahrscheinlichkeit entspricht einer Filterung

Confounder: eine gemeinsame Ursache verschiedener Variablen

Counterfactuals: hypothetische, nicht (unbedingt) realisierte, d.h. "kontrafaktische", Ereignisse. Beispielsweise: Wie wäre der Erwartungswert von Y(X) ausgefallen, wenn X = X1 betragen hätte, in der Realität jedoch X = X0 und Y = Y0 beobachtet wurden: E(YX1 | X0, Y0)

Directed Acyclic Graph: Netzwerk von verbundenen Knoten zur Beschreibung kausaler Zusammenhänge. Die Knoten sind hierbei durch einseitige Pfeile (gerichtet) verbunden. Zudem sind bei DAGs keine Zirkelschlüsse möglich

Do-Operation: Durchführung einer (fiktiven) Intervention, d.h. erzwungenen Änderung, von X. Hierfür werden alle kausalen Verbindungen zu X gedanklich gekappt und X für alle Datensätze geändert. Im Allgemeinen gilt P(Y | do(X)) ≠ P(Y | X)

ERR, Excess Risk Ratio: Ähnlich PN, jedoch abzüglich des Confounding Bias: (P(Y|X) – P(Y|X')) / P(Y|X). Dieses intuitiv einleuchtende Maß wird häufig verwendet ist jedoch i.A. ungenau und verzerrt

ETT, Effect of Treatment on the Treated: hierbei werden die Datensätze betrachtet, bei denen in der Realität eine Ursache X = 1 zu einer Wirkung Y1 geführt hat. Nun wird betrachtet inwiefern diese Wirkung für die betrachteten Datensätze eingetreten wäre, wenn sich die Ursache geändert hätte. Der ETT ist somit die kontrafaktische Änderung eines tatsächlich realisierten Erwartungswerts, bei einer Ursachen-Änderung: ETT = E(Y1Y0 | X = 1)

Frontdoor-Kriterium: Kriterium zur Berechnung von Do-Operationen im Confounding-Fall

Instrumental-Variablen: Kriterium zur Berechnung kausaler Effekte bei unvollständiger Information im linearen Fall

Kausaler Collider: eine Variable hat mehrere Ursachen: XZY. Hier sind X und Y i.A. unabhängig voneinander, werden jedoch (schein-)korreliert, wenn auf Z konditioniert wird!

Kausale Gabelung: eine Ursache hat mehrere Wirkungen: ZXY. Somit sind Y und Z i.A. korreliert, werden jedoch unabhängig voneinander, wenn auf X konditioniert wird

Kausale Inferenz: mathematische Disziplin zur Untersuchung kausaler Abhängigkeiten. Die Kausale Inferenz ist extra-statistisch, d.h. kein Bestandteil der Statistik i.e.S., da sie ein a-priori-Verständnis der kausalen Zusammenhänge voraussetzt

Kausale Kette: eine Variable „vermittelt“ die kausale Wirkung zwischen zwei anderen Variablen: XZY. Somit sind X und Y i.A. korreliert, werden jedoch unabhängig voneinander, wenn auf Z konditioniert wird

Konditionierung: Voraussetzung zur Bildung der bedingten Wahrscheinlichkeit P von Y unter der Bedingung X: P(Y | X=X0). Entspricht einer Filterung der Datensätze mit X=X0

Mediation: Fall, bei der eine Variable Y sowohl direkt durch X (XY) als auch indirekt über einen Mediator Z (XZY) kausal beeinflusst wird

Mediator, Vermittler: eine Variable, die von einer anderen kausal beeinflusst wird und wiederum eine andere kausal beeinflusst

NDE, Natural Direct Effect: Änderung des Ergebnisses Y bei Änderung des direkten Parameters X und freier Entwicklung des Mediators Z. Im Gegensatz zum Total Effect wird hierbei die Verbindung von X nach Z gedanklich "gekappt", d.h. Z entwickelt sich komplett „natürlich“. Die Berechnung des NDE erfordert kontrafaktische Überlegungen. Der NDE gibt an, in welchem Umfang der Effekt ausschließlich durch die direkte Ursache bei Beseitigung des Vermittlers erfolgt, d.h. in welchem Umfang auf den Vermittler verzichtet werden kann

NIE, Natural Indirect Effect: Änderung des Ergebnisses Y bei Änderung des Mediators Z und freier Entwicklung des direkten Parameters X. Die Verbindung von X nach Z wird hierbei gedanklich "gekappt", d.h. X entwickelt sich komplett "natürlich" und Z wird unabhängig hiervon festgesetzt. Die Berechnung des NIE erfordert kontrafaktische Überlegungen. Der NIE gibt an, in welchem Umfang der Effekt ausschließlich durch die indirekten Vermittler bei Beseitigung der direkten Ursache erfolgt, d.h. in welchem Umfang auf die direkte Ursache verzichtet werden kann

PN, Probability of Necessity: Wahrscheinlichkeit, dass Y in Abwesenheit von X nicht eingetreten wäre, wenn X und Y tatsächlich eingetreten sind: P(Y0=0 | X=1, Y=1). PN entspricht der "Schuld-Attribution" bei rechtlichen Fragestellungen

PNS, Probability of Necessity and Sufficiency: Maß für Hinlänglichkeit als auch Notwendigkeit von X zur Erzeugung von Y: P(Y1=1, Y0=0). PNS ist wichtig für die Bewertung ambivalenter Entscheidungen

TE, Total Effect: die Änderung der Wahrscheinlichkeit für Y bei Durchführung der Interventionen X0 und X1: P(Y | do(X=X1)) – P(Y | do(X=X0)). Dies entspricht dem Gesamt-Effekt durch die Interventionen

 

Weiterführende Literaturhinweise:

  • Pearl, J., Mackenzie, D. (2018). The Book of Why: The New Science of Cause and Effect (1. Aufl.). Basic Books.
  • Pearl, J., Glymour, M., Jewell, N., P. (2016). Causal Inference in Statistics: A Primer (1. Aufl.). Wiley.
  • Girling, P., X. (2013). Operational Risk Management: A Complete Guide to a Successful Operational Risk Framework (1. Aufl.). Wiley.

Info-Box 2: Tool zur Kausalen Inferenz

Tool zur Kausalen Inferenz
Features:
– Flexibles Programm auf der Basis von R Shiny
– Einsehbarer und weiterentwickelbarer Code
– Behandelt – jeweils binär und linear – die Fälle Mediation. Backdoor sowie Frontdoor und berechnet je nach – Fall die diesbezüglichen Kennzahlen wie TE, CDE, PN, PNS, NDE und NIE. Zusätzlich wird der lineare Fall mit Instrumental-Variablen modelliert.
– Liest entsprechend aufbereitete Excel-Dateien ein und kann zum Teil interaktiv benutzt werden.

Autor:
Dr. Dimitrios Geromichalos, FRM, CEO / Founder RiskDataScience GmbH
Dr. Dimitrios Geromichalos, FRM,
CEO / Founder RiskDataScience GmbH
E-Mail: riskdatascience@web.de

[ Bildquelle Titelbild: Adobe Stock.com / peshkov ]
Risk Academy

Die Intensiv-Seminare der RiskAcademy® konzentrieren sich auf Methoden und Instrumente für evolutionäre und revolutionäre Wege im Risikomanagement.

Seminare ansehen
Newsletter

Der Newsletter RiskNEWS informiert über Entwicklungen im Risikomanagement, aktuelle Buchveröffentlichungen sowie Kongresse und Veranstaltungen.

jetzt anmelden
Lösungsanbieter

Sie suchen eine Softwarelösung oder einen Dienstleister rund um die Themen Risikomanagement, GRC, IKS oder ISMS?

Partner finden
Ihre Daten werden selbstverständlich vertraulich behandelt und nicht an Dritte weitergegeben. Weitere Informationen finden Sie in unseren Datenschutzbestimmungen.