Strukturerte produkter

Vi venter nå på dom fra lagmannsretten i saken mellom Ivar Petter Røeggen og DnB. I 2000 investerte Røeggen i et såkalt strukturert produkt. 73% av investeringen ble så satt på en høyrentekonto. De resterende 27% ble brukt til å kjøpe en opsjon som ville gi avkastning dersom markedet gikk opp. Om markedet gikk ned ville opsjonen være verdiløs.

I løpet av tegningsperioden ville så bankinnskuddet forrente seg slik at det til slutt ville tilsvare nøyaktig det investerte beløpet. På denne måten var Røeggen garantert det opprinnelige innskuddet dersom opsjonen skulle vise seg å bli verdiløs.

Allerede her hadde imidlertid produktet en katastrofal svakhet. Renten som banken måtte betale for å sikre minimumsbeløpet lå nesten halvannen prosent under fastrenten som banken garantert kunne oppnå i rentemarkedet. Hvert år tok altså DnB betalt 1,4% bare for å ha penger stående på en høyrentekonto. Når vi i tillegg vet at Røeggen og mange andre belånte mye av investeringen, blir regnestykket enda verre. Differansen mellom innskuddsrenten og lånerenten var på hele 2,5%. I og med at låne ble satt rett inn på konto i samme bank foregikk det ingen reelle transaksjoner mellom kunde og bank. Hvert år mottok altså DnB 2,5% bare for å føre pluss på én konto og minus på en annen. Dette må ha vært et fantastisk produkt for DnB.

Norsk Regnesentral fant riktig nok at en lang rekke slike produkt ikke kom så galt ut sammenlignet med aksjeindeksen og bankinnskudd når man så på realisert avkastning i ettertid. Beregninger gjort i ettertid har imidlertid begrenset verdi. For å kunne si noe om investeringene i strukturerte produkter var hensiktsmessige da de ble gjort, må man regne ut forventet avkastning på investeringstidspunktet og renten en bør sammenligne med er fastrenten i investeringsperioden. For produktet i denne saken kan man regne ut at forventet avkastning var 7,7% per år basert på avkastningen til Dow Jones EURO STOXX 50 (den største investeringen til fondet) siden 1987. Hadde man heller investert opsjonsdelen direkte i indeksen og resten i et fastrenteprodukt ville forventet avkastning blitt 8,6%.

I tillegg til dårlig rente var også opsjonsdelen av produktet et problem. Investerer man i opsjoner, bullfond eller tilsvarende derivater må man hvert år betale en ikke ubetydelig sum i noe som best kan sammenlignes med en forsikringspremie. En opsjon vil nemlig reduseres i verdi hvert eneste år selv når aksjekursene ikke faller.

Vi vet at fasiten var at børsindeksen falt og at Røeggen dermed fikk bruk for den forsikringen han hadde betalt premie for. Man skulle derfor tro at produktet i alle fall hadde klart seg bedre enn en investering i indeksfond i dette konkrete tilfellet, når tapet tross alt ble begrenset av nedsidegarantien slik intensjonen var?

Svaret er imidlertid nei. Røeggen tapte selv når produktets garanti kom til anvendelse på grunn av høye rentekostnader. Om han hadde investert direkte i indeksen hadde han oppnådd en avkastning på 27% før omkostninger på investeringen. Det er mindre enn hva et fastrenteprodukt ville gitt på den tiden, men betydelig mer enn sluttresultatet som ble 0.

Opsjoner generelt har blitt oversolgt av banker og finansinstitusjoner. Det er usikkert hvorfor det har skjedd, men det kan ha med utviklingen av finansfaget. I 1973 ble artikkelen som beskriver hvordan man prissetter opsjoner publisert. Formlene slo umiddelbart an på Wall Street og bruk av opsjoner og andre derivater i finansverden eksploderte.

Siden hele hensikten med å investere i aksjer er å ta risiko og få betalt for det over tid, virker imidlertid ideen om å kjøpe forsikring for investeringsbeløpet litt pussig. Om man ikke er beredt til å tape bør man ikke forsikre seg, men heller investere et mindre beløp.

Critical (of) severity

You can tell when a person is desperate to appear authoritative: they often litter their speech with unnecessary, roundabout verbiage. To some listeners, this sounds smart. To many others, it's obtuse and pompous.


I think that one of the cornerstones of vulnerability management is just an example of that. I am talking about the concept of vulnerability severities: I believe that they serve no real purpose, other than obfuscating the true intent of speech.


It's not that we don't need a codified taxonomy; but the term "severity" and the abstract levels attached to it ("critical", "high", "medium", "low") are a remarkably poor proxy for what we actually want to say.


The notion of severity is used in two distinct settings:


  • In a position of authority: For example, when an internal security team is communicating with developers. In this case, the intent of assigning severity is to instruct the developer to do one of the following:



    • Drop all other work and fix the bug now.
    • Fix the issue in a couple of days.
    • Fix at own leisure, or not at all.



  • In an advisory position: Say, when a vendor is notifying end users about the availability of a fix. In this case, the actual message usually is any of the following:



    • You are in imminent danger. Patch now.
    • You are at a limited risk, but prompt action is advisable.
    • We don't think there is a substantial risk.


Every time, the messages are very simple. Yet, instead of just saying them out loud, we create one set of guidelines for the security team to map their assessments to ambiguous codewords; and then furnish another, lengthy phrasebook for the final recipient of a message, to map the codeword back to something they can act upon.


Only we're not running a numbers station: we're trying to tell people something very important, and we need all of them to understand us right away. There is no way around the fact that terms such as "critical" or "high" intuitively mean different things to different people, and almost certainly do not map precisely to the thing you actually wanted to say. If the severity needs to be accompanied with several pages of organization-specific explanatory text, something is horribly wrong.


Instead of "highly critical", start telling your users "patch right away".