1. 서론

빈 디지털 전환과 인공지능의 급속한 확산으로 사회 전반의 IT 의존도는 과거 어느 때보다 심화되고 있다. 이에 따라 해킹, 데이터 유출, 랜섬웨어 등 다양한 형태의 사이버 리스크에 대한 노출 역시 빠르게 증가하고 있다(Aldasoro et al., 2022). 사이버 리스크는 정보와 정보시스템의 기밀성, 가용성, 무결성에 부정적 영향을 미치는 운영 리스크로 정의되며(Biener et al., 2015), 그 파급력은 개별 기업의 피해를 넘어 사회 전체에 영향을 미칠 수 있다. 특히 주요 기반시설에 대한 공격은 공급망과 상호연결된 시스템 전반에 연쇄적 피해(cascading effect)를 발생시켜 대규모 경제적·사회적 손실을 초래할 가능성이 크다(Healey et al., 2018; Ros, 2020).

빈 실제 사례는 이러한 위험을 명확히 보여준다. 2023년 7월, 미국 보안업체 CrowdStrike의 업데이트 오류는 전 세계 약 850만 대의 PC를 다운시키며 공항, 은행, 호텔, 공공기관 등 주요 산업의 운영을 일시적으로 마비시켰다. 2017년 NotPetya 랜섬웨어 공격은 글로벌 물류기업 Maersk의 공급망을 중단시켜 막대한 2차 손실을 유발했다. 국내에서도 2024년 4월 SK텔레콤의 유심 정보 유출 사건으로 약 2,500만 명의 개인정보가 유출되며 금융 사기 가능성이 제기되었고, 이는 고객 이탈과 평판 손실로 이어졌다. 이러한 사례들은 사이버 사고가 단순한 보안 문제를 넘어 기업 가치 하락과 시장점유율 감소로 연결될 수 있음을 보여준다.

빈 이처럼 기반시설이나 광범위한 네트워크 노드에서 발생한 공격이 전체 시스템에 확산되는 위험을 시스템적 사이버 리스크(systemic cyber risk)라 한다. World Economic Forum(2016)은 이를 “핵심 인프라 생태계의 개별 구성요소에서 발생한 사이버 위협이 중대한 지연·중단·손실을 초래하고, 그 영향이 연계된 생태계 전반으로 확산되어 경제·사회적 안보에 부정적 영향을 미치는 위험”으로 정의하였다. 디지털 기술의 일상화 속에서 이러한 시스템적 사이버 리스크에 대한 노출은 빠르게 확대되고 있으며, 그에 따라 시장적·정책적 차원의 리스크 관리 고도화가 절실하다.

빈 보험회사는 리스크 관리자로서 증가하는 사이버 리스크에 대응할 수 있는 핵심 주체이다. 적절한 담보와 보험료를 통해 기업의 위기 대응을 지원하고, 시장 안정성 유지에도 기여할 수 있다. 그러나 시스템적 사이버 리스크와 같이 피해 규모가 극단적으로 크고 발생 가능성이 높아지는 유형은 일반 기업이 감당하기 어려운 수준의 보험료를 요구하게 되며, 대규모 사고 발생 시 보험사의 재정건전성마저 위협할 수 있다. 또한, 네트워크상에서 불특정 다수의 피해자가 기하급수적으로 늘어날 경우 미보고 발생 손해액(Incurred But Not Reported; IBNR)은 기존 추정치를 크게 초과할 수 있다.

빈 문제는 현행 규제체계가 이러한 특수성을 충분히 반영하지 못한다는 점이다. 예를 들어, 유럽의 Solvency II는 IBNR을 자본 요구량에 포함하도록 규정하지만(Bermudez et al., 2013; Eling and Jung, 2020), 사이버 리스크는 별도로 고려되지 않고 있다. 그 결과, 실제 발생 가능한 손실이 과소평가될 가능성이 높다(Xu et al., 2025). Eling and Schnell(2020) 역시 Solvency II, 미국 RBC, 스위스 SST 등 글로벌 보험 규제모형이 사이버 리스크의 두터운 꼬리 분포와 상호의존 구조를 충분히 반영하지 못한다고 지적한 바 있다.

빈 본 연구는 이러한 문제의 해답을 탐색하기 위해 진행 중인 연구결과를 소개하고, 사이버 보험시장의 담보력 확대 및 민관협력 프로그램 구성에 대한 시사점을 도출하고자 한다. 구체적으로는 다음 세 가지 질문에 주목한다.

1) 기업의 회복탄력성과 시스템적 사이버 리스크로 인한 IBNR 손실 규모 간의 관계는 어떠한가?
2) 사고 보고 기간(reporting period)의 길이가 IBNR 규모와 요구자본(SCR) 수준에 어떤 영향을 주는가?
3) 보험사의 규모에 따라 사이버 IBNR 손실과 지급여력비율 간의 관계는 어떻게 달라지는가?

2. 기존 문헌 소개

빈 시스템적 사이버 리스크에 관한 기존 연구들은 활용한 방법론에 따라 크게 다섯 가지로 구분할 수 있다. 첫째, 시나리오 분석(Kaffenberger and Kopp, 2019; EIOPA, 2023) 접근법으로, 다양한 가정 하에서 대규모 사이버 사건이 금융시스템이나 보험산업에 미칠 잠재적 영향을 모의실험하는 방식이다. 둘째, 입출력모형(Input-Output Model) 기반 연구(Welburn and Strong, 2022)로, 산업 간 연계효과를 고려해 사이버 사건의 경제적 파급을 계량화한다. 셋째, Factor Copula를 활용한 의존 구조 추정(Ai and Wang, 2023) 방식은 사이버 리스크 간 상관성을 정량적으로 평가한다. 넷째, 전염병(SIR) 모형(Hillairet and Lopez, 2021; Hillairet et al., 2022)은 사이버 리스크의 확산 양상을 감염병 전파에 비유하여 분석한다. 다섯째, 네트워크 위상 기반 시뮬레이션(Awiszus et al., 2024)은 실제 네트워크 구조를 반영해 사이버 공격의 확산 경로와 피해 규모를 추정한다.

빈 이러한 연구들은 시스템적 사이버 리스크의 특성과 파급효과를 설명하는 데 기여했으나, 두 가지 뚜렷한 한계를 지닌다. 첫째, 실증적 데이터 기반 분석의 부족이다. 많은 연구가 시뮬레이션이나 시나리오에 의존하는데, 이는 사이버 피해를 경험한 기업들이 평판 손실(Reputational Loss)에 대한 우려로 피해 사실을 공개하지 않는 경향에서 비롯된다(Eling and Schnell, 2016). 그 결과, 실제 사건 데이터를 토대로 한 실증연구는 극히 제한적이다. 둘째, 보험 규제 모형과의 연계 부족이다. 기존 연구는 시스템적 사이버 리스크의 확산 메커니즘을 탐색하는 데 초점을 두었으나, 이러한 위험이 Solvency II, RBC, SST 등 보험사의 지급여력 규제 체계에 어떤 영향을 미치는지를 직접적으로 분석한 사례는 드물다.

빈 본 연구는 이러한 한계를 보완하고자 한다. 특히, 실증 데이터 기반의 전염병(SIR) 모형을 적용하여 IBNR 손실을 추정하고, 이를 유럽의 솔벤시II 지급여력 자본(Solvency Capital Requirement: SCR) 산출에 반영함으로써 보험사 재무건전성에 미치는 영향을 분석한다. 이를 통해 시스템적 사이버 리스크가 보험 규제 체계에 내재하는 구조적 취약성을 어떻게 확대시킬 수 있는지를 규명하고자 한다.

3. 시스템적 사이버 손실 추정을 위한 방법론

가. 시스템적 사이버 리스크 확산 과정

빈 사이버 공간의 높은 상호 의존성으로 인해 단일 인프라에서 발생한 사이버 사건은 그 피해가 공급망 내에서 연쇄적으로 확산되어 광범위한 불능상태를 유발할 수 있다(Healey et al., 2018; Ros, 2020). 시스템적 사이버 리스크는 사이버 리스크가 단일기관에서 발생했는지 혹은 여러 기관에서 동시에 발생했는지에 따라 두 유형으로 구분할 수 있으며, 네 단계(문맥-충격-확산-시스템적 사건)를 거쳐 확산이 된다(Ros, 2020). 먼저, 문맥(context) 단계에서는 잠재적 사이버 사고의 배경과 원인을 설명한다. 이 과정에서는 시스템적 사이버 리스크를 구성하는 다섯 가지 핵심 요인 ― 1) 사이버 위협(cyber threat), 2) 취약점(vulnerability), 3) 자산(assets), 4) 대응(counter-measures), 5) 시작점(starting point) ― 을 분석 대상으로 삼는다.

빈 구체적으로 살펴보면, 사이버 위협 요인은 리스크를 발생시키는 성격·동기·의도를 설명하며, 취약점 요인은 사이버 사건의 원인이 개별 기관의 특수한 문제인지, 아니면 시스템 전반에 내재한 구조적 문제인지를 파악하는 데 초점을 둔다. 자산 요인은 사이버 사고로 인해 손실을 입을 수 있는 대상 자산을 규명하고, 대응 요인은 피해 기관이 위험을 줄이거나 피해 규모를 최소화하기 위해 마련하는 방안을 다룬다. 마지막으로 시작점 요인은 사이버 사고가 최초로 어떻게 발생했는지를 의미하며, 단일 기관에서 발생했는지 혹은 복수 기관에서 동시적으로 발생했는지를 분석한다.

빈 두 번째 단계는 충격(shock) 으로, 사이버 사고가 야기하는 영향을 다룬다. 이때 영향은 기술적 영향(technical impacts) 과 사업적 영향(business impacts) 으로 구분하여 살핀다. 기술적 영향은 특정 자산에 직접적으로 발생한 손상을 의미하고, 사업적 영향은 이러한 손상이 기업 전체 운영 전반에 미치는 파급효과를 가리킨다.

빈 세 번째 단계는 확산(amplification) 이다. 여기서는 사이버 사고로 피해를 입은 기관과 해당 기관이 속한 시스템 간 상호작용을 통해 충격이 어떻게 전파되는지를 분석한다. 마지막으로, 시스템적 사건(systemic event) 단계에서는 시스템이 더 이상 충격을 흡수하지 못하고 대규모 피해가 발생하는 상황을 다룬다. 이때 충격 허용 임계값(impact tolerance threshold)을 설정하고, 그 임계치를 초과할 경우 나타날 수 있는 사건들을 분석한다(그림 2 참조).

[그림 2] 시스템적 사이버 리스크의 확산단계(Ros, 2020)

나. 전염병 모델

빈 본고는 사이버 리스크의 시스템적 특성과 그로 인한 손실을 분석하기 위해 SIR(Susceptible-Infected- Recovered)모델을 활용한다. SIR 모델은 전염병의 확산 메커니즘을 설명하기 위해 개발된 역학 모델로, 전체 인구를 세가지 상태(감염대상: Susceptible, 감염: Infected, 회복: Recovered)로 나누어 시간 경과에 따른 변화를 추적한다. 사이버 공격이 네트워크를 통해 확산되는 양상이 전염병과 유사하다는 점에서 이 모델의 전염확산 모형 방법론은 사이버 리스크 분석에 효과적일 수 있다. 이 모델에서 각 개체는 다음과 같이 해석된다.

빈· Susceptible(S): 아직 사이버 사건의 영향을 받지 않았지만, 감염될 위험에 노출되어 있는 기업들을 의미한다. 이들은 시스템적 손실이 발생할 수 있는 잠재적 피해 기업군에 속한다.

빈· Infected(I): 현재 사이버 공격으로 인해 운영상의 중단을 겪고 있는 기업들을 나타낸다. 이들은 감염된 상태에 있으며, 다른 취약한 기업으로 운영 중단 피해를 전이할 수 있다.

빈· Recovered(R): 운영상의 중단에서 완전히 회복되어 손실 평가가 완료되고 보험 청구절차를 시작할 준비가 된 기업들을 의미한다. 본고에서는 이러한 ‘회복된’ 개체들을 미보고발생손해(IBNR) 사건으로 해석하여, 시스템적 손실 규모를 추정하는데 반영한다.

빈 아래 수식은 시간에 흐름에 따른 각 개체의 변화를 나타낸다.

빈 여기서, SIR 모델의 핵심 모수인 감염률(β)은 시스템 내에서 운영 불능상태가 전이되는 수준을 의미하며, 회복률(γ)은 기업이 원래의 운영상태로 회복하는 능력, 즉 회복탄력성을 의미한다. 이러한 모델을 통해 기업의 회복탄력성 수준과 사이버 공격의 전파속도가 IBNR손실 규모 및 궁극적으로 보험사의 재무건전성에 어떤 영향을 미칠 수 있는지 분석할 수 있다. 사이버 리스크로 인한 시스템적 손실은 크게 두가지 유형의 손실을 합산하여 계산된다.

빈· 첫째, 사이버 공격으로 인해 최초로 피해를 입은 기업들의 직접적인 손실이 있다. 이는 공격의 시작점에서 발생하는 기본적인 피해규모를 의미한다.

빈· 둘째, 초기 피해로 인해 공급망 내 다른 기업들로 운영 중단이 전이되면서 발생하는 간접적인 손실이 있다. SIR 모델은 시간이 지남에 따라 얼마나 많은 기업들이 ‘감염된’ 상태에서 ‘회복된’ 상태로 전환되는지를 추적한다. 여기서 ‘회복된’ 기업들은 손실이 확정되었지만 아직 보험사에 보고되지 않은 IBNR손실로 간주된다.

빈 따라서, 총 시스템적 손실은 최초 피해 기업의 직접 손실과 일정기간 공급망 내에서 ‘회복된’ 기업들이 입은 간접손실을 모두 더하여 산출된다. 이 방식은 사이버 공격의 전파양상을 반영하여 전체적인 피해규모를 파악하는데 중점을 둔다.

[그림 3] 전염병 모델(SIR)과 시스템적 사이버 리스크로의 해석

4. 실증분석과 연구결과

가. 실증자료

빈 본고는 금융권과 IT업종 내 대기업에서 발생한 랜섬웨어 사건을 중심으로 시스템적 손실을 추정하고 보험사의 재무건전성을 분석한다. 이를 위해 사이버 리스크 분야에서 널리 활용되는 SAS OpRisk Database와 Advisen Database를 활용했으며, Florackis et al. (2023)이 제안한 텍스트 마이닝 기법을 적용하여 랜섬웨어 사례들을 추출하였다. 특히, 피해기업 중 종업원 수가 250명 이상인 대기업 사례만을 선별하고, 금융 및 IT업종에서 발생한 사이버 사건 총 232건을 최종 데이터 셋으로 확보하였다.

나. 기업의 회복탄력성과 총 시스템적 손실

빈 첫 번째 분석으로서 전염병 모델 기반의 기업의 회복탄력성과 추정된 총 시스템적 손실의 관계를 살펴본다. 회복탄력성 모수(γ)는 작을수록 회복력이 낮음을 의미하고, 클수록 전염피해로부터 빠르게 회복할 수 있음을 의미한다. 사이버 리스크 관점에서는 기업의 보안 수준이 높을수록 모수값이 크다고 해석할 수 있으며, 현실에서는 보안 수준을 결정하는 요인으로 보안 투자 규모, 보안팀 및 인력 수준 등을 생각해볼 수 있다. 회복탄력성과 손실의 관계를 살펴보기 위하여 본 연구에서는 네트워크 내 최대 1,000개의 기업이 연결되어 있다고 가정하였으며, 총 손실 산출시 해당 가정을 바탕으로 추정된 회복기업 수에 맞춰 계산하였다.

빈 그림 4에서 볼 수 있듯이 두 시나리오(금융: scenario 1, IT업종: scenario 2) 모두에서 피해 기업들의 회복탄력성이 높을수록(모수값이 클수록) 빠르게 회복하기 때문에 총 손실 규모가 작고, 전이가 억제되기 때문에 누적 시스템적 손실 또한 작음을 확인할 수 있다. 반대로 회복탄력성이 낮으며 감염상태에 머무는 기간이 길어져 이로 인한 영업 손실이 증가하게 되고, 전이가 확대되어 IBNR손실이 증가하게 된다.

[그림 4] 기업의 회복탄력성과 총 시스템적 손실(IBNR손실)간의 관계(x축은 회복탄력성 모수값, y축은 추정된 총 시스템적 손실)

다. 청구시점과 총 시스템적 손실

빈 본 연구에서는 일 단위의 탐지시점(즉, 청구시점)에 따라 총 시스템적 손실 규모가 어떻게 달라지는지 평가하였다. 그림 5의 두 시나리오 모두에서 유사한 패턴이 관찰되는데, 즉 기업의 회복탄력성이 높을수록 손실 탐지시점이 빨라지고 이에 따라 청구시점도 빨라질 수 있으므로 초기 시점에서의 시스템적 손실(IBNR손실)은 더 커진다. 그렇게 때문에 시스템적 손실 규모가 탐지시점에 관계없이 일정 수준으로 고정되는 패턴이 나타나고 있으며, 초기시점 이후 누적 손실액이 시간 경과에 따라 큰 변동을 보이지 않음을 확인할 수 있다.

빈 반면, 회복탄력성이 낮은 경우에는 공격 탐지시점이 늦어지고, 손실금액 확정까지 상당한 시간이 소요된다. 이러한 특성으로 인해 초기에는 확정된 손실액이 미미하게 나타나지만, 시간이 지남에 따라 기하급수적으로 누적손실액이 상승하는 양상을 보인다.

[그림 5] 청구시점과 총 시스템적 손실(IBNR손실)간의 관계(x축은 일 단위 탐지시점(청구시점), y축은 추정된 총 시스템적 손실)

라. 지급여력비율로의 영향

빈 다음으로 앞서 산출한 IBNR손실을 바탕으로 유럽 솔벤시II 규제자본량(SCR)을 추정하였다. 세로축은 탐지시점별, 가로축은 회복탄력성별 특정 보험회사의 사이버 보험 가입 기업 특성을 구분하였다. 예를 들어 T=2, γ=0.1의 동질적인 탐지역량과 회복탄력성을 가진 금융기업들의 위험을 인수할 경우 잠재적인 IBNR손실이 약 3.6 million 달러 수준이 될 수 있음을 의미한다(그림 6 참조). 그림 5에서 관찰한 바와 같이 탐지시점이 지연됨에 따라(T가 커짐에 따라) 회복탄력성이 낮은 경우(γ가 작을 경우) SCR이 매우 빠르게 커지는 것을 확인할 수 있다. 또한, 전반적으로 금융권에서 발생한 사이버 리스크에 대해 보험사가 보유해야 하는 SCR이 더 높은 것을 확인할 수 있다.

빈 그림 7은 보험계약자인 기업의 특성(회복탄력성과 업종의존도)에 따른 보험사의 재무건전성을 3차원으로 시각화한 결과이다. 지급여력비율을 산출하기 위하여 저자는 미국의 150개 보험회사 재무정보를 수집하여 자산규모에 따라 대형 보험사와 중소형 보험사를 구분하였으며, 전체 수입보험료 중 사이버 보험에 대한 보험료 수준을 기업규모에 따라 0.573%(대형사)¹⁾, 5.73%(중소형사) 비중으로 가용자본 산출에 적용하였다. 결과적으로 보험계약자가 낮은 회복탄력성을 보이거나 금융 부문에 대한 의존도가 높을수록 보험사의 지급여력이 악화되는 것을 확인할 수 있다(그림 7의 좌측 그래프). 더욱이, 이러한 경향은 자산의 규모가 작은 보험사에서 특히 두드러지게 나타나며, 이는 소형 보험사가 위험을 인수할 때 회복탄력성이 낮거나 금융업종에 대한 의존도가 높은 계약이 많을수록 재정건전성이 악화됨을 의미한다.

[그림 6] 청구시점 및 회복탄력성에 따른 총 시스템적 손실(IBNR손실)의 변화(단위: $million)

[그림 7] 청구시점 및 회복탄력성에 따른 지급여력비율의 변화(x축은 일 단위 탐지시점(청구시점), y축은 회복탄력성, z축은 지급여력비율)

5. 맺음말

빈 본 연구는 사이버 사고가 네트워크를 통해 연쇄적으로 확산되는 과정을 분석하고, 그로 인한 IBNR손실과 보험회사의 지급여력에 미치는 영향을 살펴보았다. 결과적으로, 계약자의 회복탄력성이 높을수록 피해 확산이 억제되고, 탐지·보고 지연이 짧을수록 손실 규모가 안정적으로 관리됨을 확인하였다. 반면, 금융업종의 높은 연계성, 낮은 회복탄력성, 그리고 중소형 보험사의 제한된 자본력은 사이버 보험시장의 안정성에 위험 요인이 될 수 있음을 보여주었다.

빈 이러한 결과는 사이버 보험시장의 활성화와 지속가능성을 위해 다음과 같은 시사점을 제시한다. 첫째, 보험사들은 계약자의 보안 투자 수준과 회복능력을 언더라이팅 과정에서 정량적으로 반영해야 한다. 둘째, 현행 지급여력 규제체계에 사이버 리스크 특성을 반영하여 보고 지연 효과와 두터운 꼬리 위험을 관리할 수 있는 기준이 검토될 필요가 있다. 셋째, 사이버 리스크를 인수하는 소형 보험사에 대한 충격 완화를 위해 공동재보험 체계가 필요할 수 있다.

빈 최근 대형 통신사로의 해킹 사태에서도 관찰할 수 있듯이 중대한 사이버 공격은 단일 기업, 산업을 넘어서서 사회 전반에서의 막대한 비용을 초래할 수 있다. 사이버 보험은 단순한 위험 전가 수단을 넘어, 기업의 복원력을 강화하고 사회적 안정성을 높이는 핵심 금융 인프라로 역할을 할 수 있으며, 이제는 제도적 차원에서 사이버 보험시장을 활성화하기 위하여 더 많은 공론의 장이 필요하다.

8. 참고문헌

· Ai, J., and Wang, T. (2023). Exploring Cyber Risk Contagion-A Boundless Threat. Variance, 16(1).

· Aldasoro, I., Gambacorta, L., Giudici, P., and Leach, T. (2022). The drivers of cyber risk. Journal of Financial Stability, 60, 100989.

· Awiszus, K., Bell, Y., Luttringhaus, J., Svindland, G., Voß, A., and Weber, S. (2024). Building resilience in cybersecurity: An artificial lab approach. Journal of Risk and Insurance, 91(3), 753-800.

· Bermudez, L., Ferri, A., and Guillen, M. (2013). A correlation sensitivity analysis of non-life underwriting risk in solvency capital requirement estimation. ASTIN Bulletin: The Journal of the IAA, 43(1), 21-37.

· Biener, C., Eling, M., and Wirfs, J. H. (2015), Insurability of Cyber Risk: An Empirical Analysis. The Geneva Papers on Risk and Insurance-Issues and Practice, 40(1), 131-158.

· Eling, M., and Jung, K. (2020). Risk aggregation in non-life insurance: Standard models vs. internal models. Insurance: Mathematics and Economics, 95, 183-198.

· Eling, M., and Schnell, W., "What do we know about cyber risk and cyber risk insurance?," The Journal of Risk Finance 17(5) (2016): 474-491.

· Eling, M., and Schnell, W. (2020). Capital requirements for cyber risk and cyber risk insurance: An analysis of Solvency II, the US risk-based capital standards, and the Swiss Solvency Test. North American Actuarial Journal, 24(3), 370-392.

· European Insurance and Occupational Pensions Authority. (2023). Methodological priciples of insurance stress testing.

· Florackis, C., Louca, C., Michaely, R., and Weber, M. (2023). Cybersecurity risk. The Review of Financial Studies, 36(1), 351-407.

· Healey, J., Mosser, P., Rosen, K., and Tache, A. (2018). The future of financial stability and cyber risk. The Brookings Institution Cybersecurity Project.

· Hillairet, C., and Lopez, O. (2021). Propagation of cyber incidents in an insurance portfolio: counting processes combined with compartmental epidemiological models. Scandinavian Actuarial Journal, 8, 671-694.

· Hillairet, C., Lopez, O., d'Oultremont, L., and Spoorenberg, B. (2022). Cyber-contagion model with network structure applied to insurance. Insurance: Mathematics and Economics, 107, 88-101.

· Kaffenberger, L., and Kopp, E. (2019). Cyber risk scenarios, the financial system, and systemic risk assessment. Carnegie Endowment for International Peace.

· Ros, G. (2020). The making of a cyber crash: a conceptual model for systemic risk in the financial sector. ESRB: Occasional Paper Series.

· Welburn, J. W., and Strong, A. M. (2022). Systemic cyber risk and aggregate impacts. Risk Analysis, 42(8), 1606-1622.

· World Econoimc Forum. (2016). Understanding systemic cyber risk. Global Agenda Council on Risk & Resilience, White Paper.

· Xu, M., Sun, H., and Zhao, P. (2025). Bayesian Nowcasting Data Breach IBNR Incidents. Variance, 18.