Banker tager risici. De låner penge ud, der måske ikke bliver tilbagebetalt. De handler med værdipapirer, der kan falde i værdi. De er afhængige af computersystemer, der kan svigte. Risikostyring er disciplinen med at identificere disse risici, måle dem og afbøde dem. Det handler ikke om at eliminere risiko. Det handler om at forstå den og sikre, at banken kan overleve den.

Banker står over for flere typer risici. Kreditrisiko er risikoen for, at låntagere misligholder. Markedsrisiko er risikoen for, at priserne bevæger sig imod bankens positioner. Likviditetsrisiko er risikoen for, at banken ikke kan opfylde sine forpligtelser. Operationel risiko er risikoen for svindel, cyberangreb eller procesfejl. Compliance-risiko er risikoen for at overtræde love og regler. Omdømmerisiko er risikoen for skade på bankens image. Hver type kræver forskellige værktøjer.

Værktøjerne omfatter diversificering, sikkerhedsstillelse, afdækning, forsikring og kapital. En bank diversificerer sin låneportefølje på tværs af brancher og geografiske områder. Den tager sikkerhedsstillelse for at inddrive tab. Den bruger derivater til at afdække rente- og valutarisiko. Den holder kapital til at absorbere uventede tab. Den køber forsikring mod operationelle risici som svindel. Den udfører stresstest for at se, hvordan den ville klare sig i en alvorlig recession.

Risikostyring er ikke et profitcenter. Det er et omkostningscenter. Men banker, der forsømmer det, overlever ikke. Krisen i 2008 var i sin kerne en fejl i risikostyringen. Bankerne undervurderede risikoen ved realkreditobligationer og overvurderede deres evne til at sælge dem. Resultatet var den værste finanskrise siden den store depression.