Founded in 1807, JohnWiley & Sons is the oldest independent publishing company in

1. Identify
Key risks to the organization
2. Understand
Causes and root causes of these key risks
3. Recycle
KPIs and KCIs that can be treated as KRIs
4. Define
Missing metrics of key risk drivers
5. Design
Data capture, frequency, thresholds and reporting governance
6. Validate
The preventive nature of KRIs
5
Chapelle, A. (2014) “Six steps for preventive KRIs.” Operational risk, risk.net.

---

CHAPTER
15
Risk Reporting
T
his chapter presents the principles of reporting and the types of content that are
common in risk reporting in financial institutions. It explores the main challenges
of reporting on non-quantitative data, presents options to address risk aggregation and
gives examples of conduct reporting. Finally, it proposes solutions to deal with the
heavy tail nature of operational losses while turning data into reporting stories.
G O L D E N R U L E S O F R E P O R T I N G
Except for regulatory reporting, which is a mandatory requirement, firms should
consider a few golden rules for efficient reporting:
■
The value must exceed the cost of collection: there is no point collecting and
reporting information when the cost is greater than the intrinsic value of the
information.
■
Know how you will use the information: if you have a clear purpose – usually to
help make or confirm a decision – it helps you decide whether the information is
worth knowing.
■
Reporting influences decision-making, even if the decision is to confirm the status
quo. Rule 3 connects rule 1 and rule 2; a piece of information is valuable if it
influences decision-making, even if the decision is that the findings are good and
nothing needs to change.
These rules are variations of the “so what?” approach to reporting, ensuring that every-
thing reported has a purpose.
T Y P I C A L C O N T E N T O F R I S K R E P O R T I N G
Reporting packs in operational risk commonly include the following:
1.
Incident reporting: this covers number and size of events, and trends and top loss
events. Monthly reporting is the usual frequency, although some firms do it weekly,
but I believe that’s too much and unnecessarily time-consuming, unless it’s in a
large bank.
157
Operational Risk Management: Best Practices in the Financial Services Industry, First Edition.
Ariane Chapelle.
© 2019 John Wiley & Sons Ltd. Published 2019 by John Wiley & Sons Ltd.

---

158
RISK MONITORING
2.
Top risks (usually ten): these are reported to the board and to the risk commit-
tee. Whether the organization actually does something about these top ten risks
is a different matter: the more mature the organization, the more it acts on risks
assessed above risk appetite. Poor practice, still too common, is to go through risk
reporting with very little decision-making; as a CRO commented once: “Are we
taking decisions here, or are we looking at pictures?”