Banken nemen risico's. Ze lenen geld uit dat mogelijk niet wordt terugbetaald. Ze handelen in effecten die in waarde kunnen dalen. Ze vertrouwen op computersystemen die kunnen uitvallen. Risicomanagement is de discipline van het identificeren, meten en beperken van die risico's. Het gaat er niet om risico's te elimineren, maar om ze te begrijpen en ervoor te zorgen dat de bank ze kan overleven.

Banken worden geconfronteerd met verschillende soorten risico's. Kredietrisico is het risico dat kredietnemers in gebreke blijven. Marktrisico is het risico dat prijzen zich tegen de positie van de bank keren. Liquiditeitsrisico is het risico dat de bank niet aan haar verplichtingen kan voldoen. Operationeel risico is het risico op fraude, cyberaanvallen of procesfouten. Compliance-risico is het risico op het overtreden van wet- en regelgeving. Reputatieschade is het risico op imagoschade voor de bank. Elk risico vereist andere instrumenten.

De instrumenten omvatten diversificatie, onderpand, hedging, verzekeringen en kapitaal. Een bank diversificeert haar leningportefeuille over verschillende sectoren en geografische gebieden. Ze neemt onderpand om verliezen te dekken. Ze gebruikt derivaten om rente- en valutarisico's af te dekken. Ze houdt kapitaal aan om onverwachte verliezen op te vangen. Ze sluit verzekeringen af ​​voor operationele risico's zoals fraude. Ze voert stresstests uit om te zien hoe ze het zou doen in een ernstige recessie.

Risicomanagement is geen winstcentrum, maar een kostenpost. Banken die het verwaarlozen, overleven het echter niet. De crisis van 2008 was in essentie een falen van het risicomanagement. Banken onderschatten het risico van hypotheekobligaties en overschatten hun vermogen om deze te verkopen. Het resultaat was de ergste financiële crisis sinds de Grote Depressie.