Founded in 1807, JohnWiley & Sons is the oldest independent publishing company in

Classic KRI
Recommended
# sick days
■
Number of/% rise in short leave (Mondays and
Fridays) – signal of absenteeism
■
Number of long-term sick leave (
>
3 months)/in
small teams – risk of overstretch of resources
% downtime
■
# of systems interruption
>
x minutes in a row over
the last 3 months (x depending on the nature of the
activity)
# vulnerabilities
■
# critical vulnerabilities unpatched within policy
deadlines
Turnover rate
■
# of talent/high potential staff resigning over the
last 3 months (lagging but more specific)
■
leading: # talented individual underpaid/without
substitute/unmanaged/expressing dissatisfaction
at work
# recommendations
following a penetration test
# delays in actions plans following the penetration test
# customer
complaints
# customer complaints unresolved within x days (x
depending on the firm’s policy and tolerance for
customer dissatisfaction)
V A L I D A T I O N K R I F R A M E W O R K
The validation stage is essential to maintain a reliable and valuable set of KRIs.
A number of advanced organizations, in terms of operational risk, use a simple method
to validate their key risk indicators: their loss-reporting databases include fields to doc-
ument the colors of the related indicators when an incident occurs. A green indicator at
the time of an incident does not say much for its usefulness. And while a red indicator
may prove its worth, it could also reveal a breakdown in governance, since the red
signal did not aid prevention, at least in this example. Conversely, it is useful to check
the situation after indicators have turned red or amber: has it led to events? If not, it can
mean that KRIs are inappropriate, or too strict, or you just got lucky. More positively,
if action was taken to avoid incidents, it can mean that KRIs play their role fully.
Defining preventive KRIs requires continuous effort and is extremely useful for
understanding how operational risk is generated. It helps to address the top challenge
identified for the operational risk function in recent years – namely, management’s poor
understanding of the value of the ORM program.
4
Chapter 16 will explore further ways
to demonstrate the value of operational risk management.
4
22% of respondents to a risk.net survey on the challenges faced by operational risk
function, 2015.

---

Key Risk Indicators
155
S U M M A R Y : F R A M E W O R K F O R P R E V E N T I V E K R I S
To summarize this chapter, Table 14.3 presents a six-step method to identify, design
and validate preventive KRIs.
5
T A B L E 1 4 . 3
Six steps for preventive KRIs