Founded in 1807, JohnWiley & Sons is the oldest independent publishing company in

James Reason
5
If we accept human fallibility, we need to rely on well-designed systems to support
us in the workplace and remove error traps wherever possible.
James Reason, Professor Emeritus of Psychology from the University of Manch-
ester, is considered by the healthcare sector to be “the father of patient safety.” He
is a leading researcher and scholar in human error,
6
still active and publishing in the
domains of healthcare safety and aerospace safety. This section highlights different
types of human errors, based on Reason’s work. I suggest how his findings can be
applied for risk mitigation in the financial industry. For further details, interested read-
ers can refer to the academic literature on human reliability analysis (HRA).
T y p o l o g y o f H u m a n E r r o r
It is a puzzle to me to see how little risk managers in the financial industry have
investigated the causes and mechanisms of human error, given how exposed banks
and insurances companies are to it. Maybe it is because in finance people don’t die
when they make mistakes? While the various types of human error are well known
5
J. Reason, “Human error: models and management”, BMJ, 2000 Mar 18; 320(7237): 768–770.
Available on: https://www.ncbi.nlm.nih.gov/pmc/articles/PMC1117770/#
6
His book
Human Error
, published in 1990, had been cited by 11,410 scholarly publications as
of January 2018.

---

Risk Mitigation
111
in transport, emergency services and the energy industry, for example, they are little
known in the banking sector. However, they generate a vast amount of interest when
revealed.
The first difference to be aware of is between slips and mistakes: a slip is an
involuntary error, due to such things as inattention, distraction, noisy environment
or tiredness. Better or more training is typically put forward by risk managers as a
response to human error, but it is not a universal solution, far from it. Responses to slips
should include a better work/business environment, a more appropriate work space,
reduced noise levels, clearer accountabilities and clarity about the consequences of
every action. The type of appropriate response depends on the root cause of the slip
leading to an incident.
Unlike a slip, a mistake is the result of a voluntary action: what Reason calls
“strong, but wrong.” Here, a person intentionally takes action in good faith but it is
the wrong action. Mistakes can be “rule based” or “knowledge based” (Reason, 1990).
Rule-based mistakes are caused by flawed rules, or rules inducing conflicts of inter-
ests. A classic example of a rule-based mistake in financial services is mis-selling to
retail customers due to aggressive commercial incentives by the sales force. It comes
as no surprise that many regulators are tracking conflicts of interest in incentive and
remuneration structures as causes of poor conduct. Here again, lack of training is often
cited as a mitigation measure, but changing the rule, in the case of rule-based mistakes,
makes a lot more sense.
Knowledge-based errors refer to the wrong choice of action when confronted with
a new situation, illustrated by the well-known saying: “for a man with only a hammer,
every problem looks like a nail.” Knowledge-based errors are due to a lack of knowl-
edge, a lack of familiarity with a process, or a lack of training or guidance. In this
case, training is a relevant answer, whether in the form of help files, scripts, escalation
procedures or training on the job.
Finally, the last type of error is violations: in fact, rather than an error, this is
a voluntary misdeed. The person knows the right course of action, knows the rule,
but chooses not to follow it. Supervision is commonly recognized as one of the most
effective ways to mitigate violations, together with culture.
Another important distinction for human errors is the difference between active
errors and latent errors (Reason, 1990). Active errors are perpetrated by the operator:
they are caused by an action such as pressing the wrong button, forgetting to send a
document, keying the wrong amount. Latent errors are invisible as direct causes; they
materialize only when certain actions take place, and are linked to poor process or con-
trol design, flawed rules or erroneous management decisions. In engineering, it might
be two types of screw that could fit in the same plane wings, when only one screw
is appropriate, the other one representing a hazard. In the financial sector, examples
include misconceived sales incentive schemes that lead to internal fraud or mis-selling;
misleading capture screens in equity brokerage; and underinvestment in IT or people,
leading to increased operational risk. There are countless examples for latent errors,

---

112
RISK MITIGATION
but they are almost invisible in superficial analysis of operational risk incidents. This
underlines the importance of root cause analysis for proper diagnosis and proper reme-
diation of incidents. Root cause analysis is presented in the next chapter.
P r e v e n t i o n b y D e s i g n
In risk management in engineering, “human error is a symptom of a safety problem,
not a cause.”
7
In other words, if people make mistakes, it is the fault of the process,
not vice versa. As a risk manager with a food retail process background put it: “There
is no such thing as human errors: they are either poor processes, or processes that are
not followed.” I believe that the financial industry still has some room for progress in
exploring the causes of human errors and preventing errors by design. This would mean
redesigning some of the processes and controls to support the reliability of actions and
to minimize the chance of error. Checklists, strong communication protocols, standard-
ization and better work environments are all part of the solution.
R i s k T r a n s f e r
Risk transfer, like risk avoidance, is another type of mitigation. Insurance is a common
and dependable type of risk transfer; outsourcing is potentially another powerful way
to transfer risk. The validity of risk transfer from outsourcing will depend on why a risk
is transferred and to whom. If it is to reduce costs – like transferring call centers to a less
costly labor environment – then the strategy is more one of risk acquisition (hopefully,
consciously). Conversely, a firm might want to outsource some non-core activities to
better specialist parties: using the services of the best call center provider in the country,
delegating its payment and settlement systems to a prime player, transferring its data
center storage and maintenance to a safe cloud company. In these cases, the costs of the
service may not be cheaper than the in-house solution, but the strategy should result in
a net risk reduction. However, outsourcing is not always considered as a risk transfer
strategy, maybe because important elements such as reputation risk cannot really be
outsourced. Even so, it is arguably similar with external insurance: it can cover losses
from operational incidents, but it can’t repair reputational damage.
External insurance essentially reduces profit and loss volatility: the firm pays a
premium every year for being compensated for damage should certain events materi-
alize. Several firms I know either self-insure small losses via captives, or just absorb the
volatility and take external insurance to cover only very large events. The underlying
assumption is that the insurance premium for small losses will be about equal to, if not
7
Leveson, N. (2011) “Risk management in the oil and gas industry testimony: senate committee
on energy and natural resources”, May. Some of the best pages I ever read in risk management.
Highly recommended.

---