Management of Operational Risks related to Information Security in Financial Organizations

2.11 

 General Risk Management Approach 

As  discussed  earlier,  almost  all  organizations  face  risks,  whether  they  are  financial  risks, 

information risks or operational risks. A generalized procedure to manage risks, consists of five 

stages as shown in below figure; risk identification, risk estimation, risk evaluation, risk response 

and risk monitoring (Baker et al., 1998). 

Controlled Risk Environment 

 

 

Figure 4: Risk Management cycle, source: (Baker et al, 1998)

 

Risk  analysis  phase  consists  of  risk  identification  stage  and  risk  estimation  stage,  this  phase 

identifies  threats  that  comprise  risks  to  the  organizations.  Next  phase  is  risk  evaluation  phase, 

which  evaluates  to  what  extent  the  risk  might  affect the  business.  The  last  phase  is  called  risk 

control phase and it consists of risk response stage and risk monitoring stage. Now it depends on 

the  organization‟s  need  to  decide  how  to  manage  these  risks  and  then  monitor the  preventing 

actions (Baker et al., 1998). 

Risk 

Evaluation

Risk 

Response

Risk 

Monitoring

Risk 

Identification

Risk 

estimation

 

Risk 

Analysis 

phases 

 

Risk 

Control 

Phases 

---

15 

 

It  is  not  affordable  for  companies  to  address  every  threat  to  the  availability  and  security  of  IT 

infrastructure with same  hostility. Even  if they want to  do that  it would not make any  business 

sense.  So  risks  must  be  categorized  and  addressed  according  to  their  probability  to  occur  and 

their priorities. Management actions to alleviate risks must be prioritized with an eye to their cost 

and impending benefits (Applegate et al., 2007). 

In  spite  of  the  fact  that  how  complex  the  risks  within  the  organization,  there  are  four  possible 

approaches  to  manage  risks  which  are:  risk  avoidance,  risk  reduction,  risk  transfer  and  risk 

retention.  Risk avoidance and risk reduction  are referred as risk control  because they  minimize 

the organization‟s overall exposure to risk. On the other hand risk transfer and risk retention are 

considered as risk financing and the goal is to ensure that the funds are available to recover the 

losses (Shimpi, 1999). 

We will briefly describe each approach below: