Hva er cyber insurance reserve release?

Cyber insurance reserve release er et begrep som beskriver en situasjon der et forsikringsselskap reduserer mengden penger det tidligere har satt av til å dekke fremtidige krav fra cyberforsikringspoliser. Forsikringsselskaper er pålagt å opprettholde reserver for å sikre at de kan betale erstatninger når skader oppstår. Disse reservene beregnes av aktuarer basert på statistiske modeller, historiske data og forventninger om fremtidige tap. Når de faktiske tapene viser seg å være lavere enn de avsatte reservene, kan selskapet frigjøre overskuddet. Denne frigjøringen blir regnskapsført som en inntekt og kan forbedre selskapets resultat betydelig.

For aksjeinvestorer er cyber insurance reserve release interessant fordi det direkte påvirker bunnlinjen til forsikringsselskaper. En reservefrigjøring kan føre til høyere rapportert overskudd, noe som ofte driver aksjekursen opp på kort sikt. Samtidig må investorer være oppmerksomme på at frigjøringen ikke nødvendigvis gjenspeiler en varig forbedring i forsikringsvirksomheten. Det kan like gjerne skyldes at selskapet tidligere var for forsiktig i sine anslag, eller at markedet for cyberforsikring er i endring.

I Norge har cyberforsikring blitt stadig viktigere, særlig etter flere høyprofilerte dataangrep. Selskaper som Gjensidige og If tilbyr cyberdekning til norske bedrifter. Reservefrigjøringer i disse selskapene kan påvirke aksjekursene på Oslo Børs, og det er derfor nyttig for investorer å forstå mekanismene bak.

Forstå cyber insurance reserve release

For å forstå cyber insurance reserve release må man først forstå hvordan forsikringsreserver fungerer. Når et forsikringsselskap tegner en cyberforsikringspolise, mottar det en premie fra kunden. En del av denne premien settes av som reserve for å dekke fremtidige erstatningskrav. Reservene beregnes på grunnlag av forventet skadefrekvens og skadeomfang, justert for usikkerhet. Jo høyere risiko selskapet oppfatter, desto større reserver setter det av.

Cyberforsikring er spesielt utfordrende fordi risikobildet endrer seg raskt. Nye typer angrep, som løsepengevirus eller datalekkasjer, kan føre til store tap. Samtidig har forsikringsselskapene blitt flinkere til å vurdere risiko og sette inn forebyggende tiltak. Når et selskap opplever at de faktiske skadene over tid er lavere enn reservene, kan det beslutte å frigjøre en del av reservene. Dette kalles reserve release.

Det er viktig å skille mellom reserve release og kontantstrøm. Reservefrigjøring er en regnskapsmessig justering som ikke nødvendigvis innebærer at selskapet får inn mer penger. Pengene var allerede i selskapets balanse, men var klassifisert som en forpliktelse. Når reservene reduseres, blir forpliktelsen mindre, og egenkapitalen øker tilsvarende. Dermed forbedres resultatet uten at det har skjedd en faktisk innbetaling.

For investorer er nøkkelspørsmålet om reservefrigjøringen er et tegn på styrke eller svakhet. En frigjøring som skyldes bedre risikostyring og færre skader, er positivt. Men hvis frigjøringen kommer fordi selskapet senker reservekravene for å pynte på resultatene, kan det være et faresignal. Derfor bør man alltid lese noteinformasjonen i regnskapet for å forstå årsakene.

Hvordan fungerer cyber insurance reserve release?

Prosessen med cyber insurance reserve release starter med en grundig aktuarmessig vurdering. Forsikringsselskapets aktuarer analyserer skadehistorikk, trender i cybertrusler, endringer i porteføljen og andre relevante faktorer. De sammenligner de opprinnelige reserveanslagene med faktiske utbetalinger og påløpte, men ikke rapporterte skader (IBNR). Hvis analysen viser at reservene er høyere enn nødvendig, anbefales en reduksjon.

Beslutningen om å frigjøre reserver må godkjennes av selskapets ledelse og revisorer. I Norge reguleres forsikringsreserver av Finanstilsynet, som stiller krav til at reservene skal være tilstrekkelige. Selskapet må kunne dokumentere at frigjøringen er forsvarlig. Deretter føres frigjøringen som en inntekt i resultatregnskapet, ofte under posten «Andre inntekter» eller som en reduksjon i erstatningskostnader.

Regnskapsmessig påvirker reservefrigjøringen både resultatet og balansen. Resultatet øker med frigjort beløp, mens balansens forpliktelsesside reduseres. Egenkapitalen øker tilsvarende. Dette kan forbedre sentrale nøkkeltall som egenkapitalavkastning (ROE) og combined ratio. Combined ratio, som måler forholdet mellom erstatningskostnader og premier, blir lavere når reservene frigjøres, noe som indikerer bedre lønnsomhet.

Et praktisk eksempel: Anta at et norsk forsikringsselskap har en cyberportefølje med totale reserver på 500 millioner kroner. Etter en ny aktuarmessig vurdering konkluderer man med at 450 millioner kroner er tilstrekkelig. Selskapet frigjør da 50 millioner kroner. Dette beløpet føres som en inntekt i kvartalsresultatet. Hvis selskapet ellers hadde hatt et driftsresultat på 100 millioner kroner, øker reservefrigjøringen resultatet til 150 millioner kroner – en økning på 50 prosent.

Historisk bakgrunn

Cyberforsikring er en relativt ny forsikringsform. De første polisene dukket opp på slutten av 1990-tallet, men markedet tok først av etter store datainnbrudd som Target (2013) og Equifax (2017). Frem til 2020 økte premiene kraftig, ettersom selskapene priset inn økt risiko. Ifølge en rapport fra Munich Re vokste det globale cyberforsikringsmarkedet fra under 10 milliarder dollar i 2021 til 11,9 milliarder dollar i 2022.

I 2023 og 2024 snudde trenden. En rapport fra Yahoo Finance viste at cyberforsikringspremiene falt med 2,3 prosent til omtrent 7,1 milliarder dollar i 2024. Dette var første gang premiene gikk ned. Årsakene var flere: bedre sikkerhetspraksis hos bedrifter, økt konkurranse mellom forsikringsselskapene, og færre store cyberangrep enn fryktet. Samtidig hadde mange selskaper bygget opp store reserver i de foregående årene.

Når premiene faller og skadebildet bedres, oppstår det et naturlig press for å frigjøre reserver. Forsikringsselskapene må justere sine forutsetninger. Dette har ført til flere tilfeller av cyber insurance reserve release de siste årene. For investorer har dette gitt kortsiktige gevinster, men også skapt usikkerhet om hvorvidt inntjeningen er bærekraftig.

I Norge har cyberforsikring blitt mer utbredt, men markedet er fortsatt lite sammenlignet med andre land. Store norske selskaper som Telenor og DNB har egne cyberforsikringer, og forsikringsgigantene Gjensidige og If tilbyr dekning til både små og store bedrifter. Reservefrigjøringer i disse selskapene kan påvirke Oslo Børs, særlig hvis de er større enn forventet.

Praktisk eksempel

La oss ta et tenkt eksempel med det norske forsikringsselskapet Norsk Cyberforsikring AS (NCF). Selskapet har en portefølje av cyberpoliser til mellomstore bedrifter. Ved utgangen av 2023 hadde NCF avsatt 200 millioner kroner i reserver for forventede krav i 2024. Reservene ble beregnet basert på en forventet skadefrekvens på 5 prosent og en gjennomsnittlig erstatning på 2 millioner kroner per krav.

I løpet av 2024 opplevde NCF kun 3 skader, langt færre enn de 10 som var forventet. De totale utbetalingene ble 4,5 millioner kroner, mot budsjetterte 20 millioner. Ved årsslutt gjennomgikk aktuarer reservene og fant at de gjenstående forpliktelsene kun var 10 millioner kroner. Dermed kunne NCF frigjøre 185,5 millioner kroner av reservene (200 – 10 – 4,5).

Effekten på resultatet var dramatisk. Uten reservefrigjøring ville NCF hatt et underwriting resultat på omtrent 15 millioner kroner (premier på 100 millioner minus erstatninger på 4,5 millioner og driftskostnader på 80,5 millioner). Med reservefrigjøringen ble resultatet 200,5 millioner kroner. Aksjekursen steg 15 prosent på dagen da resultatet ble offentliggjort.

Dette eksemplet illustrerer både mulighetene og fallgruvene. Investorer som kun så på resultatveksten, kunne bli fristet til å kjøpe aksjen. Men en grundigere analyse ville avdekket at den underliggende forsikringsvirksomheten kun ga 15 millioner i overskudd, og at reservefrigjøringen var et engangstilfelle. Året etter, med lavere premier og høyere konkurranse, kunne resultatet falle tilbake.

Fordeler og ulemper

Fordelene med cyber insurance reserve release for forsikringsselskaper er åpenbare: det gir et umiddelbart løft i rapportert overskudd, forbedrer nøkkeltall som combined ratio og egenkapitalavkastning, og kan styrke tilliten hos investorer og analytikere. For aksjonærer kan dette gi kortsiktig kursgevinst. I tillegg frigjøres kapital som kan brukes til å investere i vekst eller betale utbytte.

Ulempene er mer subtile, men like viktige. En stor reservefrigjøring kan skjule underliggende svakheter i forsikringsvirksomheten. For eksempel kan selskapet ha tatt for lav pris for risikoen, noe som vil vise seg når skadene øker igjen. Reservefrigjøring kan også føre til at ledelsen blir for optimistisk og reduserer reservene for mye, noe som kan skape problemer ved et fremtidig stort cyberangrep.

For investorer er den største ulempen at reservefrigjøring ikke er en bærekraftig inntektskilde. Når reservene først er frigjort, er de borte. Selskapet kan ikke gjenta denne inntekten med mindre det bygger opp nye reserver som senere frigjøres. Derfor bør investorer justere sine verdsettelsesmodeller for å skille mellom engangsinntekter og gjentagende inntjening.

En annen ulempe er at reservefrigjøring kan skape volatilitet i aksjekursen. Hvis markedet har priset inn forventede frigjøringer, kan skuffende tall føre til kursfall. Omvendt kan positive overraskelser gi kortsiktige oppganger som ikke nødvendigvis reflekterer selskapets langsiktige verdi.

Vanlige misforståelser

En av de vanligste misforståelsene er at cyber insurance reserve release er det samme som kontantstrøm. Som nevnt tidligere er dette en regnskapsmessig justering, ikke en faktisk innbetaling av penger. Selskapet får ikke mer kontanter; det reduserer bare en forpliktelse. Kontantstrømmen påvirkes kun indirekte gjennom lavere fremtidige erstatningsutbetalinger.

En annen misforståelse er at reservefrigjøring alltid er positivt for selskapet. Det kan være et tegn på god risikostyring, men det kan også være et tegn på at selskapet tidligere satte av for mye på grunn av dårlige modeller. I verste fall kan det indikere at ledelsen bevisst overdriver reserver for å kunne frigjøre dem senere og skape et kunstig inntektsløft.

Mange investorer tror også at reservefrigjøring er et signal om at cyberrisikoen er i ferd med å forsvinne. Det stemmer ikke. Cybertruslene utvikler seg stadig, og et enkelt år med få store angrep betyr ikke at fremtiden er trygg. Forsikringsselskapene må kontinuerlig tilpasse seg nye trusler som kunstig intelligens-drevne angrep eller angrep på kritisk infrastruktur.

Til slutt er det en misforståelse at reservefrigjøring kun påvirker resultatet i det kvartalet den skjer. I realiteten kan frigjøringen påvirke fremtidige resultater fordi selskapet nå har lavere reserver å falle tilbake på. Hvis det kommer et stort krav senere, må selskapet kanskje bygge opp reservene igjen, noe som vil redusere fremtidig overskudd.

Oppsummering

Cyber insurance reserve release er et viktig begrep for investorer som følger forsikringsselskaper, særlig i et marked i rask endring. Kort fortalt innebærer det at et selskap reduserer sine avsatte reserver for cyberforsikringskrav, noe som gir et positivt resultatbidrag. For aksjeinvestorer kan dette gi kortsiktige gevinster, men det er avgjørende å forstå årsaken til frigjøringen og om den er bærekraftig.

Historisk har cyberforsikringspremiene først økt kraftig, for så å falle i 2024. Denne utviklingen har skapt flere anledninger for reservefrigjøringer. Norske investorer bør følge med på regnskapene til selskaper som Gjensidige og If, og spesielt se på notene som forklarer endringer i erstatningsreserver.

For å ta gode investeringsbeslutninger bør man skille mellom underliggende driftsresultat og engangseffekter fra reservefrigjøring. En combined ratio under 100 prosent som oppnås uten hjelp fra reservefrigjøring, er mer verdifull enn en som er avhengig av slike justeringer. Ved å forstå mekanismene bak cyber insurance reserve release, kan investorer unngå å bli lurt av kortsiktige resultatsvingninger og heller fokusere på selskapets langsiktige konkurransekraft.