Founded in 1807, JohnWiley & Sons is the oldest independent publishing company in

parts of a risk management framework.
“The Board is responsible for determining the nature and extent of the significant
risks it is willing to take in achieving its strategic objectives ( . . . ) and should maintain
sound risk management and internal control systems.”
3
Since they are directly named
as responsible for determining risks, board members generally take a keen interest in
defining risk appetites. But this is easier said than done, and many firms or institutions
struggle with both the concept and its practical application.
Defining a risk appetite means assessing all the possible risks facing an orga-
nization, establishing the boundaries for acceptable and unacceptable incidents, and
1
The Cadbury report in 1992, the Turnbull report in 1999 and the Walker Review in 2009, to
name a few.
2
The Committee of Sponsoring Organizations of the Treadway Commission.
3
“A Review of Corporate Governance in UK Banks and Other Financial Industry Entities,”
Walker report, 2009.
37
Operational Risk Management: Best Practices in the Financial Services Industry, First Edition.
Ariane Chapelle.
© 2019 John Wiley & Sons Ltd. Published 2019 by John Wiley & Sons Ltd.

---

38
RISK ASSESSMENT
creating the necessary controls that these limits require. Done thoroughly, risk appetite
definition may lead to difficult conversations and highlight painful truths, such as inner
contradictions about what an organization officially states and what is happening in
reality. Unsurprisingly, some dread the exercise. Yet, one of the key roles of the risk
function is to provide conceptual and methodological assistance to define risk appetite.
Once the risk appetite is defined, the risk function is responsible for monitoring risk
exposure and ensuring that it is consistent with the risk appetite. It must advise on all
important business decisions and challenge unacceptable risks.
4
In addition to a reluctance to uncover inner contradictions, there is another reason
why risk appetite struggles for acceptance – namely, the suggestion of “appetite.” Why
would you have an
appetite
for risk? Even more so for operational risks, perceived by
so many as being purely downside risks? Many prefer the term “risk tolerance,” or
for some, “risk acceptance.” Regardless of semantics, we believe it is a common, yet
fundamental, flaw when financial firms fail to recognize the business revenues that can
be generated by taking prudent operational risks.
R E W A R D : T H E M I S S I N G P I E C E O F R I S K A P P E T I T E
When choosing an investment portfolio for pensions or savings, we balance the
expected portfolio returns with the risk of volatility: the bigger the volatility, the larger
the possible upside, bringing capital gains, but also the larger the possible downside,
bringing losses. Some will choose bigger risks in the hope of larger profits, and some
will feel more comfortable with less risk for correspondingly smaller returns. When
considering a loan to corporates or individuals, a bank will either calibrate its interest
rate with the risk of debtor default or reject the loan altogether if the perceived risk of
default is beyond its tolerance. Some banks will be very conservative in their lending
policy, while others will accept subprime customers and shaky businesses because
the revenues that these clients bring to the bank (as long as they don’t default) are
significantly larger than the revenues generated from lending to solid businesses and
affluent individuals. In other words, it’s a calculated risk.
Credit risk and market risk have clearly defined returns in the form of credit mar-
gin and capital gains, and the tradeoff between risk and return is well understood by
financial institutions. Banks never struggle to write a credit risk policy, which is another
name for a risk appetite statement for credit risk, or to establish a market risk policy,
which is the same thing as a risk appetite statement for market risk. So, why does it
seem so difficult for operational risk? Because financial institutions thrive on taking
credit risk and market risk, or underwriting risk in the case of insurance companies,
but consider operational risk as an annoyance when it is small, a scary threat when it is
4
Chapelle, A. and Sicsic, M. (2014) “Building an invisible framework for risk management,”