从一句话到一个数字
本阶梯的第一篇，把董事会的活儿交到了你手上：陈明一份风险胃纳——公司愿意承受多大的失败机会——并让这份陈述统辖整张资产负债表。可是“我们容忍一年里两百分之一”是一句话，而资产负债表靠的是数字。风险度量就是那台机器，把这句话化作一个数：把明年损失的整条概率分布喂给它，它便返回那条分布*值得操心*的那笔金额。把这把尺挑好，你持有的资本便兑现了承诺；挑坏了，你可以符合字面，却背叛了它的本意。
严格说来，风险度量不过是一个函数：它收下一个随机损失，吐出一个实数——给不确定性贴上一张价签。它的精神你在上个阶梯已经领教过，那时你把破产理论倒着跑，去找一层所需的缓冲。如今的不同在于高度：那里，是单一条业务、单一个盈余过程；这里，是整个企业的*每一项*风险卷成一条损失分布，再用一把尺度量它的全部。本篇要搭起的两把尺——VaR 与尾部 VaR——正是整个受监管的世界真正在为之争论的两把。
风险价值：悬崖边缘的高度
风险价值回答一个利落的问题：*在给定的概率、给定的时段内，我不会超过的那笔损失是多少？*挑一个置信水平——比如 99.5%——和一年。99.5% 的 VaR，就是这样一个损失数字：两百年里有一百九十九年，实际损失都落在它*之下*。它说白了就是损失分布的一个百分位：把所有可能的结果从最好排到最坏，沿着走到 99.5% 的位置，读出站在那里的数。那个数，便是悬崖边缘的高度——一个“寻常”坏年份里最糟的损失，恰好就在事态滑入罕见而巨灾的那一刻之前。
VaR 成为监管的通用语言，有充分的理由。它直观——一位毫无统计学功底的董事，也能领会“两百年里有一百九十九年我们不会突破的那笔损失”。它把整条分布坍缩成一个可比较的数。而它又能干净地对应到一条偿付能力规则：持有等于 99.5% VaR 的资本，纸面上你这一年就有了两百分之一被压垮的机会。最后这句话，恰恰就是偿付能力 II 这类框架下经济资本的定义方式——监管的资本目标*本身就是*一个 VaR，其置信水平选得正好对上董事会陈明的胃纳。
盲点：VaR 从不往边缘外看
危险就在这里，而轻看它会是致命的。VaR 告诉你悬崖的边缘*在哪里*。它对你一旦越过之后会跌得多深，只字不提——一个字都没有。99.5% 的 VaR，是关于那一百九十九个好年份的陈述；它对那一个坏年份究竟要花多少代价，完全缄默。按其构造，它无视了百分位之外的整条尾部。两家公司可以报出*一模一样*的 VaR，而其中一家在最糟的那 0.5% 的年份里损失的是尚可挺过的数额，另一家损失的却是其全部资本的十倍。VaR 分辨不出这两者。
这绝非吹毛求疵——它恰恰正是保险风险所栖身之处。回想破产理论里的那一课：在重尾严重度之下——巨灾、责任、大额火灾、网络风险——灾难是以单单一笔巨额理赔的形式降临的，端坐在 VaR 拒绝去看的那片极远区域里。这把尺，曾臭名昭著地被归咎于让银行在 2008 年之前持有了过薄的资本：它们的 VaR 看上去温驯，只因模型假定了一条薄尾，而真正到来的损失，恰恰活在 VaR 被设计成要去无视的那部分分布里。把业务优化去贴合一条 VaR 限额，甚至可能*奖赏*一家公司，让它把风险藏到刚好越过截断点的地方——在那里，风险对报出来的数字毫无贡献，对真实的危险却贡献了一切。
尾部 VaR：灾难的平均值
补救之道，是去问一个更深的问题。别再问“边缘在哪里？”，而要问“*假定*我们已经越过边缘，平均而言它有多糟？”这便是尾部风险价值——又称条件尾部期望，或者，在连续分布里，称预期短缺（expected shortfall）。99.5% 的 TVaR，是*最糟那 0.5% 年份里损失的平均值*——是 VaR 抛掉的那整条尾部里一切结果的均值。VaR 读的是悬崖边缘的高度，TVaR 则越过边缘，报出那一跌的平均深度。按其构造，同一水平上 TVaR 总是至少与 VaR 一样大，通常还更大——二者之间的差距，正是一支测量尾部有多沉的温度计。
用一组小小的情景把它坐实——二十个等可能的结果，只有最糟的那寥寥几个才会咬人。设十九个年份损失都不大，唯独一年——那场巨灾——损失 1,000。95% 的 VaR（即二十分之一最糟的门槛）端坐在那个坏年份的*边缘*上，几乎读不出那 1,000。但 95% 的 TVaR 取的是最糟 5% 的平均——这里，正是那单单一个损失 1,000 的年份——于是它直直地盯着灾难看。把这场巨灾换成损失 5,000 的一年，VaR 可能纹丝不动，TVaR 却翻了五倍。TVaR *感受到了*这个变化；VaR 对它视而不见。整套论证，尽在这一例之中。
20 equally likely yearly losses, sorted worst-first: Year: 1 2 3 ... 20 Loss: 1000 90 80 ... 5 (only year 1 is the catastrophe) 95% VaR = threshold at the worst 1-in-20 = ~90 (edge of the bad year) 95% TVaR = mean of the worst 5% (= worst 1) = 1000 (the catastrophe itself) Now make the catastrophe 5000 instead of 1000: 95% VaR ~= 90 (UNCHANGED -- blind to the tail) 95% TVaR = 5000 (x5 -- it averages what is actually out there)
一致性：TVaR 为何赢得信任
TVaR 的优势，比“它会看尾部”更深一层。有一份简短的清单，列着任何一把*合理的*风险度量都应当遵守的性质，而一把全数遵守它们的尺，便称为一致风险度量。其中最要紧的是次可加性：两个组合合并后的风险，绝不应超过它们各自风险之和——把两本业务并到一起，不可能凭空*造出*危险，因为分散化只会有益，绝不会有害。这正是一家保险公司为何持有的资本少于其各部分之和的数学脊梁，也是整套分散化抵减的逻辑所在。
下面这句点睛之笔，定下了胜负：VaR *不*一致。它可以违反次可加性——确有真实的情形，把两个组合合并后，报出的 VaR 反而*上升*，仿佛分散化竟制造了风险。这不是个小怪癖；这是一桩逻辑上的荒谬，足以误导一家公司去拆分业务以操纵其资本，或去拒绝一桩本可让它真正更安全的分散化并购。TVaR 则相反，它*是*一致的：它永远次可加，于是分散化的算术永远指向正确的方向。原来，往尾部里看、与尊重分散化，竟是同一种美德，而 TVaR 二者兼备。
对两者都保持诚实
选 TVaR 而舍 VaR，修补了一处真实的缺陷，却买不来安全——它只买来一份关于危险栖身何处的诚实。两把尺都是从损失分布的一个*模型*里算出来的，而答案都被你最缺数据去钉牢的那条尾部所主宰。TVaR 的长处——它取整条尾部的平均——也正是它的脆弱：关于极远尾部如何行止的单单一条假设，便能让这个数字剧烈摆动；而 VaR 只盯着一个百分位，至少不会过度押注于一种它根本看不见的形状。两把尺都不是现实；它们都是你讲给现实的一个故事，而故事里最薄弱的那一章，永远是那个极端。
所以，把风险度量当作对话的*开端*，而绝非终点。单单一个数字——无论 VaR 还是 TVaR——是一份摘要，而任何摘要都会丢掉信息。成熟的做法，是把它与那些直接探查尾部的工具配对：极值方法，尤其是接下来几篇要讲的压力测试与情景测试——它们追问的是“究竟是*哪一桩具体的*灾难会击垮我们，我们又能否挺过它？”，而非去信任一条拟合曲线上的单单一个百分位。度量告诉你模型认为你需要多少资本；压力测试则告诉你，那个模型是不是在骗你。