インサイダー検出：不正なトランザクションの検出アルゴリズムとパターン

インサイダーは取引所でどのように正確に行動しますか？ 彼らの取引は、会社（一般または財務ディレクター）での位置に依存しますか、インサイダー行動は時間とともに変化しますか（たとえば、2008年の危機の影響を受けましたか）？



ジョージア工科大学の研究者グループは、1986年から2012年にかけて37万人のインサイダーが行った1,200万件の取引に関するデータに基づいて調査を実施しました。 この作業の目的は、規制当局が違法なインサイダー取引を検出して抑制することにより、株式市場におけるプレイヤーの行動パターンを特定することでした。 このドキュメントの主なポイントに注目してください。

インサイダー取引とは

一般に受け入れられている定義によれば、インサイダー取引は、その中の攻撃者の位置または役割のために企業内で得られた情報に基づいた金融商品および利益との取引と見なされます。 インサイダー取引は、流動性を低下させ、経済参加者同士の相互信頼を損なうため、金融市場に有害であると考えられています。 さまざまな国の当局は、インサイダー取引に積極的に取り組んでいます。



ただし、取引所でインサイダーによって実行されるトランザクションのほとんどはまったく違法ではありません。 「インサイダー」の中には、会社の取締役、マネージャー、株主がいます。 これらの人々は、原則として、証券取引所で取引する権利を持っています;インサイダー取引は、重要な非公開情報が取引の委任を決定するための基礎として使用される場合にのみ違法になります。



さまざまな国では、インサイダーが取引について報告することを要求するあらゆる種類のルールがあります。 そして、かなりの数の取引が行われた場合、それらの間で違法取引の説明に該当する取引を特定することは決して容易ではありません。

データマイニングによる救助

研究者は、データマイニング手法を使用して問題を解決することにしました。 上記のように、データセットには、1986年から2012年までに37万人以上のインサイダーが完了した、米国の取引所での1,200万件を超える取引に関する情報が含まれています。 データベースはSQLiteに保存され、データの総量は5.61ギガバイトでした。

インサイダー	370 627
企業	15 598
取引	12 360 325
販売中	3 206 175
購入する	1 206 038

データセットの各レコードは、インサイダーの名前と会社、取引価格、会社の人の役割、およびそれに関する情報（経済部門と住所を含む）のフィールドで構成されます。 さまざまな位置を示す多数の定義とコードがありますが、明確な階層はありません。 したがって、インサイダーは、ドキュメント内で自分の位置の誤った説明を誤ってまたは意図的に示す可能性があり、これにより取引のさらなる分析が複雑になります。



研究者は、それぞれが密接に関連する位置のコードを組み合わせた4つの指定を導入することにより、この問題を解決しました。

• CEO-CEO;
• CFO-CFO;
• D-ディレクター;
• GSは別のリーダーです。

図1と図2は、インサイダーが所属する企業の数とそれらが完了した取引の数の累積分布を示しています。 原則として、インサイダーは少数の企業に関連しており、特に大規模なトランザクションを行うことはありませんが、多くの組織に関連して大量のトランザクションを行う少数の人々もいます。







図 1：インサイダーが関係する企業数の経験的累積分布関数







図 2：インサイダーによって実行されたトランザクション数の経験的累積分布の関数（X軸は対数目盛です）

なぜこのような分析が必要なのですか

インサイダー取引の分析は、たとえば次のようなさまざまな観点から役立ちます。

• リスクを理解する -いくつかの異なる研究により、会社の株式を売買する経営陣は、株式市場での購入または販売によって決定されるコアビジネスについて決定を下すことが判明しています。 たとえば、株式を購入しようとするそのようなゼネラルディレクターは、会社の特定の問題について話すプレスリリースの発行に貢献できます。これにより、株式の価格が下がり、貯蓄に役立ちます。 そして、もし彼が株を売りたいなら、逆に会社のニュースの流れは過度にポジティブになる可能性があります。
• 詐欺および違法取引の検出 -マイニングデートテクニックを使用すると、インサイダー取引の可能性を識別できます。その目的は、会社の投資家をだますことです。

株式市場インサイダーパターン

研究者は、株式市場でのインサイダー取引の合法性または違法性に影響を与える重要な要因について2つの仮説を立てました。 これらの最初のものは時間係数です。 インサイダーが重要な企業ニュースの前後の期間に高い確率で取引を行う場合、操作を完了する決定は、他の市場参加者が利用できない情報の知識によって決定されます。 数年連続して同じ月に取引が常に行われる場合、おそらく金融商品のポートフォリオの単純な多様化について話しているでしょう。 2番目の重要な要因は、トレーダー間の関係です。 インサイダーのネットワークが同じように取引されている場合、彼らは互いに情報を共有している可能性が高いです。



これらの仮定に基づいて、提案された分析アルゴリズムが構築されます。 まず、トランザクションの時系列の傾向を調査します。 多くの要因が取引の時間に影響を与えるため、それらに関する情報は、取引の種類、会社のインサイダーの役割のコード、および会社の経済のセクターに分けられます。



トランザクションタイプの分析により、興味深いパターンがいくつか明らかになります。 たとえば、インサイダーは多くの場合、購入ではなく株式を売却します。これは、多くのマネージャーが、たとえば会社のオプションなどを通じて仕事の株式を受け取るためです。 したがって、インサイダーは多くの場合、有価証券のポートフォリオのバランスをとるために株式を売却します（図4）。







図 4：さまざまな種類の取引の分布図（販売-売却、購入-購入、助成-実装を通じたインサイダー株の受け取り、例えばオプションの受け取り）



さらに、社内でさまざまな地位にあるインサイダーも、さまざまな方法で取引所で取引しています（図5）。 CEOの行動はより不安定です。たとえば、利用可能なデータセットでは、2003年以降、アメリカのCEOは株を積極的に売却し、2008年以降は取引を停止したことが取引で示されています。 逆に、同社の株主側の営業活動は、2008年の金融危機の前夜にのみ増加し始めました。







図 5：社内のインサイダーの役割による取引の内訳



特定の企業を表す貿易の活動と経済の範囲に影響を与えます。 たとえば、テクノロジー企業の株式はより頻繁に売買されます。 興味深い点は、このタイプの株式の取引の活動の傾向が図4の販売スケジュールと一致することです（相互相関係数p <0.1）-これは、そのような企業（その中に多くのスタートアップがあります）が従業員の報酬に自分の株式を含めるという事実によるものです







図 6：経済部門別の取引の内訳



次に、特定のトランザクションシーケンス内のパターンを調べました。 インサイダーのどの部分が購入後に株式を売却し、誰がさらに売買を続けますか？ これらの質問に答えるには、連続するトランザクション間のトランザクションの間隔を分析する必要があります。



インサイダーが購入後に株式を売却した場合、この組み合わせは売却後購入と呼ばれ、S→Pと表示されます。 次の3つのタイプは、購入後販売（購入と販売、P→S）、販売後販売（販売と販売、S→S）、および購入後購入（購入と購入、P→P）として説明されています。 。 視覚化グラフにより、S→PおよびP→SパターンはP→PおよびS→Sペアよりも一般的ではないことがわかります。 これは、多くのインサイダーが仕事のために株式を与えられている従業員であるという事実によって説明することができます。







図 7：同じタイプの連続するトランザクション間の時間：P→PおよびS→S



インサイダーは、自分の手でより多くの株式を蓄積したい場合があります。







取引P→SとS→Pの最高間隔は約180日です。 同時に、この間隔内にあることが判明したS→PおよびP→Sペアの取引は、ケースの45％で利益を上げ、それ以外の取引は70％の利益を上げます。

取引と株価の相関関係の分析

特定のインサイダーのセットが、他の入札者がアクセスできない情報を使用してトランザクションを実行することを合理的に想定することは可能ですか？ これを行うには、インサイダーが特定の会社Cの株式と行ったすべての取引を調査し、取引当日の取引終了時のその会社の株価と比較する必要があります。



インサイダーがTPで取引を行い、CPの終値が明らかに高い場合、またはインサイダーがTPで株式を売却し、CPの終値が厳密に低い場合、そのような取引は「通知」される場合があります。高いときに売る。



別の問題は、特定の人の認識レベルをどのように決定するかです。 つまり、トランザクションの肯定的な結果が単なる運ではないことを確認する方法です。 これは、アルゴリズム1を使用して実行できます。

アルゴリズム1

最初に、空のセットTが作成され、そこにインサイダートランザクション値で構成される別のセットが挿入されます（行1）。 次に、各トランザクションを1つずつ調べます（2〜19行目）。 まず、各インサイダーI（3行目）および株を取引した各会社（4-18行目）に対してs _iのセット_が作成されます。 トランザクションのセットは、同じ日に発生し、同じタイプ（販売または購入）で同じ価格であった場合、「スプリット」（スプリット）と呼ばれます。 一連のトランザクションが壊れていると認識された場合、すべての操作が要約され、1つのトランザクションと見なされます（5行目）。



次に、終値とドルの量（取引量に終値を乗じたもの）が決定されます-6〜7行目。 インサイダーに取引を完了するよう促した「シグナル」を見つけることが重要です。 これを行うには、各トランザクションを正規化する必要があります。 これを行うには、正規化された値が必要です。売買された株式数に価格を掛け、ドルのボリュームで割った値です。 通常、この比率は0より大きく1未満です。計算後、取引価格は終値と比較されます。 インサイダーが終値と比較して価格が低いまたは高いときに売買する場合、比率の値がセットs _iに追加されます（行9〜18）-この値は「シグナル」と呼ばれます。 データセットに多くのシグナルトランザクションがある場合、これは疑わしいです。 さらに、 Bonferroni補正を使用して、誤った信号結果の数を補正します。







研究者が利用できるデータセットのアルゴリズムを開始した後、彼は統計的に有意な結果を達成できる29人のインサイダーを返しました。

インサイダーのネットワークを構築する

さまざまな企業のインサイダーが、重要な企業情報にアクセスできる他の人々とネットワークを形成して、取引所での取引のためにそのようなデータを共有できると想定できます。 誰がそのようなネットワークに入るかを決定するには、インサイダーがノードになるグラフを作成する必要があります-エッジは、取引で同様のパターンに従う人を接続します。 このようにして、情報を交換するという合理的な仮定を立てることができます。



インサイダーの振る舞いがどれほど似ているかを理解するために、類似関数を作成する必要があります。この関数の入力は、同じ会社のインサイダーである2つの比較トレーダーのトランザクション時間に関する情報を提供し、タイミングの類似性のレベルを示す特定の値を出力で提供しますこれらの操作。



会社CのインサイダーであるトレーダーTのトランザクションは、セットT _c = {t ₁ 、.....、t _m }で表されます。ここで、t _jはトランザクションの日付です。 このトレーダーは複数の会社のインサイダーかもしれませんが、Tcにはこの組織の株式に関連する取引に関するデータが含まれています。 インサイダーのネットワークを構築する手順は、アルゴリズム2で説明されています。

アルゴリズム2

それはすべて、空のネットワークGの形成から始まります。その後、各会社の株式について、すべての取引日がすべての可能なインサイダーのペアと比較されます。 つまり、各企業Cについて、取引のセットは、この企業CのインサイダーであるトレーダーXおよびYの各ペアの日付x _cおよびy _cと比較されます。少数のトランザクションを持つインサイダーの分析から除外するには、完全な数のトランザクションを持つインサイダーのみが考慮されますh _z以上。 次に、類似性関数は次のようになります。







ここで、I（x、y）は、x = yの場合は1、それ以外の場合は0を返す関数です。 インサイダーXとYが常に同じ日付で取引する場合、S（x _c 、y _c ）は1に等しく、共通の取引日がない場合は0です。 x _cとy _cの類似性がしきい値hmより大きい場合、インサイダーXとYのそれぞれのノードをネットワークGに含め（それらがまだそこに表されていない場合）、それらの間にエッジを作成します。







次の表は、単純な販売および購入ネットワークのオプションを示しています。 両方のネットワークには同じ数のノード（インサイダー）がありますが、Purchaseネットワークにはより多くのエッジがあります-より多くのトレーダーが貿易で類似しています。 同時に、SaleネットワークにはPurchaseネットワークよりも多くの関連コンポーネントがあります。







図 9：販売ネットワークの接続コンポーネントの例、インサイダーはさまざまな形式のクラスターを形成します



次に、接続されたコンポーネントの次元、つまり、コンポーネント内のインサイダーの数を調べます。 以下の図は、特定のサイズの接続コンポーネントの分布を示しています。 それらのほとんどのサイズが2であることがわかります。これは、ネットワーク上のほとんどのトレーダーが通常同じ日にトランザクションを実行しないことを示しています。 ただし、購入ネットワークにはまだ主要な関連コンポーネントがあります。







研究者によって発見された関連トレーダーの最大の要素-彼らは電気会社の株式を取引しました



インサイダーは、複数の企業のインサイダーである場合があり、これらの各企業のインサイダーとの交換に関するアクションにいくつかの類似点があります。 この場合、図9の三角形のように、いくつかの企業が結合されたコンポーネントと見なされます。



同じ位置にいるインサイダーがそのようなコンポーネント内に統合されているかどうかを理解することも重要です。 次の図10は、ロールペアのすべての組み合わせを示しています（たとえば、CEOとCFOの間のrib骨、CEO-CFO）。 たとえば、両方のネットワークで、インサイダーがCEOである場合、別の会社の別のOOに接続されている可能性が高いことがわかります。 これは興味深い点です-CEOは企業の階層の最上位にいますが、そのようなトップマネージャーはそれほどランクの低いインサイダーとやり取りする傾向があることがわかります。 同時に、中間レベルのインサイダーは、同様の地位の人々とより頻繁に関連付けられています。 これはすべて、インサイダー情報交換の垂直および水平の両方の流れの存在を示しています。







インサイダー取引における同様の振る舞いの恒常性も分析されます-最後と最初の同様の取引の日数の差が計算されます。 以前は、h _zはレベル5に設定されていたため、インサイダーには少なくとも5つの類似したトランザクションが必要です。 この分析の結果を以下に示します。







最後に、インサイダーとそのネットワークネイバーの集合的挙動が研究されます。 インサイダーとそのネットワークネイバーが特定の日に同じ操作を実行したという情報に加えて、これらの日の何時に発生したかに関するデータが分析されます。

ネットワーク情報の異常検出

販売および購入ネットワークのさらなる分析のために、各ノードが他のネットワークにどのように接続されているかを評価することは論理的なようです。 ただし、各ネットワークには1000を超えるノードがあるため、このような分析を行うことは困難です。 他のすべての要素と区別する特定の基準に基づいて、特定の数の潜在的に「興味深い」ノードに注目する方が論理的です。



分析は、エゴネットのレベルで実行されます。エゴは特定のネットワークノードであり、対応するエゴネットワークは、エゴとその直接の隣接ノードから分離されたサブグラフです。 このアプローチにより、通常の重み付きグラフで異常を見つけ、簡単に解釈できる結果を得ることができます。 このために、2つのメトリックが各自我ネットワークに割り当てられます：自我Vの近隣の数（度）と自我ネットワーク内のエッジの数Eu（ここで、uは自我です）。



多くの実際のネットワークでは、V _uとE _uの間に電力関係がなければなりません。 ネットワークの販売と購入では、V _uとE _uの関係に電力依存性があります。 次の図で、べき乗則の赤い線は、各データセットの最小二乗中央値です。







この赤い線は、異常を識別するためにノードを比較する基準です。 y _uがeGet uのエッジの数であり、f（X _u ）がべき法則に従ってそのようなエッジの予想数である場合、eGet uにx _uノードがある場合、ノルムからのノードuの距離は次のように計算されます：

重要な注意事項

このようなインサイダーの行動のネットワーク分析により、他の方法では検出が困難な、明白ではない興味深い事実を明らかにすることができます。 たとえば、Saleネットワークのインサイダーの長いチェーンを見ると、一見すると、これらは相互に接続されていない企業のインサイダーであるように見えます。 しかし、よく見ると、彼らはすべて同じ投資会社で働いており、最初はインサイダーと関係があると思われる企業の利益のために行動することができます。 この方法で、隠れた接続を見つけることができます。







この研究はまた、同じ家族のインサイダーがしばしば同様の方法で取引することを示しました。 ネットワークで直接接続されているインサイダーの約7％は同じ姓を持っています。 これらのインサイダーのサブセットの手動検証は、それらが本当に親relativeであることを示唆しています。



また、研究者は興味深い異常構造を発見することができました。 説明されている方法は、すべてのノードの共通パターンとは異なる近傍またはエゴネットが異なるノード（またはエゴ）をマークします。 次の図は、Purchaseネットワークとその近隣からのそのようなノードの1つを示しています。 真ん中の赤いエゴは他のすべてのノードに接続されています。 リブの厚さは、類似度関数の大きさに比例します。 つまり、ラインが太いほど、2人の対応するインサイダーの交換の動作が類似します。







この特定のケースでは、赤でマークされたインサイダーはすぐに3つのグループに接続されます-この人は実際に特定の会社の人々のグループのインサイダートランザクションを実行するためにいくつかの仲介機能を実行すると想定できます。