Founded in 1807, JohnWiley & Sons is the oldest independent publishing company in

2. Scenario storyline
3. Relevant internal and external incidents and events
4. Assessment of relevant controls
5. Assessments of impacts, with rationale, for:
■
Assumptions (modeling approach, parameters chosen)
■
Probabilities
■
Range of impacts, direct and indirect (e.g. compensation to customers,
fines and penalties, mark-to-market losses)
6. Intangible impacts
7. Economic sensitivities – to be used for stress testing
8. Remedial actions, if the assessment results lie above risk appetite
V a l i d a t i o n
After the assessment process, scenario lists and assessment values need to be reviewed
and validated internally by independent parties. The validation team assesses the
method and the consistency of the process that has led to the definition of scenarios,
as well as their relevance to the risk and control environment of the business entity to
which the scenarios relate. The function and size of the validation team depends on
the size of the firm. Typically it will be the CRO in small firms, members of a central
risk management function that has not led the process, or internal auditors. Sometimes
an external validation is sought through an independent panel or a third party such as
consultants.
The validation process is mostly based on the documentation from the scenario
identification and assessment workshop, the documentation of the process and method-
ology used, and the results of the assessments.
S c e n a r i o C o n s o l i d a t i o n B a s e d o n C o m m o n I m p a c t
When appropriate, scenarios with similar consequences can be merged into one and
treated and assessed as such, especially for scenarios due to external events. The con-
sequences of damage to an office building, for instance, can be treated the same way
and be part of the same scenario whether the damage or collapse is caused by a ter-
rorist attack, an earthquake or any other reason. Here, the severity assessment is the
same regardless of the cause, and the assessed probability will be the sum of the prob-
abilities of occurrence related to each cause (terrorist attack
+
earthquake
+
default
in construction
+
etc.). Similarly, scenarios leading to IT systems disruptions can be

---

76
RISK ASSESSMENT
grouped together whatever their cause: power surge, water leaks, roof collapse, internal
failure, etc.
After selection, assessment and possibly grouping, the remaining list of scenarios
should contain around 50 scenarios for very large institutions, 15 for mid-size firms and
6–10 for small businesses. The final approved list of scenarios will then be presented to
senior executives and to the board or its risk committee for a final review and sign-off.
M A N A G E M E N T L E S S O N S F R O M S C E N A R I O A N A L Y S I S
Scenario analysis is more about potential response and mitigation than exact probabil-
ity. Grouping scenarios per type of consequence for the organization helps to focus on
impact assessment and mitigation actions, as the ultimate objective of scenario analysis
is to safeguard the organization.
If scenario analysis reveals breaches in the control environment or a risk level
beyond the firm’s comfort zone – in other words, its risk appetite – then scenario find-
ings must lead to action plans for further mitigation.
If the results of scenario assessment are within the limits of the firm’s risk appetite,
then no further action is needed, except to make sure the situation doesn’t change and to
react if it does. Overall, even if the scenario seems unlikely, firms must have a planned
reaction and mitigation. Part 3 presents internal controls, risk mitigation and action
plans in more detail.

---

CHAPTER
8
Regulatory Capital and Modeling
R E G U L A T O R Y C A P I T A L : R A T I O N A L E A N D H I S T O R Y
I N A N U T S H E L L
Financial companies, like households and every economic agent, have two sources of
funding: capital, also referred to as