Management of Operational Risks related to Information Security in Financial Organizations

2.8 

 Operational Risks and its Types 

“Operational  risk  is  defined  as  the  risk  of  loss  resulting  from  inadequate  or  failed  internal 

processes,  people  and  systems  or  from  external  events.  This  definition  includes  legal  risk,  but 

excludes strategic and reputational risk” (Philip, 2009). 

According to Hussain (2000) there are various types of operational risks such as: 

  Business Continuity Risk 

  Change Management Risk 

  Personal Risk 

  Regularity Risk 

  Organizational Risk 

  Portfolio Risk 

  Strategic Risk 

  Legal Risk 

  Reputation Risk 

 

  Currency Risk 

 

 

According to Marshall (2001), operational risks can be defined as “residual risks, i.e. everything 

that is not credit or market risk”. 

Saunders  (2000)  advocates  about  operational  risk  that  internal  sources  of  operational  risks  are 

technology,  capital  assets  destruction,  customer  relationships  and  employees.  External  sources 

are natural disaster and fraud etc.  

Operational  risks  are  further  divided  into  two  areas,  operational  leverage  risk  and  operational 

failure  risk.  An  operational  failure  risk  is  the  failure  of  information  systems,  processes  and 

people.  The  risk  factors  in  these  types  of  risks  are  primarily  internal.  On  the  other  hand 

operational  leverage  risk  is  the  risk  when  the  firm‟s  operations  will  not  generate  the  profit  as 

expected because of external factors involved such as changes in political, legal environment or 

in the nature of the competition (O'Brien et al., 1999).  

Bessis‟ (1998) considers operational risk in another way, according to his views operational risk 

is  divided  into  two  levels;  first  level  is  technical  level  that  consists  of  issues  such  as  when 

information  system  or  risk  measure  have  some  deficiency,  the  second  level  consists  of  more 

---

12 

 

organizational  characteristics  having  monitoring  and  reporting  of  risk  and  all  related  rules, 

regulations and procedures. Bessis‟ (1998) definition also implies that a lot of operational risks 

evolve from information technology.