Sobre la utilidad del backtesting de los controles de riesgo operacional

Todavía estoy tratando de entender formas prácticas de realmente poner a prueba los marcos de riesgo operacional, más allá de solo revisiones de incidentes. Documentamos controles y realizamos recorridos, claro, pero ¿cómo se les hace un 'backtesting' efectivo? Es decir, intentar identificar proactivamente las debilidades antes de que generen pérdidas, de forma similar a cómo se hace backtesting a los modelos de riesgo de mercado. ¿Hay técnicas de simulación o métodos cuantitativos específicos que alguien aquí haya encontrado realmente útiles para esto, o es principalmente un ejercicio cualitativo?