Management of Operational Risks related to Information Security in Financial Organizations

4.2.1.3   

Structure of Organization 

According to NCCPL, there  is  not any  separate department  for the  management of operational 

risks. Operational risk management comes under the department of information risk management 

which is called Information Security Group (ISG).  

4.2.1.4   

Operational Risk and Threats 

According  to  NCCPL,  they  are  dealing  with  critical  operations  and  therefore  they  face 

operational  risks  everyday  in  various  forms  like  damage  through  programming  bugs,  backup 

failures,  loss  of  data,  inappropriate  operational  procedures,  network  damages,  unauthorized 

access etc. 

Respondent said it  is difficult to rank above mentioned risks because each category has its own 

importance.  For  the  smooth  running  of  operations  in  our  organization,  it  is  required  to  pay 

attention to all risks on equal grounds.  

NCCPL has to follow some specific procedures and rules to secure the information as much as 

possible. In doing so, they have to be very careful even if an employee resigns because he can be 

a source to leak the information out which can affect on the business of their organization. First 

of  all  company  will  change  all  the  passwords  for  the  resources  which  were  accessible  by  that 

particular employee  by using password management policy defined by ISG. Then all resources 

---

29 

 

will be taken back occupied by that person like access card. Meanwhile the backup employee for 

that person will be activated to take charge of the responsibilities performed by that employee. 

Similarly to make the information more secure a  framework is being used by NCCPL to protect 

the confidentiality within the organization. The framework has different policies and instructions 

about what is allowed and what is not. It is not permitted to use instant messaging and external 

webmail. There are some specific rules about what type of  information can be transfer through 

allowed communication  channels.  In order not to  bring the  company  into disrepute, users must 

apply the same personal and professional courtesies and considerations in Email as they would in 

other forms of communication. 

NCCPL  have  clear  idea  that  if  the  information  gets  leak  and  confidentiality  gets  damage,  it 

usually  happens  because  of  the  deliberate  and  hard  to  discover  act.  It  is  not  possible  for  an 

organization to keep the information protected from leakage if the intention of an employee is to 

really  leak the  information. If such situation happens then our company can use  its  legal rights 

against that person for doing a criminal act.