Phénomène par lequel des risques apparemment décorrélés en conditions normales voient leur corrélation converger vers un lorsque les événements sont extrêmes, annulant le bénéfice de diversification précisément quand il est le plus nécessaire.
La corrélation de queue (ou dépendance de queue) est un concept central de la théorie des copules et de la finance extrême, désignant le fait que des variables aléatoires peuvent exhiber une dépendance statique faible (corrélation linéaire proche de zéro en conditions normales) mais une dépendance extrême forte (corrélation effective proche de un dans les scénarios de queue). Formellement, la dépendance de queue supérieure entre deux risques X et Y est définie comme la probabilité que Y dépasse son quantile extrême conditionnellement au fait que X dépasse le sien. Les copules gaussiennes (utilisées dans la formule standard Solvabilité II) présentent une dépendance de queue nulle, c'est-à-dire qu'elles supposent que les événements extrêmes restent indépendants entre actifs. Les copules de Student et les copules archimédiennes (Gumbel, Clayton) capturent au contraire une dépendance de queue positive. La crise financière de 2008 a montré avec violence que les produits structurés de crédit (CDO) avaient été pricés avec des copules gaussiennes supposant l'indépendance des défauts dans les scénarios extrêmes, alors que la corrélation de queue dans les sous-jacents immobiliers était proche de un. Pour le risque cyber systémique, la corrélation de queue est structurellement proche de un : un événement comme CrowdStrike affecte simultanément et de façon identique tous les assurés partageant la même technologie, quel que soit le degré de décorrélation apparent de leurs activités en conditions normales. C'est cette caractéristique qui rend la formule standard Solvabilité II inadéquate pour le risque cyber et annule le bénéfice de diversification normalement accordé.
Un portefeuille de 1 000 PME clientes d'un assureur cyber semble bien diversifié : elles opèrent dans des secteurs différents (commerce, santé, industrie) et dans des pays différents. La corrélation linéaire de leurs sinistres en conditions normales est faible. Mais 800 d'entre elles utilisent le même outil de sécurité endpoint. En scénario CrowdStrike, la corrélation de queue effective est proche de 1 pour ces 800 entités : l'événement unique déclenche simultanément l'intégralité de leurs sinistres. Le capital calculé avec une hypothèse de corrélation modérée est massivement insuffisant.
tail correlation, tail dependence, dépendance de queue, corrélation extrême