從一句話到一個數字
本階梯的第一篇，把董事會的活兒交到了你手上：陳明一份風險胃納——公司願意承受多大的失敗機會——並讓這份陳述統轄整張資產負債表。可是「我們容忍一年裡兩百分之一」是一句話，而資產負債表靠的是數字。風險度量就是那台機器，把這句話化作一個數：把明年損失的整條機率分布餵給它，它便返回那條分布*值得操心*的那筆金額。把這把尺挑好，你持有的資本便兌現了承諾；挑壞了，你可以符合字面，卻背叛了它的本意。
嚴格說來，風險度量不過是一個函數：它收下一個隨機損失，吐出一個實數——給不確定性貼上一張價籤。它的精神你在上個階梯已經領教過，那時你把破產理論倒著跑，去找一層所需的緩衝。如今的不同在於高度：那裡，是單一條業務、單一個盈餘過程；這裡，是整個企業的*每一項*風險捲成一條損失分布，再用一把尺度量它的全部。本篇要搭起的兩把尺——VaR 與尾部 VaR——正是整個受監管的世界真正在為之爭論的兩把。
風險價值：懸崖邊緣的高度
風險價值回答一個利落的問題：*在給定的機率、給定的時段內，我不會超過的那筆損失是多少？*挑一個信賴水平——比如 99.5%——和一年。99.5% 的 VaR，就是這樣一個損失數字：兩百年裡有一百九十九年，實際損失都落在它*之下*。它說白了就是損失分布的一個百分位：把所有可能的結果從最好排到最壞，沿著走到 99.5% 的位置，讀出站在那裡的數。那個數，便是懸崖邊緣的高度——一個「尋常」壞年份裡最糟的損失，恰好就在事態滑入罕見而巨災的那一刻之前。
VaR 成為監管的通用語言，有充分的理由。它直觀——一位毫無統計學功底的董事，也能領會「兩百年裡有一百九十九年我們不會突破的那筆損失」。它把整條分布坍縮成一個可比較的數。而它又能乾淨地對應到一條清償能力規則：持有等於 99.5% VaR 的資本，紙面上你這一年就有了兩百分之一被壓垮的機會。最後這句話，恰恰就是清償能力 II 這類框架下經濟資本的定義方式——監管的資本目標*本身就是*一個 VaR，其信賴水平選得正好對上董事會陳明的胃納。
盲點：VaR 從不往邊緣外看
危險就在這裡，而輕看它會是致命的。VaR 告訴你懸崖的邊緣*在哪裡*。它對你一旦越過之後會跌得多深，隻字不提——一個字都沒有。99.5% 的 VaR，是關於那一百九十九個好年份的陳述；它對那一個壞年份究竟要花多少代價，完全緘默。按其構造，它無視了百分位之外的整條尾部。兩家公司可以報出*一模一樣*的 VaR，而其中一家在最糟的那 0.5% 的年份裡損失的是尚可挺過的數額，另一家損失的卻是其全部資本的十倍。VaR 分辨不出這兩者。
這絕非吹毛求疵——它恰恰正是保險風險所棲身之處。回想破產理論裡的那一課：在重尾嚴重度之下——巨災、責任、大額火災、網路風險——災難是以單單一筆鉅額理賠的形式降臨的，端坐在 VaR 拒絕去看的那片極遠區域裡。這把尺，曾臭名昭著地被歸咎於讓銀行在 2008 年之前持有了過薄的資本：它們的 VaR 看上去溫馴，只因模型假定了一條薄尾，而真正到來的損失，恰恰活在 VaR 被設計成要去無視的那部分分布裡。把業務優化去貼合一條 VaR 限額，甚至可能*獎賞*一家公司，讓它把風險藏到剛好越過截斷點的地方——在那裡，風險對報出來的數字毫無貢獻，對真實的危險卻貢獻了一切。
尾部 VaR：災難的平均值
補救之道，是去問一個更深的問題。別再問「邊緣在哪裡？」，而要問「*假定*我們已經越過邊緣，平均而言它有多糟？」這便是尾部風險價值——又稱條件尾部期望，或者，在連續分布裡，稱預期短缺（expected shortfall）。99.5% 的 TVaR，是*最糟那 0.5% 年份裡損失的平均值*——是 VaR 拋掉的那整條尾部裡一切結果的均值。VaR 讀的是懸崖邊緣的高度，TVaR 則越過邊緣，報出那一跌的平均深度。按其構造，同一水平上 TVaR 總是至少與 VaR 一樣大，通常還更大——二者之間的差距，正是一支測量尾部有多沉的溫度計。
用一組小小的情景把它坐實——二十個等可能的結果，只有最糟的那寥寥幾個才會咬人。設十九個年份損失都不大，唯獨一年——那場巨災——損失 1,000。95% 的 VaR（即二十分之一最糟的門檻）端坐在那個壞年份的*邊緣*上，幾乎讀不出那 1,000。但 95% 的 TVaR 取的是最糟 5% 的平均——這裡，正是那單單一個損失 1,000 的年份——於是它直直地盯著災難看。把這場巨災換成損失 5,000 的一年，VaR 可能紋絲不動，TVaR 卻翻了五倍。TVaR *感受到了*這個變化；VaR 對它視而不見。整套論證，盡在這一例之中。
20 equally likely yearly losses, sorted worst-first: Year: 1 2 3 ... 20 Loss: 1000 90 80 ... 5 (only year 1 is the catastrophe) 95% VaR = threshold at the worst 1-in-20 = ~90 (edge of the bad year) 95% TVaR = mean of the worst 5% (= worst 1) = 1000 (the catastrophe itself) Now make the catastrophe 5000 instead of 1000: 95% VaR ~= 90 (UNCHANGED -- blind to the tail) 95% TVaR = 5000 (x5 -- it averages what is actually out there)
一致性：TVaR 為何贏得信任
TVaR 的優勢，比「它會看尾部」更深一層。有一份簡短的清單，列著任何一把*合理的*風險度量都應當遵守的性質，而一把全數遵守它們的尺，便稱為一致風險度量。其中最要緊的是次可加性：兩個組合合併後的風險，絕不應超過它們各自風險之和——把兩本業務併到一起，不可能憑空*造出*危險，因為分散化只會有益，絕不會有害。這正是一家保險公司為何持有的資本少於其各部分之和的數學脊梁，也是整套分散化抵減的邏輯所在。
下面這句點睛之筆，定下了勝負：VaR *不*一致。它可以違反次可加性——確有真實的情形，把兩個組合合併後，報出的 VaR 反而*上升*，彷彿分散化竟製造了風險。這不是個小怪癖；這是一樁邏輯上的荒謬，足以誤導一家公司去拆分業務以操縱其資本，或去拒絕一樁本可讓它真正更安全的分散化併購。TVaR 則相反，它*是*一致的：它永遠次可加，於是分散化的算術永遠指向正確的方向。原來，往尾部裡看、與尊重分散化，竟是同一種美德，而 TVaR 二者兼備。
對兩者都保持誠實
選 TVaR 而捨 VaR，修補了一處真實的缺陷，卻買不來安全——它只買來一份關於危險棲身何處的誠實。兩把尺都是從損失分布的一個*模型*裡算出來的，而答案都被你最缺資料去釘牢的那條尾部所主宰。TVaR 的長處——它取整條尾部的平均——也正是它的脆弱：關於極遠尾部如何行止的單單一條假設，便能讓這個數字劇烈擺動；而 VaR 只盯著一個百分位，至少不會過度押注於一種它根本看不見的形狀。兩把尺都不是現實；它們都是你講給現實的一個故事，而故事裡最薄弱的那一章，永遠是那個極端。
所以，把風險度量當作對話的*開端*，而絕非終點。單單一個數字——無論 VaR 還是 TVaR——是一份摘要，而任何摘要都會丟掉資訊。成熟的做法，是把它與那些直接探查尾部的工具配對：極值方法，尤其是接下來幾篇要講的壓力測試與情景測試——它們追問的是「究竟是*哪一樁具體的*災難會擊垮我們，我們又能否挺過它？」，而非去信任一條擬合曲線上的單單一個百分位。度量告訴你模型認為你需要多少資本；壓力測試則告訴你，那個模型是不是在騙你。