Sobre a utilidade do backtesting de controles de risco operacional

Ainda estou tentando entender maneiras práticas de realmente testar a fundo os frameworks de risco operacional, além de apenas revisões de incidentes. Documentamos controles e realizamos walkthroughs, claro, mas como você efetivamente os 'backtesta'? Ou seja, tentando identificar proativamente as fraquezas antes que levem a perdas, de forma semelhante a como os modelos de risco de mercado são backtestados. Existem técnicas de simulação específicas ou métodos quantitativos que alguém aqui achou genuinamente úteis para isso, ou é principalmente um exercício qualitativo?