Founded in 1807, JohnWiley & Sons is the oldest independent publishing company in

PART ONE
Risk Identification
1
CHAPTER 1
Risk Identification Tools
3
CHAPTER 2
Scenario Identification Process
13
CHAPTER 3
Risk Definition and Taxonomy
19
CHAPTER 4
Risk Connectivity and Risk Networks
29
PART TWO
Risk Assessment
35
CHAPTER 5
Risk Appetite
37
CHAPTER 6
Risk and Control Self-Assessments
51
vii

---

viii
CONTENTS
CHAPTER 7
Scenario Assessment
63
CHAPTER 8
Regulatory Capital and Modeling
77
PART THREE
Risk Mitigation
93
CHAPTER 9
Operational Risk Governance
95
CHAPTER 10
Risk Mitigation
105
CHAPTER 11
Root Cause Analysis and Action Plans
115
CHAPTER 12
Conduct and Culture
119
PART FOUR
Risk Monitoring
127
CHAPTER 13
Incident Data Collection
129
CHAPTER 14
Key Risk Indicators
141
CHAPTER 15
Risk Reporting
157
CHAPTER 16
Valuable ORM
171

---

Contents
ix
PART FIVE
Rising Operational Risks
179
CHAPTER 17
Project Risk Management
181
CHAPTER 18
Information Security Risks
193
CHAPTER 19
Operational Risks in Cryptocurrencies
207
CHAPTER 20
Resilience and Reputation
221
Conclusion
231
Index
235

---

About the Author
ARIANE CHAPELLE, PhD, is Associate Professor (Honorary Reader) at Univer-
sity College London for the course ‘Operational Risk Measurement for Financial
Institutions’ and is a Fellow of the Institute of Operational Risk and a trainer for
the Professional Risk Managers’ International Association (PRMIA), for whom she
designed the Certificate of Learning and Practice in Advanced Operational Risk
Management. She is a former holder of the Chair of International Finance at the
University of Brussels. She has been active in operational risk management since
2000 and is a former head of operational risk management at ING Group and Lloyds
Banking Group. Dr. Chapelle runs her own training and consulting practice in risk
management. Her clients include Tier 1 financial organisations and international
financial institutions.
xi

---

Foreword
I
t is both a pleasure and an honor to write the foreword of Ariane Chapelle’s
Operational Risk Management
textbook.
Ariane is one of the world’s leading teachers, thinkers and writers about oper-
ational risk. The combination of her professional experience as a practitioner in the
financial services industry, her role as an advisor to regulators, her deep and growing
knowledge of the multilateral financial institutions and her working relationship with
professional risk associations (like PRMIA) gives her a unique perspective over the
evolution of operational risk management practices, a breadth of recognition across
the universe of risk professionals, and a depth of authority which make this textbook a
“must read” at all levels of both regulated and unregulated financial institutions.
As we are fond of saying at the World Bank, there are no spectators in risk.
Everybody has an essential role to play – and while financial or market risk remain
the domain of expertise of a specialized few, operational risk is inherent to the work-
ing lives (not to mention personal lives) of everybody across the enterprise, whether
public or private, financial or non-financial, regulated or unregulated. Operational risk
is now integral not only to problem fixing but also to product design and implemen-
tation, to the deployment of human capital across the globe and across business lines,
and most importantly to risk governance and decision-making at the C-suite level.
In the same way that we deal with risk as part of our everyday life, operational
risk forms an integral part of the everyday life of any enterprise which relies on people,
processes, systems, and engages with both clients and contractors – be it a commer-
cial bank, a manufacturing company, a utility, a medical facility, a university or an
airline. So, as we think about the similarities between operational risk management in
the financial sector and what is simply called risk management in the real sector of the
economy, I believe that Ariane’s textbook will resonate with risk practitioners across a
broad and rapidly expanding universe. Indeed, while commercial banks must be con-
cerned about satisfying their regulators’ requirements, operational risk as a discipline
has moved beyond a purely defensive posture and is being recognized as an impor-
tant contributor to value creation at the strategic level. Good operational risk practices
are essential not only to the good health and sustainability but also to the growth and
long-term profitability of the enterprise.
One of the themes which underlie many of my conversations with Ariane is the
accelerating pace and growing impact of operational risk events and consequently
the rising interest of audit committees, boards and rating agencies. In truth, while
xiii

---

xiv
FOREWORD
catastrophic financial risk events can be debilitating, the attention of regulators since
the global financial crisis and the continued dedication of leadership teams across the
financial services industry seem to have resulted in a reduction in the frequency and
severity of such events. Operational risk events, however, have the potential to become
what some practitioners refer to colloquially as “game over” events. They have already
resulted in significant financial losses in recent years and while there is a need to con-
tinuously review and strengthen operational risk practices across operations, treasury,
financial reporting, loan disbursement, AML/CFT, procurement, vendor risk manage-
ment, IT, cybersecurity, HR and budget functions (just to name a few), an enterprise is
only as strong as its risk culture. In other words, the goal should be to build a strong
learning culture where talent, time and energy are focused not only on responding to
expected risk events and reducing exposure in well-known and well-understood risk
domains but also on learning from unexpected risk events in emerging risk domains.
This require the creation of “safe spaces” for problem solving and the preservation
of open bandwidth to recognize and analyze new threats. It also requires wisdom and
humility, as the leadership team must ensure that the authority to respond is clearly
vested at the most appropriate level of expertise and responsibility within the enterprise.
Finally, Ariane, like me, is an avid reader of psychology, cognitive science and
behavioral economics. She is known by the many people she has worked with for sys-
tematically trying to draw from the latest research and scientific insights regarding
human behavior and decision-making in complex systems with a view toward reducing
the frequency and severity of risk events. Readers will therefore undoubtedly appre-
ciate the fact that her book and the application of her insights and recommendations
can help them, their colleagues, the members of their teams and maybe their bosses
have a positive impact on the enterprise as they strive to improve their batting average
in making small, daily, marginal decisions as well as big strategic ones. Ultimately,
mastering operational risk is about making the enterprise more resilient, better fit for
purpose and more successful in creating value for all its constituents.